Windows FTP client, Microsoft IIS 6.0 y el modo pasivo

Esta última semana me ha surgido un problema. Necesitabamos los datos reales de una serie de estaciónes meteorológicas y no había cojones a transferir por FTP los ficheros. Como era de suponer, cuando nosotros conectábamos en modo activo, la conexión del servidor FTP a nuestra red fallaba por las reglas del firewall. En modo pasivo le ocurría algo parecido, pero al revés. El cliente había abierto los puertos 20 y 21 del firewall, pero no tuvo en cuenta que IIS por defecto usa puertos aleatorios para las conexiones en modo pasivo, y que hay que abrirlos en el cortafuegos (Sería buena idea definir antes un rango estático para facilitar la tarea).

Le di unas instrucciones de como configurarlo, que podéis leer aquí y aquí, pero al día siguiente me respondió que preferían no tocar su servidor, que tienen otros clientes que conectan y tenían miedo de probarlo en producción. Les ofrecí una cuenta entonces en nuestro servidor y ¿Qué ocurrió? Que fallaba. Joder, joder, a ver ahora como modelizamos los datos reales de los últimos seis meses. Me pongo a mirar el log y veo errores 425 (No se ha podido establecer la conexión). Claro, están teniendo el mismo problema que nosotros, conectan en activo a nuestro servidor y cuando éste intenta establecer la conexión de datos (Si haces un STAT funciona el listado, pero un LIST, un STOR o un RETR) se mete la ostia contra su firewall.

Fue entonces cuando me acordé de la utilidad que me dió la vida, wput, que soporta transferencias en modo activo y pasivo, TLS, límites de velocidad, resumen de las transferencias, etc. Vamos, una maravilla que basta con descargarla y ejecutarla, sin tocar el registro y lo mejor de todo, que funciona desde línea de comandos para poder automatizar tareas. El perfecto sustituto del cliente FTP de Windows que muchos de nuestros clientes utilizan para transferirnos datos.

Al fin, hemos recibido datos reales y en unos días estarán modelizándose en el HPC Cluster de Holanda.

Escrito por Gura 22.Feb.08 Microsoft, Redes, Sistemas, Software Leer más Comentarios (0)

SNI - TLS Server Name Indication

Hoy mientras trasteaba con un servidor web me di cuenta de que la versión 2.2.6 de Apache, y quizá desde la 2.2.2 que es cuando aparecieron los primeros parches, tiene un soporte experimental de SNI. Aún recuerdo este post al respecto. Esto, si el navegador lo soporta nos permitirá tener diferentes certificados por cada servidor virtual (léase hostname) en Apache sin necesidad de disponer de diferentes IP como ocurre ahora. Al parecer Opera ya soporta este ¿método? de negociación TLS, y otros navegadores como Internet Explorer o Mozilla lo incluirán en próximas versiones. Es sin duda, un avance, pero siempre tendremos la espina de los navegadores antiguos. Se puede leer algo más por aquí.

http://trac.lighttpd.net/trac/ticket/386
http://blogs.msdn.com/ie/archive/2005/10/22/483795.aspx
https://bugzilla.mozilla.org/show_bug.cgi?id=116169
http://www.ietf.org/rfc/rfc3546.txt
http://journal.paul.querna.org/articles/2005/04/24/tls-server-name-indication/?postid=70

Resumiendo. Muy bonito pero aunque la limitación técnica está en fase de desarrollo, no tenemos control sobre el navegador que utiliza nuestro visitante, y aunque el fabricante publique una actualización la gente pasa de actualizar nada, por lo que doy fé de que si realmente tiene éxito y funciona bien, tradará MUCHO en implementarse a gran escala. Ya sabéis… la puñetera ley de Si funciona no lo toques.

Escrito por Gura 11.Jan.08 Sistemas, Software Leer más Comentarios (2)

Comparando SELinux con OpenBSD…

Estaba el otro día leyendo los feeds mientras veía los entrenamientos de F1 del gran premio de China y leí un título interesante: SELinux vs. OpenBSD se titulaba el artículo. Coño, a ver que cuentan…

Pues quieren comparar SELinux que es lo que es con OpenBSD que también es lo que es. Los argumentos son de lo mejorcito:

Os dejo un artículo que me gusta mucho ya que explica muy bien como funciona PaX (Parte de la suite GRSecurity para Linux, que aunque no tenga nada que ver con SELinux, es un elemento más en la fortificación de un sistemas Linux) y W^X de OpenBSD.

Vamos, que en mi opinión no es solamente qué se usa, sino cómo se usa y como de implementa, y en mi opinión Linux ofrece más herramientas para fortificar el sistema que un sistema OpenBSD y quien no quiera ver más allá de la calidad del código en mi opinión no está haciendo una buena evaluación de todo el rol. OpenBSD todos sabemos que tiene fallos. Pocos, pero ahí están y sus paquetes tambien tienen fallos, y los paquetes no son parte del core, luego no son auditados, luego la misma cagada que comete el devel de determinada aplicación de lo que sea en Linux, puede cometerlo en el paquete de OpenBSD (Si lo incluye, claro, y si tiene esa misma versión). Y digo yo… de que sirve tener un sistema base con un muy buen código si luego tu aplicación que escupe html o correo es vulnerable? Creo que es ahí donde entra PaX, SELinux, RSBAC, etc intentando que la explotación de la vulnerabilidad no sea tan fácil de llevar a cabo…

Esa es mi opinión. Un saludo.

Escrito por Gura 05.Nov.07 *BSD, GNU/Linux, OpenBSD, Sistemas, Software Leer más Comentarios (2)

Borrado seguro en Mac OS X

Cuando me vine a Madrid tuve que coger lo más importante de mi ordenador de sobremesa y meterlo a mis discos USB y mi portátil. Por las prisas decidí crear unos volúmenes RAR y copiarlos por SSH al portátil la noche antes. En el portátil utilizo FileVault de Mac OS X para el cifrado de mi directorio personal. Por otro lado los datos no sensibles están en otra partición y lo sensible están en imágenes DMG cifradas con AES-128. Pues un despiste hizo que descomprimiese los volúmenes RAR en un directorio normal. Luego los copie a la unidad cifrada y busqué una utilidad de borrado seguro para Mac OS X. Buscando un poco por la documentación oficial di con algo mejor, la utilidad de discos de Mac OS X, con lo que tendría una aplicación menos instalada (Odio tener miles de aplicaciones instaladas. Si te sirve lo que el sistema integra ¿Para qué instalar otra?).

Para utilizar el borrado de Mac OS X puedes utilizar el Vaciar papelera de forma segura o eliminar los datos como de costumbre y luego utilizar la Utilidad de discos para borrar el espacio libre con ceros. Basta con ir a dicha utilidad, seleccionar la partición que deseamos limpiar, ir a la pestaña Borrar y pulsar en Borrar espacio libre. Tenemos varias opciones, de 1, 7 y 35 pasos. Al Pulsar en Borrar espacio libre evidentemente reescribirá el espacio libre con ceros, sin perder datos, claro.

Si por el contrario quieres borrar la partición entera (léase formatear) con la pertinente pérdida de datos, pinchando en Opciones de seguridad escogemos el número de pasos, aceptamos y luego pinchamos en Borrar.

Quizá en otro post me anime a hablar algo acerca de FileVault, como funciona y demás, ya que no es la primera vez que leo que Es malo, desactívalo y no vale para nada. Vamos, lo de siempre.

Escrito por Gura 22.Oct.07 Mac OS, Sistemas, Software Leer más Comentarios (0)

El dilema de contratar un VPS

Joder, vaya dilema esto de buscar servidores VPS económicos y que cumplan con las necesidades de uno mismo.

Primero, que sea barato. Eso es fácil, ya que desde 20 dólares tienes VPS básico y por 40 dólares algo con 512 de RAM, 300 GB de tráfico mensual, etc.

Segundo, qué tecnología utilizar. Aquí hay de todo, desde UML (User Mode Linux) a Xen Enterprise, pasando con OpenVZ, Virtuozzo, etc. Cada uno con sus ventajas y desventajas, aunque quizá el que mejor me convenga sea algo con Xen Enterprise.

Una vez escogida la tecnología de virtualización me voy a fijar en algo más importante, que quizá tendría que haber mirado antes, la empresa. No es lo mismo una empresa con 10 años de experiencia a la espalda, que una que lleva un año en el mercado.

Ahora vienen los límites… En ningún VPS que yo conozca puedes cambiar el kernel, luego olvídate de meter tu kernel compilado con soporte GRSecurity y PaX. O hacerlo monolítico. Es una limitación que no me gusta tener, pero creo que no me queda otra que pasar por el aro. Además, suelen crearte una partición raíz y pista, con limitaciones como no poder particionar a tu gusto y por lo tanto no poder montar determinadas particiones con nodev, nosuid, noexec, etc, o desplegar DRDB sobre determinados volúmenes. Bueno, siempre podemos crear un fichero, darle formato y montarlo con la opción loop de mount, pero perderemos rendimiento solo y cuando la carga de la máquina sea muy alta en I/O.

Una vez conozco algunas de las limitaciones de los VPS me doy cuenta de los pros y los contras:

Los pros

Los contras

En resumidas cuentas, esto quedará en casa por ahora, aunque creo que un mes de estos migraré todo al VPS.

En lo que a ofertas se refiere, estoy ojeando SliceHost y NetActuate. En principio creo que me inclinaré por el plan de 512 de RAM de NetActuate. La empresa me ha convencido y podemos ver donde tienen alojado todo en una presentación en flash. El CRG Market Post Tower da la impresión de ser como el CPD de Banco Banesto, pero en EEUU.

Bueno, espero que todo aguante hasta entonces.

Escrito por Gura 12.Sep.07 Hardware, Servidor, Sistemas, Software Leer más Comentarios (4)

Qué curioso

Estos días ando automatizando backups con Norton Ghost 12. Está muy bien tener las backups hechas, pero si no probamos la restauración tras un desastre no sirve para nada. Pues siguiendo el manual de Norton Ghost 12, arranqué con el CD y vi el Windows is loading files… típico de una instalación de Windows Vista. En este momento pensé: Coño, ¿Me habré equivocado de ISO?. Pues no xD. Luego sale la barrita de progreso del arranque y finalmente un panel donde aceptamos una licencia de Symantec, nos cuenta que lo de Microsoft es de Microsoft y lo de Google de Google (Google Desktop Search) y bla bla. Una vez aceptamos carga la utilidad de recuperación de Norton Ghost con todo lo necesario como por ejemplo:

En mi caso las backup se almacenan en red, por lo que tendremos que asignar una IP al host y luego, montar un recurso compartido como unidad Z, por ejemplo. Una vez tengamos el recurso montado mediante unidad de red podemos utilizar la herramienta de recuperación para recuperar ficheros o el equipo entero sin problema.

En fin, tenemos la ventaja de que Vista es el SO Windows que contiene más drivers hasta el momento, aunque por contrapartida no podemos utilizar este CD de rescate en máquinas muy viejas. De todos modos, ya que el formato es v2i, intentaré con una versión antigua hacer una restauración, a ver que tal.

Escrito por Gura 22.Aug.07 Microsoft, Sistemas, Software Leer más Comentarios (10)

Protección de infraestructuras

El Jueves día 26 Churros y yo asistimos a nuestra primera charla de S.P.E.C.T.R.A.. Tras madrugar y quedar a las 8 y media de la mañana en Atocha Renfe y coger la línea C-4 hacia Getafe Sector 3 nos plantamos allí a eso de las 9 y 10 o así. Fiándome de Churros (Blind Stick) salimos de la estación, cruzamos la pasarela que cruzaba la autopista, cruzamos la urbanización y llegamos a la Avenida no-se-que donde estaba el nuevo centro de Formación en tecnologías de la Información de Madrid Sur. Al parecer este centro ha sido promovido por Sun, Microsoft, Cisco, Oracle e IBM para dar cursos, charlas, etc.

Como llegamos allí a las 9 y cuarto, nos tomamos algo de una máquina de refrescos, y presenté a Churros y a Chema. Mientras llegaba más gente fuimos pasando a la sala de la charla donde en la entrada la azafata nos recogía el papel de la asistencia y nos daba una carpeta de GFI con una libreta y unos productos demo (Que no he tenido tiempo a mirar).

La sesión comenzó con una charla de Victor de GFI, presentándonos especialmente el GFI Event Monitor, un producto que nos centraliza los registros de sucesos de Windows, W3C y syslog de *NIX. Además se pueden crear reglas, crear grupos y que cada grupo tenga una política, etc. Me gustó, aunque queremos probarlo de verdad, verlo funcionar con sistemas *NIX, ya que con Windows damos por sentado que funciona y se integra perfectamente, ya que la presentación se hizo sobre este y me agradó mucho.

Al terminar la charla, cattering. En la sala de al lado teníamos café, zumo, palmeritas de chocolate, mini-napolitanas, etc. Muy buen trato y servicio. Luego nos dió la charla Juan Garrido acerca de Forefront Client Security, su integración en directorio activo, su sistema de actualización, etc. Como Sergio de los Santos se retrasaba a causa del vuelo desde Málaga comenzó Chema Alonso a darnos la charla de Blind SQL Injection con numerosos ejemplos y todo explicado como nos tiene acostumbrados en su blog y en sus reto hacking. Su compañero de charla (Soy malísimo para recordar nombres), un máquina de 16 años que viene de Cádiz nos enseñó algunas herramientas de automatización de SQL Injection.

Finalmente Sergio de los Santos llegó y tras terminar Chema y su compañero con la charla, comenzó con la charla de malware, donde nos explicaba como trabajan a día de hoy las mafias de malware, adware y demás. No voy a decir mucho más, pues lo que nos contó estará en algún vídeo de YouTube de un Security Day grabado en Barcelona.
Terminamos y unos cuantos, cosa de 20-23 personas fuimos a tomarnos unas bravas, alitas de pollo y cerveza a un bar al lado del centro. Allí estuvimos hablando, riéndonos, contacto anécdotas, chistes… me encantó. El chiste cumbre fue, aunque muy bruto:
¿Qué parecido hay entre hacer ala-delta y que te la chupe tu suegra? Que en cualquiera de los casos no querrás mirar hacia abajo.

En fin, salimos a las 2 media de la charla y hasta las 5 y pico estuvimos allí tranquilamente. He conocido a mucha gente donde puedo nombrar a Sergio de los Santos y su compañero de Hispassec (Ya os dije que recordar nombres…), Pedro Laguna de Informática64, Juan Garrido también de Informática64 y demás (No por ello menos importantes).

Una vez dimos por terminado la jornada de ocio-formación fuimos a la empresa a recuperar un sistema que hacía de router redudante (Un sistema activo/pasivo con heartbeat, similar a CARP) pero terminamos a eso de las 9 de la noche pensando: Mañana más. Ando desplegando un piloto de PFSense con CARP y balanceo de carga MultiWAN con FailOver donde todo funciona perfecto incluso la sincronización con PFSync, excepto que el router que en ese momento es el maestro no anuncia que ahora la IP x.x.x.x tiene la MAC 00:00:00:00:00:00 en vez de la 00:00:00:00:00:01. ¿Qué ocurre? Pues que se mete un ostión pues piensa que la IP tiene determinada MAC, pero es errónea. ¿Alguna vez jugásteis con nemesys o arpoison en una red local? Pues el concepto es el mismo. Tampoco me funciona un detalle de puertos, pero creo que con el scheduling que implementa PFSense parece que puede servir.

Cuando estábamos terminando me llamó el Willie, que el Domingo viene a Madrid a una entrevista de trabajo que tenía el Lunes. A ver si tiene suerte el chaval y le cogen.

Por el resto, sigo sin ADSL ni conexión a internet de ningún tipo (Un informático sin internet. Que pecado), en este barrio donde la edad media son los 50 años (Muy tranquilo, eso si), por lo que me plantearé para el mes que viene contratar una tarifa 3G de Vodafone (¿Alguien sabe si el modem USB que ofrecen funciona en Mac OS X PPC además de en Mac OS X Intel?).

Bueno, no os aburro más, pero os adelanto de que preparo un artículo de replicación bidireccional en MySQL 5 y que si finalmente implemento PFSense lo documentaré todo bien explicado (Odio los How-To de Se hace así porque lo digo yo sin profundizar nada). Si me mandan al correo las fotos del tapeo las pondré por aquí.

Agur.

Escrito por Gura 27.Jul.07 Microsoft, Sistemas, Software, lost+found Leer más Comentarios (9)

Integración de GNUPG con Mail de Mac OS X

Estaba yo preparando el portátil para la huída. Ya sabéis, el iCal para las tareas, unidades cifradas con AES-128 para los datos sensibles, por ejemplo. Me acordé de las claves GPG y la integración con Mail. Hasta día de hoy no tenía las claves en el portátil pero ahora que me voy no podía marchar sin ellas y sin poder utilizarlo con comodidad en el cliente de correo.

He encontrado un manual explicado paso a paso, para tontos, donde explica el procedimiento desde el principio, generando las claves, hasta la instalación del módulo gpg en Mail y su sencilla utilización.

Si por otro lado quieres profundizar en el funcionamiento de GNUPG, conviene leerse esta guía.

Escrito por Gura 27.Jun.07 Mac OS, Sistemas, Software Leer más Comentarios (0)

rc-update del jabberd

Tras pensarlo durante 4 días he decidido dejar de utilizar el servidor Jabber que tenía instalado en casa. He llegado a la conclusión de que no era más que un servicio funcionando, que requería actualizaciones, publicación de puertos en el firewall y no le daba ningún uso. Todo comenzó para tener localizados mediante mensajería instantánea a los compañeros de AsturLinux, pero que narices, para eso tengo su correo.

En fin, que ya está parado, desinstalado y su base de datos de usuarios eliminada. Bye bye Jabberd.

Escrito por Gura 27.May.07 Servidor, Sistemas, Software Leer más Comentarios (0)

Utilidad para convertir de vmdk a vhd

Últimamente leo mucho acerca de VirtualPC, de VMware Converter, del nuevo VMWare, etc, pero jamás leí nada de una utilidad para convertir discos de VMWare a VirtualPC. El otro día en un intento de no tener que instalar una Debian utilicé vmdk2vhd. Funciona perfectamente, aunque solo corre el Windows y necesita .Net Framework 2.0. Una vez tenía el disco .vhd lo intenté poner como disco duro primario en una máquina virtual que me había creado en VirtualPC 7 para Mac OS X (7, que no 2007). Salta Grub, escojo kernel y… error de procesador. La Debian era x86, pero… Windows XP de puede instalar en VirtualPC sobre PPC, por lo que me ha dado a entender que la virtualización entre plataformas solo funciona con sus propios SO, y más lenta, evidentemente.

En la web de la utilidad que he mencionado antes tenemos también vhd expander, que nos ofrecerá la posibilidad de crear una imagen de disco en bruto, no dinámica, lo cual ofrece más velocidad pues el espacio ya está digamos… utilizado. No se si esta opción está disponible en VirtualPC 2007, pero en VMWare o QEmu lleva mucho tiempo y realmente se nota.

Ahora quien quiera seguir utilizando VMWare Workstation porque es mejor, porque sí, porque la otra versión es gratuita y no puede ser mejor, puede utilizar VirtualPC 2007.

¿Que Microsoft es Spectra, que son espías y te da mal rollo instalarte un producto de Microsoft? Pues tienes VMWare Server. Me gustaría explicar desde mi punto de vista las principales diferencias que a lo largo de los años (Tampoco muchos, dos o tres) he notado entre la versión Workstation y Server de VMWare. Tenemos la mala costumbre de pensar que si es gratis, es malo, sobre todo siendo productos de la misma casa. Pues bien:

¿Que no ofrece VMWare Server?

¿Y qué me ofrece?

No se nada acerca del soporte de 64 bits ni en uno ni en otro, tanto como host o como guest.

Creo que hay que valorar el uso que se le va a dar para escoger uno u otro, y no decir que el de pago es mejor porque sí, ya que entonces el de pago no tendría razón de ser.
Como opinión personal puedo decir que VMWare Server cumple muy bien. Funciona perfectamente con XP, Vista, Windows 2000 Server, Windows 2003, BSD, Linux, Solaris, QNX… y con Plan9 no me ha funcionado, aunque no insistí mucho, y se que era tema de la VGA que emula. Virtual PC 2007 no lo he probado, como tampoco VirtualBox, así que quien lo haya probado agradecería que compartiese su opinión.

¿Qué sería de nosotros sin la virtualización?

Si estás interesado en estos temas te podría ser de utilidad:
Los mundos de Javi (¿Que pasa? Cada uno llama a su blog como le da la gana ¿no?)
De virtual, my friend

Escrito por Gura 24.Feb.07 Software Leer más Comentarios (9)

« Entradas más antiguas



Todo el contenido de este blog se ha publicado bajo una Licencia Creative Commons.