tecnoquia

VMware y la copia de máquinas virtuales

2012-02-11T00:54:00.003+01:00

A menudo creo máquinas virtuales con VMware Server 2.X que luego al llevo a otros equipos, pero cuando voy a inciar la máquina virtual me encuentro que nunca termina de iniciar. Al consultar la consola de VMware me encuentro que VMware me está preguntando qué he hecho con esa máquina y no la iniciará hasta que responda a la pregunta.

Para evitarlo, podemos añadir al fichero .VMX las siguientes líneas:

uuid.action = "create"
msg.autoAnswer = "TRUE"

...pero ... ¿para qué vale Multipath?

2012-02-11T00:45:00.003+01:00

Llevo ya varios posts escribiendo sobre software Multipath y acabo de caer en la cuenta... vaaleee ... ¿qué es esto del software MultiPath?, ¿para qué sirve?, ¿por qué tanto interés en documentar todo esto?. Bien, habrá que empezar por el principio.

Desde los años setenta nos han machacado con el concepto de jerarquía de memoria: La memoria cuanto más cerca de la CPU más rápida y más cara, y cuanto más lejos, más barata y más lenta. Desde entonces hemos asistido a una desenfrenada evolución de las tecnologías de almacenamiento, para acercar a la CPU más cantidad de almacenamiento, a menor coste y a mayor velocidad ... pero ... ¿por qué?... porque la información es el recurso más valioso de cualquier organización, como siempre fue y será, y ya se sabe desde hace siglos que la información es poder. Si combinamos estas ideas aparece un mercado que vende almacenamiento masivo y rápido a un precio razonable, dirigido a cubrir las necesidades de almacenamiento de cualquier organización. Estas necesidades se suelen empaquetar y distribuir en forma de discos duros, relegando las cintas magenéticas a la copia de seguridad de los primeros en el siguiente escalón de la jerarquía de memoria... pero claro, la tecnología tiene sus limitaciones y no podemos empaquetar toda la información que requiere el poder en un único disco duro: necesitamos varios discos duros con la máxima capacidad, los metemos en una caja que los contenga todos y los conectamos entre sí, superando así las limitaciones que nos impone la tecnologia y sumando la capacidad de todos ellos, y los organizamos en cajones dentro de la caja, para poder ampliar con más discos en el futuro.

Confiar toda la información de nuestra organización y el poder a una única caja de discos duros, en la que el fallo de uno de ellos pondría en peligro el resto de la información, es bastante arriesgado: Sacrifiquemos algo de capacidad a cambio de seguridad de la información y nos encontraremos con lo que se conoce por RAID, y sus distintos tipos: RAID-0, RAID-1, RAID-5 etc. RAID viene del acrónimo conjunto redundante de discos independientes, pero en inglés (Redundant Array Independient Disks) y los distintos tipos se corresponden con distintas combinaciones para repartir la información entre los discos de la caja, y ganar velocidad y/o seguridad, pero claro... ¿quién implementará esto?, ¿quien se encargará de distribuir la información entre los discos de la caja? ... está claro que necesitamos un elemento nuevo en la caja que implemente esta lógica de acceso: Este elemento lo llamaremos controladora y no deja de ser un pequeño computador dedicado a implementar estas funcionalidades. Vale, ya tenemos solucionado el problema de que falle alguno de los discos... ¿pero qué pasa si falla la controladora? ... que lo perdemos todo, nada, nada, metemos una segunda controladora y un mecanismo para detectar que si una cae entre en funcionamiento la segunda.

Como no se puede acercar todo el almacenamiento que necesitemos a la CPU, había que buscar un método para llevarle la información y se usó lo que se conocía hasta entonces que era bueno: SCSI es un estándard para la transferencia de información hacia la CPU, que se implementó en las controladoras de la caja de discos... pero claro... ¿cómo hacemos llegar los bytes del poder hasta la CPU, desde las controladoras de la caja? ... mediantes cables de red (iSCSI) o de fibra óptica (FC-ALL): Pinchamos una tarjeta de expansión especial (que llamaremos HBA) al ordenador de la que salga un cable de fibra óptica y que se conecte a la controladora. Esta tarjeta se encargará de convertir los rayos de luz en señales eléctricas SCSI y a través del bus del sistema llevar los bytes hasta la CPU. Perfecto, todo solucionado, pero ¿qué pasará si se rompe esta HBA? ... que nos quedamos sin bytes ... la solución: Poner una segunda HBA en el equipo, o vender tarjetas de expansión con doble HBA, y conectamos cada HBA a una controladora.

¿Y si queremos conectar más de un ordenador a la caja de discos? ... en ese caso necesitaremos usar un elemento intermedio que realice labores de conmutación, igual que hacemos con los switches de red, y ya podremos conectar muchos equipos a nuestra caja de discos: todos conectados a este switch especial y las controladoras también, pero claro ... ¿y si se rompe ese switch?, pues lo de siempre: nos quedamos sin información; nada, nada pongamos dos switches, y conectemos una de las HBAs y una controladora a uno de los switches y la otra HBA y la otra controladora al otro switch.

En esta pequeña historia, nos encontramos que los actores reales que fabrican cajas de discos son muchos, aunque es habitual encontrarnos:

EMC, que fabrica Clariion, Cellerra, Symmetrix, por nombrar alguno,
IBM, que fabrica DS4xxx, DS5xxx, EXPxx, v7000, etc...
HP, que fabrica EVA 4xxx, EVA 5xxx, EVA 6xxx, XP P9xxx, MSA, etc...

Las diferencias entre los fabricantes radican principalmente en el precio, los servicios postventa que ofrecen, y el funcionamiento técnico interno de estas cajas de discos: Unas permiten que las dos controladoras trabajen simultáneamente sobre los mismos discos, otras trabajan las dos controladoras pero no sobre los mismos discos, en otras, el almacenamiento global se gestiona como un todo sobre el que vamos haciendo particiones y asignando a los servidores, en otras solo vemos como un todo el espacio de los discos del mismo cajón, etc...

Recordemos que el objetivo de todo esto al final, se hace para conseguir ofrecer más cantidad de almacenamiento a los equipos de nuestra infraestructura, un cachito de espacio, que el sistema operativo verá como un nuevo disco duro SCSI, pero claro, se llega al mismo disco por diferentes caminos:

Desde la HBA-1, al Switch-1, a la controladora-1 y de ahí al disco
Desde la HBA-1, al Switch-1, a la controladora-2 y de ahí al disco
Desde la HBA-2, al Switch-2, a la controladora-1 y de ahí al disco
Desde la HBA-2, al Switch-2, a la controladora-2 y de ahí al disco

Esto hace que el sistema operativo vea cuatro discos, en vez de uno que en realidad son el mismo, y además, que algunos elementos están por si falla el análogo, y por tanto y dependiendo de la tecnología que use el fabricante, no se podrá acceder al disco. ¿Qué sucede entonces? ... que necesitaremos de un software especial en el sistema operativo, capaz de hablar correctamente con las controladoras y las HBAs, que sepa en qué estado están los diferentes caminos, y elija el más óptimo para acceder al disco, y si en un momento falla alguno de los elementos, dirija el tráfico de bytes por otro camino que sí que funcione correctamente.

Hace unos años, este software que llamamos de Multipath (por aquello de trabajar con múltiples caminos) lo proporcionaba el propio fabricante de cajas de discos, pero nos lo cobraba aparte, aunque eso sí, funcionaba perfecto: Si luego queríamos conectar a los switches otra caja de discos de otro fabricante, el software del primero era incompatible con el del segundo, y por supuesto, también los cobraba aparte.

Esta pequeña dictadura de los fabricantes la rompe la comunidad del software libre, desarrollando DeviceMapper Multipath, que permite controlar caminos hacia diferentes discos de diferentes cajas de discos y además evitarnos pagar una licencia extra por el uso del software: Ya pagamos por la caja, los cajones, los discos y el soporte ... ¿por qué no nos regalan ese software?, ¿por qué tenemos que pagar encima, para poder usar todos los cacharros que ya hemos tenido que pagar a la misma empresa?...

La actitud de estas empresas entonces, es dificultar el acceso a las configuraciones y a la documentación de cómo configurar correctamente DeviceMapper MultiPath con sus productos, y la comunidad del Software Libre no tiene acceso a todos estos modelos para elaborar guías de configuración.

Es gente anónima y blogs como este, que tenemos acceso a estas cajas de discos, los que nos peleamos con las cabinas de almacenamientos y las configuraciones de multipath, comprobamos que todo funciona como debe y los publicamos para que otros usuarios se encuentren este trabajo hecho y lo tengan más fácil.

Multipath en OUL 5.7 con Clariion CX3-20

2012-02-08T21:43:00.002+01:00

Esta semana necesité configurar DeviceMapper Multipath en Oracle Unbreakable Linux 5 update 7, conectado a una SAN de EMC Clariion CX3-20.

El primer paso será crear el fichero /etc/multipah.conf con el siguiente contenido:

defaults {
    user_friendly_names     yes
    udev_dir                /dev
}

blacklist {
        devnode "^(ram|raw|loop|fd|md|dm-|sr|scd|st)[0-9]*"
        devnode "^hd[a-z][[0-9]*]"
        devnode "^cciss!c[0-9]d[0-9]*[p[0-9]*]"
}

devices {
    device {
        # Identificar la cabina (EMC Clariion)
        vendor "DGC*"
        product "*"

        # Como comprobar si los caminos estan arriba...
        path_checker emc_clariion

        # Como agrupar los caminos (por prioridad)
        path_grouping_policy group_by_prio

        # Como obtener los IDs de los discos...
        getuid_callout "/sbin/scsi_id -g -u -s /block/%n"

        # Como obtener las prioridades de los discos...
        # ... podemos obtener los valores disponibles...
        # rpm -ql device-mapper-multipath-libs-0.4.9-23.0.9.el5 | grep libprio | cut -c25- | cut -d'.' -f1
        prio     "emc"

#        ..esto era en Ubuntu
#       prio_callout "/sbin/mpath_prio_emc /dev/%n"

        # Algoritmo para presentar io al kernel por los caminos vivos
        path_selector "round-robin 0"

        # Esto es casi que así, porque es lo unico que hay implementado
        #features "0"
        features "1 queue_if_no_path"

        # Cada cuando se reintenta si el camino esta vivo (aunque
        # lo que manda muchas veces el valor del firmware y nvram)
        no_path_retry 300

        # Esto es así para Cabinas EMC
        hardware_handler "1 emc"

        # Le dice al demonio como manejar los caminos caídos...
        failback immediate
    }
}
multipaths {
    multipath {
        wwid        360060160066021007ebcc08b0c38df11
        alias       LunDatos
    }
}

...y después de guardar los cambios del fichero /etc/multipah.conf, aplicaremos la nueva configuración ejecutando...

Eliminar la configuración que previa que tenía el sistema, sobre los caminos...
```
multipath -F
```
Refrescar la información de los caminos que vemos desde la SAN, con esta nueva configuración ...
```
multipath -v3
```
Comprobar el acceso a los discos, y el estado de multipath
```
multipath -ll
```

SquasFS

2012-01-25T00:19:00.001+01:00

En la línea de initrd, SquashFS se diseñó como un sistema de archivos genérico con compresión, para sistemas embebidos. Este sistema de archivos se ha hecho muy popular con la proliferación de LiveCDs, y se usa para almacenar el sistema Linux con todas las aplicaciones ya instalados, como si comprimiéramos el directorio raíz de un equipo ya instalado y configurado: Cuando la LiveCD! arranca e initrd lleva el kernel a memoria, monta este fichero squashFS en modo sólo lectura y se convierte en el directorio raíz del sistema, teniendo a partir de ese momento todas las aplicaciones disponibles.
Es posible que se nos despierte la curiosidad, y queramos husmear en el contenido de uno de estos archivos,

Lo primero será crear un directorio temporal en el que copiar el contenido del fichero SquashFS
```
cd
mkdir squash_descomp
```

Luego, tendremos que montar el fichero SquashFS

mkdir /tmp/test.squash
mount  -t squashfs -o loop filesystem.squashfs /tmp/test.squash

Para editar el contenido debemos copiarlo conservando permisos, en el directorio que creamos...
```
rsync  -v -rlt -a /tmp/test.squash/ squash_descomp/

umount /tmp/test.squash/
```
En el directorio squash_descomp, quedará el contenido del fichero SquasFS y ya podremos cambiar ficheros, permisos, añadir, etc. Cuando acabemos con ello, podremos volver a convertir en un fichero SquashFS mediante
```
cd squash_descomp

rm -f ../filesystem.squashfs
mksquashfs . ../filesystem.squashfs
```

Initrd (reloaded)

2012-01-24T23:13:00.002+01:00

Los ficheros initrd(initial ramdisk) contienen un pequeño sistema con los ficheros básicos que permitan iniciar un kernel de Linux en memoria RAM al arrancar nuestro sistema. A partir de él, ya se puede montar el directorio raíz e ir cargando el resto de módulos del núcleo que configuran nuestro hardware.

Aunque ya hemos hablado aquí sobre cómo examinar el contenido de uno de estos ficheros, quería mejorar la entrada, porque no suelo usar aquel procedimiento, sino este otro que quiero contar hoy que me resulta menos litúrgico, y que he tenido que usar demasiado a menudo en los últimos meses, porque ando editando el arranque de distribuciones LiveCD como Clonezilla, Trinity Rescue, y otras tantas que finalmente no cuajan porque no me sirven.
Como ya comentamos en aquella entrada encontramos dos tipos de ficheros initrd:

Initrd, en kernel anteriores a 2.6.13, almacena la imagen de un sistema de ficheros (que podía venir comprimido), habitualmente ext2 (el driver ext2 debía estar incluído en el kernel y no como módulo), aunque otros como Debian usaban cramfs.Este sistema de archivos se ponía disponible al montarlo sobre un dispositivo /dev/ram, como sistema raíz inicial, para justo después ejecutar /linuxrc . Cuando este programa finalizaba, se ejecutaba /sbin/init que ya se encargaría de iniciar el espacio de usuario.Para examinar su contenido, podemos ejecuar...
```
cp initrd.original  initrd.paramodificar.gz

mkdir contenido-initrd
gunzip initrd.paramodificar.gz
mount  -o loop initrd.paramodificar  contenido-initrd
```
Initramfs, aparece a partir del kernel 2.6.13 y mejora sustancialmente a su predecesor, ya que no se tiene que montar sobre un disco virtual, y tampoco es necesario parchear el kernel para incluir el soporte básico que permite descomprimir y montar el propio initrd. En definitiva, se consigue mayor flexibilidad y facilidad para la administración.Para examinar su contenido, podemos ejecuar...
```
mkdir contenido-initrd

cd contenido-initrd
gzip -S img -dc ../initrd | cpio -id
```

En cualquier caso, si ejecutamos estos comandos tendremos su contenido en el subdirectorio contenido-initrd, y podremos modificar los archivos que necesitemos con nuestro editor faVorIto. Luego podremos volver a su forma natural ejecutando...

 cd contenido-initrd
find ./ | cpio -H newc -o | gzip -c > ../initrd

si se trata de un fichero initramfs, y si fuera un initrd, tendremos que desmontar y volver a comprimir...

cd
umount contenido-initrd
cat initrd.paramodificar | gzip -c > initrd

Despedida de LinEX

2012-01-08T01:10:00.001+01:00

La semana pasada supimos que la Junta de Extramdura había decidido no renovar los contratos al personal del Centro de Excelencia de Software José de Espronceda, organismo encargado del desarrollo de LinEX. En el foro oficial podemos escribir nuestras condolencias. Según el propio gobierno autonómico, la decisión se fundamenta en la insostenibilidad del proyecto y la necesidad de ahorrar en estos tiempos de crisis económica.
Este anuncio llena de incertidumbre el futuro de la apuesta más importante de una administración pública española por el uso de software libre, que además fue un referente a nivel mundial y nacional, y sentó las bases para el nacimiento del resto de distribuciones autonómicas: Guadalinex, Molinux, Lliurex, Max, y otras cuantas más.
A mi juicio el experimento ha sido un éxito rotundo, pero no dejan de preocuparme las causas reales que se esconden tras esta decisión:

¿se está tratando de borrar el rastro de una gestión exisitosa del anterior gobierno autonómico de signo político contrario al actual?
¿se quiere apostar ahora por software privativo, que no impute coste de desarrollo e implantación a corto plazo?
¿existe presión por parte de alguna de las grandes compañías de software, dispuestas a regalar licencias a la administración pública regional, a cambio de desprestigiar diez años de éxito del software libre?

La comunidad española del software libre, tenemos muchísimo que agradecer al proyecto LinEX, por las numerosas contribuciones a la comunidad, la formación y difusión que han realizado del Software Libre en foros técnicos y no técnicos, y la experiencia del contacto con la política: Nos han mostrado un camino de cómo pueden relacionarse Software Libre y Política y con ello,

generar riqueza local con la aparición de nuevas empresas que ofrezcan soporte y formación
tener software compatible e interoperable que se ajusta a nuestras necesidades y realidad local
lograr independencia tecnológica de compañías multinacionales extranjeras
garantizar el acceso universal a la información y la no discriminación

... pero también nos han enseñado, como la política puede estropearlo todo:

... fomentando los localismos que ayudan a resaltar nuestras diferencias, en vez de nuestras semejanzas,
... multiplicando los costes por hacer lo mismo desde diferentes lugares, y coaccionando la cooperación para justificar la inversión,
... bloqueando acomplejadamente la participación y el retorno a la comunidad para proteger la inversión
... manchando de color político algo incoloro como la tecnología, para que los ciudadanos sean capaces se asociarles un partido político y canalizar sus disconformidades como una forma mediática de oposición

No debemos dejar de reconocer el importantísimo papel de las administraciones públicas y de la política, como catalizador para que las empresas locales, empiecen a generar riqueza en torno al software libre: Europa ya no puede competir con EEUU en cuanto software. Dependemos de Novell, Google, Oracle, Microsoft, IBM... Somos tecnológicamente dependientes de EEUU. La única forma de alcanzar independencia tecnológica en informática y ser competitivos, es a través del software libre.... pero ... ¿cómo pueden las administraciones públicas contribuir a ello, ante noticias como la que estamos comentando?

Legislar para conseguir la independencia tecnológica. Obligar que las soluciones al ciudadano no les obliguen a tener determinado software de acceso restringido.
Pagar por implantaciones basadas en software libre y formación, sin contratar nuevos funcionarios ni la constitución de más entes públicos que se encarguen de ello, es labor de las empresas locales.
Obligar que las empresan que ganan los concursos públicos realicen trabajos basados en software libre, lo liberaren y contribuyan con la comunidad.

La mejor de las suertes para el equipo de LinEX y mis más sinceros agradecimientos.

FreeSSHd: Un servidor SSH para Windows

2012-01-06T08:48:00.003+01:00

A menudo nos encontramos con la necesidad de poder conectar con un servidor Windows, desde otro equipo, en las mismas condiciones que cuando lo hacemos entre servidores Linux usando SSH.

Normalmente esta necesidad podíamos cubrirla usando CygWin, pero nunca me ha terminado de convencer porque al final terminábamos convirtiendo nuestro servidor Windows en un servidor Linux al que le faltaban bastantes cosas, además del inconveniente de la doble gestión de cuentas de usuario, el lío con las barras separadoras de directorios ("/" y "\") según el comando que ejecutáramos, y por supuesto, el hecho de que muchos comandos no están al nivel de implementación de Linux y les faltan opciones... todo esto siempre me causó la impresión de que no estaba usando ni un Linux, ni un Windows, sino un refrito que funciona a medias. Nunca consideré CygWin como una opción seria para servidores en producción.

Afortunadamente, disponemos de alternativas libres para ello como FreeSSHd. Este es un simple servidor SSH y Telnet para equipos Windows, y permite hacer esto que reclamo: Instalarnos un servicio que escucha conexiones por el puerto 22 y/o 23 y al autenticarnos nos abre una consola del intérprete de comandos de Windows. Luego usaremos los mismos comandos que usaríamos frente a una ventana.

La instalación es bastante sencilla, y no ofrece ninguna complicación. Una vez lo hayamos instalado, tendremos que editar la configuración del servidor, y configurar qué puertos queremos escuchar: SSH y/o Telnet.

Además, debemos indicarle qué usuarios del equipo Windows le permitimos la conexión y con qué opciones.

Una vez realizada esta configuración básica, reiniciaremos el servicio, y ya podremos conectar mediante SSH como si se tratara de un servidor Linux. Observar que al conectar la consola no se limpia y el prompt de Windows se nos va al inicio del terminal sobreescribiendo lo que tuviéramos.

Para crear confianzas SSH mediante clave pública, tendremos que añadir las claves públicas, igual que hacemos con el fichero authorized_keys en Linux, pero al fichero %PROGRAMFILES%\FreeSSHd\LOGIN_USUARIO. El servicio va escribiendo un log en %PROGRAMFILES%\FreeSSHd\freesshd.log.

Una maravilla la verdad, simple y directo. El único inconveniente que le veo a este programa es que tendremos que usar SFTP desde Linux para poder copiar ficheros al equipo Windows: El comando SCP no nos funcionará :(.

¡Feliz 0x7DC!

2012-01-03T23:01:00.003+01:00

Feliz y próspero año nuevo a todos los que pacientemente habíais esperado ver si se actualizaba este humilde blog, y a los que no … ¡también!.

Este año es el año de las olimpiadas de Londres (¿cuántas medallas conseguiremos?) , el de la Eurocopa (¿volverá España a caer en cuartos? ¿Raúl selección?), será nuestro primer año Mariano (por aquello de nuestro nuevo presidente Mariano Rajoy), volveremos a sufrir una nueva campaña electoral antes del Verano y, aunque los días no tengan más horas, Febrero sí que tendrá un día más, al contrario que las semanas laborales, que tendrán algún puente menos. Viendo esta perspectiva, da la impresión que será un año de ajustes...

Este año 2012 que acabamos de estrenar, es el año en el que acaba el calendario Maya, y empiezan los augurios proféticos sobre el advenimiento del fin del mundo, aunque … parece que este fin del mundo empieza por la destrucción de nuestro estado de bienestar, del Euro, y de Europa... quizás los Mayas simplemente fueran prácticos, y pensaran: “¿quién de nosotros va a estar aquí para el 2012? … ya actualizaremos el calendario cuando toque, intentemos vivir nuestro presente” ... y desde entonces hasta la llegada de los españoles al nuevo mundo, hubieran estado procrastinando ... ¿quién sabe lo que pasó entonces, y lo que nos sucederá ahora?, pero con mis mejores deseos, un poco de suerte y otro poco de paciencia espero que podamos comprobarlo juntos en unos cuantos meses.

La foto la he sacado del album de Dee_m en flickr

Proxy SNMP

2011-02-27T08:27:00.002+01:00

A menudo tenemos el agente SNMP configurado en nuestro servidor Linux para escuchar peticiones SNMP por el puerto UDP/161. El agente responderá a las consultas habituales como carga del equipo, uso de la red, uso de memoria, software instalado, etc. El problema aparece cuando tenemos algún servicio instalado que también es capaz de escuchar peticiones SNMP, como el caso de Oracle o Squid: Para seguir teniendo la monitorización del sistema y sacar partido a la monitorización del servicio, tendremos que configurar los agentes en puertos UDP diferentes, y configurar nuestra herramienta de monitorización para que realice consultas a los diferentes puertos.

Otra posibilidad es configurar un OID de proxy en nuestro servicio SNMPD, editando el fichero para /etc/snmp/snmpd.conf, añadiendo las siguientes líneas:

# Proxy hacia SQUID
# proxy -p 1161 -v 1 -c public 127.0.0.1 .1.3.6.1.4.1.3495.1.3.2
proxy -v 1 -c public localhost:1161 .1.3.6.1.4.1.3495.1

y configurar el agente SNMP del servicio, para que permita las consultas desde nuestra red y desde el propio localhost. Para el caso de Squid, añadiríamos al fichero /etc/squid/squid.conf las siguientes líneas:

#------------------------------------------------
# MONITORIZACION SNMP DEL SERVIDOR
#
snmp_port 1161
acl Snmppublic snmp_community public
acl Adminhost src 192.168.0.0/16
acl thishost  dst 127.0.0.0/8
acl localhost src 127.0.0.0/8
snmp_access allow Adminhost Snmppublic
snmp_access allow thishost  Snmppublic
snmp_access allow localhost Snmppublic
snmp_access deny all

Reiniciar los servicios involucrados:

squid -k reconfigure
/etc/init.d/snmpd restart

y comprobar...

Directamente consultando el agente...

snmpwalk -v 1 -c public 127.0.0.1:1161  .1.3.6.1.4.1.3495.1.3.2

... y a través del proxy...

snmpwalk -v 1 -c public 127.0.0.1 .1.3.6.1.4.1.3495.1.3.2

Con esta configuración no tendremos que contemplar ninguna excepción en nuestro software de monitorización, y podremos monitorizar los distintos servicios usando el mismo puerto.

El final de los departamentos de IT

2011-02-26T23:25:00.001+01:00

Esta semana he estado viendo soluciones en la nube para nuevos proyectos que tenemos que realizar, y casualmente encontré este artículo en 37signals llamado The end of the IT department, que me he animado a traducir, de un forma un tanto libre.

Cuando la gente habla de sus departamentos de informática, siempre suele hacerlo para quejarse las cosas que no les permite hacer, las aplicaciones que pueden ejecutar, y el tiempo que se pierde para no hacer nada. Políticas rígidas e inflexibles llenas de buenas intenciones para favorecer la convivencia entre los departamentos de la empresa, sin mencionar la frustración que supone hablar lenguajes diferentes. Nada de esto ayuda a construir unas relaciones sólidas entre los departamentos de las organizaciones.

Si aquellas organizaciones que tanto se quejan hubieran externalizado estos servicios, hace tiempo que habrían cerrado. Los departamentos de informática se han sufrido como un mal necesario. Pero ahora, estos días están llegando a su final.

El problema con los departamentos de informática es que se han creado como un proveedor interno obligatorio. Desde el principio, tienen el monopolio sobre el "problema informático", y tienen a ofrecer el mismo servicio a sus clientes que ofrece cualquier servicio postal. El departamento de TI tiene todo el poder, y iremos a ninguna parte (al menos no, a corto plazo), si sus clientes son vistos como meros peones. No se favorece un circuito de retroalimentación que favorezca la mejora continua.

Obviamente, también se puede mirar desde el otro lado de la valla. Los departamentos de TI suelen ser tratados como un centro de coste, justo por encima del servicio paquetería y del servicio de katering corporativo, que no ganará nada cuando todo simplemente funciona, pero que se convierte en el centro de ira de todo el mundo cuando algo falla.

Al mismo tiempo, trabajar en la seguridad de la información a menudo requiere hacer cosas difíciles, lentas y complejas. Si para administrar nuestro servidor de correo se necesitan dos personas dedicadas durante todo el día por turnos, ello significaría que estas personas nunca podrían ser amigos fuera del trabajo. Por supuesto alojar nuestro correo en Gmail es una muy mala idea. Es la misma mecánica que llevó a los sindicatos a luchar contra la fuerza del progreso (¡condiciones de trabajo adecuadas para todos!) y del estancamiento (sólo Jack puede mover las sillas de rueda, Joe es el único que puede conectar el micrófono).

Pero el cambio se acerca. Tratar con la tecnología ha pasado de ser cosa de frikis de la tecnología para convertirse en algo más. Las generaciones más jóvenes lo saben. Ya no se necesita de un equipo de frikis expertos en Informática.

Ya no se necesita de un técnico en la oficina como hombre "de la sala de servidores." La responsabilidad de mantener arriba los servidores se ha alejado de nuestros departamentos de tecnología. Ya podemos conseguir en la Web, casi todos los servicios que antes requerían contratar a un experto.

La transición no va a ocurrir de un día para otro, pero ya comenzó hace mucho tiempo. Las empresas que consideren que pueden prescindir de un técnico del departamento de TI están creciendo en número y tamaño. Es posible tener una oficina de 20 personas sin siquiera considerar la necesidad de adquirir un sólo servidor.

La buena noticia para los operadores de los departamentos de TI es que sus habilidades pueden ser utilizadas para otros usos. La mayoría de los trabajadores del sector del automóvil y del textil envidiarían su situación y estarían dispuestos a cambiarse por ellos.

A mi juicio, hemos llegado a la situación que este artículo, que suscribo totalmente, describe por los siguientes detonantes:

Efectivamente, el problema de comunicación bidireccional que existe entre los diferentes departamentos: Nadie entiende a Informática, pero informática tampoco consigue hacerse entender ni entender las necesidades del resto de departamentos. ¿Cuántas veces han venido a pedirnos un desarrollo que debe estar acabado en dos semanas, o en un mes, hemos dicho que eso no se podía conseguir, lo han subcontratado fuera, han tardado el doble, ha costado 10 veces más, y al final no se ha terminado?
El efecto Mar Muerto en los departamentos de tecnología del que hablaba Enrique Dans, ha vaciado los departamentos de talento y los ha llenado de gente acomodada que apenas aportan innovación, ajenos a las nuevas soluciones que permiten abaratar costes y justificar la inversión que la organización realiza con el pago de su nómina. ¿Cuántas veces hemos calculado la disponibilidad de nuestros servicios, y cuántas veces nos hemos conformado con el 98% (29 minutos al día de caída), evitando responder las comparaciones que nos hacían diciendo "Google nunca se cae"?
Es una consecuencia de la evolución: Primero se externalizaron los trabajos de desarollo, ahora toca externalizar los servicios de administración sistemas. El personal de los departamentos de tecnología evoluciona a gestores de proyectos, y pasa a controlar nuevas métricas relacionadas con la calidad y el coste de los servicios que subcontratan. ¿Cuántas veces nos han dicho que debemos aplicar las buenas prácticas de ITIL o LeanIT, ISO27000 e ISO9001 en nuestros departamentos?¿Qué buscan la implantación de estas normativas, si no es la definición de métricas que valoren la calidad de los servicios que ofrecemos, y una vez que se conocen, poder decidir si el coste lo justifica o es más rentable externizarlos?
La crisis económica acelera estos cambios de mentalidad: Ante los recortes de presupuesto, los primeros en ver recortada la inversión son aquellos departamentos de dudosa rentabilidad. Cada vez hay menos dinero, pero las necesidades siguen existiendo y ello nos obliga a buscar nuevas fórmulas para poder cubrir al menos las más básicas.

Es tiempo de cambios, y como reza el dicho popular a rio revuelto, ganancia de pescadores, y por ello debemos estar atentos a las nuevas ofertas que nos vamos a encontrar y examinar si realmente ofrecen alguna ventaja frente al trabajo que nosotros somos capaces de realizar.

WikiLeaks

2011-02-12T16:19:00.002+01:00

He pensado estrenar el primer post del año (casi en primavera), reflexionando sobre el fenómeno Wikileaks, que tanto espacio está ocupando en nuestros ya castigados espacios informativos, a causa de la crisis, y precisamente hoy, cuando el pueblo de Egipto ha conseguido recuperar el rumbo de su destino, a pesar de la indiferencia de David Bisbal, y el destacado papel que ha jugado Internet en el proceso de liberación.

Realmente, ¿qué es WikiLeaks para alguien de a pie como podemos ser tú o yo?. WikiLeaks es un fenómeno que ha surgido en Internet, que se dice amenaza la seguridad de las naciones, porque publica documentos supersecretos en pro de la libertad de los pueblos. Esos documentos que nos van ofreciendo con cuentagotas, no son más que simples cotilleos de pasillo o de Camera Café, entre gente con cierto interés por la política. Así, de sencillo: No dejan de ser cotilleos típicos de prensa rosa donde los protagonistas son personajes políticos. Están vacíos de contenido y además la mayoría son obvios: ¿Quién puede discrepar a estas alturas de la descripción que hacen de nuestro presidente Zapatero?. No hay nada interesante que no sea un secreto a voces para gente medianamente informada y con un mínimo espíritu crítico, nada más. ¿Qué esperaba yo que fuera material reservado?. Esperaba que la desclasificación nos hubiera explicado a los españoles, por qué nuestro presidente decidió apostar por energias alternativas, cuando ninguna es economicamente rentable sin una importante inversión en I+D que abarate los costes de producción, y se decidiera a cerrar las pocas centrales nucleares que abaratan el coste energético del país. Así consigue hipotecarnos un poco más, porque nos ha inflado la tarifa de la luz para pagar el despilfarro de subvenciones y terminar comprando kilovatios a Francia y petróleo y gas a Argelia que quemar, para transformar en más kilovatios, permitiendo la consiguiente fluctuación del precio, a causa de la inestabilidad política del norte de áfrica que irremediablemente contribuyen a subir el precio del crudo. No me creo, que la decisión radique en motivaciones ideológicas, a pesar de que el personaje se ofrece a ello, sencillamente no me trago que entre todos los asesores que pueda tener, ninguno le previniera. ¿Por qué tenemos que seguir comprando a terceros la energía, y no hemos apostado por ser autosuficientes pero como lo son Francia, Alemania o Estados Unidos, no como son los gnomos en la montaña mágica?

¿Y por qué nos machacan los medios informativos con WikiLeaks?. Sencillamente porque pienso que están intentando crear un estado de opinión generalizado y mundial, para instalar en nuestras mentes la necesidad de controlar la información que se publica en Internet, así de simple. Están preparándonos para que puedan robarnos parte de nuestra libertad en pro de la seguridad, igual que hizo Bush hijo con la guerra preventiva tras el ataque a las torres gemelas. Quizás alguien se sienta amenazado con el potencial movilizador que ofrece Internet a un pueblo aborregado y dirigido, y haya decidido poner remedio antes de que esto pase a mayores. Este tipo de manipulaciones siempre necesita de un sujeto sobre el que representar la maldad absoluta, como se hizo con Ossama BinLaden, Julian Assange no es más que la cara que se le ha puesto a la amenaza de nuestra seguridaden Internet, para que el pueblo llano no tenga que pensar ni imaginar mucho, sólo debe sentir la amenaza.

Informe Robinson

2010-12-31T20:38:00.002+01:00

El año 2010 acaba. Muchas cosas han pasado este año, pero por una las cosas que lo recordaremos es porque ese año España ganó por fin el mundial de Fútbol. Mi cuñao me ha pasado un enlace al Informe Robinson que además fue galardonado con un premio ondas.

El enlace al primero de los vídeos en youtube: http://www.youtube.com/watch?v=ONUwNddTzLE

Virtualización con RedHat: RHEV

2010-12-31T20:33:00.001+01:00

En los últimos tiempos son cada vez más las soluciones de virtualización que se nos ofrecen. Con las últimas adquisiciones de RedHat, esta intenta posicionarse de forma privilegiada entre las soluciones OpenSource. El pasado Agosto presentó la revisión 2.2 de su plataforma RHEV que contiene las siguientes elementos:

RHEV-M for Server (o Management Interface for Server). Es la interfaz Web que usamos para administrar nuestra infraestructura. Es el mismo concepto que VirtualCenter en VMware y se instala sobre Windows 2003/2008 con Active Directory.
RHEV-M for Desktop (o Management Interface for Desktop). Es similar RHEV-M (interfaz web sobre Windows 2k3/2k8 con Active Directory), pero además incluye añadidos para controlar nuestra infraestructura VDI y el Broker basado en SPLICE.
RHEV-H (RHEV Hypervisor Baremetal). Es el hypervisor basado en RHEL 5.4 pero solo con el software de Virtualización (sin Apache, Samba, etc , etc). Es el mismo concepto que ESX en VMware.

Swish-e: GSA en casa

2010-12-31T20:07:00.001+01:00

Shish-e (Simple Web Indexing System for Humans) es una pequeña herramienta OpenSource escrita en C que provee una Api en PERL para indexar nuestros documentos y después permitir cualquier búsqueda sobre ellos. Básicamente esta herramienta construye un árbol de índices sobre las palabras de nuestros documentos, y genera un par de ficheros con ellos. Para lograrlo debemos convertir los documentos a texto plano, de forma que el motor de indexación sea capaz de identificar las palabras y construir los índices sobre ellos. Esto en Linux es una tarea sencilla puesto que podemos ayudarnos de catdoc (para convertir .DOC a .TXT), pdf2text, unoconv (documentos OpenOffice a .TXT) y otros muchos, basta con realizar pequeñas búsquedas en Google y tener un poco de suerte. El motor permite dos modos de trabajo: Un modo araña en el que le pasamos una URL y él es capaz de escudriñar toda la Web siguiendo los enlaces, un modo local, donde nosotros nosotros indicamos un directorio y las extensiones de los documentos que queremos indexar, y un modo mixto, donde a swish-e le pasaremos el programa que usará para obtener las palabras de los documentos: así, swish-e sólo se encargará de construir los índices.
Luego, a través de una API en Perl podremos lanzar búsqueadas en nuestros ficheros. Para afinar nuestras búsquedas permite usar operadores lógicos que le dirán al motor de búsqueda cómo relacionar las distintas palabras de nuestra búsqueda:

and. Si buscamos [dolor and cabeza] le estaremos pidiendo al motor que nos busque documentos que contengan las palabras dolor y cabeza. Este es el comportamiento habitual y no hace falta escribir contínuamente el and: Si ponemos varias palabras [dolor cabeza], el resultado será el mismo que [dolor and cabeza].
or. Si buscamos [dolor or cabeza] le estaremos pidiendo al motor que nos busque documentos que contengan la palabra dolor o cabeza o ambas.
not. Si buscamos [not dolor] le estaremos pidiendo al motor que nos busque documentos que no contengan la palabra dolor.
near. Si buscamos [dolor near cabeza] le estaremos pidiendo al motor que busque documentos que contengan la palabra dolor y cerca de ella, aparezca la palabra cabeza. Esta es una opción similar a and pero permite acotar la proximidad de las palabras para afinar nuestra búsqueda. Podemos limitar la proximidad de estas palabras, añadiendo un número a near: Con [dolor near2 cabeza] le pedimos al motor que busque documentos que contengan la palabra dolor y cabeza separada hasta por dos palabras.

Para especificar varios operadores lógicos podemos usar paréntesis como si se tratase de una expresión matemática, evaluándose de dentro hacia fuera. Así [dolor and (not cabeza) ] buscará documentos que contengan la palabra dolor pero que no contengan la palabra cabeza.
Para afinar aún más nuestras búsquedas podemos usar comodines en las palabras de búsqueda.

?. Usar el comodín ? le dice al motor que sustituya ese símbolo por cualquier letra. Si buscamos [cos?] el motor nos encontrará documentos que contengan palabras como cose, cost, cose, ..., en definitiva, palabras de cuatro letras que comiencen por cos.
*. Usar el comodín * le dice al motor que sustituya ese símbolo ninguna o más letras. Mientras el comodín ? se sustituye sólo por una letra, el comodín *, se sustituye por cualquier cantidad de letras. Si buscamos [libr*] el motor nos encontrará documentos que contengan palabras como libro, librero, librería, ..., en definitiva, palabras de cualquier longitud que empiecen por libr

ShadowCopy con Samba

2010-12-31T19:32:00.003+01:00

ShadowCopy es una característica de Windows 2003 y posteriores que nos permite obtener instantáneas de nuestros volúmenes mediante Volume Snapshot Service (VSS). De esta forma podemos tener respaldos (backups) automáticos o manuales de archivos o carpetas de una unidad de disco en un momento concreto, y mediante un pequeño cliente integrado con el explorador de Windows, acceder al histórico de versiones de un documento o de una carpeta.

En Samba podemos activar esta funcionalidad mediante un VFS especial y la ayuda de Snapshots de LVM sobre volúmenes lógicos. Para ello, procederemos de la siguiente forma:

Disponer el share de Samba sobre un volumen lógico LVM. Por ejemplo, nosotros tendremos /dev/VG_Samba/lv_homes, formateado con EXT4 y lo montaremos sobre el directorio /home/usuarios.
Crear un directorio a la altura de nuestro punto de montaje, para montar los Snapshots del volúmen. En nuestro ejemplo, tendremos el punto de montaje en /home/usuarios_snapshots.. Es importante disponer de espacio libre en el mismo Grupo de Volumen para albergar los snapshots (en nuestro ejemplo, en /dev/VG_Samba)
Configurar la instancia de Samba para activar ShadowCopy. En nuestro ejemplo, añadiremos a smb.conf las cuatro últimas líneas del siguiente bloque, que activan esta configuración.
```
[prueba]
public = yes
writable = yes
comment = Prueba ShadowCopy2
path = /home/usuarios

# Config ShadowCopy
vfs objects = shadow_copy2
shadow:snapdir = /home/usuarios_snapshots
shadow:basedir = /home/usuarios   
```
Cuando lo hayamos editado tendremos que reiniciar nuestra instancia de Samba.

Desarrollar un pequeño script para realizar los snapshots del volumen /dev/VG_Samba/lv_homes y montarlos en /home/usuarios_snapshots. Es importante respetar el formato del nombre del punto de montaje (@GMT-Año.Mes.dia-hora.minuto.segundo), si no, el módulo no será capaz de reconocerlo:

#!/bin/bash

# Nombre del SnapShot
SNAPNAME=`date +%Y.%m.%d-%H.%M.%S`

# Crear el snapshot en LVM de 1G
lvcreate -L1G -s -n $SNAPNAME /dev/VG_Samba/lv_usuarios

# Crear el punto de montaje
mkdir /home/usuarios_snapshots/\@GMT-$SNAPNAME

# Montar el snapshot en sólo lectura
mount /dev/VG_Samba/$SNAPNAME /home/usuarios_snapshots/\@GMT-$SNAPNAME -o ro

Instalar el cliente de ShadowCopy en el equipo cliente Windows XP (http://technet.microsoft.com/es-es/windowsserver/bb405951)y probar.

La foto la he sacado del album de Carla216 en flickr

Balanceo con Squid

2010-12-31T18:54:00.001+01:00

Estamos acostumbrados habitualmente a usar Apache como proxy transparente en las DMZ para bajar tráfico a la zona de nuestros servidores. El módulo ProxyPass y ProxyReverse , junto a mod_jk, y mod_proxy_ajp y demás resulta ideal para esta labor, por la versatilidad de configuración que ofrece Squid, pero a veces esto no es suficiente: Cuando tenemos que Apache tiene que servir una aplicación escrita con cantidad de contenido multimedia (pdfs, flash, imágenes, etc) en los que los usuarios acceden a la vez y de forma masiva, como por ejemplo al dar un curso online, los Apaches pueden sufrir: A la carga propia de generar el contenido dinámico (ejecución del PHP, CGI, Java, etc) se suma la carga de servir el contenido multimedia.

Un Apache en un equipo normalito (dual core y 4GB de RAM) soporta muy bien entre 200 y 300 conexiones concurrentes sin penalizar el tiempo de respuesta (más de 2 segundos). Si nuestra aplicación tiene mucho contenido multimedia, cada página que pidan los clientes se convertirá en varias de estas peticiones concurrentes y por ejemplo cada página se transforma en 20 peticiones, 15 usuarios concurrentes podrían estar sobrecargando el servidor Web. En esta situación está claro que deben estudiarse varias cosas: La configuración de Apache, la carga de base de datos, la distribución del contenido estático, el número de Apaches, el tipo de balanceo que realizamos, y un largo etc, pero como primera contramedida se puede incluir un Caché inversa transparente, dedicada a servir el contenido estático de nuestras páginas y descargar de esta labor a Apache.
Para ello podemos usar Squid, que con una mínima configuración podemos realizar esta labor, y además balancear las peticiones hacia nuestros Apaches. El fichero de configuración que podríamos usar es el siguiente:


#------------------------------------------------
# ACLS BASICAS
#
acl all          src    all
acl localhost    src    127.0.0.1/32
acl to_localhost dst    127.0.0.0/8 0.0.0.0/32
# Mi DMZ está en 192.168.3.0
acl localnet     src    192.168.3.0/24
acl manager      proto  cache_object
acl purge        method PURGE
acl CONNECT      method CONNECT

#------------------------------------------------
# ACCESO PARA MANEJAR LOS FICHEROS DE CACHE
#
#  Solo la maneja localhost
http_access      allow manager localhost
http_access      deny  manager
#  Solo permitimos la purga desde localhost
http_access      allow purge localhost
http_access      deny  purge


#------------------------------------------------
# REGLAS PARA LA CACHE WEB HACIA LOS APACHES
#
#  Decir que vamos a cachear y que no
acl IMAGENES     urlpath_regex .jpg .gif .png .swf .JPG .GIF .PNG .SWF .css .CSS .pdf .PDF .bmp .css .doc .docx .exe .jpg .js .mp3 .odt .ppt .rtf .swf .txt .wrl .WRL .xls .XLS .xlsx .zip .exe .html .htm .HTML .HTM
acl QUERY        urlpath_regex cgi-bin \? .php .asp  .xml .cgi
no_cache         allow IMAGENES
no_cache         deny  QUERY
refresh_pattern  . 0 20% 0

# Habilitar HTTP 1.1
server_http11 on


# Configurar aceleracion hacia MiVirtualHost
# Mis servidores están la 192.168.2.0/24

# Como llegar al Nodo1 de Apache
cache_peer 192.168.2.211 parent 80 0 no-query http11 originserver no-digest round-robin weight=5 login=PASS name=srv01
# Como llegar al Nodo2 de Apache
cache_peer 192.168.2.212 parent 80 0 no-query http11 originserver no-digest round-robin weight=3 login=PASS name=srv02
# Como llegar al Nodo3 de Apache
cache_peer 192.168.2.213 parent 80 0 no-query http11 originserver no-digest round-robin weight=1 login=PASS name=srv02

# Esto es para procesar las respuestas 302
header_replace X-Forwarded-For
via off
reply_header_access X-Cache-Lookup deny !localnet
reply_header_access X-Squid-Error  deny !localnet
reply_header_access X-Cache        deny !localnet

http_port 3128

#debug_options ALL,1 28,9

# Definir el acceso al propio Squid
acl thishost     src    192.168.3.121/32
acl to_thishost  dst    192.168.3.121/32


#------------------------------------------------
# REGLAS PARA LOS HERMANOS WEB CACHE
#
# Configurar para que escuche multicast
mcast_groups 224.0.14.255
# Configurar para que hable multicast
cache_peer   224.0.14.225   multicast 80 3130 ttl=16
# Configurar hermanos multicast (otros squids en DMZ)
cache_peer 192.168.3.122   sibling 3128 3130 multicast-responder
cache_peer 192.168.3.133   sibling 3128 3130 multicast-responder
mcast_icp_query_timeout     2 sec


# Definir la ACL para redirigir el backup
# y que vaya solo a un nodo.
acl phpBackup urlpath_regex /backup/

# Definir los sitios de cachearemos
acl mivirtualhst  dstdomain www.MiVirtualHost.com
http_access allow mivirtualhst
cache_peer_access srv01 allow mivirtualhst !phpBackup
cache_peer_access srv02 allow mivirtualhst !phpBackup
cache_peer_access srv03 allow mivirtualhst


# Esto se hace para no cachear internet :P
cache_peer_access srv01 deny all
cache_peer_access srv02 deny all
cache_peer_access srv03 deny all
http_access deny All


#------------------------------------------------
# MONITORIZACION SNMP DEL SERVIDOR
#
snmp_port 1161
acl Snmppublic snmp_community public
acl Adminhost src 192.168.0.0/16
snmp_access allow Adminhost Snmppublic
snmp_access deny all

#------------------------------------------------
# RESERVA DE DISCO PARA LA CACHE
#
#  Regla de oro: Por cada 1MB de RAM, necesita 32MB de disco
#   * por defecto: cache_dir ufs /var/spool/squid 100 16 256
#   * sintaxis   : cache_dir diskd Directory-Name Mbytes L1 L2 [options] [Q1=n] [Q2=n]
cache_dir diskd /var/spool/squid  1600 16 256 Q1=60 Q2=50


#------------------------------------------------

Esta configuración permite que squid derive las peticiones al dominio www.MiVirtualHost.com hacia tres Apaches (192.168.2.211, 192.168.2.212, 192.168.2.213) de forma ponderada (5,3 y 1 respectivamente), cacheando todo el contenido estático (directiva acl IMAGENES). Además evita que dos de los servidores reciban peticiones cuando la URL contenga /backup/, en cuyo caso, las peticiones sólo se derivarán al tercer nodo Apache. También presupone que existirán dos cachés más en DMZ (sibling) que nos ayudarán en la labor y cuya comunicación será vía Multicast que suponemos más rápida que si lo hiciéramos punto a punto.

La foto la he sacado del album de Richard Ling en flickr

VDI con NComputing

2010-12-31T18:12:00.002+01:00

Hace unas semanas ví en un cliente un pequeño aparato que estaban evaluando. El aparato era un L-Series de Ncomputing que permite virtualizar escritorios Windows XP de forma económica (menos de 200 Euros). Para ello el invento se configura para usar hasta ocho licencias de escritorio remoto de Windows del equipo que configuremos como servidor y ofrecer el escritorio a los clientes, de dos formas principalmente:

Vía USB, de forma que el invento se conecta a un concentrador USB que tenga conectado el servidor Windows, al que instalaremos un software especial de NComputing, y al invento conectamos el teclado, monitor y ratón del terminal
Vía Ethernet, de manera que lo configuramos para conectar a la dirección IP del servidor Windows, e igualmente conectamos el teclado, ratón y monitor del usuario al pequeño invento.

En las demos me comentaron que usaban un equipo con VMware Server 2.X de prestaciones normalitas en cuanto a CPU (dual core) y RAM (4GB), y ejecutaban ocho equipos Windows XP, que servían 8 escritorios virtuales cada uno, lo que serían 64 puestos de trabajo.
El invento resulta muy, muy interesante, la única pega es que las licencias de Windows se deben pagar aparte. Al parecer con la licencia de Windows XP habitual sólo se pueden usar sólo dos licencias de escritorio remoto, las que sobrepasen esta cantidad deben pagarse aparte.

Samba y el refresco de archivos

2010-12-31T15:04:00.001+01:00

Cuando implantamos un servidor Samba, a veces los clientes Windows no refrescan automáticamente los cambios que hacemos en las carpetas y tenemos que pulsar contínuamente la tecla F5. Esto podemos solucionarlo añadiendo al registro de Windows de los equipos:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Update\UpdateMode = 0

También será conveniente añadir a los sitios de confianza de Internet Explorer las direcciones IP de los servidores samba y de los shares, para evitar que contínuamente Windows nos avise de que existe un riesgo de seguridad.

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges\Range1]
"*"=dword:00000002
":Range"="DIRECCION_IP"

Shibboleth 2 (gestión de identidades federada)

2010-12-31T14:52:00.002+01:00

La palabra Shibboleth proviene del hebreo espiga y hace alusión a la esencia misma de las personas, a su identidad, una marca con la que se puede reconocer la pertenencia a un grupo. Cuenta el Libro de los Jueces en el Antiguo Testamento, que la tribu de Efraím tras sufrir la derrota de mano de los galaaditas, estos idearon una prueba para identificar a los supervivientes de la tribu: a los sospechosos se les hacían pronunciar la palabra Shibboleth, imposible de pronunciar para los efraimitas que no tenían el fonema 'sh' en su lengua. Murieron degollados 42000 efaimitas por pronunciar sibboleth.

Alejándonos de las raíces violentas de la palabra y acercándonos a su etimología, encontramos Shibboleth como un marco de trabajo Open Source desarrollado en Internet2 que implementa un sistema de Single-Sign-On web con intercambio de atributos basados en estándares abiertos, principalmente SAML. Este sistema federado provee acceso seguro a través de diferentes dominios de seguridad, preservando la privacidad de los datos de sus usuarios, y posibilita la escalabilidad del sistema a través de relaciones de confianza.

Internet2 es una red de cómputo sustentada por tecnologías vanguardistas sobre líneas de alta velocidad, independiente de la Internet comercial actual. Su origen se debe al espíritu de colaboración entre las universidades del mundo y su objetivo principal es desarrollar la próxima generación de aplicaciones telemáticas para facilitar las misiones de investigación y educación de las universidades, además de ayudar en la formación de personal capacitado en el uso y manejo de redes avanzadas de cómputo, recuperando con ello el origen académico de los comienzos de Internet e independizándose de intereses comerciales y particulares.
Shibboleth nace con el objetivo de proveer una solución a los desafíos que actualmente encontramos en Internet (1 y 2):

Facilitar la gestión de múltiples contraseñas en múltiples aplicaciones
Simplificar la gestión de cuentas de acceso de múltiples aplicaciones
Preservar la privacidad de los usuarios
Posibilitar la interacción entre organizaciones y sus usuarios
Habilitar la posibilidad de que elijamos en la institución donde deseamos autenticarnos
Permitir que los proveedores de servicios controlen el acceso a sus recursos
Facilitar la integración rápida y efectiva de servicios de terceros dispares

En general, proveer una solución que permita la Gestión de la identidad federada con las siguientes características:

Proviene de Internet2
Provee un proveedor de identidad (IdP) en Java y un proveedor de servicio (SP) en C++, como módulo del servidor Web Apache
Está basado en OpenSAML
Dispone de dos versiones
- 1.3 que implementa SAML v1.1 en el IdP y SP
- 2.0 que implementa SAML v2.0 en el IdP y SP además de soportar SAML v1.1

Además de proveer una solución libre y robusta para implementar nuestra gestión de identidades federada, lo mejor quizás sea que GoogleApss se integra con shibboleth y nos permite configurar el Single-Sign-on de los servicios de Google con nuestro propio LDAP de una forma segura y eficiente.

Apache: Balanceo de Tomcats con mod_proxy_ajp

2010-12-31T14:33:00.001+01:00

Desde Apache 2.2 disponemos de un módulo nativo (mod_proxy_ajp) para implementar proxies inversos con AJP, desarrollado por el propio Apache. Esto hasta ahora lo habíamos venido realizando con mod_jk, que se distribuía con el propio Tomcat. Os dejo un ejemplo que usé para balancear una aplicacion hacia tres tomcats.

<VirtualHost *:80>
 ServerName  archivo.prueba.es
 ServerAlias archivo


 CustomLog /var/log/httpd/archivo.log combined

 # Preservar las cabeceras anteriores, y
 # evitar que el proxy las modifique
 ProxyPreserveHost On

 # Montar URLs hacia el cluster
 ProxyPass /archivo  balancer://archidoc_cluster/archivo  tickysession=JSESSIONID nofailover=On

 # Definir el proxy hacia los Tomcats
 <Proxy balancer://archidoc_cluster>
    BalancerMember ajp://tomcat1:8509
    BalancerMember ajp://tomcat2:8509
    BalancerMember ajp://tomcat3:8509
 </Proxy>


 # Redireccion para que vaya directamente al Tomcat
 RewriteEngine on
 RewriteRule ^$      /archivo/ [R,L]
 RewriteRule ^/$     /archivo/ [R,L]

 AddDefaultCharset ISO-8859-1
</VirtualHost>

La verdad que tampoco está muy claro cuando es recomendable usar uno u otro: Yo sólo lo he usado cuando he tenido problemas con alguna aplicación y mod_jk, que siempre es mi primera elección, simplemente por madurez del proyecto.

La foto la he sacado del album de Darny en flickr

SmbWebClient

2010-12-31T14:11:00.001+01:00

SmbWebClient es un cliente Samba implementado en un único PHP, que permite colocar nuestros Shares de Samba accedibles vía Web. Esto permite que nuestros usuarios puedan acceder a los ficheros de sus unidades de Intranet a través de Internet.

La instalación es muy sencilla, basta con descomprimir el fichero en una carpeta de nuestro servidor Web que tenga instalado PHP y el cliente de Samba. Si tiene algún incoveniente esta herramienta, es su simplicidad y que modificarla resulta tedioso porque todo lo que usa (iconos y plantillas thtml) están embebidos en BASE64 dentro del propio código. Así, cosas sencillas como cambiar el icono de las carpetas o personalizar el HTML, nos obliga a andar descodificando y codificando en Base64 todo.

Auditoría en OpenLDAP

2010-12-31T13:44:00.001+01:00

Desde hace tiempo vengo implantando OpenLDAP para poner en marcha proyectos de gestión de la identidad en organizaciones. La principal ventaja que nos aporta el uso de software libre para estos proyectos, es la posibilidad de retocar el código fuente y desarrollar overlays que nos permitan extender las funcionalidades que traen de serie, pudiendo adaptar así la solución a las necesidades del cliente y generar una solución óptima para él a un precio adsequible.

Estos proyectos, casi siempre se centran en la provisión de cuentas de acceso centralizada y automatizada: Desde OpenLDAP hacia otros sistemas como eDirectory, Active Directory, Oracle, Linux, etc. Para ello se suelen relajar las políticas de cuenta, dado que no siempre se tienen las mismas posibilidades de configuración en los distintos sistemas ni se implementan de la misma manera. Al final, esto degenera en que las contraseñas de las cuentas de usuario no poseen ninguna complejidad y las conservan por los tiempos de los tiempos.

Esta situación se puede corregir con el uso de políticas en OpenLDAP a partir de la versión 2.3. Para acctivarlas tendremos que editar el fichero de configuración de nuestro servidor OpenLDAP y aplicar los siguientes cambios:

Incluir el esquema de definición de políticas

include       /etc/openldap/schema/ppolicy.schema

Añadir el módulo:

modulepath    /usr/lib64/openldap
moduleload    ppolicy.la

Indicar el objeto que contendrá la política de nuestro directorio, justo después de la definición del backend de la base de datos que usaremos.
```
overlay         ppolicy
ppolicy_default "cn=defaultpwpolicy,dc=DOMINIO
```

Reiniciar el servicio para aplicar los cambios. Crear un fichero LDIF con el siguiente contenido que será nuestra política de seguridad:

dn: cn=defaultpwpolicy,dc=DOMINIO
cn: defaultpwpolicy
objectClass: top
objectClass: device
objectClass: pwdPolicy
pwdAttribute: userPassword
pwdAllowUserChange: TRUE
pwdMustChange: FALSE

La añadiremos al directorio...

ldapadd -x -h localhost -D "cn=admin,dc=DOMINIO" -w CLAVE -f politica.ldif

Esta política es muy sencillita y permisiva: Solo nos sirve para mantener en el campo pwdChangedTime cuándo se cambió por última vez la contraseña (userPassword) el usuario en LDAP. Podemos encontrar todas las opciones en la página man de salpo-ppolicy, y añadir complejidad a las contraseñas, duración, bloqueo después de intentos fallidos, etc.
La foto la he sacado del album de treevis en flickr

Réplicas OpenLDAP con SyncRepl

2010-12-31T12:53:00.001+01:00

Todos los que hemos usado OpenLDAP desde hace tiempo como software para desplegar nuestros servicios de directorio, hemos venido sufriendo el problema de las réplicas en los esclavos para mantener la alta disponibilidad. La solución con la que contábamos era el uso de SLURPD, un pequeño demonio que se ejecutaba en el servidor con el LDAP maestro. Cada operación que se realizaba en el directorio se anotaba en un fichero de texto plano junto a la hora, y el demonio iba aplicando los cambios del fichero en cada una de las réplicas. Este proceso era bastante inestable, porque asumía siempre que la replica estaba en un estado determinado, y a partir de él aplicaba cambios. Esto no siempre era así, porque podíamos haber parado la réplica o haberla recuperado de un backup, y al final teníamos que nunca estábamos completamente seguros del estado de nuestras réplicas hasta que parábamos todo el directorio, y copiábamos a mano la base de datos del maestro en cada una de las réplicas. Teníamos demasiadas paradas en un servicio siempre importante, y el proceso SLAPD solía estar siempre en la cima del top comiendo toda la CPU que podía, sin contar las veces que el demonio SLURPD moría por causas desconocidas.

Por suerte con la versión 2.3 de OpenLDAP aparece un nuevo mecanismo de sincronización del directorio basado en un overlay y llamado SyncRepl. Este mecanismo lo que hace es escribir en cada modificación un timestamp con la hora a la que se realizó y se guarda en la propia base de datos dentro de los atributos del objeto modificado, y además mantiene un timestamp global que contiene el valor para la última modificación. Las réplicas ahora, no esperan a que el maestro les envíe las modificaciones sino, que se conectan contínuamente al maestro y le preguntan por el valor globlal: Lo comparan con el que ellas tienen anotado y solicitan todos los objetos comprendidos entres estos dos timestamp para modificarlos en la base de datos local. Este mecanismo en mucho más robusto, y aporta tranquilidad a la vida de los administradores de OpenLDAP.

Para configurarlo tendremos que:

Editar la configuración del maestro y añadir la configuración de SyncRepl a justo después de la definición de nuestro backend
```
overlay     syncprov
syncprov-checkpoint 100 10
syncprov-sessionlog 100
lastmod     on
```

Editar la configuración del esclavo y añadir la configuración de SyncRepl a justo después de la definición de nuestro backend, como hicimos para el maestro, y además añadir al final cómo conectar con el LDAP que hace de maestro:

# Configurar el proveedor... (nuestro master)
syncrepl rid=001
      provider=ldap://__IP_MAESTRO_LDAP__:389
      type=refreshAndPersist
      retry="60 +"
      searchbase="dc=DOMINIO"
      filter="(objectClass=*)"
      scope=sub
      attrs="*,+"
      schemachecking=off
      bindmethod=simple
      binddn="cn=admin,dc=DOMINIO"
      credentials=CLAVE_DEL_ADMIN

updateref ldap://__IP_MAESTRO_LDAP__:389

Añadir índices para los campos entryCSN y entryUUID, en la sección de índices del fichero de configuración de los LDAPs. Estos campos es donde SyncRepl va anotando las modificaciones.
```
index entryCSN,entryUUID        eq
```

Después de aplicar estos cambios, tendremos que reconstruir la base de datos del maestro, con el fin de que se creen todos los objetos con estos campos reservados. Luego regenerar los índices de la base de datos con slapindex, y copiarla a los nodos esclavos para que arranquen en un estado sincronizado.

La foto la he sacado del album de Michael Dawes en flickr

OSSEC

2010-12-30T20:45:00.001+01:00

OSSEC es un detector de intrusos basado en nodo (HIDS, Host-based Intrusion Detection System) open source que lleva a cabo las siguientes funciones: análisis de registros, comprobación de integridad, detección de rootkits, alertas basadas en secuencias temporales y respuesta activa , capaz de ejecutarse en cliente/servidor y que funciona en Windows, Linux, MacOs. Es una especie de evolución de Tripwire. Otra de las ventajas que presenta OSSEC es que la base de datos de firmas MD5 no se almacena en el equipo cliente, sino que se lleva a un servidor centralizado, por lo que si un cliente queda comprometido, las firmas no quedan comprometidas.

Para configurar los equipos linux con el Agente de OSSEC se seguirán la siguiente secuencia de pasos:

Conectarse por SSH al servidor OSSEC de la sonda donde conectaremos el cliente, como root.
Desde la consola del servidor OSSEC, ejecutaremos el comando /var/ossec/bin/manage_agents, y luego nos aparecerá un menú de opciones, donde lo que tenemos que hacer es dar de alta un nuevo agente (A) y luego extraer la clave para él (E). Pasa salir(Q). Cuando nos muestre la clave la copiaremos en un fichero, para poder importarla en el cliente:
```
****************************************
* OSSEC HIDS v2.1 Agent manager.
*
* The following options are available: *
****************************************
(A)dd an agent (A).
(E)xtract key for an agent (E).
(L)ist already added agents (L).
(R)emove an agent (R).
(Q)uit.
```
De vuelta a la consola del servidor, reiniciaremos el servicio...
```
/etc/init.d/ossec restart
```

Ahora el siguiente paso será instalar el cliente OSSEC en el equipo que queremos monitorizar, e importar esta clave, para que hable con nuestro servidor Ossec.

Conectarse por SSH al cliente OSSEC como root.
Descargar e instalar el agente en nuestro sistema
Desde la consola del ejecutar el comando /var/ossec/bin/manage_agents, y luego nos aparecerá un menú de opciones, donde lo que tenemos que hacer es importar la clave(I). que habríamos copiado desde el servidor OSSEC. Para salir(Q).
De vuelta a la consola del servidor, reiniciaremos el servicio...
```
/etc/init.d/ossec restart
```

Podemos ver los logs entre el servidor y en el cliente con ejcutando el comando:

tail -f /var/ossec/logs/ossec.log

De vuelta a nuestro servidor, podemos instalar ossec-Web-UI, descargándolo de la Web y luego ejecutar los siguientes comandos para instalarlo:

cd /var/www
tar -xzvf /opt/ossec-wui-0.3.tar.gz
mv ossec-wui-0.3 ossec-wui
bash setup.sh

... cuando nos pregunte responder username=admin y contraseña=pokemon.

usermod -G ossec www-data
/etc/init.d/apache2 restart

Acceder desde el navegador a: http://NUESTRO_SERVIDOR/ossec-wui/

AutoIT

2010-12-30T20:16:00.002+01:00

AutoIT es una pequeña utilidad que nos permite escribir scripts para Windows y automatizar ciertas tareas que con VBS o BAT nos costaría mucho trabajo. La síntaxis es similar a la de Visual Basic y lo más interesante es que se compila y genera un fichero .EXE que podemos ejecutar en cualquier equipo sin necesidad de tener AutoIT instalado.

Os dejo un script a modo de ejemplo, que desarrollé para migrar los documentos y carpetas del escritorio de un usuario a un directorio local y así evitar que el perfil móvil del usuario pese demasiado.

;
; Script AUTOIT para mover objetos del escritorio
; a "Mis documentos y crear acceso directorio en
;

; Establecer que si se producen errores fatales no salga del script
Opt("RunErrorsFatal", 0)

; Buscar los archivos del perfil...
$search = FileFindFirstFile(@DesktopDir & "\*")
; Comprobar que se encontró algo...
If $search = -1 Then
; No, no se ha encontrao nada ...:P
Exit
EndIf

; Flag para avisar que se le han movido archivos
$flag=0

; Por cada fichero que se encontró hacer el bucle...
While 1
; Obtener el nombre del fichero ...
$file = FileFindNextFile($search)
; Ver si hemos terminado el bucle
If @error Then ExitLoop
   ; Obtener los atributos del archivo
   $attrs=FileGetAttrib(@DesktopDir & "\"& $file)
   ; Obtener la extension del archivo
   $ext = stringRight( StringLower($file), 4)
   ; Por extension o en caso de que sea un directorio...
   If (StringInStr($attrs, "D")) or ((NOT($ext == ".lnk")) and (NOT($ext == ".url")) ) Then
      If (StringInStr($attrs, "D")) Then
         ; Tenemos que mover el archivo
         DirMove ( @DesktopDir & "\"& $file, @MyDocumentsDir, 1 )
      Else
         ; Tenemos que mover el archivo
         FileMove ( @DesktopDir & "\"& $file, @MyDocumentsDir, 8 )
      EndIf
      ; Crear acceso directo en el escritorio...
      ShellExecute("\\SRV\NETLOGON\XXMKLINK.EXE",' "' & @DesktopDir & "\" & $file &'.lnk"  "' & @MyDocumentsDir & '\' & $file & '"', @UserProfileDir)
      $flag=1
   EndIf
EndIf
WEnd

Este script se apoya en XXMKLINK que permite crear enlaces simbólicos de Windows.

Apache: Evitar redirecciones indeseadas

2010-12-30T19:46:00.001+01:00

A menudo tenemos configurado en nuestros servidores Web Apache, VirtualHosts que usan mod_rewrite para modificar algunas peticiones y dirigirlas a otras URLs. Esto puede ser aprovechado por un atacante para evitar el baneo de la pertenencia a listas negras. Podemos hacer una comprobación sencilla ejecutando telnet NUESTRO_SERVIDOR 80 y luego escribir:

GET http://l25.member.re3.yahoo.com/config/login?login=a-jj&passwd=Monster HTTP/1.0

Si nuestro servidor Web devuelve una respuesta 302, podríamos ser candidatos a ataques mal intencionados. Lo correcto sería que nuestro servidor respondiera con un 403. Para ello, podemos añadir a la configuración de nuestro VirtualHost:

 # Para evitar que nos usen de Salto...
RewriteCond   %{HTTP_HOST}   !^NOMBREVIRTUALHST
RewriteRule   ^(.+)          http://NOMBREVIRTUALHST/fallo [F,L]

Donde NOMBREVIRTUALHST es el nombre de nuestro VirtualHost.

La imagen la he sacado del album de rbowen en flickr

Clariion CX300 con Multipath y Ubuntu 10.04

2010-12-30T19:16:00.002+01:00

Para preparar multipath en nuestro sistema Ubuntu, lo primero que debemos ejecutar es:

apt-get install sg3-utils sysfsutils multipath-tools

Luego añadiremos al fichero /etc/modprobe.d/scsi.conf la siguiente línea:

options scsi_mod max_luns=256

Esto permite numerar hasta 256 los dispositivos scsi, si no cuando presentemos varios discos (la segunda controladora los muestra por encima del id_scsi 64) es fácil que dejemos de ver alguno de ellos. Esto es necesario en Ubuntu y Debian.
Una vez se tiene instalado el software multipath se creará el fichero /etc/multipath.conf de configuración inicial, con el siguiente contenido:

defaults {
udev_dir                /dev
user_friendly_names     yes
}
blacklist {
devnode "^(ram|raw|loop|fd|md|dm-|sr|scd|st)[0-9]*"
devnode "^hd[a-z][[0-9]*]"
devnode "^cciss!c[0-9]d[0-9]*[p[0-9]*]"
}
devices {
device {
   vendor               "DGC*"
   product              "*"
   path_grouping_policy group_by_prio
   getuid_callout       "/lib/udev/scsi_id -g -u -d /dev/%n"
   prio_callout         "/sbin/mpath_prio_emc /dev/%n"
   path_checker         emc_clariion
   path_selector        "round-robin 0"
   features             "1 queue_if_no_path"
   no_path_retry        300
   hardware_handler     "1 emc"
   failback             immediate
}
}
multipaths {
#   multipath {
#       wwid               360060160ffc21a0072174c3f6edede11
#       alias              pruebas
#   }
}

Esta configuración es particular para cabinas EMC Clariion CX300, está extraída de http://www.querzone.de/wiki/Wiki.jsp?page=EMCClariion. Una vez establecida la configuración inicial del servicio multipath, se debe refrescar la información de la SAN, ejecutando los siguientes comandos:

/etc/init.d/multipath-tools stop
/etc/init.d/multipath-tools start
multipath -F
multipath -v2
multipath -ll

Al tener varios dispositivos (/dev/sda, /dev/sdb) asociados al mismo disco físico (/dev/mapper/pruebas), las herramientas LVM pueden ser un cuello de botella además de mostrar los típicos mensajes de duplicidad de nombres al ejecutar pvscan. El cuello de botella se puede producir, porque cuando se reinicia el sistema el monitor de LVM ejecuta los comandos pvscan, vgscan y lvscan, para crear los dispositivos asociados a nuestros volúmenes. El problema puede darse que en este escaneo, LVM primero detecte /dev/sda o /dev/sdb, antes que /dev/mapper/pruebas, y por tanto construyan los dispositivos asociados a los volúmenes a un camino, en vez de hacerlo al dispositivo virtual que nos creó dm-mpath para abstraernos del camino activo. Entonces cuando cambie el camino activo, LVM no podrá acceder al disco y el sistema se colgará. Para evitarlo, se debe editar el fichero /etc/lvm/lvm.conf y realizar los siguientes cambios que se indican a modo de parche:

26c26,27
<
preferred_names = [ ]
---
>
# preferred_names = [ ]
>
preferred_names = [ "^/dev/mpath/", "^/dev/mapper/", "^/dev/cciss" ]
53c54,55
<
filter = [ "a/.*/" ]
---
>
#filter = [ "a/.*/" ]
>
filter = [ "a|/dev/cciss/c.*|", "a|/dev/mapper/.*$|", "r/.*/" ]
84a87
>
types = [ "device-mapper", 1 ]

Existen dos bugs reportados para Ubuntu 10.04, referidos a este tipo de configuraciones:

Bug con udev: https://bugs.launchpad.net/ubuntu/+source/udev/+bug/578180
Bug initramfs: https://bugs.launchpad.net/ubuntu/+source/multipath-tools/+bug/230006

Para evitarlos editaremos el fichero /lib/udev/rules.d/95-multipath.rules , como comentan en el bug y quitaremos el change de la línea ACTION:

#ACTION=="add|change", SUBSYSTEM=="block", RUN+="/sbin/multipath -v0 /dev/%k"
ACTION=="add", SUBSYSTEM=="block", RUN+="/sbin/multipath -v0 /dev/%k"

Luego instalaremos el paquete multipath-tools-boot, para incluir multi- path en el initrd, de forma que cuando se inicie el sistema ya estén disponibles los caminos.

apt-get install multipath-tools-boot

Reiniciar el sistema, para comprobarlo. Al iniciar de nuevo y ejecutar multipath -ll debemos obtener la misma salida que antes de reiniciar. Recordar que debemos regenerar el fichero initrd cada vez que modifiquemos el fichero lvm.conf o multipath.conf, mediante:

update-initramfs -c -k `uname -r`

La imagen la he sacado del album de winkydo en flickr

Gestión de LVM con discos compartidos

2010-12-30T18:12:00.002+01:00

Para configurar un cluster Linux con almacenamiento compartido debemos plantearnos si queremos tener acceso concurrente o no a los datos. Para configurar un acceso concurrente necesitamos implantar un sixtema de archivos concurrente como OCFS2 o GFS. Si no necesitamos de acceso concurrente podemos configurar bloqueo de los volúmenes mediante LVM. Para ello, tendremos que editar el fichero /etc/lvm/lvm.conf de los sistemas involucrados y configurar la línea volume_list con el nombre de los volumenes compartidos que no queremos bloquear.

El problema nos aparecerá cuando queramos extender un volumen de los que hemos configurado como bloqueantes. Al ejecutar:

root@nodo1:~# lvcreate -L 50G -n lv_usuarios VG_Usuarios
Aborting. Failed to activate new LV to wipe the start of it.

El sistema nos impide trabajar con normalidad con este volumen. Para poder hacerlo tendremos que activarlo y marcarlo:

root@nodo1:~# lvcreate --addtag @nodo1  \
-L 50G -n lv_usuarios /dev/VG_Usuarios
Logical volume "lv_usuarios" created

Ahora ya podremos formatear nuestro nuevo volumen /dev/VG_Usuarios/lv_usuarios
La imagen la he sacado del album de jpockele en flickr

QEmu

2010-12-30T17:42:00.001+01:00

Hace unas semanas apareció un famoso parche de 200 líneas para Linux que permite acelerar notablemente nuestras aplicaciones de escritorio. El gran Jesusda recogió en su bitácora cómo podemos aplicarlo y me animé a probarlo, con tan mala suerte que libvirt me dejó de funcionar y tuve que aprender a manejarme directamente con QEMU.

QEmu es un emulador/virtualizador OpenSource que principalmente uso para ejecutar sistemas Windows sobre Linux. QEmu se comporta como virtualizador cuando ejecutamos sistemas operativos x86 sobre hardware x86 y se comporta como emulador cuando ejecutamos sistemas operativos no x86 (ARM, PPC, etc) sobre hardware x86. Además el rendimiento mejora cuando lo usamos con KVM (Kernel-based Virtual Machine).

KVM es un módulo del kernel de Linux (kvm.ko) y el conjunto de herramientas asociadas para proveer una solución de virtualización completa con Linux sobre hardware x86, dado que aprovecha las extensiones de virtualización de la CPU (vt/svm instructions set), Intel-VT y AMD-V. Al ser un módulo del kernel el hypervisor puede usar el gestión de CPU y memoria propia del Kernel y ser más ligero y sencillo, a diferencia de XEN. KVM no soporta paravirtualización de CPU aunque sí para los drivers de dispositivos mejorando con ello el rendimiento.

Para usar QEmu lo primero que se necesita es una imagen para almacenar los datos persistentes, lo que sería nuestro disco duro :P. Esto lo hacemos con el comando qemu-img y podemos generar dos tipos de imagen:

raw Sin compresión. Puede exportarse a otros formatos.
qcow2 El mejor. Crece conforme se va llenando.

Podemos crear un nuevo fichero de imagen ejecutando:

qemu-img create -f qcow2 windows.img 10G

Para copiar el contenido de un archivo de imagen a otro:

qemu-img convert -f qcow2 original.img \
                -O qcow2 nuevo.img

Para iniciar una nueva máquina virtual montando una ISO y que arranque con 512MB RAM desde el CD-Rom podemos usar:

qemu -enable-kvm  \
    -cdrom MiSistema.iso  \
    -hda discoDuro.img  \
    -m 512 \
    -boot d

Sobre la identidad digital

2010-12-30T01:03:00.004+01:00

La era digital en la que vivimos, está propulsada por la intrusión de las Tecnologías de la Información y la Comunicación en nuestras vidas, de forma han supuesto toda una revolución en los patrones de demanda y consumo de empresas y familias, con un impacto directo sobre nuestra economía y sociedad. Este impacto ha cambiado nuestra forma de hacer negocios y nuestra manera de relacionarnos, aunque sigue manteniéndose constante la necesidad de ser identificado, disponer de una identidad para poder hacer negocios, comprar algo o simplemente tener amigos.

En el contexto de Internet, el concepto de identidad es ligeramente distinto del que acabamos de presentar, y podemos diferenciar entre identidad digital e identidad personal, de la que hemos hablado en la sección anterior. La principal diferencia radica en la posibilidad de que un individuo pueda tener diferentes identidades ante una misma entidad, mientras que esto no sucede con la identidad personal: Tu identidad ante una misma entidad es única, aunque no tiene por qué coincidir con la de otras entidades.

Definimos la identidad digital como:

Conjunto de datos que describen de forma única a una entidad y su relación con otras entidades.

Ahora, el concepto de entidad no se limitará a personas físicas, sino podría referirse a personas jurídicas, ficticias o fallecidas, no siendo un requisito la existencia de un cuerpo físico, ni su presencia, ni la necesidad de ser observable, lo cual también es una diferencia con el concepto de identidad personal. Existe una viñeta muy ilustrativa sobre este concepto, en el que se pueden ver dos perros con un ordenador, y como uno le dice a otro: “En Internet nadie sabe que eres un perro”.

El uso de “conjunto de datos” en la definición nos invita a pensar en bases de datos que contienen registros individuales, donde los atributos de estos registros son características representativas de cada individuo. Entre estos atributos, encontraremos dos tipos de atributos:

unos que nos permitirán identificar de manera única un registro de entre todos, y que llamaremos identificadores,
y otros que no nos servirán para identificar el registro, pero sí nos servirán para verificar la identidad, y que llamaremos verificadores.

Quizás en algún momento, usted tuvo una cuenta de correo electrónico. Si reflexiona sobre ello, esta cuenta de correo representa una identidad digital asociada a su identidad personal. Su proveedor le solicitó una serie de datos personales (en los que no quizás no se le obligó a ser sincero), le pidió que introdujera una contraseña (atributo verificador), y finalmente le asignó su dirección de correo electrónico (atributo identificador). Su identidad digital queda completamente identificada mediante su dirección de correo, donde encontrará un identificador único (el nombre de usuario que eligió) y la relación con su proveedor (el @dominio_del_proveedor), que por el identificador (usuario@dominio) sabemos que se trata un proveedor de correo electrónico.

El papel de los atributos verificadores de la identidad es fundamental en la relación entre el proveedor de la identidad y el propietario de la misma, porque nos permite resolver el dilema “¿cómo podemos reconocer a una entidad?”, ¿cómo una entidad puede asegurarse de que otra es quien dice ser?. Ya en los años setenta IBM procuró dar respuesta a este dilema, ofreciendo tres posibles formas de que una entidad reconociera a otra:

Un secreto compartido, algo que se sabe o se recuerda, responder a la pregunta “qué sabes”
Algo que se posee, responder a la pregunta “qué tienes”
Alguna característica física que se tiene, responder a la pregunta “qué eres”

En cualquiera de estos casos, la entidad que debe reconocer a la otra tendrá almacenado un atributo con la respuesta a la pregunta y que actuará como verificador de identidad.

Con el paso del tiempo se ha demostrado que lo más cómodo para los administradores de sistemas es gestionar un secreto compartido (clave, pin, frase, etc) o algo poseído (smartcard, tarjeta rfid, etc), frente a características físicas basadas en tecnologías biométricas, porque ¿cómo resetea un administrador tu huella dactilar?, además de los inconvenientes que suceden con algunos de nuestros rasgos físicos tras sufrir accidentes o simplemente la edad haga mella en nosotros.
El proceso mediante el cual una entidad reconoce la identidad de otra, o dicho de otra forma, verifica su identidad digital, se conoce como autenticación. Este proceso tiene lugar cuando dos entidades tienen que comunicarse y una requiere algún servicio de la otra, de manera análoga, a lo que hacemos a diario para cualquier gestión que requiera nuestro DNI: Primero nos identificamos y luego solicitamos algún servicio a la entidad prestadora.

Gestión de la identidad digital

La proliferación del uso de las Tecnologías de la Información y Comunicación en la sociedad y nuestra economía, han generado toda una eclosión de nuevos servicios y aplicaciones, empezando por nuestro trabajo diario: en nuestras organizaciones ya no basta con disponer de acceso a la red, ahora necesitamos correo electrónico, mensajería instantánea y un sinfín de accesos a las distintas aplicaciones con las que tenemos que interactuar a diario: contabilidad, gestión de personal, documentación, gestión de incidencias, ERP, base de datos, formación continua, ... con el agravante de que para cada uno de estos servicios necesitamos una identidad digital. Cuando la cantidad de identidades digitales y servicios empiezan a tener un volumen considerable, aparece en los administradores de sistemas la necesidad de poder gestionarlos y administrarlas de forma eficiente.

La aparición de esta necesidad viene acompañada del desarrollo de políticas y procesos organizativos encargados de proveer una identidad digital con la que conseguir el acceso a los sistemas de información de nuestra organización. Este conjunto de políticas y procesos conforman lo que llamamos gestión de la identidad digital, o simplemente gestión de la identidad, dado que su mayor aplicación y evolución ha devenido con las TICs. En la mayoría de los casos consistirá en automatizar los procesos de provisión de usuarios y roles, gestión de contraseñas y control de acceso, y encontraremos elementos comunes:

Un metadirectorio que unifique las bases de datos de identidades de diversos tipos y fabricantes en un repositorio único y consolidado, en forma de servicio que acumula información de identidades desde diferentes fuentes de datos a lo largo de la organización, combinando toda o parte de esta información dentro de una visión integrada y unificada.
Single Sign On (SSO), como mecanismo de autenticación que permite a los usuarios registrarse una única vez y acceder a múltiples aplicaciones para las que dispone de autorización.

Solucionar eficientemente la Gestión de la Identidad (digital) ha desarrollado todo un sector de actividad económica dentro del mundo del software empresarial, que representa nuevas oportunidades de negocio para el sector, y engloba soluciones interrelacionadas que generalmente incluyen la gestión centralizada de cuentas de acceso (provisión/desprovisión/sincronización), autenticación (Single Sign On), derechos y restricciones.

Factores de éxito en la gestión de la identidad

El centro del escenario que se acaba de presentar, está ocupado por el servicio final que se ofrece al usuario: Lo importante es poder acceder al servicio como recurso de información, y el esfuerzo se realiza en hacer que esto sea posible en el menor tiempo posible, y de una forma homogénea. Este ha sido el enfoque, que llamamos tradicional, de la gestión de la identidad. Así, el éxito de este tipo de soluciones está condicionado por dos factores principalmente:

La complejidad del sistema en su conjunto, que estará en función de las aplicaciones que se usen para implementarla y, como los usuarios deban interactuar con ellas: Sistemas en los que se deben formar a los usuarios de manera explícita estarán abocados al fracaso. El usuario debe percibir la gestión de su identidad como una ventaja que le facilita la vida, no que se la complica.
La usabilidad de la solución final; si el diseño no tiene en cuenta que debe interactuar con usuarios con distintos grados de formación, y no se orienta a que resulte sencillo para los menos preparados, apenas se usará, y si se les obliga a ello, acabarán usando Posits bajo del teclado y en el lateral del monitor.

A pesar que lo importante sea proveer acceso a los servicios y recursos de información, las políticas y procesos que se desarrollen para la gestión de la identidad, deben ser simples y sencillos, y el software que se use para implantarlos debe ser usable por cualquiera, sin prácticamente ninguna formación previa en la herramienta.

Factores de riesgo en la gestión de la identidad

Saber que existe un sistema, que centraliza nuestros datos personales y nuestras credenciales de acceso a la información, supone en sí mismo una clara amenaza a la seguridad del mismo, y a nuestra privacidad.

La seguridad de un sistema informático consiste en asegurar que los recursos de información sean accedidos de la forma que se decidió que se accedieran, y que su modificación sea realizada por las entidades habilitadas para ello, dentro de su límite de autorización. Comprometer el sistema en el que se centralizan todas las credenciales de acceso, comprometería toda la seguridad informática de la organización, y esta encuentra sus mayores amenazas en las revisadas y actualizadas técnicas de man-in-the-middle, secuestro de sesiones y phising.

Centralizar datos confidenciales como la dirección de correo electrónico, cuentas bancarias, nuestro número de teléfono, cuentas bancarias, el currículum profesional, opciones políticas y religiosas, pone a disposición de cualquiera información que hasta ahora, en el mundo analógico, no había sucedido. La difusión de parte de estos datos, puede suponer un atentado contra nuestro derecho a la privacidad, como ya recogen las legislaciones de la mayoría de países.
El reto más importante a los que debe enfrentarse un sistema de gestión de la identidad es la preservación de la privacidad de los datos confidenciales, de acuerdo con la legislación vigente, y asegurar la seguridad en el acceso a los mismos.

Reputación e identidad digital

La proliferación de los sitios de redes sociales en Internet ha supuesto una eclosión 2.0 de nuevos servicios y aplicaciones en la red, pero en esta ocasión la repercusión ha sido sobre nuestra forma de relacionarnos y no tanto sobre nuestro trabajo diario, si obviamos el hecho de que nos hacen ser menos productivos.

Para poder conseguir acceso a estos nuevos servicios, el usuario de forma voluntaria, cede sus datos aunque no siempre sea consciente de la repercusión que este hecho pueda tener, especialmente por el uso que el proveedor del servicio pueda hacer de su información personal brindándola a terceros. Aunque no exista una retribución económica para poder usar estos servicios, el precio que el usuario debe pagar, es ceder parte de su derecho a la privacidad, lo cual potencia el factor de riesgo de la gestión de nuestra identidad. Este factor de riesgo se potencia aún más con el hecho de que al compartir información no tenemos el control ni la propiedad sobre ella, una veces conscientemente (al verter nuestra opinión en un foro), pero otras ajeno a ello (hacer click en los resultados de google, o al rellenar una encuesta).

Las múltiples identidades digitales que podemos tener en este conglomerado de nuevos servicios, el uso que hacemos de ellas, y la opinión que ello genera, han ampliado el concepto de identidad digital con lo que se conoce como reputación digital, y que se define como:

La imagen que un individuo proyecta en Internet, creada con o sin su propia participación

En este caso no nos referimos a personas humanas como individuos, sino a cualquier entidad con identidad digital, producto, lugar, documento, actividad, aplicación, etc donde ya no es requisito siquiera que exista una identidad digital asociada.
El hecho de que esta imagen sea creada sin nuestra participación, puede tener repercusiones positivas o negativas en nuestra actividad cotidiana, y puede llegar a causar un atentado ya no contra nuestra privacidad sino contra nuestra propia imagen.

Al asociar el concepto de identidad digital y de reputación digital a personas humanas, comprobaremos como el conjunto es análogo al concepto de identidad personal, con el que empezamos este capítulo: la identidad no incluye sólo rasgos físicos que nos diferencian de los demás, sino el cómo nos vemos a nosotros mismos, cómo nos ven los demás y como interactuamos con el resto de la sociedad con el paso del tiempo.

Nuestra identidad en Internet son, el conjunto de datos sobre nosotros mismos que crean y proyectan nuestra propia imagen en la red y nos caracteriza. Ello minimiza las diferencias entre el mundo real y el virtual de Internet; ambos son mundos reales pero ocupan diferentes espacios: inevitablemente se trata de nuestra propia identidad personal en otro escenario, y por ello debemos cuidarla.

La imagen la he sacado del album de César Poyatos en flickr

Qué es la identidad

2010-12-29T20:03:00.002+01:00

El diccionario de la Real Academia Española define identidad en una de sus acepciones como:

Conjunto de rasgos propios de un individuo o de una colectividad que los caracterizan frente a los demás

De esta definición reflexionaremos un momento sobre el individuo como persona humana y cómo este se caracteriza del resto, intentando respondernos a unas preguntas simples: ¿cómo diferenciar un individuo del resto? ¿qué hace que dos individuos no sean idénticos? ¿qué me hace a mí diferente del resto?.

La primera pregunta es fácil: Los atributos físicos como el aspecto, el color, la forma, el olor, ... pero pensemos un momento en dos hermanos gemelos, construidos a partir del mismo material genético. En teoría deberían ser idénticos, pero sabemos que con el paso del tiempo no lo serán y que lo que los diferencia no es sólo físico, sino el cómo los vemos con el paso del tiempo. Ahora pensemos en nosotros mismos en la actualidad y hace diez años, obviando los cambios físicos debidos a la edad; ¿somos la misma persona?, ¿qué ha cambiado en mí?. Entre las respuestas quizás encontremos en resumen, que con el transcurrir de los años, no nos vemos de la misma forma y no nos relacionamos con el resto de la sociedad como antaño.

Así, el conjunto de rasgos propios del que habla la definición de RAE, incluirá no sólo rasgos físicos, sino el cómo nos vemos a nosotros mismos, cómo nos ven los demás y como interactuamos con el resto de la sociedad con el paso del tiempo. De todo ello hay características que podemos controlar como nuestros hobbies, preferencias musicales, el domicilio o el estilo de vestir, otras nos vienen asignadas y poco podemos hacer, como el nombre, el número de DNI, el código postal o el número de la seguridad social, y otras tantas, sobre las que no tendremos ningún control, variarán dependiendo de nuestras relaciones sociales y condicionarán cómo nos ven el resto: simpático, aplicado, moroso, cariñoso, etc. Decir que dos individuos son idénticos es un disparate y decir que alguien es idéntico consigo mismo en un momento dado, es como no decir nada, pero habitualmente, cuando hablamos de identidad para referirnos a personas (¿es esa persona que conozco?), tendemos a pensar que el paso del tiempo apenas ha causado efectos en ella: La identidad de una persona está representada por un cuerpo físico pero no está confinada a él.

A partir de estas reflexiones se nos plantea un dilema: ¿cómo podemos reconocer a una persona?, y generalizando ... ¿qué hace que una entidad reconozca a otra entidad?. Sencillamente, la identidad que tenemos retenida de ella: Una serie de atributos memorizados que los diferencian del resto.

Cuando estamos tiempo sin ver a alguien, la reconocemos por una serie de atributos que teníamos memorizados de ella, y que la hacían diferente (incluso de su hermano gemelo si lo tuviera): Aspecto físico, forma de hablar, de moverse, de sonreír, de mirar, su carácter, los recuerdos conjuntos, etc. Es obvio que con el paso del tiempo, la persona no será la misma, pero estos atributos retenidos en nuestra memoria, nos permitirán reconocerla e identificarla.

El estado español puede reconocernos gracias a nuestro Documento Nacional de Identidad (DNI), y esto no es sino una colección de atributos (nombre, dirección, fotografía, firma, padres, sexo, edad, y un número) que permite diferenciarnos a unos de otros; pensar en el DNI de dos hermanos gemelos, donde prácticamente todo es igual excepto el nombre y el número. Igual que sucede con el DNI, sucede con nuestra tarjeta sanitaria, o el carnet de conducir: Son una colección de atributos de nosotros, que las entidades emisoras tienen retenidos y que les ayudan a identificarnos.

Nuestra relación con la sociedad provoca que nos relacionemos con nuevos individuos, de los que no conocemos absolutamente nada. En primera instancia, nuestro instinto animal nos empuja a desconfiar. Está desconfianza inicial se va transformando con el paso del tiempo, conforme vamos conociendo a esa nueva persona; podríamos decir, que vamos identificando el valor de los atributos que nos interesan en nuestra relación con ella, y aprendemos a identificarla. Luego sólo tenemos que reconocerla. Pero también sucede, que esa desconfianza inicial es menor, si nos presenta alguien conocido nuestro, como si parte del proceso de identificación que nos corresponde, lo hubiera hecho ya ese conocido nuestro, e inconscientemente lo hubiéramos delegado. Esto también sucede con el DNI, por poner un ejemplo: la primera vez que nos lo hacemos tenemos que ir acompañados de alguno de nuestros padres, y presentar mucha más documentación que cuando tenemos que renovarlo. Este documento es expedido por la Dirección General de Policía, y representa nuestra identidad ante la misma, sin embargo, con el DNI podemos sacar dinero de nuestras cuentas del banco, sin presentar la documentación bancaria, de forma que el propio banco confía en la identidad que la policía tiene de nosotros.

La imagen la he sacado del album de KatB Photography en flickr

Sobre las redes sociales

2010-12-29T19:36:00.002+01:00

Desde los comienzos casi de nuestra civilización el hombre se ha esforzado en crear redes para conectar dos o más puntos separados con algún fin concreto. El tendido eléctrico conecta nuestra casa con la central eléctrica más cercana, que a su vez está conectada con otras y todas de una manera u otra, con una central desde la que se genera la electricidad que enciende nuestras bombillas. De la misma manera, la red de saneamiento conduce las aguas fecales de nuestras casas hasta la depuradora más cercana donde el agua se tratará y limpiará para aprovecharla. La red telefónica es otro ejemplo de red. La red de ferrocarril o la de carreteras es otro ejemplo del esfuerzo del hombre por conectar lugares separados y alejados, con algún objetivo, en este caso facilitar la comunicación y el comercio. Cuando conectamos más de dos lugares con algún motivo solemos referirnos al conjunto como red y le atribuimos como adjetivo el motivo por el que los conectamos: red eléctrica, red telefónica, red comercial, etc.

De la misma manera, las personas no se conectan entre sí pero si interactúan entre sí con un motivo común: trabajo, negocios, ser compañeros de curso, amor, aficiones, gustos musicales… y cuando interactúan entre ellos hablamos de relaciones personales en vez de hablar de conexiones.

Fue Aristóteles quien dijo que “el hombre es un ser social por naturaleza, inmerso en la sociedad desde que nace hasta que muere”. Históricamente, los grupos de personas que compartían un tipo de motivo para relacionarse se agrupaban y se llamaban colectivos o comunidades: Comunidades de vecinos, colectivos sindicales, comunidad hispana, colectivo y gays y lesbianas, etc. Desde los comienzos de nuestra civilización han existido estas comunidades que periódicamente se reunían para intercambiar impresiones, opiniones, actuar, reivindicar o debatir, fomentando así esa relación que los unía. El hecho de reunirse varias personas que comparten algo con el objetivo simplemente de relacionarse siempre lo hemos llamado acto social. Cuando los motivos por los que se relacionan estos grupos de personas, tienen manifestaciones artísticas y provocan cambios de comportamiento empezamos a hablar de cultura: cultura griega, cultura gótica, cultura afroamericana, cultura geek, … y cuando este colectivo se hace muy, muy grande, surge la necesidad de regular su funcionamiento interno con normas y leyes que ayuden a integrarse en esa comunidad. Se habla entonces de sociedades.

Internet ha revolucionado la manera en la que las personas se relacionan: Antes sólo podíamos relacionarnos con la gente que vivía cerca de nosotros o que conocíamos durante nuestros viajes. Mantener la relación y el contacto obligaba a desplazarse o a esperar días o semanas hasta que las cartas llegaran a su destino. Internet es la mayor red de comunicaciones de la Tierra que permite poner en contacto a dos personas en cualquier parte de la Tierra en décimas de segundo. Esta facilidad para la comunicación ha cambiado completamente nuestra forma de comunicarnos: Ya no hay que esperar ni viajar, podemos relacionarnos con cualquier persona del planeta, como si fuera nuestro vecino de la puerta de al lado.
Esto ha permitido que los colectivos o comunidades como las conocíamos antes, aparezcan y evolucionen mucho más rápido, simplemente porque es mucho más fácil comunicarse y el número de candidatos es casi el número de habitantes del planeta. Hace unos años encontrar seguidores de música funk en tu localidad era muy difícil, y si no te gustaba el mismo tipo de música que a la mayoría de personas con las que te relacionabas podías ser motivo de exclusión y rechazo. Hoy día con Internet es mucho más fácil encontrar gente con tus mismos gustos musicales y así poder evolucionar en el plano personal porque, a fin de cuentas, las relaciones personales sólo sirven para evolucionar como personas. Pertenecer a un grupo social, un colectivo o una comunidad, permiten al anónimo popularidad, al discriminado integración, al diferente igualdad, al malhumorado educación y así muchas cosas más. La fuerza del grupo permite sobre el individuo cambios que de otra manera podrían ser difíciles y genera nuevos vínculos afectivos. Quizás ya podamos hacernos una idea un poco más concreta sobre qué es una red social: Una red social es un grupo de personas conectadas por una o más tipos de relaciones, tales como amistad, creencias, conocimientos o intereses comunes …y han existido desde mucho antes de que existiera Internet.

Internet hace posible las relaciones entre ese grupo de personas igual que las hace el tren, una carta, una revista, la televisión o un programa de radio, pero de diferente manera: La comunicación ahora es instantánea y multidireccional, no de uno a uno, o de uno a muchos.
Desde principios de la década (allá por el año 2001), han comenzado a surgir nuevas herramientas en Internet que hacen mucho más fácil la comunicación de estos colectivos, orientándose principalmente en hacer posible y fomentar las relaciones entre personas y su comunicación. De la misma forma que crecían el número de estas herramientas, surgía la especialización entre ellas, y comenzaban a distinguirse unas de otras, orientándose a un tipo de relaciones concreto: amistad, trabajo, fotografía, vídeo, etc. El conjunto de estas herramientas o aplicaciones se conocen como social media o medios sociales , y no dejan de ser las herramientas que ayudan a la comunicación de las redes sociales a través de Internet. Entre ellas encontramos:

Círculo de amigos
- Facebook (http://www.facebook.com). La más famosa y comercial
- Tuenti (http://www.tuenti.com). En español, destinada a adolescentes.
Círculo profesional
- Linkedin (http://www.linkedin.com). La más famosa y comercial
- Xing (http://www.XING.com). En español.
Encuentros y contacto
- Meetic (http://www.meetic.com). La más famosa y comercial
- Badoo (http://badoo.com). ERelaciones esporádicas.

Estas herramientas están íntegramente orientadas a fomentar este tipo de relaciones, pero se suelen apoyar en otras herramientas que nacieron al mismo tiempo, que si bien no fomentan las relaciones, sí que sirven de vehículo para la comunicación entre los miembros de las redes sociales:

Youtube (http://www.youtube.com) Permite subir nuestro vídeos
Gmail (https://mail.google.com) y Hotmail (http://hotmail.com). Permite el intercambio de correos electrónicos y la mensajería instantánea (chat)
Twitter (http://twitter.com) Permite la publicación de mensajes cortos.
Flickr (http://www.flickr.com) y Orkut (http://www.orkut.com). Permite publicar nuestras fotografías.
BlogSpot (http://www.blogspot.com) y Wordpress (http://es.wordpress.com). Permite tener blogs que son una especie de portal de noticias o editoriales

¿De qué nos sirve tener teléfono móvil si no tenemos amigos a quien llamar?. Estas herramientas de la social media (YouTube, Gmail, Twitter, etc) hacen posible la comunicación igual que la hace posible el teléfono móvil. Con las herramientas orientadas a las redes sociales (facebook, tuenti, Linkedin, etc), podemos hacer nuevos amigos con quien contactar y relacionarlos usando diferentes formas: chat, correo electrónico, blogs, etc.

La imagen la he sacado del album de 10ch en flickr

Clusters Java con Terracota

2010-12-25T08:33:00.001+01:00

Terracotta es un software Open Source de clusterización para aplicaciones Java, compuesto de dos partes:

Un servidor responsable de la administración y de distribuir la información entre los clientes
y el propio cliente que publica y recibe información hacia/desde el servidor de terracotta

El servidor se encarga de replicar las instancias de clase entre los miembros del cluster a través del cliente. Para ello, nuestra aplicación debe estar programada a consciencia, y declarar qué clases deben propagarse en un fichero de configuración especial del cluster. La particularidad de este cluster reside en la posibilidad de replicar instancias de JVM y mantenerlas sincronizadas.
Para dotar a nuestras aplicaciones de alta disponibilidad configuraremos el servidor de terracotta en todos los nodos. Compartirán la misma configuración y sabrán cómo conectar al resto de nodos que ejecutan la aplicación Java que queremos clusterizar. Inicialmente se elegirá automáticamente cuál de los nodos se erige como maestro, mediante un algoritmo distribuido propio, dejando el resto de servidores terracotta en modo pasivo. Cuando el maestro de terracotta caiga, otro asumirá el rol de maestro. El problema viene cuando todos los nodos se inicien a la vez, dado que el algoritmo puede tardar en decidir quien se erige como maestro. Esta situación se considerará una situación de desastre y requerirá la intervención de un administrador que inicie primero una de los servidores, y cuando esté arriba, poco a poco iniciar el resto de servidores para que se unan al cluster. Echadle un ojo a este tutorial si quereis empezar a probarlo.

La imagen la he sacado del album de luispabon en flickr

El efecto 2038

2010-12-25T08:05:00.003+01:00

Ya queda un poco lejano el efecto 2000, pero afortunadamente para nuestras espectativas de trabajo se acerca el efecto 2038. Este futuro efecto está causado por la longitud del espacio reservado para almacenar timestamps en POSIX (time_t es un entero de 32 bits con signo) que cuenta el número de segundos transcurridos desde el 1/Ene/1970 a las 00:00:00 y alcanza su valor máximo (19/Ene/2038 a las 03:14:07), comenzando de nuevo la cuenta por el 1/Ene/1970. En arquitecturas de 64bits, time_t usa un entero con signo, pero de 64bits, que aplaza el problema durante unos cuantos millones de años, y claro, si el estándar POSIX ha funcionado bien durante todos estos años, tampoco íbamos a modificarlo para corregir este inconveniente, y por supuesto, tampoco es necesario montar sistemas que sabemos en el año 2038 tendrán problemas con la hora: Es deseable que los administradores Unix comencemos a migrar nuestros sistemas de 32 a 64 bits, por el llamado efecto 2038.
Una vez se dispone de una plataforma 64bits, es deseable usar una ver- sión Java de 64bits. La versión de 32bits de Java en Linux, tiene la gran limitación de permitir asignar hasta 3GB de RAM para la máquina virtual, y de ellos, sólo podremos darle a nuestra aplicación 2GB, porque el restante lo necesita la Runtime de Java para alojar el recolector de basura, heap, PermGen, etc. Esto que parece mucho, en realidad conforme van subiendo las conexiones a nuestro servidor se convierte en un inconveniente, porque la única forma que tenemos de mejorar el tiempo de respuesta y la cantidad de threads es aumentando la asignación de memoria RAM a la máquina virtual. Las distintas librerías y frameworks que actualmente necesitan las aplicaciones Java hacen que 2GB de RAM sea poco a largo plazo, y claro, no está recomendado si vamos a poner en marcha un sistema con la previsión de que esté funcionando después del año 2038.

La imagen la he sacado del album de simpologist en flickr

MultiPath para una cabina HP MSA

2010-12-24T18:00:00.000+01:00

Si queremos configurar una cabina SAN HP MSA con Device Mapper Multipath sobre un sistema Debian, Ubuntu o Gentoo, podremos usar el siguiente fichero de configuración /etc/multipath.conf

blacklist {
   devnode "^cciss!c[0-9]d[0-9]*(p[0-9]*)?"
}
defaults {
   user_friendly_names yes
}
devices {
   device {
      vendor  "HP*"
      product  "MSA2312fc"
      getuid_callout "/lib/udev/scsi_id -g -u  -s /block/%n"
      hardware_handler "0"
      path_selector "round-robin 0"
      prio  alua
      #path_checker alua
      #prio_callout     "/sbin/mpath_prio_alua /dev/%n"
      path_grouping_policy group_by_prio
      failback  immediate
      rr_weight  uniform
      no_path_retry 18
      rr_min_io  100
      path_checker tur
   }
}
multipaths {
   multipath {
      wwid                   3600c0ff000da437942ece24c01000000 
      alias                  LUN1_MSA
   }
   multipath {
      wwid                   3600c0ff000da44502b1aec4c01000000
      alias                  LUN2_MSA
   }
}

Apache: Reescribir todo HTTP a HTTPS

2010-12-24T16:47:00.002+01:00

A menudo ponemos en marcha VirtualHosts en nuestro servidor Apache, que más tarde decidimos securizar con HTTPS por cualquier razón, aunque las más habituales son la recomendación de nuestro auditor de seguridad, o la configuración de servicios autenticados con Login y Password. Esto siempre sucede después de haber publicitado la URL de nuestro servicio, y ya no tenemos control de qué URLs y bookmarks apuntan a nuestro servidor. Si se decide cerrar el puerto HTTP en nuestro servidor, los usuarios que accedan al servicio se encontrarán un error 404 y pensarán que la página ya no existe. Quizás sea más práctico configurar nuestro servidor para que reescriba todas las URLs en HTTP a HTTPS con mod_rewrite mediante el siguiente bloque:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI}

PhPKI

2010-12-24T16:18:00.002+01:00

Casi todas las organizaciones tienen la necesidad de gestionar sus propios certificados autofirmados para implantar servicios OpenSSL. Hasta ahora siempre había recomendado usar los servicios de Certificación de Windows, por la comodidad que ofrecían: Una pequeña aplicación Web, desde la cual cualquiera puede solicitar un certificado de servidor, de cliente, VPN, etc. Además nos mantiene una pequeña base de datos con los certificados emitidos, y desde la interfaz web podemos renovarlos, volver a descargarlos y revocarlos.

Hacer esto mismo con OpenSSL delante de una consola Linux, no resulta tan intuitivo para nada, y por eso siempre he recomendado usar Windows para esta labor. Con OpenSSL siempre terminamos buscando en Internet cómo solicitar un nuevo certificado, que nunca es la misma página que usamos para configurar nuestra primera CA, y desgraciadamente acabamos configurando una nueva CA con un nuevo certificado raíz, que tendremos que volver a distribuir entre los clientes.

No hace mucho, encontré una pequeña aplicación Web OpenSource llamada PhPKI que nos permite olvidarnos de OpenSSL en la consola Linux, y hacer lo mismo pero desde la ventana de nuestro navegador. Esta aplicación simplemente es un Wrapper sobre OpenSSL y se instala con sólo descomprimir el TGZ en el directorio de nuestro servidor Web. La infraestrucutra PKI de nuestra entidad de certificación se mantiene en un directorio separado de la Web y toda la aplicación se configura mediente un fichero config.php. El código PHP es muy sencillito y se puede retocar y acondicionar muy facilmente. Ahora recomiendo usar esta herramienta :).

La imagen la he sacado del album de thierry en flickr

Optimizar las conexiones a MySQL

2010-12-24T14:56:00.002+01:00

Si monitorizamos nuestro servidor MySQL recién instalado, podemos comprobar con el paso de las horas cómo se van amontonando conexiones en estado "Sleep" durante horas. Si nuestro servidor de base de datos empieza a recibir muchas conexiones será cuestión de tiempo que empiece a denegarlas.
El problema de que las conexiones quedén ahí sin cerrar los encontramos en la configuración de nuestros Apaches y en el propio MySQL.

En nuestros Apaches debemos revisar /etc/php.ini para configurar las conexiones persistentes a MySQL
```
mysql.allow_persistent = Off
mysql.max_persistent = 20
```
De esta forma le decimos a Apache que no se quede ahí con conexiones persistentes: Conecte y cierre.
En MySQL editar /etc/mysql/my.cnf y en la sección de [mysqld] añadir
```
wait_timeout = 60
```
El valor por defecto es 1 dia (expresado en segundos), y es el tiempo que tarda MySQL en matar sesiones, esperando a que se cierren. Tendremos que reiniciar el servicio para que se apliquen los cambios.

Para consultar el valor de las variables de TimeOut de nuestro MySQL debemos entrar en la consola mysql y ejecutar:

show global variables like '%time%';

Para fijar un valor en caliente:

set global wait_timeout=30;

La imagen la he sacado del album de mjsonline en flickr

Mirrors de Ubuntu

2010-12-24T14:21:00.003+01:00

Durante este año he comprobado cómo cada vez más, Ubuntu Server es un estupendo candidato para instalar en servidores. La gran ventaja que nos ofrece es poder disponer de versiones de paquetes mucho más modernas que las que encontramos en RedHat Enterprise Linux (Oracle Unbreakable Linux, CentOs) o en Debian, y disponer de actualizaciones de seguridad gratuitas. También supone una ventaja el uso de paquetes DEB fáciles de recompilar para personalizar las opciones que necesitemos.
El uso de Debian o Ubuntu en servidores, nos obliga a disponer de conexión hacia de Internet para poder acceder a los reposiotorios de paquetes DEB. Esto no siempre es posible dependiendo de la topología de la red, y quizás nos convenga disponer de nuestro propio repositorio local de paquetes si queremos evitar permitir la conexión hacia Internet.
Para configurarlo realizaremos los siguientes pasos:

Instalar el paquete debmirror y apache2:
```
apt-get install debmirror apache2 rsync
```
Crear los directorios donde dejaremos nuestra réplica
```
mkdir /var/www/mirror/ubuntu/
```

Crear nuestro propio script para realizar la sincronización en /var/www/mirror/mirror-ubuntu.sh con el siguiente contenido:

#!/bin/bash
#

if [ "$1" = "" ]
then
 echo "ERROR: Debes pasar el nombre de la distribucion (ej: karmic,lucid...)" >&2
 exit 2
fi

# Mirror de 32bits
debmirror --ignore-release-gpg  -a i386 \
 -s main,restricted,universe,multiverse \
 -h cc.archive.ubuntu.com \
 -d $1,$1-security,$1-updates,$1-proposed,$1-backports \
 -r /ubuntu --progress -e http /var/www/mirror/ubuntu

# Mirror de 64bits
debmirror --ignore-release-gpg  -a amb64 \
 -s main,restricted,universe,multiverse \
 -h cc.archive.ubuntu.com \
 -d $1,$1-security,$1-updates,$1-proposed,$1-backports \
 -r /ubuntu --progress -e http /var/www/mirror/ubuntu

El script recibirá como argumento el nombre de la distribución: lucid, karmic, etc.

Preparar nuestro anillo de claves PGP, mediante:

apt-key exportall \
| gpg --no-default-keyring --keyring trustedkeys.gpg --import

Lanzar la sincronización y descarga de paquetes a nuestro directorio local:
```
cd /var/www/mirror
nohup bash mirror-ubuntu.sh karmic &
```

Una vez se hayan descargado todos los paquetes de la distribución de la que queremos mantener la réplica, configuraremos nuestros clientes apt, editando el fichero /etc/apt/sources.list y modificando la ruta del repositorio de paquetes:

deb http://IP_SERVIDOR_REPLICA/ubuntu/ karmic main restricted
deb-src http://IP_SERVIDOR_REPLICA/ubuntu/ karmic main restricted

deb http://IP_SERVIDOR_REPLICA/ubuntu/ karmic multiverse
deb-src http://IP_SERVIDOR_REPLICA/ubuntu/ karmic multiverse

deb http://IP_SERVIDOR_REPLICA/ubuntu/ karmic universe
deb-src http://IP_SERVIDOR_REPLICA/ubuntu/ karmic universe

deb http://IP_SERVIDOR_REPLICA/ubuntu/ karmic-updates main restricted
deb-src http://IP_SERVIDOR_REPLICA/ubuntu/ karmic-updates main restricted

deb http://IP_SERVIDOR_REPLICA/ubuntu/ karmic-updates multiverse
deb-src http://IP_SERVIDOR_REPLICA/ubuntu/ karmic-updates multiverse

deb http://IP_SERVIDOR_REPLICA/ubuntu/ karmic-updates universe
deb-src http://IP_SERVIDOR_REPLICA/ubuntu/ karmic-updates universe

deb http://IP_SERVIDOR_REPLICA/ubuntu/ karmic-security main restricted
deb-src http://IP_SERVIDOR_REPLICA/ubuntu/ karmic-security main restricted

deb http://IP_SERVIDOR_REPLICA/ubuntu/ karmic-security multiverse
deb-src http://IP_SERVIDOR_REPLICA/ubuntu/ karmic-security multiverse

deb http://IP_SERVIDOR_REPLICA/ubuntu/ karmic-security universe
deb-src http://IP_SERVIDOR_REPLICA/ubuntu/ karmic-security universe

Sería conveniente que ejecutemos periódicamente el script para mantener sincronizada nuestra réplica local.

La imagen la he sacado del album de Tobyotter en flickr

La catequesis

2010-09-06T17:15:00.002+02:00

Hoy he estado hablando con mi ahijado ("el piripi") que debería hacer la comunión, si todo va bien, el próximo Mayo. Me ha dicho que está preparado, que enseguida empieza la catequesis y ya se sabe la oración del "Gloria" (quizás la más corta de todas), pero afirma que "Jesucristo era el hermano de Angel Cristo". La respuesta que me ha dado a la pregunta de qué es la Fe, ha sido:

"La Fe es lo que va antes de la Ge"

Creo que debo de empezar a ir a misa con este chaval, en plan intensivo.

Mejorar el rendimiento de las aplicaciones Web con Perl

2010-07-26T00:46:00.001+02:00

Hace un tiempo me pidieron que buscara una solución para mejorar el rendimiento de una aplicación Web escrita en perl a base de CGIs. La verdad es que este tipo de aplicaciones escasean ya bastante, y las soluciones no son tan numerosas como las de PHP, como eAccelerator o XCaché.

Podemos encontrar una solución bastante aceptable en el libro de O'Reilly Apache Cookbook en los capítulos: 11.14. Speeding Up Perl CGI Programs with mod_perl y 11.15. Caching Dynamic Content

También nos puede servir la presentación de SlideShare From CGI to mod_perl 2.0, Fast!.

El mercado de los smartphones

2010-07-26T00:14:00.002+02:00

Hace ya casi un año, mi esposa perdió su móvil con diseño de Agatha Ruiz de la Prada durante una celebración a la que no fuí invitado. Al día siguiente compró un móvil básico por 0 euros. Me resultaba muy curioso comprobar como todos mis sobrinos se reian de su movil con comentarios como "no tiene juegos", "no tiene internet", "no puedes cambiar el fondo", "no tiene músicas chulas", "no tiene bluetooth", y una largo etc. Estos sobrinos tienen 5,6,7,12 y 15 años. Todos coincidían y mi respuesta siempre era la misma: Un móvil sirve para llamar por telefóno, no para cambiar el fondo de la pantalla, y ellos más se extrañaban.

Cuando mi esposa se cansó de oirlos, un día empezó a decirles: "Me voy a pillar un móvil que vais a flipar". Meses después consiguió un iPhone 3G liberado. Ahora los sobrinos se pegan (literalmente), por usar el móvil para jugar, tocar el piano, navegar, etc.

La moraleja de esta historieta es que lo suplementario despierta ya más interés que lo necesario cuando hablamos de casi cualquier cosa, y comprobar cómo los más pequeños ya tienen configurados mentalmente determinados patrones de consumo, que cuando sean adultos seguro ayudarán a perpetuar aún más, una sociedad económica basada en el consumo voraz.

Lo que no deja de sorprenderme es la forma en la que Apple ha irrumpido en un mercado en el que no tenía ninguna presencia y ha desbancado a toda la competencia con sus propios recursos y sus ideas. Posiblemente existan aparatos técnicamente mucho más equipados, eficentes y baratos que el iPhone, pero el éxito de Apple, a mi juicio, radica en dos factores fundamentales:

Mejorar la experiencia del usuario, que lo han hecho extremadamente bien y han marcado toda una tendencia en el mercado: El móvil que viene con teclado numérico nos evoca recuerdos de los Walkie-Talkies, y ya no digo nada de las Blackberry.Siempre me he maravillado con la ingeniera de Telecomunicaciones, cómo consiguieron crear un aparato que con sólo 12 botones era capaz de ponerte en contacto con cualquier lugar del planeta, mientras que nosotros los informáticos, sólo habíamos logrado reducir el número de botones a 105. Apple ha ido más allá, y ha quitado todos los botones del aparato... cada vez que veo un movil sin teclado lo recuerdo, y no puedo evitar asombrarme.

El mercado de aplicaciones, ha abierto todo un nuevo sector económico dentro del mundo del software, lleno de oportunidades. Este creo que ha sido el mayor logro de Apple: Se han reinventado como ya hicieran con el mercado del ordenador personal.

No cabe duda que el mercado de aplicaciones de Apple es todo un éxito en plena crisis económica, pero pienso que está en peligro a medio y largo plazo: Me temo que el futuro está en el mercado de aplicaciones de Android, por varias razones.

iOS es de Apple para dispositivos de Apple. Pronto los fabricantes de móviles que han sido desbancados, como Nokia, empezarán adoptar Android en sus dispositivos, como ya están haciendo HTC, Samsumg y Motorola, simplemente por una razón de coste: no tendrán que mantener el desarrollo de sistemas operativos para sus móviles, sólo adaptar Android para que funcione de manera óptima, y así centrar sus esfuerzos en I+D para mejorar las características técnicas de los dispositivos. Volverán a innovar las funcionalidades de los dispositivos, y a precios que serán más asequibles que los equivalentes al iPhone. La batalla de los sistemas operativos para móviles se reducirá a dos contrincantes.

Actualmente los nuevos cacharros de Apple tienen problemas de stock en los mercados. Siempre hay que esperar, como cuando hace unos años intentabas comprar un coche Audi. Cuando la mayoría de fabricantes apuesten por Android, inundarán el mercado de equipos con el sistema operativo de Google, donde la elección entre elegir un móvil u otro estará en las características técnicas y complementos que traiga de serie, y en función de ello, en el coste: Cuando alguien intente comprar un móvil, y tenga que elegir entre esperar unas semanas o llevárselo puesto, no todos estarán dispuestos a esperar, de la misma manera que no todos estarán dispuestos a desembolsar el precio que hay que pagar, por pertenecer al exquisito club de clientes de Apple.

La política y el celo en pro de la calidad, con el que Apple gestiona las aplicaciones que forman parte de su mercado, hace que no tengamos disponibles mucha clase de aplicaciones. Poco a poco, irán apareciendo nuevas aplicaciones en el mercado de Android que no estarán disponibles en el mercado de Apple, y algunas tendrán mucho éxito: Estas empezarán a ser determinantes para que los consumidores se decidan a elegir un dispositivo u otro.

Aunque no he tenido la ocasión de hacer aún nada para móviles, sí que he hablado con gente que ha sido capaz de desarrollar el juego de las tres en raya para Android, en un domingo por la tarde, sin saber nada excepto programar en java. Y también me han comentado que para Apple es mucho más complicado y no tienen tantas facilidades para hacerlo, como te ofrece Google. En definitiva, es más fácil desarrollar aplicaciones para Android que para iOS.

En resumen, a medio y largo plazo, habrá más dispositivos con Android, y habrá muchas más aplicaciones para Android porque la política de publicación no es tan restrictiva y son más fáciles de desarrollar, por lo que pienso que el futuro es Android, aunque no estoy seguro del todo, porque pienso que la historia se repite, y me recuerda mucho a lo que pasó con Apple y Microsoft en los años 80 con el mercado del ordenador personal: ¿Habrán aprendido de los errores del pasado?, ¿volverá Steve Jobs a tropezar dos veces con la misma piedra? ... espero con curiosidad ver la reacción de Apple ante esta amenaza, pero pienso, que la solución pasa por abrir su plataforma y tener políticas menos restrictivas, en definitiva seguir el juego de la estrategia Open Source de Google, y aprender de la estrategia que llevó a cabo Microsoft en el pasado.

Máster

2010-07-22T00:47:00.003+02:00

Mi querida sobrina Gema me preguntó el domingo pasado:
- Tate ... ¿qué es un Máster?
...y esta fue mi respuesta, que espero forme parte de alguna recopilación de citas célebres digna:

Un máster es lo que va antes de un miéscoler.

Ignacio Barrancos - Explicaciones del sentido de la vida

Continuidad de la implantación de Ossim

2010-07-18T11:48:00.002+02:00

Dentro de la gran variedad de servicios que podemos ofrecer basados en Software Libre, está el de monitorización de la seguridad de la red, con ayuda de Ossim. Esta herramienta es todo un referente entre las de su género y resulta complicado decir con exactitud qué es, por ello usaré la definición que usa la Wikipedia: OSSIM (Open Source Security Information Management) es una colección de herramientas bajo la licencia BSD, diseñadas para ayudar a los administradores de la red en la seguridad de los equipos, la detección de intrusos y la prevención.
Inicialmente nos pueden contratar para el despliegue inicial de la herramienta y la correcta configuración de todas y cada una de las herramientas que componen la suite: Esto no sólo consiste en instalar la ISO que podemos descargar desde la web. Deberíamos considerar realizar trabajos como:

Revisión y actualización de firmware de servidores con los que trabajar
Instalación y configuración del sistema operativo en los equipos destinados a Ossim
Instalación y configuración básica de Ossim y agentes en las sondas. Configuración jerárquica.
Configuración de switches.
Desarrollo de scripts, y programas que permitan la integración entre las diferentes herramientas y Ossim (purgas de BBDD, recuperaciones, backups, agentes windows, linux, ossec... )
Desarrollo de nuevos plugins para Ossim según se requiera (monitorización desde Nagios, monitorización Windows Update, NRPE-Windows, etc)
Instalación y configuración de los agentes necesarios en los equipos a monitorizar (snare, syslog, etc)
Y por supuesto, lograr la adecuación de Ossim al Plan de Seguridad:
- Configuración de activos (servidores, redes), alertas, respuestas, notificaciones,
- Programación de análisis de vulnerabilidades, Ponderación de los riesgos, y priorización de activos
- Definición de nuevas reglas de correlación

Pero una vez que hemos realizado estos trabajos... ¿qué pasa?, somos conscientes que la seguridad es un proyecto del día a día, y no es algo con un comienzo y final, se debe estar contínuamente encima de ello, ¿cómo podemos vender esto?. Esta es mi propuesta:

Trabajos de mantenimiento de la infraestructura Ossim que incluyen, la serie de tareas que habría que realizar para mantener operativa tal cual se diseñó todo el despliegue de Ossim:
- la actualización controlada del sistemas Debian y aplicación de actualizaciones,
- Solución y respuesta de alertas reportadas por Nagios sobre los equipos OSSIM
- Revisión periódica de la base de datos y el resto de servidores, para detectar problemas de capacidad y rendimiento
- Adaptar las configuraciones a los cambios que pudiera haber en la red y en la infraestructura de servidores
- Configuración de servidores Windows y Linux, para reportar correctamente los eventos de seguridad a las sondas
- Mantenimiento de la política de seguridad, que consistiría en mantener actualizados el inventario de hosts, redes, Assets, Niveles C&A, etc.
Trabajos de soporte de Ossim, que incluirían los trabajos para adaptar y mejorar el despliegue el diseño inicial en base a los nuevos retos y problemas que vayan surgiendo en el futuro:
- Desarrollo de nuevas alertas, directivas y plugins para monitorizar nuevos eventos de seguridad Implantación de nuevas sondas para adecuar la infraestructura de monitorización a cambios de topología de red y cambios en la infraestructura de la red
- Revisión periódica de las alertas de seguridad para detectar la necesidad de configurar nuevas directivas y adaptar la política de seguridad
- Actualización de las sondas a las nuevas versiones de OSSIM, que en la mayoría de los casos requerirán de modificar el fuente de la aplicación (phps de la consola web, cambios en BBDD), como ya me ha sucedido con las actualizaciones realizadas.
- Aumentar el nivel de monitorización con el despliegue de agentes de Ossim en los propios servidores herramienta.
- Revisión periódica de las anomalías detectadas y solución
- Gestión y mantenimiento periódicos de informes de la herramienta
Trabajos de soporte avanzados de seguridad para aumentar y mejorar el nivel de monitorización y dar respuesta a los incidentes de seguridad detectados por OSSIM
- Dar respuesta a los tickets generados por OSSIM: El administrador de seguridad generará tickets a partir de las alertas, y estos tickets habrá que darles una solución, en la mayoría de los casos interviniendo en la configuración del servidor que presenta la alerta
- Programación de escaneado de vulnerabilidades y solución a las mismas en base al informe de OpenVAS y la aplicación de cambios en la configuración del servidor afectado
- Aumentar el nivel de monitorización implantado HIDS (Ossec) en los servidores más sensibles a la seguridad.

El primer grupo de trabajos, mantenimiento de la infraestructura, debería ser posible acometerlos con la documentación que se adjunte con el proyecto inicial, de forma que se mantenga la infraestructura tal cual está diseñada.

El segundo grupo de trabajos requiere de un conocimiento más avanzado sobre la herramienta e incluso multidisciplinar dado que algunos de ellos requieren de desarrollos en diferentes lenguajes de programación y sistemas al tratarse de tareas no rutinarias. Para llevarlos a cabo con éxito se requiere de una formación exhaustiva en la herramienta Ossim que se puede conseguir leyendo la documentación oficial o en su defecto, se recomienda contar con apoyo de un técnico experto formado para ello.

El tercer grupo requiere de conocimientos expertos más avanzados en diferentes sistemas para dar solución a cada uno de los incidentes que puedan detectarse y que en la mayoría de los casos tendrán solución distinta: Montar cortafuegos, configurar sistemas Windows y Linux, securizar servicios, actualizar versiones de software, etc.
Para cada uno de estos tipos de trabajos el procedimiento de actuación consistirá en solucionar el incidente de seguridad, pero lo que variará serán las entradas y salidas de ellos:

Como entradas de estos incidentes, se tendrán tickets generados en Ossim, que se comunicarán al responsable de solucionarlos con una llamada telefónica, una solicitud de asistencia. Ello derivará en un diagnóstico inicial y la elaboración de una propuesta de solución.
Las salidas de estos incidentes deberían ser informes de actuación donde se detalle el origen y diagnóstico del problema y las medidas realizadas para solucionarlo.

La propuesta para la contratación de ayuda externa podría ir en función de diferentes factores:

En función del tiempo de respuesta ante incidentes para la elaboración de un diagnóstico preventivo, y en función del tiempo en el que existe compromiso de resolver el incidente.
En función de una cantidad fija horas en las que el apoyo realizaría labores proactivas que darían como resultado una serie de informes periódicos y otra cantidad de horas destinada a solucionar incidentes y realización de tareas.

Bueno, este es mi punto de vista.

Qué no me gusta de Spotify

2010-07-18T10:47:00.002+02:00

Debería estar preparando el proyecto que empiezo mañana. Acabo de iniciar mi equipo Linux y al preparar el entorno de trabajo he ido a iniciar Spotify. Entonces me he acordao que hace unos días se publicó la versión nativa para Linux con algunas limitaciones, yo aún la uso con Wine (contra casi mi voluntad) y he pensado ¿la pruebo?, y a los dos minutos he decidido esperar hasta final de año, cuando actualice las distribuciones del equipo :(. Como se me ha activado el chip de la procrastinación, he pensado en algunos posts que leí hace tiempo sobre las limitaciones del reproductor, y para satifascer mi ansia procrastinadora, me he decido a escribir mi impresión sobre Spotify después de estar usándolo casi a diario durante meses.
Estas son:

La publicidad está totalmente desaprovechada y no está nada dirigida, a pesar de tener todo a favor. Tíenen mis gustos musicales, la música que escucho, lo saben casi todo de mí en cuanto a música, y se empeñan en meterme anuncios del álbum de Bisbal, o de Alejandro Sanz ¿cuántas veces he escuchado a Bisbal?. Entiendo que deben financiarse y deben incluir anuncios de INGDirect o Movistar, pero sigo sin entender cómo pierden el tiempo y ancho de banda intentando venderme música que saben que no voy a comprar.

El catálogo sigue siendo reducido: ¿dónde está toda la discografía de los Beatles o de AC/DC?. Supongo que esto estará causado por falta de acuerdo con las discográficas y sociedades de autores, pero creo que empieza a ser un problema para Spotify. Creo que como modelo de negocio es todo un acierto, pero si no consolidan el catálogo pueden venir competidores más voraces en las negociaciones con las discográficas y arrebatarles la oportunidad. Deberían completar el catálogo.

Las sugerencias de música son demasiado pobres, tanto que no me ayudan a descubrir nueva música, y creo que es su principal problema. Me gusta escuchar determinada música, pero al final, termino cansado y me apetece escuchar nuevas cosas, pero en consonancia con mis gustos. Cuando buscas un grupo te aparecen grupos similares en cuanto al estilo, pero esto no creo que sea suficiente, de hecho, sólo recuerdo en un par de ocasiones haber seguido alguna recomendación. Lo ideal sería tener un sistema de recomendación similar a la tienda de Amazon: Otros usuarios que vieron este libro, también compraron este otro.Para descubir nueva música recurro a listasspotify, que no tiene nada que ver con la empresa Spotify. Esta web, que es un excelente idea, debería haber surgido de la propia compañía, deberían explotarla con publicidad y recompensar a los usuarios más activos con suscripciones gratuitas, para garantizar los contenidos sin aumentar su infraestructura.

Sus opciones sociales. La integración con los grandes de las redes sociales como facebook y twitter sólo se queda en un sistema de recomendación musical, pero me temo que no ofrece a tus seguidores qué estás escuchando ahora mismo (para que ellos también puedan escucharlo al mismo tiempo) en su cliente Spotify. Creo que se puede explotar más el uso de tu red social, porque al final se fundamenta en la participación del usuario: Alguien que te hace una recomendación. Pienso que es mucho más fácil explotar la curiosidad humana¿qué estará escuchando esta persona ahora mismo?, que explotar ese sentido de la colaboración, que debemos tener todos :P, cuando nos animamos a arrastrar la canción que estamos escuchando, hasta alguno de nuestros contactos de facebook: Si estás escuchando música, normalmente estás haciendo otra cosa, y apenas visitas la consola de Spotify. La usamos cuando decidimos cambiar de música y es ahí cuando vendría bien tener: ¿qué estará escuchando esta persona?
Esto también podría permitir optimizar el consumo de ancho del banda. Cada vez son más las personas que usan Spotify dentro de la misma organización y lo han sacrificado por la antigua unidad de red compartida donde todos dejaban su música y la usaban. El cliente Spotify podría observar vía multicast los clientes cercanos de la misma subred y hacer recomendaciones sobre que está escuchando ahora mismo la gente que tienes cerca, para reducir el ancho de banda hacia internet, porque no se tardará mucho tiempo en que las organizaciones empiecen a filtrar el tráfico musical.

Jamendo. ¿Por qué dedicarse sólo a la música que te ofrecen las discográficas?, ¿por qué no un acuerdo con Jamendo para reproducir y vender música?, ¿por qué no ofrecer a grupos modestos y anónimos vender su música a través de Spotify?. Deberían aspirar a ser la única tienda de música de internet. No lo entiendo :(.

Mejorar la experiencia del usuario. En general la usabilidad del programa es excelente, pero... ¿por qué conformarse sólo con la portada de los álbumes y algunas críticas? ¿por qué no indexar también vídeos musicales desde youtube, vimeo, etc, la web oficial de los artistas, su club de fans, la historia del grupo o las letras de las canciones que estamos escuchando?

Las suscripciones. El modelo de pago por suscripción es acertado, y de hecho yo he sucumbido y pagado varios meses de suscripción, pero en casa, tampoco somos unos grandes consumidores de música. Pagamos la suscripción mensual pero claro, el pago está asociado a una cuenta de usuario, y el cliente no te permite iniciar sesión desde dos ubicaciones diferentes de forma simultánea. Sucede que si yo estoy escuchando música desde el trabajo, y mi hijo inicia sesión desde casa me echa y no me deja escuchar nada :(. Esto está bien, porque como empresa su objetivo será que todos los habitantes del planeta paguen su suscripción mensual, pero deben entender que una familia que tenga de 3 a 5 usuarios, no sucumbirá. Sin embargo, sería posible incrementando ligeramente el precio de la suscripción posibilitar la compartición de la cuenta, de forma que fuera más económico que pagarla por separado y es muy posible que les repercutiera más ingresos, evitando la huída de los usuarios: ¿Qué hago yo cuando no puedo escuchar música porque mi hijo me ha echado?... sencillamente buscar otro reproductor, web, servicio, etc... el día que encuentre algo mejor dejaré de pagar mensualmente a Spotify, es así de sencillo. No deberían darle oportunidad a sus clientes a probar otras alternativas.

En resumen: Está muy bien, pero en mi modesta opinión aún pueden hacerlo mucho mejor.

España campeona del mundo

2010-07-12T00:22:00.003+02:00

Pensaba escribir una entrada en tono de crítica sobre el carácter separatista de algunas clases políticas de mi querida España, haciendo una reflexión sobre como, cuando un grupo de españoles de todas las regiones trabajan juntos, son capaces de conquistar el mundo, pero pensándolo mejor, creo que estos políticos no se merecen más protagonismo del que ya tienen, ni más recompensa que el sueldo que ya reciben, por intentar conquistar alguna competencia del estado y rebañar unos cuantos millones de euros de los presupuestos del estado: Les invito desde aquí a que reflexionen con el ejemplo de estos chavales de la selección, que sí parece que representan a la mayoría del pueblo, y ya han pasado a formar parte de la historia.

Enhorabuena España: Nunca imaginé que viviera esto. Gracias.

El otro día vi una viñeta de MEL, que me hizo mucha gracia, sobre todo esto :P

Administrar VMware Server 2.X desde consola

2010-06-26T11:07:00.001+02:00

A menudo sólo disponemos de una conexión SSH a nuestro VMware Server, para poder administrar las máquinas virtuales que contiene. Por suerte, VMware ha contemplado esta situación y nos proporciona una serie de comandos que nos facilitarán esta labor.
El resumen de los comandos que habitualmente uso, es el siguiente:

Conocer los datastores que tenemos configurados en nuestro servidor:

vmware-vim-cmd hostsvc/datastore/listsummary

Al ejecutar este comando, nos mostrará la lista. Lo más importante de esa lista, quizás sea el nombre del datastore y la ruta del mismo.

vmware-vim-cmd hostsvc/datastore/listsummary \
| grep  'url =' \
| perl -ne 'print "$1\n" if($_=~m/=\s+(\S.+),/);'

De esta forma tendremos las diferentes rutas de nuestros DataStores. Para saber las máquinas virtuales que tenemos configuradas en nuestro equipo, podremos ejecutar los siguientes comandos:

export LISTADS=`vmware-vim-cmd hostsvc/datastore/listsummary \
| grep  'url =' \
| perl -ne 'print "$1\n" if($_=~m/=\s+\"(\S.+)\",/);'`
export IFS=$'\n'

for i in $LISTADS
do
  c=`echo "$i/" | wc -c `
  ds=`vmware-vim-cmd hostsvc/datastore/listsummary \
     | grep -e 'url =' -e 'name =' \
     | grep "$i" -B1 \
     | perl -ne 'print "$1" if ($_=~m/name\s+=\s+\"(.+)",/);' `

  for k in `find $i -iname "*.vmx" `
  do
     echo "[$ds] `echo $k|cut -c $c-` "
  done
done

Para conocer las máquinas virtuales que se están ejecutando en un momento dado, podremos lanza el comando:
```
vmrun -T server  -u USUARIO-VMWARE -p CONTRASEÑA  -h https://code:8333/sdk list
```
Para detener una máquina virtual podremos lanzar:
```
vmrun -T server  -u USUARIO-VMWARE -p CONTRASEÑA  -h https://code:8333/sdk stop 'MAQUINA_VIRTUAL'
```
Donde MAQUINA_VIRTUAL es el nombre de la máquina virtual, que nos aparece al listarlas

Para arrancar una máquina virtual podremos lanzar:

vmrun -T server  -u USUARIO-VMWARE -p CONTRASEÑA  -h https://code:8333/sdk start 'MAQUINA_VIRTUAL'

Podemos encontrar más ayuda en el libro online: VMware Server 2.0 Essentials

e-Accelerator para PHP

2010-06-26T11:04:00.002+02:00

Cuando trabajamos con servidores de aplicaciones PHP la estrategia de implantación debe prestar especial interés a los siguientes factores:

Por un lado la cantidad de memoria RAM que consumirá cada proceso del servidor Web que se encargará de atender a los clientes. Si nuestro servidor está configurado con demasiados módulos, cada proceso del servidor Web consumirá mucha RAM. Esto supondrá un problema ante altas cargas de trabajo. Pensar que un proceso de Apache sin optimizar puede consumir sobre los 50M de RAM de nuestro servidor.
Y por otro lado se debe considerar el tiempo de respuesta del servidor ante cada petición. Un tiempo de respuesta entre 1 y 3 segundos es algo aceptable para interactuar con el usuario. Lo que supere los tres segundos dará la impresión al usuario que el equipo está muy sobrecargado y abandonará la página.

Mientras que para el primer factor la única solución de la que disponemos es aligerar nuestro servidor Web de módulos innecesarios o cambiar por otro más ligero y eficiente en el consumo de memoria, para mejorar el segundo factor tendremos varias alternativas:

Una primera alternativa será usar cachés transparentes inversas configuradas para servir imágenes y los contenidos estáticos, liberando así a nuestro servidor Web de esta carga de trabajo.
Lo siguiente que deberíamos revisar es la configuración multiproceso de nuestro servidor web. Un servidor web Apache 2.x puede ser configurado para manejar las peticiones de diferente forma, desde el punto de vista en que son creados y manejados los subprocesos necesarios que atienden a cada cliente conectado a este

El primer tipo de gestión multiproceso es Prefork:

Apache inicia varios subprocesos y cada petición es atendida por uno de estos; cuando termina con esta petición este subproceso podría atender a otro cliente o ser terminado, según al valor de MaxRequestsPer-Child.
Es el modo más estable, ya que un error crítico solo afectaría a una petición. Este es el único modo en que se pueden usar módulos / extensiones que no sean Thread-Safe
Requiere más recursos (Memoria RAM y CPU) para atender cierto número de peticiones simultaneas, respecto a otras configuraciones. Esto limita drásticamente la escabilidad del servidor
Favorece el uso intensivo de PHP. Los aceleradores de PHP no son Thread-Safe, pero al usarlos junto a Prefork podemos justificar el mayor uso de php (o páginas sin ningún tipo de caché, aparte del acelerador en sí).
Prefork es la configuración predeterminada en la mayoría de instalaciones.

El segundo tipo es la gestión de procesos que implementa Apache 2.X es Worker:

Apache inicia varios subprocesos y estos a su vez mantienen varios hilos (threads) con los cuales procesaran las peticiones. Un subproceso proceso puede atender a varios clientes a la vez, según se indique en ThreadsPerChild.
El hecho de que un subproceso pueda manejar varias peticiones a la vez, hace que se requieran menos recursos para atender a cierto número de peticiones simultaneas.
El inconveniente de Worker está en que requiere que todos los módulos/extensiones que se vayan a usar sean Thread-Safe, limitando el tipo de procesamiento que se puede llevar a cabo con el servidor web
Un fallo crítico (que el subproceso termine repentinamente) afecta a varias peticiones, por eso se requiere que se cumpla el Thread-Safe
Ya que no se pueden usar aceleradores de PHP junto a Worker, el uso intensivo de este debería ser evitado con algún tipo de sistema de caché adicional
Worker puede ser una buena solución para un servidor de contenido estático.
Worker solo está disponible desde Apache 2.x.

Usar aceleradores php como eAccelerator o XCache también debería considerarse como alternativa para optimizar el tiempo de respuesta. Estos aceleradores se integran con nuestro servidor web y el intérprete de php de manera que cuando llega una petición, el fichero PHP se precompila, para que las siguientes peticiones del mismo fichero php no sea necesario volver a recompilar, ganando unos ciclos de CPU a cada petición.
Para poder instalarlo eAccelarator debemos tener instalado el autoconf, y php-devel. Luego ejecutar:

Descargar eAccelerator y descomprimir

cd /opt/software
wget http://bart.eaccelerator.net/source/0.9.5.3/eaccelerator-0.9.5.2.tar.bz2

cd /opt
tar xjvf /opt/software/eaccelerator-0.9.5.2.tar.bz2

Compilar eAccelarator

cd /opt/eaccelerator-0.9.5.2/
phpize
./configure --enable-eaccelerator=shared
make
make install

Copiar el módulo al directorio de módulos de PHP

cp /opt/eaccelerator-0.9.5.3/modules/eaccelerator.* \
/usr/local/lib/php/extensions

Y activar el módulo, editando /etc/php.ini, y añadiendo en la zona de las extensiones la línea:
```
extension=eaccelerator.so
```

Reiniciar nuestro servidor Web para aplicar los cambios. Podemos comprobar también si estamos usando algún tipo de acelerador PHP, ejecutando:

php -v

La foto la he sacado del album de Adam Foster en Flickr.

Lambda-probe

2010-06-26T11:00:00.001+02:00

Lambda Probe es una herramienta de software libre que permite monitorizar y administrar instancias de Tomcat, ya sea funcionando como standalone o embebidas dentro de JBoss. Lambda Probe se instala fácilmente como una aplicación web contenida en un archivo WAR, dentro de la instancia Tomcat que se quiere monitorizar.

Es aconsejable monitorizar las aplicaciones Java, aunque sólo sea durante las primeras semanas de su puesta en producción. Esta herramienta nos permite preparar informes relacionados con el rendimiento de las instancias de Tomcat y determinar los requisitos mínimos de memoria y de conexiones. A menudo los administradores de sistemas recibimos aplicaciones que deben ser desplegadas pero desconocemos sus requisitos: con esta herramienta al menos tendremos una primera ayuda.

Para usar esta herramienta tendremos que seguir los siguientes pasos:

Descargamos la herramienta del sitio web oficial.
Desplegamos el WAR en el directorio webapps de nuestro Apache Tomcat
Creamos el archivo $TOMCAT_HOME/bin/setenv.sh y le añadimos la siguiente configuración: CATALINA_OPTS=”-server -Xms256m -Xmx300m -XX:MaxPermSize=128m -Dcom.sun.management.jmxremote”. Lo importante es el argumento com.sun.management.jmxremote que prepara la máquina virtual de Java, para que podamos monitorizarla desde lambad-probe.
Accedemos a la aplicación: http://hostname[:port]/probe
Tener correctamente configurado un usuario con el rol manager en $TOMCAT_HOME/conf/tomcat-user.xml, y acceder con ese usuario.

El fichero tomcat-user.xml deberá tener un usuario con los siguientes roles:

<role rolename="manager"/>
<role rolename="tomcat"/>
<role rolename="admin"/>
<role rolename="poweruser"/>
<role rolename="probeuser"/>
<role rolename="poweruserplus"/>
<user username="probeuser" password="secreto"
  roles="admin,manager,poweruser,poweruserplus,probeuser"/>

Las cosas de Microsoft

2010-06-25T23:17:00.002+02:00

Esta semana tuve que implementar una serie de consultas sobre dos directorios LDAP: un directorio activo de Microsoft y otro OpenLDAP. La intención era comprobar la fecha en la que los usuarios se habian cambiado la contraseña y compararlas. Esta información se almacena en el atributo pwdLastSet,en el directorio activo y en el atributo sambaPwdLastSet en OpenLDAP.

Para el caso de OpenLDAP, ya tenia experiencia con trabajar con este atributo y su valor contiene el TimeStamp Unix de la fecha en la que el usuario se cambió la contraseña: Esto es el número de segundos transcurridos desde las 0 horas del 1 de Enero de 1970 (UTC/GMT). Esta forma de medir el tiempo es bastante habitual y extendida en diferentes lenguajes de programación (Java, Perl, Python, Bash, Ruby) y sistemas (Unix, MySQL, Postgres, Oracle, etc), como encontramos en www.epochconverter.com.

Mi sorpresa sucede cuando descubro el formato de fecha que usa el valor del atributo pwdLastSet del directorio activo: el número de intervalos de 100 nanosegundos, transcurridos desde las 0 horas del 1 de Enero de 1601, tal y como se describe en http://msdn.microsoft.com/en-us/library/ms974598.aspx.

Hice un pequeño programa en C para Unix, con el fin de poder convertir rápidamente desde el formato de Windows al de Unix, y poder usarlo en mis scripts:

#include 
#include 

int main (int argc, char *argv[] ) {

/* Comprobar argumentos */
if ( 2> argc ) {
 fprintf(stderr,"ERROR: Debes pasar un valor numerico (de ActiveDir: pwdLastSet)\n");
 return 1;
}
/* Constante de conversion */
long int c1= 0x19db1ded53e8000L;
/* Obtener el numero en base 10 */
char * pEnd;
long int  li1;
li1 = strtol (argv[1],&pEnd, 10 );
/* Convertir a UnixEpoch */
li1 = ( li1 - c1 ) / 10000000 ;

/* Mostrar en pantalla */
printf ("%ld",  li1 );
return 0;
}

Después de esto me planteé varias preguntas, a las que no encontré respuesta: ¿por qué Microsoft siempre hace estas cosas?, ¿por qué se empeñan en reinventar lo globalmente aceptado como referencia o estandard por la comunidad? ¿por qué usaron 1601, y no 1901, o 1001? ¿por qué usar intervalos de 100-nanosegundos, y no nanosegundos directamente o microsegundos, o simplemente segundos? ¿qué ganan con todo esto, aparte de torturar a la gente que realizamos integraciones, con algunos de sus deficientes productos?.

La foto la he sacado de www.ecualug.org.

Mover objetos en LDAP con ldapmodify

2010-06-19T17:55:00.001+02:00

Para mover objetos LDAP de una rama a otra, tendremos que crearnos un fichero LDIF con el movimiento que queremos hacer, /tmp/mover.ldif(por ejemplo), con el siguiente contenido:

dn: DN_COMPLETO_DEL_OBJETO_A_MOVER
changetype: modrdn
newrdn: CN=NUEVO_CN
deleteoldrdn: 0
newsuperior: DN_DE_LA_RAMA_DONDE_MOVERLO

...donde...

DN_COMPLETO_DEL_OBJETO_A_MOVER es distinguised named del objeto que queremos mover, por ejemplo cn=ignacio,ou=midir,c=es.
CN=NUEVO_CN, es el nuevo CN que queremos usar en el destino; podremos cambiarlo si queremos renombrar el objeto.
deleteoldrdn, nos servirá para copiar o mover el objeto
DN_DE_LA_RAMA_DONDE_MOVERLO, especificará el distinguised name de la rama donde llevar el nuevo objeto. Si lo omitimos, sólo estaremos renombrando el objeto.

Luego, para lanzar la modificación podremos ejecutar el comando...

ldapmodify -x -h IP_SERVIDOR -D LOGIN_ADMIN -w -f /tmp/mover.ldif

Cliente OpenLDAP para consultar el directorio activo

2010-06-19T17:34:00.000+02:00

El proyecto OpenLDAP nos provee un cliente LDAP que podemos usar para consultar y modificar nuestros directorios LDAP. El problema nos puede aparecer cuando intentamos consultar un directorio activo: Este requiere SSL para poder conectar y a menudo el certificado está autofirmado. Lo primero será obtener el certificado raíz de la CA que firma el certificado de la comunicación LDAPS. Esto lo podremos hacer como cuento en la entrada anterior, y guardarlo en el fichero /etc/openldap/cacerts/CA/miDirectorioActivo.crt.
Luego crear un fichero de configuración de cliente, /etc/openldap/miDirectorioActivo.conf, personalizado que podría tener siguiente contenido:

# See ldap.conf(5) for details
# This file should be world readable but not world writable.


SIZELIMIT      500
URI            ldaps://IP_DOMAIN_CONTROLLER/
BASE           DC=miAD,DC=local

TLS_CACERT     /etc/openldap/cacerts/CA/miDirectorioActivo.crt
TLS_CACERTDIR  /etc/openldap/cacerts/CA

Para que nuestro cliente use esta configuración, ejecutaremos:

export LDAPCONF=/etc/openldap/miDirectorioActivo.conf

...y ya podremos lanzar consultas contra nuestro directorio activo, desde los comandos del cliente OpenLDAP:

ldapsearch -x  -H ldaps://IP_DOMAIN_CONTROLLER \
          -D  "CN=AdminLDAP,DC=miAD,DC=local" \
          -w  contraseña \
          -b  "DC=miAD,DC=local"

Esto también nos funcionará para consultar NDS.

Cliente OpenSSL

2010-06-19T16:52:00.001+02:00

A menudo necesitamos conectar a un servicio con soporte SSL desde nuestro sistema Linux, y en la mayoría de estas ocasiones nos encontramos que se han usado certificados autofirmados y que no conocemos la CA Raíz que los firma. Para llevar a cabo la conexión con éxito necesitamos confiar en la entidad raíz que firma el certificado.
Un ejemplo podría ser intentar consultar un servicio de directorio como NDS de Novell o directorio activo de Windows desde nuestro cliente desarrollado en Java con JNDI. Para poder conseguirlo, la CA que firma los certificados debe estar incluida en el keyStore del JRE que estamos usando, y para ello, lo primero será obtener la cadena de certificados que se usa en la comunicación. Esto podemos hacerlo, mediante el cliente OpenSSL ejecutando el siguiente comando:

openssl s_client -connect DIR_IP:PUERTO -showcerts

Donde cambiaremos el DIR_IP por la dirección IP del servidor al que queremos conectar y PUERTO por el número de puerto TCP en el que escucha el servicio al que queremos conectar. En la salida del comando, veremos la cadena de certificados codificados en Base64 que podremos copiar a un fichero .crt e incluirlo en nuestro almacén de certificados raíz en los que confiamos.

La imagen la he sacado del album de Darwin Bell en flickr

Inicializando un directorio OpenLDAP 2.4

2010-06-19T16:27:00.002+02:00

Uno de los cambios que trae FedoraCore 12 es OpenLDAP 2.4. Esta versión trae entre otros cambios, la obligatoriedad de usar el backend de configuración dinámica. Los que estábamos acostumbrados a usar toda la configuración de nuestros servidores OpenLDAP en /etc/openldap/slapd.conf, este cambio nos pilla un poco desprevenidos. Por suerte la gente de OpenLDAP había contemplado esto y nos facilita la migración.
Si queremos migrar una configuración de OpenLDAP anterior a 2.4, a esta nueva versión, podemos seguir la siguiente secuencia de pasos:

Hacer un backup de la configuración por defecto que trae el nuevo servicio 2.4
```
mv /etc/openldap /etc/openldap_original_2.4
```
Copiar la configuración del OpenLDAP anterior a /etc/openldap.
Migrar la configuración del antiguo servicio a la versión 2.4, en un directorio temporal:
```
mkdir /tmp/export
slaptest -f /etc/openldap/slapd.conf -F /tmp/export/
```

Instalar la nueva configuración

mkdir -m 700 /etc/openldap/slapd.d
cp -R /tmp/export/* /etc/openldap/slapd.d/

Editar el fichero cn=config para editar /etc/openldap/slapd.d
Fijar el login y contraseña del usuario que podrá modificar dinámicamente la configuración. Para ello, editar el fichero /etc/openldap/slapd.d/cn\=config/olcDatabase\=\{0\}config.ldif para añadir las siguientes líneas:
```
olcRootDN: cn=admin,cn=config
olcRootPW: {SSHA}pT8zKlqhV8dieALrkzwAiK8KdoxNV5m
```
La contraseña encriptada la podemos obtener ejecutando el comando slappasswd.

Copiar la configuración del monitor de OpenLDAP, de la configuración original que habíamos movido.

export FILE=/etc/openldap_original_2.4/slapd.d

cp $FILE/cn=config/olcDatabase\=\{2\}monitor.ldif \
/etc/openldap/slapd.d/cn=config/

Hacer copia de seguridad del directorio de la base de datos del directorio y preparar el directorio para inicializar el nuevo directorio:
```
mv /var/lib/ldap /var/lib/ldap_original
mkdir -m 700 /var/lib/ldap
cp /var/lib/ldap_original/DB_CONFIG  /var/lib/ldap/
```
A partir de un backup del antiguo servidor (hecha con slapcat por ejemplo), preparar un fichero ldif básico con donde se cree la raíz del directorio, y las ramas princiaples. Lo añadiremos con el comando slapadd:
```
slapadd -l /tmp/estructura_inicial.ldif 
```
Cambiar los permisos de la base de datos del LDAP, y del directorio de configuración e iniciar el demonio de LDAP, mediante los siguientes comandos:
```
chown -R ldap.ldap /var/lib/ldap /etc/openldap
/etc/init.d/slapd start
```

Restaurar la copia de seguridad en el directorio que acabamos de crear...

ldapadd -x -D "cn=admin,ou=XXX,o=carm,c=es" -w CLAVE \
     -f copia_seguridad.ldif

Recuperar la base de datos del directorio y reparar

/etc/init.d/slapd stop

slapindex
slapd_db_recover -h /var/lib/ldap
slapindex

chown ldap.ldap -R /var/lib/ldap
/etc/init.d/slapd start

Y ya tendremos nuestro directorio funcionado. :)

La imagen la he sacado del album de JPhilipson en flickr

OCS Inventory NG

2010-05-30T20:48:00.001+02:00

Open Computer and Software Inventory Next Generation (OCS) es un programa de software libre que permite a los usuarios administrar el inventario de sus activos de TI. OCS-NG recopila información sobre el hardware y software de equipos que hay en la red que ejecutan el programa cliente de OCS (agente OCS).
OCS proporciona una interfaz web para poder visualizar el inventario, y realizar consultas sobre este inventario. Además incluye otras opciones extra como poder descubrir nuevos elementos en la red e inventariar, aunque no dispongan de agente e instalar aplicaciones remotamente a los equipos que ejecutan el agente de OCS.
Así los elementos que componen un despliegue de OCS Inventory serían los siguientes:

Servidor de base de datos MySQL, que será el servidor donde se almacenen todos los datos que se recopilen del inventario
Servidor de comunicación de OCS que es el servidor con el que conectan los agentes de OCS (equipos clientes a inventariar de nuestra red), para enviar el inventario: este servidor recoge estos datos y los lleva a la base de datos. Esta comunicación se realiza en XML por el protocolo HTTP, por lo que el servidor de comunicación no es otra cosa que un servidor Web (Apache) con una serie de scripts escritas en PERL que implementan unos métodos para posibilitar una comunicación XML y escribir en MySQL.
Clientes de OCS o agentes, son los programas instalados en los equipos que queremos mantener inventariados que periódicamente conectan con el servidor de comunicación y envían en XML el inventario del máquina donde están instalados. Existe clientes para multitud de sistemas operativos: Windows, Linux, Mac OsX, Sun Solaris, IBM AIX
Consola de administración de OCS, es una aplicación Web desde donde el administrador podrá consultar el inventario, lanzar búsquedas, borrar equipos, ver los dispositivos descubiertos, etc. Normalmente la consola de administración se suele instalar junto con un servidor de comunicación, y son un conjunto de scripts en PHP que conec- tan a MySQL y muestran la información almacenada en la base de datos MySQL.
El servidor de distribución es una pequeña aplicación web desde la cual podremos distribuir paquetes, y software a los equipos que tengan instala- do el cliente de OCS, vía HTTPS. Para ello, se necesita que los clientes reconozcan el certificado del servidor de distribución.

En algunos despliegues se suele hablar del servidor de administración de OCS: Este servidor es un tipo de despliegue especial que incluye en el mismo servidor el servidor de base de datos, el servidor de comunicación, el servidor de distribución y la consola de administración.

El descubrimiento de la red lo realizan los propios clientes OCS en función de la actividad del agente y su disponibilidad: Esta decisión la toma el propio servidor de comunicación, quien de forma periódica ordena descubrimientos de red a un conjunto de agentes. Los equipos resultantes de este descubrimiento quedan almacenados de forma especial en el inventario, a la espera de que un administrador los identifique apropiadamente y los asigne.

En la siguiente figura se presenta un esquema completo de la arquitectura de un despliegue de OCS, que en redes modestas y homogéneas no suelen separarse los elementos de la arquitectura y podemos encontrar todos los elementos en un único servidor llamado servidor de administración de OCS.

Crear paquetes .DEB con Alien

2010-05-30T20:25:00.003+02:00

¿Cómo podemos crear un paquete .DEB para Debian en 3 minutos?: Respuesta con el paquete alien.

Primero instalamos alien:
```
apt-get install alien
```

Luego nos creamos un directorio temporal, y en el reproducimos la estructura de directorios con los archivos que queremos instalar:

mkdir /tmp/MINI_DIRECTORIO_RAIZ

mkdir -p /tmp/MINI_DIRECTORIO_RAIZ/etc/logrotate.d \
     /tmp/MINI_DIRECTORIO_RAIZ/usr/local/bin \
     /tmp/MINI_DIRECTORIO_RAIZ/usr/lib \
     /tmp/MINI_DIRECTORIO_RAIZ/var/log/mis_logs \

Después copiamos en la estructura de directorios que hemos creado, los ficheros que queremos se instalen tal cual quedarán en el sistema una vez instalados (permisos, propietario, etc)

Creamos el paquete .deb

cd /tmp/MINI_DIRECTORIO_RAIZ

alien mipaquete-0.1.tar.gz

No es que el método sea muy elegante (no creamos usuarios, no hay comprobaciones previas, dependencias, etc), pero sí que es rápido si queremos instalar limpiamente nuestros archivos, y después poder eliminarlos tranquilamente con dpkg, que siempre será mejor que hacerlo un tar o una copia manual.

La foto la he sacado del album de jurvetson en flickr.

Squid como proxy transparente

2010-05-30T20:03:00.003+02:00

Algunas veces necesitamos configurar un servidor proxy en modo transparente para monitorizar a qué URLs acceden los usuarios de nuestra red. Con Squid, el proxy por excelencia en el mundo del software libre es muy fácil: Sólo tenemos que aplicar las siguientes reglas en nuestro router.



# Redirigir el tráfico hacia SQUID
iptables -t nat -A PREROUTING  -i INTERFAZ_CLIENTES \
        -p tcp --dport 80 -j REDIRECT --to-port 3128

# Deshacer el NAT
iptables -t nat -A POSTROUTING -o INTERFAZ_SALIDA  \
        -s RED_ORIGEN -j MASQUERADE

La foto la he sacado del album de xtopher42 en flickr.

OpenVPN en Debian

2010-05-30T19:39:00.002+02:00

OpenVPN es una aplicación de software libre que nos permite crear VPNs (Virtual Private Networks) para poder conectarnos remotamente a otra red local de una manera segura utilizando túneles SSL/TLS. Para usar el cliente en Debian deberemos seguir los siguientes pasos:

Conectar a nuestro servidor OpenVPN y generar el certificado para el cliente VPN
```
cd /etc/openvpn/easy-rsa
. ./vars
./build-key mi_cliente_IP
```
donde mi_cliente_IP es el hostname del cliente que generaré y su IP. Esto lo hago para que luego me sea fácil recordar a quien asigné los certificados.
El script nos mostrará un asistente donde nos hará una serie de preguntas. Debemos responder a todas con Enter (opción que propone por defecto) excepto en la pregunta "Common Name", que responderemos con el nombre del cliente (valor de hostname). Cuando pregunte si queremos emitir el certificado, responder con y (yes). Con esto ya habremos generado el certificado de usuario para nuestro cliente Debian.Una vez generados, nos tendremos que llevar los ficheros /etc/openvpn/keys/mi_cliente_IP.crt y /etc/openvpn/keys/mi_cliente_IP.key al directorio /etc/openvpn/keys/ de nuestro cliente Debian como cliente.crt y cliente.key respectivamente, el fichero /etc/openvpn/keys/ca.crt que hay en nuestro servidor OpenVPN.
Ahora tendremos que generar el fichero con la dirección IP (10.8.XX.YY/30) del túnel que se le dará al cliente cuando conecte (usaremos tun0). Estas Ips deben ser únicas, y se calculan por subneting de 4 Ips: Una de red, otra de broadcast, otra para el cliente y la otra para el extremo del túnel (el servidor OpenVPN). Para ello deberíamos ver cuál ha sido la última subred dada (ordenar por fechas) en el directorio /etc/openvpn/ccd/. Luego crear el fichero /etc/openvpn/ccd/mi_cliente (cambiando el nombre del fichero, por el hostname del equipo, lo mismo que pusimos en Common Name, al emitir el certificado) y escribir el contenido similar al siguiente, donde cambiaremos las direcciones IP, en función de la última que se configuró:
```
# Redes VPN:
#   10.8.0.36 -> IP RED
#   10.8.0.37 -> IP Equipo Cliente
#   10.8.0.38 -> IP Tunel
#   10.8.0.39 -> IP BROADCAST
# http://openvpn.net/index.php/documentation/howto.html#policy
ifconfig-push 10.8.0.37 10.8.0.38
```
Ahora conectarnos a nuestro cliente Debian y ejecutar:
```
apt-get -y install openvpn liblzo2-2 lzop openssl
```
Configurar en el cliente el tunel:
```
modprobe tun
echo tun >> /etc/modules
```

Crear el fichero /etc/openvpn/client.conf con el siguiente contenido:

dev tun
proto tcp-client
remote IP_SERVIDOR_OPENVPN  PUERTO
resolv-retry infinite
nobind
pull
persist-key
persist-tun
ca   /etc/openvpn/keys/ca.crt
cert /etc/openvpn/keys/cliente.crt
key  /etc/openvpn/keys/cliente.key
comp-lzo
verb 3

Crear el directorio /etc/openvpn/keys/
```
mkdir -m 755 /etc/openvpn/keys
```
Copiar en el directorio /etc/openvpn/keys/ los ficheros de claves que generamos del servidor OpenVPN.
Reiniciar el servicio OpenVPN
```
/etc/init.d/openvpn restart
```

La foto la he sacado del album de la nave de los locos en flickr.

NSIS: Instalador de aplicaciones en Windows

2010-05-23T09:21:00.001+02:00

Hace unas semanas necesité desplegar un programa entre las estaciones de trabajo Windows de una red, en un entorno hostil: Sin dominio y en consecuencia sin políticas, sin script de logon en las estaciones, sin saber el nivel de conocimientos del usuario, sin saber si el usuario sería administrador local con permisos para poder instalar ... sin nada: Mis probabilidades de éxito eran muuuy escasas. A pesar de ello, me las apañé para solucionar el inconveniente de no tener un punto de entrada común y centralizado, con ayuda de Squid en modo transparente, bloqueando el acceso a Internet a aquellas estaciones que no hubieran ejecutado el programa que me interesaba tuvieran instalado. Así, el problema se reducía a tener en éxito en la instalación de ese programa.

Este programa debía modificar claves del registro de Windows en HKLM, instalar a su vez otro programa con ciertos argumentos y copiar algunos archivos a determinados directorios. Necesitaba tener permisos como Administrador, para poder hacerlo.

En otro tiempo y etapa de mi vida administré servidores Windows. Recuerdo que por aquel entonces usábamos editores de ficheros .MSI para distribuir aplicaciones y configuraciones. Aquello siempre fue un infierno: sólo funcionaban bien los .MSI de Microsoft, y si se quería hacer algo que medio funcionara lo mejor era ver en los foros de Windows, cómo la gente distribuía y empaquetaba la aplicación que estaba intentando preparar. Tengo un recuerdo malo de mi experiencia con .MSI, y quizás no hubiera podido hacer lo que yo necesitaba hacer en esta ocasión. También recuerdo que usaba una herramienta llamada InstallRite, que era capaz de realizar SnapShots antes y después de una instalación, y generar un ejecutable .EXE con los cambios. Aquella herramienta funcionaba muy bien con Windows 9X, pero con XP se colgaba muy a menudo, y había que dedicar mucho tiempo a la edición de los cambios, para evitar distribuir la renovación de IP en el DHCP y, otras cosas que ocurrían en el sistema mientras se instalaba la aplicación, y que por supuesto las diferencias entre los Snapshots capturaban. También llegué a usar las herramientas de distribución de software que traen los IDEs de desarrollo como Delphi o VisualBasic, pero al final requerían tener determinadas DLLs instaladas en el sistema, y aquello terminaba convirtiéndose en el pez que se muerde la cola :(.

Para este proyecto volví a repasar las soluciones que tenía disponibles y encontré NSIS: NSIS viene de Nullsoft Scriptable Install System (¿recordais la instalación de WinAmp?) y es una herramienta OpenSource para crear instaladores de aplicaciones mediante scripts, con un lenguaje de programación propio. Es lo que necesitaba, y con ella tuve éxito en mi labor. Destacaría de ella:

Usa un script para describir la secuencia de pasos que debe seguir el proceso de instalación, con un lenguaje propio a caballo entre un Basic primitivo, las macros del preprocesador de C, y ensamblador. Esto es una ventaja, porque podemos reutilizar nuestra experiencia y los scripts de instalación, además de que podemos establecer una lógica en el proceso de instalación: Si el tiene tal cosa en el registro haz tal otra, si no es administrador haz tal cosa, etc
Existe una comunidad muy amplia de usuarios, que suben sus scripts y te pueden inspirar en tu labor. Hay muchas referencias en Google, y casi seguro encontrarás ayuda para lo que quieras hacer.
Permite la inclusión plugins para ampliar funcionalidades, una de ellas es la RunAS (como el sudo de Linux, pero para Windows).
Permite personalizar completamente toda la interfaz de usuario durante el proceso de instalación.

Es una gran y robusta herramienta a tener en cuenta: Yo tardé dos tardes escasas de no tener nada y conocer la herramienta, a tener mi problema resuelto con su correspondiente instalador.

Si quereis empezar con ella, echarle un vistazo a estos dos tutoriales: Adictos al trabajo: Realizar Instaladores de forma sencilla con NSIS 2.0 y Crear instalaciones con NSIS

Leer ficheros en Bash

2010-05-22T20:47:00.001+02:00

A menudo necesitamos leer ficheros en medio de nuestros scripts Bash, para procesar su contenido. Muchas veces nos basta con usar las comillas francesas y el comando cat dentro de un bucle, algo similar a:

for VBLE in `cat FICHERO`
do
# Hacer algo con $VBLE
done

El problema aparece cuando el fichero es muy grande, y el contenido supera el buffer que Bash destina a la línea de argumentos de los comandos (espacio reservado para el argv de la función Main en C, por simplificar mucho). Otras veces tropezamos con esta limitación al usar comodines en los comandos como ls, chmod, rm, etc, dentro de directorios que tienen muuchos archivos, a lo que el intérprete de comandos nos responde con un mensaje que nos viene a decir que la línea de argumentos es demasiado larga :P. En estos casos podemos salir con el uso del comando find y el argumento -exec, pero cuando trabajamos con el contenido de ficheros, esta solución no nos sirve :(.
Por suerte el intérprete Bash contempla esta posibilidad y nos proporciona de comandos específicos para poder procesar archivos de forma secuencial, como siempre hemos hecho. El esquema es el siguiente:

# Abrir el fichero para lectura
# El 8 representa el numero de descriptor asociado al fichero
exec 8< FICHERO

# Bucle para leer todo el contenido
# Cada iteración lee una línea del fichero y la deja en VBLE
while read -u 8 VBLE
do
# Hacer algo con $VBLE
done

# Cerrar el fichero
exec 8<&-

Resulta muy útil.

La foto la he sacado del album de jazzmasterson en flickr.

Traductor de google via chat

2010-03-24T21:31:00.002+01:00

También el otro día me enteré gracias a Jesús de lo ingeniosos que son en Google. Resulta que si añadimos a nuestra lista de contactos es2en@bot.talk.google.com todo lo que le escribamos en castellano a este contacto nos lo devolverá traducido a Inglés. Si añadimos en2es@bot.talk.google.com a nuestros contactos podremos realizar traducciones del Inglés al Castellano, via chat.

Esto viene muy bien cuando trabajamos en organizaciones que tienen filtrado el acceso a Google Traduct!

La imagen la he sacado de la galería de R.Duran en flickr.

Intercambio de claves SSH

2010-03-24T21:25:00.002+01:00

Ayer viendo a Rubio trabajar aprendí como copiar las claves SSH de un equipo a otro, de una manera fácil, cómoda y rápida:

ssh-copy-id root@SERVIDOR_DESTINO

Adiós a estar copiando de aquí para allá el id_rsa.pub y añadiéndolo a authorized_keys del SERVIDOR_DESTINO: ¿Cuánto tiempo habré perdido de mi vida, haciéndolo a mano?... estas cosas me pasan por no leerme el manual :P

La imagen la he sacado de la galería de brenda-starr en flickr

Equivalente a Anaconda en Debian

2010-03-20T20:40:00.005+01:00

En distribuciones basadas en sistemas de paquetes APT, como Debian o Ubuntu, no disponemos aún de Anaconda que es el script Python capaz de interpretar los ficheros de kickstart durante la instalación de nuestro sistema. Sin embargo tenemos otras formas de conseguir lo mismo.
Si partimos de un sistema ya instalado, y queremos instalar otro sistema con los mismos paquetes que en el primero, bastará con ejecutar los siguientes comandos. En el equipo original, el que tenemos configurado como deseamos, ejecutaremos:

dpkg --get-selections \* > packagelist

Luego en el sistema a clonar, copiaremos ese fichero packagelist, y ejecutaremos los siguientes comandos:

apt-get update
dpkg --set-selections < packagelist
apt-get -u dselect-upgrade

De esta forma, conseguimos dejar configurado el segundo sistema igual que estaba el primero. El sustituto de Anaconda en Debian se llama presseed. Esta herramienta nos permite crear ficheros de respuestas para usar en la instalación automática de nuestro sistema. Lo primero será asegurarnos de que lo tenemos instalado en el equipo que sirve como muestra:

sudo aptitude install debconf-utils

Y luego generar el fichero de preseed mediante:

sudo debconf-get-selections --installer > preseed.cfg

sudo debconf-get-selections >> preseed.cfg

Este fichero preseed.cfg, lo podemos editar con un editor de textos y retocar aquellas respuestas que nos interesen, siguiendo estas referencias de la Web oficial de Debian:

Creating a preconfiguration file: http://www.debian.org/releases/stable/i386/apbs03.html.en
Contents of the preconfiguration file:
http://www.debian.org/releases/stable/arm/apbs04.html.en

Luego copiar este archivo accesible desde un servidor Web, supongamos que lo hacemos en nuestro servidor reposerver dentro de la carpeta ks. Para usarlo en la instalación de un nuevo sistema Debian, iniciaremos con el CD de la instalación y cuando nos aparezca el prompt de Linux, escribiremos:

linux  preseed/url=http://reposerver/ks/preseed.cfg

Gracias Rubio por la información.
La imagen la he sacado de la galería de pierre pouliquin en flickr.

Spacewalk

2010-03-20T20:25:00.002+01:00

SpaceWalk es una solución de software libre que nos permite administrar de forma centralizada nuestros sistemas Linux. Básicamente es una versión de desarrollo de RedHat Network Satellite, mantenida por la comunidad, por lo que podremos hacer lo mismo que hacemos desde la consola del nuestro satélite a coste cero:

Llevar el inventario hardware y software de nuestros sistemas/li>
Instalar y mantener actualizados nuestros servidores linux
Aplicar configuraciones y actualizaciones a grupos de nuestros servidores.
Provisión de sistemas mediante kickstart
Administrar y desplegar configuraciones
Monitorizar nuestros sistemas
Provisión y administración de máquinas virtuales Xen.

Edición de ficheros kickstart

2010-03-17T00:03:00.002+01:00

Los ficheros Kickstart nos permiten especificar los parámetros de una instalación de Linux con sistema de paquetes RPM. Cuando arranca el instalador y nos muestra el prompt podremos indicarle al instalador el fichero ks que debe usar . Estos archivos podemos editarlos cómodamente y de forma gráfica con la herramienta system-config-kickstart.

Por qué los hombres no escuchan y las mujeres no entienden los mapas

2010-03-12T00:19:00.002+01:00

Ayer acabé el libro Por qué los hombres no escuchan y las mujeres no entienden los mapas. Este libro que me recomendaron unos compañeros camareros, está escrito por un matrimonio y, lejos de ser útil es divertido y de lectura muy rápida y amena.

Estructurado en once capítulos, intenta darnos una explicación a muchos de los problemas de convivencia de las parejas de la actualidad donde, según el libro, se han roto los esquemas de convivencia que hasta ahora han estado en vigor desde que vivíamos en las cavernas y pintábamos en sus paredes. En aquel entonces, el hombre cazaba y la mujer se quedaba cuidando la prole y vigilando la cueva, y desde hace miles de años, nuestros cuerpos y cerebros han evolucionado para hacer esto lo mejor posible y nuestro catalizador han sido las hormonas y la química. En la actualidad, el hombre ya no tiene que cazar, debe fregar los platos, cuidar de los hijos, y lavar la ropa mientras que la mujer va a trabajar. Esta inversión de roles sociales no estaba prevista en nuestra evolución, y es el origen de muchos de los problemas de pareja: hombres y mujeres somos diferentes y tenemos que aprender a vivir con nuestras diferencias. Para ayudarnos a ello, el libro nos descubre un montón de estas diferencias con contínuas referencias a la época de las cavernas, que no dejan de ser divertidas y que apoyadas en diferentes estudios serios, consiguen entretener.

El libro al final nos regalará un montón de anécdotas para comentar en tertulias distendidas, donde no haya un ambiente exageradamente feminista. Está entretenido y divertido, y parece que ya han hecho una película sobre él. Que lo disfrutéis.

Ya no resuelvo

2010-03-03T21:46:00.005+01:00

Esta mañana me ha hecho una consulta Alfonso Vera, con quién tuve la suerte de trabajar hace unos años. Os la transcribo, sin su permiso ...

12:47 Alfonso: Hola, tengo un "problemilla" con los RHEL 5.4, En reposo sin ninguna aplicación corriendo, poco a poco el "kermel" PAE empieza a pasar la memoria libre a Memoria Cacheada, hasta convertir en memoria cacheada prácticamente los 4 Gb que tiene. La teoría dice que esto es normal, que el kernel es muy listo y no desaprovecha la memoria y la usa como cache hasta que las aplicaciones tengan necesidad de ella. Los RHEL 4.x puede que tengan ese mismo funcionamiento pero nunca lo he visto tan exagerado. ¿Que opinas? No quiero abrir una consulta al soporte RedHat sin estar seguro de lo que digo

12:51 Yo: pues también opino que es normal

pero es normal que cachee y no libere

12:52 no está demás que le preguntes al soporte para ver si es normal o no... no sé ... para eso está... no es que me moleste que me preguntes es que yo tengo las mismas dudas que tú

y a lo mejor te las resuelven en un momento

12:53 :)

Alfonso: te mantengo informado, gracias

Yo: ok de nada

lo siento

ultimamente ya no te resuelvo dudas

:-P

ya sabes demasiado

tendré que matarte :-P

Alfonso: :-)

Yo: ta lue

Ya no le resuelvo dudas. No hace mucho me pasó algo similar con Javier Silvestre con una pregunta que me hizo sobre Nagios. Recuerdo que hace tiempo, me dijeron a mí esto mismo: Raúl fue quien me dijo que ya no le llamaba para preguntarle dudas.

Enhorabuena, a los dos... ahora les preguntaré yo a ellos :P.

Integradores OpenSource

2010-02-28T21:16:00.003+01:00

En la actualidad, el software libre representa una gran oportunidad de negocio para muchas empresas y profesionales de las TIC: nos permite ahorrarnos el coste de la licencia de uso, que suele ser la cantidad más importante del coste del software, pero ello no se traduce en software gratis. El uso de software libre tiene unos costes de servicios de instalación y configuración, que debido a la gran especialización, suelen ser más caros que en el caso del software propietario, pero por ello como clientes debemos exigirles más.
Los servicios de integración y consultoría de software libre, deben aportar valor, no basta con saber descomprimir un TGZ y ejecutar "make, make install"... los profesionales del software libre deben conocer las herramientas, implantarlas y configurarlas de acuerdo con las necesidades del cliente, y llegado el caso, adaptarlas modificando el código fuente si fuera necesario; de no ser así, nos estarán vendiendo software gratis como software propietario, con la escusa de que es libre. Los implantadores deben encargarse de ejercer nuestros derechos sobre el software por nosotros.
Os dejo como ejemplo la implantanción de un portal cautivo que me han pedido.

Además de implantar lo que propiamente es el portal cautivo, con este aspecto inicial
He trabajado en los siguientes puntos:

Traducción completa al castellano de la interfaz de usuario (la enviaré al proyecto).
Varias correcciones en el código PHP que he descubierto.
Los scripts de IpTables tienen bugs importantes, que he encontrado reportados sin solución en los foros, y en el Bugtracker del proyecto. Yo los he solucionado para mi cliente.
Personalización de la interfaz del usuario, de acuerdo con las guías de estilo del cliente
Integración con Squid y listas negras con SquidGuard. Modificación de este para tener listas blancas.
Personalización de los mensajes de error de Squid y Apache.
Varias modificaciones en la base de datos, para guardar un registro de todo lo que hacen los usuarios.
Configuración de los puntos de acceso Wifi.

El aspecto final es el siguiente.

Nuestra misión como integradores y consultores dedicados a implantar soluciones OpenSource, es garantizar a nuestro cliente que pueda ejercer sus derechos sobre el software a través de nosotros: No nos pagan por descomprimir tgz... eso lo hacen scripts.

Guía de supervivencia de MDADM

2010-02-24T22:59:00.002+01:00

Aprovecho mi reciente experiencia con un par de servidores Fujitsu Primergy RX100, para dejar testimonio de supervivencia sobre RAID software conLinux, porque lo que es la controladora SATA esta que traen estos equipos, no engaña ni a Windows... al final si queremos configurar un RAID1 con los dos discos e instalar Linux, tendremos que hacerlo por software deshabilitando en la BIOS la controladora SATA.

Conocer el estado del RAID,
```
cat /proc/mdstat
```
Reinsertar en el RAID un disco, porque arrancamos el equipo con el raid degradado, y una vez lo hemos devuelto a su lugar, debemos recuperar el estado del Raid
```
mdadm --manage /dev/md0 --add /dev/sdb1
mdadm --manage /dev/md1 --add /dev/sdb5
```
Hemos supuesto que tenemos dos particiones (sdb1 y sdb5) en Raid (dm0 y dm1).
Nos falla completamente un disco. Lo cambiamos en caliente y reemplazamos el que está averiado, por un igual. Así tendremos que clonar un nuevo disco en el RAID1. Lo primero será recuperar la configuración del RAID,
```
mdadm --examine  --scan --config=partitions > /tmp/mdadm.conf
mdadm --assemble --scan --config=/tmp/mdadm.conf
```
Luego tendremos que recrear las mismas particiones del disco bueno, en el nuevo...
```
unset LANG
sfdisk -d /dev/sda | sfdisk --Linux /dev/sdb
partprobe
fdisk -l
cat /proc/mdstat
```
Por último reinsertar estas nuevas particiones en el RAID, para que empiece la complicación...
```
mdadm --manage /dev/md0 --add /dev/sdb1
mdadm --manage /dev/md1 --add /dev/sdb5
cat /proc/mdstat 
```
Cuando se haya completado la sincronización, instalaremos grub en los dos discos...
```
grub-install /dev/sda
grub-install /dev/sdb
```

Si aún así, necesitamos saber un pocó más os recomiendo consultar el howto Replacing A Failed Hard Drive In A Software RAID1 Array. Gracias Juanjo por la ayuda que me has dado en esto.
La imagen la he sacado de la galería de brandon shigeta en flick.

World of Goo

2010-02-24T22:15:00.002+01:00

Hacía tiempo ya que no jugaba a ningún juego de ordenador, quizás desde que mis sobrinos me retan al Ghost'n Goblins, Puzzle Booble y el Pang en la máquina recreativa que les preparé en casa. Worl Of Goo es un juego de puzzles que me recuerda irremediablemente a los Lemmings. Partimos de unas pequeñas bolitas pegajosas y resbaladizas llamadas goos, que debemos ir apilando y enlazando para crear un camino que conduzca al resto de goos a la tubería de escape. Podremos usar varios tipos de goos:

negros, que son los más básicos,
verdes, que podemos quitar y poner en diferentes posiciones,
rojos, que podemos quemar como si fueran una mecha
abejas voladoras, que permiten deshacer la última acción
calaveras, que son inmunes a los pinchos, y alguno más que aún no he visto

Este juego es un vicio: Con una estética que me recuerda a Worms, es muy entretenido y divertido. Podemos ver un video en YouTube, y bajarnos una demo para probarlo... pero lo mejor del juego no es esto, lo mejor es que puedes comprarlo en la Web por unos 15€, y ver que puedes descargarlo Linux (en versión RPM, DEB y TGZ por si eres muy friki)... eso sí que no tiene precio: sin duda es lo mejor, el respeto con el que nos han tratado a los usuarios de Linux. Todo un lujo.

Además pienso que el modelo de negocio para este tipo de juegos que no van respaldados por una superproducción es muy acertado. Podemos comprar juegos para el móvil y melodías chorras a partir de 3€. Un juego actual puede costarnos 50€ ... ¿por qué no descargarlo directamente por poco más que un politono con cubata y ahorrarnos un 70% en la compra del juego?

Deshabilitar ipv6 en ubuntu 9.10

2010-02-13T16:26:00.002+01:00

El otro día al configurar un equipo con Ubuntu 9.10, comprobé que cada vez es más difícil deshabilitar ipv6 en nuestros equipos Linux ¡¿?! ... Comprobé que después de haber añadido a /etc/modprobe.d/00local las siguientes líneas:

alias net-pf-10 off
alias ipv6 off

... añadir a /etc/modprobe.d/blacklist.conf la línea

blacklist ipv6

y reiniciar el equipo, seguía teniendo ipv6 configurado. Parece que en Ubuntu debemos deshabilitarlo desde grub2. Para ello tenemos que editar el fichero /etc/default/grub y configurar la línea GRUB_CMDLINE_LINUX, para que tenga:

GRUB_CMDLINE_LINUX="ipv6.disable=1"

Cuando terminemos de editar el fichero, podremos aplicar los cambios ejecutando

sudo update-grub2

Todo esto me hizo intentar recordar, por qué sistemáticamente deshabilito ipv6 cuando termino de instalar un servidor en una red con sólo servicios ipv4:

El hecho de tener configurado el protocolo nos consume tiempo de CPU y espacio en RAM.
Además al tener configurado Ipv6 estamos expuestos a los agujeros de seguridad del protocolo.
A parte de estos inconvenientes que encontramos en cualquier otro protocolo de red, resulta que cuando tenemos configurado nuestro equipo en IPv6, todas las consultas que hacemos al DNS se hacen en ipv6 y en ipv4: esto inyecta tráfico que no sirve para nada a nuestra red, y ralentiza las comunicaciones de nuestro equipo, porque no se da por resuelta la consulta DNS hasta que no se han obtenido las respuestas ipv6 e ipv4, o han expirado los timeouts.

La imagen la he sacado de la galería de iandavid en flick

Usar Ubuntu Server frente RedHat Enterprise Linux

2010-02-13T09:10:00.004+01:00

En los últimos meses he empezado a desplegar equipos Ubuntu Server 9.10 en varios clientes, en detrimento de RedHat. Hasta hoy los motivos han sido la posibilidad de usar EXT4 ya en la instalación de una forma más estable si se compara con Debian 5.0, el hecho de que los paquetes importantes estén muy actualizados (OpenLDAP 2.4.18, samba 3.4 + samba4, apache 2.2.12) y por supuesto el soporte gratuito a actualizaciones: Esta gente de ubuntu cada vez más me parece más atrevida, más profesional y más dinámica, aunque aún quedaría evaluar el soporte de pago.

RedHat para algunas cosas me parece un petrolero gigantesco cruzando un océano a gran velocidad, pero que para cambiar de rumbo necesita mucho espacio y tiempo, creo que ha perdido frescura frente a Canonical: es como pensar en el monstruo IBM intentando vender de todo y compitiendo con Apple vendiendo iPods o iPhones. En RedHat5 aún seguimos con samba 3.0.33 u OpenLdap 2.3, y otros paquetes que ya tienen más de dos años de antigüedad, y esto, para algunos clientes que no tienen contratado el soporte con RedHat es un problema, porque algunos bugs ya no se pueden reportar al upstream del proyecto base ya que están marcados como obsoletos. Si encuentro un bug en el paquete Samba de mi RHEL5 último Update, estoy obligado a reportarlo a RedHat, previo pago, no puedo enviarlo a la lista de desarrollo de samba porque está obsoleto, ellos tienen marcada como en mantenimiento (sólo arreglan bugs de seguridad) la versión 3.2, y en estable la 3.4.4 (sólo podemos reportar bugs para esta), mientras que Samba4, en contínuo desarrollo, ya incluye compatibilidad total con el Directorio Activo de Windows 2003... ¿cuánto tiempo tendrá que pasar para que dispongamos de estas versiones en RedHat Enterprise Linux?. Los implantadores debemos influir en la decisión de qué distribución usar, depediendo de las necesidades funcionales del cliente y del soporte que tenga contratado con el distribuidor.

Tampoco creo que la frescura de Fedora sea recomendable para el despliegue de servidores, creo que sus políticas de inclusión de software es demasiado inestable para algunos paquetes importantes: No hace mucho quitaron completamente el soporte a XEN en el Hypervisor después de haberlo incluído en versiones previas. En los últimos tiempos es cierto que Fedora ha mejorado mucho la experiencia del usuario de escritorio, pero me parece demasiado atrevido usarla en servidores de producción.

Con todo ello no quiero decir que una sea mejor que otra, lo único que digo es lo que ya le comenté un día a Alfonso Vera hablando de estas cosas: Al final el soporte Linux, lo das tú, nadie llama a RedHat cuando aparece un problema, te llaman a tí, y si tú no sabes llamas a RedHat. Las matrices de compatibilidad están muy bien pero en ellas no siempre pone como resolver los problemas de tu cliente cuando aparecen, eso lo hacemos los implantadores: Cuando te manden luchar, deja que por lo menos te permitan elegir las armas con las que tienes que defenderte.

La imagen la he sacado de la galería de afsilva

Xinetd e Identd

2010-02-08T22:48:00.002+01:00

El otro día me pidieron que revisara la configuración de un sistema RHEL5 que tenía configurado un servidor CVS autenticado vía LDAP contra NDS-Novell. Al parecer cuando se accedía al servicio vía VPN desde una VLAN aislada, las conexiones con el CVS iban excesivamente lentas, mientras que en la Intranet iban a la velocidad habitual.

Analizando el patrón del tráfico desde el servidor CVS con tcpdump, pude comprobar que por cada conexión que se realizaba al servidor, había una petición desde este hacia el cliente por el puerto TCP/113. Este puerto es el que usa el servicio Identd, para identificar usuarios en conexiones TCP/IP. Después de un rato buscando al final descubrí que el origen de estas conexiones estaba en la opción USERID que había configurada en las líneas log_on_success y log_on_failure de varios de los servicios que tenía configurados en /etc/xinetd.d/*, y en concreto en el fichero de CVS. Esta opción hacía que cada conexión exitosa o fallida hacia el servicio lanzara una conexión IdentD para identificar el usuario. Cuando la conexión venía desde la VPN, el firewall truncaba este flujo y la conexión desde el servidor CVS no obtenía respuesta, por lo que tenía que esperar a que expirara el timeout.

La solución a este problema es tan simple como eliminar las apariciones de la opción USERID de todos los ficheros /etc/xinetd.d/*, y luego reiniciar el servicio /etc/init.d/xinetd restart.

La imagen la he sacado de la galería de Zorraquino.

En la cabeza de Steve Jobs

2010-02-03T23:32:00.003+01:00

Anoche, justo una semana después que se presentara el iPad, acabé el libro que me regalé por San Antón, cuando me convencí de que los reyes mágicos ya no me traerían nada este año. En la cabeza de Steve Jobs: La mente detrás de Apple, es un libro entretenido de lectura fácil y rápida que nos relata la vida, obra y milagros del genio que hay detrás de Apple.

El texto está organizado en capítulos cortos, en los que en cada uno se enfatiza uno de los rasgos de la personalidad de Steve que más han podido influir en el éxito de Apple: Focalización, despotismo, perfeccionismo, elitismo, pasión, creatividad y obsesión por el control. Para desarrollarlos, el autor nos cuenta un montón de historias y anécdotas que a veces no parecen tener relación y que no paran de mezclarse en el tiempo: Los comienzos de Apple en los setenta, la época oscura cuando le pusieron en la calle, el discreto éxito de Next, el nacimiento de Pixar, el retorno a Apple, el éxito del iPod y del iPhone. Al estar todo entremezclado, pienso que obliga al lector a conocer previamente parte de la historia de Jobs, y a participar de la cultura de Apple profundizando aún más en ese elitismo y culto a la manzana.

Aparte del estilo de la redacción, el libro presenta las grandes contradicciones del comportamiento de Jobs: Por un lado su elitismo frente a su obsesión de simplificarlo todo, por otro lado sus problemas en las relaciones personales con todos frente a grandes amistades como la de Lasseter o Wozniak, su antimaterialismo frente a la venta masiva de artilugios fabricados en Asia.

Aunque el libro vanagloria en exceso la figura Steve sin profundizar en la parte más oscura de su personalidad, a pesar de que se deja ver porque no se puede disimular, no se le puede negar que este señor es todo un ejemplo de constancia, esfuerzo, dedicación, innovación y talento para este negocio de la informática. Es un gran visionario digno de admiración y del respeto de todos los que nos dedicamos a la Informática. Leyendo el libro (atención spoiler) te puedes enterar de cosas como que ... cuando introdujo el ratón en el mercado, quitó las teclas de función del teclado para obligar a los usuarios a realizar ciertas funciones con el ratón, y a los fabricantes de software a reprogramar sus aplicaciones para contemplar este cambio. El libro está plagado de historias de estas.

World Of Warcraft en Fedora 64bits

2010-01-23T22:34:00.002+01:00

World Of Warcraft (Wow) es el juego de rol multijugador online que cuenta con una comunidad de más de 11 millones de suscriptores, algo así como un Second Life con orcos y humanos, que tiene enganchado a mi primogénito y algunos colegas, que ya no son tan adolescentes. Esto es todo un fenómeno de culto bastante friki en internet. Técnicamente el juego está muy conseguido, es muy ágil y la acción se desarrolla muy rápido, pero por más que le pregunto a mi hijo, aún sigo sin saber cuál es el objetivo, y por qué está tan enganchado.

La semana pasada su Microsoft Windows decidió dejar de funcionar, y me pidió, por primera vez en su vida que le instalara Linux, a ver si así iba mejor, y por lo menos podía jugar tranquilamente sin virus y sin los incovenientes de Windows. Se había preocupado de buscar por Internet y había visto que otros lo hacían, y pensó que él también podría con mi ayuda...

Instrucciones para hacerlo hay muchísmas, quizás el tutorial más completo que haya leído sea el de Cesarius Revolutions: Cómo Instalar World of Warcraft (WoW) en Linux, sólo que está escrito para Ubuntu, para Fedora Core 12 en 64 bits con NVIDIA no hay todavía mucha información.
En general todo el procedimiento se puede aplicar de la misma forma: instalar wine, pulse-audio y las librerías de 32bits para las X:

sudo yum install wine wine-pulseaudio.i686 wine-pulseaudio.x86_64

sudo yum install mesa-libGLU.i686 mesa-libGLU.x86_64

sudo yum install xorg-x11-drv-nvidia-libs.i686 xorg-x11-drv-nvidia-libs.x86_64

Luego copiar todo el directorio desde la instalación del juego en Windows a nuestro directorio .wine/drive_c/. Lo importante es recordar que aunque el kernel que se ejecute sea de 64bits, tenemos que instalar el soporte para 32bits, porque la aplicación se ejecuta como una aplicación de 32bits:

wine32  "C:\Archivos de programa\wow 3.09-Wotlk\Wow.exe"

La foto la he sacado del album de beketchai en flickr

Negocios equivocados con software libre

2010-01-23T21:04:00.003+01:00

Esta semana he presenciado un episodio de negocio equivocado basado en software libre. Varios de los clientes considerables para los que trabajo, tienen algún técnico dedicado a intentar poner en marcha Pentaho. Pentaho es una plataforma Open Source en Java destinada al análisis de datos y presentación de informes empresariales, que podemos usar para la minería de los datos de nuestra empresa y la idea del malogrado cuadro de mandos. Como siempre ocurre en estos casos, esta necesidad por usar de repente una determinada herramienta viene precedida por un caso de éxito, donde efectivamente la herramienta se instaló y configuró correctamente.

Este primer cliente del caso de éxito, empezó hablar bien de la herramienta y añadió la coletilla de "es open source". La mostraría orgulloso y la gente vería los resultados y pantallazos, que suelen ser bastante vistosos en estos casos. Se acababa de crear una necesidad sin ayuda de campañas de marketing ni de publicidad, lo mejor que podría pasarle a cualquier empresa, y esto es que se cree una necesidad por alguno de los productos que ella comercializa sin invertir un céntimo.

La gente empieza a intentar usar la herramienta: cómo és software libre puedo instalarlo y usarlo yo, vamos a poner a alguien con ello. Se comete el primer error: Pensar que como es Open Source es todo muy fácil, y cualquiera puede hacerlo. Si es cierto que cualquiera puede hacerlo pero con la formación suficiente, que siempre se obvia; el que la documentación esté disponible y sea de libre acceso no significa que la experiencia se adquiera instantáneamente y la formación no necesite su tiempo.

De la misma forma que crece el interés por usar esta herramienta, crece el número de iniciativas profesionales que dicen ser capaces de vender servicios de consultoría, no siempre con la formación necesaria: es software libre. Los técnicos que estaban investigando por su cuenta, empiezan a darse cuenta que esto tampoco es tan fácil, y empiezan a trasladarlo hacia arriba. Algunos de estos clientes, comienzan a contratar consultorías externas para apoyar a los técnicos propios en la puesta a punto. Esto no debe considerarse como un segundo error sino más bien la consecuencia directa de no tomar decisiones coherentemente desde el principio y desconocer por completo qué es el software libre. En cualquier caso, es un signo de querer reconducir la situación en la dirección correcta.

El otro día tuve la ocasión de comer uno de estos técnicos, pero en su caso, aún no cuenta con ayuda externa porque poco a poco va avanzando y solucionando lo que se le va presentando, a cambio de invertir una cantidad de tiempo excesiva que pocos sabrán reconocer y recompensar en el futuro: en cualquier caso, le animé, está invirtiendo en él mismo. Me comentaba que todavía no ha podido empezar con la explotación real de la aplicación porque está terminando de afinarla, y que hacía unos días estaba bloqueado totalmente con un problema y al final decidió contactar con otro técnico amigo de otro lugar, que sí que tenía apoyo externo, para que le trasladara la consulta al consultor. El consultor externo se percató de la situación y le llamó la atención a su cliente que en este caso hacía de intermediario, con los argumentos típicos: esto se paga aparte, el que quiera saber que pague, ...

¿Qué ha hecho mal este consultor?... en mi opinión creo que ha fallado en lo básico:

Al negarle su ayuda a mi contacto evita conocer un posible cliente. Sus clientes son gente que tienen y usan Pentaho: Cuánta más gente use Pentaho, más clientes podrá tener.
Si le hubiera resuelto su duda, mi cliente tendría buenas referencias de él (esta gente sabe, este tío es bueno, etc), y llegado el caso de tener que buscar ayuda externa, sería el primero por el que apostaría.
Es más difícil hacer un cliente nuevo que mantener los que tienes, y este ha llegado hasta tí, y le has impedido que entre a tu negocio. Algunos de los jefes que tuve, decían que los negocios había que tenerlos abiertos para que entraran aunque fueran las moscas, tipos sabios aquellos.

En Navidad, mi hijo renovó el móvil con su propio dinero, y empezó a presumir de funcionalidades, y a intentar sacarme envidia; al rato de oirlo le dije la frase que una vez oí por microsiervos: Hijo, ese móvil no lo has inventado tú, lo único que has hecho ha sido pagar por él. Algo similar sucede con este tipo de consultorías y empresas basadas en productos Open Source: piensan que su negocio está en instalar el paquete, como si lo hubieran inventado ellos, y por eso se protegen y evitan ayudar a un extraño, porque en realidad creen que pierden un cliente. No hay ningún valor añadido en saber ejecutar tar -xzvf o en ejecutar make; make install: cualquiera sabe hacer eso. El verdadero valor en el negocio del software libre, está en conocer las funcionalidades de la herramienta, saber moldearla y trabajar con ella para cubrir las necesidades reales de tus clientes, integrándolas con el resto de productos y con la informática que ya tiene, y si la herramienta no cubre alguna, implementarla para él y devolverla a la comunidad.

Pienso que esta deformación de ideas, viene motivada un poco porque la gente sigue creyendo en el antiguo modelo de negocio de pago por licencia, que ha demostrado ser más que rentable en el software propietario, pero que no se sostiene en el del software libre; Si miramos desde el punto de vista del software propietario, lo que muchas de estas consultorías están haciendo es cobrarte por ir a tu casa a instalarte Microsoft Office o el Nero, en vez de venderte el curso de formación para que aprendas a usarlo, o una bolsa de horas para actualizar todas las plantillas de tu organización, o migrar tus documentos, etc.

El principal inconveniente de esta situación, son los clientes que se quedan en el camino y las oportunidades que se pierden: Gente desencantada del software libre, que piensa que es una estafa, y la estafa es cobrar por algo que no existe. Este tipo de consultores no nos ayudan mucho a los que intentamos vivir de esto.

La foto la he sacado del album de thinkpanama en flickr

Spotify en Fedora Core 12

2010-01-10T10:52:00.002+01:00

A nadie que pase parte de su tiempo conectado a la red y ya lleve unos años haciéndolo, habrá escapado el fenómeno Spotify. Aparte de reinventar la forma en la que podemos escuchar música para todos los que no sucumbimos a iTunes y entramos en el negocio elitista de apple, han puesto en marcha un nuevo modelo de negocio en Internet, que hasta a mí me han hecho pagar por escuchar música, yo, que nunca compré un CD ni un vinilo más allá de los trabajos de U2. Pienso que eso ya es un éxito del modelo que proponen y no deja de asombrarme la sencillez y la discreción con la que lo están consiguiendo. Será interesante comprobar a final de año, que tanto porciento del ancho de banda de internet consume el streaming de reproducción de música.

Los usuarios de Linux, disponemos de de alternativas libres (songbird y grooveshark) y otras que usan la API pública de Spotify (despotify y testify), pero después de haberlas probado una hora, tengo que reconocer que me he acostumbrado a la interfaz de Spotify corriendo sobre Wine, y no es lo mismo... espero que Stallman pueda perdonarme. En la misma página de descarga nos explican cómo configurar nuestro sistema Linux para poder usarlo con Wine.

El problema aparece cuando intentamos ejecutar winecfg en Fedora Core 12, al acceder a la pestaña Audio, Wine explota, y no podemos configurar las opciones que nos indican en la página de Spotify, y claro, aunque sí podemos ejecutar el programa cuando reproducimos cualquier canción no se oye. Parece que el problema se debe a que en esta versión de Wine, el soporte de audio pasa por usar pulseaudio, y no alsa. Esto también sucede en Fedora Core 11.

Yo lo solucioné editando el fichero ~/.wine/user.reg con gedit y añadiendo las siguientes líneas, que son las que sugieren en la web de Spotify:

[Software\\Wine\\DirectSound] 1246211355
"EmulDriver"="N"
"HardwareAcceleration"="Emulation"

[Software\\Wine\\Drivers] 1246211326
"Audio"="pulse"

Para editar este archivo no deberíamos tener ningún proceso de wine en ejecución (ps aux | grep wine -i) , si no, no tomará los cambios que hagamos. :(

Migración a Fedora Core 12

2010-01-08T23:57:00.003+01:00

Como a principios de año siempre tenemos muchas ganas de cumplir lo que nos proponemos, yo he empezado por la migración de Fedora Core 10 a Fedora Core 12 en 64 bits. Creo que ha sido un éxito rotundo: reconozco que tenía un poco de miedo, porque en Fedora llevo todo lo que uso en el trabajo, y esta migración siempre se alarga al menos un par de semanas de estar instalando programas, y configurando el equipo. Lo he conseguido en apenas seis horas, incluyendo la reinstalación del sistema por completo.
Para poder instalar y configurar Fedora con ciertas garantías de éxito sería recomendable que nos miremos alguna guía de instalación como la de Mauriat Miranda, y para no sufrir en exceso, es muy recomendable que tengamos el directorio /home montado en una partición separada del raíz.
Estas son mis impresiones:

Creo que hay un bug en la instalación: Al principio, cuando seleccionamos el idioma Español, y pulsamos el botón siguiente, nos aparece como teclado preseleccionado Inglés U.S., y debería aparecer Español. Yo creo que esto estaba resuelto.
Ya es posible seleccionar ext4 en la instalación, lo cual he aprovechado para el directorio raíz del sistema. Es una buena noticia.
Han desaparecido de la instalación las preguntas sobre si queríamos usar SeLinux y el cortafuegos. Cuando se termina de instalar hay que hacerlo manualmente, y hay que saber lo que se hace. Creo que no ha sido una buena idea.
El driver nouveau que trae por defecto permite la salida dual a un segundo monitor durante la instalación y el arranque del sistema, pero se convierte en un problema cuando instalamos los drivers propietarios de nvidia (kmod-nvidia).
La red cableada hay que activarla al iniciar, y no alcanzo a comprender la ventaja ni la razón. Al final sólo es configurar ONBOOT=yes en /etc/sysconfig/network-scripts/ifcfg-eth0, pero hasta ahora, no había hecho falta.
Creo que ha mejorado mucho el sistema de notificaciones del sistema, y se ha unificado. Todo se notifica de la misma forma: Cuando se conecta un contacto a la mensajería, cuando se cae un servicio, cuando hay errores de disco. Me gusta.
El tema visual que trae por defecto, es perfecto. Tamaño de fuentes, ventanas e iconos, perfecto. En esto gana con crecer Fedora a Ubuntu que en resoluciones bajas (1024x768) se muestra todo excesivamente grande.
Por fín, Gedit viene configurado para iluminar la sintaxis del archivo que se abre.
La nueva versión de Virt-Manager y la suite de virtualización basada en KVM y QEMU, creo que ha ganado notablemente.
He encontrado un montón de mejoras en eclipse, que ya nos presentaron en la Guadec el verano pasado. Es un lujo poder usar ahora Eclipse, ante con fedora core 10, tenía que trabajar con dos versiones de eclipse (la oficial de la distribución, y otra descargada), para disponer de las funcionalidades que necesitaba.
En esta versión nos encontraremos: Samba 3.4.2, OpenOffice 3.1, Apache 2.2.13, kernel 2.6.31, gnome 2.28 y openldap 2.4.18.

En general, creo que la actualización ha sido a mejor y se percibe mayor solidez y madurez: Está todo como más integrado y más cuidada la experiencia del usuario.

Vivir actualizados

2010-01-08T22:58:00.002+01:00

Miguel de Unamuno, dijo una vez:

El progreso consiste en el cambio

Aprovechando que hemos cambiado de año, parece que estamos más predispuestos a cambiar, y una de las cosas que podríamos abordar es la renovación de nuestros sistemas operativos. Es importante actualizarnos de vez en cuando, porque de otro modo, nos perderíamos un montonazo de trabajo que se está haciendo en el mundo del software y alguno es realmente muy bueno, la verdad es que no deja de sorprenderme: Echadle un ojo a Google Goggles, o a cómo MS Office OneNote 2010 será capaz de lanzar búsquedas de texto en nuestros archivos de audio y vídeo. No he encontrado una demo, pero lo ví en una presentación en directo hace unas semanas: Buscas un texto y es capaz de encontrarlo en el fichero de vídeo: cuando pulsas en el resultado de la búsqueda te pone el vídeo, justo dos segundos antes de que en el vídeo se diga esa palabra: Alucinante....

Cuando hablamos de actualizarse siempre encontramos posturas enfrentadas: por un lado la gente que se encuentra más segura usando lo que ya conoce y viven eternamente en WindowsXP por siempre jamás, y en el otro extremo, vive una raza de gente enganchada al alfa y al beta, que se apenas puede usar sus equipos para otra cosa que no sea reinstalar y testear. Bueno, imagino que lo razonable es conocer los dos mundos y conocer a sus habitantes.

Dado que el mundo del software libre es, afortunada e inevitablemente dinámico por su propia naturaleza, todas las semanas nos encontramos nuevas versiones, nuevas funcionalidades, nuevas ideas revisadas, nuevos programas... formando una vorágine que puede hasta resultar desordenada y caótica para el personal ajeno. Si a esto sumamos la cantidad de distribuciones que existen y que la mayoría suelen publicar un par de revisiones estables al año, es fácil pensar que para usar Linux hay que estar enganchado al alfa-beta. No hace falta, sólo debemos tener un poco de criterio, y estos son los criterios que yo sigo:

Revisar una vez al año, si existen actualizaciones del firmware del hardware de mis equipos y dispositivos. Esto se hace desde la web del fabricante.
Uso Fedora Core para el trabajo con las herramientas que necesito: virtualización, desarrollo, administración, etc. Trabajo en 64 bits, y sólo me instalo las versiones pares, que instalo a principios de año. La mantengo actualizada durante todo el año, e ignoro completamente la publicación de versiones impares.Uso Fedora porque trabajo bastante con sistemas basados en RedHat, Oracle Unbreakable y CentOS, y en el fondo comparten mucho con Fedora, sólo que mucho más actualizada. Esto me permite conocer software antes, de que esté disponible en estas versiones de trabajo.
Uso Ubuntu para hacer el vago en casa: navegar por internet, escribir, leer, ver películas, oir música, etc. Trabajo en 32 bits, porque el mundo de los 64bits, aunque está muy maduro, no todo termina de funcionar como en 32bits, y por algo es por lo que lo uso para hacer el vago. Me instalo las versiones de Octubre (XX.10) antes de Diciembre, y mantengo el equipo actualizado todo el año. Uso Ubuntu, porque la experiencia del usuario es total y brutal. Es una maravilla que no me quiero perder, son unos genios y unos pedazos de monstruos: Me encanta ver cómo puedo usar linux sin abrir una maldita consola para nada.

En resumen, escojo dos distribuciones totalmente diferentes que reinstalo una vez al año, y las uso con fines y en situaciones diferentes, procurando mantenerlas actualizadas.

La foto la he sacado del album de hiro008 en flickr

Propósitos para el 2010

2010-01-07T07:30:00.003+01:00

Ahora que han pasado las fiestas, y parece que todos volvemos un poco a la normalidad y al trabajo, es un buen momento para hacer la lista de lo que le pedimos al nuevo año y a los reyes mágicos.
Dado el fracaso del año anterior, me veo en la obligación de repetir curso. Esta sería la lista:

Actualizar la plantilla del blog, y de las páginas estáticas de casa.tecnoquia.com. Ya veremos, si consigo sacar el tiempo.
Llegar a las 50000 visitas en el blog. En teoría, y no iendo a peor, se supone que debería quedarme por debajo, dado que el ratio es de 1500 al mes. Es posible, que a partir de Marzo intente probar algunas de las herramientas de Google para WebMasters, en las que estoy un poco verde.
Escribir 6 entradas al mes, durante todos los meses, lo que sumarían 72 posts a fin año, pero el objetivo, no debería ser alcanzar el total a fin de año, sino el total a fín de mes.
Continuar con el inglés. Se supone que en Abril, tengo viaje programado a Londres, por lo que tendré que dedicar más tiempo a esto. Ya veremos si tanto ver series y tele en V.O. tiene alguna recompensa. Un mínimo de 10 horas de listening a la semana, puede ser un buen punto de partida.
Debería acometer las obligadas actualizaciones de los sistemas operativos: Migrarme en las próximas semanas a Fedora 12 64bits, y a Ubuntu 10.10 en Octubre. También debería intentarlo con Windows 7, pero me da bastante pereza.
Acabar de una vez la tesis de master, que trata sobre la gestión de identidades federada.
Examinarme de ITIL de una vez.
Probar a trabajar con un servidor en la nube, quizás con una pequeña aplicación java o php atacando a MySQL, y servicio de correo.
Como novedad, añadiré a la lista mi obligación de contribuir en alguno de los proyectos OpenSource con los que trabajo a diario y aportar mi trabajo, aparte de hacerlo económicamente.

Un poco, volver la vista atrás e intentarlo de nuevo. Esto sería lo que estoy dispuesto a conseguir para el nuevo año, pero a los reyes mágicos le pediría lo mismo que leí una vez a modo de oración:

"...que me dieran la serenidad para aceptar las cosas que no puedo cambiar, el valor para cambiar las que están a mi alcance y la sabiduría para saber dónde está la diferencia..."

La imagen la he sacado del alberto montt en dosis diarias

El cuento del pescador y la consultoría

2010-01-01T07:04:00.006+01:00

Hace unos días descubrí el blog Consultoría Artesana vía google reader. En él escribe gente que dedica a la consultoría, pero cuando escribe, se quitan el traje de consultor y parecen bastante sensatos y cuerdos. Hay una reflexión muy interesante sobre la gestión del tiempo, donde comentan, acertadamente creo yo, que la gestión del tiempo de los proyectos degenera en más horas, más dinero. También a cuento de ello, hablan de que resulta inevitable que se mezcle tu tiempo de trabajo y tu tiempo de ocio: Cuando un librero se lee un libro ¿es trabajo u ocio?.

A propósito de esto, cuentan la historia de un consultor que pasa sus vacaciones en un pueblo de la costa, alejado de la zona turística. Allí, en el muelle, observa a un pescador del lugar y sus hábitos: llega tarde, se marcha pronto, pesca unos pocos peces, seguramente los necesarios para su subsistencia. Entabla amistad con el y así conoce que le gusta pasar el resto del tiempo con su familia, sus amigos, jugando a las cartas, bebiendo, etc…

Un día no lo resiste, le sale la vena de consultor y se desarrolla esta conversación

Consultor: Pedro, ¿por qué no pescas durante más tiempo? Trabaja un poco más.
Pescador: ¿Para qué?
Consultor: Hombre, más pescado, mas ventas, más dinero
Pescador: ¿Y para que quiero más dinero?
Consultor: Podrías comprar una barca, y pescar en la costa, con lo que conseguirías más capturas y de mayor valor. O sea más dinero.
Pescador: ¿Y que lograría con éso?
Consultor: Pues más dinero aún, y así podrías montar tu propia empresa comprando un Barco, contratando gente, saliendo a alta mar a faenar.
Pescador: No lo veo.
Consultor: Si te lo montas bien, con un buen plan de marketing, puedes multiplicar ese barco por 10 o por 20. Seras millonario.
Pescador: ¿Para que quiero ser millonario?
Consultor: Así puedes dejar de trabajar.
Pescador: ¿Que haría entonces?
Consultor: Lo que más te apetezca, lo que te guste de verdad, no se…pescar con tu caña, salir con los colegas, disfrutar de tus hijos, de tu tiempo.
Pescador: Ya.

La foto la he sacado del album de millzero en flickr

¡ Feliz 0x7DA !

2010-01-01T06:41:00.003+01:00

Feliz y próspero año nuevo. No dejeis que la crisis os lo fastidie, y procurar ser felices. Suerte.

La foto la he sacado de thechive.com y la encontré de casualidad, pero me hizo mucha gracia.

/etc/resolv.conf en Linux

2009-12-28T22:18:00.002+01:00

Uno de los clientes para los que trabajo, usa directorio activo para los servicios de impresión y logon de red, en los escritorios, y Linux para los servidores de bases de datos y aplicaciones. Estos funcionan como clientes de los DNS del directorio activo, y así los tenemos configurados en /etc/resolv.conf. Esto funciona perfectmente.

El problema aparece cuando se nos cae alguno o todos los servidores DNS: Todo empieza a funcionar muuuyy lentoooo en Linux. Esto es así, porque la mayoría de los servicios de red de un linux, lanzan contínuamente búsquedas al DNS para resolver las direcciones IP de los equipos que inician conexiones de red.

Cuando los servidores DNS están caídos, Linux no se da cuenta, y lanza una consulta secuencial a todas las IPs de /etc/resolv.conf: Empieza por el primero que encuentra, espera a que expire el timeout (el valor por defecto es 5 segundos), y lanza la misma consulta al siguiente, y vuelve a esperar el timeout, y así sucesivamente hasta que obtenga una respuesta o hayamos llegado a la última IP del fichero /etc/resolv.conf. Paralelamente se van haciendo reintentos (hasta 3). En resumen, si sólo tuviéramos una dirección IP en /etc/resolv.conf, y esa IP estuviera caída, cada operación de red que hiciéramos en el servidor Linux, tardaría como poco 15 segundos.
Podemos configurar este timeout a 1 , y el número de reintentos a 1, para que en vez de 15 segundos, tarde 1 segundo, añadiendo a /etc/resolv.conf la siguiente línea:

options timeout:1 attempts:1

Según nos comentaron en RedHat, esta configuración no podremos comprobarla con los comandos nslookup, ni dig, pero si aplica sobre servicios de red como SSHD o Apache.
La foto la he sacado del album de Giant Ginkgo en flickr

Bar El Guapo

2009-12-28T18:47:00.003+01:00

Hoy es el día que es, y dejaré una entrada a propósito de ello. Muchos fines de semana, tengo la grandísima oportunidad (para los tiempos que corren), de hacer algún extra en el Bar El Guapo (tampoco va a ser todo estar con el ordenador!). Curiosamente este fín de semana hemos descubierto que aparecemos en YouTube, nos lo dijo un cliente. Flipante...

Un video de un cliente, donde grabó a otros clientes discutiendo en la barra. Es una pena que no se oiga bien, lo bueno sería tener lo subtítulos, pero se puden pillar algunas frases.

Indagando, me he podido enterar de que tras una considerable ingesta de almuerzo, y seguramente no despreciable cantidad de alcohol en diferentes formatos (vino, cerveza, whisky-ses y demás), los protagonistas acabaron discutiendo sobre quién era capaz de correr más y más rápido con sus bicicletas, evocando (me imagino) tiempos mejores.

El vídeo es una muestra representativa, de los discusiones metafísicas en las que muchas veces vemos inmersos a nuestros maravillosos clientes.

Ajuste de cuentas

2009-12-28T01:42:00.003+01:00

Aprovecho este post número 70 del año, para repasar cuántos de los propósitos que me plantee a principios de año, he alcanzado.

Todavía no he cambiado la plantilla de este blog, aunque al menos he avanzado algo: Tengo un logo, y tengo más o menos, el estilo, colores, lo que quiero y lo que no quiero, y como lo quiero, pero no tengo el tiempo de hacerlo, o de escribirlo para subcontratarlo. Se podría decir que esto está a medio.
El blog aún está en 30000 visitas. He administrado servidores Apache que recibían esta carga en unas pocas horas. Me da vergüenza hasta de pensarlo. Quizás debería comprarle un ordenador a mi madre, y pedirle que visite el blog :P. El ratio de visitas mensuales tiene como valor medio 1500, mientras que el año pasado este valor no llegaba a 800. Una ruina. No conseguido.
He conseguido llegar a los 70 post anuales, aunque un poco in extremis, y levantando dudas: Hubo quien la tarde de nochebuena me recordó que no lo conseguiría. Como le dije, tenía las entradas preparadas y me había reservado estos días de Navidad para publicarlos. No estoy muy satifescho con esto porque el objetivo real, era obligarme y acostumbrarme a publicar regularmente a lo largo del mes, y al final las cosas del día a día, me han podido.
Un poco parecido ocurre con las series en inglés. Es cierto que he visto Heroes, Cómo conocí a vuestra madre, V, varias películas y varias conferencias, pero ... no he conseguido obligarme a sacar tiempo de forma regular para esto, ni toda la cantidad que debería haber visto. Yo diría que esto no está ni a la mitad.
La migración a 64bits creo que ha sido un éxito, no sólo en casa con la informática de consumo sino también en servidores. Cada vez más. Es cierto que he sufrido ciertos problemas de incompatibilidad, con Flash y algún otro. Conseguido.
El uso de Fedora, Ubuntu y MacOSX a final de año, ha quedado de la siguiente forma:
- A principios de año lo intenté con MacOSX, y fracasé... no me acostumbro. Lo sigo teniendo instalado, pero no puedo, es como usar un Linux mal instalado y a medio configurar, me siento muy raro con él y muy torpe, pero reconozco que es una maravilla, cuando se le compara con un escritorio Windows, que parece prehistórico.
- No me deshice del viejo portátil, y al final le instalé Ubuntu (ni siquiera Windows). Lo uso para la parte más lúdica de mi vida en Internet, cuando estoy por casa, o lo que yo llamo "haciendo el vago". Ubuntu 9.X es un maravilla.
- En el portatil nuevo, terminé usando Fedora en exclusividad, y es el que uso para trabajar. Como plataforma de trabajo, me viene fenomenal, ya que casi todos los servidores con los que trabajo, son RedHat en el fondo, aunque reconozco que en los últimos meses del año, han aumentado los servidores Debian / Ubuntu.Cuando estoy en casa, procuro no encender Fedora (el portátil del trabajo), sólo Ubuntu (ocio).
Aún no he conseguido terminar el postgrado, aunque sí me he quitado todas las asignaturas que me quedaban colgando. Todavía me falta la tesis que irá en torno a la gestión de identidad digital federada. Ya me vale, cuando vaya a terminar esto, está todo obsoleto. Se podría decir que este propósito está a medio conseguir.
Finalmente migré la zona DNS de casa cuando monté el nuevo servidor Code. Objetivo conseguido.
Y de ITIL sólo me he leído unos cuantos PowerPoints más y unos cuantos extensos documentos. Objetivo sin conseguir.

De 9 objetivos, he conseguido 5 y medio... y creo que esto es un poco desastroso :(. A pesar de ello, gracias a todos los que habeis perdido un minuto leyendo algo de lo que he colgao aquí.

La foto la he sacado de espejo-ludico.blogspot.com vía google images.

Premoniciones sobre OpenSource

2009-12-27T20:36:00.002+01:00

Estos días de descanso entre la familia, he aprovechado para ver unas cuantas conferencias TEDTalks. Estas mini-charlas son bastante instructivas: llevan a una persona que controla un montón sobre una determinada cosa, y la ponen a explicarse durante 15 a 25 minutos, y hablar de esto que sabe. Yo empecé con Ken Robinson says schools kill creativity, la cual os recomiendo encarecidamente que veais, y si el idioma del audio es un problema, usar los subtítulos. Si la experiencia os parece interesante, podeis revisar todas las charlas que hay publicadas en este Excell-Doc, y en el documento os cuenta un poco sobre lo que habla, la duración y os deja el enlace rápido.

Después de haberlas visto, hay una cosa que me ha llamado muchísimo la atención y es que casi sin proponérmelo, he visto varias charlas sobre OpenSource pero aplicadas a otras disciplinas como arquitectura o biología, y todo ello me ha animado a escribir este pequeño rollo que os voy a contar.

Cuando tenía que explicar el concepto de OpenSource a los chavales, siempre me gustó usar aquello que dice: Si yo tengo una manzana y tu tíenes otra manzana, y yo te doy mi manzana y tú me dás la tuya, cada uno seguimos teniendo una manzana; pero si tú tienes una idea, y yo tengo otra idea, y yo te cuento la mía y tú la tuya, al final tenemos dos ideas cada uno, y esto lo podemos sintetizar en que el conocimiento siempre suma, nunca resta: Esto es OpenSource, hacer que el conocimiento siempre sume .

Esta definición pura e ideal aplicada al software, nos conduce inexorablemente al software libre, que no tiene nada que ver con software gratis. En la facultad de informática nos cuentan una película didáctica de que escribir un programa es como hacer una receta de cocina, que luego se pueda seguir a pies juntillas, y hacer un plato de comida. Cuando alguien quiere ganar dinero con recetas de cocina monta un restaurante, y justo ahí deberíamos leer el post que escribí en Mayo: Conversaciones con Jenny.

De nuevo, esta definición la podemos aplicar en la arquitectura, por ejemplo. En síntesis, OpenSource aplicado a la arquitectura permitiría aprovechar las técnicas y diseños de construcción usadas en china, y en otros lugares del planeta y mejorar así la resistencia de las construcciones ante huracanes; o estudiar algunas de las construcciones de Africa, para mejorar la resistencia a temperaturas extremas.

Esto mismo, podríamos aplicarlo a otras disciplinas de conocimiento y estudio. Y eso es lo que me ha llamado la atención de las charlas TED, que eso ya se está haciendo. ¿Qué está pasando entonces? ¿Que vá a pasar con el OpenSource?
Creo que lo que está pasando, sencillamente es que estamos sufriendo un cambio de fase en la evolución del OpenSource. Pasamos de la fase de las herramientas, a la fase de los contenidos.

La fase de las herramientas, se ha caracterizado porque en ella se han establecido los modelos (de negocio, de desarrollo, de trabajo) para poder desarrollar las herramientas (software libre, wikipedia, opendocument, etc) que hicieran posible la segunda fase.
La fase de los contenidos, se caracterizará por la compartición del conocimiento y de las técnicas: Arquitectura OpenSource, Enseñanza OpenSource, etc. Pensar por un momento, en la cantidad de material educativo y contenidos que hay publicados en papel. Pensar el gasto que ello supone, no solo económico, sino forestal: En cualquier caso no es sostenible. Pensar en que podemos digitalizar todo esto y servirlo con estas herramientas OpenSource: ¿no estaríamos abartando los costes? ¿no sería más sostenible para el planeta?, ¿no podríamos llegar a mayor cantidad de alumnos?...

Y ... ¿cuando será este cambio de fase un hecho tangible?. Pienso que este salto lo daremos cuando la industria de los derechos de propiedad intelectual, se resigne a la extinción: Nos venden que compartir es un delito, que es malo, que es lo peor, y nos criminalizan por ello. Están perdiendo el tiempo, y en vez de buscar modelos de negocio viables, esperan que los gobiernos elaboren un gran plan de regulación que les permita seguir explotando (y exprimiendo) los mismos modelos de negocio que han usado hasta ahora. Ya hay modelos que empiezan a funcionar, véase si no, los ejemplos de iTunes y Spotify.
Ale, ahí queda eso.

La foto la he sacado del album de cl a ra en flickr

Monitorizar servidores OpenLDAP desde Cacti

2009-12-27T20:30:00.002+01:00

Dentro de la serie de entradas dedicadas a cacti, no podíamos dejar de ver la monitorización de nuestros servidores OpenLDAP desde Cacti, lo cual puede reportarnos estadísticas y gráficas de los tiempos de respuesta, y número de consultas que estamos atendiendo, y hacernos una idea de la calidad de servicio LDAP que estamos ofreciendo.

El problema con el que me he encontrado es que los scripts para Cacti que había en Internet para monitorizar servidores OpenLDAP, ya no están tan accesibles como siempre, y la mayoría de los links aparecen rotos. El enlace que parece funcionar la mayoría del tiempo es https://ltb-project.org/svn/cacti-plugins/trunk/.
Para poder monitorizar OpenLDAP desde cacti tendremos que:

Descargar los scripts ldap_response_time.pl y openldap_operations.pl, y copiar en el directorio /var/www/cacti/scripts/ de nuestro servidor Cacti. Luego ejecutar como root los siguientes comandos:
```
yum install perl-LDAP
chmod 755 /var/www/cacti/scripts/openldap*pl
```
Ahora, ir al servidor OpenLDAP que queremos monitorizar. Editar el fichero de configuración /etc/openldap/slapd.conf, y en la zona en la que se declaran la base de datos de Ldap, añadir
```
database monitor 
```
Luego reiniciaremos el servicio:
```
/etc/init.d/ldap restart
```
Desde el servidor de Cacti, lanzar una prueba de conexión:
```
/var/www/cacti/scripts/openldap_operations.pl \
   -h SERVIDOR_LDAP  \
   -D "cn=CUENTA_DE_ACCESO_A_LDAP"  \
   -W CONTRASEÑA_DE_ACCESO
```
De nuevo en la consola de Cacti como usuario Administrador, importaremos las plantillas cacti_graph_template_openldap_initiated_operations.xml y cacti_graph_template_openldap_response_time.xml, que nos deberíamos haber descargado de internet.
Ahora sólo nos queda añadir las gráficas OpenLDAP - intiated operation y OpenLDAP - response time a nuestro servidor LDAP o a nuestras plantillas, y esperar unos minutos.

La foto la he sacado del album de eschipul en flickr

NDOUtils: Addon para Nagios

2009-12-26T19:07:00.002+01:00

Nagios Data Out (NDO) es un addon oficial de Nagios que permite exportar todos los sucesos y la configuración de una o más instancias de Nagios a una base de datos MySQL, y por supuesto, sin que dejen de escribirse en los ficheros status.dat y retention.dat, y tampoco sin obligarnos a renunciar a tener toda la configuración de Nagios en nuestros ficheros de texto plano, como lo hemos hecho toda la vida.

¿Y para qué necesitaríamos esto entonces?, ¿qué utilidad tiene esto? ... la gran ventaja de configurar NDOUtils en nuestro servidor Nagios, es que nos permitirá integrarlo con otras herramientas como NagVis (usar diagramas de red y vincular alertas), php4nagios (estadísticas para Nagios), o nagiosbp (Nagios Business Process AddOns), que ampliarán las funcionalidades de nuestro Nagios.

Para instalarlo y configurarlo, lo primero que hago es hacer una copia de seguridad de toda las instalación de Nagios, y luego realizo los siguientes pasos:

Preparar el sistema para poder compilar y ejecutar este programa
```
yum install mysql-devel perl-DBD-MySQ
```

Descargar el software de NDOUtils y descomprimirlo...

cd /opt/software

export URL="http://downloads.sourceforge.net/project/nagios"
export URL="$URL/ndoutils-1.x/ndoutils-1-4b8/ndoutils-1.4b8.tar.gz"

cd /opt
tar -xzvf software/ndoutils-1.4b8.tar.gz

Compilar el programa

cd /opt/ndoutils-1.4b8

export LD_LIBRARY_PATH="/usr/lib:/usr/local/lib:$LD_LIBRARY_PATH"
export LD_LIBRARY_PATH="/usr/lib/mysql:/lib:$LD_LIBRARY_PATH"

./configure --prefix=/usr/local/nagios \
           --enable-mysql \
           --with-mysql-lib=/usr/lib/mysql
make

Instalar los ejecutables y la configuración de ejemplo de NDO mediante...

cp -f src/file2sock \
     src/log2ndo \
     src/ndo2db-* \
     src/ndomod-* \
     src/sockdebug \
     /usr/local/nagios/bin/

/bin/cp -p config/ndo2db.cfg /usr/local/nagios/etc/ndo2db.cfg
/bin/cp -p config/ndomod.cfg /usr/local/nagios/etc/ndomod.cfg

...y dependiendo de la versión de Nagios que tengamos instalado copiaremos un ejecutable u otro. En mi caso uso la versión 3.

/bin/cp -f src/ndomod-3x.o /usr/local/nagios/bin/ndomod.o
/bin/cp -f src/ndo2db-3x   /usr/local/nagios/bin/ndo2db

Ahora en el servidor MySQL tendremos que crear el usuario y la base de datos donde NDO escribirá las tablas y todos estos datos que provienen de Nagios. En mi caso crearé la base de datos nagios_ndo, el usuario nagios con contraseña nagios.pwd:

create database nagios_ndo;

CREATE USER nagios@IP_SERVIDOR_NAGIOS
IDENTIFIED BY 'nagios.pwd';

GRANT USAGE ON *.* TO nagios@IP_SERVIDOR_NAGIOS
IDENTIFIED BY 'nagios.pwd'
WITH MAX_QUERIES_PER_HOUR 0
     MAX_CONNECTIONS_PER_HOUR 0
     MAX_UPDATES_PER_HOUR 0
     MAX_USER_CONNECTIONS 0;

GRANT ALL PRIVILEGES
  ON nagios_ndo.*
  TO nagios@IP_SERVIDOR_NAGIOS
WITH GRANT OPTION ;

flush privileges;

Crear las tablas y el modelo de datos, en la base de datos:

cd /opt/ndoutils-1.4b8/db
./installdb -u nagios  \
           -p 'nagios.pwd' \
           -h IP_SERVIDOR_MYSQL  \
           -d nagios_ndo

Ahora cambiar la configuracion de NDO en /usr/local/nagios/etc/ndo2db.cfg, para aplicar los siguientes cambios:

# Evitar problemas con otros plugins NRPE y NSCA
tcp_port=5663

# Indicar la IP de nuestro servidor de MySQL
db_host=IP_SERVIDOR_MYSQL

# Credenciales de BBDD
db_name=nagios_ndo
db_user=nagios
db_pass=nagios.pwd

# Mantener los eventos durante 2 semanas
max_timedevents_age=20160

Ahora cambiar la configuracion de Nagios (/usr/local/nagios/etc/nagios.cfg) para decirle que debe usar el Broker de eventos:
```
broker_module=/usr/local/nagios/bin/ndomod.o config_file=/usr/local/nagios/etc/ndomod.cfg
```
Editar el fichero de configuracion del broker NDO para configurar el puerto que debe escuchar. Esto es editar el fichero /usr/local/nagios/etc/ndomod.cfg y configurar:
```
tcp_port=5663
```

Crear el script de arranque del servicio, a partir del que nos propone la distribución:

/bin/cp -f /opt/ndoutils-1.4b8/daemon-init /etc/init.d/ndo2db
chmod a+x  /etc/init.d/ndo2db
chkconfig  ndo2db on

Para terminar, reiniciar todos los servicios y comprobar que las tablas empiezan a rellenarse de datos.

/etc/init.d/ndo2db stop
/etc/init.d/ndo2db start
/etc/init.d/nagios restart

Recuperar un bakup de Oracle hecho con RMAN

2009-12-26T00:21:00.001+01:00

Esto también lo tengo que buscar a menudo :( ... ¿qué sentido tendría si sabemos hacer un backup y luego no sabemos recuperarlo. En esta entrada anotaré el procedimiento que sigo para recuperar bases de datos Oracle con RMAN.
Se supone que tenemos un backup físico realizado con RMAN en el directorio /opt/backups_oracle/backupset, y que el catálogo local lo tenemos inicializado y configurado. También supondremos que tenemos una copia del pfile de la base de datos a recuperar en /opt/backups_oracle/backupset/bbdd_init.ora y que sabemos el DBID de la bbdd de la que hemos hecho la copia.

Conectarnos al servidor donde queremos recuperar el backup como usuario Oracle, y desde RMAN detener la BBDD y establecer el nuevo DBID
```
su - oracle
$ORACLE_HOME/bin/rman target / nocatalog
 
RMAN> shutdown abort;
RMAN> set dbid 815531541;
```

Montar la BBDD usando el pfile del backup...

RMAN> startup nomount \     
    pfile='/opt/backups_oracle/backupset/bbdd_init.ora' ;

Recuperar los controlfiles desde el Backup que tenemos, y volver a parar la instancia

RMAN> restore controlfile from \
 '/opt/backups_oracle/backupset/controlfiles/BD_c-XXXXXXXXXx.ctl.bck';

RMAN> shutdown immediate;

Ahora montar desde los controlfiles recuperados...

RMAN> startup nomount  \
    pfile='/opt/backups_oracle/backupset/bbdd_init.ora' ;

RMAN> alter database mount;

Mirar si tenemos backups para recuperar... es muy importante que nos fijemos en el SCN que tienen todos los tablespaces...
```
RMAN> list backup; 
```

Recuperar la BBDD y abrirla reseteando logs..

RMAN> run {
 set until scn XXXXX--SCN--XXXXX ;
 restore database;
 recover database; }

RMAN> alter database open resetlogs;
RMAN> exit;

Cómo configurar Oracle en modo archivelog

2009-12-25T19:49:00.001+01:00

En una BBDD Oracle contínuamente se están escribiendo las instrucciones que ejecutamos (hasta el commit) con nuestras modificaciones en lo que se conoce como RedoLog, como si se tratase de un cuaderno de bitácora. Estos son unos tablespaces especiales que habitualmente poseen redundancia y se suelen configurar en al menos tres grupos de estos: El que se usa actualmente donde oracle escribe el actual RedoLog, el que estábamos usando antes de usar el actual (y que cuando se cambia, conserva una pequeña actividad residual hasta que se ha completado el cambio) y el que usaremos cuando llenemos el actual (sin uso hasta ese momento). Podemos forzar este cambio, ejecutando:

alter system switch logfile;

La idea de estos Redolog, es que si partimos de una base de datos recién instalada y tenemos todos los ficheros RedoLog hasta el día actual, podríamos ir aplicando los cambios escritos en estos redologs hacia adelante, y podriamos dejarla como estaba la BBDD en una fecha y hora determinadas. En vez de usar una BBDD recién instalada, podemos usar una copia física (donde la BBDD está en estado consistente), y aplicar ficheros de redolog hacia adelante, pudiendo recuperar hasta justo antes de algún fatídico cambio.
El problema que tiene esta teoría, es que Oracle va reutilizando los ficheros DBFs que forman los RedoLog de manera cíclica, y sólo tenemos los tres últimos RedoLogs. El modo ArchiveLog le dice a Oracle que antes de reciclar un DBF de un RedoLog, deje una copia del fichero en otro directorio, y así podremos guardar más allá de los tres últimos. Además, tener la BBDD en este modo configurada, nos permitirá poder hacer backups físicos con RMAN sin parar el servicio de Oracle... todo un lujo.
Para configurar este modo en Oracle 9.2 (al menos) realizaremos los siguientes pasos:

Crear los directorios para almacenar los archiveLogs.

mkdir -p  /opt/backups_oracle/archivelogs \      
        /opt/backups_oracle/backupset/controlfiles

chown oracle.dba -R /opt/backups_oracle

Conectarse como DBA a la base de datos...

su - oracle
sqlplus /nolog

SQL> connect /as sysdba;

Parar la base de datos, y después montarla
```
shutdown immediate;
startup mount;
```

Decirle a la bbdd donde debe dejar los Redolog reciclados, configurar la BBDD en modo archivelog, y abrir la bbdd...

alter system set \
   log_archive_dest='/opt/backups_oracle/archivelogs' \
   scope=both;

alter database archivelog;
alter database open;

Guardar la configuración en el SPFile

alter system set log_archive_start=true scope=spfile;

Comprobar que ya tenemos la BBDD configurada, ejecutando:

select log_mode from v$database;
show parameter log_archive;

Reiniciar la Base de datos, para que arranque ya con este modo, y empiece a rotar al directorio que hemos configurado...
```
shutdown immediate;
startup;
```

Forzar la rotación de redolog, un par de veces para comprobar que se están guardando nuevos ficheros en el directorio: /opt/backups_oracle/archivelogs/


alter system switch logfile;
alter system switch logfile;

Monitorizar nuestro servidor MySQL desde Cacti

2009-12-25T19:44:00.002+01:00

Siguiendo con la serie de posts dedicados a cacti, en este os contaré cómo podemos monitorizar un servidor MySQL con Cacti, lo cual nos puede venir bien para detectar cuellos de botella y mal funcionamientos.
Esta configuración está bastante bien explicada en http://code.google.com/p/mysql-cacti-templates/, pero os la resumo en unas pocas líneas:

Descargar las plantillas de GoogleCode, http://mysql-cacti-templates.googlecode.com/files/mysql-cacti-templates-1.1.1.tar.gz
Importar la plantilla cacti_host_template_x_db_server_ht_0.8.6i.xml en Cacti como Administrador, y copiar el script ss_get_mysql_stats.php al directorio /var/www/cacti/scripts/ del servidor.

Crear en MySQL un usuario cactimon, con contraseña cactipwdmon, al gusto, que será el que usaremos desde cacti para monitorizar el servidor de base de datos.

GRANT PROCESS ON *.* TO \
cactimon@'SERVIDOR_CACTI'  \
IDENTIFIED by 'cactipwdmon';

GRANT SUPER   ON *.* TO \
cactimon@'SERVIDOR_CACTI' \
IDENTIFIED BY 'cactipwdmon';

flush privileges;

Ahora en Cacti desde la consola del administrador, Console->DataTemplates, buscar todas las gráficas que sean: X MySQL lo_que_sea, y en todas ellas editar y marcar en Custom Data, el username y el password, y fijar: Username=cactimon y Password=cactipwdmon

Ya podremos dar de alta un nuevo dispositivo de tipo MySQL Server para que empiece a pintarnos gráficas.
La foto la he sacado del album de groovehouse en flickr

Monitorizar Microsoft SQLServer desde Nagios

2009-12-25T19:42:00.001+01:00

A menudo, en nuestra infraestructura IT, no sólo tenemos servidores de base de datos corriendo en el supereficiente Linux, si no que tenemos que vérnoslas con servidores Microsoft Windows ejecutando SQLServer.
Los administradores de Nagios podemos monitorizar si SQLServer está funcionando o no, y podemos conectarnos, siguiendo los siguientes pasos:

Conectarnos como root al servidor de Nagios. Luego descargar el plugin que ha desarrollado la gente de Consulting & Solutions
```
cd /opt/software

URL="http://www.consol.de/fileadmin/opensource"
URL="$URL/Nagios/check_mssql_health-1.5.1.tar.gz"

wget $URL 
```
Después, debemos instalar el paquete perl-DBD-Sybase. Es posible que encontremos alguna versión en RPM que nos pueda servir para nuestro sistema operativo en http://dag.wieers.com/rpm/packages/perl-DBD-Sybase/. Luego instarlarlo ejecutando:
```
yum install freetds perl-DBD-Sybase
```

Compilar e instalar el plugin que ha desarrollado la gente de Consulting & Solutions.

cd /opt
tar -xzvf /opt/software/check_mssql_health-1.5.1.tar.gz

./configure --prefix=/usr/local/nagios
make
make install

Ya podemos realizar la prueba de conectar a SQLServer, para lo que necesitaremos una cuenta de acceso de base de datos:

/usr/local/nagios/libexec/check_mssql_health \
   --hostname=SERVIDOR_SQLSERVER  \
   --username=LOGIN_SQLSERVER \
   --password=PASSWD_SQLSERVER  \
   --mode=connection-time

Este comando implementa otros modificadores que nos permitirán comprobar otros indicadores de SQLServer.

Google Reader

2009-12-25T19:37:00.002+01:00

Google Reader es una herramienta muy útil de Google, que conocí gracias a Puche, y que he recomendado un motón de veces a la gente, en especial a mi hermano Pepe y mi hijo Jose Miguel... pero no consigo que lo usen ni obligándolos :(

GoogleReader es una simple herramienta de sindicación de noticias XML (RSS, OPML, etc), y como cualquier otra, tiene la gran ventaja de que ahorramos un montón de tiempo para ponernos al día de lo que pasa en aquellos blogs y sites que nos interesa seguir a diario: No tenemos que ir uno a uno, visitándolos, esperando que cargue la publicidad, y que al final nos despista y desconcentra. Al ser online, nos permite que podemos consultar nuestros feeds desde cualquier equipo conectado a la red, y al tratarse de Google, nos hace sugerencias de qué otros feeds pueden interesarnos, viendo el contenido de los que ya estamos suscritos. Como añadido, podemos compartir aquellas noticias de los feeds a los que estamos suscritos, para que les aparezca también a nuestros contactos de GMAIL, de forma que podemos ver aquellos que otros de nuestros contactos considera interesante, y así abrirnos nuevas espectativas. Una caña. Resulta muy, muy útil. Lo uso a diario desde hace un montón de tiempo.
Pero no todo son ventajas: Para mi gusto, creo que deberían revisar:

Las listas tardan unos segundos en cargar (a tramos) y se nota pesado
Cuando llevo dos o tres días sin leer mi reader, la aplicación me estresa: Me dice que tengo pendientes ¡400 mensajes! .. y eso me estresa ... deberían darse cuenta que dedico unos 15 a 30 minutos a leer el reader, y lo habitual es que lea de 50 a 90 post. Lo que supere eso, prefiero casi ni saberlo.
¿Para qué nos colocan dos opciones Share? ¿Para qué sirve Like?

A pesar de esto, os recomiendo encarecidamente que lo useis si quereis ahorrar tiempo a diario.

Backups de Oracle con RMAN

2009-12-25T19:33:00.002+01:00

Siempre tengo que buscar esto por Internet. La foto que he seleccionado para la ocasión, evoca la necesidad de tener buenos backups.

RMAN (Recovery Manager) es la herramienta de Oracle para poder hacer backups físicos de nuestra BBDD. Un backup físico, es a fín de cuentas, como copiar los ficheros DBFs que forman los TableSpaces de nuestra BBDD a un lugar seguro (de ahí, lo de copia de seguridad), pero claro, si lo hiciéramos con el comando COPY del sistema operativo, el estado de la copia de seguridad sería inconsistente, porque no todos los DBFs estarían sincronizados con los cambios en nuestra BBDD a la misma hora, por lo tanto, lo mejor es hacer esta copia con la base de datos parada.
Claro que no todas las bases de datos se pueden parar, para hacerles backup, por lo que para poder hacer un backup físico con Oracle arriba, necesitamos que la base de datos esté configurada en modo ArchiveLog. En ese caso, podremos hacer backup físico en caliente (que se dice).
Para ilustrar el procedimiento, vamos a lanzar un backup físico al directorio /opt/backups_oracle/backupset/, por lo que, lo primero será crear el directorio donde dejaremos la copia.

mkdir -p /opt/backups_oracle/backupset/controlfiles
chown -R oracle.oinstall /opt/backups_oracle

Nos convertimos en usuario oracle, y lanzamos RMAN usando el catálogo local (esto son los ControlFiles de la propia BBDD).

su - oracle
$ORACLE_HOME/bin/rman target / nocatalog

Ya en la consola de RMAN ejecutaremos los siguientes comandos:

RMAN>

-- Mostrar nuestr política de backup
SHOW RETENTION POLICY;

-- Configurar: solo conservaremos dos backups físicos
CONFIGURE RETENTION POLICY TO REDUNDANCY 2;

-- Hacer copia también de los controlFiles.
CONFIGURE CONTROLFILE AUTOBACKUP ON;

-- Decirle el directorio donde dejar los backups de estos
-- controlfiles...
CONFIGURE CONTROLFILE AUTOBACKUP FORMAT FOR DEVICE TYPE DISK \
TO '/opt/backups_oracle/backupset/controlfiles/BBDD_%F.ctl.bck';

-- Decirle que el dispositivo por defecto sera el disco
CONFIGURE DEFAULT DEVICE TYPE TO DISK;


-- Decirle el directorio donde dejar la copia de los Datafiles
CONFIGURE CHANNEL DEVICE TYPE DISK FORMAT  \
'/opt/backups_oracle/backupset/%T__%d_%p_%s.bck';

-- No limitar el tamaño de la copia
CONFIGURE MAXSETSIZE TO UNLIMITED;

-- salir :)
RMAN> exit;

Con estos comandos estamos configurando nuestra política de backup, donde lo más significativo es que le decimos el directorio donde debe dejar los backups y que como máximo conservaremos dos copias físicas. Esto se guardará en los controlfiles de la BBDD, ya que no estamos usando un catálogo global. Esto es importante porque significa que tenemos que guardar copia de los controlfiles junto al backup de Oracle.
Una vez configurada nuestra política de copia, podremos lanzar el backup de Oracle ejecutando...

RMAN>

-- Hacer backup de los Datafiles
BACKUP DATABASE;

-- Borrar los archivelogs, obsoletos
BACKUP ARCHIVELOG ALL DELETE INPUT;

-- Hacer copia extra de los controlfiles
COPY CURRENT CONTROLFILE TO \
'/opt/backups_oracle/backupset/controlfiles/control%u.copia';

-- Borrar las copias obsoletas (según RETENTION POLICY REDUNDANCY)
DELETE NOPROMPT OBSOLETE;

-- salir :)
RMAN> exit;

Además, sería bueno conservar junto al backup el BDID de la BBDD...

su - oracle
sqlplus /nolog

SQLPLUS> connect /as sysdba;

SQLPLUS> select DBID from v$database;

... y una copia del SPFILE que usa la BBDD para arrancar (que podemos copiar usando el comando COPY del sistema Operativo)

su - oracle
sqlplus /nolog

SQLPLUS> connect /as sysdba;

SQLPLUS> show parameter pfile;

La foto la he sacado del album de godog en flickr

Configurar PHP para conectar a Oracle

2009-12-25T19:30:00.002+01:00

En algunas ocasiones nos encontramos que la base de datos a la que tenemos que conectar desde PHP es Oracle en vez de MySQL, y el problema suele ser que no el yum install php-oracle o apt-get install php-oracle no nos funciona.
¿Qué podemos hacer? ... os cuento lo que yo hago:

Lo primero que debemos hacer es descargar los RPMs del InstantClient de Oracle en /opt/software/oracle. Nos servirán oracle-instantclient11.1-basic-11.1.0.7.0-1.i386.rpm y oracle-instantclient11.1-devel-11.1.0.7.0-1.i386.rpm. Luego los instalaremos ejecutando:
```
rpm -ivh /opt/software/oracle/oracle-instantclient11.1-*
```

Añadir al entorno las variables que necesita Oracle para ejecutarse. Para ello, añadir las siguientes lineas al fichero /etc/profile:

export ORACLE_HOME=/usr/lib/oracle/11.1/client
export NLS_LANG=spanish_spain.WE8ISO8859P15
export TNS_ADMIN=$ORACLE_HOME/network/admin
export LD_LIBRARY_PATH=/usr/local/lib:/usr/lib/:/lib:$LD_LIBRARY_PATH
export LD_LIBRARY_PATH=$ORACLE_HOME/lib:$LD_LIBRARY_PATH
export PATH=$PATH:$ORACLE_HOME/bin

Sería recomendable cerrar sesión y volverla abrir para que se carguen estas variables en nuestro entorno.

Lo siguiente será copiar un fichero tnsnames.ora al directorio $ORACLE_HOME/network/admin desde otro servidor de aplicaciones, en el que ya nos funcione la conexión a la BBDD de Oracle.
Para instalar las librerías de Oracle, lo haremos mediante PECL, que es algo así como el CPAN para Perl, pero para PHP.
```
yum install php-pear php-devel

pecl install oci8
```
Cuando nos pregunte, decirle que autodetecte la instalacion. Cuando instalamos lo hacemos desde los RPM lo hace automaticamente. Al terminar de compilar e instalar nos habrá dejado la libreria en /usr/lib/php/modules/. Ahora deberíamos incluirla en /etc/php.ini añadiendo la siguiente línea dentro de la sección de Dynamic Extensions, entorno a línea número 620:
```
extension=oci8.so
```
Reiniciar el servicio de Apache, para que PHP cargue las librerías de Oracle...
```
/etc/init.d/httpd restart
```
Crear un fichero /var/www/html/infophp.php con el siguiente contenido:
```
<?php
phpinfo();
?>
```
Abrir la URL desde un navegador http://MISERVIDOR/infophp.php, para comprobar las variables de entorno y que PHP ha cargado la librería oci8.

Cuando hayamos comprobado, que ya tenemos el PHP configurado para poder conectar a Oracle, podremos crear nuestra primera página:

<?php

# Inicializar la conexión a Oracle
$conn = oci_connect('XXLOGINXX', 'XXCONTRASEÑAXX', 'XXSIDXX');

# Preparar la Query
$query = 'select table_name from user_tables';

# Conectar realmente y lanzar la consulta...
$stid = oci_parse($conn, $query);
oci_execute($stid, OCI_DEFAULT);

# Lanzar la consulta
while ($row = oci_fetch_array($stid, OCI_ASSOC)) {

# Recuperar las filas de la consulta
foreach ($row as $item) {
  echo $item." ";
}
echo "<br>\n";
}

# Cerrar la conexión con Oracle
oci_free_statement($stid);
oci_close($conn);

Cuando reiniciemos el servidor seguramente nos habrá dejado de funcionar. Es importante añadir al script /etc/init.d/apache, después del bloque de comentarios inicial la línea:

. /etc/profile

Esto pasa porque el cliente Oracle necesita estas variables definidas en el entorno, y cuando se reinicia el servidor, el proceso init, no incializa este entorno y ejecuta estos ficheros. Al añadirlo al demonio de arranque de Apache, nos aseguramos que Apache las tenga inicializadas cuando init lo llame durante el inicio del servidor.

La foto la he sacado del album de CalEvans en flickr

Feliz navidad y próspero año nuevo

2009-12-24T22:55:00.004+01:00

Felíz navidad a todos y próspero año nuevo. Mis mejores deseos para el año que viene haga que se cumplen vuestros sueños.

La imagen la he sacado de http://www.funny-potato.com/blog/category/christmas, vía google images.