Hace unas semanas que estuve investigando sobre IDSes Wireless y redes ad-hoc, para el trabajo de una de las asignaturas que estoy cursando en el Máster de la Universidad de Murcia, este año. Lo he subido a mi cuenta de GoogleDocs, porque parece que la publicación cruzada a mi Blog no me terminó de convencer y las entradas en el Blog quedan demasiado grandes a mi juicio, además de que los cambios que hago en el documento después de haber publicado en el blog no se refrescan automáticamente: Parece más práctico, publicar el documento y luego linkarlo desde una entrada en blogger.
Bueno el trabajo versa sobre la Detección de intrusiones en redes wireless y espero que les introduzca en la problemática, que considero muy interesante.
Trabajo sobre IDSes Wireless
Overlay en OpenLDAP 2.2.13
El otro día Tomás me planteó estudiar la posibilidad de separar toda la rama LDAP donde almacenamos las CRLs de la FNMT en otro árbol separado con su máster y dos réplicas, y configurarles la alta disponibilidad a la lectura mediante nuestros balanceadores hardware de MZ. Para ello me sugirió usar el mecanismo de referral y overlay chain de OpenLDAP, basándose en una primera lectura del http://www.zytrax.com/books/ldap/ch7/referrals.html .
Con esto, pretendíamos sacar de los directorios de desarollo, pruebas y producción las CRLs (que ocupan bastante), ahorrando espacio y ganando flexibilidad y alta disponibilidad: Cuando tenemos algún problema de sincronización con la fábrica, nos resulta complicado parar el master de producción para resincronizar, porque no tenemos alta disponibilidad de escritura: si lo hacemos sin parada, debemos borrar todas las CRLs primero y hay un momento donde no existe ninguna CRL y cualquier certificado sería válido. Un follón. La posibilidad de tener las CRLs nos evitan esto, porque la escritura sólo se realiza dos veces al día, y podríamos parar en cualquier momento.
Investigué todo esto y me encontré que la documentación que me pasó Tomás era para versiones nuevas (2.3 y 2.4) de OpenLDAP. Desgraciadamente aún estamos en 2.2.13 que es la que viene con RHEL4 update2, pero afortunadamente podemos usar overlay chain con la documentación del producto. Encontré las siguientes cosillas sobre overlays y esta versión de openldap, como que podemos saber los overlays que disponemos mirando las páginas man de los módulos que tenemos instalados:
En concreto, toda la documentación del "overlay chain" está disponible en slapd-ldap (man slapd-ldap). Para configurarlo, lo primero que tendremos que hacer será preparar un nuevo árbol con toda la estructura y datos que queremos sacar para darle mayor disponibilidad. Este árbol lo colocaremos en 192.168.1.170 por ejemplo. Luego en el árbol que queremos que tenga la referencia al nuevo (que llamaremos árbol B), deberemos añadir una entrada como la que se muestra a continuación:
rpm -ql openldap-servers | grep man | grep slapd-
dn: o=FNMT,c=ES,dc=RegionMurcia,dc=es
objectClass: referral
objectClass: extensibleObject
o: FNMT
ref: ldap://192.168.1.170/o=FNMT,c=ES
Esta entrada crea un objeto referral o:FNMT en la rama c=ES,dc=RegionMurcia,dc=es, de manera que los objetos que deberían colgar de esta rama, en realidad no están ahí sino en la rama equivalente del árbol 192.168.1.170. Probé a usar otra rama en el árbol 192.168.1.170 (llamaremos árbol A), por ejemplo “o=FNMT,c=ES,dc=CARM,c=es”, pero luego me obligaba a usar el overlay de rewrite (mirar man slapd-meta) para ir reescribiendo todos los DNs en los varios contextos de operaciones LDAP, y finalmente no me atreví por temor a que mis reglas rewrite se olvidaran de contemplar algún caso que en el futuro me generara problemas: Si no queremos complicarnos, lo mejor es dejar la misma estructura que teníamos en B en el nuevo árbol A.
Luego en la configuración del árbol B (/etc/openldap/slapd.conf), justo antes de la sección donde declaramos las réplicas, añadiremos:
# Referral sobre LDAP ATenemos todas las opciones configurables en la página man slapd-ldap. Reiniciamos el servicio en árbol B. Debemos asegurarnos de haber añadido en /etc/openldap/ldap.conf (que guarda la configuración del cliente OpenLDAP del equipo):
overlay chain
uri ldap://192.168.1.170
binddn "cn=admin,dc=RegionMurcia,dc=es”
bindpw secret
DEREF alwaysDespués de esto, ya podremos lanzar la prueba:
ldapsearch –x –h IP_de_BObservaremos como se trae la información desde el directorio A. Luego lo probamos con las aplicaciones clientes en Java y PHP y no nos funcionó. ¿Por qué? … Asumimos que en ambos casos se debe a que por defecto, los clientes, no establecen el “DEREF always”, y hay que establecerlo de forma manual.
-D “cn=admin,dc=RegionMurcia,dc=es”
-w secret
-b “o=FNMT,c=ES,dc=RegionMurcia,dc=es”
Solicité el código Java que hacía el bind al OpenLDAP y descubrí que usaban el objeto LDAPConection . La conexión real se hacía en la llamada al método bind() con tres parametros: IP_Servidor, Login, Passwd. Si miramos la documentación, comprobaremos que existe otro método bind que en vez de 3 espera 4 parámetros. El cuarto argumento es un LDAPConstraints. La API indica que tiene un método llamado setReferralFollowing que por defecto es false, y que hace que los objetos referrall se sigan como si fueran enlaces simbólicos, como bien se explica en la documentación de la API.
Esta mañana (28/Feb/2008) hemos vuelto a intentarlo y lo hemos conseguido usando la conexión a través de JNDI y usando como url ldap://servidor:puerto/????deref=always en la inicialización del parámetro URL de la conexión. Me he inspirado en el código de http://iubio.bio.indiana.edu/biogrid/directories/ldapsearch.java .
Edición automática con vi desde la línea de comandos
A menudo necesitamos aplicar una modificación en cascada sobre un conjunto de archivos, con el fin de reemplazar las ocurrencias de una palabra o frase por otra. Esto se puede hacer con vi, usando la línea de comandos. Imagine que desea reemplazar las ocurrencias de la palabra prueba por test y bendito por maldito, en el fichero documento.txt.
Usando este método, podríamos ejecutar:
vi '+%s/prueba/test/g' '+%s/bendito/maldito/g' '+wq' documento.txt
Búsqueda de artículos de investigación técnicos y drafts
Me he pedido unos días de Vacaciones, dado que cambiaré de trabajo en Marzo y no me pagan esos días, y estoy aprovechando para terminar prácticas que tengo a medio en el Master TITA de la Universidad de Murcia, que estoy haciendo. Para varias de las prácticas nos piden investigar el estado del arte en referencia a algún tema de la asignatura.
Cuando uno empieza a buscar artículos de investigación sobre diversos temas, termina tropezando con http://ieeexplore.ieee.org, lo que se traduce en pagar por leer. Gracias a http://citeseer.ist.psu.edu/ podemos tener acceso a los borradores de muchos de esos documentos, y las versiones previas. El problema de este site, es que el buscador que tienen no es muy allá y nos interesará usar google para buscar en él. Así en Google podemos poner:
site:citeseer.ist.psu.edu Denial of service in sensor networks
... y nos aparecerán los documentos de citisser relacionados.
Mi primera contribución al software libre reconocida
Acaban de contestarme al correo que envié al proyecto hal@freedesktop con el parche para arreglar la suspensión del portatil Compaq nx6110.
Oficialmente, esta es la primera contribución en la que obtengo feedback directo, a pesar de que ya he hecho algunas otras.
- En el proyecto Samba, les di todas las pistas y el programita que 100% de los casos era capaz de reporducir el problema, para que implementaran ReadDirectoryChangesW. Esto lo hice a través del soporte TAM de RedHat. Se incluyó a partir de samba 3.0.25b-0.3.
- En el proyecto device-multipath y el kernel, contribuí a que funcionaran las cabinas de almacenamiento activo-pasivo haciendo de tester y reportando resultados, sugerencias y fallos (módulo dm_hp_sw). Esto también fue a través de la cuenta TAM.
- También intenté aportar mi contribución en el proyecto phpBugTracker de sourceforge, allá por el 2005, pero nunca obtuve respuesta de los bugs que arreglé y de las correcciones en la traducción.
- La versión de OCFS v1 para Oracle 9iRAC 9.0.4, no compilaba bien para kernels SMP. Me suscribí a la lista y les comenté el problema que había en el Makefile, y cómo lo había arreglado yo. Me respondieron que lo tendrían en cuenta y que gracias.
Cómo almacenar mis contraseñas en Linux
He creado un pequeño script que nos permite almacenar nuestras contraseñas en un fichero encriptado. La idea es usar el módulo "aes" del kernel 2.6 y con ayuda de dm-setup y cryptsetup, usar un fichero local montado en /dev/loop/0 formateado como ext3 encriptado. La utilidad permite inicializar un nuevo fichero, montar y desmontar el ficherito.
La ventaja de usar este mecanismo frente "-x " en vi, es que con vi tenemos el inconveniente de que si alguien se pone al lado de nosotros mientras consultamos el fichero vé todas las contraseñas que haya en pantalla. Con esta otra solución podemos almacenar cuentas en ficheros separados. Además también podríamos almacenar a su vez otros ficheros encriptados.
El script es el siguiente:
#!/bin/bash
# Inicia y detiene un montaje local de un sistema de archivos
# encriptado, que permite almacenar claves.
#
# -----------------------------------------------
# Variables globales
# Dispositivo "Lo" a usar
loDevice=/dev/loop/0
# Fichero claves en Mapper
mapperDevice=myPasswords
# Tamaño del fichero, por defecto
sizeDefault=5
# Fichero criptográfico por defecto
defaultFile=~/.claves.img
# Directorio donde montar por defecto
defaultDir=~/.claves_mnt_point
# -----------------------------------------------
# Mostrar la ayuda del comando
_help() {
local cmd=`basename $0`
cat <<EOF
Argumentos: $cmd [-f file] mount|umount|init
-h : Muestra esta ayuda
-f : Indica el fichero de claves a usar. Si se omite
usará ~/.claves.img
init : Inicializa un nuevo fichero criptográfico.
mount : Monta el fichero critográfico, en el directorio
~/.claves_mnt_point
umount : Desmonta el fichero critográfico.
Cuando alguna de estas opciones pida una contraseña, nos estará
pidiendo la contraseña del fichero criptográfico.
EOF
exit 1
}
# -----------------------------------------------
# init(): Inicializar el fichero, con 5MB
# Recibe como argumento el fichero criptográfico.
_init() {
dd if=/dev/zero of=$1 bs=1M count=$sizeDefault
losetup $loDevice $1
cryptsetup -y create $mapperDevice $loDevice
mkfs.ext3 /dev/mapper/$mapperDevice
}
# -----------------------------------------------
# mount(): Montar el fichero criptográfico, y abrirlo.
# Recibe como argumento el fichero criptográfico.
_mount() {
mkdir $defaultDir -p
losetup $loDevice $1 2>/dev/null
cryptsetup -y create $mapperDevice $loDevice
mount /dev/mapper/$mapperDevice $defaultDir
}
# -----------------------------------------------
# umount(): Desmontar el fichero criptográfico.
_umount() {
umount /dev/mapper/$mapperDevice
cryptsetup remove $mapperDevice
}
# ===============================================
# MAIN
# ===============================================
# Comprobar que se tiene instalado "cryptsetup"
_Crypt=$(type cryptsetup 2>/dev/null)
if [ "$_Crypt" = "" ]
then
echo "Error. Debe instalar el paquete 'cryptsetup'"
exit 3
fi
# Inicializar
Operation="help"
File=$defaultFile
# Recorrer argumentos...
while [ "$1" != "" ]
do
arg=$(echo $1 | tr [A-Z] [a-z])
if [ "$arg" = "-f" ]
then
File=$2
shift
elif [ "$arg" = "mount" ]
then
Operation="mount"
elif [ "$arg" = "umount" ]
then
Operation="umount"
elif [ "$arg" = "init" ]
then
Operation="init"
elif [ "$arg" = "-h" ]
then
Operation="help"
else
echo "Error: argumento [$arg] desconocido" >&2
echo "Use el modificador -h." >&2
exit 2
fi
shift
done
# Insertar el modulo de criptografía...
modprobe aes 2>/dev/null
# Procesar el argumento
case $Operation in
mount)
_mount $File
;;
umount)
_umount
;;
init)
_init $File
;;
help)
_help
;;
esac
Deberíamos almacenarlo en /etc/init.d/cryptoLoopFile.
device-mapper en RedHat 4 con multipath
| Describe cómo configurar y manipular device-mapper en RedHat4, como software MultiPath para el almacenamiento en S.A.N. Ignacio Barrancos Martínez 20/Marzo/2007 | ||||
1. IntroducciónDevice-Mapper es un nuevo componente del kernel de Linux en la rama 2.6, que permite manejar volúmenes lógicos. Esto es un requisito cuando se usa LVM2 y EVMS. Sobre él, se podrá configurar device-mapper-multipath que es un software libre que viene a sustituir PowerPath de EMC y a Secure-Path de HP. Las ventajas de usar este software las podríamos enumerar en:
1.1. RequisitosPara poder configurar device-mapper en RedHat4 se necesitará de la RH4 Update 2 o superior: las otras versiones anteriores a esta no funcionan correctamente. Para configurarlo deberá instalar los paquetes device-mapper y device-mapper-multipath que vienen con su distribución de RedHat. Otro tema importante sobre esto es que las cabinas de almacenamiento deberían funcionar en activo-activo. En cabinas Simmetrix, esto es así, pero en equipamientos de gama inferior como Clariion y EVA de HP no siempre es así y lo habitual es que las controladoras estén en activo-pasivo. Mientras en las primeras las dos contraladoras están trabajando, una controladora se encarga de un conjunto de discos y la otra del otro conjunto (si una cae, la que queda viva asume el control de lo que llevaba la otra), para el segundo caso (HP), una controladora está parada esperando a que caiga completamente la primera. Para el segundo caso no he encontrado ejemplos de configuración, si no es con un Firmware 4 o superior, aunque parece que sí hay ejemplos documentados de configuración para Clariion. 1.2. Para saber másPodrá encontrar más documentación sobre device-mapper consultando los siguientes documentos:
2. Instalación y configuraciónLo primero que debe hacerse es instalar el paquete con el demonio multipath. Para ello, siga la siguiente secuencia de pasos:
Con esto ya deberíamos poder realizar pruebas de deshabilitar y habilitar puertos, para comprobar que el doble camino nos funciona correctamente. Obviamente estas pruebas siempre se han realizado sobre cabinas Symmetrix, nunca sobre Clariion ni EVA. Tras esto podremos ejecutar los siguientes comandos:
2.1. Configuración de blacklists. GateKeepers de EMCPara evitar avisos no deseados en /var/log/messages, conviene excluir de forma explícita los dispositivos de GateKeeper que usa EMC para intercambiar información entre el hosts y la cabina. Es útil cuando se usan comandos SIM_CLI para controlar operaciones de la cabina, pero en servidores de propósito general deben exluirse, porque sólo se ven por un camino y puede resultar molesto que continuamente device-mapper nos esté informando de que tenemos caído un camino. En general, esto también nos servirá para configurar la sección blacklists, con el fin de excluir dispositivos del multipathing.
2.2. Uso de alias para los pseudo-dispositivos mpathXXXPodra darse el caso de que un mismo pseudo-device (un mismo wwid) en diferentes nodos se viera en diferente mpath: Esto puede ser crítico en la configuración de clusters, dado que estarían accediendo a diferentes volúmenes de almacenamiento según el nodo en el que estuviéramos ejecutando la aplicación. Esto no significa que el mismo volumen en diferentes nodos tenga diferente wwid: el wwid lo define la cabina, no el software, por lo que siempre debe conservarse. Con el fin de forzar la asociación
2.3. Configuración de ASM para Oracle 10G con pseudo-dispositivosSi utilizamos este tipo de dispositivos con los volumenes ASM en Oracle 10G, hay que configurar ASMLIB para que reconozca estos dispositivos antes que los /dev/sdxxx. Con esto nos aseguramos que los volumenes ASM utilicen los dispositivos multipath. Esto se hace de manera sencilla en el fichero /etc/sysconfig/oracleasm modificando las entradas ORACLEASM_SCANORDER y ORACLEASM_SCANEXCLUDE para que detecte antes los dispositivos /dev/dm-XXXX y que excluya los /dev/sdXXX. A continuación se muestra como debe configurarse: # # This is a configuration file for automatic loading of the Oracle
2.4. Tests de comprobaciónA finales de Junio de 2007 y para la migración a MySAP ERP 2005, sobre Oracle RAC 10.2.0.2 con OCFS2 y almacenamiento remoto en el Simmetrix DMX800, se realizaron tests de comprobación del failover y de recuperación de caminos. Estas pruebas fueron las siguientes:
Estas pruebas se pueden realizar mientras que se hace un import de una BBDD, o similar, de forma que haya algún proceso que saque máximo rendimiento de I/O a los diferentes discos, y no sea todo el acceso de forma secuencial, que siempre es más lineal y previsible: Un acceso a Base de datos, es aleatorio y más imprevisible. También sería recomendable hacer los siguientes tests:
Las pruebas que se realizaron para la migración de SAP, generaron los siguientes tickets en nuestro soporte TAM:
2.4.1. Qué información enviar a RedHat en caso de encontrarse fallosSe deben enviar los siguientes archivos:
Todo esto en Inglés (no muy bueno), sería algo así: I have attached three new files: | ||||
| |
Problemillas del día a día
| Descripción de la solución a varios problemas típicos que nos ocurren a diario al trabajar linux. Ignacio Barrancos Martínez 23/Marzo/2007 |
1. IntroducciónA diario, los técnicos de sistemas que tenemos que trabajar con Linux nos encontramos problemillas que como podemos vamos solucionando, y nunca se documentan porque son parte del día a día y lo asumimos como tal. En este documento he ido colocando esas cosillas que nos suceden a diario y que nunca terminan por documentarse, y que por tanto, siempre debemos andar reinventando y redescrubiendo, y al final nos obligan a perder el mismo tiempo muchas veces. 2. Trabajando con LVM2LVM viene de Logical Volume Manager, y nos permite gestionar almacenamiento a lo bruto, de forma dinámica de la misma manera que se hacía en HP-UX y lo hacen los discos dinámicos de Windows. No voy a disertar sobre esto, en http://tldp.org/HOWTO/LVM-HOWTO/ está mucho mejor explicado todo. La chicha del asunto está en el capítulo 11: Common Tasks. 2.1. Ampliar volúmenes físicos: Dar más disco a VG_SistemaEn máquinas virtuales suele pasar que necesitamos agregar un nuevo volumen VMware de almacenamiento, porque las plantillas quedan escuetas en cuanto al almacenamiento. También en los Blades a veces se necesita disponer del espacio sin particionar en los discos locales, para adjuntarlo al volumen físico y hacer crecer alguno de los volúmenes lógicos.
Podría ser de utilidad mirar http://kbase.redhat.com/faq/FAQ_79_3744.shtm. 2.1.1. Kernel panics al reiniciar el equipo con RH4, y haber ejecutado fdiskEn algunos casos, al ejecutar  Figura 1: Pantallazo con el panic en el arranque Tras salir de Si se genera el error tendrá que reiniciar el equipo con la iso del primer CD de RedHat, y cuando le pregunte si quiere instalar, escriba linux rescue y luego pulse enter. Siga las instrucciones y deshaga la partición que creó. Luego reinicie. Encontrará ISOS de RedHat 3 y RedHat 4 en la unidad D: de Trapo dentro del directorio D:Rescate-redhat. Es importante que si el equipo es RedHat4 arranque con el CD de RedHat4, y si es RH3 con el de RH3, por la versión de LVM que usa cada uno. 2.2. Ampliar volúmenes lógicos: dar más disco a un LV_XXXX y redimensionado del filesystemCuando trabajamos con volúmenes lógicos es habitual que se nos llene alguna de las particiones que tenemos montada sobre un volúmen lógico. Una vez se tiene de un volúmen físico con espacio suficiente, que podremos comprobar ejecutando Para ampliar el volumen lógico, ejecute...
|
Drivers de QLogic y matrices de certificación
| Describe los procedimientos que tenemos que hacer para saber los drivers de QLogic que debemos usar y versiones con Linux
Ignacio Barrancos Martínez 17/Enero/2008 |
1. IntroducciónYa he comentado alguna vez en mi entorno cercano, con más WhiteLabel que hielo en mi cuerpo, que las matrices de certificación de los fabricantes de hardware, acabarán por destruir a Linux a poco que se le propongan, porque sus técnicos de soporte o no están bien formados, o no tienen accesible toda la documentación: Al final, la configuración de estas cosas depende de los administradores de sistemas a los que nos colocan estos cacharros, teniendo que soportar que los comerciales que se han llenado la saca nos insulten. Bueno, estoy harto de esto, e intentaré dejar aquí, el proceso que finalmente realizan los arquitectos de almacenamiento, para decirme qué version de driver debo usar en mi RedHat Linux, qué versión de firmware de la controladora y con qué opciones ... pero eso sí ... cobrándonos a 300€/hora. El criterio general sería el siguiente:
El problema de estos casos es cuando las matrices no están muy actualizadas, como el caso de EMC que sólo tiene actualizadas hasta el año 1981 (el partNumber 361426-B21 de las tarjetas que vienen con HP BL20pG3, a día de hoy, 16 de Enero de 2008, todavía no está disponible), o cuando hemos comprobado que la combinación que estamos probando no termina de funcionar bien. En este caso, puede ser una buena cosa ir a la página Web de soporte de QLogic y examinar sus matrices de compatibilidad y configuraciones recomendadas. En cualquier caso, siempre deberíamos saber el PartNumber de la QLOGIC, porque es un follón total: HP los llama Mezzanine, EMC los llama QLAXXXX, la propia Qlogic utiliza otra nomenclatura, etc... Es un lío, y la única forma de asegurarse de que estamos hablando de la misma tarjeta es a través de este PartNumber. Para conocerlo, 2. Matriz de certificación de HPPara comprobar la versión de driver sugerida por HP, hay que hacer lo siguiente:
Una vez hemos descargado los drivers de HP, convendría hacer copia de seguridad de todos los ficheros de configuracion y binarios. Para ello, cd Una vez hayamos realizado este backup, partimos de que tendremos el driver descargado de la página de HP, en el directorio /opt/software/Drivers_QLogic/ en formato tgz. Lo descomprimiremos, leeremos el README que venga en el fichero y procederemos como se indique. Probablemente sea ejecutando: ./INSTALL Cuando queramos desinstalar el driver, tendremos que ejecutar, probablemente ./INSTALL -u Mirarse el script o el README para ver lo que hay en él. 2.1. Actualización de la BIOS de QLogicPara actualizar la BIOS de la QLogic a la versión recomendada por HP, si quisiéramos montar Fail-Over, deberíamos descargar la versión que recomienda el propio HP. Esto se hace repitiendo los mismos pasos que habíamos hecho para descargar el driver, pero en vez de ir a la sección de nuestro sistema operativo, haremos click en Para instalarlos necesitaremos ayudarnos de una máquina VMWare, en principio Workstation, con WindowsXP. Crear una nueva imagen de fichero para la unidad de disco 3"1/2. Conectarla la unidad. Desde el Windows XP acceder a la unidad de disquetes y formatearla indicándole que añada los ficheros de arranque del sistema, para que podamos arrancar el equipo con ese disquete. Cuando esté formateado el disco, descomprimir el contenido del ZIP que nos bajamos de HP en la disquetera hpqutil /i /f Al ejecutar estos comandos de esta forma, se tendrá que los valores de la BIOS quedan un poco macarras. Deberíamos afinarlos inspirándonos en las recomendaciones de alguien, aunque probablemente lo mejor será inspirarnos en las recomendaciones que hace QLogic para configuraciones sin multipath, sólo con Fail-Over. 3. Matriz de certificación de EMCPara comprobar la versión de driver sugerida por EMC, hay que hacer lo siguiente:
 Figura 8: Descargar el documento También podrá descargar un documento con todas las matrices y combinaciones (más de 3500 páginas) de estas haciendo click en la pestaña  Figura 9: Ver todos los PDFs 4. Matriz de certificación de QLogicPara saber la matriz de certificación de Qlogic siga la siguiente secuencia de pasos:
|
Suscribirse a:
Entradas (Atom)
