El 2003-11-13 a las 09:15 +0100, Jose Vicente Edo Maranchon escribió:

Por lo poco que he leido del amavis, tengo entendido que necesita aparte un antivirus, para trabajar.

Si, pero con SuSE viene al menos uno, el H+BEDV. Para probar es suficiente. No cazará ningún virus moderno a no ser que lo actualices.

Firewall, no lo tengo activado, ¿Te refieres a poner reglas para filtrar según que correos, o para tener cerrados todos los otros puertos?

Lo segundo. ¡No me digas que tienes un ordenador conectado a internet sin firewall! Leete rápidamente el capitulo de seguridad en el libro.

¿Qué tipo de ataques te refieres?.

Cientos. Hay gente que se entretiene en buscar agujeros de seguridad en los servicios, y luego en buscar maquinas que tengan ese servicio puesto por ahí para atacarlo, y hacer lo que quieran: desde apropiarse de la maquina remotamente para atacar a otra máquina, robar infrmación, o simplemente enviar correo basura al resto de internautas. Hay gente que se dedica a hacer scripts para buscar maquinas con fallos; los más habituales buscan fallos en windows. En cuanto me conecto con el modem me llegan unos cuantos: [**] [1:483:2] ICMP PING CyberKit 2.2 Windows [**] es el ultimo que veo en mi registro.

Para el spam, había pensado en Spamassassin, ¿Qué os parece?

Magnífico.

Y en cuanto actualización, la versión de SuSE 8.1 con el último parche de seguridad que saca suse para la 8.1 en la página de actualizaciones.

No, usa el YOU que te hace las actualizaciones automáticamente. -- Saludos Carlos Robinson

El 2003-11-14 a las 04:01 +0100, miguel.listas escribió:

hablando de seguridad... estoy un poco mosca. Tengo activado el firewall con los servicios que doy con suse 9.0 (basicamente correo con postfix, http(s) con apache y un P2P). La cosa es que hoy me estan llegando muchisimos mensajes al /var/log/messages, del estilo de:

Nov 14 02:50:06 pistacho kernel: SuSE-FW-ACCEPT IN=eth0 OUT= MAC=00:0a:cd:05:58:51:00:30:80:c9:e4:70:08:00 SRC=212.194.18.141 DST=**.**.96.168 LEN=48 TOS=0x00 PREC=0x00 TTL=119 ID=50754 DF PROTO=TCP SPT=4061 DPT=4662 WINDOW=65535 RES=0x00 SYN URGP=0 OPT (0204058C01010402)

La ip dst es la mia, y la src varia mucho. No tengo ni idea de lo que son, pero mi log crece a ritmo de 1 mega/min, o asi. Tengo entendido que postfix, por defecto, no permite relay de spam, y ademas, si paro postfix, siguen llegando los mismos mensajes al log. Que demonios puede ser?

Eso no es el postfix. Los puertos de origen y destino no estan asignados; debe estar aceptando eso paquetes porque debes tener habilitado lo de aceptar puertos altos. Prueba a desactivar eso en la configuración del firewall. Si el log te crece, eso significa que estan registrandose muchos de esos paquetes, luego algo en tu maquina está respondiendo en ese puerto: debes averiguar que aplicación es. ¿Tienes puesto algo del estilo del burrito? Si son paquetes legales, entonces lo que debes hacer es evitar que se registren en el log.

Ademas, en /var/log/mail.info, tengo demasiados mensajes desde hoy del estilo:

Si habilitas el mail.debug, verás más todavia; pero creo que es suficiente.

Nov 14 00:37:17 pistacho postfix/qmgr[2461]: 9DF432C103: from=, size=2384, nrcpt=1 (queue active) Nov 14 00:37:17 pistacho postfix/smtpd[3270]: disconnect from lists.suse.com[195.135.221.131] Nov 14 00:37:17 pistacho postfix/local[3275]: 9DF432C103: to=<***************@pistacho.pattrynet.org>, relay=local, delay=1, status=sent (mailbox)

Enviado, o sea, recibido. Ok.

Nov 14 00:38:51 pistacho postfix/smtpd[3270]: connect from scanner.abuse.blueyonder.co.uk[193.38.113.34] Nov 14 00:38:51 pistacho postfix/smtpd[3270]: C0FE62C103: client=scanner.abuse.blueyonder.co.uk[193.38.113.34] Nov 14 00:38:51 pistacho postfix/smtpd[3270]: C0FE62C103: reject: RCPT from scanner.abuse.blueyonder.co.uk[193.38.113.34]: 554 : Relay access denied; from= to= proto=SMTP helo=

Inciso: si quieres ver mucha más información (de depuración) para algunos correos concretos, en el '/etc/postfix/main.cf' pon esto: debug_peer_list = scanner.abuse.blueyonder.co.uk (o usa POSTFIX_ADD_debug_peer_list= en el '/etc/sysconfig/postfix' y ejecuta suseconfig).

Donde se puede ver como la lista de correo de suse me envia correos a mi cuenta, pero tb hay referencias a algo llamado abuse@abuse.blueyonder.co.uk o scanner.abuse.blueyonder.co.uk (blueyonder es mi isp)...

Bueno, parece que están intentando enviar un correo desde hacia , pero enviado por una máquina llamada "scanner.abuse.blueyonder.co.uk". Tengo una sospecha: tu proveedor está intentando ver si tu máquina es capaz de actuar de relay indiscriminado, o sea, una comprobación de seguridad. Comprueba, mediante la orden host, que '193.38.113.34' corresponde realmente a esa máquina. Podrías preguntarles. Por cierto, eso me recuerda: el postfix de la suse 8.2 tiene un error de configuración que provoca que si haga relay si el intruso está en la misma sección de red que tu. Es porque "mynetworks" no está bien puesto, verifícalo (el reporte salió en la lista inglesa hace unos meses).

Nota: No pretendo hacer un secuestro de hilo, sino que he visto el correo este y he pensado que el mio podria encajar.

Fale :-) -- Saludos Carlos Robinson

El 2003-11-17 a las 01:56 +0100, miguel.listas escribió:

Pues si, era el xmule! Al final los arboles no le dejan ver a uno el bosque. Dada la cantidad de usuarios a los que estaba conectado para subir y bajar ficheros... el firewall apuntaba todo en el log. Fue apagar el xmule un rato, y dejar de recibir semejante cantidad de informacion en el log.

Lo que se registra en el log se controla con estas variables en "/etc/sysconfig/SuSEfirewall2": FW_LOG_DROP_CRIT="yes" FW_LOG_DROP_ALL="yes" FW_LOG_ACCEPT_CRIT="yes" FW_LOG_ACCEPT_ALL="no" Mira a ver como lo tienes. Es posible que se pueda evitar que se registren las entradas de un puerto concreto, pero ese sería tocando iptables directamente (mira en /etc/sysconfig/scripts/SuSEfirewall2-custom). Mira como tienes estas dos entradas: FW_ALLOW_INCOMING_HIGHPORTS_TCP="ftp-data" FW_ALLOW_INCOMING_HIGHPORTS_UDP="DNS domain" Es posible que lo tengas en "yes". En vez de eso, abre unicamente los puertos necesarios, incluyendo los del emule.

...

debug_peer_list = scanner.abuse.blueyonder.co.uk

Uy no no, ya vale de info ;-)

:-) Yo lo tuve que hacer una vez con un destino concreto para saber que estaba pasando. Es mucho mejor que registrar la información completa de todas las conexiones ;-)

...

Podrías preguntarles.

Eeeeeeeeer, si, lo hice, pero estos ingleses hablan un ingles muy raro por telefono y no hay dios que los entienda :-D. Otro dia lo sigo intentando...

¿Como es que tienes un proveedor inglés, estás en inglaterra? Con los americanos me entiendo por teléfono, pero con los ingleses me cuesta bastante. Se dice que hay dos pruebas para ver el dominio de un idioma: 1) hablar por teléfono, y 2) hacer cuentas. La segunda no la supero, no se cuanto es four times five ;-)

...

Por cierto, eso me recuerda: el postfix de la suse 8.2 tiene un error de configuración que provoca que si haga relay si el intruso está en la misma sección de red que tu. Es porque "mynetworks" no está bien puesto, verifícalo (el reporte salió en la lista inglesa hace unos meses).

Todas las lineas del main.cf referentes al mynetworks aparecen todas comentadas. Leyendo los comentarios, aconsejan que si solo confias en tu maquina local especificar lo sgte:

mynetworks_style = host

Yo es que soy muy cazurro, y lo que es evidete no me lo parece tanto. Con esto ya valdria, no? (y recargar el postfix, claro, para actualizar el demonio). Bueno si, cuanto mas lo leo mas convencido estoy! :-D

Más vale especificar la IP exacta: POSTFIX_ADD_MYNETWORKS="192.168.0.0/24, 127.0.0.1/32" en el fichero "/etc/sysconfig/postfix". El problema parece ser que la subred de la interfaz externa se considera local a efectos de relay si no pones lo de arriba. Si quieres ver el informe original, está en: |>Date: 05 Sep 2003 08:58:54 -0500 |>From: David Krider |>To: suse-linux-e@suse.com |>Subject: [SLE] SuSE's default postfix config is an open relay? ¿Me sospecho que no tendrás problemas para leerlo en inglés? :-) -- Saludos Carlos Robinson

El 2003-11-18 a las 20:19 +0100, miguel.listas escribió:

...

directamente (mira en /etc/sysconfig/scripts/SuSEfirewall2-custom).

Ese me temo que sera mi proximo nivel de conocimiento, para seguir trasteando con firewalls (antes me tendre que empollar iptables, que mis conocimientos en esto tienden a cero tanto como queramos). Entiendo que cualquier cosa que haga directamente con iptables se reflejara en la configuración del SuSEfirewall, correcto?

Er... no. Ese SuSEfirewall es, al fin y al cabo, un script (varios) que emiten una sere de comandos iptables que configuran el firewall. Lo que tu configuras normalmente es un fichero, /etc/sysconfig/SuSEfirewall, que contiene una serie de datos "en cristiano" que son leidas por el script y configuran el firewall - que en realidad es parte integral del kernel. Por tanto, lo que tu hagas con comandos iptables no se reflejaría en esa configuración, pero si al hacer un volcado con iptables. Eso si, está previsto una entrada para cargar tus propias reglas. Por cierto, yo tampoco soy un experto en iptables :-)

...

Mira como tienes estas dos entradas:

FW_ALLOW_INCOMING_HIGHPORTS_TCP="ftp-data" FW_ALLOW_INCOMING_HIGHPORTS_UDP="DNS domain"

Qué significan estas dos líneas?? Las tengo de la siguiente forma:

FW_ALLOW_INCOMING_HIGHPORTS_TCP="no" FW_ALLOW_INCOMING_HIGHPORTS_UDP="DNS"

Si, es correcto. La primera linea es para habilitar conexión a los puertos altos por TCP, y la segunda por UDP. Los puertos altos son los que estánn por encima del 1024. Yo tengo abierto ftp-data, que es necesario para usar ftp en modo activo (en ese modo, el servidor abre una segunda conexión hacia el cliente, y eso el firewall lo bloquea). Por lo demás, tenemos lo mismo.

...

Es posible que lo tengas en "yes". En vez de eso, abre unicamente los puertos necesarios, incluyendo los del emule.

En teoria los tengo abiertos en

  FW_SERVICES_EXT_TCP="4660:4670 otros puertos y servicios"

No vale? no sirve? O no me entero yo de nada??

Si, si sirve. Hacerlo de esa manera (yo también lo hago así) permite abrir puertos teniendo en cuenta la interfaz.

...

Yo lo tuve que hacer una vez con un destino concreto para saber que estaba pasando. Es mucho mejor que registrar la información completa de todas las conexiones ;-)

Bueno, es que junte la cantidad de info que tenia en el log con lo del scanner y pense que me estaban usando para enviar spam...

Desde luego, esas cosas mosquean.

...

¿Como es que tienes un proveedor inglés, estás en inglaterra? Con los americanos me entiendo por teléfono, pero con los ingleses me cuesta bastante. Se dice que hay dos pruebas para ver el dominio de un idioma: 1) hablar por teléfono, y 2) hacer cuentas. La segunda no la supero, no se cuanto es four times five ;-)

Pues si, vivo en UK... me tuve que ir de españa para ganarme las lentejas :-(

Ya entiendo. Es una posibilidad que yo también pensé, pero por motivos personales no lo tomé demasiado en serio.

Hay una prueba más para ver el dominio de inglés (y es seria, eh!?), y es sostener una conversación con un inglés borracho (no es dificil encontrar candidatos je je) en un pub/club con música de fondo. Si lo haces, considerate bilingüe :-D Eso si, solo está al alcance de unos pocos escogidos, y más si hablan con acento, como son estos Geordies :-D  (dios mio, si aqui no aprendo ingles, aprendo geordie!!)

Ah, ¡pues esa no la supero! X-) Me gusta esa prueba. O entender a un niño pequeño, también se las trae. Al otro lado del charco, y si conozco al individuo, quizás. Pero sin garantizarlo - a veces no entiendo ni a los de acá :-)

# Specify "mynetworks_style = class" when Postfix should "trust" SMTP # clients in the same IP class A/B/C networks as the local machine. # Don't do this with a dialup site - it would cause Postfix to "trust" # your entire provider's network.  Instead, specify an explicit # mynetworks list by hand, as described below.

(Este parrafito lo he dejado, creo que es importante)

#mynetworks_style = class #mynetworks_style = subnet mynetworks_style = host

Si descomento la tercera linea, tal y como la tengo, y recargo postfix, entiendo que solo mi maquina puede enviar correo a traves de mi maquina, correcto?

Creo que si. No entiendo porque SuSE sigue teniendo eso sin activar, ni mynetworks un poco más abajo. Bueno, mira bien el fichero, porque la parte de arriba está con todo comentado, y luego al final el yast añade sus entradas.

...

|>Date: 05 Sep 2003 08:58:54 -0500 |>From: David Krider |>To: suse-linux-e@suse.com |>Subject: [SLE] SuSE's default postfix config is an open relay?

¿Me sospecho que no tendrás problemas para leerlo en inglés? :-)

Esta noche me lo leo! Si es qeu ando mas liado que la pata de un romano. Supones bien, para leer, no hay ningun problema. Te sorprenderas si te digo que ademas trabajo en un call center, recibiendo llamadas de España, UK y USA? Como será que no entiendo a los del call center de mi ISP??

X'-) A lo mejor se calientan con un egg-nog :-p A mi me decían continuamente (en Canadá) que hablase más despacio, así que no me extraña mucho lo me cuentas ;-)

Lo siento por el html, pero cada vez que lo cambio hoy a texto plano se me cierra el mozilla (no lo entiendo, mozilla corriendo en linux, para utilizar el webmail, que corre en un servidor postfix - apache - linux... y se me cierra sin motivo aparente!! Se supone que esto era perfecto!! X-D)

Ah, quieres decir cuando entras por webmail, ¿no? Si es con el cliente normal de mozilla, es muy facil, lo puede preguntar cada vez que envias. Pero si es por cliente web, dependes de las capacidades del servidor. Si el mozilla se cuelga, pues es un bug, lo puedes reportar, o usar una versión más nueva. Claro, que si estás con el suse 9, debe ser moderno de por sí. ¿Tienes activado el soporte de multiples hilos, o como se llame? Prueba a quitarlo. Arranca el mozilla desde un terminal, quizás le de tiempo antes de colgarse a decirte porqué se está colgando. También puede ser un error de java, sería lo más típico. O era.

Gracias otra vez por los comentarios. Te voy a declarar 'maestro' a partir de ahora ;-)

Ugh. :-) -- Saludos Carlos Robinson

El 2003-11-21 a las 02:30 +0100, miguel.listas escribió:

A mi no me retenia nada en madrid, pero da un poco de vertigo lanzarse asi a otro pais, sin trabajo y con solo una reserva en un albergue (mi ingles de ahora no tiene nada que ver con el que tenia cuando llegue, aunque todavia me queda mucho que aprender). No me arrepiento en absoluto de haberlo hecho, solo tengo ganas de encontrar un trabajo 'decente'.

Lo entiendo muy bien. Yo estuve estudiando fuera, y eso se graba dentro. Irme casi a la aventura, pues ya no me atrevo, obligaciones y esas cosas... se me pasó la época para ello :-) [test de ingles]

...

Me gusta esa prueba. O entender a un niño pequeño, también se las trae. Al otro lado del charco, y si conozco al individuo, quizás. Pero sin garantizarlo - a veces no entiendo ni a los de acá :-)

No entiendo a los ninos pequenos espanoles... ni te cuento un ingles! De todos modos, el acento de aqui es fortisimo, si te toca uno cerrado, olvidate, ni los mismos ingleses les entienden (Newcastle para mas senas).

Si, lo se. He estado poco en UK, unos meses y hace años, pero recuerdo la diversidad de acentos. El escocés es el que más me gustó. Ahora tengo el oido hecho al canadiense y al americano - el primero es, no se, menos americano, por decirlo de algún modo. También tienen acentos que no hay quien entienda (Bronx?), y otros muy graciosos, como el del mississippi. Pero dejemos el tema, que nos van a matar por offtopicazo ;-)

...

...

#mynetworks_style = class #mynetworks_style = subnet mynetworks_style = host

Si descomento la tercera linea, tal y como la tengo, y recargo postfix, entiendo que solo mi maquina puede enviar correo a traves de mi maquina, correcto?

Creo que si. No entiendo porque SuSE sigue teniendo eso sin activar, ni mynetworks un poco más abajo. Bueno, mira bien el fichero, porque la parte de arriba está con todo comentado, y luego al final el yast añade sus entradas.

Bueno, tiene su lado bueno y su lado malo. Por un lado, a los que sepan lo que hacen les puede resultar aburrido corregirlo y absurdo que no venga 'de serie' en suse. A los que estamos empezando nos viene bien para aprender donde estan las cosas y como solucionarlas... Tambien para ver como funciona un poco por dentro Linux y sus demonios. Al menos, yo aprendo asi, espero que no me hayan usado mientras tanto para spammear...

Esa es la cuestion. Hay cosas que se pueden dejar sin terminar de configurar, para que el usuario se entretenga. Pero cosas determinadas, como la posibilidad de dejar un servidor de correo abierto al relay... Es que no lo aparenta. Según quien lo reportó, y lo que se comentó en ese hilo, si usas uno de esos sitios de comprobación de seguridad para ver si tu ordenador acepta relay da que está cerrado. Pero, si el que hace la prueba está en tu propio segmento de red (subnet) externa, y si la maquina es al mismo tiempo, como ocurre en casi todas las instalaciones caseras, el firewall y el servidor (esto es, el postfix no está en otra maquina en el DMZ), entonces por defecto el postfix acepta el relay, tal como viene configurado por SuSE. Y eso es grave.

...

...

...

|>Date: 05 Sep 2003 08:58:54 -0500 |>From: David Krider |>To: suse-linux-e@suse.com |>Subject: [SLE] SuSE's default postfix config is an open relay?

¿Me sospecho que no tendrás problemas para leerlo en inglés? :-)

Leido. Menos mal que estas de puente entre la lista inglesa y esta... Sospecho que me tendria que apuntar, pero me da un poco de reparo el volumen que pueda tener...

Si, es considerable. Yo últimamente sólo la leo por encima; afortunadamente, ahora tiene menos, porque han hecho un area llamada suse-ot donde se llevan todas las conversaciones off-topic.

...

A lo mejor se calientan con un egg-nog :-p

Con un ... cualo? Ahi no llego :-(

Je, es de Dickens. Un brebaje para combatir el frio, hecho de huevos, leche o crema, azucar, y, usualmente, vino o espiritus (traduciendo mal del Webster a propósito). Lo del "usualmente" mejor lo quitamos ;-)

...

A mi me decían continuamente (en Canadá) que hablase más despacio, así que no me extraña mucho lo me cuentas ;-)

A mi depende... suelo entender razonablemente bien a los americanos (suelo decir que entonan como los espanoles asi que aunque te pierdas la mitad de las palabras captas lo que dicen), salvo acentos Tejanos y similares. Eso si, los clientes americanos suelen ser los mas prepotentes, vagos y maleducados.

Curioso... habré tenido más suerte. Tienen otro talante, más directo quizás, más campechano. Es un pais enorme, muy diverso: date cuenta que es tan grande como la vieja Europa - quitando Rusia, claro.

Los menos son encantadores y da gusto tratar con ellos. Y si son ingleses, pues hablan demasiado bien el ingles... Y si me toca un escoces, directamente transfiero la llamada! Y santa paciencia la de los que me escuchan...

X'-) La diferencia, es que al ser ellos los clientes, hacen el esfuerzo, si hace falta, para que les entiendan. Es diferente al llamar tu.

...

...

Lo siento por el html, pero cada vez que lo cambio hoy a texto plano se me cierra el mozilla (no lo entiendo, mozilla corriendo en linux, para utilizar el webmail, que corre en un servidor postfix - apache - linux... y se me cierra sin motivo aparente!! Se supone que esto era perfecto!! X-D)

Por cierto, en la lista inglesa he visto, muy de pasada, referencias creo que a cuelgues del navegador en suse 9, pero no me he fijado - yo sigo con la 8.2.

...

Ah, quieres decir cuando entras por webmail, ¿no? Si es con el cliente normal de mozilla, es muy facil, lo puede preguntar cada vez que envias. Pero si es por cliente web, dependes de las capacidades del servidor. Si el mozilla se cuelga, pues es un bug, lo puedes reportar, o usar una versión más nueva. Claro, que si estás con el suse 9, debe ser moderno de por sí. ¿Tienes activado el soporte de multiples hilos, o como se llame? Prueba a quitarlo. Arranca el mozilla desde un terminal, quizás le de tiempo antes de colgarse a decirte porqué se está colgando. También puede ser un error de java, sería lo más típico. O era.

Java?? que pinta Java aqui?? el openwebmail esta hecho en Perl (por si tiene algo que ver).

Ah, bueno, no lo sabía. Es que la mayoría de paginas tipo webmail, o donde hay que rellenar formularios y todas esas cosas suelen usar java.

De todos modos, no he sido capaz de reproducir el error, tal vez fui demasiado rapido cambiando cosas :-? Mozilla 1.4. Que es eso de activar el paquete de multiples hilos?? Google no me dice nada al respecto (y si google no dice nada, sera que no existe, no ;-)?)

Espera, que lo busco - a ver... es que estoy descargando una versión nueva de Java, hay un sitio que me da problemas con sus formularios, y estoy probando. Primero he bajado el netscape 7.1, pero no acepta el SunJava2-1.4.1 de la suse 8.2, le he puesto el lackdownJava2-1.4.1. Pero sigue dando problemas, así que estoy bajando el SunJava2-1.4.2.02 a ver si traga... Ah, ya ha terminado la descarga, ya puedo mirar (cuando descargo algo largo con el navegador, no lo uso, no sea que se cuelgue: uso modem). Preferencias/Advanced/HTTP Networking/Enable Pipelining. o Enable Pipelining: Select this to enable pipelining, which allows for more than one HTTP request to be sent to the server at once, reducing delays loading web pages. Note: Pipelining is only available with HTTP 1.1. Y luego avisan que es experimental. Mmm, veo que también se puede activar http 1.0 - tendré que ver si eso me ayuda a mi con mis problemas. Aunque el problema fundamental es que cuando preguntas, te dicen que actualices a la ultima versión del Iexplorer. ¡Grrr! :-(

...

...

Gracias otra vez por los comentarios. Te voy a declarar 'maestro' a partir de ahora ;-)

Ugh. :-)

Gracias maestro(s) de la lista, miguel

No me digais eso, porque o me lo creo, o me sonrojo, y entonces me tengo que retirar ;-) Y además, hay muchas cosas que no se. Por ejemplo, el ldap me está ganando la partida... y todavía quiero aprender algo de mysql. -- Saludos Carlos Robinson