Era hora…

… de escribir algo.

Estos días andaba yo liado con el fin de semana por el medio, etc… hasta que hoy me decidí a cambiar los DNS y que blog.elgura.com apunte al servidor dedicado que tengo contratado con OVH.

El blog ha pasado de correr en un Intel Celeron a 900 MHz con 1 GB de RAM a tener un doble core a 1.8 GHz con 1 GB de RAM, instrucción de virtualización y bit de no ejecución. Ahora corre sobre dos discos de 250 GB en RAID 1 mediante software. La conectividad ya no es la de un ADSL de 3072/320 kbps, sino que dispongo de 100 mbps no garantizados o 10 mbps garantizados.

Pero si he contratado este servicio no es simplemente por el hecho de disponer de un dedicado, sino porque en OVH todo son extras. Alguno de los que me leáis conocéis lo que los VPS ofrecen. Backup, reinicio remoto, arranque de rescate… OVH similar. Me explico:

• Si la cagas con el kernel o una configuración critica puedes arrancar en modo rescate con un kernel que obtendrás por red. Tienes kernels de todo tipo. Puedes incluso utilizar esos kernel para estar al día siempre. Ellos se ocupan de compilarlo sin módulos y preparados para la máquina en cuestión. Una vez arrancas en modo a prueba de fallos puedes hacer mediante web un test de memoria, consistencia de RAID, memoria, etc
• Reinicio en caliente. Simplemente supón que creas mal una regla de IPTables y el servidor queda inaccesible. Lo reinicias y punto. ¿Qué cuando arranca la condfiguración errónea se carga? Lo vuelves a reiniciar en modo de rescate, montas la unidad y editas el fichero de configuración
• Para sistemas de 32 bits y en un futuro para 64 bits ofrecen vKVM, que es acceso de consola mediante web, y no me refiero a una shell, sino a esar como delante de la máquina. Imaginate un kernel pánic al arrancar… podrías verlo. Por desgracia no lo he probado aunque aún es un producto opcional y en fase beta
• Puedes enchufar discos flash y discos USB al servidor. ¿Qué tontería verdad? Imagináos un flash de 1 GB con la base de datos de tripwire dentro, desmontado y sin módulos USB. A un atacante se le ocurriría cargar módulos del kernel para intentar encontrar el USB, montarlo y luego modificar la base de datos de firmas? Hay que ser rebuscado
• Te ofrecen monitorización de la máquina, asistencia en caso de caída, gráficas MRTG, etc. Aunque en realidad no uso nada más que las gráficas ya que tener su clave pública en mi authorized_keys no me gusta nada. ¿Se con certeza las medidas de seguridad que toman? NO

Y bueno, que principalmente es barato para lo que es. No es un Intel Xeon dual core, pero es potente y económico.

Escrito por Gura 01.Oct.07 Hardware, Servidor Leer más Comentarios (6)

El dilema de contratar un VPS

Joder, vaya dilema esto de buscar servidores VPS económicos y que cumplan con las necesidades de uno mismo.

Primero, que sea barato. Eso es fácil, ya que desde 20 dólares tienes VPS básico y por 40 dólares algo con 512 de RAM, 300 GB de tráfico mensual, etc.

Segundo, qué tecnología utilizar. Aquí hay de todo, desde UML (User Mode Linux) a Xen Enterprise, pasando con OpenVZ, Virtuozzo, etc. Cada uno con sus ventajas y desventajas, aunque quizá el que mejor me convenga sea algo con Xen Enterprise.

Una vez escogida la tecnología de virtualización me voy a fijar en algo más importante, que quizá tendría que haber mirado antes, la empresa. No es lo mismo una empresa con 10 años de experiencia a la espalda, que una que lleva un año en el mercado.

Ahora vienen los límites… En ningún VPS que yo conozca puedes cambiar el kernel, luego olvídate de meter tu kernel compilado con soporte GRSecurity y PaX. O hacerlo monolítico. Es una limitación que no me gusta tener, pero creo que no me queda otra que pasar por el aro. Además, suelen crearte una partición raíz y pista, con limitaciones como no poder particionar a tu gusto y por lo tanto no poder montar determinadas particiones con nodev, nosuid, noexec, etc, o desplegar DRDB sobre determinados volúmenes. Bueno, siempre podemos crear un fichero, darle formato y montarlo con la opción loop de mount, pero perderemos rendimiento solo y cuando la carga de la máquina sea muy alta en I/O.

Una vez conozco algunas de las limitaciones de los VPS me doy cuenta de los pros y los contras:

Los pros

• Son máquinas Xeon Dual Core y Quad Core con tecnología Intel VT, con grandes cantidades de RAM, RAID 1, etc.
• Ellos se ocupan de tener a punto la máquina en lo que a hardware y conectividad se refiere.
• Todo está alojado en un CPD como dios manda.
• Ofrece reinicio en remoto, acceso de consola vía web y backups online (Sin parar el servicio, vaya).
• Puedo reinstalar la máquina cuando me de la gana y cargar la plantilla que más me convenga.
• Tengo un caudal de datos mensual desmesurado en mi caso.

Los contras

• Si el kernel lo actualizan ellos. ¿Cómo se que ese kernel no tiene algún fallo conocido sin actualizar?
• Al igual que en el punto anterior, la máquina host la administran ellos, y como un día creo que David Cervigón decía: La seguridad del host es muy importante, ya que tiene acceso a la memoria de todas las máquinas virtuales.
• No puedo instalar lo que me de la gana como por ejemplo GRSecurity, PaX, SELinux, etc.
• Desconozco que ancho de banda de pico que tengo, y supongo que tampoco me garantizarán un ancho de banda mínimo.
• Aunque algunas empresas indican el número de VPS por core, eso no te garantiza una calidad de servicio.

En resumidas cuentas, esto quedará en casa por ahora, aunque creo que un mes de estos migraré todo al VPS.

En lo que a ofertas se refiere, estoy ojeando SliceHost y NetActuate. En principio creo que me inclinaré por el plan de 512 de RAM de NetActuate. La empresa me ha convencido y podemos ver donde tienen alojado todo en una presentación en flash. El CRG Market Post Tower da la impresión de ser como el CPD de Banco Banesto, pero en EEUU.

Bueno, espero que todo aguante hasta entonces.

Escrito por Gura 12.Sep.07 Hardware, Servidor, Sistemas, Software Leer más Comentarios (4)

Migrando de b2evolution a WordPress

Porque estas cosas son así…
- Tengo que hacer esto, esto y esto para que me funcione como quiero.
- Vah. Mejor instalate WordPress y déjate de tonterías.

Y así es. He migrado toda la base de datos, he metido un theme, y ahora estoy pegándole un buen repaso a PHP y Apache… Respecto al WordPress todo son ventajas. Mogollón de plugins, de documentación, de comunidad, etc. La estructura de ficheros me parece algo cerda y me preocupa la seguridad del CMS, pero me parece a primera vista muy superior.

Tiene una pega (Que podría haber corregido casi seguro, solo que por no meterme por el código más aún), y es que al migrar de un CMS a otro, el post con ID 226, por ejemplo, ahora es el 210. Es una putada para la gente que llegue desde Google buscando algo y se encuentre con otra cosa, sobretodo si no utilizan el buscador del blog. Tengo que hardenizar todo, hacer el sitemap para Google y echar a andar PopStats, que parece ser el sistema de estadísticas que necesito: Uno sencillo.

Bueno, todo consejo será bienvenido.

Escrito por Gura 28.Jun.07 Servidor Leer más Comentarios (5)

rc-update del jabberd

Tras pensarlo durante 4 días he decidido dejar de utilizar el servidor Jabber que tenía instalado en casa. He llegado a la conclusión de que no era más que un servicio funcionando, que requería actualizaciones, publicación de puertos en el firewall y no le daba ningún uso. Todo comenzó para tener localizados mediante mensajería instantánea a los compañeros de AsturLinux, pero que narices, para eso tengo su correo.

En fin, que ya está parado, desinstalado y su base de datos de usuarios eliminada. Bye bye Jabberd.

Escrito por Gura 27.May.07 Servidor, Sistemas, Software Leer más Comentarios (0)

Up!

De nuevo estoy arriba tras tres días de caída por lo de siempre, usar hardware regalado. El Pentium III a 800 MHz con 512 de RAM que corría Windows Server 2003 R2 SP2 con Virtual Server 2005 R2 corriendo por encima mi servidor web cascó. Se apagaba o reiniciaba, sin más y no había manera de hacer nada con él (Os aseguro que he probado todos los posibles fallos de temperaturas y demás, excepto la FA de la que no disponía y dudo que sea la causante, pero ahí queda).

Tras pegarme varias noches al volver de clase con las imágenes para convertir VHD a VMDK y tirar la imagen en mi máquina cliente sobre VMWare Server, y morir en el intento, quité el disco duro de mi Celeron a 900 para el que tenía pensada otra tarea y le instalé el disco duro del Pentium III. Reinstale Windows 2k3, y tengo 60 días para encontrar una placa base que funcione bien (Ya hay una en trámite).

La leche, que guerra dió. A todo esto… ¿Quién me regala un ProLiant ML 150 G3? (Siempre estuve tentado de comprar un pequeño servidor HP). Lo digo porque el apacño me ha convencido.

Para una nueva máquina se me antoja un ESX… habrá que ir documentándose.

Escrito por Gura 04.May.07 Servidor Leer más Comentarios (6)

Migrando el servidor de Debian Sarge a FreeBSD 6.1

Quizá hoy hayáis notado que desde las 3 de la tarde hasta las 10 de la noche la web no ha funcionado. El caso es que he clonado mi máquina a una máquina virtual para así disponer de ella para instalar FreeBSD. El por qué tardé tanto tiene una razón, me dormí mientras hacía una backup.

Usando los mismos cilindros de inicio y fin para las particiones, y usando Partimage la migración fue perfecta. Ya está funcionando con su kernel, el único contratiempo es que se me olvidó escribir grub en el MBR, por lo demás perfecto.

Abriré el servidor, lo limpiaré, cambiaré la pasta termina, le pondré más RAM y… me estoy pensando tocarle las frecuencias, pues mis memorias son de 133 MHz y el bus de este micro es de 100 MHz, con un multiplicador de 9. He de decir que no estoy muy seguro, aunque ya lo he hecho varias veces en otras máquinas, digamos que le tengo cierto cariño a esta máquina, quizá porque es el mejor servidor que tengo.

De momento se quedará apagado mientras planifico la instalación del nuevo SO y busco nuevo nombre para la máquina, anteriormente Espiral, pero como que no pega mucho si corre FreeBSD.

Escrito por Gura 31.Jul.06 *BSD, Debian, FreeBSD, GNU/Linux, Hardware, Servidor, Software, lost+found Leer más Comentarios (3)

DD-WRT en Linksys WRT54GL

Hoy me ha llegado un router WRT54GL de FON (Neutro) que ya he registrado como fonero y flasheado. He ido a la web del firmware DD-WRT a descargar la imagen mini, metérsela al router y luego proceder a meter la versión con VPN (Por probar a ver que tenía). Es como tener una Smoothwall o IPCop (No es comparable con MonoWall) pero en un cacharro más pequeño, con 16 MB de RAM y 216 MHz. Es sencillamente una maravilla y su alcance es cojonudo. Además sus antenas son desmontables (Ambas) y puedo conectar otras antenas.

Que me haya aprovechado de la promoción de FON, no quiere decir que no libere mi wifi, eso sí, por ahora no. Cuando tenga todo correctamente montado compartiré mi línea, algo que espero no se alargue mucho.

Como siempre tuve pensado, restringiré la salida por la WLAN, solamente a HTTP, HTTPS, SMTP, POP3, Jabber, IRC y quizá si alguien me convence, MSN. El servidor DNS estará en mi casa, escuchando en todas las interfaces internas y montaré un sistema de colas en el gateway para que no se pasen de listos.

Ya veré como lo monto todo. Tendré que hacerme un esquema. Principalmente, la WLAN estará en otra red, así como a medio plazo los servidores en una DMZ, dejando esta máquina (Cliente) en otra red.

Pero ya que me pongo a hablar de mis servidores os contaré lo que tengo pensado hacer también a medio plazo. Actualmente tengo muchas (2 o más) máquinas, unas Gentoo, otra Debian… y empieza a ser cansino mantener los servicios, sobretodo cuando tienes mejores cosas que hacer. He decidido que si me encuentro con ganas, por el verano montaré en el Celeron 900 MHz una FreeBSD 6.1 con Apache, Servidor FTP (He de mirar vsftpd contra MySQL), Postfix para SMTP, Courier para POP3 e IMAP, etc. De ese modo tengo una máquina decente para probar sistemas operativos en entorno real con hardware de verdad, dejando de lado las máquinas virtuales. Como ya he dicho en post anteriores tengo ganas de pillar por banda un Plan9 o Solaris. Quizá me ponga con Solaris, por entretenimiento y por lo didáctico del asunto.

Por lo tanto, la nueva estructura será algo así:

WAN –> Modem –> Gateway OpenBSD –> Switch D-Link –> Red

La red como dije antes la estructuraré en:
Clientes: 10.0.0.0/30
Servidores: 172.24.0.0/28
Clientes:192.168.0.0/24

Lo pongo en diferentes clases no porque no sepa crear subredes con mascara de longitud variable, sino por el reconocimiento a primera vista.

Aquí surge un problema, de mi máquina cliente no puedo acceder a los servidores porque están en otra red y claro, enrrutar ambas hace que el invento pierda la gracia, por lo que tendré que tener un teclado y pantalla disponibles.

Ya os iré contando. De momento, estoy abierto a nuevas ideas.

Escrito por Gura 19.Jun.06 Clases o cursos, Debian, FreeBSD, Gentoo, Hardware, Plan9, Redes, Servidor, Solaris Leer más Comentarios (15)

La diferencia entre un SMTP bien configurado y uno que no

Hoy, mientras hablaba con David me dió por hacer un:

grep NOQUEUE /var/log/mail/current

Y ver que correos no me pudieron ser entregados.

Me he dado cuenta de lo bien que hice al mandar a la mierda correos con HELO inválidos, nombres de host que no son FQDN, tanto para otros servidores de correo como para los clientes.


NOQUEUE: reject: RCPT from unknown(125.249.253.1): 501 1211684440: Helo command rejected: Invalid name; from= msolomon @ golfscramble.com to= mimail @ elgura.com proto=SMTP helo= 1211684440
NOQUEUE: reject: RCPT from unknown(218.87.135.254): 501 1212080728: Helo command rejected: Invalid name; from= dparsons @ gordonsmasonicrings.com to= mimail @ elgura.com proto=SMTP helo=1212080728

La mayoría de las veces son SMTP con un relay abierto desde los cuales envían correos. Y claro, se supone que si el administrador de ese MTA no se ha dignado en tomarse esas medidas de seguridad, seguro que tampoco tiene lo demás bien configurado. Esto a veces puede crear falsos positivos… como el MTA de Telefónica que no puede enviarme correo, pero que coño, que se jodan. Otras veces el problema puede deberse a un problema de DNS, pero si ese es el caso el MTA reintentará el envío del correo.

En mi SMTP uso spamassassin y va muy fino. Si no fuese así probaría lo que me comento un día Amaya, Greylist si no recuerdo mal, que se basa en listas grises. No tiene mucho sentido así como suena… así que os explico. El correo llega y greylist lo rechaza con un 450 (creo que este código, el de inténtelo más tarde). Si de verdad es un SMTP lo intentará si es un puto bot, a la mierda. Esto tiene su ventaja… que no pierdes correos lejítimos (Aunque en spamassassin podemos dejar pasar todo y hacer que solamente marque los correos). La desventaja desde mi punto de vista es que un smtp open relay reenviará el correo, así que estamos en las mismas.

Ahora, ya que el correo funciona perfectamente, estoy montando un servidor de Jabber porque estoy hasta los webos de que el de jabber.org se caiga.

Sin más, hasta otra.

Escrito por Gura 29.Mar.06 Servidor, Software, lost+found Leer más Comentarios (0)

Bolazos, SPAM Referer y demás

Yeah! El Sábado brutal en el paintall, aunque las agujetas aún me duren hoy y mañana seguro que también. Os recomiendo ir, sin duda hacer ejercicio y pasarlo de puta madre… eso si, sin tramposos ¬¬. Los juegos son diversos y en 2 grupos excepto el último que son grupos de 3. Los organizadores se portaron muy bien y además no se come tan mal. Un bocadillo de embutido (Chorizo y queso) acompañado con coca-cola o kas naranja/limón, yogur, café con leche, incluso chocolatinas. Luego a seguir. Si eres muy burro gastas muchas bolas, de todos modos yo gasté solo 15 € en bolas, que son 5 cargadores de 50 bolas mas las 100 que vienen cuando pagas los 22 €. Si sois más de 10 la comida sale gratis, además a las 6 y algo cuando terminas te puedes quedar a techo a comer donde la casa. Espero volver, mientras, para los que les interese, Asturpaintball, que por cierto en Marzo hay un campeonato. Acabamos jodidísimos, y pancima salimos de noche el Sábado para rematar las agujetas.

Respecto al SPAM, es que estoy hasta los cojones del SPAM REFERER. Desde mi blog lo combato con los propios filtros de b2evolution y el mod_rewrite pero aún así se cuela alguno. Hoy me han llamado la atención 2 en especial:

diana GUIÓN teknologia PUNTO com [xerka ALGARROBA diana-tek PUNTO com]

Tal cual lo leeis, está claro que es un puto botijo. Lo más vergonzoso es la empresa que se publicita, que además no es como la mayoría a las que estoy acostumbrado, osea, sexo, pedofilia, sexo homosexual y demás

Otro interesante es este blog: vegascocks PUNTO com
Al entrar intenta descargar un WMF, si el navegador corriese bajo Windows sin parchear, estaríamos infectados.

Tengo pendiente el convertir el blog a UTF-8, aunque no tengo tiempo y cuando lo tengo, no hay gana :s.

Venga, agur

PD: Gracias PerroVerd por avisarme de los links

Escrito por Gura 20.Feb.06 Servidor, lost+found Leer más Comentarios (2)

El blog ya hace un año

Y hoy me he dado cuenta por casualidad cuando editaba las bases de datos y vi un post con fecha de 17.01.05 @ 13:01:40
Eso significa un poco más de un año con b2evolution y con Debian. Antes SID (SI, vaya cojones que tengo) y ahora Sarge. Espero seguir así más tiempo.

Agur

Escrito por Gura 27.Jan.06 Servidor, Software Leer más Comentarios (0)