Debian Chile

Una red privada virtual (VPN) es usada para establecer una conexión encriptada, punto-a-punto, entre dos computadores. El uso más común de una VPN es para exportar en forma remota aplicaciones X, o incluso el escritorio completo del servidor. Por ejemplo, podemos correr en el computador de casa aplicaciones o el escritorio del servidor del trabajo.

El escritorio se puede levantar en forma remota con XDMCP, de hecho es la manera de usarlo dentro de una red interna, pero cuando la conexión viaja por Internet, en donde no se puede suponer que existe privacidad alguna, una VPN es la manera de asegurarlo.

En la configuración a continuación, el servidor remoto y computador local (cliente) pueden ser intercambiados sin mayores consideraciones.

Instalando y configurando OpenVPN

Instala el paquete openvpn en servidor y cliente,

Genera una llave secreta,

en uno y copiala en forma segura al segundo, por ejemplo, con Secure Copy,

En el servidor remoto (el que va a servir el escritorio), crea el archivo /etc/openvpn/tun0.conf y agrega,

Los números IP 10.x.x.x pueden modificarse a gusto. Lo importante es asignarle, dentro de una misma subred (10.x.x), un IP a cada computador. La llave secreta se encarga que solo aquellos computadores que tienen la llave puedan crear el túnel. Por eso es importante proteger la llave bien (como cualquier otra llave encriptada). En este caso, 10.9.8.1 es el IP del servidor remoto, 10.9.8.2 el IP del cliente.

En el computador cliente (local), crea también el archivo /etc/openvpn/tun0.conf y agrega,

en donde "remote" es el IP público del servidor remoto. En la configuración del cliente, los IPs asignados van revertidos.

Inicia el servidor OpenVPN en servidor remoto y cliente,

El servidor OpenVPN va a crear en ambos una interfase de red llamada tun0,

que hay que tratar igual que una interfase de red normal. En particular, hay que incluirla en el cortafuegos. Usa como guía la versión servidor de http://man-es.debianchile.org/cortafuego.html.

Edita /etc/network/if-pre-up.d/firewall y agrega en la cadena INPUT,

en el cliente y,

en el servidor.

Es también necesario abrir el puerto 1194 UDP en la interfase externa. Edita /etc/network/if-up.d/firewall y agrega,

El cortafuegos se puede reiniciar con,

Eso es todo. Ahora prueba conexiones desde el cliente hacia el servidor remoto, por ejemplo,

De aquí en adelante establece cualquier conexión privada con el IP 10.9.8.1.

El wiki OpenVPN muestra como exportar el escritorio del servidor remoto.

(Editado por admin)

Instalación de Zeitgeist y GNOME Activity Journal.-

1.- Qué es Zeitgeist y GNOME Activity Journal?

Zeitgeist y GNOME Activity Journal son una de las tantas maravillas que traerá Gnome 3, básicamente consiste en una utilidad/herramienta que nos permitirá/ayudará a encontrar archivos en nuestro equipo de una manera bastante “novedosa”, ya que está enfocado a búsquedas según:

• Tipo de datos
• Fuente
• Tiempo
• Nombre
• Etiquetas (Tags)
• Archivos similares
• Comentarios
• Localizacion de uso(GPS)

2.- Instalamos lo necesario:

Caturra:/# apt-get install bzr gnome-common

3.- Bajando e instalando Zeitgeist.-

La verdad es que puede ser en cualquier directorio, lo elegí /usr/local/src/ porque pienso ir actualizándolo para usarlo seguido,

Caturra:/# cd usr/local/src/
Caturra:/usr/local/src# mkdir Gnome3
Caturra:/usr/local/src# cd Gnome3/
Caturra:/usr/local/src/Gnome3# bzr get lp:zeitgeist; bzr get lp:gnome-activity-journal


4.- Ejecutar:

Como $USER ejecutamos lo siguiente:

CdK1@Caturra:/usr/local/src/Gnome3/zeitgeist$ ./zeitgeist-daemon.py &
CdK1@Caturra:/usr/local/src/Gnome3/gnome-activity-journal$ ./gnome-activity-journal

Con eso levantamos, para sacarle el máximo provecho hacemos:

Caturra:/# cd usr/local/src/Gnome3/zeitgeist/
Caturra:/usr/local/src/Gnome3/zeitgeist# ./autogen.sh
Caturra:/usr/local/src/Gnome3/zeitgeist# make
Caturra:/usr/local/src/Gnome3/zeitgeist# make install

PD: He omitido la salida por ser innecesaria.

Con esto tenemos listo, lo que nos crea dos comandos:

zeitgeist-daemon zeitgeist-datahub

Y listoco, ahora para ahorrarnos algunas cosas lo automatizamos:

Vamos a:

Sistema ==> Preferencias ==> Aplicaciones

Al inicio le damos a “Añadir” y agregamos:

Nombre: Gnome Zeitgeist
Comando: zeitgeist-daemon
Comentario: Nice

Con esto tenemos el demonio listo, agregamos GNOME Activity Journal al Menú: para lo cual usamos “alacarte”.

5.- Actualizamos el código regularmente:

Creamos un archivo con el nombre que queramos, con algo similar a esto, es bastante rudimentario pero sirve,

#!/bin/bash
cd /usr/local/src/Gnome3/zeitgeist/ && bzr pull && sh autogen.sh && make && make install &&
cd /usr/local/src/Gnome3/gnome-activity-journal/ && bzr pull


Le damos permiso de ejecución y lo alojamos en /etc/cron.daily o pueden usar `crontab -e`, etc.

Acá tienen un ejemplo de Zeitgeist y GNOME Activity Journal en su máxima expresión.

http://seilo.geekyogre.com/2010/01/a-mockup-is-worth-a-thousand-lines-of...

Eliminando e instalando paquetes en el sistema comenzamos a generar una serie de componentes (mucha de esas simples configuraciones) en nuestro sistema que nunca jamas volvemos a utilizar, para saber que esta instalado y no usamos podemos realizar el siguiente comando:

debian:~# dpkg -l | grep -v ^ii | awk '{print $2}' | sed '1,5d'

y si el resultado lo queremos eliminar bastaria enviando la salida a un dpkg --purge

debian:~# dpkg -l | grep -v ^ii | awk '{print $2}' | sed '1,5d'|xargs dpkg --purge

Espero sea de utilidad.

Recientemente hice una modificación pequeña a la configuración de Exim4 para eliminar ataques de diccionario. La modificación fue tan exitosa que la publiqué en el Blog,

http://www.debianchile.org/?q=node/135

La configuración descrita impone una demora de dos minutos si el IP intenta repartir más de un correo a un receptor inexistente, dentro de ese lapso. En un periodo menor a una semana habían cesado todos los ataques de diccionario.

Quedé sorprendido que una simple demora de dos minutos hiciera desistir a spameros de atacar mi sitio. Esta demora debe ser costosa. ¿Por que? Este es mi razonamiento: Los spameros basan su éxito en la teoría de probabilidades. Si bien la probabilidad de éxito (lograr que un SPAM pase todos los escrutinios de Exim y Spamassassin) es bastante baja, la cantidad de pruebas, número bien grande, hace que al fin se cuelen uno que otro SPAM. En eso consiste el éxito de un spamero. El número importante es entonces el máximo de conexiones posible que el servidor del spamero puede establecer. Ese número es grande, pero no infinito. Si Exim mantiene por dos minutos la conexión abierta, a la espera, para después responder que deniega la conexión, el costo de la demora se torna inaceptable para el spamero si dentro de esos dos minutos puede en vez hacer miles de otros intentos. Ese es el motivo por el cual una pequeña demora se torna tan costosa.

He encontrado varios puntos en la configuración de Exim en donde insertar una leve demora hace desistir otros ataques recurrentes, o al menos disminuirlos.

Edita el archivo /etc/exim4/conf.d/acl/30_exim4-config_check_rcpt y modifica según descrito.

1. DNSBL
   
   

   # DNS blacklist
drop
   log_message = listed by $dnslist_domain
   dnslists = bl.spamcop.net : b.barracudacentral.org : zen.spamhaus.org : dnsbl.sorbs.net
   delay = 2m


   Esta modificación impone una demora de dos minutos si el sitio ya está marcado por una lista negra DNS y puede aplicarse en cualquier punto a partir de aceptar una conexión autenticada,

   accept
   authenticated = *
   control = submission/sender_retain


   Aplicarla antes de la autenticación puede bloquear a usuarios locales que envían correo desde redes dinámicas (que generalmente están todas en listas negras DNS).

2. Intentos de relay.

   Modifica,

   require
   message = relay not permitted
   domains = +local_domains : +relay_to_domains


   por,

   drop
   message = relay not permitted
   !domains = +local_domains : +relay_to_domains
   delay = 2m


   Es en el fondo la misma regla, excepto a que bota inmediatamente el mensaje, imponiéndole la demora a quien intente usarnos ilegalmente como relay.

3. Verificación de dirección.
   
   

   # .ifdef CHECK_RCPT_VERIFY_SENDER
   deny
     message = Sender verification failed
     !acl = acl_local_deny_exceptions
     !verify = sender
     delay = 2m
# .endif


   Eficiente para aquellos intentos que usan emisor con dominio falso, inexistente o inventado.

4. Receptor verificable.

   Modifica,

   require
   verify = recipient


   por,

   drop
   !verify = recipient
   delay = 2m


   Es en el fondo la misma regla, excepto a que bota inmediatamente el mensaje si el receptor no existe, imponiéndole además la demora.

Todas estas modificaciones hay que usarlas con cuidado, porque Exim tiene un máximo de 25 conexiones simultaneas. Si el sitio es atacado a una tasa alta, las demoras pueden fácilmente agotar las conexiones y botar no solo SPAM, sino también correo legítimo. Una buena práctica es ir insertando las modificaciones una a la vez e ir monitoriando el efecto, porque la tasa de ataques irá disminuyendo con cada una de ellas, pero a medida que transcurra el tiempo.

Hecha cualquier modificación, actualiza la configuración y reinicia el servidor,

Un nuevo depósito ha surgido a partir del otrora Debian Unofficial. Este nuevo depósito, llamado "Unofficial Maintainers", distribuye como antes paquetes no oficiales que, por motivo de licencia o restricciones varias, no se encuentran en el depósito oficial de Debian. Incluye software como,

entre otros. Muchos de estos son también parte de Debian Multimedia, aunque no todos.

Debian Chile mantiene una réplica en,

http://apt.debianchile.org/debian-unofficial

La manera de usarlo es como de costumbre. Inserta en /etc/apt/sources.list,

También se puede usar la versión sid o unstable. Está anunciada una estructura para Squeeze (testing), pero ésta vendrá más adelante.

El antiguo depósito Debian Unofficial, que dejó de actualizarse hace mucho, ha sido movido a,

http://apt.debianchile.org/debian-archive

para aquellos que aún lo usan con Sarge o Etch.

Escenario: tengo un servidor remoto con conexion PPP? cambio la IP? = perdi conectividad para controlar el servidor, que hacemos?

Creemos un script que nos diga cual es la nueva ip :)

#!/bin/bash