Sistemas

Instalar certificados SSL en Debian 9 con certbot (Let's Encrypt - Free SSL/TLS Certificates)

keopx — Sat, 02 Sep 2017 10:34:20 +0000

Instalar certificados SSL en Debian 9 con certbot (Let's Encrypt - Free SSL/TLS Certificates)

Hace tiempo escribit un articulo sobre Instalar certificados de Let's Encrypt - Free SSL/TLS Certificates en Debian / Ubuntu

Este post es una revisión de que escribí.

Instalación

# apt-get install certbot

Configurar Apache

# nano /etc/apache2/sites-available/www.keopx.net-ssl.conf

Y añadimos el -ssl por la existencia de un bug en el certbot, que solo es capaz de distinguir un virtualhost por fichero *.conf

<VirtualHost *:443>
        ServerAdmin keopx@keopx.net
        ServerName www.keopx.net
        DocumentRoot /var/www/keopx.net/web
        <Directory /var/www/keopx.net/web/>
                Options FollowSymLinks                
                AllowOverride All
                Require all granted
        </Directory>
        ErrorLog /var/log/apache2/error.log
        # Possible values include: debug, info, notice, warn, error, crit,
        # alert, emerg.
        LogLevel warn
        CustomLog /var/log/apache2/access.log combined
        ServerSignature On
	SSLCertificateFile /etc/letsencrypt/live/www.keopx.net/fullchain.pem
	SSLCertificateKeyFile /etc/letsencrypt/live/www.keopx.net/privkey.pem
	Include /etc/letsencrypt/options-ssl-apache.conf
</VirtualHost>

Creamos el SSL

certbot --apache -d www.keopx.net

Actualizamos los certificados

certbot renew --dry-run

Referencias

keopx Sáb, 02/09/2017 - 12:34

Categoria

Tag

apache

Debian 9

Sistemas

certbot

Comentarios

Configurar sistema de correo con Exim4 en Debian 9

keopx — Sat, 02 Sep 2017 10:01:02 +0000

Configurar sistema de correo con Exim4 en Debian 9

Acabo de migrar a un nuevo servidor con un poco más de capacidad y me he encontrado con que el sistema de correo de estaban llegando a SPAM.

Tras verificar que los spf1 estaba bien he procedido a revisar las otras configuraciones, como es usar exim4.

Configuración de spf1:

Tipo: txt
Nombre: @
Valor: v=spf1 +a +mx include:_spf.google.com ip4:193.70.2.7 ip6:2001:41d0:0401:3100:0000:0000:0000:3bfa ~all
TTL: 600

Aclarar que el TTL siempre va en segundos y que tanto la IP4 y la IP6 deberan ser las adecuadas.

Configuración exim4 (leer antes de lanzar):

# dpkg-reconfigure exim4-config

Mail Server Configuration Type
- internet site; mail is sent and received directly using SMTP
Enter FQDN
- vps448842.ovh.net
SMTP Listener
- 127.0.0.1 ; ::1
Mail Destinations
- vps448842.ovh.net;localhost.localdomain;localhost;
Relay Options | Configuración del servidor de correo
- Lo dejamos en blanco
DNS Queries
- No
Delivery Method Configuración del servidor de correo
- formato mbox en «/var/mail»
Configuration File
- No
Postmaster address
- root

NOTA: el paso mas importante es el de Postmaster address.

Añadir email-addresses

Para configurar adecuadamente los email de envio deberemos configurar los mail. En mi caso:

# nano /etc/email-addresses

Y añadimos email por usuario:

www-data: isarea@isarea.com
user: isarea@isarea.com
root: isarea@isarea.com

En caso de poner mal el Postmaster address

Si deseas cambiar el Postmaster address deberás ir a /etc/aliases y modificar la configuración.

Referencias

keopx Sáb, 02/09/2017 - 12:01

Categoria

Tag

Comentarios

Instalar certificados de Let's Encrypt - Free SSL/TLS Certificates en Debian / Ubuntu

keopx — Fri, 09 Dec 2016 18:41:34 +0000

Instalar certificados de Let's Encrypt - Free SSL/TLS Certificates en Debian / Ubuntu

Activamos ssl para apache:

a2enmod ssl

Añadimos a nuestro site la configuración correcta:

...
<VirtualHost *:443>
        ServerAdmin keopx@keopx.net
        ServerName www.keopx.net
        DocumentRoot /var/www/keopx.net/docroot
        <Directory /var/www/keopx.net/docroot/>
                # Options FollowSymLinks
                Options SymLinksIfOwnerMatch
                AllowOverride All
                Require all granted
        </Directory>
        ErrorLog /var/log/apache2/error.log
        # Possible values include: debug, info, notice, warn, error, crit,
        # alert, emerg.
        LogLevel warn
        CustomLog /var/log/apache2/access.log combined
        ServerSignature On
        SSLCertificateFile /etc/letsencrypt/live/www.keopx.net/fullchain.pem
        SSLCertificateKeyFile /etc/letsencrypt/live/www.keopx.net/privkey.pem
        Include /etc/letsencrypt/options-ssl-apache.conf

</VirtualHost>

<VirtualHost *:80>
    ServerName keopx.net
    Redirect 301 / http://www.keopx.net/
</VirtualHost>
....

Procedemos a instalar letsencrypt:

cd /opt
git clone https://github.com/certbot/certbot.git letsencrypt

Configuramos letsencrypt:

nano /etc/letsencrypt/keopx.ini

authenticator = webroot
webroot-path = /var/www/keopx.net/docroot
renew-by-default
agree-dev-preview
agree-tos
email = keopx@keopx.net

Procedemos a crear el certificado (duran 3 meses):

/opt/letsencrypt/certbot-auto --config /etc/letsencrypt/keopx.ini --user-agent letsencrypt-ubuntu-webroo -d www.keopx.net certonly

Ahora es necesario reiniciar apache:

service apache2 reload

Automatizar renovaciones automáticas:

crontab -e

6       0       1       *       *       /opt/letsencrypt/certbot-auto --config /etc/letsencrypt/phpmyadmin.isarea.ini --user-agent letsencrypt-ubuntu-webroot -d phpmyadmin.isarea.com certonly && service apache2 reload

keopx Vie, 09/12/2016 - 19:41

Categoria

Tag

Comentarios1

Muy bueno

Gracias tenía agendado hacer esto en mi web y todavía no lo había buscado. A los favoritos!

Montar unidad ISCSI con CHAP habilitado

keopx — Sat, 29 Jan 2011 13:46:48 +0000

Montar unidad ISCSI con CHAP habilitado

Instalamos en paquete necesario:

$ sudo aptitude install open-iscsi

Arrancamos el servicio:

$ sudo /etc/init.d/open-iscsi start

En primer lugar tenemos que indicarle a iscsiadm que detecte nuestro target iSCSI y lo agregue a su base de datos. Hay que aclarar que iscsiadm tiene tres formas de operación:

discovery: En este modo se pueden descubrir targets y agregarlos a la base de datos.
node: En este modo se administran los targets ya descubiertos y se pueden visualizar datos acerca de estos nodos, así como conectarse a ellos.
session: En este modo se administran los targets a los que se está conectados (en los que se ha hecho login).

Para descubrir nuestro target usamos “discovery“:

$ sudo iscsiadm -m discovery -t sendtargets -p 192.168.1.110
192.168.1.110,1 iqn.2005-02.au.com.empresa:san.200G.samba

Con lo que le indicamos a iscsiadm que descubra los targets que le ofrece el portal ubicado en 192.168.1.110. El método que usa para descubrirlo es “sendtargets“, que es el método soportado más estable a la fecha (existen otros métodos, como por ejemplo uno que resuelve nombre de targets). Como vemos descubrió el target que instalamos anteriormente. Por lo cual, si hacemos solo:

$ sudo iscsiadm -m discovery
192.168.1.110:3260 via sendtargets

Vemos que la información del servidor iSCSI target descubierto quedó almacenada en la base de datos de iscsiadm Ahora, si queremos saber cuál es la información que se almacenó sobre el target descubierto, tenemos que operar en modo nodo:

$ sudo  iscsiadm -m node --targetname iqn.2005-02.au.com.empresa:san.200G.samba -p 192.168.1.110
node.name = iqn.2005-02.au.com.empresa:san.200G.samba
node.transport_name = tcp
node.tpgt = 1
node.active_conn = 1
node.startup = manual
node.session.initial_cmdsn = 0
node.session.auth.authmethod = None
node.session.auth.username =
node.session.auth.password =
node.session.auth.username_in =
node.session.auth.password_in =
node.session.timeo.replacement_timeout = 120
node.session.err_timeo.abort_timeout = 10
node.session.err_timeo.reset_timeout = 30
node.session.iscsi.InitialR2T = No
node.session.iscsi.ImmediateData = Yes
node.session.iscsi.FirstBurstLength = 262144
node.session.iscsi.MaxBurstLength = 16776192
node.session.iscsi.DefaultTime2Retain = 0
node.session.iscsi.DefaultTime2Wait = 0
node.session.iscsi.MaxConnections = 1
node.session.iscsi.MaxOutstandingR2T = 1
node.session.iscsi.ERL = 0
...

Configuración de la autenticación Si el target tiene configurada la autenticación, en mi caso CHAP mutuo, para pedir al iniciador un usuario y una contraseña, entonces debemos configurar esa información en nuestro iniciador. Para ello también usamos iscsiadm y modificamos la información almacenada para el target ya descubierto.

$ sudo iscsiadm -m node --targetname iqn.2005-02.au.com.empresa:san.200G.samba -p 192.168.1.110 -o update -n node.session.auth.authmethod -v CHAP

$ sudo iscsiadm -m node --targetname iqn.2005-02.au.com.empresa:san.200G.samba -p 192.168.1.110 -o update -n node.session.auth.username -v usuario-iniciador

$ sudo iscsiadm -m node --targetname iqn.2005-02.au.com.empresa:san.200G.samba -p 192.168.1.110 -o update -n node.session.auth.password -v clave-iniciador

usuario-iniciador: iqn.2005-02.au.com.empresa:san.200G.samba
clave-iniciador: password_definida_en_CHAP

También se puede configurar en el fichero de configuración /etc/iscsi/iscsid.conf:

# *************
# CHAP Settings
# *************
# To enable CHAP authentication set node.session.auth.authmethod
# to CHAP. The default is None.
node.session.auth.authmethod = CHAP
# To set a CHAP username and password for initiator
# authentication by the target(s), uncomment the following lines:
node.session.auth.username = iqn.2005-02.au.com.empresa:san.200G.samba
node.session.auth.password = carkeycarkey
# To set a CHAP username and password for target(s)
# authentication by the initiator, uncomment the following lines:
# node.session.auth.username_in =
# node.session.auth.password_in =
# To enable CHAP authentication for a discovery session to the target
# set discovery.sendtargets.auth.authmethod to CHAP. The default is None.
#discovery.sendtargets.auth.authmethod = CHAP
# To set a discovery session CHAP username and password for the initiator
# authentication by the target(s), uncomment the following lines:
discovery.sendtargets.auth.username = iqn.2005-02.au.com.empresa:san.200G.samba
discovery.sendtargets.auth.password = carkeycarkey
# To set a discovery session CHAP username and password for target(s)
# authentication by the initiator, uncomment the following lines:
#discovery.sendtargets.auth.username_in = username_in
#discovery.sendtargets.auth.password_in = password_in

Otro valor importante es la conexión automática, que se configura de la siguiente manera:

$ sudo iscsiadm -m node -T iqn.2005-02.au.com.empresa:san.200G.samba -p 192.168.1.110 --op update -n node.conn[0].startup -v automatic

Conectarse al target

$ sudo iscsiadm -m node --targetname iqn.2005-02.au.com.empresa:san.200G.samba -p 192.168.1.110 -l

La opción “-l” indica que queremos hacer login en el target. Esto significa que el disco iSCSI estará disponible como un dispositivo de hardware más en nuestro servidor. Para comprobar si el disco iSCSI se detecto y se “conectó” al equipo, basta con ver la salida de dmesg:

$ sudo dmesg
SCSI device sdi: 390620475 512-byte hdwr sectors (199998 MB)
sda: Write Protect is off
sda: Mode Sense: 77 00 00 08
SCSI device sdi: drive cache: write through
SCSI device sdi: 390620475 512-byte hdwr sectors (199998 MB)
sda: Write Protect is off
sda: Mode Sense: 77 00 00 08
SCSI device sdi: drive cache: write through
sdi: sdi1
sd 1:0:0:0: Attached scsi disk sdi

En el ejemplo el disco iSCSI se detectó y se “conectó” al equipo como un disco SCSI más. También notamos que para el sistema nuestro disco iSCSI no se diferencia de un disco SCSI conectado físicamente Fuente y documentacion relacionada:

keopx Sáb, 29/01/2011 - 14:46

Categoria

Tag

Comentarios

Eliminar usuario y su home en Debian/Ubuntu

keopx — Sat, 29 Jan 2011 11:34:10 +0000

Eliminar usuario y su home en Debian/Ubuntu

Para eliminar un usuario y su home tenemos 2 opciones diferentes:

$ sudo userdel -r usuario

$ sudo deluser --remove-home usuario

keopx Sáb, 29/01/2011 - 12:34

Categoria

Tag

Comentarios1

no se pueden eliminar las…

no se pueden eliminar las cuentas que tengan mas de dos nombres

X11 con root para ciertas tareas

keopx — Mon, 27 Dec 2010 16:28:36 +0000

X11 con root para ciertas tareas

Hoy me he encontrado en una situación un tanto inusual. Necesitaba instalar una aplicación con permisos de root, para ello he intentado hacerlo mediante sudo y como root y me tiraba un fallo. La aplicación necesita de java para la instalarse de forma visual y al arrancar este me decía que no era posible. Para instalar una aplicación como root que tiraba de Java y que necesita las X no me dejaba, me daba un fallo al no poder ejecutar la instalación, el fallo me daba en java al intentar interactuar con las X. En mis sistemas procuro en la medida de lo posible evitar el uso de root y también para las X, pero este caso no quedaba más remedio. Para ello he tenido que seguir los siguientes pasos.

keopx@localhost:~$ su -
root@localhost:~# xauth merge ~keopx/.Xauthority
root@localhost:~# export DISPLAY=:0.0
root@localhost:~# xterm # o cualquier programa Xwindows que desees ejecutar.
root@localhost:~# ./setup

keopx Lun, 27/12/2010 - 17:28

Categoria

Tag

Comentarios

Eliminar las claves obsoletas de APT

keopx — Sat, 25 Dec 2010 12:12:07 +0000

Eliminar las claves obsoletas de APT

Si trabajamos con repositorios diferentes a los que el sistema nos proporciona, suele ser necesario añadir nuevos repositorios e importar sus respectivas claves. Puede que dicho repositorio cambie las claves, o simplemente estemos interesados en eliminar las que tenemos o que nos de un error del tipo: The following signatures were invalid: BADSIG

Entonces podemos seguir los siguientes pasos:

$ sudo -s -H
# aptitude clean
# rm /var/lib/apt/lists/*
# rm /var/lib/apt/lists/partial/*
# aptitude clean
# aptitude update

keopx Sáb, 25/12/2010 - 13:12

Categoria

Tag

Comentarios

Control de acceso para root por SSH en Debian

keopx — Tue, 16 Nov 2010 17:11:05 +0000

Control de acceso para root por SSH en Debian

En el post anterior comentábamos la necesidad de permitir el acceso root vía SSH, pero considero esto muy seguro de cara a los intentos de acceso remoto. Para ello vamos vamos habilitar el control por ip para el acceso root SSH. Lo primero es editar el siguiente fichero /etc/pam.d/sshd

$ sudo nano /etc/pam.d/sshd

Buscamos y descomentamos la siguiente linea:

account    required     pam_access.so

Una vez echo esto procedemos a realizar el control de ip en el siguiente fichero /etc/security/access.conf

$ sudo nano /etc/security/access.conf

Y añadimos:

#Denied ALL EXCEPT
- : root : ALL EXCEPT 10.10.24.101

Con esto prohibimos el acceso desde todos los puntos como root a excepción de la ip 10.10.24.101. Si se revisa el documento que editamos existen múltiples configuraciones que se adaptan perfectamente a casi cualquier necesidad.

Referencias

keopx Mar, 16/11/2010 - 18:11

Categoria

Tag

Comentarios

Añadir usuario al grupo de administración de impresora en Debian Squeeze (testing)

keopx — Fri, 17 Sep 2010 07:54:47 +0000

Añadir usuario al grupo de administración de impresora en Debian Squeeze (testing)

Para administrar las impresoras desde la web de CUPS, http://localhost:631 es necesario el añadir el usuario al grupo de administración de impresoras, siempre y cuando el usuario ya exista.

sudo usermod -a -G lpadmin keopx

keopx Vie, 17/09/2010 - 09:54

Categoria

Tag

Comentarios

Convertir videos flv a ogg o mp3 en Debian/Ubuntu

keopx — Fri, 03 Sep 2010 07:05:40 +0000

Convertir videos flv a ogg o mp3 en Debian/Ubuntu

Lo primero que tenemos que realizar es posiblemente la descarga del vídeo. Para ello existe un plugin muy interesante para firefox/iceweasel que facilita dicha descarga, download helper: https://addons.mozilla.org/es-ES/firefox/addon/3006/ Instalar ffmpeg:

sudo apt-get install ffmpeg

Ahora pasamos a la compresión a ogg:

ffmpeg -i video_descargado.flv -vn -ar 44100 -ac 2 -ab 160k -f ogg nombre.ogg

Compresión en mp3:

ffmpeg -i video_descargado.flv -vn -ar 44100 -ac 2 -ab 160k -f mp3 nombre.mp3

Para cambiar las preferencias, mirar el man ffmpeg.

keopx Vie, 03/09/2010 - 09:05

Categoria

Tag