YoseMan

Disco (vmdk) compartido entre VMs con VSphere 4

2012-01-31T12:00:00.000+01:00

(MicroChuleta)

Pasos para compartir un disco (en este caso para Oracle RAC) virtual entre varias máquinas virtuales:

Crear un disco virtual desde una Service Console de la siguiente forma:

vmkfstools -c 2g -d eagerzeroedthick -a lsilogic /vmfs/volumes/XXXXX/ORACLE_SHARED_LUN_1.vmdk
vmkfstools -w /vmfs/volumes/XXXXX/hd.vmdk

Agregar el disco a la primera VM en una nueva controladora SCSI cuyo modo de funcionamiento se cambiará a "Bus Sharing":

Usar una nueva controladora SCSI

Antes de arrancar la VM, convertir la nueva controladora SCSI de la que depende el disco compartido en Virtual o Phisical (según si nuestra arquitectura de VSphere tiene o no múltiples hosts ESX).

Repetir el proceso en el resto de VMs. Recordar que el disco compartido siempre debe ir a una nueva controladora SCSI con el "Bus Sharing" activado.

Thanks to: http://professionalvmware.com/2008/12/share-and-share-alike-sharing-vmdks-between-virtual-machines/

ZFS

2011-12-02T14:55:00.001+01:00

ZFS ha sido originalmente un desarrollo de la otrora SUN Microsystems. Ahora está bajo el control de Oracle. Las últimas características están solo disponibles en las últimas versiones de su sistema operativo Solaris, aunque hay implementaciones libres en la mayoría de sistemas operativos Unix Open-source.

Algunos fabricantes de sistemas de almacenamiento como NetAPP tienen sistemas de ficheros similares para sus cabinas de discos.

En ZFS hay dos conceptos fundamentales, los ZPool y los Z Filesystem:

ZPool: Agrupación de (usualmente) discos duros o particiones que conforma un volumen con todos ellos siguiendo un esquema de RAID.

Los ZPool conforman pueden conformar diferentes tipos de RAID, entre ellos:

raidz: Similar a un raid-5
raidz2: Similar a un raid-6

El concepto detrás de estos volúmenes es crear un nivel de abstracción entre los dispositivos físicos y los filesystems, permitiendo gran flexibilidad. En el mundo Linux, sería similar a usar MD (raid software) + LVM.
El ZPool se encarga del matenimiento de la información a nivel de raid. Toda la administración a este nivel se hace a través del comando "zpool".
Los diferentes niveles RAID que ofrecen los ZPool (raidz, raidz-2, etc) son conceptualmente iguales a los clásicos (raid-5, raid-6) salvo porque aseguran no adolecer de un problema conocido como "write-hole".

Z Filesystem: Sobre la capa de abstracción de los ZPool, se crean los filesystems o ZFS's. Puede haber varios en cada ZPool y aquí es donde aparecen las características más interesantes de ZFS. Deduplicación, snapshots, compresión, detección de corrupciones, exportación directa por CIFS, NFS, iSCSI, cuotas, etc, etc, etc... Toda la administración a este nivel se hace a través del comando "zfs".

Ejemplos sobre FreeBSD 8.2
Discos disponibles (sin particionar):
/dev/ad2 (2GB)
/dev/ad4 (2GB)
/dev/ad6 (2GB)
/dev/ad8 (2GB)
/dev/ad10 (2GB)
/dev/ad12 (2GB)

ZPOOL MANAGEMENT

Creación de un zpool raid-0 (stripping) con dos discos:

zpool create /dev/ad2 /dev/ad4

Creación de un zpool raid-1 (mirror) con dos discos:

zpool create mirror /dev/ad2 /dev/ad4

Creación de un zpool raidz-2 con 4 discos, doble paridad y un disco de spare:

zpool create raidz2 /dev/ad2 /dev/ad4 /dev/ad6 /dev/ad8 /dev/ad10 spare /dev/ad12

Destrucción de un zpool y liberación de los discos físicos que lo formaban:

zpool destroy

Añadir un disco más a un zpool:

zpool add /dev/ad12

Añadir (en caliente) un disco de spare a un zpool:

zpool add spare /dev/ad6

Comprobar los checksums de todo el zpool en busca de errores:

zpool scrub

Poner un disco off-line (solo permite hacerlo si el raid no se rompe):

zpool offline

Poner un disco on-line:

zpool online

Reemplazar un disco de un zpool por otro:

zpoll replace

Histórico de modificaciones en el ZPool:

zpool history

Información sobre los ZPool:

zpool list
zpool status

Comprobar el rendimiento del zpool en tiempo real:

zpool iostat

Los ZPool son automáticamente montados en el sistema de archivos. En dicho punto de montaje se puede escribir, pero no es recomendable ya que en teoría, no hay sistema de archivos creado sobre el ZPool.

ZFS MANAGEMENT

Crear (y montar) un sistema de archivos ZFS sobre un ZPool ya creado:

zfs create /

Eliminar (previo desmontaje) de un sistema de archivos ZFS:

zfs destroy /

Ver estado de los ZFS:

zfs list
df

Ver parámetros de un ZFS:

zfs get /

Activar compresión (gzip por defecto) en el filesystem:

zfs set compression=on /

Almacenar varias copias de cada archivo. Esto establece un nivel de redundancia a mayores sobre lo que ya ofrece el ZPoll. El espacio que ocupa el archivo se multiplica:

zfs set copies=3 /

Crear un snapshot de un ZFS:

zfs snapshot /@

Se pueden crear snapshot de ZPool completo:

zfs snapshot @

Ver una lista de snapshots:

zfs list -t snapshot
zfs list -t snapshot -o name,creation

Hacer visibles los snapshots:

zfs set snapdir=visible /

Ver el contenido de un snapshot:

ls /.zfs

Destruir/borrar un snapshot:

zfs destroy /@

Renombrar un ZFS o snapshot:

zfs rename / /

zfs rename /@ /@

Volver a un snapshot anterior:

zfs rollback /@

Esto hace volver al sistema de ficheros al snapshot pedido. Este comando solo funciona para volver al último snapshot disponible. Si se desea volver a uno más antiguo, se debe usar el parámetro -r, que eliminará los posteriores.

Crear un nuevo ZFS a partir de un snapshot (clonados):

zfs clone /@ /

(Los clones de ZFS completos no están soportados)

Referencias interesantes:
Video muy sobre como se opera sobre ZFS para crear snapshots.
http://www.youtube.com/watch?v=sRe0wyx68Rs

Niveles RAID en ZFS.
http://www.zfsbuild.com/2010/05/26/zfs-raid-levels/

Explicación de lo que es el write-hole.
http://www.raid-recovery-guide.com/raid5-write-hole.aspx

Guia de administración de ZFS.
http://docs.huihoo.com/opensolaris/solaris-zfs-administration-guide/html/index.html

Apuntes sobre FreeBSD. Guia de supervivencia

2011-10-24T13:48:00.000+02:00

MANEJANDO "PORTS"

Descargar lista comprimida de "ports" disponibles (en "/var/db/portsnap"):

#> portsnap fetch

(La lista de servidores a la que se trata de conectar está en el archivo "/var/db/portsnap/serverlist")

Descomprimir lista de "ports" anteriormente descargada:

#> portsnap extract

Actualizar lista de "ports" de "/usr/ports":

#> portsnap update

Buscar un determinado "port" (vg.- "vim"):
Método 1:

#> whereis vim

Método 2:

#>cd /usr/ports
#> make search name="vim"

Compilar/Instalar un "port" (vg.- "/usr/ports/editors/emacs")

#> cd /usr/ports/editors/emacs
#> make install; make clean (ó "make install clean")

(Los archivos fuente son descargados a "/usr/ports/distfiles/" y eliminados con el comando "make clean").

Eliminar un "port" instalado (vg.- "emacs")

#> pkg_delete emacs

Ver estado de actualización de los "ports" instalados:

#> pkg_version -v

MANEJANDO "PACKAGES"

Actualizando la lista de software disponible en los repositorios de Internet:

Busqueda de un "package":
(ver búsqueda de "ports")

Lista de paquetes instalados y sus versiones:

#> pkg_info

Instalación de un paquete desde Internet (vg.- "vim"):

#> pkg_add -r vim

Instalación de un paquete descargado a local (vg.- "nano"):

#> wget ftp://ftp.freebsd.org/pub........nano-2.0.9-1.tbz
#> pkg_add nano-2.0.9-1.tbz

Eliminar un paquete (vg.- "vim"):

#> pkg_delete vim

Reinstalación de un paquete (vg.- "vim");

#> pkg_add --force -r vim

Más sobre los "packages":
Los archivos descargados están en: "/var/db/pkg"
El repositorio del que se descargan los "packages" puede ser modificado con la variable de entorno "PKG_PATH"

Instalación de "BASH SHELL"

#> pkg_add -r bash
#> chsh -s /usr/local/bin/bash

Instalación de servidor X + GNOME

#> pkg_add -r xorg-minimal
#> pkg_add -r gnome2

Debian 6 / Ubuntu 11.04 en ASUS UL30VT

2011-10-23T23:37:00.000+02:00

Esta receta es válida para la configuración de Ubuntu 11.04 (amd64) en un ASUS UL40VT.

NOTA: El contenido no es original. Todo ha sido recopilado desde los siguientes lugares:

http://wiki.debian.org/InstallingDebianOn/Asus/UL30VT
http://mig5.net/content/crunchbang-10-statler-asus-ul30vt
http://wiki.daviddarts.com/Ubuntu_Lucid_on_the_Asus_UL30VT
http://www.thinkwiki.org/wiki/How_to_reduce_power_consumption

ASUS UL30VT

Cosas que funcionan out of the box:

Webcam: Probado con "cheese".
Control de volumen.
Suspensión.
Salida VGA con Fn+F8.
Wifi (solo en Ubuntu)

Cosas que no he conseguido hacer funcionar
Desactivar Touchpad (Fn + F9)

WIFI
En Ubuntu es suficiente hacer la instalación habilitando los controladores de terceros para que funcione.
En debian se debe instalar el FW a mano:
#apt-get install firmware-iwlwifi

Grub
Para que el sistema use correctamente algunos valores de ACPI relacionados con la pantalla, se deben pasar algunos parámetros extra al kernel.
Editar "/etc/default/grub"
[...]

GRUB_CMDLINE_LINUX_DEFAULT="acpi_backlight=vendor i915.powersave=0 vga=792 quiet splash"

[...]

Reinstalar Grub:

#update-grub

Control de brillo (Fn + F5/F6) con la tarjeta Intel:
Por defecto, las teclas de control de brillo no funcionan. Se soluciona modificando los scripts :

/etc/acpi/asus-brn-up.sh

#!/bin/sh
test -f /usr/share/acpi-support/key-constants || exit 0

. /usr/share/acpi-support/key-constants

# DeviceConfig

if [ "$model" != "701" ] ; then
    # On an Eee PC (ASUSTeK model 701) the keys in the range handled by this
    # script have entirely different meanings. They are handled in separate
    # scripts.
    acpi_fakekey $KEY_BRIGHTNESSUP
fi

# added per http://forum.notebookreview.com/showpost.php?p=5665108&postcount=1235
#brightness=`echo $3 | sed 's/0000001//'`
#setpci -s 00:02.0 F4.B=${brightness}f

# added per mailing list post
# in /etc/asus_brn_up.sh
brightness=$((0x`setpci -s 00:02.0 F4.B`+16));
if [ $brightness -gt $((0xff)) ] ; then
brightness=$((0xff));
fi
setpci -s 00:02.0 F4.B=`printf '%x' $brightness`;

/etc/acpi/asus-brn-down.sh

#!/bin/sh

test -f /usr/share/acpi-support/key-constants || exit 0
. /usr/share/acpi-support/key-constants
acpi_fakekey $KEY_BRIGHTNESSDOWN

# added per http://forum.notebookreview.com/showpost.php?p=5665108&postcount=1235
#brightness=`echo $3 | sed 's/0000002//'`
#setpci -s 00:02.0 F4.B=${brightness}f

# added per mailing-list post
brightness=$((0x`setpci -s 00:02.0 F4.B`-16));
if [ $brightness -lt 0 ] ; then
brightness=1;
fi
setpci -s 00:02.0 F4.B=`printf '%x' $brightness`;

Doble Tarjeta gráfica
Este portatil incluye dos tarjetas gráficas. Una de ellas, Intel, no dispone de memoria dedicada. La otra, Nvidia, sí. Ambas funcionan, pero no hay una forma sencilla de intercambiar el uso de una u otra. En este caso se ha optado por usar la controladora integrada Intel de menor consumo energético y desactivar la Nvidia.
Hay varias formas de hacer esto, pero la mejor que he encontrado en cuando a estabilidad es un módulo del kernel llamado "acpi-call". Se descarga/instala de la siguiente forma:

git clone http://github.com/mkottman/acpi_call.git
cd acpi_call
make
sudo insmod acpi_call.ko

Además, hay que ejecutar el script "test_off.sh", en el mismo directorio, para que la tarjeta se desactive.

TouchPadd; scrolling con dos dedos:
Configurar desde "Sistema - Preferencias - Mouse

Ahorro de energía
Con los siguientes cambios, powertop indica un consumo, sin carga, de unos 7Watios. Suficiente para unas 6 horas de autonomía.

Salida de powertop

Se añaden las siguientes lineas a "/etc/rc.local" para aplicar las políticas de ahorro de energía:

#Desactivar BlueTooth
/sbin/rfkill block bluetooth
#Otros parámetros de ahorro de energia
ethtool -s eth0 wol d
iwconfig wlan0 power timeout 500ms
echo 1 > /sys/module/snd_hda_intel/parameters/power_save
echo 0 > /proc/sys/vm/swappiness
echo 60000 > /proc/sys/vm/dirty_expire_centisecs
echo 60000 > /proc/sys/vm/dirty_writeback_centisecs
echo 60 > /proc/sys/vm/dirty_background_ratio
echo 95 > /proc/sys/vm/dirty_ratio
echo 50 > /proc/sys/vm/vfs_cache_pressure
#Ahorro de energía en la controladora SATA
echo min_power > /sys/class/scsi_host/host0/link_power_management_policy
#Política del powerstep del procesador
cpufreq-selector -c 0 -g ondemand
cpufreq-selector -c 1 -g ondemand

#Cargar módulo acpi_call y desactivar tarjeta NVidia
insmod /opt/acpi_call/acpi_call.ko
sh /opt/acpi_call/test_off.sh&
#Bajar brillo de la pantalla
setpci -s 00:02.0 F4.B=20&

NOTA: Después de suspender el equipo y salir del estado de reposo, algunas de las políticas de bajo consumo se anulan. Para reactivarlas de forma automatizada se edita el archivo:

/etc/pm/sleep.d/10_filename

#!/bin/bash
. /usr/lib/pm-utils/functions
case "$1" in
    hibernate|suspend) ;;
    thaw|resume)
    #Tareas a realizar al salir de suspensión
    # Asegurarse que la tarjeta NVidia sigue desactivada
    sh /home/josem/acpi_call/test_off.sh
    # Bajar brillo de la pantalla
    setpci -s 00:02.0 F4.B=20
    # Ahorro de energía en la interfaz SATA
    echo min_power > /sys/class/scsi_host/host0/link_power_management_policy
    ;;

    *) ;;
esac
exit $?

De esta forma se ejecutarán las tareas del archivo cada vez que el equipo entre y salga de la suspensión.

Debian 6: Instalar MS Office 2007 usando Wine

2011-10-05T23:25:00.003+02:00

Lista de pasos para hacer funcionar MS Office 2007 sobre Wine en Debian 6 (64bits).

No es facil, por no decir imposible, ejecutar el instalador de MS Office con los paquetes de wine que vienen en la versión 6 de Debian. Esto es debido a que pertenecen a la versión 1.0.1. Se recomienda al menos una versión 1.1.x para tener éxito.

Se van a utilizar paquetes .deb descargados del repositorio www.lamaresh.net.

Las personas que mantienen este dominio están haciendo un excelente trabajo empaquetando y manteniendo paquetes de versiones más actuales para Debian.

Pasos:

Añadir el repositorio (ver instrucciones más detalladas en www.lamaresh.net).

Añadir la linea:

deb http://www.lamaresh.net/apt squeeze main

al archivo /etc/apt/sources.list

apt-get update

Instalar wine (asegurarse que descarga los paquetes del nuevo repositorio)

apt-get install wine

Descargar script "winetricks"

svn checkout http://winetricks.googlecode.com/svn/trunk/ winetricks-read-only

Instalar dependencias windows/wine con la ayuda de "winetricks"

sh ./winetricks-read-only/src/winetricks msxml3 dotnet20 gdiplus riched20 riched30 vcrun2005sp1 corefonts tahoma

Ejecutar instalador de Office

wine $OFFICE/setup.exe

NOTA CURIOSA: El instalador y la posterior ejecución de las aplicaciones fallan menos si se utiliza la emulación de Windows XP. Se puede comprobar esto ejecutando el comando winecfg

Firefox 7 + Plugin Java + Plugin flash en Debian 6 (squeeze) 64bits

2011-09-29T23:43:00.002+02:00

Objetivos:

Solucionar los múltiples problemas que impiden ejecutar versiones oficiales de firefox en Debian/Ubuntu de 64bits.

Instalar plugins de java y flash player sobre la instalación anterior.

Como el paquete firefox que se descarga desde las páginas oficiales de Mozilla solamente está compilado para sistemas de 32bits, no suele funcionar directamente en sistemas de 64bits.

Lista de simples pasos para hacer funcionar una versión actual de Firefox (nativa 32 bits para Linux) sobre Debian Squeeze 64bits.
Suponer que hemos descargado el paquete .bz2 oficial (firefox-7.0.tar.bz2) y que al intentar ejecutarlo desde la consola, obtenemos errores del estilo:

x-bin: 1: Syntax error: "(" unexpected
Couldn't load XPCOM.
/firefox3/firefox-bin: error while loading shared libraries: libgtk-x11-2.0.so.0: cannot open shared object file: No such file or directory
./firefox3/firefox-bin: error while loading shared libraries: libxul.so: wrong ELF class: ELFCLASS64

Algunos de estos errores son evidencias claras de una incompatibilidad 32/64 bits del programa ejecutable. Otros son simplemente problemas con las dependencias de algunas librerías. Sea como fuere, la mayoría se solucionan instalando los siguientes paquetes:

apt-get install ia32-libs
apt-get install ia32-libs-gtk
apt-get install libgtk2.0-0
apt-get install xulrunner-1.9.1
apt-get install libnss3-1d
apt-get install python-xpcom
apt-get install lib32nss-mdns

Plugin Java (Oracle Java)
No hay forma de hacer que el navegador de 32bits use el plugin y la JVM de 64bits, de forma que para usar Java en Firefox, es necesario usar java de 32bits:

Descargar paquete jre-6u27-linux-i586.bin
Ejecutar:

sh jre-6u27-linux-i586.bin
mv jre1.6.0_27 /opt
Crear el enlace al plugin según los siguientes pasos (específicamente estos pasos)
mkdir $HOME/.mozilla/plugins
cd $HOME/.mozilla
ln -s /opt/jre1.6.0_27/lib/i386/libnpjp2.so plugins/libnpjp2.so

AVISO: Por alguna razón, si el enlace simbólico del último paso no se crea desde "$HOME/.mozilla), el plugin no encuentra la JVM para ejecutar java en firefox. Este problema se detecta porque el navegador se cierra inmediatamente cuando se intenta ver una página con Applets Java.

Flash player Plugin (Adobe).
De forma análoga, se debe usar el plugin de 32 bits con un navegador de 32 bits (funciona también con la nueva versión 11 para 32bits).

Descargar el instalador en formato .tar.gz: install_flash_player_10_linux.tar.gz
Descomprimir el .tar.gz
Copiar el archivo libflashplayer.so a $HOME/.mozilla/plugins/

OCFS2 sobre DRBD (Debian 6)

2011-02-21T16:42:00.001+01:00

Amplicación al post anterior:http://yoseman.blogspot.com/2011/02/drbd-replicacion-de-discos-via-red-en.html

Se dispone de una infraestructura DRBD operativa funcionando con ext3. Ya que este filesystem no soporta acceso concurrente, se desea sustituir por OCFS2 para permitir el montaje en varios nodos a la vez.

Suponiendo:
Un recurso DRBD con dos nodos, nodo01 y nodo02.
Dispositivo DRBD en ambos nodos: /dev/drbd0

Procedimiento:

Desmontar el dispositivo DRBD en el nodo que pudiera estar montado:

nodo0X> umount /mnt/mountpoint

Instalar herramientas OCFS2 (ambos nodos):

nodo0X> apt-get install ocfs2-tools ocfs2console

Cargar módulos OCFS2 del kernel en ambos nodos:

nodo0X> modprobe ocfs2

Configurar el cluster OCFS2. Editar el archivo "/etc/ocfs2/cluster.conf" en ambos nodos:

#/etc/ocfs2/cluster.conf
#Primer nodo ("drbd1")
node:
   ip_port = 7777                       #Puerto para comunicarse
             ip_address = 192.168.1.21   #IP de comunicación
             number = 0                            #Número de nodo
             name = drbd1                        #Hostname del nodo
             cluster = ocfs2                       #Nombre del cluster OCFS2

#Segundo nodo ("drbd2")
node:
   ip_port = 7777
             ip_address = 192.168.1.22
             number =1
             name = drbd2
             cluster = ocfs2

#Información del cluster de nombre "ocfs2"
cluster:
             node_count = 2               #Número de nodos que accederán al cluster
             name = ocfs2                   #Nombre del cluster

Añadir al archivo de configuración de DRBD (/etc/drbd.conf) la siguiente linea para permitir varios nodos primarios en DRBD. Esto permitirá el montaje del dispositivo en varias máquinas a la vez.

net{
[...]
allow-two-primaries;
[...]
}

Añadir al archivo de configuración de DRBD (/etc/drbd.conf) las siguientes lineas en el para que el sistema maneje correctamente los Splitted Brain.

net {
      [...]
      after-sb-0pri discard-zero-changes;
      after-sb-1pri discard-secondary;
      after-sb-2pri disconnect;
      [...]
}

Recargar DRBD para aplicar los cambios

Poner ambos nodos como "primary"

nodo01> drbdsetup /dev/drbd0 primary
nodo02> drbdsetup /dev/drbd0 primary

Crear el filesystem OCFS2 desde uno cualquiera de los nodos:

nodo01> mkfs.ocfs2 /dev/drbd0

OCFS2 forma un cluster propio entre los nodos que pueden montar el FS compartido. OCFS2 tiene dos scripts de inicio. Uno es "/etc/init.d/ocfs2" y el otro es "/etc/init.d/o2cb". Este segundo se encarga de mantener los servicios en cluster.
Se puede reconfigurar (opcionalmente) los parámetros de OCFS2 relativos a timeout y arranque automático del cluster OCFS2. Para ello, se debe ejecutar en ambos nodos:

/etc/init.d/o2cb configure
ó
dpkg-reconfigure ocfs2-tools

Reiniciar los servicios de OCFS2 en ambos nodos:

nodo01> /etc/init.d/o2cb restart
nodo01> /etc/init.d/ocfs2 restart

nodo02> /etc/init.d/o2cb restart
nodo02> /etc/init.d/ocfs2 restart

Montar el filesystem OCFS2 en ambos nodos:

nodo01> mount /dev/drbd0 /mnt/punto_montaje
nodo02> mount /dev/drbd0 /mnt/punto_montaje

El acceso concurrente a los ficheros de DRBD es seguro en términos de consistencia de datos.

DRBD. Replicación de discos vía red en Debian

2011-02-21T10:58:00.001+01:00

Instalación y configuración inicial.

DRBD se define a sí mismo con un sistema de RAID1 sobre IP. Los espejos se crean sobre discos de máquinas remotas y el bus SCSI o SATA se convierte en conexiónes IP.

Se dispone de dos máquinas, con un dispositivo de bloques (habitualmente un disco duro) que se desea replicar de forma continua entre ambos. Uno de ellos será el original (Master) y el otro la réplica (Espejo). En este caso se va a replicar la partición "/dev/sda3", que debe tener el mismo tamaño en ambos nodos.

Se parte de dos máquinas Debian 6 con conexión directa IP y configuración:

Master (drbd1)
hostname: nodo01.prueba.com
Dirección IP: 192.168.1.21

Replica/espejo (drbd2)
hostname: nodo02.prueba.com
Dirección IP: 192.168.1.22

Ambos nodos deben ser accesibles desde el otro por estas direcciones IP (un ping es una buena prueba rápida). El ancho de banda de la linea que los une definirá el rendimiento de la replicación.

Archivo "/etc/hosts"
Debe existir en ambos nodos e incluir una linea por cada nodo con su dirección IP de contacto:

[...]
192.168.1.21 nodo01.prueba.com node01
192.168.1.22 nodo02.prueba.com node02
[...]

Instalar paquete "drbd8-utils" en ambos nodos:

#> apt-get install drbd8-utils

Cargar el módulo "drbd" del kernel en ambos nodos:

#> modprobe drbd

La partición de disco a replicar debe:
- Existir como tal antes de iniciar el servicio (vg.- /dev/sda3) en ambos nodos.
- No estar formateada con ningún sistema de archivos en ninguno de los nodos. Por lo tanto, ningún fichero del sistema debe residir en ella.
- Ser idéntica en ambos nodos en tamaño.

Editar el archivo de configuración "/etc/drbd.conf"

# You can find an example in /usr/share/doc/drbd.../drbd.conf.example

#include "drbd.d/global_common.conf";
#include "drbd.d/*.res";

global {
    usage-count no;
}

common {
    #Velocidad de sincronización. Velocidad de la red dedicada.
    syncer {rate 100M; }
}

resource r1 {
    #Protocolo de sincronización:
    #    A: La sincronización se da por terminada cuando es enviada al buffer TCP local
    #    B: La sincronización se da por terminada cuando ha llegado al buffer remoto
    #    C: La sincronización se da por termianda cuando ha sido escrita también en el disco espejo
    protocol C;
    startup {
        wfc-timeout 15;       #Tiempo seg. de espera por lo recursos remotos en el arranque del servicio
        degr-wfc-timeout 60; #Tiempo seg. de espera por un recurso perdido hasta que el cluster se marca como degradado
    }

    net {
        cram-hmac-alg sha1;    #Algoritmo CRAM para la clave
        shared-secret "secret"; #Clave de autentificación
        #allow-two-primaries;   #Solo si hay cluster filesystem encima
    }

    on nodo01 {
        device /dev/drbd0;    #Dispositivo RAID DRBD
        disk /dev/sda3;        #Dispositivo local miembro de DRBD
        address 192.168.1.21:7788;    #Interfaz de comunicación
        meta-disk internal;    #Integrado en "/dev/sda3"
    }

    on nodo02 {
        device /dev/drbd0;
        disk /dev/sda3;
        address 192.168.1.22:7788;
        meta-disk internal;
    }
} #Fin resource r1

Iniciar el servicio "drbd" en ambos nodos:

#> /etc/init.d/drbd start

Inicializar el recurso DRBD (genera los metadatos). Se debe ejecutar el siguiente comando en ambos nodos:

#> drbdadm create-md r1

"Levantar" el recurso en ambos nodos, ejecutando:

#> drbdadm up r1

Desde este momento podemos ver el estado del "raid" en el archivo "/proc/drbd":

#> watch cat /proc/drbd

Ahora se debe establecer cual de los nodos es el master y cual el que debe ser espejo. En este caso, nodo01 será master y nodo02 será espejo. Para ello, ejecutar en el master:

#> drbdsetup /dev/drbd0 primary -o

Esto sincronizará el nodo espejo (nodo02) con el master (nodo01). Se puede ver el estado de la sincronización en "/proc/drbd".

Ahora se puede crear un filesystem en el raid. Para ello, en cualquiera de los nodos, ejecutar:

#> mkfs.ext3 /dev/drbd0

El nuevo sistema de archivos en raid DRBD solo puede (debe) ser montado en un nodo a la vez. De lo contrario, y salvo que el sistema de archivos sea un cluster-filesystem, se corrompería. Por defecto, el filesystem solamente puede ser montado en el nodos principales (primary).

#> mount /dev/drbd1 /mnt/mountpoint

Administración básica
DRBD permite varios nodos principales (opción "allow-two-primaries" en /etc/drbd.conf), pero salvo que el filesystem que se cree encima de DRBD sea un sistema de archivos en cluster (vg.- OCFS2, GFS, etc...). Por lo tanto, y si hemos utilizado ext3 como en este caso, para montar el raid en el nodo espejo, previamente debemos hacer que sea primario (pasando el Master a secundario).

Montar el raid DRBD en el nodo espejo (nodo02):
   nodo01> umount /mnt/mountpoint
   nodo01> drbdsetup /dev/drbd0 secondary
   nodo02> drbdsetup /dev/drbd0 primary
   nodo02> mount /mnt/mountpoint

OJO!!. Ahora el nodo Maestro es "nodo02".

Router CISCO 827H; recuperar contraseña

2011-02-20T23:19:00.002+01:00

1. Acceder en modo de recuperación.

- Conectar por consola (minicom) (9600 8N1).
- Durante el arranque, enviar BREAK (Control-a + f) para entrar en modo "rommon" (recuperación de emergencia).
- Ejecutar:

rommon 2> confreg 0x2142
You must reset or power cycle for new config to take effect

- Resetear el router:

rommon 3> reset

- Esperar... Zzz...

- Would you like to enter the initial configuration dialog? [yes/no]: no

- El router arranca y podemos entrar en modo privilegiado sin contraseña ejecutando el comando "enable":

Router> enable

Router#

2. Hemos hecho que el router arranque en modo privilegiado sin contraseña. Pero también hemos hecho que el router no tenga configuración de ningún tipo.

Si queremos que vuelva a realizar sus funciones como router, con la misma configuración que tenía, debemos cargarla. Si recargamos esa configuración, volveremos a tener el password perdido, de modo que hay que cambiar también el password.

- Ejecutar UNO de los siguientes comandos (el efecto es el mismo en ambos):

Router# configure memory
ó

Router# copy startup-config running-config

- Cambiar el password:

redc021987222310# configure terminal
redc021987222310(config)# enable secret NEWPASSWORD
redc021987222310(config)# config-register 0x2102
redc021987222310(config)# end
redc021987222310(config)# write memory

- Reiniciar el router (si queremos).

Conectar a target iSCSI desde Ubuntu 10.04

2011-02-09T19:19:00.002+01:00

Instalar software necesario

#> sudo apt-get install open-iscsi

Si se desea que el servicio arranque con el sistema, editar el archivo"/etc/iscsi/iscsid.conf" y asegurarse de la existencia de la linea_

[...]
node.startup = automatic
[...]

Iniciar el servicio "open-iscsi"

/etc/init.d/open-iscsi start

Descubrir los target que están en la IP 192.168.23.101

#> sudo iscsiadm -m discovery -t st -p 193.146.17.15

Devolverá algo como

192.168.23.101:3260,1 iqn.2011-02:fileserver.target2

que es la identificación del target (o targets) en caso de que los encuentre.

Las LUN que ofrece el target se pueden ver con

sudo iscsiadm -m node

Los resultados de los descubrimientos están disponibles en

/etc/iscsi/nodes

Conectar la LUN del target usando un chap (4 COMANDOS):

#>sudo iscsiadm -m node --targetname "iqn.2011-02:fileserver.target2 " --portal "192.168.23.101" --op=update --name node.session.auth.authmethod --value=CHAP

#>sudo iscsiadm -m node --targetname "iqn.2011-02:fileserver.target2" --portal "192.168.23.101" --op=update --name node.session.auth.username --value=USERNAME

#>sudo iscsiadm -m node --targetname "iqn.2011-02:fileserver.target2" --portal "192.168.23.101" --op=update --name node.session.auth.password --value=PASSWORD

#>sudo iscsiadm -m node --targetname "iqn.2011-02:fileserver.target2" --portal "192.168.23.101" --login

Si la conexión es correcta, la LUN debería ser visible con "fdisk -l". Solo hay que formatear (mkfs) y montar (mount).

Desconectar la LUN

#> iscsiadm -m node --targetname "iqn.2011-02:fileserver.target2" --portal "192.168.23.101" --logout

Gestor de listas de correo: Debian, Postfix y MailMan

2011-01-27T09:26:00.000+01:00

Se pretende configurar un sistema de gestión de listas de correo con MailMan. Además debe disponer de acceso seguro SSL a la web de gestión (Apache2 + mod_ssl) de MailMan y detección de Spam (SpamAssassin).

Partiendo de una instalación "limpia" de Debian 5 64bits.

Se dispone de un dominio principal de la organización, llamado "prueba.com". Para no interferir con el servidor de correo principal esta máquina se llamara "lists.prueba.com" y gestionará las listas como

"nombrelista@lists.prueba.com"

Pasos previos:

#apt-get install ntp

Es importante que el servidor esté siempre sincronizado para que la hora de los mensajes sea correcta.

Instalar Apache2:

#apt-get install apache2

Instalar postfix:

#apt-get install postfix

Configurar como "Internet Site", nombre del host "lists", nombre de dominio "prueba.com".

Testear que el servicio de correo funciona, enviándo un mensaje de prueba a una dirección de correo real.

#echo "mensaje de prueba" | /usr/sbin/sendmail direccionreal@dominio.com

Instalar "Mailman" y el paquete de ayuda a la configuración de listas:

#apt-get install mailman listadmin

Iniciar todos los servicios necesarios

#/etc/init.d/apache2 start
#/etc/init.d/postfix start
#/etc/init.d/mailman start

Generar la lista principal de "Mailman". Es necesaria para que la aplicación funcione:

#newlist mailman

El "Gestor de la lista" debe ser una dirección de correo real, ya que ahí van a llegar las peticiones de alta, moderación, etc.
La "clave inicial" será la contraseña de administración de la lista.
La lista inicial "mailman" es ficticia y solamente se utiliza para el funcionamiento interno de Mailman.

Una vez generado la lista inicial, o cualquier lista futura, se deben seguir los pasos indicados y añadir al archivo "/etc/aliases" las lineas que aparecen:

## lista de distribuci�n mailman
mailman:              "|/var/lib/mailman/mail/mailman post mailman"
mailman-admin:        "|/var/lib/mailman/mail/mailman admin mailman"
mailman-bounces:      "|/var/lib/mailman/mail/mailman bounces mailman"
mailman-confirm:      "|/var/lib/mailman/mail/mailman confirm mailman"
mailman-join:         "|/var/lib/mailman/mail/mailman join mailman"
mailman-leave:        "|/var/lib/mailman/mail/mailman leave mailman"
mailman-owner:        "|/var/lib/mailman/mail/mailman owner mailman"
mailman-request:      "|/var/lib/mailman/mail/mailman request mailman"
mailman-subscribe:    "|/var/lib/mailman/mail/mailman subscribe mailman"
mailman-unsubscribe: "|/var/lib/mailman/mail/mailman unsubscribe mailman"

Y posteriormente se debe ejecutar el comando:

#newaliases

que se encarga de leer el nuevo estado del archivo.

Desde este momento el servicio de listas de correo es operativo. Ya se pueden generar otras listas de correo y es posible acceder al gestor web de Mailman desde:

http://lists.prueba.com/cgi-bin/mailman/listinfo/

Archivos de lista.
Por defecto Mailman guarda una copia de cada mensaje que gestiona y genera unos archivos HTML de consulta de todo el tráfico. Para que la visualización de esta bitácora funcione, deben añadirse las siguientes lineas al archivo "/etc/apache2/apache2.conf"

Alias /pipermail/ /var/lib/mailman/archives/public/
Alias /images/mailman/ /usr/share/images/mailman/

y reiniciar Apache2:

#/etc/init.d/apache2 restart

Acceso seguro SSL al gestor web de Mailman.

Por defecto el Apache estará escuchando el puerto 80 y las conexiones al gestor web de Mailman no están cifradas. Ya que en estas conexiones pueden enviarse contraseñas, es una buena práctica modificar el servidor web para que escuche por el puerto 443/SSL.
Hacer esto de forma aislada provoca que el gestor web de Mailman falle a la hora de mostrar algunas páginas o de ejecutar ciertos script cgi. El efecto más conocido es cuando tratamos de hacer la moderación de un correo o de aprobar una invitación de alta o revocación.

Esto se soluciona cambiando el esquema de mailman:

Para servicio:

#/etc/init.d/mailman stop

Editar "/usr/lib/mailman/Mailman/mm_cfg.py" y cambiar la linea

    [...]
     DEFAULT_URL_PATTERN = 'http://%s/cgi-bin/mailman/'
    [...]

   por
    [...]
       DEFAULT_URL_PATTERN = 'https://%s/cgi-bin/mailman/
    [...]

Esto hace que la web de todas las listas nuevas funcione correctamente. Si hay listas creadas previamente seguirán fallando. Para propagar el cambio a las listas ya creadas, ejecutar:

#/usr/lib/mailman/bin/withlist -l -a -r fix_url

Iniciar servicio:

#/etc/init.d/mailman start

Filtrado de SPAM con SpamAssassin.

Filtro Spam:

#apt-get install spamassassin
#mkdir /var/lib/spamassassin
# useradd -r -d /var/lib/spamassassin -s /sbin/nologin -c 'SpamAssassin' spamassassin

Editar "/etc/default/spamassassin"

    [...]
          ENABLED=1
          SAHOME="/var/lib/spamassassin/"
          OPTIONS="--create-prefs --max-children 5 --username spamassassin --helper-home-dir ${SAHOME} -s ${SAHOME}spamd.log"
          CRON=0
    [...]

Editar "/etc/spamassassin/local.cf"

use_bayes 1
bayes_auto_learn 1

Comprobar que existen los manejadores de spamassassin para mailman. deben existir los archivos siguientes:

/usr/lib/mailman/Mailman/Handlers/SpamAssassin.py
/usr/lib/mailman/Mailman/Handlers/spamd.py

Activar el filtrado en mailman.
Editar "/usr/lib/mailman/Mailman/mm_cfg.py"

Descomentar la linea

GLOBAL_PIPELINE.insert(1, 'SpamAssassin')

Definir las variables que dicen cuando descartar un mensaje, etc:

      SPAMASSASSIN_DISCARD_SCORE = 7.5
      SPAMASSASSIN_HOLD_SCORE = 5
      SPAMASSASSIN_MEMBER_BONUS = 2

    Explicación de las variables:
        SPAMASSASSIN_DISCARD_SCORE: If a message receives a score above this limit, the message will be discarded without moderation. The default value for this variable is 10.
        SPAMASSASSIN_HOLD_SCORE: If a message receives a score above this limit, the message will be held for moderation. The default value for this variable is 5.
        SPAMASSASSIN_MEMBER_BONUS: If the message was sent by a member of the list, an adjustment can be performed on the score. This makes it less likely that a message claiming to come from a list member will be held for moderation. The default value for this variable is 2.

Reiniciar "mailman"

#/etc/init.d/mailman restart

Esta solución esta sacada de: http://wiki.list.org/display/DOC/4.27+Securing+Mailman%27s+web+GUI+by+using+Secure+HTTP-SSL

Manuel de Mailman:

http://www.gnu.org/software/mailman/docs.html

Debian: Enviar SMS directamente vía modem GSM ZTE MF110

2011-01-10T22:06:00.004+01:00

Objetivo

Enviar mensajes SMS directamente desde linea de comandos con un modem conectado localmente a la máquina.
La máquina forma parte de un sistema de monitorización que debe enviar alarmas a diferentes teléfonos móviles.
Actualmente no existen en el mercado modems GSM genéricos de conexión serie, así que es necesario utilizar lo más parecido: Un stick usb 3G.

Hardware disponible

HSUPA USB Stick ZTE MF110 (Procedente de Movistar)

Plataforma software

Debian 6 Squeeze (a día de hoy aún está en fase "testing") 32 bits sobre hardware Intel x86.

Configuración

Instalar los paquetes "usb-modeswitch" y "usb-modeswitch-data".

#> apt-get install usb-modeswitch
#> apt-get install usb-modeswitch-data

El sistema (con kernel 2.6.32-5-686) detecta correctamente el modem. La salida en "/var/log/messages" es la siguiente al conectar el dispositivo:

Jan 10 21:31:40 toaster kernel: [ 2454.908197] usb 1-2: new high speed USB device using ehci_hcd and address 6
Jan 10 21:31:40 toaster kernel: [ 2455.042732] usb 1-2: New USB device found, idVendor=19d2, idProduct=0083
Jan 10 21:31:40 toaster kernel: [ 2455.042741] usb 1-2: New USB device strings: Mfr=3, Product=2, SerialNumber=4
Jan 10 21:31:40 toaster kernel: [ 2455.042749] usb 1-2: Product: ZTE WCDMA Technologies MSM
Jan 10 21:31:40 toaster kernel: [ 2455.042755] usb 1-2: Manufacturer: ZTE,Incorporated
Jan 10 21:31:40 toaster kernel: [ 2455.042760] usb 1-2: SerialNumber: P671A2TMED010000
Jan 10 21:31:40 toaster kernel: [ 2455.042969] usb 1-2: configuration #1 chosen from 1 choice
Jan 10 21:31:40 toaster kernel: [ 2455.052740] scsi6 : SCSI emulation for USB Mass Storage devices
Jan 10 21:31:40 toaster usb_modeswitch: switching 19d2:0083 (ZTE,Incorporated: ZTE WCDMA Technologies MSM)
Jan 10 21:31:42 toaster kernel: [ 2456.887025] usb 1-2: USB disconnect, address 6
Jan 10 21:31:47 toaster kernel: [ 2462.268204] usb 1-2: new high speed USB device using ehci_hcd and address 7
Jan 10 21:31:47 toaster kernel: [ 2462.404488] usb 1-2: New USB device found, idVendor=19d2, idProduct=0124
Jan 10 21:31:47 toaster kernel: [ 2462.404498] usb 1-2: New USB device strings: Mfr=3, Product=2, SerialNumber=4
Jan 10 21:31:47 toaster kernel: [ 2462.404506] usb 1-2: Product: ZTE WCDMA Technologies MSM
Jan 10 21:31:47 toaster kernel: [ 2462.404512] usb 1-2: Manufacturer: ZTE,Incorporated
Jan 10 21:31:47 toaster kernel: [ 2462.404518] usb 1-2: SerialNumber: P671A2TMED010000
Jan 10 21:31:47 toaster kernel: [ 2462.404732] usb 1-2: configuration #1 chosen from 1 choice
Jan 10 21:31:47 toaster kernel: [ 2462.408779] option 1-2:1.0: GSM modem (1-port) converter detected
Jan 10 21:31:47 toaster kernel: [ 2462.408926] usb 1-2: GSM modem (1-port) converter now attached to ttyUSB0
Jan 10 21:31:47 toaster kernel: [ 2462.409079] option 1-2:1.1: GSM modem (1-port) converter detected
Jan 10 21:31:47 toaster kernel: [ 2462.409198] usb 1-2: GSM modem (1-port) converter now attached to ttyUSB1
Jan 10 21:31:47 toaster kernel: [ 2462.409347] option 1-2:1.2: GSM modem (1-port) converter detected
Jan 10 21:31:47 toaster kernel: [ 2462.409459] usb 1-2: GSM modem (1-port) converter now attached to ttyUSB2
Jan 10 21:31:47 toaster kernel: [ 2462.409605] option 1-2:1.3: GSM modem (1-port) converter detected
Jan 10 21:31:47 toaster kernel: [ 2462.409715] usb 1-2: GSM modem (1-port) converter now attached to ttyUSB3
Jan 10 21:31:47 toaster kernel: [ 2462.409861] option 1-2:1.4: GSM modem (1-port) converter detected
Jan 10 21:31:47 toaster kernel: [ 2462.410020] usb 1-2: GSM modem (1-port) converter now attached to ttyUSB4
Jan 10 21:31:47 toaster kernel: [ 2462.410189] option 1-2:1.5: GSM modem (1-port) converter detected
Jan 10 21:31:47 toaster kernel: [ 2462.410355] usb 1-2: GSM modem (1-port) converter now attached to ttyUSB5
Jan 10 21:31:47 toaster kernel: [ 2462.411910] scsi7 : SCSI emulation for USB Mass Storage devices
Jan 10 21:31:48 toaster usb_modeswitch: switched to 19d2:0124 (ZTE,Incorporated: ZTE WCDMA Technologies MSM)
Jan 10 21:31:52 toaster kernel: [ 2467.417410] scsi 7:0:0:0: Direct-Access ZTE MMC Storage 2.31 PQ: 0 ANSI: 2
Jan 10 21:31:52 toaster kernel: [ 2467.419437] sd 7:0:0:0: Attached scsi generic sg2 type 0
Jan 10 21:31:52 toaster kernel: [ 2467.423863] sd 7:0:0:0: [sdb] Attached SCSI removable disk

El modem incluye un lector de tarjetas de memoria SD, que es detectado en "/dev/sdb".

El sistema ha añadido 6 nuevos dispositivos:

/dev/ttyUSB0
/dev/ttyUSB1
/dev/ttyUSB2
/dev/ttyUSB3
/dev/ttyUSB4
/dev/ttyUSB5

Para acceder al modem GSM se debe utilizar (normalmente):

/dev/ttyUSB4

Si no funciona, probar los otros.Normalmente solamente uno de ellos es accesible.

Enviar SMS

Se puede utilizar cualquier programa cliente de entre los disponibles en los repositorios de Debian. Aquí se ha utilizado "gsm-utils":

#> apt-get install gsm-utils

A partir de este momento se dispone de una serie de utilidades para comunicar con el modem GSM, enviar SMS, etc. Para enviar SMS se utiliza el comando "gsmsendsms". Recibe como parámetros el número de teléfono de destino, el texto del mensaje y el nombre del dispositivo.

vg.-

#> gsmsendsms -d /dev/ttyUSB4 6XXXXXXXX "Este es un mensaje de prueba..."

(El mensaje es enviado inmediatamente)

Nota: El modem necesita unos segundos después de conectarse al equipo para encontrar cobertura y registrarse en la red GSM. Cuando el dispositivo está listo parpadea en verde.

(Debian lenny + KDE3) Lugares en que puede aparecer la opción "-nolisten tcp"

2010-04-25T22:10:00.000+02:00

/etc/kde3/kdm/kdmrc

[...]
ServerArgsLocal=-nolisten tcp
[...]

/etc/X11/xinit/xserverrc

[...]
exec /usr/bin/X11/X -nolisten tcp
[...]

(BORRADOR) Servidor de Correo: postfix

2010-04-04T22:08:00.003+02:00

¡¡AVISO. Esta entrada es un borrador y puede contener errores técnicos y tipográficos!!

INSTALACIÓN O.S.
    Debian lenny i386 'netinstall'
    IP: 192.168.1.12
    Hostname: mail.trustnone.es
    ntp: Muy importante para el sistema de correo
    Instalación del sistema base
    Kernel 2.6

CONFIGURACIÓNES PREVIAS A NIVEL O.S.
   apt-get install openssh-server
         apt-get install ntp

    Comprobar sincronización horaria
        ps aux | grep ntp
        date

    Comprobar archivo hosts
        mail:~# cat /etc/hosts
        127.0.0.1       localhost
        192.168.1.12    mail.trustnone.es       mail

    Comprobar conectividad a/desde Internet

    Repositorios obligatorios ('/etc/apt/sources.list')
        deb http://ftp.fr.debian.org/debian/ lenny main non-free contrib
        deb-src http://ftp.fr.debian.org/debian/ lenny main non-free contrib
        deb http://security.debian.org/ lenny/updates main contrib non-free
        deb-src http://security.debian.org/ lenny/updates main contrib non-free

    Aplicar actualizaciones de seguridad:
        apt-get update
        apt-gte upgrade

MYSQL SERVER (5.0)
    apt-get install mysql-server mysql-client
        Usuario: root, contraseña: root

    Asegurarse que el servicio arranca con el sistema
        update-rc.d mysql defaults

    Tunning MySQL
        /etc/init.d/mysql stop
        Sustituir el archivo "/etc/mysql/my.cnf" por el contenido de "/usr/share/doc/mysql-server-5.0/examples/my-medium.cnf.gz". Deja más memoria para caché y mejora rendimiento. Es una configuración de ejemplo hecha por los mantenedores de Debian que funciona muy bien.
        Editar "/etc/mysql/my.cnf" para activar el motor "InnoDB":
            [...]
            # Uncomment the following if you are using InnoDB tables
            innodb_data_home_dir = /var/lib/mysql/
            innodb_data_file_path = ibdata1:10M:autoextend
            innodb_log_group_home_dir = /var/lib/mysql/
            innodb_log_arch_dir = /var/lib/mysql/
            # You can set .._buffer_pool_size up to 50 - 80 %
            # of RAM but beware of setting memory usage too high
            innodb_buffer_pool_size = 16M                    <- Estos valores se deben ajustar de acuerdo a las características de la máquina
            innodb_additional_mem_pool_size = 2M
            # Set .._log_file_size to 25 % of buffer pool size        <- Estos valores se deben ajustar de acuerdo a las características de la máquina
            innodb_log_file_size = 5M
            innodb_log_buffer_size = 8M
            innodb_flush_log_at_trx_commit = 1
            innodb_lock_wait_timeout = 50
            [...]
        Editar "/etc/mysql/my.cnf" para activar el 'log' de consultas. Esto se vuelve a dejar igual al terminar, pero en configuración es muy util para saber qué se está consultando en la base de datos:
            [...]
            # * Logging and Replication
            #
            # Both location gets rotated by the cronjob.
            # Be aware that this log type is a performance killer.
            log            = /var/log/mysql/mysql.log                <- Archivo de log
            #
            # Error logging goes to syslog. This is a Debian improvement :)
            #
            # Here you can see queries with especially long duration        <- Archivo de log
            log_slow_queries       = /var/log/mysql/mysql-slow.log
            long_query_time = 2
            log-queries-not-using-indexes
            [...]

APACHE2 + PHP5
    apt-get install apache2 php5 php5-mysql php5-imap

    Por alguna razón, no carga correctamente el módulo php en la instalación. Se soluciona reiniciando 'apache'.
        /etc/init.d/apache2 restart

    Es muy buena idea habilitar las conexiones SSL. Ver anexo a final.
    Comprobar que los scripts "php" se ejecutan correctamente.

POSTFIXADMIN (2.3)
    Descargar la versión 2.3 de la web pfadmin: http://postfixadmin.sourceforge.net/
        wget http://downloads.sourceforge.net/[...]/postfixadmin_2.3.tar.gz[...]
    Descomprimir
        tar xvfz postfixadmin_2.3.tar.gz
    Mover a un lugar visible por el servidor web
        mv postfixadmin-2.3 /var/www/postfixadmin
    Cambiar propietario:grupo de los archivos a 'www-data'
        chown -R www-data:www-data /var/www/postfixadmin/
    Seguir las instrucciones de '/var/www/postfixadmin/INSTALL.TXT
        Conectarse al gestor MySQL
            mysql -u root -p
        Crear una base de datos MySQL de nombre 'postfix' para el usuario 'postfix'
            create database postfix;
            create user 'postfix'@'localhost' IDENTIFIED BY 'postfix';
            grant all privileges on `postfix`.* to 'postfix'@'localhost';
            flush privileges;
        Editar archivo de configuración '/var/www/postfixadmin/config.inc.php'
            [...]
            $CONF['configured'] = true;
            [...]
            # Este es el password de setup. Está 'hasheado'. Se puede obtener cargando el "setup.php" de pfadmin, generándolo y pegando aquí el resultado
            $CONF['setup_password'] = 'a4dbfc3f2c8a1cfa40ff7ec75098aa5f:c9f36703be092127f59806137efc3e3039b4ddd5';
            [...]
            $CONF['postfix_admin_url'] = 'http://192.168.1.12/postfixadmin';
            [...]
            $CONF['default_language'] = 'es';
            [...]
            $CONF['database_type'] = 'mysql';
            $CONF['database_host'] = 'localhost';
            $CONF['database_user'] = 'postfix';
            $CONF['database_password'] = 'postfix';
            $CONF['database_name'] = 'postfix';
            $CONF['database_prefix'] = '';
            [...]
            $CONF['encrypt'] = 'md5crypt';
            [...]
            $CONF['domain_path'] = 'YES';
            [...]
            $CONF['domain_in_mailbox'] = 'NO';
            [...]
            $CONF['emailcheck_resolve_domain']='NO';
            [...]
        Editar el archivo de configuración '/var/www/postfixadmin/config.inc.php' para asignar correctamente todas las direcciones de correo de administración:
            [...]
            $CONF['admin_email'] = 'josem@trustnone.es';
            [...]
            'abuse' => 'josem@trustnone.es',
            'hostmaster' => 'josem@trustnone.es',
            'postmaster' => 'josem@trustnone.es',
            'webmaster' => 'josem@trustnone.es'
            [...]
        Visitar: http://192.168.1.12/postfixadmin/setup.php
            Generar el hash del setup password para ponerlo en en archivo config.inc.php
            Comprobar que todo está OK
        Visitar (de nuevo): http://192.168.1.12/postfixadmin/setup.php
            Generar un administrador del sistema de correo. Es buena idea que sea un email que luego exista realmente
            Borrar 'setup.php'
        Visitar: http://192.168.1.12/postfixadmin
            Acceder con el administrador creado antes y generar el primero dominio y usuario/s, coincidiendo con los del administrador de setup del paso anterior.
            Comprobar que los registros se han añadido a las tablas de MySQL.

POSTFIX
    Desinstalar el MTA que por defecto instala Debian; Exim4
        apt-get remove --purge exim4 exim4-config exim4-daemon-light

    El paquete postfix que incluye lenny no está preparado para soportar 'quotas' de usuario. Hay que parchearlo y compilarlo para que lo soporte
    Parcheo/Compilación
        Instalar el paquete original de postfix de lenny (solo se usará para hacer la configuración inicial, además de para saber que versión es y conseguir el parche específico
            apt-get install postfix postfix-mysql
                >Internet Site
                >System mail name: mail.trustnone.es
        Parar el demonio
            /etc/init.d/postfix stop
        Comprobar la versión que dispone lenny (2.5.5).
            postconf -d | grep -i mail_version
        Paquetes de desarrollo necesarios para la compilación y otras dependencias específicas para compilar postfix
            apt-get install dpkg-dev
            apt-get install debhelper po-debconf lsb-release libdb-dev libldap2-dev libpcre3-dev libmysqlclient15-dev libssl-dev libsasl2-dev libpq-dev libcdb-dev hardening-wrapper
        Descarga de los fuentes
            cd /usr/src
            apt-get source postfix
        Descargar el parche correspondiente a la versión de postfix (2.5.5) de 'http://vda.sourceforge.net
            wget http://vda.sourceforge.net/VDA/postfix-2.5.5-vda-ng.patch.gz
        Descomprimir y parchear (desde /usr/src/)
            gunzip postfix-2.5.5-vda-ng.patch.gz
            cd postfix-2.5.5
            patch -p1 < ../postfix-2.5.5-vda-ng.patch
        Compilar
            dpkg-buildpackage
        Los paquetes .deb resultantes están en '/usr/src'.
        Instalar 'postfix' y 'postfix-mysql'
            cd /usr/src
            dpkg -i postfix_2.5.5-1.1_i386.deb postfix-mysql_2.5.5-1.1_i386.deb
    Comprobar que 'uid' y 'gid' tienen en el sistema el usuario y grupo postfix. Esto se utilizará para que postfix le otorgue estos permisos a los mailboxes.
            id postfix        ->    uid=104(postfix) gid=107(postfix)
    Comprobar que la configuración actual de postfix es similar a la siguiente.
        /etc/postfix/main.cf (ARCHIVO COMPLETO)
            #CONFIGURACION GLOBAL GENERICA
            smtpd_banner = $myhostname ESMTP $mail_name -POSTFIX-
            biff = no
            append_dot_mydomain = no
            readme_directory = no
            myhostname = mail.trustnone.es
            mydomain = trustnone.es
            alias_maps = hash:/etc/aliases
            alias_database = hash:/etc/aliases
            myorigin = /etc/mailname
            mydestination = mail.trustnone.es, localhost.trustnone.es, , localhost
            relayhost =
            mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
            mailbox_size_limit = 0
            recipient_delimiter = +
            inet_interfaces = all
    Configuración virtual-mysql para postfix
        /etc/postfix/main.cf
            [...]
            #MYSQL VIRTUAL DOMAINS
            virtual_alias_maps = mysql:/etc/postfix/mysql/virtual_alias_maps.cf
            virtual_gid_maps = static:107
            virtual_mailbox_base = /home/vmail
            virtual_mailbox_domains = mysql:/etc/postfix/mysql/virtual_domains_maps.cf
            virtual_mailbox_maps = mysql:/etc/postfix/mysql/virtual_mailbox_maps.cf
            virtual_minimum_uid = 104
            virtual_transport = virtual
            virtual_uid_maps = static:104
            [...]
        mkdir /etc/postfix/mysql
        /etc/postfix/mysql/virtual_alias_maps.cf
            user = postfix
            password = postfix
            hosts = 127.0.0.1
            dbname = postfix
            table = alias
            select_field = goto
            where_field = address
        /etc/postfix/mysql/virtual_domains_maps.cf
            user = postfix
            password = postfix
            hosts = 127.0.0.1
            dbname = postfix
            table = domain
            select_field = domain
            where_field = domain
            additional_conditions = and backupmx = '0' and active = '1'
        /etc/postfix/mysql/virtual_mailbox_maps.cf
            user = postfix
            password = postfix
            hosts = 127.0.0.1
            dbname = postfix
            table = mailbox
            select_field = maildir
            where_field = username
    Crear directorio para los buzones y darle permisos
        mkdir /home/vmail
        chown postfix:postfix /home/vmail
        chmod 700 /home/vmail
    Reiniciar postfix
        /etc/init.d/postfix restart
    Comprobar configuración hasta aquí. Se debería poder conectar vía SMTP (puerto tcp:25) sin autentificación y enviar correos a los mailboxes de los dominios locales. También hacia el exterior, pero posíblemente ningún otro servidor SMTP quiera 'hablar' con este aún. Además, postfix deberá crear automáticamente el mailbox del usuario. ¡¡OJO!!, el sistema ahora es un 'OpenRelay'.

COURIER POP,IMAP
    Instalación de paquetes necesarios
        apt-get install courier-base courier-authlib-mysql courier-pop courier-imap
        Create directories for web-based administration? -> No
    Editar archivos de configuración
        /etc/courier/authdaemonrc
            authmodulelist="authmysql"
            authmodulelistorig="authuserdb authpam authpgsql authldap authmysql authcustom authpipe"
            daemons=5
            authdaemonvar=/var/run/courier/authdaemon
            DEBUG_LOGIN=1
            DEFAULTOPTIONS=""
            LOGGEROPTS=""
        /etc/courier/authmysqlrc
            MYSQL_SERVER            127.0.0.1
            MYSQL_USERNAME          postfix
            MYSQL_PASSWORD          postfix
            MYSQL_PORT              3306
            MYSQL_OPT               0
            MYSQL_DATABASE          postfix
            MYSQL_USER_TABLE        mailbox
            MYSQL_CRYPT_PWFIELD     password
            MYSQL_UID_FIELD         104
            MYSQL_GID_FIELD         107
            MYSQL_LOGIN_FIELD       username
            MYSQL_HOME_FIELD        '/home/vmail'
            MYSQL_NAME_FIELD        name
            MYSQL_MAILDIR_FIELD     maildir
        /etc/courier/pop3d
            PIDFILE=/var/run/courier/pop3d.pid
            MAXDAEMONS=40
            MAXPERIP=4
            POP3AUTH=""
            POP3AUTH_ORIG="PLAIN LOGIN CRAM-MD5 CRAM-SHA1 CRAM-SHA256"
            POP3AUTH_TLS=""
            POP3AUTH_TLS_ORIG="LOGIN PLAIN"
            POP3_PROXY=0
            PORT=110
            ADDRESS=0
            TCPDOPTS="-nodnslookup -noidentlookup"
            LOGGEROPTS="-name=pop3d"
            POP3DSTART=YES
            MAILDIRPATH=Maildir
        /etc/courier/imapd
            ADDRESS=0
            PORT=143
            MAXDAEMONS=40
            MAXPERIP=20
            PIDFILE=/var/run/courier/imapd.pid
            TCPDOPTS="-nodnslookup -noidentlookup"
            LOGGEROPTS="-name=imapd"
            IMAP_CAPABILITY="IMAP4rev1 UIDPLUS CHILDREN NAMESPACE THREAD=ORDEREDSUBJECT THREAD=REFERENCES SORT QUOTA IDLE"
            IMAP_KEYWORDS=1
            IMAP_ACL=1
            IMAP_CAPABILITY_ORIG="IMAP4rev1 UIDPLUS CHILDREN NAMESPACE THREAD=ORDEREDSUBJECT THREAD=REFERENCES SORT QUOTA AUTH=CRAM-MD5 AUTH=CRAM-SHA1 AUTH=CRAM-SHA256 IDLE"
            IMAP_PROXY=0
            IMAP_PROXY_FOREIGN=0
            IMAP_IDLE_TIMEOUT=60
            IMAP_MAILBOX_SANITY_CHECK=1
            IMAP_CAPABILITY_TLS="$IMAP_CAPABILITY AUTH=PLAIN"
            IMAP_CAPABILITY_TLS_ORIG="$IMAP_CAPABILITY_ORIG AUTH=PLAIN"
            IMAP_DISABLETHREADSORT=0
            IMAP_CHECK_ALL_FOLDERS=0
            IMAP_OBSOLETE_CLIENT=0
            IMAP_UMASK=022
            IMAP_ULIMITD=65536
            IMAP_USELOCKS=1
            IMAP_SHAREDINDEXFILE=/etc/courier/shared/index
            IMAP_ENHANCEDIDLE=0
            IMAP_TRASHFOLDERNAME=Trash
            IMAP_EMPTYTRASH=Trash:7
            IMAP_MOVE_EXPUNGE_TO_TRASH=0
            SENDMAIL=/usr/sbin/sendmail
            HEADERFROM=X-IMAP-Sender
            IMAPDSTART=YES
            MAILDIRPATH=Maildir
    Reiniciar los servicios del 'courier'
        /etc/init.d/courier-authdaemon restart
        /etc/init.d/courier-imap restart
        /etc/init.d/courier-pop restart
    Asegurarse que los servicios arrancan al inicio
        update-rc.d courier-authdaemon defaults
        update-rc.d courier-pop defaults
        update-rc.d courier-imap defaults
    Comprobar que se puede conectar tanto vía IMAP (tcp:143) como POP3 (tcp:110) y obtener el correo del mailbox.

COURIER POPS, IMAPS (Servicios seguros de conexión a los servicios POP e IMAP)
    La transmisión de datos se realiza cifrada mediante SSL. Para esto son necesarios certificados, pero 'apt' los creará automáticamente (uno para SPOP y otro para IMAPS). Después pueden ser sustituidos por otros firmados/autofirmados.
    Instalación de paquetes para POPS
        apt-get install courier-ssl courier-pop-ssl
    Instalación de paquetes para IMAPS
        apt-get install courier-imap-ssl
    Asegurarse que los servicios seguros arrancan al inicio del sistema
        update-rc.d courier-pop-ssl defaults
        update-rc.d courier-imap-ssl defaults
    El servicio IMAPS escucha por el puerto tcp:993
    El servico POPS escucha por el puerto tcp:995

SASL-AUTH Autentificación SMTP
    Instalación de paquetes
        apt-get install libsasl2-2 sasl2-bin libsasl2-modules libsasl2-modules-sql
    Configuración de 'saslauth' para que postfix pueda ver el servicio. Postfix corre en una jaula 'chroot' que cuelga de '/var/spool/postfix'.
        /etc/init.d/saslauthd stop
        rm -fr /var/run/saslauthd
        mkdir -p /var/spool/postfix/var/run/saslauthd
        chgrp sasl /var/spool/postfix/var/run/saslauthd
        ln -s /var/spool/postfix/var/run/saslauthd /var/run
        adduser postfix sasl
    Editar los archivos de configuración
        /etc/default/saslauthd
            START=yes
            NAME="saslauthd"
            MECHANISMS="pam"
            MECH_OPTIONS=""
            THREADS=5
            OPTIONS="-c -m /var/spool/postfix/var/run/saslauthd -r"
        /etc/postfix/sasl/smtpd.conf    (Este archivo ha de ser creado Y PERMISOS)
            pwcheck_method: saslauthd
            mech_list: login plain cram-md5 digest-md5
            auxprop_plugin: sql
            sql_engine:mysql
            sql_hostnames: 127.0.0.1
            sql_user: postfix
            sql_database: postfix
            sql_passwd: postfix
            sql_select: select password from mailbox where username = '%u@%r'
            log_level: 10
        /etc/postfix/main.cf
            [...]
            #SASL auth
            smtpd_sasl_auth_enable = yes
            smtpd_sasl_local_domain =
            smtpd_recipient_restrictions = permit_sasl_authenticated,permit_mynetworks,reject_unauth_destination
            smtpd_sasl_security_options = noanonymous
            broken_sasl_auth_clients = yes
            [...]
    Instalar la extensión 'mysql' de 'pam'. La autentificación pasa por 'pam'
        apt-get install libpam-mysql
    Editar '/etc/pam.d/smtp'
        auth required pam_mysql.so user=postfix passwd=postfix host=127.0.0.1 db=postfix table=mailbox usercolumn=username passwdcolumn=password crypt=1 md5=1
        account sufficient pam_mysql.so user=postfix passwd=postfix host=127.0.0.1 db=postfix table=mailbox usercolumn=username passwdcolumn=password cryp=1 md5=1
    Reiniciar servicios
        /etc/init.d/saslauthd restart
        /etc/init.d/postfix restart
    Comprobar que 'saslauth' arranca al inicio del sistema
        update-rc.d saslauthd defaults
    El nombre de usuario para la autentificación es la dirección completa de correo electrónico

POSTFIX TLS - SMTPD. Permite que las conexiones de clientes 'smtp' con el servidor estén cifradas. Permitirá conectarse con o sin TLS, a elección del cliente.
    Utiliza un certificado. Se puede generar uno firmado/autofirmado o utilizar alguno de los que ya están en el sistema, con el 'snakeoil'
    Editar /etc/postfix/main.cf
        [...]
        #TLS
        smtpd_tls_cert_file=/etc/ssl/certs/ssl-cert-snakeoil.pem
        smtpd_tls_key_file=/etc/ssl/private/ssl-cert-snakeoil.key
        smtpd_use_tls=yes
        smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache
        smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
        [...]
    Reiniciar 'postfix'
        /etc/init.d/postfix restart

QUOTAs. Previamente se ha parcheado/recompilado 'postfix' para que soporte quotas
    Instalar 'maildrop'. Se encarga de actualizar el archivo 'maildirsize' desde la BD
        apt-get install maildrop
    Configurar 'postfixadmin' para que gestione las quotas en la base de datos
        /var/www/postfixadmin/config.inc.php
            [...]
            $CONF['quota_multiplier'] = '1024000';            <- Medida por defecto (1MB)
            $CONF['maxquota'] = '10';                <- Maximo 10 MB
            $CONF['quota'] = 'YES';
            [...]
    Configurar quotas a los usuarios en 'postfixadmin' (0 = ilimitado). Confirmar que los datos se actualizan en la tabla ('mailbox')
    Configurar postfix para que lea las quotas de la DB
        /etc/postfix/mysql/virtual_mailbox_quota.cf
            user = postfix
            password = postfix
            dbname = postfix
            hosts = 127.0.0.1
            query = SELECT quota FROM mailbox WHERE username='%s'
        /etc/postfix/main.cf
            #QUOTA
            virtual_mailbox_limit_maps = mysql:/etc/postfix/mysql/virtual_mailbox_quota.cf
            virtual_mailbox_limit_override = yes
            virtual_maildir_limit_message = "The user you are trying to reach is over quota."
            virtual_overquota_bounce = yes
            virtual_create_maildirsize = yes
            virtual_mailbox_extended = yes
            virtual_maildir_extended = yes
        Ahora 'postfix' lee las quotas en la base de datos y las actualiza en el archivo 'maildirsize' del buzón.

TUNNING POSTFIX: Algunas opciones de configuración a tener en cuenta
    /etc/postfix/main.cf
        [...]
        #TUNNING
        #Tamaño máximo de mensaje con 'envoltorios' (10MB)
        message_size_limit = 10240000
        #Timeout
        #Número máximo de procesos postfix
        default_process_limit = 20
        #Tiempos de reintento (reprocesado de cola)
        queue_run_delay = 300s
        #Validez de mensajes en cola (Tiempo máximo que se intenta entregar un msg)
        maximal_queue_lifetime = 2d
        bounce_queue_lifetime = 2d
        #Ratios de envío
        #Número máximo de conexiones simultaneas de un cliente smtp
        smtpd_client_connection_count_limit = 50
        #Número máximo de conexiones de un cliente por unidad de tiempo (60s)
        smtpd_client_connection_rate_limit = 150
        #Número máximo de mensajes de un cliente por unidad de tiempo (60s)
        smtpd_client_message_rate_limit = 100
        #Número máximo de destinatarios que puede contener un mensaje
        smtpd_recipient_limit = 1000
        [...]

VACATION - AUTORESPONDER
    No es muy recomendable, porque reponderá a los correos de SPAM, confirmando que somos una dirección válida, aunque para correo del trabajo empresas es muy util.
    La característica viene incluida en 'postfixadmin'. Se puede seguir la guia INSTALL
    Instalación de software necesario:
        apt-get install libdbi-perl libdbd-mysql-perl libmail-sendmail-perl libemail-valid-perl libmime-perl libmime-charset-perl libmime-encwords-perl libmail-sender-perl liblog-log4perl-perl
    Creación del usuario/grupo vacation
        addgroup --gid 65501 vacation
        useradd -c "Virtual Vacation" -d /var/spool/vacation -u 65501 -g 65501 -s /sbin/false vacation
    Localización/configuración del script "vacation.pl". Este script es el que hace "la magia"
        mkdir /var/spool//vacation
        cp /var/www/postfixadmin/VIRTUAL_VACATION/vacation.pl /var/spool/vacation/
        chown -R vacation:vacation /var/spool/vacation/
        chmod 755 /var/spool/vacation
        chmod 711 /var/spool/vacation/vacation.pl
        chmod -x /var/spool/vacation/vacation.pl
        /var/spool/vacation/vacation.pl
            [...]
            # db_type - uncomment one of these
            #our $db_type = 'Pg';
            our $db_type = 'mysql';
            [...]
            # connection details
            our $db_username = 'postfix';
            our $db_password = 'postfix';
            our $db_name     = 'postfix';
            [...]
            our $vacation_domain = 'autoreply.trustnone.es';    "RECORDAR ESTO"
            [...]
    /etc/postfix/transport        (El archivo debe ser creado)
        autoreply.trustnone.es vacation:
    postmap /etc/postfix/transport
    /etc/postfix/master.cf:
        vacation    unix -       n       n       -       -       pipe
        flags=Rq user=vacation argv=/var/spool/vacation/vacation.pl -f ${sender} -- ${recipient}
    /etc/postfix/main.cf
        #VACATION
        transport_maps = hash:/etc/postfix/transport
        vacation_destination_recipient_limit = 1
    /var/www/postfixadmin/config.inc.php
        [...]
        $CONF['vacation'] = 'YES';
        [...]
        $CONF['vacation_domain'] = 'autoreply.trustnone.es';
        [...]
        $CONF['vacation_control'] ='YES';
        [...]
        $CONF['vacation_control_admin'] = 'YES';
        [...]

LISTAS NEGRAS DE REMITENTES - BLACK LISTs ( de INTERNET)
    Internet dispone de algunos listados de IPs y remitentes "malignos" que podemos utilizar para bloquearlos en nuestro servidor. Se presupone que el uso de estas listas negras puede evitar hasta un 70% de SPAM.
    Los más interesantes son "spamcop" y "spamhaus". Para que postfix compruebe en ellos si la IP del remitente es "oscura", se edita la entrada "smtpd_recipient_restrictions" de esta forma:
    /etc/postfix/main.cf
        [...]
        smtpd_recipient_restrictions = permit_sasl_authenticated,
                                permit_mynetworks,
                                reject_unauth_destination,
                                reject_rbl_client zen.spamhaus.org,            <- Linea de blacklist
                                reject_rbl_client bl.spamcop.net            <- Linea de blacklist
        [...]
    Las lineas de listas negras deben ir al final o lo más al final posible. Siempre después de "permit_sasl_authenticated"

LISTAS NEGRAS DE REMITENTES - BLACK LISTs (LOCALES)
    Si deseamos bloquear ciertos remitentes que no aparecen en las listas negras de SPAM.
    Crear un archivo de texto con los remitentes/IPs que se desea bloquear
        /etc/postfix/black_list_senders
            [...]
            spammer@domain.tld    REJECT                <- Entre ambos campos debe ir un tabulador
            [...]
            80.50.22.0        REJECT
            [...]
    Mapear el archivo:
        postmap /etc/postfix/black_list_senders
    Añadir la restricción a la entrada "smtpd_recipient_restrictions" de esta forma:
        /etc/postfix/main.cf
            [...]
            smtpd_recipient_restrictions = permit_sasl_authenticated,
                    [...]
                    check_sender_access    hash:/etc/postfix/black_list_senders        <- La entrada debe ir lo más al final posible
                    [...]
    Cada vez que un nuevo "remitente" se añade al archivo "black_list_senders" se debe ejecutar el mapeo del archivo para que postfix lo tenga en cuenta:
        postmap /etc/postfix/black_list_senders

COMPROBACIÓN DEL REGISTRO 'SPF' DEL SERVIDOR REMOTO
    Postfix no implementa nativamente la comprobación SPF, pero se pueden utilizar plugins hechos por terceros.
    Descargar de "http://openspf.org" el "appliance": postfix-policyd.spf-perl. Existen otros escritos para otros MTA y en otros lenguajes.
        wget http://www.openspf.org/blobs/postfix-policyd-spf-perl-2.007.tar.gz
    Descomprimir/desempaquetar
        tar xvfz postfix-policyd-spf-perl-2.007.tar.gz
    Copiar "./postfix-policyd-spf-perl-2.007/postfix-policyd-spf-perl" en "/usr/lib/postfix"
        cp postfix-policyd-spf-perl-2.007/postfix-policyd-spf-perl /usr/lib/postfix
    Añadir el nuevo servicio a "/etc/postfix/master.cf"
        /etc/postfix/master.cf
            [...]
            policy unix -       n       n       -       0       spawn
                        user=nobody argv=/usr/local/lib/policyd-spf-perl
            [...]
    Añadir la política a la entrada "smtpd_recipient_restrictions" de esta forma:
        /etc/postfix/main.cf
            [...]
            smtpd_recipient_restrictions = permit_sasl_authenticated,
            [...]
                reject_unauth_destination,
                check_policy_service unix:private/policy <- Debe ir después de "reject_unauth_destination"
            [...]
    Añadir un límite al tiempo de espera para la política
        /etc/postfix/main.cf
            [...]
            policy_time_limit = 3600,
            [...]

COMPROBACIÓN DE LA RESOLUCIÓN INVERSA DEL SERVIDOR REMOTO
    En la actualidad la mayoría de servidores de correo en Internet hacen esta comprobación, que permite retener un gran número de correos SPAM
    Se activa añadiendo una nueva linea a la entrada "smtpd_recipient_restrictions" de esta forma:
        [...]
        smtpd_recipient_restrictions = permit_sasl_authenticated,
                                permit_mynetworks,
                                reject_unauth_destination,
                reject_unknown_reverse_client_hostname,        <- Linea de comprobación de rDNS
                                reject_rbl_client zen.spamhaus.org,
                                reject_rbl_client bl.spamcop.net
        [...]


AMAVISD-NEW + SPAMASSASSIN + CLAMAV
    ¿Qué queremos que suceda con el spam y los virus?
    Los correos con virus no deberían llegar a ningún mailbox. Deben pasar a la carpeta de cuarentena y el 'postmaster' o el destinatario original recibir una notificación
    Los correos considerados SPAM deben ir a parar a un 'folder' especial llamdo 'SPAM'.
    Instalación de software:
        apt-get install amavisd-new spamassassin clamav clamav-daemon zoo unzip bzip2 libnet-ph-perl libnet-snpp-perl libnet-telnet-perl nomarch lzop rar unrar lha arj ripole cabextract pax tnef
    El servicio AMAVISD-NEW escucha en el puerto 'tcp:10024'. Comprobarlo: "netstat -an | grep 10024" y asegurarse de que se inicia con el arranque del sistema
    Añadir el usuario 'clamav' al grupo 'amavis'
        adduser clamav amavis
    Enlazar 'postfix' con 'amavisd'.
        Crear los servicios en 'master.cf' añadiendo las entradas:
        /etc/postfix/master.cf
            [...]
            # AV scan filter (used by content_filter)
            scan      unix -       -       n       -       16      smtp
                    -o smtp_send_xforward_command=yes
            # For injecting mail back into postfix from the filter
            127.0.0.1:10025 inet n -       n       -       16      smtpd
                    -o content_filter=
                    -o receive_override_options=no_unknown_recipient_checks,no_header_body_checks
                    -o smtpd_helo_restrictions=
                    -o smtpd_client_restrictions=
                    -o smtpd_sender_restrictions=
                    -o smtpd_recipient_restrictions=permit_mynetworks,reject
                    -o mynetworks_style=host
                    -o smtpd_authorized_xforward_hosts=127.0.0.0/8
            [...]
        Especificar en 'main.cf' que los correos se envíen primero a 'amavis'
        /etc/postfix/main.cf
            [...]
            content_filter = scan:127.0.0.1:10024
            receive_override_options = no_address_mappings
            [...]
        Reiniciar 'postfix'
            /etc/init.d/postfix restart
    Ahora los correos ya pasan por "amavis", pero por defecto no hace ningún test sobre el mensaje
    Activar filtro antivirus
        /etc/amavis/conf.d/15-content_filter_mode       <- Eliminar los comentarios de las siguientes lineas.
            [...]
            @bypass_virus_checks_maps = (
               \%bypass_virus_checks, \@bypass_virus_checks_acl, \$bypass_virus_checks_re);
            [...]
    Activar filtro de SPAM
        /etc/amavis/conf.d/15-content_filter_mode       <- Eliminar los comentarios de las siguientes lineas.
            [...]
            @bypass_spam_checks_maps = (
               \%bypass_spam_checks, \@bypass_spam_checks_acl, \$bypass_spam_checks_re);
            [...]
        Para que SpamAssassin reescriba el "subject" de los correos, debe reconocer los dominios locales como tales. Para ello hay que definir la variable '@local_domains_maps' para que contenga todos los dominios locales que el servidor maneja. Como son varios y pueden variar, definimos la variable como '@local_domains_maps = (1)' en el archivo:
            /etc/amavis/conf.d/20-debian_defaults
                [...]
                @local_domains_maps = (1)
                [...]
        Si queremos que los correos detectados como SPAM sean marcados en el subject, definir las variables:
            /etc/amavis/conf.d/20-debian_defaults
                [...]
                $sa_spam_subject_tag = '*SPAM*> ';
                [...]
                $sa_tag_level_deflt = 2.0; # add spam info headers if at, or above that level
                $sa_tag2_level_deflt = 6.31; # add 'spam detected' headers at that level
                [...]
        Indicar a "Amavis" que el correo llegue al destino (aunque marcado), ya que por defecto lo devuelve
            /etc/amavis/conf.d/20-debian_defaults
                [...]
                #$final_spam_destiny       = D_BOUNCE;                <- Esto es lo que había originalmente.
                $final_spam_destiny       = D_PASS;                <- Este el el comportamiento que queremos
                [...]

    Poner los correos con virus en un directorio de cuarentena y notificar al administrador del sistema que se ha recibido un virus
        /etc/amavis/conf.d/20-debian_defaults
            [...]
            $mailfrom_notify_admin = 'AMAVIS\@trustnone.es';            <- Remitentes de los correos de notificación que envia AMAVIS
            $mailfrom_notify_recip = 'AMAVIS\@trustnone.es';            <- Remitentes de los correos de notificación que envia AMAVIS
            $mailfrom_notify_spamadmin = 'AMAVIS\@trustnone.es';            <- Remitentes de los correos de notificación que envia AMAVIS
            [...]
            $QUARANTINEDIR = "$MYHOME/virusmails";                <- Directorio de cuarentena: "/var/lib/amavis/virusmails". Debería ser algo separado que se pueda controlar.
            [...]
            $virus_admin = 'josem\@trustnone.es                <- A quien se envían las notificaciones de que se ha recibido VIRUS
            [...]
            $final_virus_destiny      = D_DISCARD; # (data not lost, see virus quarantine)        <- El correo no llegará al destinatario
            [...]
            $X_HEADER_LINE = "Scanned with ClamAV-AmavisNew at $mydomain";        <- Linea que aparecerá en el encabezamiento del correo
            [...]
        ¡OJO!. Los correos en cuarentena no se eliminan automaticamente. Se debe escribir un script que se ejecute automáticamente y controle que el directorio de cuarentena no bloquee el FS.

    Reiniciar todos los servicios
        /etc/init.d/clamav-daemon restart
        /etc/init.d/amavis restart
    Mensaje de prueba SPAM
        Se puede enviar un correo que contenga la cadena:
            XJS*C4JDBQADN1.NSBN3*2IDNEN*GTUBE-STANDARD-ANTI-UBE-TEST-EMAIL*C.34X
        Una regla específica de SPAMASSASSIN debería reconocerla para marcar el correo como SPAM a modo de prueba
    Mensaje de prueba VIRUS
        Se puede descargar un archivo de prueba desde: http://www.eicar.org/anti_virus_test_file.htm
        El archivo se puede adjuntar a un correo para comprobar que el sistema lo detecta como VIRUS y lo pone en cuarentena, además de avisar al administrador.
    Actualizació nde la base de datos de SpamAssassin
        Para actualizar desde Internet
            sa-update
            /etc/init.d/amavis restart
        No se ejecuta automáticamente, de forma que se debe añadir una linea al 'crontab'

    Actualización de la base de datos de Virus para ClamAV
        Clamav utiliza el servicio "freshclam" que se encarga de actualizar la base de datos de virus desde Internet (cada hora). Comprobar que está ejecutándose y que arranca al inicio.
        El archivo de configuración de "freshclam" donde se configura esto es: "/etc/clamav/freshclam.conf"
        El servicio deja un log en "/var/log/clamav/freshclam.log"
        El proceso es automático

SQUIRRELMAIL
    Descargar el paquete de squirrelmail (Last Release is 1.4.19)
        wget http://squirrelmail.org/countdl.php?fileurl=http%3A%2F%2Fprdownloads.sourceforge.net%2Fsquirrelmail%2Fsquirrelmail-1.4.19.tar.gz
        tar xvfz squirrelmail-1.4.19.tar.gz
        mv squirrelmail-1.4.19 /var/www/squirrelmail
        chown -R www-data:www-data /var/www/squirrelmail
    Ejecutar el script de configuración
        cd /var/www/squirrelmail
        ./configure
            [...]
    Comprobar la configuración: https://IPMAILSERVER/squirrelmail/src/configtest.php
    Acceder al webmail: http://IPMAILSERVER/squirrelmail

    Plugins y herramientas insteresantes; descargables desde la web de 'squirrelmail' y fáciles de instalar
        compatibility: Necesario para instalar otros módulos
        check_quota: Muestra la cuota de buzón asignada/ocupada
        html_mail: Permite escribir mensajes en HTML con 'fckeditor'
        calendar: Incluido en SQM
        jsclock: Hora mediante un JavaScript
        timeout_user: Desconecta la sesión después de un tiempo (configurable) de inactividad.

        Idiomas internacionales (es_ES). Ojo; para que funcione la traducción hay que cambiar todo a utf-8. Ver este enlace:
            http://www.ubuntu-es.org/?q=node/33800

ROUNDCUBEMAIL
    Descargar paquete de RoundCubeMail (Last Release is 0.3.1)
        wget http://downloads.sourceforge.net/project/roundcubemail/roundcubemail/0.3.1/roundcubemail-0.3.1.tar.gz?use_mirror=surfnet
        tar xvfz roundcubemail-0.3.1.tar.gz
        mv roundcubemail-0.3.1 /var/www/roundcubemail
    Crear una base de datos en MySQL para la aplicación
        mysql -u root -p
        create database roundcubemail;
        create user 'roundcubemail'@'localhost' IDENTIFIED BY 'roundcubemail';
        grant all privileges on `roundcubemail`.* to 'roundcubemail'@'localhost';
        flush privileges;
    Ejecutar el instalador
        https://IPMAILSERVER/roundcubemail/installer/


APENDICE I: Configurar SSL en Debian Lenny
    Activar módulo 'ssl' de apache2
        a2enmod ssl
        /etc/init.d/apache2 restart
    Activar 'default-ssl' site
        a2ensite default-ssl
        /etc/init.d/apache2 reload
    En este momento el servidor escucha tanto por el puerto http:80 como por el https:443
    Para hacer que las peticiones 'http:80' se redirijan a 'https:443'
        a2enmod rewrite
        /etc/apache2/sites-available/default

                       ServerAdmin webmaster@localhost
                    DocumentRoot /var/www/

                            Options FollowSymLinks
                            AllowOverride None
                            RewriteEngine On
                            RewriteCond %{SERVER_PORT} !^443$
                            RewriteRule ^(.*) https://192.168.1.11


                    Options Indexes FollowSymLinks MultiViews
                    AllowOverride None
                    Order allow,deny
                    allow from all

            [...]

APENDICE II: Archivos de Log más importantes:
    /var/log/mail.info        -> Log general de todo el sistema de correo. Por defecto, todos los mensajes llegarán aquí
    /var/log/mail.err        -> Errores en postfix
    /var/log/mail.warn        -> Avisos
    /var/log/clamav/clamav.log    -> Log del antivirus
    /var/log/clamav/freshclam.log    -> Log del actualizador del antivirus

APENDICE III: "Maildrop y filtros maildroprc"
    Se desea que los correos marcados como Spam por Amavis lleguen a una carpeta IMAP especial llamada SPAM, que además deberá crearse automáticamente en caso de que no exista.
    Instalar "Maildrop" en caso de que no estuviera instalado.
        apt-get install maildrop
    Crear un usuario y un grupo "vmail" que será el que ahora posea los "maildirs". Especificar 'uid' y 'gid' cualquiera libre y recordarlo.
        groupadd vmail -g 6060
        useradd vmail -u 6060 -g 6060
        Comprobar que el usuario 'vmail' pertenece al grupo 'vmail'
            id vmail
    Editar el servicio 'maildrop' en 'master.cf'
        /etc/postfix/master.cf    (ORIGINAL)
            [...]
            #maildrop unix -       n       n       -       -       pipe
            # flags=DRhu user=vmail argv=/usr/bin/maildrop -d ${recipient}
            [...]
        /etc/postfix/master.cf (MODIFICADO)
            [...]
            maildrop unix -       n       n       -       -       pipe
            flags=ODRhu user=vmail argv=/usr/bin/maildrop -w 90 -d ${user}@${nexthop} ${extension} ${recipient} ${user} ${nexthop}
            [...]
    El directorio socket de "saslauth" debe ser 777
        chmod 777 /var/run/courier/authdaemon/
    Reconfigurar postfix para que la entrega final de los correos la realice 'maildrop' en lugar de 'virtual'. Se modifican varias cosas del archivo 'main.cf' original
            /etc/postfix/main.cf    (ORIGINAL)
                [...]
                #MYSQL
                virtual_transport = virtual
                virtual_alias_maps = mysql:/etc/postfix/mysql/virtual_alias_maps.cf
                virtual_mailbox_domains = mysql:/etc/postfix/mysql/virtual_domains_maps.cf
                virtual_mailbox_maps = mysql:/etc/postfix/mysql/virtual_mailbox_maps.cf
                virtual_uid_maps = static:104
                virtual_gid_maps = static:107
                virtual_minimum_uid = 104
                virtual_mailbox_base = /home/vmail
                [...]
            /etc/postfix/main.cf    (MODIFICADO)
                [...]
                #MYSQL VIRTUAL DOMAINS
                virtual_alias_maps = mysql:/etc/postfix/mysql/virtual_alias_maps.cf
                virtual_gid_maps = static:6060
                virtual_mailbox_base = /home/vmail
                virtual_mailbox_domains = mysql:/etc/postfix/mysql/virtual_domains_maps.cf
                virtual_mailbox_maps = mysql:/etc/postfix/mysql/virtual_mailbox_maps.cf
                virtual_minimum_uid = 6060
                virtual_transport = maildrop
                virtual_uid_maps = static:6060
                maildrop_destination_recipient_limit = 1
                maildrop_destination_concurrency_limit = 1
                [...]
    Reconfigurar permisos de los buzones:
        chown -R vmail:vmail /home/vmail
        chmod -R 700 /home/vmail
    Reconfigurar 'saslauthdaemon'
        /etc/courier/authmysqlrc
            [...]
            MYSQL_UID_FIELD         6060            <- Originalmente estaban en 104
            MYSQL_GID_FIELD         6060            <- Originalmente estaban en 107
            [...]
    Reiniciar todos los servicios. La experiencia dice que aquí sería buena idea un reinicio completo de la máquina
    Comprobar que se puede acceder vía imap/smtp a los buzones y que los filtros de spam y correo funcionan (deberían funcionar)
    Editar el archivo de configuración de maildrop: Es el que decide su modo de funcionamiento y donde se especifican las reglas de filtrado
        /etc/maildroprc
            HOME_DIR="/home/vmail"
            logfile "/var/log/maildroprc.log"
            EXTENSION="$1"
            RECIPIENT=tolower("$2")
            USER="$3"
            HOST="$4"
            SENDER="$5"
            #Si es Spam, ponerlo en el folder de "SPAM"
            if (/^X-Spam-Flag: YES*/)
            {
                    log "Filtro Maildrop Activado /home/vmail/$DEFAULT/.SPAM"
                    to "/home/vmail/$DEFAULT/.SPAM"
            }

    Quotas (¡OJO!, con esto no es necesario el parcheo del paquete postfix):
        Si "maildrop" está compilado para soportar cuotas, hará uso de ellas si hay un archivo "maildirsize"
        Para comprobar si maildrop tiene soporte de quotas:
            > maildrop -v
                [...]
                Maildir quota extension enabled.
                [...]
        NOTA: Los archivos de quota especifican esta con entradas tipo 1000000S , que significa 1000000 bytes o 1000C , que significa 1000 mensajes.
        Se puede probar a añadir una cuota a un maildir ya creado con la orden de ejemplo (maildirmake -q 100000S /home/vmail/DOMAIN/MAILDIR). Los archivos 'maildirsize' deben pertenecer a 'vmail:vmail' y tener permisos 700. Crear uno y probar que funciona.
    Crear el archivo de 'log' para que 'maildrop' pueda escribir
        touch /var/log/maildroprc.log
        chown vmail:vmail /var/log/maildroprc.log

    Creacion de mailboxes desde postfixadmin
        Instalar 'sudo'
            apt-get install sudo
        ./config.inc.php
            [...]
            $CONF['mailbox_postcreation_script']='sudo -u vmail sh /usr/local/bin/postfixadmin-mailbox-postcreation.sh';
            [...]
            $CONF['mailbox_postedit_script']='sudo -u vmail /usr/local/bin/postfixadmin-mailbox-postedit.sh';
            [...]
        /etc/sudoers
            [...]
            www-data ALL=(vmail) NOPASSWD: ALL            ¿?¿?¿??¿?¿?¿?¿¿?¿?¿?
            [...]
        cp /var/www/postfixadmin/ADDITIONS/postfixadmin-mailbox-postcreation.sh /usr/local/bin
        /usr/local/bin/postfixadmin-mailbox-postcreation.sh
            [...]
            basedir=/home/vmail/
            [...]
            maildirmake -f SPAM "$maildir"
            maildirmake -f Trash "$maildir"
            maildirmake -f Sent "$maildir"
            maildirmake -f Drafts "$maildir"
            maildirmake -q $4S "$maildir"
            echo "INBOX.Trash" >> $maildir/courierimapsubscribed
            echo "INBOX.SPAM" >> $maildir/courierimapsubscribed
            echo "INBOX.Sent" >> $maildir/courierimapsubscribed
            echo "INBOX.Drafts" >> $maildir/courierimapsubscribed
            exit 0
        /usr/local/bin/postfixadmin-mailbox-postedit.sh        <- Script completo
            #!/bin/sh
            basedir=/home/vmail
            maildir="${basedir}/$3"
            maildirmake -q $4S "$maildir"
            exit 0
        chmod +x /usr/local/bin/postfixadmin-mailbox-post*
        NOTA: Es responsabilidad de los programas que acceden por imap modificar el archivo 'maildirsize' cuando crean o borran algo. De esta forma, cuando la bandeja esta llena y cerca del límite, al eliminar algo el archivo de cuota debe modificarse automáticamente para indicar los cambios.
    Automatizar el envio de los buzones eliminados a un lugar de cuarentena antes de eliminarlo
        Editar '/var/www/postfixadmin/config.php.inc
            [...]
            $CONF['mailbox_postdeletion_script']='sudo -u vmail /usr/local/bin/postfixadmin-mailbox-postdeletion.sh';
            [...]
            $CONF['domain_postdeletion_script']='sudo -u vmail /usr/local/bin/postfixadmin-domain-postdeletion.sh';
            [...]
        No es necesario generar los scripts, ya que vienen de muestra con 'postfixadmin'
            cp /var/www/postfixadmin/ADDITIONS/postfixadmin-mailbox-postdeletion.sh    /usr/local/bin
            cp /var/www/postfixadmin/ADDITIONS/postfixadmin-domain-postdeletion.sh    /usr/local/bin
            chmod +x /usr/local/bin/postfixadmin-mailbox-postdeletion.sh
            chmod +x /usr/local/bin/postfixadmin-domain-postdeletion.sh
            Editar   /usr/local/bin/postfixadmin-mailbox-postdeletion.sh
                [...]
                # Change this to where you keep your virtual mail users' maildirs.
                basedir=/home/vmail
                # Change this to where you would like deleted maildirs to reside.
                trashbase=/home/vmail/RETIRADOS
                [...]
            Editar   /usr/local/bin/postfixadmin-domain-postdeletion.sh
                [...]
                # Change this to where you keep your virtual mail users' maildirs.
                basedir=/home/vmail
                # Change this to where you would like deleted maildirs to reside.
                trashbase=/home/vmail/RETIRADOS
                [...]
        mkdir RETIRADOS
        chown vmail:vmail /home/vmail/RETIRADOS/        <- Suponiendo que queremos enviarlos a este path
        chmod 700 /home/vmail/RETIRADOS/

APENDICE IV: Estadísticas de correo
    -MAILGRAPH-
    apt-get install mailgraph
    Por defecto utilizar los logs estandar de correo (/var/log/mail.log, etc) para saber lo que ha ocurrido con los correos.
    Las estadísticas se pueden ver vía navegador desde:   http://IPSERVIDOR/cgi-bin/mailgraph.cgi

    -ISOQLOG-
    apt-get install isoqlog
        Tipo servidor -> Postfix
        Salida -> /var/www/isoqlog
        Dominios -> todos los que maneje postfix
    Añadir linea de ejecución con 'isoqlog' a 'cron'
        crontab -e
            [...]
            */10 * * * * /usr/bin/isoqlog
            [...]
    Las estadísticas se pueden ver vía navegador desde: http://IPSERVIDOR/isoqlog
    Se pueden añadir dominios a posteriori en el archivo '/etc/isoqlog/isoqlog.domains'

APENDICE V: Bloquear la actualización de un paquete
    Util para evitar que una actualización actualice un paquete que hemos retocado a mano sin darnos cuenta.
    Obtener una lista etiquetada de los paquetes instalados en el sistema y exportarla a un archivo:
        dpkg --get-selections \* > /root/lista_packages.list
    Editar el archivo modificando la etiqueta de los paquetes que se desea mantener a "hold":
        /root/lista_packages.list    <- ORIGINAL
            [...]
            portmap                                         install
            postfix                                         install
            postfix-mysql                                   install
            procps                                          install
            psmisc                                          install
            [...]

        /root/lista_packages.list    <- MODIFICADO PARA RETENER 'postfix' y 'postfix-mysql'
            [...]
            portmap                                         install
            postfix                                         hold
            postfix-mysql                                   hold
            procps                                          install
            psmisc                                          install
            [...]

    Recargar el listado de paquetes con sus nuevos estados
        dpkg --set-selections < /root/lista_packages.list

APENDICE VI: Creando un alias de 'root'
    vi /etc/aliases
        mailer-daemon: postmaster
        postmaster: root
        nobody: root
        hostmaster: root
        usenet: root
        news: root
        webmaster: root
        www: root
        ftp: root
        abuse: root
        noc: root
        security: root
        clamav: root
        root: admin@trustnone.es        <- Para que los correos enviados a root se dirijan a una cuenta real en postfix
    Ejecutar 'newaliases'
        /usr/bin/newaliases

APENDICE VII:   Aprendizaje de spamassasin.
    Util. Plugin 'spam_buttons' de spamassasin.

    Se pueden generar en cada maildir, dos carpetas, una llamada 'SPAM' y otra llamada 'NO-SPAM'. Un script se debe encargar de recorrer estas carpetas y actuar de la siguiente forma:
        Si encuentra un mensaje en la carpeta 'SPAM' que no esté etiquetado como tal, significa que el usuario lo ha dejado ahí. Debe escanearse con "sa-learn --spam".
        Si encuentra un mensaje en la carpeta 'NO-SPAM' que está etiquetado como SPAM, significa que el usuario lo ha dejado ahí. Debe escanearse como "sa-learn --ham" y pasarlo a la bandeja de entrada.
    De esta forma el usuario puede refiltrar mensajes para que el sistema aprenda de ello.
    El script se debe ejecutar cada determinado tiempo:

APENDICE VIII: Saber si estamos en listas de spam
    Utilizar las herramientas "rblcheck" y "amispammer"
    rblcheck
        apt-get install rblcheck
        rblcheck xxx.xxx.xxx.xxx
    amispammer
        apt-get install libmail-sender-perl
        wget http://www.lorenzomartinez.es/projs/amispammer/amispammer_v2.zip
        unzip amispammer_v2.zip
        mv amISpammer.pl /usr/local/bin
        perl /usr/local/bin/amISpammer.pl -i -v0 -f emailfrom@from.com -t emailto@to.com
    También util: http://www.blacklistalert.org/

APENDICE IX:    Benchmark
    Comprobar que están instaladas las herramietnas "smtp-sink" y "smtp-source"
    Para postfix
        /etc/init.d/postfix stop
        Poner "smtp-sink" a escuchar peticiones de correo:
            smtp-sink -4c -u :25 1024
        Bombardear el servicio desde local (10000 mensajes de 25KB cada uno con una concurrencia de 256)
            smtp-source -4dNcm 10000 -s 256 -l 25000 -f foo@bar.com -t bar@foo.com localhost:25
        Bombardear el servicio desde remoto. Es necesaria otra máquina en red que disponga de "smtp-source"
            smtp-source -4dNcm 10000 -s 256 -l 25000 -f foo@bar.com -t bar@foo.com :25

APENDICE X: Configuración del DNS
    Configurar correctamente el servidor DNS es fundamental para que el correo funcione.
    Ejemplo de configuración de BIND9 para un dominio ficticio: "trustnone.es"
    Registros MX: Intercambiadores de correo (con prioridades)
        /etc/bind/trustnone.es
        [...]
        MX      10 mail1.trustnone.es.
                MX      20 mail2.trustnone.es. ;
        [...]
        mail1            A       192.168.196.4
        mail2            A       192.168.196.48
        [...]
    Registro spf: Intercambiadores MX certificados.
        [...]
        trustnone.com. IN TXT "v=spf1 a mx ~all"
        [...]
    Resolución inversa (DEBE ESTAR DELEGADA POR EL ISP)
        [...]

        [...]

APENDICE XII: SenderID Hotmail
    Sender ID es un listado de redes/hosts autorizados que mantiene microsoft.
    Para evitar problemas, además de establecer el registro SPF del dominio, se debe dar de alta en:
        https://postmaster.live.com/snds/addnetwork.aspx
    Web para solicitar información de porque nos están filtrando
        https://support.msn.com/eform.aspx?productKey=edfsmsbl&ct=eformts

APENDICE XIII: MAILMAN (Listas de correo)
    apt-get install mailman lynx
        -> [*] Español

    export LC_ALL=C            <- definirlas en un profile al inicio
    export LANG=C

    check_perms -v -f        (x2)

    cd /var/lib/mailman
    chown list:list *

    editar "/etc/mailman/mm_cfg.py"
        [...]
        DEFAULT_EMAIL_HOST = 'mail.trustnone.es'
        DEFAULT_URL_HOST = 'mail.trustnone.es'
        [...]
        DEFAULT_SERVER_LANGUAGE = 'es'
        [...]

    editar "/etc/postfix/master.cf"
        [...]
        mailman   unix -       n       n       -       -       pipe
        flags=FR user=list argv=/usr/lib/mailman/bin/postfix-to-mailman.py
        ${nexthop} ${user}
        [...]ASEGURARSE DE QUE ESTA LINEA ESTÁ TAL Y COMO APARECE AQUÍ. SOBRETODO LA PRIMERA 'n'

    Configurar Apache2
        /etc/apache2/mods-available/mailman.conf

                AllowOverride None
                   Options ExecCGI
                   Order allow,deny
                   Allow from all


            Alias /pipermail/ /var/lib/mailman/archives/public/

                   Options Indexes MultiViews FollowSymLinks
                   AllowOverride None
                   Order allow,deny
                   Allow from all


            Alias /archives/ /var/lib/mailman/archives/public/

                   Options Indexes MultiViews FollowSymLinks
                   AllowOverride None
                   Order allow,deny
                   Allow from all

        cd /etc/apache2/mods-enabled
        ln -s /etc/apache2/mods-available/mailman.conf /etc/apache2/mods-enabled
        /etc/init.d/apache2 restart
    + postfix
        /etc/postfix/transport
            [...]
            lists.trustnone.es      mailman:
            [...]
        cd /etc/postfix
        postmap transport
    Reiniciar todos los servicios afectados
        /etc/init.d/apache2 restart
        /etc/init.d/postfix restart
        /etc/init.d/mailman restart

    Crear la lista principal:
        newlist mailman
            -> Usuario administrador de la lista:   "admin@trustnone.es"
            -> Password para el admin: "admin"
        Introducir todos los alias en la MySQL, tabla "alias".
            mailman@trustnone.es            mailman@lists.trustnone.es
            mailman-admin@trustnone.es        mailman-admin@lists.trustnone.es
            mailman-bounces@trustnone.es        mailman-bounces@lists.trustnone.es
            mailman-confirm@trustnone.es        mailman-confirm@lists.trustnone.es
            mailman-join@trustnone.es        mailman-join@lists.trustnone.es
            mailman-leave@trustnone.es        mailman-leave@lists.trustnone.es
            mailman-owner@trustnone.es        mailman-owner@lists.trustnone.es
            mailman-request@trustnone.es        mailman-request@lists.trustnone.es
            mailman-subscribe@trustnone.es        mailman-subscribe@lists.trustnone.es
            mailman-unsubscribe@trustnone.es    mailman-unsubscribe@lists.trustnone.es

    Crear una lista operativa pública:
        newlist pruebas
            -> Usuario administrador de la lista:   "admin@trustnone.es"
            -> Password para el admin: "admin"
        Introducir todos los alias en la MySQL, tabla "alias".
            pruebas@trustnone.es            pruebas@lists.trustnone.es
            pruebas-admin@trustnone.es        pruebas-admin@lists.trustnone.es
            pruebas-bounces@trustnone.es        pruebas-bounces@lists.trustnone.es
            pruebas-confirm@trustnone.es        pruebas-confirm@lists.trustnone.es
            pruebas-join@trustnone.es        pruebas-join@lists.trustnone.es
            pruebas-leave@trustnone.es        pruebas-leave@lists.trustnone.es
            pruebas-owner@trustnone.es        pruebas-owner@lists.trustnone.es
            pruebas-request@trustnone.es        pruebas-request@lists.trustnone.es
            pruebas-subscribe@trustnone.es        pruebas-subscribe@lists.trustnone.es
            pruebas-unsubscribe@trustnone.es    pruebas-unsubscribe@lists.trustnone.es

    Web del administrador de la lista:
        http://mail.trustnone.es/cgi-bin/mailman/admin/pruebas
    Web de la propia lista:
        http://mail.trustnone.es/cgi-bin/mailman/listinfo/pruebas
    Archivos:
        http://mail.trustnone.es/pipermail/pruebas/

    VER: http://freemars.org/howto/mailman.html#ins

TODO:
    Ojo, comprobar que se puede poner quota 0 (ilimitada) o 100MB
    Borrado de correo antiguos
    Borrado de la carpeta SPAM y Papelera
    Agenda compartida LDAP
    DomainKeys <-
    listadmin <- mailman
    open relay check -> http://www.cyberciti.biz/tips/test-mail-server-for-an-open-relay.html

Clonado de un "filesystem" Unix/Linux y el problema de los "Hard Links"

2010-03-25T22:02:00.005+01:00

Encontrarse con que el disco duro de un sistema está completamente lleno es muy común. La virtualización y el aprovisionamiento de recursos bajo demanda ayuda a suavizar las molestias que esto supone.

En el mejor de los casos, los filesystems del disco estarán manejados con LVM (o similares en otros Unix), de forma que se añade un nuevo disco y se exitienden los volúmenes sobre él.
En el peor, los filesystems estarán generados directamente sobre las particiones físicas del disco.

En ocasiones, para máquinas no críticas, es posible parar durante varias horas, sustituir el disco por otro u otros de mayor capacidad, reinstalar el sistema operativo, las aplicaciones, configurar, probar y volver a producción. Es una buena solución, pero es posible reducir el tiempo de parada clonando los filesystems al disco de mayor capacidad, manteniendo las configuraciones.

El principal problema cuando se clona un disco con comandos tipo 'tar', 'dd' ó 'cp' es que los hard links no se mantienen. En la mayoría de filesystems Unix, los enlaces simbólicos consisten en una entrada que a su vez apunta a otra entrada que enlaza a los datos en el disco. Un enlace duro, o hard link, apunta directamente a los datos de disco. Los archivos en disco son enlazados a través de inodos en el sistema de archivos. El inodo almacena información acerca del archivo, pero no su nombre, por lo que el nombre del archivo debe contener el número de inodo en que está el archivo. Podemos tener un archivo con dos (o más) nombres enlazados en diferentes lugares del filesystem; solamente deben apuntar el inodo del que cuelga el archivo.

Al utilizar el comando 'cp' sobre un archivo, el sistema copia el archivo a un nuevo lugar del disco, lo enlaza en un inodo disponible y después genera el nuevo nombre del archivo indicando el número de inodo del que depende.
Si el archivo tiene varios nombres (tiene diferentes hard links) apuntando hacia él, este proceso se repetirá, recopiando el archivo en diferentes inodos a los que solamente apuntará el último de los hard links.

Pero muchas de las herramientas de copiado de archivos tienen opciones para mantener la integridad de los hard links, comprobando que el inodo al archivo que se pretende copiar pueda existir y en este caso simplemente asignar el número de inodo en que está. Una de estas herramientas es "rsync" y su parámetro "-H", que hace exactamente esto.

La secuencia de pasos para el clonado del disco podría ser la siguiente:

Detener el sistema.
Conectar el nuevo disco.
Arrancar con un sistema Live tipo Knoppix y con ambos discos duros conectados.
Particionar el nuevo disco con un esquema similar al antiguo pero ajustando las necesidades de espacio y generar los filesystems (no tiene porque estar formateados con el mismo sistema de archivos).
Montar, en diferentes puntos de montaje del sistema Live, los filesystems origen y destino correlativos a los disco nuevo y antiguo.
Utilizar "rsync" para copiar el contenido de uno a otro manteniendo los hard links:

#> rsync -Hva /mnt/disco_origen_sda1 /mnt/disco_destino_sdb1
#> rsync -Hva /mnt/disco_origen_sda2 /mnt/disco_destino_sdb2

Instalar/reparar el arranque del sistema. Típicamente, instalando grub (o el gestor de arranque elegido) en el MBR del nuevo disco:

#> grub-install /dev/sdb

Parar el sistema, desconectar el disco antiguo y conectar el disco nuevo en el mismo lugar que estaba el antiguo. De esta forma, es muy probable que el dispositivo sea reconocido con los mismos nombres (/dev/sda1, /dev/sda2...) y arranque sin tener que hacer nada más.

"initrd" e "initramfs"

2010-03-16T22:09:00.008+01:00

En la mayoría de las ocasiones el archivo binario que contiene el kernel del sistema operativo (vg.- Linux) no contiene todos los módulos necesarios para realizar un arranque completo.

El ejemplo más típico; es posible que el controlador que maneja la controladora de disco en que se encuentra el punto de montaje raiz del sistema haya sido compilado como módulo. En este caso sería imposible montar el sistema de archivos, ya que el controlador está en un filesystem no montado y para montarlo primero hay que acceder a él... de forma que hay un bloqueo continuo.

Para resolver este problema se utilizan sistemas de archivos virtuales que se montan de forma temporal durante el arranque y que contienen los módulos que el kernel podría necesitar para arrancar y de los que no dispone.

En Linux, hasta la llegada de la versión 2.6 del kernel se hacía con el archivo "initrd" y a partir de entonces con el archivo "initramfs" (Wikipedia sobre "initrd").

Generación del archivo "initramfs" en Debian Linux 5:

Instalar el paquete con las herramientas necesarias: initramfs-tools

apt-get install initramfs-tools

Generar el archivo: /usr/sbin/mkinitramfs -o ARCHIVO_INITRAMFS RUTA_MODULOS_KERNEL

El comando "mkinitramfs" recibe como parámetro la ruta del directorio donde cuelgan físicamente los módulos del kernel (archivos '.ko') en cuestión para el que se desea generar un "initramfs". Los módulos suelen estar ubicados en "/lib/modules/".

vg.- mkinitramfs -o /boot/initramfs-2.6.26 /lib/modules/2.6.26

El archivo de salida ("/boot/initramfs-2.6.26") puede ser bastante "pesado", ya que contiene todos los módulos del kernel.

Normalmente el archivo "initramfs" se usa en el cargador de arranque (vg.- Grub), indicando que se use como sistema de archivos RAM con un determinado kernel que puede necesitarlo.

title Debian
root (hd0,0)
kernel /linux_kernel_2.6.26 root=/dev/sda2 ro
initrd /initramfs-2.6.26

Cada archivo "initramfs" solamente puede utilizarse con una determinado compilación de un determinado kernel (normalmente).

Guardar/Restaurar MBR de un disco

2010-03-14T22:36:00.002+01:00

El 'Master Boot Record, MBR' o 'Sector Cero' de un disco duro (dispositivo de almacenamiento de datos en general) suele almacenar el sector de arranque de la mayoría de sistemas operativos Linux.

Ocupa, generalmente, los primeros 512 bytes del espacio de almacenamiento del dispositivo y su borrado o corrupción suele implicar que el sistema no pueda volver a arrancar normalmente. Por ello se considera buena práctica el guardar una copia de dicha información cuando se van a hacer cambios en el sistema de arranque.

Existen herramientas específicas para hacer esto, pero ya que su ubicación suelen ser los 512 primeros bytes del disco, un simple 'dd' puede servir para copiarlo y restaurarlo.

Copia del MBR del disco '/dev/hda' al archivo '/root/MBR.bin':

#> dd if=/dev/hda of=/root/MBR.bin count=1 bs=512

Restauración del MBR anterior:

#> dd if=/root/MBR.bin of=/dev/hda

Guardar/Restaurar tabla de particiones

2010-03-14T22:28:00.003+01:00

La herramienta 'sfdisk', disponible en el metapaquete 'util-linux' de Debian, permite hacer una copia a fichero del estado de la tabla de particiones para su posterior restauración.

Guardar la tabla de particiones del disco '/dev/sda' a un fichero.

#> sfdisk -d /dev/sda > fichero_salvaguarda

La tabla de particiones del mismo disco se puede restaurar también con la herramienta:

#> sfdisk /dev/sda < fichero_salvaguarda

Cifrado simétrico con GPG

2010-03-14T22:13:00.002+01:00

Aunque en la actualidad el cifrado asimétrico está de moda por ser más seguro, el cifrado simétrico de archivos sigue siendo una buena (y más sencilla) opción para encriptar información.

En sistemas UNIX en general y Linux en particular, GPG es buena opción para estas tareas.

Suponiendo que se dispone de la herramienta GPG instalada y la unilidad en linea de comandos 'gpg', se pueden encriptar/desencriptar archivos de la siguiente forma:

Cifrado del archivo "ARCHIVO_A_CIFRAR" manteniendo el original.

#> gpg --symmetric -o ARCHIVO_CIFRADO.gpg ARCHIVO_A_CIFRAR

En el proceso se solicita la clave de cifrado.

Por defecto el algoritmo de cifrado es 'Cast5', considerado cifrado fuerte.

Descifrado.

#> gpg -d -o ARCHIVO_DESCIFRADO ARCHIVO_CIFRADO.gpg

En el proceso se solicita la clave de cifrado.

802.1Q VLAN (Debian)

2010-03-11T23:07:00.002+01:00

El protocolo IEEE 802.1Q establece la forma en que los paquetes ip pueden 'marcarse' con un 'tag' para crear redes virtuales (VLAN).

En muchas ocasiones un switch de red con gran número de puertos se parte en varios switches más pequeños para generar diferentes subredes aisladas independientes e invisibles unas de otras.

La forma más sencilla de hacer esto es asignar dinámicamente los puertos del switch a una determinada VLAN.

Aunque funciona correctamente, en configuraciones de red más complejar, esto no es posible ya que puede necesitarse que diferentes VLAN utilicen a la vez un mismo puerto. En este caso y para mantener el aislamiento se utiliza 802.1Q.

802.1Q en Wikipedia

Como los paquetes (tramas ethernet en realidad) llegan a las interfaces de red marcados con un 'tag' que no es estandar, las interfaces tienen que estar preparadas para interpretarlo y no desechar el paquete.

Supuesto una VLAN con el tag '4' conectada a una interfaz de una máquina Debian (v.5), esta debe configurarse:

Instalar los módulos y herramientas 'vlan

apt-get install vlan

Configurar la interfaz en el archivo '/etc/network/interfaces':

[...]
auto vlan4
iface vlan4 inet static
address xx.xx.xx.xx
network xx.xx.xx.xx
netmask 255.255.xx.xx
broadcast xx.xx.xx.xx
mtu 1500
vlan_raw_device eth0
[...]

La definición de la tarjeta que recibe los paquetes con tag, eth0, pasa a ser la interfaz virtual vlan4 que se enlaza a eth0.

Reiniciar la red

/etc/init.d/networking restart

Administración

La información referente al tageado de interfaces se puede ver desde '/proc', concretamente:

/proc/net/vlan/config
/proc/net/vlan/vlan4

FreeNX en CentOS 5.4

2010-03-11T22:52:00.002+01:00

FreeNX es una implementación libre del protocolo NX.

El protocolo NX es una forma de hablar directamente con el servidor X en su propio idioma pero a través de conexiónes IP.

Aunque la solución VNC + GDM propuesta aquí resulta muy util para entornos locales y de administración, cuando el acceso remoto se desea que esté expuesto directamente a otras redes como Internet, ocurre que la seguridad que ofrece no resulta suficiente.

Ciertamente es posible securizar el protocolo VNC superponiendo capas de cifrado (como SSL), pero quizá sea una buena opción cambiar el protocolo VNC por NX.

Las conexiones hacia servicios NX/FreeNX se establecen por defecto sobre un tunel SSH, lo que las hace ser bastante más seguras que VNC.

Implementar FreeNX en CentOS es tan sencillo como instalar los paquetes disponibles en los repositorios oficiales de CentOS (versión 5.4).

yum install nx freenx

Por defecto se generará un par de claves rsa. La clave pública que debe entregarse a los clientes está en '/var/lib/nxserver/home/.ssh/client.id-rsa.key'.
Los equipos cliente deben importar esta clave para realizar la conexión.

Por defecto FreeNX escuchará en el puerto estandar de SSH; el 22.

La interacción administrativa con el servidor de NX se realiza mediante el comando 'nxserver'.
Por ejemplo,

nxserver --start Arranca el servicio
nxserver --stop Para el servicio
nxserver --list Lista los usuarios que están en el sistema
nxserver --send USERNAME MSG Muestra un mensaje a un usuario.

CentOS 5 + VNC + GDM (Terminal Server for Linux¿?)

2010-03-11T22:26:00.005+01:00

Conectarse vía VNC a una máquina remota permite disfrutar del entorno de ventanas de esta, pero normalmente para conectarse vía VNC es necesario que exista una sesión abierta en el servidor por cada conexión que se desea abrir.

A continuación se explica como hacer que cada vez que se intenta una conexión VNC hacia un servidor, este crea automáticamente una sesión para ella y lo primero que ofrece es la interfaz de login gráfico (en este caso GDM) para que el usuario pueda autentificarse.

Partiendo de una instalación estandar de CentOS (5.4) con Gnome y GDM:

Instalar el servidor VNC y Xinetd, que se encargará de generar las sesiones bajo demanda:

yum install xinetd vnc-server

Configurar GDM para que permita conexiones remotas:

'Sistema' -> 'Administración' -> 'Pantalla de registro'
Pestaña: 'Remota'
Estilo: 'Igual que la entrada local'

Editar el archivo '/etc/gdm/custom.cfg' (en versiones anteriores, '/etc/X11/gdm/gdm.conf') para que muestre el siguiente contenido:

[daemon]
RemoteGreeter=/usr/libexec/gdmgreeter

[security]
AllowRemoteRoot=true

[xdmcp]
Enable=true

[gui]

[greeter]
Browser=true

[chooser]
[debug]
[servers]

Configurar el servicio VNC en Xinetd.

Crear el archivo "/etc/xinetd.d/vnc", con el contenido:

service vnc
{
disable = no
socket_type = stream
protocol = tcp
group = tty
wait = no
user = nobody
server = /usr/bin/Xvnc
server_args = -inetd -query localhost -geometry 1024x768 -depth 16 -once -fp unix/:7100 -securitytypes=none
}

Este archivo indica algunas de las características por defecto para el aspecto gráfico de los clientes.

Añadir la linea el servicio y el puerto de VNC que vamos a utilizar al archivo "/etc/services":

[...]
#Local Services
vnc 5900/tcp
[...]

Reiniciar servicios

service xinetd restart
gdm-restart

Conexión de prueba: El servidor escucha en el puerto tcp:5900

WOL; Arrancando un ordenador en remoto

2008-04-30T12:46:00.002+02:00

WOL (Wake-On-Lan), WOR (Wake-On-Ring) son los nombres de unos protocolos que implementan la gran mayoría de placas base para ordenadores personales actuales. La teoría, muy resumida, es la siguiente:

Las placas base ATX no permanecen completamente apagadas cuando el equipo está apagado. Si está conectada a la red eléctrica, una parte de ella estará latente y esperando órdenes. Cuando se presiona el botón de encendido no se está haciendo que la corriente alimente al equipo, sino que se le ordena a esa parte de la placa base a la que se hacía mención, que lo haga.

Si como parte de la placa base que permanece latente está también, por ejemplo, una interfaz de red ethernet o un modem, es posible que esa orden llegara desde dicha tarjeta. Esta es la base.

Wake-On-Lan implica que el equipo recibirá un paquete de datos por su interfaz de red llamado "paquete mágico". No es un paquete IP, ya que la interfaz en ese momento no tiene dirección IP asignada, sino que se la identifica por su dirección MAC. Este protocolo funcionaría sobre la capa Host-Red de la pila de TCP/IP.

La interfaz recibe el paquete, esta se comunica con el resto de la placa indicando que se debe arrancar el resto del hardware. El efecto es el mismo que si se presiona el botón de encendido.

En la práctica:

1.- Activar la opción WOL (puede recibir otros nombres) en la BIOS o SETUP del equipo que se desea "resucitar" y obtener la dirección MAC de la tarjeta de red que se va a corresponder con el servicio.

2.- Desde otro equipo (siempre dentro del mismo segmento LAN), enviar el "paquete mágico" al primer equipo (en realidad a su tarjeta ethernet identificada por su dirección MAC). Es necesario utilizar algún tipo de utilidad que haga esto; por ejemplo "etherwake" (para Linux y en general para la mayoría de Unix).

vg.- > etherwake xx:xx:xx:xx:xx:xx

siendo xx:xx:xx:xx:xx:xx la dirección MAC anteriomente obtenida.

¿Es esto útil?. Aunque normalmente se utilizará pocas veces, puede sacar de muchos apuros sobre todo cuando hay sistemas en lugares poco accesibles.

Servidor de VPN (pptp)

2007-08-13T20:29:00.000+02:00

Encontrado en la web oficial del proyecto "Linux PoPToP":
http://www.poptop.org/

Buscando la forma mas sencilla de crear un servidor VPN, resumo esta maravillosa receta para hacerlo sobre Debian.

Lo mejor es que con el avance en el desarrollo del kernel, ya no hay que andar parcheando ni buscando paquetes de software no-Debian para conseguir una VPN segura (encriptación de la comunicación) y que pueda ser conectada directamente con las herramientas incluidas en los sistemas Windows (principalmente enfocado a XP)

Plataforma:
Debian Etch. Utilizando una instalación mínima se puede tener todo operativo en muy pocos minutos.

Procedimiento:
Cargar el módulo de encriptación necesario. Desde 2.6.15 (creo), está incluido ya en la versión original del kernel. Por tanto basta con hacer:
modprobe ppp-compress-18
Instalar el demonio PoPToP, disponible en los repositorios de Debian Etch.

apt-get install pptpd

Configurar el archivo "/etc/pptpd.conf". Aquí se definen las direcciones IP del servidor (localip) y el rango que se ofrecerá a los clientes (remoteip, como si fuera un servidor DHCP). Las lineas necesarias ya están incluidas en el archivo, solo hay que descomentarlas y adaptarlas a las necesidades de la red:

localip x.x.x.x #Interfaz de red por la que da servicio VPN el servidor
remoteip x.x.x.x-x.x.x.x #Rangos: x.x.x.x-x.x.x.x IPs: x.x.x.x,x.x.x.x,x.x.x.x,...

Reiniciar el servicio pptpd para que tome la nueva configuración:

/etc/init.d/pptpd restart

Añadir usuarios que pueden conectarse a la VPN. Hay varios métodos para hacer esto. El más sencillo consiste en incluir directamente lineas con usuario y contraseña en el archivo "/etc/ppp/chap-secrets". Los nombres de usuario no tienen que ser necesariamente usuarios del sistema y las lineas deben tener el formato

nombre_usuario pptpd contraseña *

Los usuarios se pueden incluir en caliente. El sistema tardará un tiempo (unos pocos segundos) en volver a leer el archivo y aceptar las credenciales. No es necesario reiniciar el servicio.

Realmente con esto es suficiente. Basta con dar de alta usuarios para que se conecten sin más. Para tener un sistema de autentificación más completo en entornos más complejos, se puede mezclar esto con la autentificación de Samba y según creo, también con el sistema PAM de Linux. De momento con esto voy más que servido.

En los clientes Windows no es necesario tocar nada respecto a la configuración por defecto que el sistema hace para nuevas conexiones VPN ("Conectarse a la red de mi lugar de trabajo"). Al conectarse, se le asignará una dirección de las especificadas en el rango "remoteip" y el router hará de puente entre el equipo cliente y la red de VPN.

Esta configuración da un acceso completo a la red local del servidor. Normalmente esto no será un problema en la mayoría de entornos, aunque si las restricciones de seguridad son estrictas, se pueden establecer sin problemas reglas de filtrado netfilter-iptables para los clientes de la VPN.

Fuente original: http://poptop.sourceforge.net/dox/debian-howto.phtml
(Muchas gracias a todo el proyecto PoPToP y al autor original, James Cameron, por su excelente trabajo. Y gracias, Debian, por hacernos la vida un pelín más sencilla.)

Sincronizar directorios situados en máquinas remotas contra uno local

2007-07-15T20:03:00.000+02:00

Este procedimiento es utilizado para la realización de backups de múltiples máquinas a través de la red. Para ello hay un servidor central (Servidor de Backup) que tendrá acoplados los dispositivos de backup (cintas, discos, etc...).

Las herramientas a utilizar en GNU/Linux (disponibles en otras muchas plataformas) son:

-RSYNC: Permite realizar la sincronización de contenidos entre directorios en local o de alguna máquina remota. Tiene multiples modos de funcionamiento y muchísimas opciones. El comando principal es "rsync".

-SSH: "rsync" puede operar por si mismo o utilizando otros protocolos para conectarse a máquinas remotaas via red. Uno de estos es SSH, que además de ser un protocolo de transmisión cifrado, es posible que ya esté disponible en los equipos a utilizar, no teniendo que abrir más puertas a los sistemas (utilizando las existentes).

El modo de operación es (suponiendo que hay dos servidores remotos):
-En el servidor de backup hay un disco dedicado a esta operación. En él se definen dos directorios "secundarios o imagen". Estos son los que, después de la sincronización, deberán tener exactamente los mismos contenidos que los "originales o maestros" que están en cada servidor.
-El servidor emite un comando "rsync" vía "SSH" contra los servidores y abren la comunicación. El programa "rsync" se encarga de saber que datos debe sincronizar entre los directorios remotos y locales.
- Finalmente en el servidor hay una copia exacta de los contenidos de los directorios remotos.

NOTA: La herramienta "rsync" está enormemente avanzada y maneja sin ningún problema los bloqueos de los archivos que estén abiertos. De todas formas se aconseja utilizarlo cuando el directorio remoto no esté en uso.

PROCEDIMIENTO (El uso del usuario "root" en el procedimiento indica que el "login" remoto será como "root"):

- Se fideliza el acceso SSH del servidor en los clientes para permitir operaciones desatendidas (conexiones sin necesidad de introducir la contraseña in-situ por el administrador).
- Crear el par de claves (pública-privada) del servidor:
ssh-keygen -t rsa (no indicar ninguna clave cuando lo requiera)

- Las claves se crearán en "/root/.ssh" y serán: id_rsa (privada) e id_rsa.public (publica)

- En los servidores remotos se debe añadir el contenido de "id_rsa" al archivo "/root/.ssh/authorized_keys

Con esto ya se podría hacer login vía SSH en el sistema remoto sin que nos pidiera la contraseña.

- Situarse en el directorio "imagen" del servidor local

- Ejecutar "rsync":

rsync -v -u -a --delete --rsh=ssh --stats usuario@192.168.x.x:/dir_maestro_remoto ./

Siendo: (usuario = root), (192.168.x.x = ip del servidor remoto), (/dir_maestro_remoto = ruta COMPLETA al directorio del servidor remoto que queremos respaldar), ('--rsh=ssh' indica que la conexión se ha de realizar por un tunel SSH.)

-SI TODO VA BIEN..... Se puede escribir un pequeño 'script' que se ejecute via "cron" a la hora que se indique.
-SI TODO VA MAL..... (probablemente sea una errata de esta receta)

Pequeñas grandes aplicaciones muy interesantes para incluir en un servidor GNU/Linux (Unix en general)

2007-07-02T20:23:00.000+02:00

ntp -> Sincronización de fecha/hora con servidores públicos de Internet.
denyhosts -> Script Python para limitar el número de intentos de acceso por 'ssh'. Bloquea IP's

[.:lista abierta y en contrucción:.]

"Fidelización" ssh

2007-06-12T21:44:00.000+02:00

Cuatro simples pasos de los que siempre me olvido y que permiten hacer login remoto vía "ssh" sin necesidad de contraseña.

Este procedimiento está muy documentado en Internet, pero como siempre se me olvida me haré aquí la receta.

Aunque la mayoría de las veces esto se utiliza para hacer conexiones remotas via ssh con otros equipos sin que nos pida la contraseña, el principal uso que le doy es para la "administración desatendida".
A la hora de hacer tareas de mantenimiento sobre un sistema, normalmente se usan los planificadores de tareas (sobre todo "cron" en máquinas Unix) que básicamente envían comandos sobre los sistemas. La mayoría de estos comandos requiren privilegios de administrador para poder ejecutarse y por añadido esto suele requerir la contraseña de ese administrador.

Para ejecutar tareas en sistemas remotos se suelen hacer conexiones mediante ssh, pero la cosas se complica cuando esta conexión la debe ejecutar el sistema y no hay nadie delante para introducir la contraseña cuando la necesite. Para solucionar este problema utilizando ssh se utiliza la "Fidelización de Clientes".
Básicamente esto consiste en que al intentar conectarse a un sistema, este reconozca inequívocamente al sistema cliente y le permita la conexión sin necesidad de identificarse totalmente (no pidiendo la contraseña). Para esto basta con utilizar pares de claves. Un equipo quedará identificado por un par de claves (una pública y otra privada). La pública será instalada en el servidor al cual se quiere conectar indicándo de alguna manera que esta es una clave genuina que identifica a su dueño.

¿Como se hace todo esto en Linux?:

Crear el par de claves en el sistema cliente:

ssh-keygen -t rsa

Primero nos pedirá la ruta para guardar el par de claves (/user/.ssh)
Después pedirá una contraseña que dejaremos en blanco.

Copiar la clave pública

Las claves estarán almacenadas en el directorio que hemos indicado con los nombres:
id_rsa <- Clave privada id_rsa.pub <- Clave pública ...hemos de copiar la clave pública al servidor; podemos usar el comando "scp" para ello, de la forma: scp ./.ssh/id_rsa.pub root@IP_SERVIDOR:/root

(ahora nos pedirá la contraseña de root, pero puede que sea la última vez...)

"Fidelizar" la clave en el servidor.

Básicamente consiste en añadir el contenido del archivo "id_rsa.pub" que hemos copiado al servidor al archivo "/root/.ssh/authorized_keys" con una orden como esta:

cat /root/id_rsa.pub >> /root/.ssh/authorized_keys

LISTO.

Borramos el archivo "id_rsa.pub" del servidor por seguridad y probamos a hacer conexión "ssh" con login de "root" desde el otro sitema. No debería pedirnos la contraseña para ese usuario.
Esto puede hacerse con todos los usuarios; simplemente hay que crear las claves con el usuario que deseemos y colocarlas en el "authorized_keys" del usuario correcto en el servidor en que queremos hacer login sin clave.

* Un par de enlaces para conocer el funcionamiento de "ssh" y el cifrado de clave pública (que es el que se utiliza aquí):

http://es.wikipedia.org/wiki/SSH
http://es.wikipedia.org/wiki/RSA
http://es.wikipedia.org/wiki/Criptograf%C3%ADa_asim%C3%A9trica

Intrusion Detection System (IDS) con SUSE y Snort

2007-03-31T21:49:00.000+02:00

Los sistemas actuales en los que residen servicios de acceso público, como servidores de correo y hosting, están expuestos a posibles ataques externos a través de Internet.
También ocurre lo mismo en los ordenadores personales, pero cuando se trata de sistemas críticos, es una buena idea tener un "perro de guardia" dedicado a husmear el tráfico que entra y sale para intentar detectar posibles ataques.

Estos perros guardianes pueden ser de muchos tipos. Particularmente aquí se explican los IDS (sistemas de detección de intrusiones).

Los IDS se suelen implementar dentro de las redes locales, como sistemas autónomos a los que se envía "copia" de TODOS los paquetes que recorren la red. También se suelen implemetar en las pasarelas entre redes. Esto es así porque la idea principal es que el sistema no va a dar realmente ningún servicio a los usuarios ni a la red, pero necesita recibir (al menos una copia de) todos los paquetes que pululan por la red. De esta forma, y utilizando filtros específicos y patrones predeterminados para muchos tipos de ataques puede identificar que máquina está siendo atacada.
Si se implementa un un gateway entre dos redes, no se precisará hacer copia de los paquetes para enviarlos al IDS. Basta que "eche un vistazo" al tráfico que está pasando por el gateway.
Pero esto puede llegar a sobrecargar el gateway en redes con mucho tráfico, de forma que una solución superior consiste en tener un sistema dedicado a IDS al que se envía una copia de los paquetes.

Normalmente esto se implementa con una función de los "switch" de red que se conoce como "port mirroring". Activando esta función se consigue que de todas las conexiones que se producen entre dos host cualesquiera de la matriz de interconexión interna del switch hagan un "relay" de esos paquetes hacia uno de los puertos (físicos) que especifiquemos y que será en el que irá conectado el IDS.

En los siguienetes esquemas podemos ver las diferencias.

Un IDS implementados sobre la pasarela de red, lugar por donde pasa todo el tráfico

IDS implementado con PORT-MIRRORING sobre el switch

A continuación se explican los pasos para implementar un IDS de esta segunda forma.
Los pasos para establecer el "port-mirroring" dependerán de cada modelo de switch en particular. Además, esta es una función que no todos los modelos suelen implementar, aunque sí suele estar disponible en los modelos de gama media-alta y profesional.

La computadora utilizada ejecutará GNU/Linux; la distribución SUSE 10 Enterprise.
Los detalles para la instalación del sistema operativo tampoco se verán aquí. Simplemente se trata de una instalación simple con las funciones de red activadas.

El software utilizado para hacer las funciones de IDS es "SNORT". Es de código fuente abierto y uno de los más conocidos. Resulta suficientemente bueno para la mayoría de necesidades.

WIKIPEDIA: Snort es un sniffer de paquetes y un detector de intrusos basado en red (se monitoriza todo un dominio de colisión). Es un software muy flexible que ofrece capacidades de almacenamiento de sus bitácoras tanto en archivos de texto como en bases de datos abiertas como lo es MySQL. Implementa un motor de detección de ataques y barrido de puertos que permite registrar, alertar y responder ante cualquier anomalía previamente definida.

Será interesante esa posibilidad de utilizar una base de datos MySQL para almacenar las alertas de seguridad.

Para el análisis y visualización de las alertas se utilizarán dos front-ends: ACID y BASE. Son interfaces web para el análisis de las alertas.

-=RECETA=-:

Instalando suse 10 ......

Paquetes necesarios:

snort: Viene compilado con la opción “--with-mysql” de forma que no hace falta el paquete “snort-mysql”
mysql
mysql-client
php5
php5-mysql
apache2
apache2-mod_php5

Arrancar servicios al inicio (comando parecido al conocido "update-rc.d" de Debian)

insserv apache

insserv mysql

insserv snort

Configurar MySQL

Cambiar contaseña 'root:

mysqladmin -u root password NUEVAPASS

Crear una bbdd para snort

mysql -u root -p

create database snort;

Crear un usuario con acceso total a esa base de datos

grant all on snort.* to snort@localhost identified by 'PASSWORD';

flush privileges;

Insertar las tablas desde el esquema que hay en: “/usr/share/doc/packages/snort/schemas”

mysql -u snort -p snort < /usr/share/doc/packages/snort/schemas/create_mysql

Configurar SNORT:

Modificar:

/etc/snort/snort.conf

var HOME_NET [192.168.0.0/24,xxxxxxxxxxx/xx] #ESTO AL GUSTO DEL CONSUMIDOR

Configurar las ips de los servidores dns, smtp.....

(outputs-mysql para que almacene el log en una bd MySQL. Buscar alrededor de la linea 570)

Utilizar para la linea que esta comentada (descomentándola claro):

output database:log, mysql, user=snort password=snort dbname=snort......

Personalizar las reglas:

Comentar los includes de ****.rule

/etc/sysconfig/snort

SNORT_ACTIVATE=”yes”

SNORT_PROMISC=”yes”

Personalizar las reglas:

De esta forma, SNORT analiza el tráfico y almacena lo que le parece reseñable, pero necesitamos alguna herramienta, a poder ser gráfica, en la que se nos muestren los resultados y podamos filtrar toda esa información.

Dos Front-ends probados: ACIDLAB y BASE

INSTALACIÓN DE ACIDLAB

Descargar “acidlab” y descomprimirlo en “htdocs”

AcidLab utiliza una base de datos mysql para él. En vez de crearla, con otro usuario/contraseña y demás, aprovecharemos la que tenemos para snort añadiendole las tablas que necesita.

mysql -u snort -p snort < /srv/www/htdocs/acid/create_acid_tbls_mysql.sql

Editar “./acid_conf.php”

Configurar las dos conexiones a bases de datos mysql que aparecen entre las lineas 30 y 45 aproximadamente.

Instalar AdoDB. Son unas librerias php que deben colocarse en el mismo directorio que acidlab

descargarlo de: adodb.sourceforge.net

tar xvfz ado.....tgz

cp -a adodb /srv/www/htdocs/acid

Editar “/srv/www/htdocs/acid/acid_conf.php”

Linea 12: $Dblib_path =” ./adodb” //mejor poner la ruta entera, pero asi ya va

Reiniciar los servicios: snort, mysql, apache

Probarlo todo: hacer un escaneo de puertos desde otra ip y mirar en “http://localhost/acid”

DEBEN SALIR VARIAS ALERTAS YA AHÍ

Instalación de “oinkmaster”: Es un script que se conecta a la web de reglas de snort y las actualiza con las ultimas versiones. Las que vienen instaladas son las originales de cuando se empaquetó la aplicación.

Ir a Http://oinkmaster.sourceforge.net/

Descargar

decomprimir

copiar:

oinkmaster.conf --> /etc

oinkmaster.pl -->/usr/bin

Registrarse en snort.conf

User Name: tururu
Password: tururu

Recoger código de activación.

Editar “/etc/oinkmaster.conf”

url = “descomentar lo de la versión 2.4 e introducir el código de activación

y lo mismo en la de “Community Rules”

Comando para actualizar lista de reblas: hay que ponerlo en el crontab

oinkmaster.pl -o /etc/snort/rules/ 2>&1 | logger -t oinkmaster

NOTA: acid no pide usuario ni contraseña ni nada. SE DEBE poner una autentificación http.

BASE – OTRO VISOR DE ALERTAS

wget http://belnet.dl.sourceforge.net/sourceforge/secureideas/base-1.2.6.tar.gz

Descomprimir y meter la carpeta “base” en “htdocs”

cp /srv/www/htdocs/base/base_conf.php.dist /srv/www/htdocs/base/base_conf.php

Descargar “adodb” y ponerlo dentro de la carpeta “base” también

Editar ese archivo (base_conf.php):

(aprox. Linea 44): $BASE_urlpath = '/base'

(aprox. Linea 66): $Dblib_path='./adodb'

Configurar las bases de datos.

Una es la propia de snort, la otra que viene son las tablas extra que metimos en la base de datos de snort con el “acid”, de forma que hay que crearlas/añadirlas con las herramientas del otro paquete.

Necesita la extensión: php5-db

Se necesita “pear”

Instalar extensiones de PEAR:

pear5 channel-update (LISTA DE EXTENSIONES DISPONIBLES EN EL SERVIDOR

pear5 install Image_Color (INSTALACIONES VARIAS...)

pear5 install Image_Canvas

pear5 install Image_Graph

Tiene traducción al español. Viene incluida. Solo hay que cambiar la opción del archivo de configuración de “base”.

Último detalle:

Cambiar en el “php.ini” (/etc/php5/apache2/php.ini)

“error_reporting” debe quedar como: error_reporting E_ALL & ~E_NOTICE

ACTUALIZACIÓN IMPORTANTE:

Hay documentado por la red un error en esta configuración. Se da en ocasiones que "SNORT" pierde la conexión con la base de datos de forma permanente, de forma que se dejan de registrar alertas y es como si el sistema se parase ya que deja de realizar sus funciones.
Para evitarlo, añadir las siguientes lineas al archivo de configuración de MySQL ("/etc/my.cnf") en la sección "[mysqld]":

[mysqld]

[...]
wait_timeout = 604800
interactive_timeout = 604800
[...]

Manejo de unidades de copia en cinta

2007-02-11T19:35:00.000+01:00

Estos pasos han sido probados en unidades SCSI. Existen otros tipos de interfaces para estas unidades de cinta y probablemente no sería muy complicado hacerlas funcionar con los mismos comandos (salvo porque seguramente serían detectadas como otro dispositivo).

Las unidades IDE es posible que se puedan manejar de forma directa con kernels 2.6. En caso contrario se debe hacer la emulación ide-scsi tan clásica en las grabadoras de compactos en los tiempos del kernel 2.4.

Todas las que he utilizado son detectadas bajo principalmente dos identificadores:
/dev/nst0
/dev/st0

Físicamente "nst0" y "st0" son el mismo dispositivo; la diferencia está en que "st0" SÍ se auto rebobina después de cada operación. No así "nst0" que después de una escritura la cinta queda en la última posición escrita. Estos modos de operación son importantes a la hora de utilizar algún software específico de backup como "amanda" o "bacula", que necesitan un modo de operación específico (normalmente "nst0").

Las unidades SCSI de tipo DAT-72 (de HP) y Ultrium son reconocidas de esta forma. Las unidades externas de conexión USB suelen ser emuladas por el sistema y terminan quedando enlazadas con estos descriptores de dispositivo (nst0, st0) y se pueden utilizar de la misma forma que los internos.

El comando utilizado para el manejo de la unidad es 'mt':

* mt -f /dev/nst0 rewind (Rebobina la cinta. Es necesario rebobinarla para comenzar una nueva copia)
* mt -f /dev/nst0 eject (Expulsión de cinta. En determinadas versiones de 'mt' rewind tambien la expulsa)
* mt -f /dev/nst0 erase (Borra el contenio)
* mt -f /dev/nst0 status (Muestra el estado de la unidad)
* mt -f /dev/nst0 retension (Rebobina y tensa la cinta)

Como se puede ver, el parámetro "-f xxx" indica el nombre dispositivo que Linux ha asignado en el directorio "/dev" al dispositivo. Usando aquí "nst0" ó "st0" tendremos la unidad funcionando en modo de auto rebobinado o nó.

Conviene leer la ayuda de este comando ('man mt') puesto que según la versión utilizada algunos de estos parámetros ya incluyen las funciones de otros, cambian de nombre o desaparecen.

Hay más opciones, pero estas nos serán suficientes para la mayor parte de operaciones que necesitemos.

REALIZACIÓN DE COPIAS DE SEGURIDAD

Sobra decir que una cinta es un dispositivo de acceso secuencial, lo que significa que para leer la información que se encuentra en la posición 'N' de la misma, es necesario leer la información de las 'N-1' posiciones anteriores. Esto hace que las copias en cinta sean usadas como última opción pero a la vez permiten almacenar gran cantidad de información (hasta 100 GB en algunas) y son muy fiables. Pueden ser reescritas hasta unas mil veces dependiendo del fabricante/modelo y soportan condiciones ambientales suficientes para lo que ofrecen la mayoría de centros de datos y oficinas donde estarán funcionando.
Son dispositivos lentos. Suelen leer/escribir a una velocidad de uno 3 ó 4 MB/seg. de ahí que las copias de seguridad se lancen a horas en que los sistemas no están siendo usados (pueden tardar varias horas).

Para hacer copias, normalmente se utiliza la herramienta 'tar' para escribir los archivos de respaldo directamente sobre el dispositivo de forma secuencial.

El soporte en GNU/Linux es excelente, y de hecho no es necesario formatear las cintas nuevas para utilizarlos (en otro sistemas sí es necesario darles formato).

EJEMPLOS DE COPIA DE RESPALDO UTILIZANDO 'tar' (como root):

* tar cvf /dev/nst0 /directorio_importante (copia de seguridad del directorio 'directorio_importante)
* tar cvf /dev/nst0 / (copia de seguridad de todo el disco duro)
* tar cvf /dev/nst0 /home /mnt /var /boot/bzimage (copia de seguidad de varios directorios y archivos)

Se pueden utilizar los parámetros del comando "tar" que se usen normalmente para comprimir la información al escribirla en la cinta:

* tar cvfz /dev/nst0 /directorio_a_respaldar (compresión gzip)
* tar cvfj /dev/nst0 /directorio_a_respaldar (compresión bzip2)

RESTAURACION DE COPIAS

Se deben usar los mismos parámetros de compresión utilizados al realizar la copia

* tar xvf /dev/nst0 (restaura la copia)
* tar tmv /dev/nst0 (visualiza la copia)

Servidor de Impresión para Linux y Windows

2006-12-16T12:26:00.000+01:00

El servidor en cuestión es un aparatito de marca "Conceptronic" que se conecta a la red local y por USB a la impresora. También necesita alimentación a través de un transformador incluido.

Se configura via Web y permite establecer el nombre del "Grupo de trabajo Windows" en el que se desea que funcione.

Pero lo interesante es que soporta un montón de protocolos de impresión remotos. He aquí la salida de un escaneo con "nmap" sobre la IP del aparato:

Not shown: 1675 closed ports
PORT STATE SERVICE

80/tcp open http

81/tcp open hosts2-ns

139/tcp open netbios-ssn

515/tcp open printer

9100/tcp open jetdirect

Para los clientes con Windows XP, la impresora aparece en el entorno de red bajo el nombre que le demos al servidor de impresión al configurarlo. También podemos hacer esto con SAMBA desde Linux.

Pero lo interesante es usar la impresora directamente como una "Impresora TCP/IP". Para ello, una vez instalado CUPS, los drivers que correspondan a la impresora (en mi caso HPIJS + Foomatic) y desde algún gestor gráfico como el "kprinter" de KDE, añadimos la impresora indicando:

IMPRESORA DE RED (TCP)

Y en los siguientes diálogos especificar su dirección IP y el puerto 9100. Es decir que vamos a utilizar el protocolo "jetprinter", que es bastante rápido y cómodo. Después deberemos indicar nuestro modelo de impresora... y a imprimir.

Realmente una gran compra para compartir una impresora. Además mantiene esos detalles que incorporan ahora las impresoras que nos hacen la vida un poco más sencilla, como por ejemplo encender automáticamente la impresora si al ir a imprimir está apagada.

También he comprobado que puede manejar una cola de impresión bastante larga e incluso de trabajos enviados con diferentes protocolos.

*NOTA.- Desde WindowsXP también se puede imprimir con el protocolo "jetdirect". Para ello hay que agregar la impresora como si fuera una impresora local conectada al propio ordenador y después indicar que el puerto que queremos usar no es un puerto local (LPT1, USB....) , sino un puerto remoto TCP/IP emulado en la dirección IP y puerto deseados