Daboblog podcast número 30

Escrito por Antonio J. Perez el ago 16, 2011 en Apple, GNU/Linux, Internet | 1 comentario

Una nueva entrega  de Daboblog Podcast, el más dicharachero (con perdón para el resto) de los podcast que aúna GNU/Linux y Mac con las secciones de Kernel Panic y Manzanas Traigo. Juntos pero no revueltos repartiendo cera entre nosotros, pero muy amigos entre todos.

En el número de hoy de Manzanas Traigo (que es la parte que me atañe), junto con mis compañeros de APACHEctl,  Oscar y Dabo hacemos un repaso al Lion, sus virtudes y algunos pequeños problemas que hemos detectado…. Si quieres escuchar una gran opinión de pofesionales , este es tu podcast.

Para más info, visita la página de Dabo, en la entrada del Podcast número 30 o puedes ir a Ivoox para descargarlo

Daboblog podcast nº 26. “Kernel Panic y Manzanas traigo”

Escrito por Antonio J. Perez el mar 14, 2011 en Apple, GNU/Linux, Informatica, Mac | 1 comentario

El pasado viernes, mi gran amigo Dabo, se dignó a publicar el nuevo podcast de Daboblog

Una primera parte, la de Kernel Panic, centrada en una pequeña competición de comandos entre Dabo y Diego (n1mh) y al final Raul Naveiras se une a la fiesta.

En la segunda parte, la más interesante sin duda , los chicos de Manzanas Traigo hacemos un podcast desenfadado, sin ataduras y hablando sin tapujos.  Incluso lo que iba a ser un especial aparte de iPad2, al final se ha incluido en dentro del mismo podcast.  Nos juntamos todos, Lur, Oscar Reixa, Dabo y yo

Para la descarga aquí: http://www.daboblog.com/2011/03/11/daboblog-podcast-numero-26-kernel-panic-y-manzanas-traigo/ o en ivoox http://www.ivoox.com/daboblog-podcast-n-26-kernel-panic-manzanas-traigo-audios-mp3_rf_567831_1.html

Que hacer si te meten en una blacklist de spam

Escrito por Antonio J. Perez el mar 7, 2011 en GNU/Linux, Informatica, Internet | Comentarios desactivados

Bueno, os paso a contar lo que le sucedió a un colega recientemente.    Tiene un servidor dedicado, con una gran cantidad de clientes alojados.

Hace unos días, empieza a recibir avisos de clientes que no podían comunicarse por e-mail con un par de entidades financieras.  Investigando, lo primero que se percibe es que el servidor de la entidad está devolviendo los correos porque, según dice, la IP del servidor de origen se encuentra en una lista de spam.

Primero, comprobación de que el servidor no hace relay indiscriminado de correo, una vez comprobado este punto satisfactoriamente, se comprueba que la IP no se encuentra en las listas, chequeando Spamhaus y un par de páginas que hacen la comprobación en varios sitios (http://www.mxtoolbox.com/blacklists.aspx y http://www.dnsbl.info/) .  Todos negativos. Entonces toca ponerse en contacto con la entidad financiera para conocer que blacklist utilizan para poder ponerse en contacto y tramitar la salida.

Una vez puestos en contacto con la entidad, se recibe un correo de una división de Telefónica (ahora Movistar) indicando que son ellos los encargados de llevar el control del correo de la entidad.  Para echarse a temblar, Telefónica de por medio, eso da mucho miedo.

Se les explica la situación, se pide que indiquen que tipo de blacklist utilizan, pero devuelven el correo queriendo saber el dominio que no puede enviar correos para meterlo en la whitelist.  El dominio es remitido y puesto en la whitelist, por lo que ya puede enviar correos a la entidad, pero el problema surge porque esa entidad es de una demarcación territorial en concreto y el servidor de mi colega contiene el 95% de los dominios/negocios de esa demarcación territorial, por lo que el 99% de esos dominios envían correos a la entidad.  Se vuelve a consultar con los magníficos currantes de Telefonica y al final, por fin, aceptan meter la IP del servidor en la whitelist (que es remitida rápidamente).  Pasan 2 días y ahora no puede enviar correos nadie del servidor a dicha entidad.  Se vuelve a realizar la consulta con los chicos de Telefónica y contestan que no saben que está ocurriendo, al final se opta por pasar la totalidad de dominios que aloja el servidor (más de 100) para que los metan en la whitelist, pero ni por esas.  Al final dudamos que estos 2 últimos pasos hayan sido ejecutados y parece que los chicos de Telefónica pasaron olímpicamente del asunto.

Haciendo una búsqueda más exhaustiva, por fin se da con la página de mail-abuse.com, al hacer la consulta sobre la IP, se comprueba que si que está listada, por lo que automáticamente se inicia el tramite para que la saquen de la lista.  La gente de mail-abuse.com responde indicando que quien debe solicitar la salida de la lista es el ISP, así que rápidamente se pone en conocimiento de la empresa de hosting lo sucedido (una empresa francesa cuyo nombre no diré para dar publicidad gratuita), la empresa comprueba que la IP en cuestión ya no hace relay y procede al envío de un correo indicando que saquen de la lista a la dirección en disputa, añadiendo unas falsas/medio verdades para acelerar el tramite.  Apenas 2 horas después, se recibe confirmación de que la IP ha sido sacada de la lista y se comprueba tanto en el sistema de chequeo de la página, como en los logs del servidor de que ya se pueden enviar correos a esa entidad (y a cualquier IP gestionada por Telefónica)

Desde aquí agradecer a la gente de Telefónica su infinita ayuda (hablando irónicamente, claro)

Como moraleja: hay muchas entidades que se empeñan en recurrir a un supuesto grande para que les lleve los sistemas, cuando todo el mundo sabe, que dejar esos sistemas en sus manos es poco más que un suicidio, algunos casos ejemplares: maquetas desconectadas un viernes por la tarde porque “nadie las va a utilizar“, y el Director General de una gran compañía se queda con un palmo de narices en una gran presentación de un producto novedoso (de la que ya habían sido avisados previamente).

Más valdría a esta entidad tener gente contratada directamente que se lo gestionarían muchísimo mejor, o tener verdaderos profesionales encargándose de temas tan delicados, que tener contratada a una gran cárnica con renombre.

Como moraleja2:  Si te incluyen en una blacklist y el servidor está gestionado por Telefónica, la lista a chequear es mail-abuse.com

Spamdyke un filtro antispam efectivo para qmail

Escrito por Antonio J. Perez el oct 5, 2010 en GNU/Linux, Informatica | Comentarios desactivados

Hace ya un tiempo que estaba mosca por el alto nivel de spam que tenían que soportar mis clientes.  Intenté probar con spamassassin, pero era pesado y solamente marcaba los mensajes, no los eliminaba.

Un buen día, me encontré con Spamdyke, una curiosa aplicación que funcionaba en el servidor de correo que tengo funcionando (qmail) .  No hace falta recompilar qmail, se instala y se hace que se ejecute antes que qmail.

El funcionamiento es básico.   Simplemente cuando recibe un correo, comprueba si el Sender esta en la lista de admitidos, si lo está, acepta el correo sin más, si no lo está, da un error y apunta la dirección de correo del Sender.  Al dar el error, un  spammer no reintenta el envío, simplemente no se ha enviado, pero un servidor de correo legitimo volverá a intentar el envío pasado unos minutos, es entonces cuando spamdyke vuelve a comprobar la lista y como ya está apuntado acepta el correo.

Aparte de este sistema, básico y muy eficaz, también consulta unas listas de IP’s baneadas por ser  fuente de spam, así si el spammer en cuestión ha mejorado el método, también se le puede cortar por otro.

En mi caso, y al tener Plesk en el servidor, la configuración es un poco diferente, os dejo como configurar el programa para que funcione correctamente.

mkdir -p /var/qmail/greylist

touch /var/qmail/spamdyke/blacklist_ip \
/var/qmail/spamdyke/blacklist_recipients \
/var/qmail/spamdyke/whitelist_ip \
/var/qmail/spamdyke/blacklist_keywords \
/var/qmail/spamdyke/blacklist_senders \
/var/qmail/spamdyke/whitelist_senders \
/var/qmail/spamdyke/whitelist_rdns

chown -R qmaild:nofiles /var/qmail/spamdyke

Con esto creamos la serie de ficheros que hace funcionar a spamdyke.  Ahora vamos a crear los directorios de cada uno de los dominios que tenemos en el directorio /var/qmail/mailnames

cd /var/qmail/greylist/
mkdir <nombredominio> (ejem. mkdir antoniojperez.info)
chown -R qmaild:nofiles /var/qmail/greylist

Después se va afinando el fichero de configuración para una configuración optima. (con la por defecto funciona bastante bien, pero si quieres ver más, al final del artículo hay un link que lo explica bien)

Ahora queda añadirlo al qmail para que funcione por delante de este, esto se hace de la siguiente manera:

cp /etc/xinetd.d/smtp_psa /etc/xinetd.d/smtp_psa.orig

vi /etc/xinetd.d/smtp_psa

Editamos el archivo para añadir lo siguiente en la línea de ejecución

/usr/local/bin/spamdyke -f /etc/spamdyke.conf /var/qmail/bin/qmail-smtpd 2>&1

Ahora hacemos un reinicio del servicio

/etc/init.d/xinetd restart

y a funcionar. Podemos probar a enviar un correo a una dirección del servidor y comprobar que en el directorio /var/qmail/greylist/// se genera un archivo de la dirección de correo desde la que has enviado el correo de prueba, y a los minutos (cuando el servidor de origen vuelve a enviar) se recibe el correo correctamente.

En caso de error, se puede comprobar los logs en el siguiente archivo:

tail -f -n 100 /usr/local/psa/var/log/maillog

P.D. Esto lo he hecho funcionar con la versión 3 de spamdyke. Para la versión 4 hubo bastantes cambios y todavía no la he probado (y ya hace tiempo)

——-

Para más información de configuraciones: Spamdyke install for Plesk Servers (Blue Oryx Internet Solutions)
Página de spamdyke: http://www.spamdyke.org

Fuente

Tips de WordPress: Uso de wp-activity y borrado de usuarios

Escrito por Antonio J. Perez el sep 2, 2010 en GNU/Linux, Informatica, Internet | Comentarios desactivados

En uno de los blogs que administro, tengo instalado el plugin wp-activity, dada la temática que se trata en él, el blog  está cerrado a las miradas indiscretas, por lo que todo el que se conecta lo hace con un usuario y contraseña.  Así y para evitar usos indebidos, instalé el plugin wp-activity, que sirve para dejar constancia de quien se conecta.

En un principio, el plugin funcionaba correctamente, eso sí, tuve que apañarlo un poco (y tengo que retocarlo cada vez que se actualiza) para evitar que borre el log a las 500 entradas (es el único punto flaco que veo al plugin, cuando llega a 500 líneas, borra todo el log).

Durante el fin de semana estaba de mantenimiento en dicho blog y me decidí a borrar la cuenta de admin (algo recomendado y que ya había hecho en la gran mayoría de blogs), lo hice y el blog siguió funcionando correctamente, hasta que ayer los usuarios intentaron poner comentarios en las entradas.  Al hacerlo, daba un error y no introducía el comentario (y enviaba un correo como si hubiese un comentario a moderar con todos los campos vacíos).

Claro, en este momento hice lo que siempre se hace en una situación de estas, desactivar plugins e ir probando…  hasta que llegué al plugin wp-activity, al activarlo, volvió a dar el error..  claro, da que pensar, porque si no has actualizado el plugin desde hace tiempo, lo único que te viene a la cabeza es que la última actualización de wordpress (a la 3.0.1) se llevara mal con el plugin.  Hasta que me dio por mirar la tabla que genera el plugin (wp_activity) y vi las referencias al usuario admin y claro, te viene a la cabeza, no creo que sea pero por si acaso borro esas referencias,  et voilà ¡¡funcionó!!.  Curioso que sólo de el fallo a la hora de introducir comentarios y no al visualizar la página principal (hay un widget con los últimos comentarios de los usuarios)

Así que si tenéis este plugin y borráis algún usuario, acordaos de borrar la actividad (a mano) de este usuario

Ubuntu 10.4 Lucid Lynx con soporte para iPhone nativo

Escrito por Antonio J. Perez el mar 3, 2010 en GNU/Linux, Informatica | 2 comentarios

Que alegría me he llevado al conocer que la próxima versión de Ubuntu, conocida como Lucid Lynx traerá soporte nativo para iPhone e iPod Touch.

¡Que bien!, tendré la posibilidad de añadir/quitar música desde el ordenador del trabajo sin tener que pasar por quebraderos de cabeza ya que Rhythmbox detecta el iPhone y permite la transferencia de musica desde el equipo.

Más información: http://www.webupd8.org/2010/02/confirmed-ubuntu-1004-supports-iphone.html

Breve introducción a RkHunter

Escrito por Antonio J. Perez el dic 3, 2009 en GNU/Linux, Informatica, Internet | Comentarios desactivados

RkHunter o también conocido como Rootkit Hunter es una utilidad para detectar rootkits en nuestros sistemas GNU/Linux.

Es un programa pensado para la linea de comandos y básicamente funciona comparando los hashes de los ficheros más comunes del sistema, buscando en directorios donde se instalan habitualmente los rootkit, archivos ocultos y cadenas sospechosas en el kernel.

Para instalarlo, si estamos en entornos Debian, basta con hacer un

apt-get install rkhunter

mientras que si estamos en CentOS (en Fedora creo que será igual), tenemos que hacer:

yum install rkhunter.noarch

Para ejecutarlo,  primero actualizaremos el programa para nuestra seguridad:

rkhunter –update

después ejecutaremos la aplicación (como root):

rkhunter –checkall

prestando especial atención en los resultados que nos va mostrando la aplicación.

Yo lo vengo utilizando desde hace bastante tiempo en mi servidor, para controlar que no ocurre nada extraño en él.

Más información en la página del proyecto: Rootkit.nl

Mini tutorial sobre SELinux en CentOS para servidores.

Escrito por Antonio J. Perez el dic 2, 2009 en GNU/Linux, Informatica | Comentarios desactivados

SELinux que bonito, menudos ratos me he pasado con el…. ahora somos medio amigos, pero poco.

Selinux viene de Security-Enhanced Linux (Seguridad Mejorada de Linux) y sobre todo viene activado en CentOS.  Cuando comencé a utilizar el servidor dedicado que tengo ahora, nadie me dijo que venía ni que era.

Voy a hacer un poco de memoria, para que el lector comprenda como estaba yo cuando me topé con SELinux (ohhhh si… un rollete que te mueres, pero necesario).

Hasta hace unos años, yo venía utilizando RedHat como distribución de GNU/Linux de escritorio, hasta que el proyecto fue desmantelado (cójase con pinzas semejante información) y el testigo lo pasaron a Fedora.  Ya hacía tiempo que en casa había pasado de Red Hat a Debian, pero en el trabajo la seguíamos utilizando, hasta que dimos el salto a Ubuntu.  Posteriormente, instalamos unos cuantos Red Hat AS y otro compañero instaló CentOS en 3 servidores que no llegué a tocar.  Así que de CentOS sólo sabía que es muy parecido a Red Hat ES    Y en ninguno de los anteriores venía por defecto activado SELinux, así que ni flowers…

Por aquel entonces, yo tenía un VPS que tenía instalado Fedora, cuando decidí dar el salto al dedicado, me instalaron un CentOS (la instalación no me terminó de convencer, que se le va a hacer) y aquí empezó mi relación con SELinux.

Menos mal que el servidor venía configurado, porque recientemente he tenido que hacer frente a uno instalado desde cero y es odioso el tema de SELinux a nivel de escuchar puertos.

Básicamente (y hablando en tema de servidores), el sistema lo que hace es comprobar en todo momento si el fichero al que se intenta acceder es accesible por la aplicación que lo llama.  Aparte de controlar ficheros, también controla puertos.  Es decir, si intentamos arrancar un servidor, por ejemplo de FTP, debemos antes darle los permisos correspondientes para que el servidor pueda escuchar en el puerto asignado)

Vamos a poner un ejemplo práctico, subimos un fichero por sftp y lo dejamos en nuestro home del servidor.  Posteriormente, mediante ssh movemos el archivo al directorio donde se encuentran los ficheros del dominio y tras darle los correspondientes permisos, intentamos acceder vía web, para ver si lo hemos hecho bien…. y problema, el servidor da un error de permisos sobre el fichero.  Te vuelves loco mirando permisos y no encuentras nada…. es hora de mirar la configuración de SELinux…

Hacemos un ls -Z para ver que permisos de seguridad tiene el fichero, debe salir algo así:

-rw-r–r–  perico perico user_u:object_r:user_home_t     perico.jpg

mientras que si hacemos un ls -Z al resto de ficheros, nos encontramos con algo así:

-rw-r–r–  perico perico user_u:object_r:httpd_sys_content_t index.html

Y si hacemos un ps -axZ |grep httpd veremos con que permisos de seguridad se ejecuta Apache

user_u:system_r:httpd_t         10827 ?        S      1:53 /usr/sbin/httpd

Apache puede leer los archivos que contienen httpd_sys_content_t pero no los que tienen user_home_t, así que procedemos a cambiar la asignación al fichero perico.jpg

chcon -t httpd_sys_content_t perico.jpg

Con esto tendríamos terminado un acercamiento básico al tema de SELinux para dummies.   Para un servidor instalado de los típicos que te alquilan los diferentes hostings, habría de sobra, pero si queremos ir avanzando en el tema de SELinux es recomendable leer el wiki de CentOS, que está aquí:

http://wiki.centos.org/HowTos/SELinux

Si por alguna razón, queremos desactivar SELinux, sólo tendremos que ejecutar el comando

system-config-securitylevel-tui

Para activar una aplicación en concreto lo veremos más adelante.

Cambiar la codificación en Ubuntu

Escrito por Antonio J. Perez el dic 1, 2009 en GNU/Linux, Informatica | Comentarios desactivados

Desde hace un tiempo, la codificación por defecto en las distribuciones GNU/Linux para el castellano es UTF-8 dejando de lado la ISO-8859-15 que se venía utilizando. Será muy bonito y todo lo que quieras, pero dependiendo del entorno en el que trabajes, es una autentica faena.

Por ejemplo, en mi trabajo es necesario que por imperativo legal,  que las aplicaciones sean codificadas en ISO-8859-15, así que os pongo una breve mini-guia de como cambiar la codificación en las distros de Ubuntu (o su variante Kubuntu) que son las que los buenos programadores de la empresa utilizamos (los malos siguen utilizando Windows y la lían constantemente, no hablaré de los beneficios de utilizar GNU/Linux para el desarrollo, porque igual escribo una entrada para ello).

Básicamente, tenemos que tocar el fichero /var/lib/locales/supported.d/local y añadir la linea

es_ES@euro ISO-8859-15

Creo y digo creo, que en las ultimas distribuciones ya viene añadida (una consideración por su parte).  Si no lo está, pues se añade, y una vez editado dicho fichero, ejecutamos lo siguiente:

sudo dpkg-reconfigure locales

posteriormente, editamos el fichero /etc/profile y añadimos la siguiente información

LC_ALL=es_ES@euro
LANG=es_ES.ISO-8859-15
LANGUAGE=es_ES@euro
LC_TYPE=es_ES@euro

Para activar los cambios simplemente salimos de la sesión actual y volvemos a entrar (¿sólo? ¿no hace falta reiniciar? Pues si, estimado lector, solo salir de sesión.  En Windows, para hacer esto deberíamos haber reiniciado un par de veces. ).

I Jornadas sobre tecnologías libres de Zaragoza

Escrito por Antonio J. Perez el oct 15, 2009 en GNU/Linux, Informatica | Comentarios desactivados

La Milla Digital promueve las I jornadas sobre tecnologías libres en Zaragoza, evento que se desarrollará del 20 al 24 de octubre del presente año.

Con entrada libre (hasta completar aforo), se desarrollaran en el Teatro Romano de Zaragoza (C/ San Jorge, 12) y entre otros conferenciantes, tendremos a David Gascón, Ricardo Galli, Mario Izquierdo y Ramón Martinez (rampa)

¿Te las vas a perder?

Más información en:  I Jornadas sobre tecnologías libres de Zaragoza