Mis recetas favoritas con Linux y Python

Limitando las conexiones entrantes con IPtables

2011-07-13T10:39:00.002+02:00

Perfecto para servidores de correo, securizar SSH, etc

Ejemplo para SSH
iptables -I INPUT -p tcp --dport 22 -m state --state NEW -m recent --set
iptables -I INPUT -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 120 --hitcount 5 -j DROP

Para SMTP
iptables -I INPUT -p tcp --dport 25 -i eth0 -m state --state NEW -m recent --set
iptables -I INPUT -p tcp --dport 25 -i eth0 -m state --state NEW -m recent --update --seconds 60 --hitcount 5 -j DROP

Borrando links en linux creados con ln

2010-07-07T12:31:00.002+02:00

Para borrar un link en linux creado con ln -s no siempre sirve un rm, ya que puede seguir la ruta del fichero destino.

La forma segura de eliminar los enlaces simbólicos es con el comando unlink

unlink nombre_enlace

Linux: Caché LDAP, autentificación desconectada

2009-08-08T22:17:00.003+02:00

Cuando hemos configurado la autentificación del sistema contra un servidor LDAP, a priori, si no estamos conectados a la red, no podremos iniciar sesión con el usuario LDAP que corresponda.
Para solucionar esto podemos crear un script que se ejecute el inicio del sistema que volcará el contenido que nos interese del servidor LDAP a modo de caché, permitiéndonos autentificar el equipo cuando no estemos conectados a la red o el servidor LDAP sea inaccesible.

El contenido el script es el siguiente:

#!/bin/bash

nss_updatedb ldap passwd
nss_updatedb ldap group

Si el comando nss_updatedb no existe en el sistema debemos instalar el paquete correspondiente (nss_updatedb ó nss-tools generalmente).

Synaptics en Fedora (no funciona el click tab ni el scroll)

2009-08-06T10:08:00.004+02:00

El demonio HAL que viene con Fedora 11 (con la versión 10 creo que también pasa) no detecta el touchpad de muchos portátiles como tal, sino que lo trata como un periférico convencional. La documentación de Fedora ofrece solución a este problema, pero para los más vagos he aquí la receta:

Instalamos el paquete synaptics (si es que no lo está ya)

yum install xorg-x11-drv-synaptics

Copiamos la configuración del touchpad al directorio etc de HAL

cp /usr/share/hal/fdi/policy/20thirdparty/10-synaptics.fdi /etc/hal/fdi/policy/

Editamos el fichero /etc/hal/fdi/policy/10-synaptics.fdi y elinimamos los comentarios siguientes:

dejando el fichero de la siguiente forma:

Reiniciamos el sistema y comprobamos que scroll del touchpad funciona así como el pad click.

vsftpd en cinco minutos

2009-06-11T17:18:00.002+02:00

Configurar un servidor FTP en Linux es mucho más rápido que en Bindous, a base de darle clicks a los botones de "Siguiente", desde que existe vsftpd.
La instalación de vsftpd es bien sencilla, apt-get install vsftpd (Debian, Ubuntu...) ó yum install vsftpd (Red Hat, Fedora..), según convenga.

Una vez instalado tendremos que toquetear el ficheiro configuración que se ecuentra en /etc/vsftpd.conf ó /etc/vsftpd/vsftpd.conf según cual sea la distribución. Para configurar que sólo se autentifiquen usuarios locales, en modo activo y los enjaule en sus home, dejaremos el fichero de la siguiente forma:

anonymous_enable=NO
local_enable=YES
write_enable=YES
local_umask=022
dirmessage_enable=YES
xferlog_enable=YES
connect_from_port_20=YES
xferlog_std_format=YES
ftpd_banner=Bienvenido a mi servidor FTP!
chroot_local_user=YES
listen=YES
pam_service_name=vsftpd
userlist_enable=YES
tcp_wrappers=YES

Si lo queremos en modo pasivo, eliminaremos la entrada connect_from_port_20 y pondremos lo siguiente:

pasv_min_port=50000 # Puerto que inicia el rango
pasv_max_port=55000 # Puerto que cierra el rango

Gestor de descarga Rapishare para Linux (Usuarios Premium)

2009-06-10T20:17:00.003+02:00

Siempre se puede instalar el JDownloader y herramientas similares que tiran de Java chupan CPU y no le llegan ni a la suela de los zapatos a wget. Lo que mucha gente desconoce es lo parametrizable que resulta wget, como por ejemplo, para insertar usuario y password de cuentas premium de RapidShare.
Me hecho este pequeño script que me sirve como gestor de ventanas gráfico usando zenity, que descarga todos los enlaces contenidos en un fichero de texto, enlaces de RapidShare por supuesto:

#!/bin/bash
RAPIDUSR=`zenity --entry --title "RapidShare" --text "Inserte el usuario" 2& `
RAPIDPWD=`zenity --entry --title "RapidShare" --text "Inserte el password" --hide-text 2&`
LISTA=`zenity --file-selection --title "RapidShare" 2&`

wget --http-user=${RAPIDUSR} --http-password=${RAPIDPWD} -c -i ${LISTA}

Funciona a las mil maravillas y con resumen de descarga, impresionante wget.

NOTA: Hay que ejecutarlo en un terminal.

DNIe en Fedora 10 con ACR38

2009-04-17T20:41:00.003+02:00

En el PC City vendían el mini-lector PCSC USB ACR38 de bit4id a 20 eurillos así que tocó pelearse un poco con él. Ya había instalado este dispositivo (en otros formatos) en Suse 10 pero siempre 32bit, he aquí los pasos para hacerlo correr en Fedora x64.

Lo primero instalar los paquetes necesarios

yum install openct opensc pinentry pcsc-tools

Ahora descargamos de la web del fabricante el controlador para el lector, lo descomprimos, compilamos e instalamos

cd /usr/src/
wget http://www.bit4id.com/espanol/descargas_file/drivers/miniLectorUSB/ACR38_LINUX_100706_P.tar.gz
tar zxf ACR38_LINUX_100706_P.tar.gz
cd ACR38_LINUX_100706_P
./configure
make
make install

Descargamos e instalamos el paquete del DNIe

cd /usr/src
wget http://www.dnielectronico.es/descargas/PKCS11_para_Sistemas_Unix/opensc-dnie-1.4.5-1.fc9.x86_64_Fedora_9.rpm.tar
tar xf opensc-dni-1.4.5-1.fc9.x86_64_Fedora_9.rpm.tar
rpm -Uvh opensc-dnie-1.4.5-1.fc9.x86_64_Fedora_9.rpm

Iniciamos los servicios correspondientes y los marcamos para que se carguen en el arranque

service pcscd restart
service openct restart
chkconfig pcscd on
chkconfig openct on

Nos vamos al lanzador de aplicaciones y picamos sobre el elemento del menú Oficina -> Registrar módulo DNIe PKCS#11. Se abrirá Mozilla Firefox y nos preguntará si queremos instalar el módulo de seguridad, respondemos que si.

Descargar el certificado raíz de la Policía Nacional

cd
wget http://www.dnie.es/certs/ACRaiz.crt

Ahora abrimos Firefox y cargamos el certificado desde los siguientes menús: Editar -> Preferencias -> Avanzado -> Cifrado -> Ver certificados -> Importar y cargamos el archivo ACRaiz.crt que acabamos de descargar.

Reiniciamos Firefox y comprobamos que todo funciona desde el enlace http://www.dnielectronico.es/como_utilizar_el_dnie/verificar.html

Python: Valor de las variables de sistema

2009-04-17T14:51:00.002+02:00

Las variables de sistema son extremadamente fáciles de recolectar con Python y, como siempre, con un mínimo de cuidade a la hora de programar hacemos que el código se ejecute perfectamente en cualquier sistema operativo. Mediante este simple método podemos ver los valores de las varibles pasando un string con su nombre:

import os

def getValorVar(_nombreVar):

   return os.environ[_nombreVar]

if __name__=='__main__':

   print 'Valor de $PATH: ' + getValorVar('PATH')
   print 'Valor de $USR: ' + getValorVar('USR')

Y si, funciona igual en bindous.

ZFS (Fuse) para Red Hat Enterprise/Centos 5.3

2009-04-14T10:11:00.002+02:00

Para no perder tiempo, aquí dejo el paquete compilado para RHEL/Centos 5.3 del sistema de ficheros ZFS.

http://rapidshare.com/files/221131005/zfs-fuse-0.5.0-7.20081221.i386.rpm

Lo he compilado a partir de los últimos sources de Fedora 10.

Webcam Microdia de HP Pavilion (uvcvideo)

2009-04-02T22:21:00.002+02:00

Desde que he abandonado a Debian por Fedora todo eran ventajas, hasta que me hizo falta usar la webcam del portátil, que en Fedora 10 no va. El problema es que el controlador uvcvideo que viene por defecto en Fedora es demasiado antiguo, así que hay que compilar uno nuevo.
En mi caso la webcam que incorpora mi portátil (HP Pavilion dv2106-eu) es la siguiente:

[root@dagobah webcam]# lsusb
Bus 001 Device 002: ID 0c45:62c0 Microdia Sonix USB 2.0 Camera
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub
Bus 002 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub

El primer caso es descargar la última versión disponible de http://linuxtv.org/hg/~pinchartl/uvcvideo/:

cd /usr/src
mkdir webcam
cd webcam
wget http://linuxtv.org/hg/~pinchartl/uvcvideo/archive/tip.tar.bz2
tar xjf tip.tar.bz2

Ahora, si no lo hemos instalado ya, instalamos los kernel headers:

yum install kernel-devel

Y finalmente compilamos e instalamos los nuevos módulos que sustituirán a los que trae el kernel de stock:

cd /usr/src/webcam/uvcvideo-e720bad42205
make clean
make all
make install
depmod -a

Reiniciamos el sistema y veremos que la webcam ya está soportada

[root@dagobah webcam]# dmesg | grep uvc
uvcvideo: Found UVC 1.00 device USB 2.0 Camera (0c45:62c0)
usbcore: registered new interface driver uvcvideo

Flash Player 10 para 64 bits

2009-04-02T18:35:00.003+02:00

Es muy difícil conseguir en link a la descarga (al menos yo tardé bastante en encontrarlo) pero está disponible un flash player alpha para distribuciones Linux x64. La forma de instarlo es la siguiente (como root):

cd /usr/src
wget http://download.macromedia.com/pub/labs/flashplayer10/libflashplayer-10.0.d20.7.linux-x86_64.so.tar.gz
tar zxf libflashplayer-10.0.d20.7.linux-x86_64.so.tar.gz
cp libflashplayer.so /usr/lib/mozilla/plugins/
chmod a+rx /usr/lib64/mozilla/plugins/libflashplayer.so

Tras reiniciar Firefox podemos comprobar que el plugin se ha cargado accediendo a la url about:plugins

Broadcom BCM4311 Wifi en Fedora 10 (x86 y x64)

2009-04-02T18:06:00.003+02:00

Este truco no es aplicable a Debian y derivados (Ubuntu, Kubuntu) ya que estas distribuciones proveen su propio método.

El primer paso es instalar el paquete que extrae el firmware del controlador de Broadcom. Lo más probable es que ya esté en la lista de paquetes instalados pero por si acaso:

yum install bcm43xx-fwcutter

Necesitamos obtener la versión 4.150 del controlador disponible en http://linuxwireless.org/en/users/Drivers/b43#devicefirmware

su -
cd /usr/src
wget http://mirror2.openwrt.org/sources/broadcom-wl-4.150.10.5.tar.bz2
tar xjf broadcom-wl-4.150.10.5.tar.bz2
cd broadcom-wl-4.150.10.5/driver/
b43-fwcutter -w /lib/firmware wl_apsta_mimo.o

Reiniciar el sistema y ya podremos utilizar la conexión wifi a través del Network Manager

Python: Acceso al puerto USB

2009-03-30T18:38:00.002+02:00

No es la primera vez ni será la última que he necesitado acceder a los puertos USB en busca de algún dispositivo en concreto, generalmente impresoras que no muestran el estado real de la impresión.

Mediante el uso de las siguientes clases tenemos todas las herramientas necesarias para identificar el tipo de dispositivo, estado, fabricante, puerto, etc, de forma ordenada. La primera clase se corresponde con el acceso a datos y la segunda es el modelo de los mismos.

El código ha sido subido al siguiente enlace http://www.nomorepasting.com/getpaste.php?pasteid=25349

Python: Un método para el envío de correo electrónico

2009-03-30T18:30:00.002+02:00

Mediante este método listo para copiar y pegar y usando smtplib podemos enviar correo electrónico desde nuestros programas. La función ha sido pensada para el envío de correo a través de un servidor local que no requiere autentificación, si se necesita, habría que tocar las propiedades del objeto mailserver.

import smtplib

def mail(serverURL=None, sender='', to='', subject='', _text=''):

     headers = "From: %s\r\nTo: %s\r\nSubject: %s\r\n\r\n" % (sender, to, subject)
     message = headers + _text
     mailServer = smtplib.SMTP(serverURL)
     mailServer.sendmail(sender, to, message)
     mailServer.quit()

Emerald en KDE4 en Fedora 10

2009-02-17T23:59:00.002+01:00

Recién instalada Fedora 10 con los paquetes compiz y emerald correspondientes bajo el gestor KDE4, todo funciona correctamente menos Emerald, que se niega a cargarse con compiz. La solución es editar el script de carga de compiz situado en $HOME/.kde/env/kdewm.sh y dejarlo de la siguiente forma:

USE_EMERALD=yes
KDEWM=compiz-manager
export USE_EMERALD KDEWM

Reiniciar la sesión y listo.

Shell scripts que rompen, activando modo debug

2009-01-30T14:12:00.002+01:00

No pasa ni una ni dos veces que ejecutamos un shell script y en algún lado rompe, pero la salida es demasiado críptica como para intuír por donde lo hace. Para solucionar este problema activaremos el modo debug de la shell añadiendo la opción -x de la forma:

/bin/sh -x mi_script.sh

También podemos editar la primera línea del script y añadir el parámetro:

#!/bin/sh -x
...

Ala! A "debuggear"!

Internet Explorer 6 bajo Linux (IE4Linux) con Java

2009-01-02T13:46:00.003+01:00

Puede parecer una falacia pero en ciertos escenarios es útil. Instalarlo es muy simple.

Para cumplir dependencias debemos instalar wine y cabextract.

Luego nos situamos en /usr/src y realizamos la instalación

cd /usr/src/
wget http://www.tatanka.com.br/ies4linux/downloads/ies4linux-latest.tar.gz
tar zxvf ies4linux-latest.tar.gz
cd ies4linux-version-descargada
./ies4linux

Esto hará que nos salga la ventana de instalación de IE, donde podremos cambiar el idioma a ES y picando en Advanced podemos cambiar el directorio de instalación por defecto:

Una vez realizada la instalación de IE, necesitamos Java. Descargamos la versión de Java deseada de java.sun.com y ejecutamos la siguiente sentencia:

export WINEPREFIX=/opt/ies4linux/ie6
wine /root/Descargas/jre-1_6_0_5-windows-i586.exe

Finalizada la instalación de Java podemos ejecutar IE mediante el comando:

wine /opt/ies4linux/ie6/drive_c/Program\ Files/iexplore.exe http://joservilas.blogspot.com

Cambiar resolución de una SunRay

2008-12-26T08:49:00.002+01:00

Los terminales SunRay toman la resolución nativa del monitor que tienen pinchado por defecto y eso no suele gustarle a todos los usuarios. Podríamos grabar una configuración personalizada mediante el comando "utresadm" pero generalmente en este tipo de soluciones los usuarios son itinerantes, así que lo más cómodo es asociar una resolución a la Java Card que utiliza ese usuario (perfectamente funciona con el DNIe), mediante el comando:

/opt/SUNWut/bin/utxconfig -r resolución -t Token_Id

Ejemplo:

/opt/SUNWut/bin/utxconfig -r '1024x768' -t Payflex.5122f9db03431123

Auto Login con GDM/XDM

2008-11-18T13:20:00.003+01:00

Para acceder directamente al entorno gráfico en el inicio del sistema sin facilitar un password, debemos tocar el fichero de configuración del gestor de arranque.

Para sistemas Debian/Ubuntu... (/etc/gdm/gdm.conf):

...
AutomaticLoginEnable = true
LocalNoPasswordUsers = usuario_que_inicia_por_defecto
...

Para sistemas RedHat/Suse... (/etc/sysconfig/displaymanager):

...
DISPLAYMANAGER_AUTOLOGIN = usuario_que_inicia_por_defecto
DISPLAYMANAGER_PASSWORD_LESS_LOGIN = "yes"
...

Automount en consola

2008-11-18T10:41:00.002+01:00

Para que los dispositivos extraíbles se automonten en consola de la misma forma que en los gestores gráficos, sin necesidad de establecer los puntos de montaje manualmente con mount, disponemos de la utilidad ivman.

apt-get install ivman

Luego nos aseguraremos de que se cargue el script de inicialización en el rc.d correspondiente y ya estará listo (en la configuración por defecto de ivman ya se automontan los dispositivos extraíbles).

Eliminar Identity Box en Firefox 3

2008-11-18T10:36:00.002+01:00

Dentro del subdirectorio chrome de la carpeta de configuración de Firefox editamos/creamos el fichero userChrome.css y añadimos la entrada:

#identity-box {
display: none;
}

Otras opciones molestas son la estrella de marcadores o el botón ir, que se pueden eliminar con las entradas:

#star-button {
display: none !important;
}

#go-button {
display: none !important;
}

Se pueden consultar más opciones de configuración en la url http://kb.mozillazine.org/UserChrome.css_Element_Names/IDs

Autentificación SSH mediante pares de claves DSA

2008-07-30T10:45:00.004+02:00

Como complemento a las recetas publicadas con anterioridad sobre Seguridad Básica de SSH, nos quedaba pendiente la autentificación mediante certificados.

Para ello, simplemente debemos crear un juego de claves:

ssh-keygen -t dsa

Comando mediante el cual crearemos una clave del tipo DSA de 1024 bits que se guardará en el directorio ~/.ssh/id_dsa, cuya clave pública estará en ~/.ssh/id_dsa.pub.

Una vez que se ha creado el juego de llaves deberemos cambiar la configuración del sistema para comience a trabajar con ellas en lugar de validar tuplas usuario/password, configuración que realizaremos en el equipo que actúa como servidor SSH (al que nos queremos conectar).Para ello editaremos el fichero de configuración /etc/ssh/sshd_config y aplicaremos los cambios en las opciones:

Protocol 2
PermitRootLogin without-password
PasswordAuthentication no

Antes de reiniciar el servicio en el servidor y poder logearnos con la nueva configuración, tendremos que copiar la clave pública que generemos en el esclavo a ~/.ssh/authorised_keys.

NOTA: Dependiendo del sistema, de la configuración y los permisos del $HOME, conviene (si no lo está) cambiar los permisos de los ficheros a 700.

Python: Descomprimir ficheros zip

2008-06-06T12:58:00.002+02:00

Aunque es realmente fácil y probablemente conocido, mucha gente se hace un lío a la hora de descomprimir ficheros. La clase siguiente lista el contenido de todos los ficheros .zip que hay en el directorio de ejecución:

import sys
import zipfile

for filename in sys.argv[1:]:
   z = zipfile.ZipFile(file(filename))
   print "%s:" % (filename)
   for f in z.namelist():
      print "\t%s" % (f)
      print ""

Runit, la alternativa a SysV Init

2008-05-28T11:20:00.002+02:00

SysV init como tal, puede que no sea conocido por el usuario de escritorio, pero es el gestor de servicios de Unix/Linux por excelencia, todos hemos tenido que configurar en alguna ocasión los scripts de arranque de un servicio contenido en /etc/init.d/.
El problema de SysV init es la respuesta ante la caída de un servicio, ya que el único medio que se dispone es el arranque a mano, mediante el script de iniciación. Para el caso de un servidor web apache:

/etc/init.d/apache start

Si el servidor web se cae, o lo levantamos a mano, o lo monitorizamos con una herramienta para que nos avise que se ha caído (Nagios por ejemplo) o creamos nuestro propio demonio que lo levante de nuevo (algo pesado la verdad).

Runit es el gestor de servicios que resuelve el problema, ya que no sólo los lanza, los supervisa. Si se tiene la necesidad de optar por esta solución, conviene visitar la página del proyecto y hacerse con los scripts de arranque para el nuevo gestor:

- Runit, gestor de arranque
- Scripts para los servicios más comunes

Snort: configuración básica para la detección de intrusos

2008-04-18T14:02:00.001+02:00

Snort es una herramienta muy conocida por el administrador de sistemas y utilizada por defecto en la práctica totalidad de distribuciones Linux orientadas a trabajar como encaminadores (SmoothWall, IpCop, Untangle...)

Los usos y posibilidades de esta herramienta son realmente variados aunque lo más común es utilizarlo como "packet logger" o sniffer, con volcado a texto plano o bbdd MySQL/PostgreSQL.

Algunos de sus usos básicos son:

# snort -v (-vd)

Funciona como un sniffer realizando un volcado por pantalla de todo el tráfico (la opción -vd muestra más información).

# snort -l ruta_fichero_log -d

Ejecuta snort y guardar el log en la ruta indicada en el formato predeterminado (binario). Para visualizar este fichero se utiliza la opción -r

# snort -r ruta_fichero_log

Para una configuración inicial con reglas de detección básicas, se pueden descargar las establecidas por la comunidad desde el site oficial de la aplicación: http://www.snort.org/pub-bin/downloads.cgi, en formato comprimido tar.gz.

Para habilitar estas reglas se copiarán (descomprimidas) al directorio de configuración de snort (/etc/snort/rules/) y editaremos el fichero de configuración del programa asegurándonos de que son visibles:

# vi /etc/snort/snort.conf

...
var RULE_PATH rules
include $RULE_PATH/sql.rules
include $RULE_PATH/tcp.rules
...

Ahora nos queda cargar la nueva configuración:

# snort -c /etc/snort/snort.conf

Ahorrando batería con Linux - Pequeños trucos

2008-03-28T13:40:00.002+01:00

La gestión de energía en Linux es uno de esos aspectos pendientes de resolver, aunque ya hemos visto en posts anteriores pequeñas recetas para ahorrar un poco de batería, que algo ayudan.
Existe un proyecto amparado por la propia Intel, llamado LessWatts, que provee una serie de trucos y herramientas muy interesantes para desarrolladores (también para usuarios).
Llaman bastante la atención los trucos propuestos, ya que se salen de las soluciones típicas, no por extravagantes, sinó por desconocidos:

* Enable the power aware SMP scheduler
* Use SATA link power management
* Enable WiFi* power management
* Check for unused Bluetooth*
* Use gigabit ethernet speeds only when needed

Las herramientas propuestas se pueden descargar desde el site del proyecto:

http://www.lesswatts.org/downloads/

Poniendo a punto Kubuntu 7.10 (flash, divx, mp3, compiz, etc)

2008-03-15T00:00:00.005+01:00

Si hay algo que se le puede envidiar a Linux es el soporte no oficial que ofrecen los usuarios del producto. Claro que, ¿quién certifica que el usuario que realiza una receta está en lo cierto?

Digo esto porque, tras haber instalado Kubuntu 7.10 y con muy pocas ganas de romperme los cuernos, le pregunté a Google, la forma de instalar esos paquetes esenciales que no vienen con la distribución. Y claro, como no, entré en los enlaces con mayor popularidad (según Google) pero viendo los gazapos que tenían las recetas, pues va a ser que no, que mejor nos la hacemos a mano y la publicamos (sin que nadie se ofenda).

Y para que todo lo que vamos a hacer se pueda empezar debemos activar los repositorios que no están disponibles por defecto. Para ello, editaremos el fichero /etc/apt/sources.list y añadimos los citados repositorios:

deb http://security.ubuntu.com/ubuntu gutsy-security main restricted
deb-src http://security.ubuntu.com/ubuntu gutsy-security main restricted
deb http://security.ubuntu.com/ubuntu gutsy-security universe
deb-src http://security.ubuntu.com/ubuntu gutsy-security universe
deb http://security.ubuntu.com/ubuntu gutsy-security multiverse
deb http://archive.ubuntu.com/ubuntu/ gutsy main universe restricted multiverse
deb-src http://security.ubuntu.com/ubuntu gutsy-security multiverse

Luego recargamos la bbdd de software:

apt-get update

- INSTALAR FIREFOX Y SOPORTE PARA MACROMEDIA FLASH 9

Instalamos firefox con soporte español:

apt-get install mozilla-firefox-locale-es-es

Instalamos los paquetes necesarios para flash9:

apt-get install flashplugin-nonfree

ATENCIÓN: Esto nos va a dar un error al final, simplemente instalando este paquete nos instala todos los demás que son necesarios.

Nos vamos a /usr/src, descargamos el plugin desde la web de Macromedia y lo cargamos

cd /usr/src
wget http://fpdownload.macromedia.com/get/flashplayer/current/install_flash_player_9_linux.tar.gz
tar zxf install_flash_player_9_linux.tar.gz
cp /usr/sr/install_flash_player_9_linux/libflashplayer.so /usr/lib/flashplugin-nonfree/
/usr/lib/nspluginwrapper/x86_64/linux/npconfig -i /usr/lib/flashplugin-nonfree/libflashplayer.so

- INSTALAR SOPORTE MP3, DIVX Y DEMÁS FAMILIA

Cierto es que amarok, kaffeine ... descargan los codecs según los van necesitando al abrir los archivos, pero para evitar esto y tenerlos todos desde el principio:

apt-get install libxine1-ffmpeg

- INSTALAR CONTROLADORES RESTRINGIDOS

Tan sólo hay que irse a las preferencias del sistema, en la pestaña "Avanzado":

- INSTALAR COMPIZ FUSION

Muy fácil, basta con instalar los paquetes:

apt-get install compiz-kde libcompizconfig-backend-kconfig compiz-fusion-plugins-extra compizconfig-settings-manager

Luego lo iniciaremos por primera vez (con el usuario que está usando el entorno gráfico, no como root)

compiz --replace

Para cambiar los ajustes de los efectos nos iremos al menú K -> Preferencias -> Advanced Desktop Effects Settings

Más fiabilidad: por si Linux rompe

2008-03-11T16:57:00.002+01:00

Que Linux sea un sistema operativo serio y robusto, no quiere decir que no pueda colgarse.

Bajo ciertas condiciones especiales (fallo de hardware, corrupción de software) el sistema puede deterse debido al mas que conocido error "Kernel Panic".

En estaciones de trabajo y servidores que mantienen servicios dedicados, que el sistema de un error es malo, pero que no haga nada por levantarse es peor.
Y como es realmente complicado prever un "Kernel Panic" y la vida del administrador de sistemas no gira físicamente en torno a la máquina, hay que estar siempre preparados para la menos probable de las adversidades.
Es por ello que conviene preparar el sistema para que llegado el momento, tras un error del tipo "Kernel Panic" haga un reboot, reset, restart o como cada uno quiera llamarlo. Y para conseguirlo únicamente se debe añadir la siguiente línea al fichero de configuración /etc/sysctl.conf :

kernel.panic = n

donde n es el número de segundos tras los que queremos que se reinicie la máquina en caso de tal evento ocurra.

SSH: seguridad básica

2008-02-15T11:43:00.002+01:00

OpenSSH es el estándar en lo que a conexión remota se refiere, de ahí que muchos de los ataques se dirijan específicamente a este servicio. En entradas anteriores hemos visto como proteger una máquina contra un ataque basado en diccionario, utilizando el paquete Denyhosts:

http://joservilas.blogspot.com/2006/07/denyhosts-no-ms-flood-mi-sshd.html

Ahora veremos como efectuar una configuración muy simple pero a la vez segura para optimizar el acceso al servicio, toqueteando el fichero de configuración /etc/ssh/sshd_config:

Lo primero será deshabilitar el acceso del superusuario (root) de forma remota

PermitRootLogin no

o, si lo queremos, dejar que acceda pero nunca mediante password, obligándolo a utilizar un juego de claves ssh que se deberán almacenar en /root/.ssh/authorised_keys o en el propio fichero de configuración

PermitRootLogin without-password

Siguiendo con la misma política, será interesante indicar (si el número no es grande) los usuarios que pueden acceder al sistema, en lugar de permitirlos todos añadiendo la(s) línea(s)

AllowUsers nombre_de_usuario
AllowUsers jose
AllowUsers pepe
...

y aunque el valor "PermitRootLogin" esté marcado como "yes", si no marcamos una línea "AllowUsers root", el sistema no validará al superusuario.

Como complemento a este parámetro, podemos especificar la(s) máquina(s) desde la(s) que podremos acceder, denegando los restantes intentos

AllowUsers jose@172.16.0.5
AllowUsers jose@mustafar
AllowUsers jose@mi_isp.mi_host.com
...

apartado en el que se pueden utilizar comodines

AllowUsers jose@192.168.*
...

Por último, es muy probable que no se necesite autentificación PAM, salvo que utilicemos un servidor LDAP o similar, con lo que no está de más deshabilitar esta entrada (ya que OpenSSH sabe de sobra donde validar usuarios)

UsePam no

Como complemento, podremos utilizar DenyHosts, TcpWrappers o forzar la validación mediante pares de certificados, pero tal cual, ya se trata de una configuración realmente segura (salvo la predecible posibilidad que se deriva de la "mala praxis" de acceder desde redes no fiables con el riesgo de un ataque spoofing).

Python: Crear una clase de properties

2008-02-01T12:28:00.000+01:00

Si se ha trabajado con otros lenguajes de programación orientados a objetos como Java o .NET, probablemente se estará acostumbrado al uso de clases con properties para, por ejemplo, construir modelos de datos.
Python se comporta exactamente igual, con la salvedad que no existen palabras reservadas para este efecto como el caso de .NET (recomiendo la lectura del artículo de Guido: Unifying types and classes in Python)

Veamos un ejemplo simple sobre como crear un modelo de datos para una persona utilizando Python, que derive de un objeto (por definir):

class persona(objeto):
   def __init__(self):
      self.nombre = ""
      self.apellido1 = ""
      self.apellido2 = ""
   def _setNombre(self,valor):
      self.nombre = valor
   def _setPrimerApellido(self,valor):
      self.apellido1 = valor
   def _setSegundoApellido(self,valor):
      self.apellido2 = valor
   def _getNombre(self):
      return self.nombre
   def _getApellidos(self):
      return self.apellido1 + " " + self.apellido2
   def _getPropiedadSoloLectura(self):
      return "Valor de solo lectura"

Python: Validar un NIF o un CIF

2008-01-30T16:21:00.000+01:00

He aquí una clase importable muy útil con el algoritmo para validar CIFs y NIFs. Tiene un único método para la validación, en el que devuelve un tipo Boolean:

http://www.nomorepasting.com/getpaste.php?pasteid=10745

Carpetas compartidas con Windows en 1 minuto

2008-01-29T15:53:00.000+01:00

En la red hay mil y un tutoriales sobre como instalar un servidor Samba para disponer de recursos compartidos con Windows, pero todos ellos orientados a la gestión de usuarios con o sin PDC.
Este pequeño tutorial nos va a permitir compartir en un minuto o menos un directorio de nuestro Linux con permisos de lectura/escritura para todos los usuarios que estén en nuestra red, sin que se tenga que poner una contraseña.

1.- Instalar samba

apt-get install samba

2.- OPCIONAL. Crear el directorio que queremos compartir y permitir el acceso a todo el mundo

mkdir /home/compartido
chown nobody:nogroup /home/compartido
chmod -R 777 /home/compartido

3.- Editar el fichero de configuración de Samba /etc/samba/smb.conf y tocar los siguientes parámetros del apartado [GLOBAL] (si no existen, crearlos y si están comentados por un ; o un #, quitar el comentario)

workgroup = MI_GRUPO_TRABAJO

netbios name = Mi nombre de servidor

security = share

admin users = administrador guest

4.- Al final del archivo de configuración /etc/samba/smb.conf añadir el nuevo recurso compartido

[compartido]
comment = Archivos Compartidos
path = /home/compartido
browseable = yes
writable = yes
public = yes
guest ok = yes
create mask = 0777
directory mask = 0777

5.- Reiniciar Samba

/etc/init.d/samba restart

Listo! A disfrutar de nuestro nuevo recurso de red.

MySQL: Seguridad básica

2008-01-29T11:04:00.000+01:00

Cuando hablamos de asegurar un servicio se suele entender como tal el filtrar el acceso no deseado al mismo mediante reglas de firewall. En general, servidores de uso no corporativo, utilizarán configuraciones de seguridad por defecto que, si van a ser accesibles por un colectivo, pueden no ser las adecuadas.
Veamos un juego de reglas básico para asegurar una instalación por defecto de MySQL Server:

1) Asociar el servicio al dispositivo(s) de red adecuado bind-address=127.0.0.1, denegando el acceso a otras redes, de haberlas. Establecer las reglas de firewall que se consideren adecuadas para la gestión del mismo.

2) Eliminar los comodines de las tablas de acceso (GRANT). Jamás permitir contraseñas en blanco o comodines en la creación de permisos de acceso a usuarios y asegurarse de que cada usuario accede únicamente a las tablas necesarias.

3) Requerir el uso de contraseñas seguras, eliminando la contraseña en blanco por defecto para root. Utilizar la opción --secure-auth para prevenir el uso de passwords crackeables.

4) Revisar los permisos de los ficheros de configuración. Aunque se acelera el acceso, no conviene guardar las configuraciones en ficheros individuales por usuario, ya que al hacerlo así, se almacenan en texto plano. En este supuesto, deben asegurarse los ficheros con permisos 600.

5) Prevenir los sniffers con cifrado en el acceso cliente/servidor, habilitando SSL en la configuración de MySQL o con un tunel SSH.

6) Deshabilitar el acceso remoto, con firewall (punto 1) y arrancando el servicio con la opción --skip-networking

7) Revisar periódicamente los logs

Con este juego de medidas básicas podemos disponer de un servidor fiable y robusto.

Datos seguros con sistema de ficheros encriptado

2007-12-24T19:12:00.000+01:00

Para el administrador de sistemas es esencial el uso de un "password ring", tal como ZSafe, MyPassWordSafe o KeyPass, entre otros. Pero desde que la LOPD es ley, mantener a salvo datos sensibles de clientes, buzones de contactos o documentos bancarios es una tarea prioritaria.
Una solución muy elegante para estos casos, en lugar de encriptar el sistema de ficheros al completo, es crear un sistema del tipo loopback, mantenerlo cifrado y montarlo/desmontarlo según sea necesario.
Veamos los pasos a seguir para conseguirlo:

1) Cargar los módulos de cifrado

modprobe cryptoloop
modprobe aes

(si no se dispone de ellos, se bajan precompilados para kernels de stock usando apt-get)

2) Crear la imagen. En este ejemplo le indicamos que tendrá un tamaño inicial de 100Mb (bs=1MB count=100)

dd if=/dev/urandom of=cryto_fs.img bs=1M count=100

3) Asociar la imagen creada al sistema loopback e indicarle que va a estar cifrada con AES 128bit

losetup -e aes /dev/loop0 crypto_fs.img
Password:

4) Formatear en el sistema de ficheros preferido

mkfs -t ext3 /dev/loop0

5) Montar en el directorio de trabajo seleccionado

mount /dev/loop0
mount -o loop,encryption=aes crypto_fs.img /home/jose/datos_sensibles/

En este punto, nos pedirá la contraseña de cifrado y podremos comenzar a trabajar con nuestro sistema de ficheros seguro.

La única pega es que para este tipo de ficheros, no nos funcionará el montado en arranque mediante fstab (tendremos que facilitar la contraseña igual), lo cual, aunque incordie, es una medida de seguridad de lo más obvio.

Python: Leer los titulares de un rss de noticias

2007-12-09T22:24:00.000+01:00

Pongamos por caso que necesitamos extraer los titulares de un xml (rss) de un periódico. Lo más fácil será crear un parseador xml con sax o minidom que extraiga los datos contenidos entre los tags "title". En mi caso, esta función simple que hace uso de minidom, me ha aliviado el proceso más de una vez:

def buscaXMLTag(xmlFile,xmlTag):
   resultList = []
   try:
      dom = minidom.parse(xmlFile)
      elements = dom.getElementsByTagName(xmlTag)
      if len(elements) != 0:
      for i in range(0,len(elements)):
         resultList.extend([elements[i].childNodes[0].nodeValue])
      else:
         # O ficheiro non ten tags sobre os que buscamos
         pass
   except:
      # O ficheiro non existe ou non se pode abrir
      pass

   return resultList

Python: Calculando la fecha de ayer y la de mañana

2007-11-19T11:31:00.000+01:00

Esta es una pregunta que suelen realizarme muchas veces, así que queda por escrito para futuras consultas.

Como es lógico, la fecha de ayer y mañana se calculan restando uno o sumando uno a la fecha de hoy. Pero claro, hay que indicar que lo que se suman son días, no un número entero. Esto se realiza con el módulo datetime:

#!/usr/bin/python
# -*- coding: iso-8859-15 -*-

import datetime

# La fecha de hoy es:
hoy = datetime.datetime.today()

# Para calcular la de ayer, restamos un día
ayer = hoy + datetime.timedelta(days=-1)

# Y para mañana, sumamos un día
mañana = hoy + datetime.timedelta(days=1)

Python: ¿En qué día nos encontramos?

2007-11-05T15:26:00.000+01:00

En ocasiones puede que necesitemos saber el día de la semana de una fecha en concreto, que podemos realizar con el siguiente código:

import datetime
dicDays = {'MONDAY':'Lunes','TUESDAY':'Martes','WEDNESDAY':'Miercoles','THURSDAY':'Jueves', \
'FRIDAY':'Viernes','SATURNDAY':'Sabado','SUNDAY':'Domingo'}
anho = 2007
mes = 11
dia = 05
fecha = datetime.date(anho, mes, dia)
print dicDays[fecha.strftime('%A').upper()]

Tratando HTML con Python

2007-10-23T19:06:00.000+02:00

Cada vez que toca lidiar con html pasa lo mismo: ¿nos hacemos un parseador "a palo seco" que nos sirva únicamente para esa web o nos peleamos con los módulos de pyxml?

El proceso más manual, suele ser útil para nimiedades pero cuando queremos hacer algo más o menos universal es bueno echar mano de PyXml o libxml2dom (véase más sobre libxml2dom y PyXML en el siguiente enlace: http://www.boddie.org.uk/python/HTML.html).

En esta receta vamos a ver como descargar un documento y asegurarnos de que no hay código mal formado.

1.- Para descargar un documento, el módulo urllib nos facilita mucho el trabajo. La siguiente función descarga un documento pasándole el nombre de dominio, la ruta del fichero a descargar y un fichero temporal donde almacenar los datos:

def getWebPage(nomeDominio,arquivo,fichTemporal):
   '''
   Descarga un documento de un site remoto. El nombre de cominio
   debe de ser pasado sin http://
   '''

   import urllib
   servidor = httplib.HTTP(nomeDominio)
   servidor.putrequest('GET',arquivo)
   servidor.putheader('Accept','text/html')
   servidor.endheaders()
   errcode, errmsh, replyheader = servidor.getreply()
   if (errcode != 200):
      # Significa que no se puede acceder al servicio
      print errcode
      descargado = 1
   else:
      codigoHtml = servidor.getfile()
      datos = codigoHtml.readlines()
      codigoHtml.close()
      wTmp = open(fichTemporal,'w') # en binario wb si es un zip, jpg, etc
      for line in datos:
         wTmp.write(line)
      wTmp.close()
      descargado = 0
   return descargado

2.- Recorremos el código para ordenarlo, limpiarlo y asegurarnos de que se quede sin "malformaciones". Podemos hacerlo a mano, pero existe un módulo llamado Beautiful Soup que lo hace por nosotros. (Beautiful Soup se puede descargar del siguiente enlace http://www.crummy.com/software/BeautifulSoup/#Download)

Una vez instalado podemos hacer uso de sus bondades para limpiar el código:

from BeautifulSoup import BeautifulSoup

limpiador = BeautifulSoup(variable_con_codigo_sucio)
codigo_limpio = limpiador.prettify()

Con esto ya nos queda el código perfecto para pasárselo a PyXML

Broadcom Corporation Dell Wireless 1390 WLAN Mini-PCI fácil con Debian Etch/Lenny

2007-09-13T19:11:00.000+02:00

Esta tarjeta inalámbrica siempre ha sido muy puñetera de instalar (en algunos equipos funciona a la primera, en otros te desespera) y cuando se da instalado, luego resulta que el network-manager no la ve o que se valida nada bien con redes encriptadas. Aunque existen multitud de how-to(s) colgados, he aquí los dos métodos de instalación posible:

- Instalación para Debian Etch

1. Deshabilitar el módulo que trae el kernel de stock para esta tarjeta

echo "blacklist bcm43xx" >> /etc/modprobe.d/blacklist
rmmod bcm43xx

2. Instalar los paquetes necesarios y compilar ndiswrapper

apt-get install build-essential module-assistant ndiswrapper-common cabextract
m-a update
m-a prepare
m-a a-i ndiswrapper

3. Obtener y cargar los controladores de Windows para ndiswrapper

mkdir /usr/src/drivers-wifi
cd /usr/src/drivers-wifi/
wget ftp://ftp.hp.com/pub/softpaq/sp33001-33500/sp33008.exe
cabextract sp33008.exe
ndiswrapper -i bcmwl5.inf

4. Configurar y cargar ndiswrapper

cp /etc/ndiswrapper/bcmwl5/14E4:4324.5.conf /etc/ndiswrapper/bcmwl5/.conf
Editar el archivo /etc/ndiswrapper/bcmwl5/.conf y cambiar el valor Afterburner|1 a Afterburner|0
echo "ndiswrapper" >> /etc/modules
depmod -a
modprobe ndiswrapper

Con esto la tarjeta estará reconocida y se podrá configurar desde network-manager, consola u otra aplicación

- Instalación para Debian Lenny/Sid

En Sid todo es más fácil, basta simplemente con instalar

apt-get install bcm43xx-fwcutter

y listo, tarjeta funcionando, ya que el kernel 2.6.21 que trae esta distro utiliza este módulo no propietario.

How To: Filtar el tráfico P2P mediante un firewall Linux con iptables

2007-07-18T09:21:00.000+02:00

Puede que no sea una cuestión que nos quite el sueño el filtrar tráfico P2P, pero cuando en una red empresarial, el personal se anima a descargarse la película del momento, el último disco de Shakira y algún que otro vídeo para añadir a la pornoteca, te dices que si, que ha llegado el momento.
Ya hemos visto en anteriores posts que filtrar las conexiones a sistemas de chat como el IRC o el MSN es realmente fácil utilizando sencillas reglas de iptables, pero con el P2P no pinta tan fácil, por la forma en que P2P funciona:

Para evitar que un equipo de la red interna pueda ser accesible desde el exterior utilizamos un firewall que nos cierre los puertos y que, al mismo tiempo, permita a los equipos de la LAN acceder libremente a Internet.
Pero el P2P es realmente puñetero ya ha sido programado para saltarse esta limitación. Al abrir un cliente P2P en la LAN se establece una conexión con el exterior que el firewall considera confiable y a partir de este momento los paquetes que vengan de vuelta están marcados como ESTABLISHED,RELATED, con lo que pasan directamente al cliente LAN, saltándose todo tipo de filtro. Otros clientes más avanzados envían los datos directamente en UDP, cuyos datagramas no almacenan tanta información como TCP y marcan los paquetes como RELATED en origen, con lo que el firewall tampoco se entera y deja pasar los datos como perico por su casa.

Se me ocurren varias soluciones:

1) Marcar los paquetes que considero P2P y eliminarlos, pero esto tendrá un coste de CPU que no se si estoy dispuesto a asumir.
2) Instalar un proxy y hacer pasar las peticiones web,ftp y correo a través del mismo pero... ¿y si alguien utiliza VoIP por ejemplo?
3) Utilizar la librería ipp2p para iptables que provee de métodos de detección de paquetes según protocolos P2P, con lo que podemos hacer filtros más exactos.

Así que, optamos por utilizar ipp2p. Los pasos para instalarlo son los siguientes:

1) Instalar los paquetes necesarios (obviamos la instalación de los compiladores):

coruscant:~# apt-get install iptables-dev kernel-headers-`uname-r`

2) Descargarse los fuentes de la versión de iptables que tenemos y descomprimirlos:

coruscant:~# iptables --version
iptables v1.3.6
coruscant:/usr/src# wget http://www.netfilter.org/projects/iptables/files/iptables-1.3.6.tar.bz2
coruscant:/usr/src# bunzip iptables-1.3.6.tar.bz2; tar xf iptables-1.3.6.tar

3) Descargarse la última versión de ipp2p de la web http://www.ipp2p.org/downloads_en.html a día de hoy y descomprimirlos:

coruscant:/usr/src# wget http://www.ipp2p.org/downloads/ipp2p-0.8.1_rc1.tar.gz ; tar zxvf ipp2p-0.8.1_rc1.tar.gz

4) Entrar en el directorio del ipp2p y editar el Makefile para que apunte a los fuentes del iptables que nos hemos descargado:

coruscant:/usr/src/ipp2p-0.8.1_rc1# vi Makefile

y cambiamos la variable a nuestro valor:

IPTABLES_SRC = /usr/src/iptables-1.3.6

5) Compilamos la librería

coruscant:/usr/src/ipp2p-0.8.1_rc1# make

6) Copiamos los módulos compilados y los cargamos

coruscant:/usr/src/ipp2p-0.8.1_rc1# cp ibipt_ipp2p.so /lib/modules/iptables
coruscant:/usr/src/ipp2p-0.8.1_rc1# cp ipt_ipp2p.ko /lib/modules/`uname -r`/kernel/net/ipv4
coruscant:/usr/src/ipp2p-0.8.1_rc1# depmod -ae
coruscant:/usr/src/ipp2p-0.8.1_rc1# modprobe ipt_ipp2p

7) Añadir a nuestro script iptables las líneas necesarias para que comience a filtrar, por ejemplo:

# Adiós edonkey, emule y demás amigos
iptables -I FORWARD -p tcp -m ipp2p --edk -j DROP
# Adiós bittorrent y amigos
iptables -I FORWARD -p tcp -m ipp2p --bit -j DROP
# Adiños kazza & CO
iptables -I FORWARD -p tcp -m ipp2p --kazaa -j DROP
...
...

Por último recomiendaría hacerse con un buen palo para cuando los usuarios se pongan tontines por haberles cortado las descargas.

Espabilando un pelín a Apache2

2007-07-16T08:32:00.000+02:00

Nadie discute que Apache2 es ideal para instalar en grandes servidores que atienden miles de peticiones al día, ya que está perfectamente preparado para ello gracias a "elementos" como los threads. Pero puede ser que necesitemos instalar Apache como pequeño servidor de pruebas o corparativo e incluso como servidor público en una máquina con el rendimiento justito. En este caso es recomendable ajustar al detalle los valores del servidor para hacerlo rendir sin que tengamos que pagar un alto precio en cuando a consumo de recursos se refiere. Algunos de los apartados de la configuración que podemos tocar para mejorar la eficiencia son los siguientes:

MaxClients y Max/MinSpareServers

En este apartado podremos ajustar el número de procesos padres/hijos a unos valores más adecuados al uso que deseamos darle al servidor. Es muy común la tendencia a reducir los "MaxClients" hasta valores ínfimos, pensando en la regla de tres de que menos procesos, menor consumo de memoria. Y si, hasta aquí, esta afirmación es cierta, pero en cuando realizamos peticiones al servidor web, si este valor es bajo el servidor puede hasta bloquearse por momentos, denegar conexiones e incluso permanecer totalmente inoperante. Por la contra, un alto número de "MaxClients" se traduce en un rendimiento positivo del servidor pero en una carga de memoria dependiendo del número de conexiones establecidas. Un número importante de "MaxClients" se va a traducir por tanto en un rendimiento positivo pero debemos ser cuidadosos con este valor cuando el servidor es de acceso externo.
En cuanto a los procesos hijos "Max/MinSpareServers" la situación es similar. No por poner un valor bajo en estas etiquetas vamos a tener un rendimiento mejor, ya que la situación es igual que en el caso anterior. Un valor bajo de estos valores obligará al servidor a abrir más procesos padres para satisfacer la demanda de peticiones. Al igual que en el caso anterior, es una pescadilla que se muerde la cola, ya que reduciendo el número de hijos el consumo de memoria bajará pero la carga del sistema será mayor hemos calculado mal estos números, volviendo al servidor inoperante.
Hay desmitificar por tanto, que el reducir el número de padres/hijos a valores ínfimos no es sinónimo de rendimiento y, al contrario, podemos pagar un alto precio en consumo de recursos.

HostnameLookup

Con esta directiva Apache intenta resolver los nombres de host en lugar de utilizar las direcciones IP. Esto puede ser útil para log o para aplicaciones CGI pero requiere un esfuerzo que nos podemos ahorrar ya que, por lo general, nos dará igual tratar con la IP que con el nombre. Desactivando esta directiva optimizaremos, por tanto, nuestro servicio.

AllowOverride

Esta función es muy útil y muy conocida. Mediante ficheros .htaccess guardados en cada directorio, podemos controlar el acceso a misma mediante juegos de usuario/pwd. Esto es muy útil pero, ¿vamos a usarlo en nuestro servidor? Porque si no es así, podemos desactivarlo y ahorrarle al servicio que por cada directorio que lea, está buscando el fichero.

FastCGI

Si vamos a hacer un uso intensivo de CGI, FastCGI es una interesante alternativa al módulo que viene por defecto en Apache2. El rendimiento de este módulo alternativo es sensiblemente mejor que los mod_X que vienen en las distribuciones de Apache2 (mod_cgi,mod_php...). Más información sobre FastCGI puede encontrarse en la web del proyecto http://www.fastcgi.com/, así como el API para diferentes lenguajes.

Python: Información meteorológica fácil con pymetar

2007-07-06T09:31:00.000+02:00

Necesitaba escribir un script que me capturase la información meteorológica para mostrar en pantalla los resultados. Dándole unas vueltas a Google, he visto que con pymetar es una tontería, ya que nos da todo hecho para que podamos atacar a una estación meteorológica de las que hay instaladas en los aereopuertos. Para conseguir el código correspondiente a la estación que nos interesa, debemos mirar en http://www.nws.noaa.gov/tg/siteloc.shtml y cambiar el valor de la variable stationId.

En este ejemplo simple, utilizo dos diccionarios, uno para traducir a español el resultado y otro para cargar un gráfico según el estado del cielo. El módulo pymetar nos prevee de más métodos, que pueden consultarse en la documentación del módulo.

#!/usr/bin/python
# -*- coding: utf-8 -*-

import pymetar
import sys

# Global vars
stationId = 'LEPA' # Codigo de la estacion meteorologica
equivalencias = {'N':'Norte','S':'Sur','E':'Este', \
'W':'Oeste','NW':'Noroeste','NE':'Noreste','SSW':'Sur/Suroeste',
'SSE':'Sur/Sureste','NNE':'Norte/Noreste','NNW':'Norte/Noroeste','SE':'Sureste', \
'SW':'Suroeste','ENE':'Este/Noreste','WNW':'Oeste/Noroeste', \
'ESE':'Este/Sureste','WSW':'Oeste/Suroeste'}

iconos = {'sun':'sol.png','suncloud':'solnube.png','cloud':'nubes.png','rain':'lluvia.png', \
'snow':'nieve.png','storm':'tormenta.png','fog':'niebla.png'}

rf=pymetar.ReportFetcher(stationId)
rep=rf.FetchReport()
rp=pymetar.ReportParser()
wData=rp.ParseReport(rep)

if wData == None:
print 'Icono: --'
else:
print 'Icono: ' + iconos[wData.getPixmap()]
#print wData.getPixmap()
print 'Temperatura: ' + str(int(wData.getTemperatureCelsius())) + 'ºC'
print 'Humedad: ' + str(int(wData.getHumidity())) + '%'
print 'Visibilidad: ' + str(int(wData.getVisibilityKilometers())) + ' Km'
print 'Punto de condensacion: ' + str(int(wData.getDewPointCelsius())) + 'ºC'
print 'Viento: ' + equivalencias[str(wData.getWindCompass())] + ' a ' + str(int(wData.getWindSpeed())) + ' Km/h'
print 'Presion: ' + str(int(wData.getPressure())) + ' ba'

Herramientas de gestión de energía para portátiles bajo Debian

2007-06-19T15:53:00.000+02:00

Puesto que ya hemos tratado en hilos anteriores el escalado de frecuencia de las CPU, vamos a ir un poco más lejos y configuraremos el "laptop mode" tan famoso que viene con los kernels 2.6 para aprovechar un poco más la gestión de energía en portátiles modernos (ACPI no APM, aunque podría valer para APM con los cambios pertinentes).

Utilizando el kernel de stock de Debian Etch podemos optimizar el consumo de batería gracias a las laptop-mode-tools (si hemos compilado un kernel propio, debemos asegurarnos que hemos activado el Linux Laptop Mode en la configuración). Lo que vamos a hacer es definir los estados hibernación del portátil según los porcentajes de batería restantes y evitar el acceso al disco duro de forma continua cuando estamos utilizando las baterías. El efecto a conseguir es cargar en memoria (en la medida de lo posible) los datos que estamos utilizando en lugar de leerlos bajo demanda (video, mp3, pdf...). Esto, combinado con el escalado de frecuencia, dará más minutos a nuestro equipo.

Los pasos a seguir son los siguientes:

1.- Instalar las aplicaciones necesarias:

apt-get install sdparm laptop-mode-tools hibernate

2.- Editar el fichero de configuración de las laptop mode tools y ajustar según nuestras necesidades:

vi /etc/laptop-mode/laptop-mode.conf

En mi caso he realizado la siguiente configuración:

# Activamos la herramienta cuando no estamos conectados a la corriente eléctrica
ENABLE_LAPTOP_MODE_ON_BATTERY=1
# Herramienta desactivada si estamos usando el adaptador de corriente
ENABLE_LAPTOP_MODE_ON_AC=0
# Herramienta activada cuando cerramos la tapa del portátil
ENABLE_LAPTOP_MODE_WHEN_LID_CLOSED=1
# Desabilitamos todas las herramientas sensibles a la pérdida de datos cuando estamos en el 20% de batería restante, para evitarnos sorpresas
MINIMUM_BATTERY_CHARGE_PERCENT=20
# Deshabilito la herramienta ante un nivel crítico que he definido como 10% de batería restante, para evitar perder datos
DISABLE_LAPTOP_MODE_ON_CRITICAL_BATTERY_LEVEL=10
# Activar el escalado de frecuencia cuando usamos baterías
CONTROL_CPU_FREQUENCY=1
# Permito el apagado del entorno gráfico
CONTROL_DPMS_STANDBY=1
# Permito que la herramienta hiberne el equipo
ENABLE_AUTO_HIBERNATION=1
# Defino los porcentajes de batería para hibernación automática
AUTO_HIBERNATION_BATTERY_CHARGE_PERCENT=9
AUTO_HIBERNATION_ON_CRITICAL_BATTERY_LEVEL=5
# Permito que la herramienta inicie las aplicaciones que necesite y monte/desmonte las unidades de datos que necesite
CONTROL_START_STOP=1
CONTROL_MOUNT_OPTIONS=1

Actualizado el bot que rastrea urls en el IRC

2007-06-12T09:09:00.000+02:00

Por fin he podido actualizar el bot (pyHardware) para hacerlo un poco más listo que antes. Entre las nuevas funciones destacan:

- Lista negra de urls a no capturar
- Solucionado el problema de captura doble de urls
- Extracción del tag "title" de la url obtenida
- Extracción de una imagen de tamaño definido de la url obtenida
- Uploading automático del RSS
- Comando !quit para poder matarlo
- Implementado un auto-connect por si se cae

El código fuente del bot está disponible en la dirección:

http://www.cajondesastre.net/pyHardware.txt

Reciclando un equipo viejo: una gramola (jukebox) para la oficina

2007-06-08T08:18:00.000+02:00

Para darle vida a un trasto que teníamos por aquí tirado, se nos ha ocurrido darle vida a una gramola en la que podamos subir nuestra música favorita y que nos permita seleccionar tema desde cualquier equipo sin cortar la reproducción. No confundamos este tipo de servicio con un streamer, ya que lo que no queremos hacer es reproducir en el equipo local, sinó conectar el viejo equipo al hilo musical.

La primera propuesta fue Python (como no) con un módulo con glob que busque ficheros y se los pase a pymedia pero, si ya existe, ¿para qué hacerlo?

Lo primero es instalar el sistema base sin X, junto con el alsa y alsa-oss por si las moscas. Aquí os dejo una captura del alsamixer que nos permite controlar el volumen en consola:

Luego instalaremos las librerías de audio (libmad, vorbis y similares) y un estupendo programa llamado moc que lanza un demonio de reproducción de audio y provee de un interface multiusuario que nos permitirá seleccionar tema desde diferentes ubicaciones.

apt-get install moc moc-ffmpeg-plugin

Ahora solo queda lanzarlo y darle a play más rápido que el compañero.

Imprimiendo en Debian en una Epson Aculaser C1100

2007-06-07T08:24:00.000+02:00

La Aculaser 1100 es una impresora de gran formato de Epson, Láser Color con soporte para impresión por red. Está soportada por Bindous y Mac y en la página de Epson de pueden bajar rpms con los ppd para Suse/Mandrake/RedHat/Centos y similares. También se dispone de un tgz con el código fuente del driver, supuestamente para Debian compatibles.

Tras buscar en Google diferentes soluciones he visto que lo que hace la gente es descargarse el .rpm, convertirlo a .deb e instalarlo pero... a mi no me funciona. He probado también a descargarme el ppd, incrustárselo a cups y... tampoco va. Así que vamos a instalarlo desde los fuentes:

1) Descargarse los fuentes de la web de Epson:

http://www.avasys.jp/english/linux_e/dl_laser.html

2) Descomprimir el fichero descargado (Epson-ALC1100-filter-1.2.tar.gz) y compilar:

tar zxf Epson-ALC1100-1.2.tar.gz
cd Epson-ALC1100-1.2
./configure
make
make install

Es probable que al ejecutar el script ./configure rompa con algo similar a esto:

./configure: line 2830: test: =: unary operator expected
configure: error: *** 'cups-config' missing, please install CUPS or fix your $PATH ***
atreides:/usr/src/Epson-ALC1100-filter-1.2#

Para solucionarlo, vamos a la línea en cuestión (2830) del script y nos cargamos todo el if:

vi configure (y nos vamos a la línea :2830 y borramos las siguientes líneas)

if test $have_cups_config = yes; then
CUPS_CFLAGS=`cups-config --cflags`
CUPS_LDFLAGS=`cups-config --ldflags`
CUPS_LIBS=`cups-config --libs`
CUPS_IMAGE_LIBS=`cups-config --image --libs`
CUPS_SERVER_DIR=`cups-config --serverbin`
CUPS_DATA_DIR=`cups-config --datadir`
else
{ { echo "$as_me:$LINENO: error: *** 'cups-config' missing, please install CUPS or fix your \$PATH ***" >&5
echo "$as_me: error: *** 'cups-config' missing, please install CUPS or fix your \$PATH ***" >&2;}
{ (exit 1); exit 1; }; }
fi

Ahora ya podemos compilar

3) Añadir la impresora a CUPS utilizando el ppd disponible en la carpeta ppd del tgz que hemos descomprimido:

atreides:/usr/src/Epson-ALC1100-filter-1.2/ppd# l
total 36
-rw-r--r-- 1 root root 34561 2006-10-12 14:54 Epson-AL-C1100-fm3.ppd

Los parámetros de configuración de la impresora para imprimir por red son los siguientes:

URI de la conexión: lpd://direccion_ip:515/PASSTHRU

4) Reiniciar cups y comenzar a disfrutar de la máquina

Yakuake, consola rápida en KDE

2007-06-05T08:19:00.000+02:00

Tras haber echado tantas pestes durante tanto tiempo KDE, no me queda otra que reconocer que es más ligero que Gnome y que las utilidades que lo acompañan son realmente fantásticas. De entre ellas, hay una aplicación realmente útil, Yakuake.

Yakuake nos provee de una consola rápida que se muestra y se esconde pulsando la tecla F12, simplemente fantástico.

Para instalar sobra decir apt-get install yakuake

Calculando la diferencia en días entre dos fechas con Python

2007-06-05T08:05:00.000+02:00

Es probable que esta función exista dentro del módulo time de Python pero, al no haberla encontrado, ha tocado hacerse una más casera.

El funcionamiento es simple, aportando dos fechas en formato estándar (YYYY-mm-dd) con separadores estándar (/ - .) se realiza el cálculo con una simple función, tal como sigue:

#!/usr/bin/python

from datetime import date

def daysDifference(date1,date2):

   d1 = date(int(date1[0:4]),int(date1[5:7]),int(date1[-2:]))

   d2 = date(int(date2[0:4]),int(date2[5:7]),int(date2[-2:]))

   diff = d2 - d1

   return diff.days

if __name__=='__main__':

   numeroDias = daysDifference('20050203','20070423')

Caracteres jeroglíficos en la consola, resetear el terminal

2007-06-01T08:41:00.000+02:00

A quien no le pasa que la consola se le queda totalmente pez por haber volcado un binario por pantalla? Algo tal que así:

q�x��h�ʺ�40�N$��<�#�!�8�M�O#RՀ��\UP�@��%.��<��UXv�Sp��N>��Qɒ�7�7K�X��▒3ʩ�ͻ��7Gk�qK�=�=.*_��0!+�p��>�\� 8�q�a��#@��Gv�k��N��P�u'�W�?�▒��J5�z��r}]

Resolver este problema es realmente sencillo con el comando reset:

reset

Debian, tarjetas de red que se detectan pero no funcionan (renombrando interfaces de red)

2007-05-30T13:39:00.000+02:00

Es un problema muy común instalar Debian y que las tarjetas de red se zurren entre ellas porque todas quieren llamarse eth0 o eth1. En especial, cuando disponemos de un interface firewire y una tarjeta Intel, ambos dispositivos luchan por hacerse con el control del nombre 'eth0', por más que se les diga que no. Lo mismo ocurre en ocasiones que disponemos de varias tarjetas Realtek combinadas con Intel e1000, etc.

La solución es realmente simple para los que estamos acostumbrados a lidiar con Linux, pero para los primerizos suele ser desesperante. Veamos como solventar estas dificultades:

1) (opcional) Si disponemos de un interface firewire y no lo vamos a utilizar para conectarnos a otro equipo, podemos deshabilitar el interface de red firewire:

- Editamos el fichero /etc/modprobe.d/blacklist y añadimos el módulo a los dispositivos que no queremos autocargar, es decir, los módulos que no deseamos que Linux lance. Para ello creamos una línea al final del archivo de la forma:

blacklist eth1394

2) Editamos la configuración de udev y renombramos los interfaces de red a nuestro gusto.

- Alteramos el fichero de configuración de red de udev

vi /etc/udev/rules.d/z25_persistent-net.rules

- Cambiamos los nombres según el nombre del módulo que nos interese. En este ejemplo, yo he cambiado mi tarjeta nvidia integrada al interface eth0 y he puesto el firewire en eth4, la wifi la he dejado como estaba:

# Firewire device 06e40a00b52d5045 (ohci1394)
SUBSYSTEM=="net", DRIVERS=="?*", ATTRS{address}=="06:e4:0a:00:c5:2f:50:45", NAME="eth4"

# PCI device 0x10de:0x0269 (forcedeth)
SUBSYSTEM=="net", DRIVERS=="?*", ATTRS{address}=="00:16:d3:16:42:ff", NAME="eth0"

# PCI device 0x14e4:0x4311 (ndiswrapper)
SUBSYSTEM=="net", DRIVERS=="?*", ATTRS{address}=="00:14:f5:d0:a6:87", ATTRS{type}=="1", NAME="wlan0"

3) Reiniciar y cambiar la configuración de red en /etc/network/interfaces o utilizando cualquier herramienta gráfica como NetworkManager.

Configurando redes inalámbricas con dos clicks en Debian

2007-05-20T21:12:00.000+02:00

De todas las herramientas disponibles para configurar redes de forma fácil en Linux, probablemente la más versátil sea Network Manager. Ámpliamente conocida entre los usuarios de Ubuntu, son muchos los usuarios de Debian que se ven frustrados por no ser capaces de instalar esta aplicación. Esta circunstancia se debe a que los usuarios creados en Debian no forman parte del grupo "netdev", utilizado por esta estupenda aplicación.
Los pasos necesarios para disfrutar de esta herramienta son los siguientes:

1) Añadir nuestro usuario al grupo netdev

adduser mi_nombre_de_usuario netdev

2) Editar el fichero de configuración de red /etc/network/interfaces para acelerar la carga del sistema, ya que Network Manager no lo usará. Podemos dejarlo de forma similar a esta, adecuándolo a los nombres de interface de cada uno:

auto lo
iface lo inet loopback
allow-hotplug eth0
allow-hotplug wlan0

3) Instalar los paquetes de Network Manager, escogiendo entre la versión KDE o Gnome según el gestor de ventanas instalado:

apt-get install network-manager network-manager-kde

4) Reiniciar el sistema

5) Lanzar Network Manager desde nuestro gestor de ventanas y comenzar a disfrutar de la magia

Python: Como leer tags XML de forma fácil

2007-05-17T16:30:00.000+02:00

Las posibilidades de Python con XML son muchas pero, generalmente queremos realizar operaciones sencillas como sería leer el contenido de una etiqueta en concreto. Esto, no está tan claro en la documentación (al menos para mi) y he aquí una pequeña receta de como conseguirlo con minidom:

#Importamos el módulo
from xml.dom import minidom

#Creamos una función que busca un tag dado en un fichero XML
#y nos devuelve una lista con todos los contenidos que había
#dentro de los tags.

def buscaXMLTag(xmlFile,xmlTag):
resultList = []
try:
dom = minidom.parse(xmlFile)
elements = dom.getElementsByTagName(xmlTag)
if len(elements) != 0:
for i in range(0,len(elements)):
resultList.extend([elements[i].childNodes[0].nodeValue])
else:
print 'xxx No hay elementos en el fichero XML con la etiqueta ' + xmlTag
except:
print 'xxx El fichero no existe o está mal formado.'
print 'xxx Path del fichero: ' + xmlFile
print 'xxx Etiqueta sobre la que se realizó la búsqueda: ' + xmlTag

return resultList

#Ejecutamos la función y sacamos por pantalla todo el contenido encontrado
datos = buscaXMLTag('/home/jose/test.xml','titulo')
for elemento in datos:
print elemento

La mejor forma de proteger una red wifi: esconderla entre 53.000 redes

2007-05-07T23:36:00.000+02:00

De todas utilidades curiosas, esta destaca por ser realmente útil, un programa que simula hasta 53.000 puntos de acceso.
Puede que nuestra red no sea del todo segura, que no tengamos más posibilidad que encriptar en WEP o que simplemente nos apetece agobiar un poquito a los "wardrivers". FakeAP es una utilidad que utiliza el controlador Host AP para chipsets Prism 2/2.5/3 para simular, decenas, cientos o miles de puntos de acceso falso que confundirán a un posible atacante.
Esta utilidad puede obtenerse en la dirección: http://www.blackalchemy.to/project/fakeap/

Módulos de red para Python

2007-04-25T21:26:00.000+02:00

No es raro volverse mico buscando el módulo necesario para ejecutar una tarea en red, como por ejemplo una funcionalidad de correo electrónico. He aquí un listado de los mismos y su función:

socket: Comunicaciones a bajo nivel, TCP, UDP...
cgi: Construcción de aplicaciones web server-side
urllib: Extrae información de urls, en texto plano
httplib,ftplib,nntplib: Módulos para web, ftp y news
poplib, imaplib, smtplib: Módulos para manejar los protocolos de correo
telnetlib, gopherlib: Módulos para protocolos telnet y ghopher
htmllib, sgmllib, xml.*: Parseadores de tags html, sgml y xml
xdrlib: Codifica datos en binario para transmisión
email.*: Parsea y compone correo con asunto, adjuntos, etc
rfc822: Parseador de cabeceras de correo electrónico
mhlib, mailbox: Procesa correos y mbox complejos
mimetools, mimify: Maneja cabeceras MIME
multifile: Lee mensajes con diferentes partes
uu, binhex, base64, binascii, quopri, email.*: Codifica y decodifica datos binarios para transmitirlos como texto
urlparse: Parseador de urls en componentes
SocketServer: Framework para servicios .NET
BaseHTTPServer: Implementación básica de servidor HTTP
simpleHTTPServer, CGIHTTPServer: Manejador de cabeceras HTTP

Herramientas de gestión de red

2007-04-24T23:33:00.000+02:00

Linux es un sistema conocido por sus bondades en la gestión de redes. Un gran número de firewalls y routers de diversos fabricantes incorporan núcleos de Linux ligeros. Son muchas las aplicaciones de gestión de red disponibles, conocidas por el administrador de sistemas pero extrañas para el usuario de "a pie". Algunas de las más importantes son las siguientes:

/sbin/ifconfig y /sbin/route

Con esta conocida herramienta podemos definir los parámetros de red o consultarlos. Ejecutando ifconfig sin parámetros nos muestra la configuración de red. Veamos un ejemplo de configuración de los parámetros de una red:

ifconfig eth0 192.168.0.5 #Asigna esta dirección ip al interface eth0
route add default eth0 #Indica que eth0 es nuestro interface primario
route add default gw 192.168.0.1 #Asigna esta ip como puerta de enlace

/sbin/ip

Este comando nos proporciona los mismos detalles que las herramientas anteriores pero de forma más estructurada. Tiene dos formas básicas de ejecución:

ip addr #Nos muestra información sobre los adaptadores hardware
ip route #Muestra información sobre ip y las rutas de acceso

/usr/bin/mtr

Se trata de un traceroute avanzado repite la operación de envío de paquetes generando estadísticas. Ejemplo:

mtr www.debian.org

/usr/sbin/tcpdump

tcpdump es un conocido sniffer, muy útil para monitorizar la actividad del sistema. Ejemplo:

tcpdump -i eth0 port 80 #Esta instrucción monitoriza el puerto 80 desde el interface eth0

/usr/sbin/iptraf

iptraf nos indica exactamente lo que está ocurriendo en nuestra red, los protocolos que se están usando, las máquinas con las que se está estableciendo comunicación, etc.

Todo lo que querías saber sobre las X, pero no te atrevías a preguntar

2007-04-23T11:03:00.000+02:00

Todos conocemos las X-Window, pero son pocos los que conocen más allá de cambiar de KDE a Gnome, toquetear xorg.conf para cambiar algunas cosas o cambiar el login manager.
En posts anteriores hemos visto como podemos iniciar una sesión gráfica en remoto, dando vida a equipos anticuados o centralizando los procesos en un servidor princial. Pero podemos llegar más lejos y explotar funcionalidades no tan conocidas de las X, como las siguientes:

Kiosk

Pongamos como ejemplo el clásico punto de información de una entidad, como una universidad, donde los usuarios pueden consultar datos mediante un interface. Realizar esto en Windows implica el programar el interface, deshabilitar las teclas especiales de Windows, eliminar las barras de Windows...
Utilizando las X en Linux podemos lanzar una aplicación sin tener un gestor gráfico que nos dibuje las ventanas, es decir, no podremos arrastrar ventanas, ni tendremos bordes, ni barritas de desplazamiento, ni combinaciones de teclas (excepto las del sistema), nada de nada. La forma de ejecutar una aplicación como Firefox sería:

X > /dev/null 2>&1 & exec firefox &

De querer disponer de un gestor de ventanas ligero como TWM sería:

X > /dev/null 2>&1 & twm & firefox &

Ahora nos quedaría eliminar ciertos botones a Firefox y combinaciones de teclas como Ctl+Alt+Backspace para tener un kiosk a prueba de crackers. En posts anteriores vimos como hacerlo:

· Inhabilitar funcionalidades de Firefox
· Desactivar combinaciones de teclas

Ejecución de aplicaciones en remoto de forma segura

Para ejecutar aplicaciones en remoto, nada mejor que hacerlo a través de SSH. Para ello, debemos habilitar esta funcionalidad en el servidor SSH, editando el fichero de configuración:

vi /etc/ssh/sshd_config

Al que deberemos añadir/cambiar la entrada X11Forwarding a yes

Ahora tan solo nos queda ejecutar la instrucción y dejar que ssh haga el resto:

ssh -X usuario@maquina aplicación

Ej:

ssh -X jose@srv.coruscant.com firefox

Recuperando datos de un disco duro defectuoso o un sistema corrupto

2007-04-23T09:14:00.000+02:00

Pongámonos en un escenario fatalista, nuestro disco duro se ha estropeado hasta tal punto que tiene tantos sectores defectuosos que es imposible iniciar el equipo. Llegados hasta aquí, es momento de recuperar tantos datos como nos sea posible y, para ello, utilizaremos las herramientas que nos brinda nuestro sistema operativo favorito.

dd_rescue

dd_rescue es una variante de la conocida herramienta de Unix dd, orientada a la recuperación de datos. Comparada con dd, tiene dos diferencias importantes:

a. Al contrario que dd, cuando hay un error de lectura (por ejemplo un sector defectuoso), dd_rescue no aborta la transferencia, se limita a indicarnos el error en el log.
b. dd_rescue utiliza dos tamaños de bloques de datos durante la lectura, 16384 bytes si no encuentra errores y 512 bytes cuando los encuentra.

El proceder para recuperar los datos de un disco duro, sería el siguiente:

1. Asegurarnos de que tenemos espacio suficiente en disco para almacenar el backup (en su defecto podemos instalar otro disco duro y montarlo, montar una unidad de red, etc).

2. Volcar los datos del disco a un fichero, asegurándonos de que tenemos espacio libre suficiente en la unidad de destino (este proceso puede tardar mucho tiempo, dependiendo del tamaño de disco y de la cantidad de errores encontrados):

dd_rescue -A /dev/dispositivo_averiado /tmp/fichero_de_backup.iso

3. Opcional pero recomendable. Intentar checkear el sistema de ficheros del backup (si se dispone de la herramienta):

Para ext3: fsck.ext3 -p /tmp/fichero_de_backup.iso
Para reiserfs: reiserfsck --fix-fixable /tmp/fichero_de_backup.iso

4. Montamos el fichero con la copia de seguridad

mount -o loop,ro /tmp/fichero_de_backup.iso /mnt

5. Copiamos los datos utilizando los métodos tradicionales: cp, rsync, etc

Activando las teclas multimedia del teclado en KDE

2007-04-18T10:30:00.000+02:00

KDE en la mayoría de los casos no se entera de que las teclas multimedia existen y, no es que sean muy útiles, pero da rabia que no funcionen, especialmente cuando dispones de un portátil con mando a distancia a lo Apple.
Mientras que en Gnome todo es coser y cantar en KDE necesitamos instalar el demonio lineakd. Veamos como realizar la configuración:

1) Instalar los paquetes necesarios

jose@coruscant:~$ apt-get install lineakd lineak-kdeplugins klineakconfig

2) Ejecutamos klineakconfig y, si nuestro teclado no está entre los ya soportados, establecemos una configuración personalizada

3) Una vez que hemos guardado la configuración, nos vamos al fichero de configuración creado y asignamos los valores de las teclas

jose@coruscant:~$ vi /home/jose/.lineak/lineakd.conf

En mi caso he asignado estos valores:

userdeffile = /home/jose/.lineak/lineakkb.def

Anterior = amarok -r
DVD = kmplayer
Music = amarok
Mute = EAK_MUTE
Play = amarok -t
Siguiente = amarok -f
Stop = amarok -s
VolDown = EAK_VOLDOWN
VolUp = EAK_VOLUP

4) Ponemos el demonio de lineakd en el arranque de KDE

jose@coruscant:~$ ln -s /usr/bin/lineakd /home/jose/.kde/Autostart/lineakd

5) Reiniciamos KDE y a disfrutar

Como solucionar el problema de las pantallas negras en Beryl

2007-04-17T18:36:00.000+02:00

Los usuarios que estamos utilizando Beryl directamente con el driver de nVidia en ocasiones sufrimos el fastidioso problema de las pantallas en negro. Generalmente esto ocurre cuando maximizamos una ventana o lanzamos una aplicación nueva, se pone todo el cuerpo en negro y nos obliga a cambiar el gestor de ventanas o reiniciar la sesión.
La forma de solucionarlo o de minimizarlo en gran medida es cambiar dos parámetros en las opciones avanzadas de Beryl, tal y como se ve en la imagen:

Las opciones que debemos tocar son:

Opciones avanzadas -> Compuesto del recubrimiento de la ventana -> Usar CROW
Opciones avanzadas -> Ruta de renderización -> Copia

Con eso debería estar todo arreglado

Mapas gráficos con Gimp

2007-03-30T18:55:00.000+02:00

Odio a Macromedia Flash, me mata el tener que tragarme los treinta segundos de introducción de rigor que tanto de moda se ha puesto y que, en muchos casos, ni tan siquiera hay botón de "skip".
Como alternativa somos muchos los que proponemos los mapas gráficos que, además en Gimp se hacen en cuatro patadas:

1) Abrir con Gimp la imagen sobre la que queremos generar el mapa

2) Nos hacemos con el filtro necesario: Filtros -> Web -> Mapas de imagen

3) Utilizando las herramientas de selección del filtro, escogemos la zona y damos valor al evento.

4) Antes de abandonar la ventana del filtro, guardamos el documento en formato htm

5) Copiamos el código o editamos el htm resultante

Y el resultado sería tal que así:

Plugin Flash 9 para Firefox (Iceweasel) bajo Debian AMD64

2007-03-27T23:23:00.000+02:00

Ñapa donde las haya, pero bueno, tira, que es lo que cuenta en este caso:

1) Descargarse el nspluginwrapper de su web, en formato rpm que es más cómodo
http://gwenole.beauchesne.info/en/projects/nspluginwrapper#downloads

2) Instalar los paquetes necesarios para ejecutar el programa y convertir los rpms a debs:

geonosis:/usr/src# apt-get install ia32-libs linux32 alien

3) Instalar el paquete ia32-libs-gtk de la rama experimental

geonosis:/usr/src# wget http://ftp.es.debian.org/debian/pool/main/i/ia32-libs-gtk/ia32-libs-gtk_1.0_amd64.deb
geonosis:/usr/src# dpkg -i ia32-libs-gtk_1.0_amd64.dev

4) Convertir los rpms a .deb e instalarlos

geonosis:/usr/src# alien -d *.rpm
geonosis:/usr/src# dpkg -i nspluginwrapper_0.9.91.3-2_amd64.deb nspluginwrapper-i386_0.9.91.3-2_amd64.deb

5) Descargamos el plugin flash de la página de Macromedia, descomprimimos el archivo y convertimos la librería con nspluginwrapper

geonosis:/usr/src# /usr/lib/nspluginwrapper/x86_64/linux/npconfig -i /home/jose/install_flash_player_9/libflashplayer.so

6) Copiamos el archivo generado al directorio de plugins de iceweasel

geonosis:/usr/src# cp /home/jose/install_flash_player_9/npwrapper.libflashplayer.so /usr/lib/iceweasel/plugins

Y ñapa completada, aunque esperemos que en un futuro cercano todo se solucione con un apt-get install

Kernel a lo Debian para un Turion62X2

2007-03-23T12:10:00.000+01:00

Acabo de hacerme con uno de esos portátiles que además son portables (uséase pequeños, con pantalla de 13"), en concreto un HP Pavilion de la serie dv2000. El engendro en cuestión tiende todos los males necesarios como para desechar el kernel de stock, y cito:

Tarjeta wifi Broadcom Wireless 1390
Tarjeta gráfica nVidia Gforce Go
Es un AMD Turion 64 X2

Podría hacer lo típico, compilar los módulos para el hardware no soportado y arreando pero claro, cuando haga un apt-get update y me cambie el kernel la vamos a liar. Además, el nuevo kernel 2.6.20.3 soporta paravirtualización y ya puestos...
Compilar el kernel en Debian tiene su cosa, ya que podemos tratarlo como un paquete más y desinstalarlo más adelante, entre otras cosas. Es por ello que la secuencia de comandos cambia un poco respecto a la manera clásica (a mano) de compilar el núcleo:

Paso previo, instalar los paquetes necesarios:

apt-get install nasm libncurses5 libncurses5-dev gcc make kernel-package

1.- Descargar el kernel

jose@coruscant:/usr/src$ wget http://www.kernel.org/pub/linux/kernel/v2.6/linux-2.6.20.3.tar.bz2

2.- Descomprimir y desempaquetar

jose@coruscant:/usr/src$ bunzip2 linux-2.6.20.3.tar.bz2 ; tar xf linux-2.6.20.3.tar

3.- Entrar en el directorio creado y "limpiar"

jose@coruscant:/usr/src/linux$ make mrproper

4.- Para ahorrarnos lo gordo de la configuración, copiar la configuración existente del kernel de stock

jose@coruscant:/usr/src/linux$ cp /boot/config-2.6.18-4-amd64 ./

5.- Configurar el kernel

jose@coruscant:/usr/src/linux$ make menuconfig (o make xconfig según gustos)

6.- Compilar y crear los paquetes

jose@coruscant:/usr/src/linux$ make-kpkg clean ; make-kpkg --initrd kernel_image kernel_headers

7.- Instalar los paquetes creados en el directorio precedente

jose@coruscant:/usr/src$ dpkg -i kernel-image-xxxxxx.deb kernel-headers-xxxxx.deb

Y ahora ya podemos configurar todo el hardware que queramos sin miedo a las actualizaciones.

Instalar Beryl sin XGL ni AIGLX bajo Debian (y probablemente Ubuntu)

2007-02-20T12:40:00.000+01:00

Para este pequeño how-to he utilizado como S.O Debian Etch para AMD64 y una tarjeta gráfica nVidia GForce7 7100 (los usuarios de ATI o Intel debereis indagar sobre como instalar vuestro controlador de video).
Disfrutar de un entorno 3D con Beryl es realmente sencillo sin necesidad de instalar Xgl que, además, no se encuentra como paquete para Debian. Los pasos a seguir son los siguientes:

1.- Instalar los controladores de nVidia. Para ello necesitamos instalar los paquetes linux-headers y linux-source en las versiones correspondientes a nuestro sistema y mesa-utils:

apt-get install linux-headers-`uname -r` linux-source-`uname -r` mesa-utils

Probamos el soporte opengl

glxgears

Descargamos el instalador del driver de nVidia de la web del fabricante, en mi caso:

wget http://download.nvidia.com/XFree86/Linux-x86_64/1.0-8756/NVIDIA-Linux-x86_64-1.0-8756-pkg2.run

Salimos de las X y paramos el gdm

/etc/init.d/gdm stop

Instalamos el controlador de nVidia (como root):

sh NVIDIA-Linux-x86_64-1.0-8756-pkg2.run

Reiniciamos gdm y deberíamos ver el logo de nVidia un segundo durante la carga

/etc/init.d/gdm start

2.- Editamos xorg.conf y realizamos los siguientes cambios:

Comentamos las líneas (de tenerlas)

# Load "GLcore"
# Load "dri"

y, si no la tenemos, agregamos la siguiente

Load "glx"

En la sección Device añadimos lo siguiente:

Section "Device"
...
...
Option "RenderAccel" "true"
Option "AllowGLXWithComposite" "true"
EndSection

En la sección Screen

Option "AddARGBGLXVisuals" "True"

Y por último añadimos la siguiente sección

Section "Extensions"
Option "Composite" "Enable"
EndSection

Reiniciamos las X y probamos que todo funciona

/etc/init.d/gdm restart

3.- Instalamos los paquetes de beryl, para ello hay que añadir el repositorio correspodiente, pero previamente agraremos el repositorio a pgp

wget http://debian.beryl-project.org/root@lupine.me.uk.gpg -O- | sudo apt-key add -

Editamos /etc/apt/sources.list y añadimos el repositorio

deb http://debian.beryl-project.org/ etch main

Actualizamos la lista de paquetes

apt-get update

E instalamos los paquetes necesarios

apt-get install beryl beryl-core beryl-dev beryl-manager beryl-plugins-data beryl-plugins beryl-settings emerald emerald-themes

4.- Cargamos beryl en el inicio de Gnome utilizando el session manager de gnome:

gnome-session

y agragamos beryl en los programas de inicio

Ahora toca disfrutar del nuevo entorno!

Imprimir de Linux a Linux con cups

2007-02-17T13:03:00.000+01:00

Esta no es una receta sobre como compartir una impresora en Linux para poder imprimir desde un bindous. Lo que vamos a hacer es partiendo de una impresora conectada a una máquina Linux, imprimir desde otra máquina Linux (¿compartir impresora en linux?). Esta receta es, como siempre, para Debian y debería funcionar en Ubuntu u otras distribuciones.

1) Partiendo de que tenemos una máquina Linux con una impresora instalada editamos el fichero de configuración de cups /etc/cups/cupsd.conf y cambiamos unas cosas:

#Listen localhost:631 lo comentamos y lo cambiamos por
Listen *:631

luego, permitimos el acceso desde nuestra subred

Order allow,deny
Allow localhost
Allow From 192.168.1.0/24

Encryption Required
Order allow,deny
Allow localhost
Allow From 192.168.1.0/24

2) Reiniciar cups y configurar la impresora en el equipo remoto

Configurando la tarjeta wifi de un Sony Vaio N21E (VGN-N21E chipset Atheros) en Debian y/o Ubuntu

2007-02-16T14:16:00.000+01:00

Hace unos días le he echado guante a un portátil Sony Vaio VGN-N21E que, entre otras cosas, trae una tarjeta inalámbrica mini-pci con el chipset de Atheros.
La forma de configurar este tipo de dispositivos es realmente sencilla, y este método sirve para todos los que tengais una tarjeta basada en Atheros, en sus diferentes versiones (pci, pcmcia, etc)

1.- Por si nuestro sistema reconoce la tarjeta pero incorpora un controlador antiguo no compatible vamos a desmontar los posibles interfaces inálambricos

coruscant:~# ifconfig ath0 down
coruscant:~# ifconfig wifi0 down

2.- Eliminamos posibles módulos incompatibles que tengamos instalados

coruscant:~# rmmod ath_rate_sample wlan ath_hal ath_pci onoe wlan_wep

3.- Instalamos los paquetes necesarios para poder compilar el nuevo módulo

coruscant:~# apt-get install linux-headers linux-source module-assistant
(Para los que usuais Ubuntu debereis instalar el paquete build-essentials) Ni que decir tiene que la imagen del kernel hay que descomprimirla y crearle el link

cd /usr/src
bunzip linux-image-XXXXXXX.bz2
tar xf linux-image-XXXXXXX.tar
ln -s linux-image-XXXXX/ linux

4.- Descargamos el código fuente del módulo

coruscant:/usr/src# wget http://snapshots.madwifi.org/madwifi-ng-current.tar.gz
coruscant:/usr/src# wget http://patches.aircrack-ng.org/madwifi-ng-r1886.patch

(Nota el patch r1886 es el existente al día de hoy, si el enlace está roto debeis entrar en http://patches.aircrack-ng.org/ y ver la revisión del patch más actual)

5.- Descomprimimos el código del controlador

coruscant:/usr/src#tar zxf madwifi-ng-current.tar.gz

6.- Entramos en el directorio creado y aplicamos el patch

coruscant:/usr/src# cd madwifi-ng-r2119-20070216/
coruscant:/usr/src/madwifi-ng-r2119-20070216# patch -Np1 -i ../madwifi-ng-r1886.patch

7.- Compilamos e instalamos

coruscant:/usr/src/madwifi-ng-r2119-20070216# make
coruscant:/usr/src/madwifi-ng-r2119-20070216# make install

8.- Actualizamos la lista de módulos

coruscant:/usr/src/madwifi-ng-r2119-20070216# depmod -ae

9.- Cargamos el módulo o reiniciamos el sistema y configuramos la wifi

coruscant:/# modprobe ath_pci

Una vez completado, a disfrutar de nuestro nuevo interface

Bot IRC que captura urls y crea un rss

2007-02-10T13:18:00.000+01:00

Para el canal #hardware del IRC-Hispano hemos creado un bot que rastrea las conversaciones en busca de una url y crea un rss que luego importaremos desde Wordpress, para componer la web http://www.cajondesastre.net.

Estoy terminando un segundo módulo que ha de subir este rss por ftp para mantenerlo en pseudo tiempo real accesible.

El código fuente del bot está accesible en este enlace.

Creación rápida de firewalls para Iptables

2007-02-07T20:42:00.000+01:00

Como dice el anuncio... llega un momento en la vida en que tienes el firewall tan depurado que lo vas reutilizando instalación tras instalación. Pero, cuando no te quieres complicar o ese usuario novel te pide que le expliques como hacerse un firewall, la mejor opción es Easy Firewall Generator for iptables.

En pocos minutos puedes tener un buen script para iptables funcionando.

Java SDK para Debian Etch i586/AMD64

2007-02-01T03:47:00.000+01:00

Aunque este es un post muy recurrente y suficientemente explicado en cientos de blogs, sigue habiendo mucha gente que se lía a la hora de instalar el paquete.
En lugar de utilizar los repositorios non-free habituales, he aquí los pasos para realizar una instalación de Java a partir de las versiones oficiales:

1) Descargarse el paquete Java apropiado para nuestra versión (i586 o AMD64), desde el site oficial de Sun.

2) Instalar los paquetes fakeroot y java-package

coruscant:/home/jose# apt-get install fakeroot java-package

3) Le damos permiso de ejecución al fichero .bin que nos hemos bajado

jose@coruscant:~/Downloads$ chmod +x jdk-6-linux-amd64.bin

4) Con un usuario sin privilegios creamos el paquete .deb

jose@coruscant:~/Downloads$ fakeroot make-jpkg jdk-6-linux-amd64.bin

4.1) Si nos hemos descargado la "versión 6" y nos da un error el paso 4, renombramos el paquete para engañar al make-jpkg y volvemos al paso anterior (es una ñapa, lo se):

jose@coruscant:~/Downloads$ mv jdk-6-linux-amd64.bin jdk-1_5_0_09-linux-amd64.bin

5) Como root, instalamos el paquete creado

coruscant:/home/jose/Downloads# dpkg -i sun-jdk-6_amd64.deb

Deteccion de intrusos más amigable

2007-01-31T20:57:00.000+01:00

Snort es el IDS (Sistema de Detección de Intrusos) probablemente más conocido entre los usarios del software libre. Actúa como sniffer analizando el tráfico de red y comparándolo con reglas pre-establecidas para ataques tipo. Cuestiones de especial relevancia como mantener estas reglas actualizadas o analizar los abstractos reportes se hacen un poco pesadas sin ayuda:

Oinkmaster es un script perl que nos permite mantener las reglas de Snort al día sin grandes complicaciones, incluso añadiéndolo al cron para que la actualización sea totalmente desatendida.

Razorback es un software de análisis de reportes de Snort para Gnome, que nos permite ir viendo en tiempo real las incidencias recogidas por los patrones del IDS.

El "panadero" de Gnome o como grabar CD/DVD

2007-01-31T00:35:00.000+01:00

Se hace atractivo utilizar las QT en los tiempos que corren, sobre todo con aplicaciones tan fantásticas como K3b pero, si te invade ese romanticismo anárquico que te impide instalar estas librerías puedes optar por Gnomebaker.
Gnomebaker es el software de grabación de Gnome aunque, generalmente no viene instalado por defecto en las distribuciones, pero se encuentra en los repositorios sin mayores problemas.
Con esto quedais respondidos todos aquellos que habeis preguntado por un software de grabación "casi" tan fantástico como K3b pra Gnome.

Eliminar la posibilidad de imprimir desde Firefox

2007-01-18T09:42:00.000+01:00

En ciertas ocasiones, como puede ser el caso de un kiosk o para que los niños no gasten tinta, puede interesarnos deshabilitar la impresora en el navegador.
Para ello debemos editar/crear un fichero user.js dentro del directorio de configuración de Firefox o editar la configuración desde el propio navegador tecleando la dirección about:config, cambiando/creando las siguientes entradas:

user_pref("print.always_print_silent ", true);
user_pref("print.show_print_progress", false);
user_pref("browser.sessionstore.resume_from_crash", false);

Reiniciar Firefox y trabajo completado.

Imprimir en una HP LaserJet 1018 bajo Linux

2006-12-30T19:45:00.000+01:00

La HP1018 es de esas impresoras soportadas "a medias" en Linux, que si, que imprime perfectamente pero que hay que darle unas cuantas vueltas antes de conseguirlo.

Buscando en Google existen muchas formas de hacerlo todo automático utilizando hotplug pero nosotros vamos a hacerlo más "a mano" y más rápido:

1) Lo primero va a ser instalar la impresora utilizando gnome-cups-manager u otra aplicación similar.

2) Viendo que el driver utilizado es el de foo2zjs debemos instalar este paquete:
jose@tatooine:~$ apt-get install foo2zjs

3) La impresora necesita cargar el firmware antes de comenzar, con lo que lo descargarmos:
jose@tatooine:~$ getweb hp1018

4) Convertirmos el archivo.img descargado en un firmware válido:
jose@tatooine:~$ arm2hpdl sihp1018.img > /usr/share/foo2zjs/firmware/sihp1018.dl

5) Creamos un script (cargafirmware.sh) que cargue el firmware en la impresora:
#!/bin/bash
cat /usr/share/foo2zjs/firmware/sihp1018.dl > /dev/usb/lp0
echo "Firmware de la impresora cargado!"
sleep1

6) Ponemos el script en el arranque del sistema para no tener que ejecutarlo de cada vez:
ln -s /root/cargafirmware.sh /etc/rc2.d/S99cargafirmware

Este método debería funcionar para otros modelos de impresoras que padezcan de lo mismo.

Creando copias de seguridad del Master Boot Record

2006-12-14T18:50:00.000+01:00

En ocasiones, cuando conviven diferentes sistemas operativos en la misma máquina o por haber tocado donde no se debe, perdemos el arranque de nuestro sistema. La solución habitual pasa por iniciar el sistema utilizando un CD/DVD Live u otro medio de arranque y, utilizando chroot, ejecutar los comandos pertinentes que regeneren el gestor de arranque. La siguiente propuesta se basa en realizar un backup de MBR a un fichero utilizando dd para, en caso de "desastre" poder recuperarlo de nuevo.

Instrucción para crear la copia de seguridad:

dd if=/dev/disco_duro_arranque of=fichero.bkp bs=512 count=1

Ejemplo: dd if=/dev/sda of=/media/usbdisk/copia.boot bs=512 count=1

Instrucción para recuperar el MBR:

dd if=fichero.bkp of=/dev/disco_duro_arranque bs=512 count=1

Deshabilitar Ctlr+Alt+Backspace en X

2006-12-05T12:19:00.000+01:00

A la hora de configurar un kiosko u otro equipo en el que no queremos que los usuarios puedan saltar a las consolas, nos las tenemos que dar de bruces contra las combinaciones de teclas típicas:

Ctrl+Alt+Backspace que reinicia las X
Ctlr+Alt+(F1,F2,F3...) que salta a entorno texto

La solución pasa por tocar el fichero de configuración de xorg (/etc/X11/xorg.conf) y añadir la siguiente sección (si no existe):

Section "ServerFlags"
Option "DontZap" "yes"
EndSection

Otra opción sería invocar el xinit con la opción -T (xinit -T) pero se complica si queremos utilizar un gestor de inicio gráfico.

OSSTMM - El manual de referencia para el auditor de seguridad

2006-11-09T16:59:00.000+01:00

A la hora de asegurar un sistema cada administrador utiliza sus aplicaciones de detección de intrusos preferida, una configuración particular, etc. En realidad no se suele seguir una metodología contrastada más que la de la propia experiencia.
La asociación ISECOM además de formar a auditores de seguridad en sus conocidas "Hackers High School", mantienen actualizado el Open Source Security Testing Methodology Manual, disponible su última versión pdf en cristiano se puede descargar aquí.

Sistemas multimonitor con Xorg

2006-11-07T13:15:00.000+01:00

Instalar un sistema multimonitor con Xorg es realmente sencillo. En este ejemplo me baso en un equipo con Debian Etch instalada y una tarjeta gráfica ATI Radeon 9200 AGP.

Lo primero es instalar la extensión Xinerama, que nos permitirá expandir nuestro escritorio:

apt-get install libxinerama1

Luego debemos clonar la configuración de nuestra tarjeta(s) y la del(os) monitor(es), en la que nuestro fichero /etc/X11/xorg.conf quedaría de la siguiente forma (he obviado los parámetros no significativos):

Section "Device"
#Salida VGA que ya habia configurado Xorg durante la instalacion
Identifier "ATI Technologies Inc RV280 [Radeon 9200]"
Driver "ati"
BusID "PCI:1:0:0"
VideoRam 65536
#A continuacion le indicamos que no clone la imagen
Option "Clone" "false"
#Indicamos el orden las salidas
Option "MonitorLayout" "CRT,LFP"
#Agregamos un identificador
Screen 0
EndSection

Section "Device"
#Salida DVI que debemos crear copiando la configuracion
#de la primera salida
Identifier "ATI DVI"
Driver "ati"
BusID "PCI:1:0:0"
#Agregamos un identificador
Screen 1
EndSection

Section "Monitor"
#Configuracion realizada por Xorg
Identifier "Monitor genérico"
Option "DPMS"
HorizSync 30-70
VertRefresh 59-76
EndSection

Section "Monitor"
#Creamos un nuevo dispositivo, en mi caso un monitor CRT
Identifier "Monitor CRT"
Option "DPMS"
HorizSync 30-70
VertRefresh 59-76
EndSection

Section "Screen"
#Configuración generada por Xorg
Identifier "Default Screen"
Device "ATI Technologies Inc RV280 [Radeon 9200]"
Monitor "Monitor genérico"
DefaultDepth 24
SubSection "Display"
Depth 24
Modes "1152x864" "1024x768" "800x600" "640x480"
EndSubSection
EndSection

Section "Screen"
#Configuración creada para el monitor CRT que irá a la derecha
Identifier "RightScreen"
Device "ATI DVI"
Monitor "Monitor CRT"
DefaultDepth 24
SubSection "Display"
Depth 24
Modes "1152x864" "1024x768" "800x600" "640x480"
EndSubSection

EndSection

Section "ServerLayout"
#Sustituímos el ServerLayout por defecto por este otro que cargue
#los dos monitores.
Identifier "Dual Monitor"
Screen 0 "Default Screen" 0 0
Screen 1 "RightScreen" RightOf "Default Screen"
InputDevice "Generic Keyboard"
InputDevice "Configured Mouse"
Option "Xinerama" "true"
EndSection

Por último nos queda reiniciar el servidor Xorg y disfrutar de nuestro nuevo monitor expandido.

Python: Backup de una carpeta contra un servidor FTP remoto

2006-11-07T10:11:00.000+01:00

Sin lugar a dudas para cosas serias se debe utilizar rsync pero cuando tienes un equipo poco accesible y necesitas mover los ficheros de un directorio a un servidor FTP, esta porción de código puede resultar útil:

#!/usr/bin/env python
# -*- coding: utf-8 -*-

import glob
import os
import string
from ftplib import FTP

#Path donde se encuentran los ficheros

rutaFicheiros = ?/home/jose/Documentos/*?

#Parametros de la conexion
ipServFTP = ?194.224.52.4?
ftpUser = ?jose?
ftpPasswd = ?mypasswdRocks?
ftpDir = ?/Backups/Documentos?

def atopaFicheiros(ruta):
?'?
Lista todos los ficheros de una ruta dada y devuelve
una lista con todos los paths absolutos.
?'?
listadoPaths = []
if len(ruta) > 0:
listadoPaths = glob.glob(ruta)
else:
pass
return listadoPaths

def subeFicheirosFTP(ip,usuario,passwd,directorio,ficheiros):
?'?
Sube un listado de ficheros dado a un directorio de un
servidor ftp remoto.
?'?
print ?Estableciendo conexion??
conexion = FTP(ip)
conexion.login(usuario,passwd)
conexion.cwd(directorio)
print ?Subiendo ficheiros??

for i in ficheiros:
try:
ficheiroLocal = open(i,?rb?)
nomeFicheiro = string.split(i,?/')[1:]
conexion.storbinary(?STOR ? + nomeFicheiro, ficheiroLocal, 1024)
ficheiroLocal.close()
pipe = os.popen(?rm ?? + i +???)
except:
print ?Non se puido subi-lo arquivo ? + i
conexion.close()
conexion = FTP(ip)
conexion.login(usuario,passwd)
conexion.cwd(directorio)
print ?Conexion re-establecida?

conexion.close()

if __name__ == ?__main__?:
listaXmls = atopaFicheiros(rutaFicheirosXML)
subeFicheirosFTP(ipServFTP,ftpUser,ftpPasswd,ftpDir,listaXmls)

Truco Python: romper una cadena en subcadenas de X tamaño

2006-11-07T10:10:00.001+01:00

Con la siguiente función vamos a conseguir dividir un string en X substrings de un tamaño dado (muy útil por ejemplo para completar formularios). Es una función muy recurrida, al menos por mi:

def splitCount(s, count):

return [?".join(x) for x in zip(*[list(s[z::count]) for z in range(count)])]
Para los que empezais con Python, la forma de usarla sería:

myString = ?Esta cadena de pruebas la vamos a romper en cachitos?
LengthOfPieces = 6
a = splitCount(myString, LengthOfPieces)
print a

Grabar imágenes CD/DVD de Nero en Linux

2006-11-07T10:10:00.000+01:00

Para los que tengais la necesidad de grabar imágenes de Nero en Linux lo único que necesitais es convertirlas a formato .iso. Para ello hay una utilidad preciosa llamada nrg2iso:

jose@tatooine:~$ apt-cache search nrg2iso
nrg2iso - Extracts ISO9660 data from Nero ?.nrg? files
jose@tatooine:~$ sudo apt-get install nrg2iso
Una vez instalado la sintaxis es realmente sencilla:

nrg2iso imagen.nrg imagen.iso

Configurar un RAID con mdadm

2006-11-07T10:09:00.000+01:00

El funcionamiento de mdadm es similar al de otras herramientas como raidtools (kernel 2.4).
Para crear un dispositivo RAID, debemos modificar el fichero de configuración de mdadm en /etc/mdadm.conf:

DEVICE /dev/dispositivo(s)
ARRAY /dev/md(id_array) devices=/dev/disco1,/dev/disco2?.

Ejemplo de configuración para un array de dos discos /dev/sda y /dev/sdb:

DEVICE /dev/sd[ab]1
ARRAY /dev/md0 devices=/dev/sda1,/dev/sdb1

A continuación debemos crear el array utilizando la configuración que hemos guardado. En este ejemplo crearemos un array en modo mirroring:

$mdadm ?create /dev/md0 ?level=raid1 ?raid-devices=2 /dev/sda1 /dev/sdb1

Ahora solo nos queda formatearlo y comenzar a utilizarlo:

$mkfs.ext3 /dev/md0

Para establecer un punto de montaje en el inicio de sistema debemos crearle una entrada en /etc/fstab:

/dev/md0 / ext3 defaults 0 0

Soporte para RAID por software en Linux

2006-11-07T10:08:00.000+01:00

El soporte de RAID por software es soportado por el kernel de Linux sin mayores problemas, en todos los modos de RAID que deseemos, combinaciones inclusive. También se soporta el uso de uno o más ?spare disks?, utilizados como ?discos reserva? en caso de que alguno de los discos del RAID falle. Cuando el sistema operativo detecta un fallo de discos, automáticamente comienza la réplica de datos al nuevo disco, minimizando la posibilidad de pérdida de datos y dándonos un tiempo adicional para sustituír el disco averiado.

Generalmente las distribuciones incluyen un módulo precompilado para soportar RAID por software, aunque puede estableceser de forma manual recompilando el kernel de forma que se active la opción:

Multiple devices driver support (RAID and LVM) (CONFIG_MD) [Y/n/?] y
RAID support (CONFIG_BLK_DEV_MD) [M/n/y/?] y
Linear (append) mode (CONFIG_MD_LINEAR) [M/n/y/?] y
RAID-0 (striping) mode (CONFIG_MD_RAID0) [M/n/y/?] y
RAID-1 (mirroring) mode (CONFIG_MD_RAID1) [M/n/y/?] y
RAID-4/RAID-5 mode (CONFIG_MD_RAID5) [M/n/y/?] y

Una vez compilado, para certificar que el módulo se ha cargado podemos revisar el log de arranque:

jose@pequerrecho:~$ dmesg | grep md
[17179599.548000] md: md driver 0.90.3 MAX_MD_DEVS=256, MD_SB_DISKS=27
[17179599.548000] md: bitmap version 4.39

Este mensaje nos indica que el módulo está cargado y listo para detectar dispositivos RAID. Durante el proceso de autodetección, el kernel trata de buscar particiones marcadas como 0xFD (Linux RAID autodetect). Con fdiks podemos ver y/o editar los tags de una partición:

jose@pequerrecho:~$ fdisk -l /dev/hda
Disk /dev/hda: 100.0 GB, 100030242816 bytes255 heads, 63 sectors/track, 12161 cylinders
Units = cylinders of 16065 * 512 = 8225280 bytes
Device Boot Start End Blocks Id System
/dev/hda1 * 1 12095 97153056 fd Linux raid autodetect
/dev/hda2 12096 12160 522112+ fd Linux raid autodetect

¿En qué consiste RAID?

2006-09-29T15:28:00.000+02:00

RAID consiste en una serie de algoritmos de escritura de bloques de datos (data blocks) en múltiples discos duros. Cada modo o nivel de RAID especifica de qué forma se realizará esta escritura en los discos.
Las dos propiedades que hacen indispensable a RAID son: redundancia y velocidad. Cada nivel de RAID especifica la forma que se aprovecharán estas propiedades, velocidad de lectura/escritura, redundancia de datos o una combinación de ambas propiedades.

NIVELES DE RAID

Los niveles de RAID se nombran con un número entero, siendo los niveles más utilizados: RAID0, RAID1, RAID5 y combinaciones de los mismos (RAID0+1, RAID1+0)

RAID0 (stripping): es el nivel de RAID en que se sacrifica la redundancia en favor de la eficiencia. En este nivel se consiguen unas tasas de transferencia de lectura/escritura ideales calculables con la siguiente fórmula:

eficiencia lectura = velocidad lectura de 1 disco * número de discos
eficiencia escritura = velocidad escritura 1 disco * número de discos

Existe la creencia entre las comunidades de usuarios de en nivel 0 los bits se distribuyen de forma equitativa bit a bit entre los discos. Esto no es cierto, la repartición de datos se realiza bloque a bloque, de forma que dos bloques de datos consecutivos estarán en dos discos duros diferentes que conformen el RAID.
Al no disponer de redundancia, en nivel 0 no se dispone la posibilidad de recuperación de datos.
El mínimo número de discos necesarios para conformar un RAID0 es 2.

RAID1 (mirroring): es probablemente el nivel más utilizado en pequeños servidores. Se provee de redundancia aunque la eficiencia en escritura se ve sacrificada (debido a la redundancia). La eficiencia de este nivel puede calcularse en condiciones ideales con la siguiente fórmula:

eficiencia lectura = velocidad lectura 1 disco
eficiencia escritura = velocidad escritura 1 disco / número de discos

En este nivel cada bloque de datos es copiado en todos los discos de conforman el RAID, de forma que si un disco duro ?se cae?, los datos pueden regenerarse en un nuevo disco a partir de las copias contenidas en los restantes discos que conforman el RAID.
El número mínimo de discos necesarios para conformar un RAID1 es 2.

RAID5 (stripping with parity): es una mezcla entre RAID0 y RAID1 con la salvedad de que los bloques de datos y paridad se distribuyen entre todos los discos, en lugar de mantener imágenes de los mismos. Los cálculos de paridad se efectúan con cada proceso de escritura y son utilizados para regenerar los bloques de datos ante un fallo. Al mismo tiempo los bloques de datos consecutivos se almacenan en discos diferentes con lo que se aumenta al rendimiento tanto en lectura como en escritura. La eficiencia de un RAID5 en condiciones ideales podría calcular con la siguiente fórmula:

eficiencia lectura = velocidad 1 disco * número de discos
eficiencia escritura = velocidad 1 disco * (número de discos - 1)

RAID0+1 y RAID1+0 son modos avanzados que juntan los beneficios de RAID0 y RAID1 realizando ?grupos de RAIDs?. RAID0+1 por ejemplo, es el modo ?stripping? de un grupo de discos creando una unidad lógica mayor que los contenga en un nivel ?mirroring?. A modo de ejemplo, un RAID0+1 de 100GB estaría compuesto por 10 discos de 20GB, donde cada bloque de datos sería escrito en modo RAID0 sobre 5 discos y luego replicado en modo RAID1 sobre el otro RAID0 con los 5 discos restantes. El modo RAID1+0 es el efecto inverso.

Copias de seguridad por e-mail?

2006-09-26T12:14:00.000+02:00

Hace unos días alguien me planteó la posibilidad de tener un script en el cron que enviase por correo electrónico los logs del servidor ftp. Sin lugar a dudas rsync es el rey de las copias de seguridad pero ... vamos a hacerlo con un poco de Python:

!/usr/bin/env python
# -*- coding: iso-8859-15 -*-

import zipfile
import glob, os, socket
import email
import smtplib
from email.MIMEMultipart import MIMEMultipart
from email.MIMEBase import MIMEBase
from email.MIMEText import MIMEText
from email.Utils import COMMASPACE, formatdate
from email import Encoders

rutaFicheirosLog="/var/log/vsftdp*"
logsComprimidos="/tmp/ficheiroslog.zip"
correoSuxeito="Logs vsftpd para " + socket.gethostname()
correoCorpo="Documento adxunto comprimido Zip"

def sendMail(to, subject, text, files=[], server="smtp.meuservidor.com"):
assert type(to) == list
assert type(files) == list
fro = "Administrador_Sistemas "

msg = MIMEMultipart()
msg['From'] = fro
msg['To'] = COMMASPACE.join(to)
msg['Date'] = formatdate(localtime=True)
msg['Subject'] = subject

msg.attach( MIMEText(text) )

for file in files:
part = MIMEBase('application', "octect-stream")
part.set_payload( open(file,"rb").read() )
Encoders.encode_base64(part)
part.add_header('Content-Disposition', 'attachment; filename="%s"' % os.path.basename(file))
msg.attach(part)

smtp = smtplib.SMTP(server)
smtp.sendmail(fro, to, msg.as_string())
smtp.close()

def atopaReportes(ruta):
lstReportes = []
lstReportes = glob.glob(ruta)
return lstReportes

if __name__=="__main__":

ficheiroZip = zipfile.ZipFile(logsComprimidos,"w")
listadoLogs = atopaReportes(rutaFicheirosLog)

for ficheiro in listadoLogs:
ficheiroZip.write(ficheiro, os.path.basename(ficheiro), zipfile.ZIP_DEFLATED)

ficheiroZip.close()

sendMail(["jose@meuservidor.com"], correoSuxeito, correoCorpo, ["/tmp/ficheiroslog.zip"])

Es un poco trivial, pero para echarlo a andar por casa viene siendo útil.

Controlando las X-Windows remotamente

2006-09-11T13:18:00.000+02:00

Muchos usuarios de Microsoft Windows suelen echarme por cara la facilidad que les supone el controlar máquinas de forma remota utilizando productos como Symantec PC Anywhere o Radlink Remote Administrator.
Casi todo el mundo conoce VNC pero, personalmente no termina de atraerme la gran cantidad de recursos que consume. A continuación vamos a listar un par de opciones válidas para Linux:

OPCION 1: "Compartir el monitor" y lanzar aplicaciones en una máquina remota visualizándolas en el equipo local (muy útil en redes locales). Es decir, podemos tener un servidor X-Window ligero lanzado en un 486 a 66 Mhz, compartir el monitor del 486, conectarnos a una estación más potente y lanzar desde allí los procesos, por ejemplo el Firefox y, por qué no? ... el Quake. (Más de uno se quedaría de piedra viéndolo)
Los pasos para conseguirlo son los siguientes:

1.- Desde una sesión X-Window que tengamos lanzada, abrimos un terminal y "compartimos el monitor" con xhost:

jose@pequerrecho:~$ xhost +192.168.1.32
192.168.1.32 being added to access control list

En este caso permitimos que la ip 192.168.1.32 pueda utilizar nuestro servidor X. Si queremos abrir acceso para todo el mundo:

jose@pequerrecho:~$ xhost +
access control disabled, clients can connect from any host

2.- Nos conectamos a la máquina remota desde la que queremos lanzar las aplicaciones:

jose@pequerrecho:~$ ssh jose@192.168.1.32
password:
jose@maquina2:~$

3.- Indicamos a la máquina remota que queremos usar el servidor X de nuestra máquina:

jose@maquina2:~$ export DISPLAY=192.168.1.32:0.0

4.- Lanzamos la aplicación en el equipo remoto y la visionamos en nuestro pc local:

jose@maquina2:~$ firefox &

OPCION 2: Permitir login gráfico remoto con XDMCP

Esta opción nos permite acceder a nuestro "Desktop Manager" favorito de forma remota, como si estuviésemos en el equipo local. Utilizando GDM es realmente fácil:

1.- Como root lanzamos el configurador de GDM:

jose@pequerrecho:~$ gdmsetup

2.- En la pestaña "Remota", activamos la entrada remota, en principio igual que la entrada local.

3.- Reiniciamos GDM pulsando (Ctrl + Alt + BackSpace)

4.- Desde el equipo cliente iniciamos la sesión remota:

jose@equiporemoto:$ X -query ip_servidor_XDMCP

NOTA DE SEGURIDAD: Hay que tener muy en cuenta, sobre todo si las máquinas están expuestas que hay un número de puertos que debemos asegurar/denegar/filtrar para las ips interesadas. Además, estos servicios deberían correr bajo túneles ssh como medida extra de seguridad.

Spamassassin, no más correo basura en Evolution

2006-09-11T09:57:00.000+02:00

Los spammers utilizan cada día técnicas más enrevesadas para saltarse el software anti-spam y los filtros de muchos proveedores de correo se confunden (como Dinio) y dejan pasar demasiada basura (como por ejemplo Terra).
SpamAssassin es una herramienta muy popular y hay paquetes disponibles para la gran mayoría de distribuciones, listos para instalar en un click. En nuestra distribución favorita es realmente fácil:

apt-get install spamassassin

Para los que opten por una instalación manual, SpamAssassin requiere Perl y los siguientes módulos: perl-Time-HiRes, perl-Digest-SHA1, perl-Digest-HMAC y perl-Net-DNS.

La integración de SpamAssassin con Evolution es realmente buena, simplemente debemos de tener el demonio de SpamAssassin corriendo y decirle a Evolution que lo utilice. Para ello, lo primero será configurar SpamAssasin para arranque como demonio editando el fichero de configuración /etc/default/spamassassin y cambiando el valor de ENABLED a 1, ya que por defecto es 0:

# /etc/default/spamassassin
# Duncan Findlay
# WARNING: please read README.spamd before using.
# There may be security risks.
# Change to one to enable spamd
ENABLED=1

Luego iniciamos el demonio:

/etc/init.d/spamassassin start

Por último nos queda indicarle a Evolution que debe usar SpamAssassin (en la mayoría de los casos ya está activado). Debemos de clickar en el menú Editar/Complementos y activar la casilla "Complemento de filtro de spam con SpamAssassin".
A partir de ahora el correo basura irá directamente a la carpeta "Spam" (o Junk según el idioma de instalación). Si se cuela algún correo indeseable o SpamAssassin se equivoca e impide la entrada de correos válidos, podemos entrenarlo marcando o desmarcando como spam los correos que deseemos.

Escritorio 3D en el portátil sin morirse en el intento

2006-09-05T16:15:00.000+02:00

Parece ser que están de moda los escritorios 3D con XGL pero claro, no todo el mundo tiene una tarjeta gráfica nVidia o ATI. En mi caso particular la experiencia ha sido sobre un portátil con tarjeta gráfica de Intel y driver i810.
La gran premisa es conseguir un entorno bonito, lleno de efectos que ponga a trabajar a la gráfica pero que el rendimiento de la máquina no caiga. Los pasos para conseguirlo bajo Ubuntu 6.0.6 son los siguientes:

1.- Añadir los repositorios necesarios para descargarse los paquetes:

deb http://xgl.compiz.info/ dapper main aiglx
deb-src http://xgl.compiz.info/ dapper main aiglx

2.- Instalar los módulos de DRI:

sudo apt-get install linux-dri-modules-common
sudo apt-get install linux-dri-modules-`uname -r`

3.- Instalar los siguientes paquetes:

sudo apt-get install xserver-xorg-air-core, compiz, compiz-gnome, gnome-compiz-manager

4.- Enlazar los módulos del antiguo servidor X al nuevo, de lo contrar xorg-air se quejará de que no encuentra los drivers especificados en /etc/X11/xorg.con:

sudo ln -s /usr/lib/xorg/modules/drivers/ /usr/lib/xorg-air/modules/drivers
sudo ln -s /usr/lib/xorg/modules/input/ /usr/lib/xorg-air/modules/input

5.- Editar el fichero de configuración /etc/X11/xorg.conf y tocar los siguientes parámetros:

* En la sección Modules:

Load "dri"
Load "dbe"
Load "glx"
y comentar #Load "GLCore"

* En la sección Device:

Option "XAANoOffscreenPixmaps"

* En ServerLayout:

Option "AIGLX" "true"

* En DRI (probablemente ya esté así):

Section "DRI"
Mode 0666
EndSection

* Crear una sección Extensions:

Section "Extensions"
Option "Composite" "Enable"
EndSection

6.- Tocar la configuración del GDM para que cargue el nuevo servidor X en /etc/gdm/gdm.conf-custom , añadiendo las siguientes líneas al final del fichero:

[servers]
0=aiglx
[server-aiglx]
name=aiglx server
command=/usr/bin/Xorg-air :0
flexible=true

7.- Reiniciar GDM para que cargue la nueva configuración:

sudo /etc/init.d/gdm restart

8.- Tocar el script de arranque de compiz para optimizar la ejecución, en /usr/bin/compiz-start:

#Comentar esta línea: nohup compiz --strict-binding --indirect-rendering --replace dbus csm > /dev/null & exit;

Y añadir esta otra a continuación:

nohup compiz --strict-binding --indirect-rendering --replace gconf decoration wobbly fade minimize cube rotate zoom scale move resize place switcher > /dev/null & exit;

9.- Activar GLDesktop dando con el botón derecho en el icono colocado en la barra de tareas o lanzando la aplicación gnome-compiz-preferences:

jose@pequerrecho:/usr/bin$ gnome-compiz-preferences

10.- Lanzar compiz tecleando:

jose@pequerrecho:/usr/bin$ compiz-start

11.- (Opcional)Tras probar que todo está a nuestro gusto, meter compiz en el arranque de Gnome o crear un lanzador para el comando compiz-start.

Portátiles con Intel SpeedStep AMD Powernow

2006-07-24T18:10:00.000+02:00

Uno de los problemas más comunes que se suele tener con Linux viene dado a la hora de configurarlo en dispositivos portátiles, especialmente en lo que a gasto de batería se refiere. Y es que muchas de nuestras distribuciones no habilitan por defecto la gestión inteligente de energía, y surge la duda de que el sistema de Microsoft sea más eficiente. Veamos en pocos pasos como habilitar la gestión inteligente de energía:

1.- Instalar el módulo correspondiente a nuestro procesador, según sea su fabricante:

Para Intel Mobile : modprobe speedstep-centrino
Para AMD Mobile: modprobe powernow-k7
Para AMD64 Mobile: modprobe powernow-k8

Una vez comprobado que el módulo funciona no queda más que añadirlo a nuestro /etc/modules para que se cargue en el arranque del sistema.

2.- Instalar los módulos de gestión de velocidad, que se encuentran en /lib/modules/version_de_kernel/kernel/drivers/cpufreq, los cuales podemos cargar de nuevo en /etc/modules:

freq_table
cpufreq_powersave
cpufreq_userspace

3.- Instalar el demonio que gestionará la velocidad. Aquí tenemos dos opciones cpudyn y powernowd y, aunque el segundo suena similar a la tecnología de AMD funciona igual de bien con Intel:

cpudyn: utiliza el módulo cpu_powersave y conmuta el micro entre la velocidad máxima y mínima, sin estados intermedios, con lo que el rendimiento de la máquina es bueno y en usos que no demanden de mucho proceso, el ahorro de energía es notable.

powernowd: utiliza el módulo cpu_userspace y conmuta los valores entre máximo y mínimo pasando por estados intermedios con lo que el ahorro de batería es superior a cpudyn pero la máquina se muestra más lenta.

Personalmente prefiero powernowd ya que lo que me interesa cuando estoy funcionando con baterías es que éstas se aprovechen al máximo alargando el tiempo de operatibilidad.

4.- Instalar un applet para nuestro entorno gráfico favorito que nos muestre en cada instante la velocidad del micro, como gnome-applets y kpowersave

Y quien quiere un Cisco o un Checkpoint?

2006-07-23T23:59:00.000+02:00

Todos tenemos nuestro viejo ordenador tirado en el trastero sin hacer nada, en mi caso es un HP Intel Pentium 233MX con 32Mb de ram. Me he propuesto darle uso a base de pinguino y no hay mejor aplicación que reconvertirlo en un firewall al estilo de los Cisco Systems o Checkpoint.
Para ello simplemente debemos equipar nuestra vieja máquina con dos tarjetas de red o una tarjeta para la Lan y un módem ADSL compatible compatible con Linux (uno compatible como el de Telefónica, no como el Sagem feo que me envió a mi Wanadoo). Acto seguido podemos instalar nuestra distribución favorita y ponerle un buen script de iptables, aunque hay una forma de obtener un firewall realmente profesional y en cinco minutos.
Existen dos distribuciones ideales para este propósito como son SmoothWall e IPCop, que convierten nuestro equipo en un router potentísimo en un par de minutos. Todo con gestion gráfica remota mediante https, detección de intrusos, logs, actualizaciones remotas, VPN, etc

Monitorización de redes con Nagios

2006-07-20T23:59:00.000+02:00

Cada administrador de sistemas tiene sus reglas y sus políticas, más o menos acertadas en lo que a la monitorización de sus redes se refiere y utiliza unas herramientas y otras basándose en su experiencia. Lo que me dice mi experiencia es lo siguiente:
Cierto es que existen herramientas indispensables como sniffers que nos ayudan a resolver incidencias en problemas puntuales, pero acaso tendrías un sniffer corriendo todo el día? También existen los típicos "pingeadores" como Smokeping que hacen bien lo que tienen que hacer, un ping y te avisa si la máquina no responde (acaso eso no puede hacerse con bash?).
A mi entender monitorizar una red es sinónimo de monitorizar los servicios que se ofrecen, junto con aquellos dispositivos que se consideran indispensables, como por ejemplo el router y para realizar estas tareas a mi siempre me ha funcionado Nagios. Con Nagios no sólo se puede monitorizar que una máquina esté levantada sinó que podemos ver que el servidor ftp que aloja está funcionando y que el servidor bind9 acepta escuchas. Es muy útil para mantener un historial de fallas cuando ofreces servidores de servicios como: smtp, imap, pop, ftp, www, dns, etc
Existen ejemplos de configuración muy instructivos en Bulma, Deusto y Nagios-howto.

Denegar acceso a MSN Messenger / Hotmail

2006-07-20T14:55:00.000+02:00

Para los que tengais que administrar redes corporativas probablemente os interesará evitar que los usuarios de la red interna accedan al chat del MSN Hotmail. Basándonos en el script iptables que está posteado en este mismo blog, he aquí unas pequeñas líneas complementarias para denegar el acceso a este servicio:

iptables -A tcp_outbound -p TCP -s 0/0 --destination-port 1863 -j REJECT
iptables -t mangle -A PREROUTING -p tcp --dport 1863 -j DROP
iptables -t mangle -A PREROUTING -d 63.208.13.126 -j DROP
iptables -t mangle -A PREROUTING -d 64.4.12.200 -j DROP
iptables -t mangle -A PREROUTING -d 64.4.12.201 -j DROP
iptables -t mangle -A PREROUTING -d 65.54.131.249 -j DROP
iptables -t mangle -A PREROUTING -d 65.54.194.118 -j DROP
iptables -t mangle -A PREROUTING -d 65.54.211.61 -j DROP
iptables -t mangle -A PREROUTING -d 207.46.104.20 -j DROP
iptables -t mangle -A PREROUTING -d 207.46.110.2 -j DROP

Kioslaves, atajos útiles en KDE

2006-07-20T12:48:00.000+02:00

Tan bien me han hablado de Kubuntu que he tenido que probarlo en el último portátil de Hewlett Packard que ha caído en mis manos (a que si Rubén!).
Había oído hablar de las "kioslaves" unos atajos que vienen con Konqueror y que facilitan ciertas tareas al usuario. Aunque hay una gran cantidad de kioslaves, los que me han parecido más útiles son los siguientes (por cierto, para utilizarlos simplemente teclearlos en la barra de direcciones de Konqueror):

smb:/, accede a recursos compartidos windows en red
fish:/, establece una conexión ssh con un equipo remoto
pop3:/, imap:/ y smtp:/, se conectan a diferentes servidores de correo
ftp:/ y sftp:/, cliente ftp y ftp seguro

Por ejemplo, si quiero conectarme con ssh a mi otra máquina de red de forma gráfica, simplemente he de teclear fish://mi_usuario@ip_de_mi_maquina (pensar que hay gente que utiliza VNC para lo mismo). Otro ejemplo útil sería el descubrir los recursos compartidos de los windozes que hay en red, con un simple smb://

Teneis un listado más completo en Linux Magazine.

pyHardware, un bot IRC escrito en Python

2006-07-17T13:14:00.000+02:00

Como había comentado en post anteriores, es francamente sencillo implementar un simple bot IRC de ayuda utilizando pyIRClib. Este módulo nos da el protocolo totalmente másticado y además incluye el módulo pyIrcBot, muy útil para este caso.
Al bichejo en cuestión lo he llamado pyHardware y su finalidad es la de realizar búsquedas en google y mostrar los resultados en el canal. En principio tenía más comandos, como uno de aprendizaje mediante el cual los usuarios le iban enseñando cosas pero, me lo estaban maleducando con lo que decidí eliminarle esa función (en realidad no es más que manejar el comando !aprende e ir guardando en un fichero de texto o una pequeña base de datos).
Aquí podeis encontrar el código fuente del bot perfectamente indentado.

Previniendo ataques de diccionario a nuestros servicios SSH, FTP ...

2006-07-13T18:49:00.000+02:00

Para los que vivimos aíslados del mundo, de los virus del churros (más conocido como Windows) y de los últimos ingenios antispyware, ver como al auth.log crece sin parar nos pone nerviosos. Confieso pertenecer a ese grupo de usuarios paranoicos que vuelcan el auth.log en el tty12 (para los que no lo hacen, tail -f /va/log/auth.log > /dev/tty12) y la primera vez que vi correr líneas con intentos de login fallidos casi se me escapan unas gotitas.

Una vez me expliraron que era un virus, sabiendo que mis claves parecen sumas md5 y que no tengo definidos usuarios con shell válida salvo el mío, entonces me sentí a salvo. Aún así, no me apetece que alguien, sea ente o persona, esté machacando mi conexión y haciendo crecer mi log, con lo que aupado por el calor del momento son tiempos de plantar cara y declarar la guerra al invasor.

Se me ocurren tres soluciones:

1.- La ley marcial. Denegar el acceso a los servicios desde el exterior o limitarlos a un cierto número de ips concreto. Lo cierto es que todos los servicios sensibles como SSH deberían estar limitados pero, cuando tienes ips dinámicas es un poco complicado.

2.- DenyHosts. Se trata de un script Python configurable con una serie de reglas que va leyendo el fichero /var/log/auth.log (o /var/log/secure para los del sombrero rojo) y toma decisiones cuando detecta una actividad anormal, como por ejemplo, denegar el servicio.

3.- PortKnocking. La idea es tener todos los puertos "firewalleados" y "llamando" a una secuencia de puertos concretos abrir/cerrar puertos según políticas establecidas. Por ejemplo, podemos establecer una regla para abrir el puerto 22 que sea atacara en esta secuencia a los puertos puertos 87, 54, y 344 y acto seguido el puerto 22 será accesible. El único pero, es que se necesita la aplicación de "marcado" en cada uno de los equipos clientes (siempre se puede llevar en un lápiz usb).

DenyHosts, no más flood a mi SSHd

2006-07-13T18:44:00.000+02:00

DenyHosts es un script escrito en Python que tiene como único fin el evitar ataques de fuerza bruta, algo más que habitual cuando tenemos una máquina corriendo un servidor SSH público. Este script monitoriza el fichero /var/log/auth.log en búsqueda de un anormal crecimiento del mismo, como por ejemplo mi propio auth.log:

Jul 9 09:20:18 firewall-one sshd[687]: Failed password for root from 222.122.160.115 port 35695 ssh2
Jul 9 09:20:21 firewall-one sshd[689]: Could not reverse map address 222.122.160.115.
Jul 9 09:20:21 firewall-one PAM_unix[689]: authentication failure; (uid=0) -> root for ssh service
Jul 9 09:20:23 firewall-one sshd[689]: Failed password for root from 222.122.160.115 port 35909 ssh2
Jul 9 09:20:26 firewall-one sshd[691]: Could not reverse map address 222.122.160.115.

Para comenzar a utilizar denyhost, un simple apt-get install denyhost y, he aquí la configuración simple para impacientes:

/etc/denyhosts.conf
DENY_THRESHOLD_INVALID = 2 #Número de intentos fallidos permitos a un usuario inexistente antes de denegar acceso
DENY_THRESHOLD_VALID = 4 #Número de intentos fallidos permitidos a un usuario existente antes de denegar acceso

Documentación más ampliada en la web de DenyHosts.

PortKnocking, abriendo puertos bajo demanda

2006-07-13T17:57:00.000+02:00

Se conoce como portknocking a la técnica de abrir puertos utilizando una combinación de llamadas a un grupo de puertos en concreto en una concreta secuencia, es decir, girando la rueda de nuestra caja fuerte (atacando puertos) en una secuencia de números secretos (grupo de puertos) para poder abrirla (abrir un puerto).

Partiendo de un firewall que lo deniega todo, un script perl vigila el log del firewall en busca de una secuencia de llamadas a puertos concreta que actúa a modo de password, desbloqueando la ejecución de una aplicación o una línea de comandos. La secuencia de llamadas se realiza utilizando el software cliente de la propia aplicación, la cual debe estar instalada en los equipos remotos desde los que queremos accecer al servicio oculto (también puede estar en un lápiz usb).

Veamos una configuración simple partiendo del paquete knockd disponible para Debian.

1.- Instalamos el paquete
pequerrecho:~# apt-get install knockd
....
Configurando knockd (0.4-1) ...
Not starting knockd. To enable it edit /etc/default/knockd
2.- Modificamos /etc/default/knockd para permitir que knockd arranque en el inicio de sistema
START_KNOCKD=1
3.- Editamos /etc/knockd.conf y configuramos nuestros servicios
[options]
logfile = /var/log/knockd.log
[abrirCerrarSSH]
sequence = 874, 29, 173
seq_timeout = 5
tcpflags = syn
start_command = /sbin/iptables -A INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
cmd_timeout = 10
stop_command = /sbin/iptables -D INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
4.- Reiniciar el servicio
pequerrecho:~# /etc/init.d/knockd restart

A partir de este momento, nuestro sistema será invisible a los portscanners pero utilizando el cliente knock y la secuencia de puertos que hemos establecido, podemos abrir el puerto bajo demanda:

pequerrecho:~# knock 194.224.52.4 874 29 173

Existe un cliente portknocking para Windows, cuyo funcionamiento no he verificado llamado It's Me.

Firewalls serios con iptables

2006-07-11T16:09:00.000+02:00

Que tiempos aquellos en que poníamos "echo 1 > /proc/sys/net/ipv4/ip_forward" para routear nuestras redes internas!
Hay muchas formas de construirse un buen firewall, una de ellas es copiando y pegando este script (la otra es leyéndose la documentación, pero seamos realistas...):

#!/bin/bash
SYSCTL="/sbin/sysctl -w"
IPT="/sbin/iptables"
INET_IFACE="eth0" #Interface conectado a Inet
INET_IP="192.168.0.2" #IP del iface conectado a Inet
LAN_IFACE="eth1" #Interface conectado a la Lan
LAN_IP="192.168.1.1" #IP del iface conectado a la Lan
LAN_NET="192.168.1.0/24"
LAN_BCAST="192.168.1.255"
LOCAL_IFACE="lo"
LOCAL_IP="127.0.0.1"

#Carga de módulos
modprobe ip_tables
modprobe ip_conntrack
modprobe ip_nat_ftp
modprobe ip_conntrack_ftp #Estos dos últimos por si tenemos un ftp no pasivo

#Parámetros del kernel
$SYSCTL net.ipv4.ip_forward="1"
$SYSCTL net.ipv4.tcp_syncookies="1"
$SYSCTL net.ipv4.conf.all.rp_filter="1"
$SYSCTL net.ipv4.icmp_echo_ignore_broadcasts="1"
$SYSCTL net.ipv4.conf.all.accept_source_route="0"
$SYSCTL net.ipv4.conf.all.secure_redirects="1"
$SYSCTL net.ipv4.conf.all.log_martians="1"

#Borrado de reglas establecidas
$IPT -P INPUT ACCEPT
$IPT -P FORWARD ACCEPT
$IPT -P OUTPUT ACCEPT
$IPT -t nat -P PREROUTING ACCEPT
$IPT -t nat -P POSTROUTING ACCEPT
$IPT -t nat -P PREROUTING ACCEPT
$IPT -t nat -P POSTROUTING ACCEPT
$IPT -t nat -P OUTPUT ACCEPT
$IPT -t mangle -P PREROUTING ACCEPT
$IPT -t mangle -P OUTPUT ACCEPT
$IPT -F
$IPT -t nat -F
$IPT -t mangle -F
$IPT -X
$IPT -t nat -X
$IPT -t mangle -X

#Política por defecto: DROP
$IPT -P INPUT DROP
$IPT -P OUTPUT DROP
$IPT -P FORWARD DROP
$IPT -N bad_packets
$IPT -N bad_tcp_packets
$IPT -N icmp_packets
$IPT -N udp_inbound
$IPT -N icmp_packets
$IPT -N udp_inbound

$IPT -A bad_packets -p ALL -i $INET_IFACE -s $LAN_NET -j LOG --log-prefix "fp=bad_packets:2 a=DROP "
$IPT -A bad_packets -p ALL -i $INET_IFACE -s $LAN_NET -j DROP
$IPT -A bad_packets -p ALL -m state --state INVALID -j LOG --log-prefix "fp=bad_packets:1 a=DROP "
$IPT -A bad_packets -p ALL -m state --state INVALID -j DROP
$IPT -A bad_packets -p tcp -j bad_tcp_packets
$IPT -A bad_packets -p ALL -j RETURN
$IPT -A bad_tcp_packets -p tcp -i $LAN_IFACE -j RETURN
$IPT -A bad_tcp_packets -p tcp ! --syn -m state --state NEW -j LOG --log-prefix "fp=bad_packets:1 a=DROP "
$IPT -A bad_tcp_packets -p tcp ! --syn -m state --state NEW -j DROP
$IPT -A bad_tcp_packets -p tcp --tcp-flags ALL NONE -j LOG --log-prefix "fp=bad_packets=2 a=DROP "
$IPT -A bad_tcp_packets -p tcp --tcp-flags ALL NONE -j DROP
$IPT -A bad_tcp_packets -p tcp --tcp-flags ALL ALL -j LOG --log-prefix "fp=bad_tcp_packets:3 a=DROP "
$IPT -A bad_tcp_packets -p tcp --tcp-flags ALL ALL -j DROP
$IPT -A bad_tcp_packets -p tcp --tcp-flags ALL FIN,URG,PSH -j LOG --log-prefix "fp=bad_tcp_packets:4 a=DROP "
$IPT -A bad_tcp_packets -p tcp --tcp-flags ALL FIN,URG,PSH -j DROP
$IPT -A bad_tcp_packets -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -j LOG --log-prefix "fp=bad_tcp_packets:5 a=DROP "
$IPT -A bad_tcp_packets -p tcp --tcp-flags ALL SYN,RST,ACL,FIN,URG -j DROP
$IPT -A bad_tcp_packets -p tcp --tcp-flags SYN,RST SYN,RST -j LOG --log-prefix "fp=bad_tcp_packets:6 a=DROP "
$IPT -A bad_tcp_packets -p tcp --tcp-flags SYN,RST SYN,RST -j DROP
$IPT -A bad_tcp_packets -p tcp --tcp-flags SYN,FIN SYN,FIN -j LOG --log-prefix "fp=bad_tcp_packets:7 a=DROP "
$IPT -A bad_tcp_packets -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP
$IPT -A bad_tcp_packets -p tcp -j RETURN
$IPT -A icmp_packets --fragment -p ICMP -j LOG --log-prefix "fp=icmp_packets:1 a=DROP "
$IPT -A icmp_packets --fragment -p ICMP -j DROP
$IPT -A icmp_packets -p ICMP -s 0/0 --icmp-type 8 -j DROP
$IPT -A icmp_packets -p ICMP -s 0/0 --icmp-type 11 -j ACCEPT
$IPT -A icmp_packets -p ICMP -j RETURN
#Denegar el acceso a Netbios
$IPT -A udp_inbound -p UDP -s 0/0 --destination-port 137 -j DROP
$IPT -A udp_inbound -p UDP -s 0/0 --destination-port 130 -j DROP
##
$IPT -A udp_inbound -p UDP -j RETURN
$IPT -A udp_outbound -p UDP -s 0/0 -j ACCEPT
$IPT -A tcp_inbound -p TCP -s 0/0 --destination-port 22 -j ACCEPT #Aceptamos SSH
$IPT -A tcp_inbound -p TCP -j RETURN
$IPT -A tcp_outbound -p TCP -s 0/0 -j ACCEPT
$IPT -A INPUT -p ALL -i $LOCAL_IFACE -j ACCEPT
$IPT -A INPUT -p ALL -j bad_packets
$IPT -A INPUT -p ALL -d 224.0.0.1 -j DROP
$IPT -A INPUT -p ALL -i $LAN_IFACE -s $LAN_NET -j ACCEPT
$IPT -A INPUT -p ALL -i $LAN_IFACE -d $LAN_BCAST -j ACCEPT
$IPT -A INPUT -p ALL -i $INET_IFACE -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A INPUT -p TCP -i $INET_IFACE -j tcp_inbound
$IPT -A INPUT -p UDP -i $INET_IFACE -j udp_inbound
$IPT -A INPUT -p ICMP -i $INET_IFACE -j icmp_packets
$IPT -A INPUT -m pkttype --pkt-type broadcast -j DROP
$IPT -A INPUT -j LOG --log-prefix "fp=INPUT:99 a=DROP "
$IPT -A FORWARD -p ALL -j bad_packets
$IPT -A FORWARD -p tcp -i $LAN_IFACE -j tcp_outbound
$IPT -A FORWARD -p udp -i $LAN_IFACE -j udp_outbound
$IPT -A FORWARD -p ALL -i $LAN_IFACE -j ACCEPT
$IPT -A FORWARD -i $INET_IFACE -m state --state ESTABLISHED,RELATED -j ACCEPT

#Redireccionar un puerto
#$IPT -A FORWARD -p tcp -i $INET_IFACE --destination-port 80 # --destination 192.168.1.20 -j ACCEPT

$IPT -A FORWARD -j LOG --log-prefix "fp=FORWARD:99 a=DROP "
$IPT -A OUTPUT -m state -p icmp --state INVALID -j DROP
$IPT -A OUTPUT -p ALL -s $LOCAL_IP -j ACCEPT
$IPT -A OUTPUT -p ALL -o $LOCAL_IFACE -j ACCEPT
$IPT -A OUTPUT -p ALL -s $LAN_IP -j ACCEPT
$IPT -A OUTPUT -p ALL -o $LAN_IFACE -j ACCEPT
$IPT -A OUTPUT -p ALL -o $INET_IFACE -j ACCEPT
$IPT -A OUTPUT -j LOG --log-prefix "fp=OUTPUT:99 a=DROP "

$IPT -t nat -A POSTROUTING -o $INET_IFACE -j SNAT --to-source $INET_IP

Psyco, python a toda máquina

2006-07-11T15:50:00.000+02:00

Si estás escribiendo un programa bastante largo y quieres agilizar la ejecución sin revisar tu código para quitar 40 "ifs" que sobran, existe un módulo llamado Psyco que lo hace por ti.

Para los impacientes que no se van a leer la documentación, he aquí la forma más rápida de acelerar tus aplicaciones:

import psyco
psyco.full()

Y para aplicaciones con ingentes cantidades de código:

import psyco
psyco.profile()

NMEA, leer datos del GPS y no morir en el intento

2006-07-11T12:51:00.000+02:00

Esta receta es útil para quien tenga la necesidad de programar una aplicación que lea de un GPS (como es mi caso particular). La estructura de las cadenas que nos indican el posicionamiento es la siguiente:

Trama de ejemplo:

$GPGGA,123519,4807.038,N,01131.000,E,1,08,0.9,545.4,M,46.9,M,,*47

Donde:
    GGA          Datos GPS
    123519       Hora del dato en horario UTC
    4807.038,N   Latitud
    01131.000,E  Longitud
    1            Validez:     0 = invalido
                              1 = GPS valido
                              2 = DGPS valido
                              6 = estimatedo
          8 = modo simulación
    08           Número de satelites utilizados
    0.9          Desviación horizontal
    545.4,M      Altitud en metros
    46.9,M       Geoid
    (vacío)      Tiempo desde última actualización
    (vacío)      ID estación DGPS
    *47          checksum

Expresiones regulares en Python

2006-07-11T12:38:00.000+02:00

He aquí un tutorial sobre expresiones regulares en Python.

Es bastante completo y en mi caso particular me ha sido de gran ayuda.

Expresiones regulares en Python - milugar.net

Usuarios virtuales vs usuarios sin shell

2006-07-11T12:15:00.000+02:00

Pongámonos en situación:

Tenemos que dar acceso FTP e IMAP a un cierto número de usuarios, para que puedan colgar sus ficheros y tener su correo electrónico almacenado. Nuestra política de seguridad más básica a la hora de crear los usuarios será la de darles acceso a estos servicios pero denegarles las entradas a la shell (más que básico es obvio). Para realizar esta tarea, tenemos dos opciones:

a) Crear usuarios virtuales en cada uno de los servicios con sus consecuentes políticas de acceso. Esta opción es profesional, segura pero muy lenta y tediosa de administrar.

b) Añadir los usuarios que nos interese a una shell nula, con lo que nunca podrán hacer login. Es una solución sobria y rápida. Los pasos que debemos seguir son los siguientes:

1.- Añadir la shell nula a la lista de shells permitidas: echo "/bin/false" >> /etc/shells
2.- Indicar a los usuarios la shell que deben usar: useradd -g users -s /bin/false -d /home/nombre_usuario nombre_usuario

Sencillo, rápido y efectivo!