porplague70
Firewalld is a complete firewall solution that has been made available by default on all CentOS 7 servers, including Liquid Web Core Managed CentOS 7, and Liquid Web Self Managed CentOS 7. On occasion, perhaps for testing, disabling or stopping firewalld may be necessary. Follow the instructions below to disable firewalld and stop firewalld.
To disable firewalld, run the following command as root:
systemctl disable firewalld
To stop firewalld, run the following command as root:
systemctl stop firewalld
And finally, to check the status of firewalld, run the following command as root:
systemctl status firewalld
Wait, you actually wanted to Start and Enable Firewalld on CentOS 7? Then hit our tutorial on: How to Start and Enable Firewalld on CentOS 7!
porplague70
pfSense can be configured to serve up automatic proxy configuration data to clients to point users to squid running either on pfSense or another local system, assuming their systems settings are configured for this behavior. Though the data can be served from the firewall, the task is better suited for another local web server if one is available.
Note
To use the web server on the firewall to serve this data, the GUI must run in HTTP mode, or the vhosts package may be used to setup an alternate HTTP server on port 80. Neither of these are recommended as much as running a separate local web server for this task.
This process is known as WPAD, short for Web Proxy AutoDiscovery Protocol. If a web browser is configured for autodiscovery, it will try a few methods to figure out a proxy’s location.
A WPAD host may be supplied via DHCP numbered option 252 (string value containing the entire URL to the WPAD file) or DNS, which is easy to do with the built-in DNS forwarder.
To use squid authentication, squid cannot be used in transparent mode. HTTPS traffic also cannot be filtered using transparent mode. When squid is run in normal mode, a proxy IP and port must be configured on each client machine, which can be tedious. This can also cause problems on road warrior laptops that come in and out of the network. Rather than resetting their proxy configuration each time they enter and leave, autoconfigure will let them come and go without much trouble.
Most, if not all, modern browsers ship with the autoconfigure setting turned off, so it may still be necessary to push/enter this setting to client PCs. Even so, another advantage of using autoconfigure is that should squid move to another IP address, only one file must be changed to inform the clients of the updated IP address. (This may be easy to pull off in a windows domain with AD, but not for many others!)
This How-To assumes squid is already operating in a non-transparent configuration. For help with that, look elsewhere in this documentation and on the Forums.
Before starting, a wpad.dat file must be crafted. This is a single file with a JavaScript function which tells the browser how to find a proxy hostname and port. This function can be as simple or as complex as desired, there are many examples on the web. In this example, all clients will be directed to the squid instance on the firewall.
The contents of the example wpad.dat file are:
function FindProxyForURL(url,host)
{
return "PROXY 192.168.1.1:3128";
}
The function in that file tells the browser to look for a proxy on 192.168.1.1 at port 3128.
Now upload that file to pfSense or another locally accessible web server with scp, or create it using the built-in file editor. The file must go in /usr/local/www/.
Due to the different ways that various browser versions try to access the file, this same code should exist in at least three different places:
/usr/local/www/wpad.dat
/usr/local/www/wpad.da
/usr/local/www/proxy.pac
(More advanced users might do this from the shell and use ln to link the files.)
We recommend pointing wpad. to an internal web server which can answer requests for the wpad.dat and associated files. It can be any web server, but typically must be served from both the default VirtualHost as well as one named wpad, due to differences in how browsers request the file.
To make this work using pfSense to serve the file, local IP addresses will need to be able to access the local interface IP address of the pfSense router. They do not need to access the WebGUI with a password, this file will be served without authentication. The GUI must also be run in HTTP mode, which is less secure. If the GUI is set to use HTTP, never open up access to the GUI over the WAN.
Now to setup the DNS portion. WPAD will take the domain name given to the machine, likely assigned by DHCP, and prepend wpad.. If the domain is example.com, it will look for wpad.example.com. This task may be accomplished with the DNS Forwarder/DNS Resolver in pfSense or with another internal DNS server used by client PCs.
A client browser will ultimately try to access http://wpad.example.com/wpad.dat – among others. More details on the hostnames tried by WPAD are available in the WPAD article on Wikipedia.
To add the entry using the DNS forwarder on pfSense, navigate to Services > DNS Forwarder. Click 
to add a new Host Override.
Enter the following (Replace the domain and IP address with their actual values):
Click Save.
Create a firewall rule at the TOP of the LAN tab (or appropriate interface) that blocks anything from <internal subnet> to * on port 80.
Note
If the firewall is used to serve WPAD and the WebGUI anti-lockout rule has been disabled, web traffic must also be allowed to the pfSense firewall GUI port. If this is not acceptable, point wpad. to another internal web server which can answer requests for the wpad.dat and associated files.
Fire up a browser on a client behind the pfSense firewall, and see what happens. If squid is configured for authentication, the client will be greeted with a login prompt. Otherwise, check squid’s logs to ensure traffic is going through the proxy. A proxy test site such ashttp://www.lagado.com/proxy-test can also be useful.
If nothing happened, check the browser settings. Many modern browsers ship with the autoconfigure settings off.
porplague70
| Produção | 189.2.188.128/26 | 187.5.111.0/25 | 201.48.19.0/26 | |
| Homologação | 189.2.188.178 | 187.5.111.50 | 201.48.19.50 |
porplague70
Vários servidores Git autenticam usando chaves públicas SSH. Para fornecer uma chave pública, cada usuário no seu sistema deve gerar uma se eles ainda não a possuem. Este processo é similar entre os vários sistemas operacionais. Primeiro, você deve checar para ter certeza que você ainda não possui uma chave. Por padrão, as chaves SSH de um usuário são armazenadas no diretório ~/.ssh. Você pode facilmente verificar se você tem uma chave indo para esse diretório e listando o seu conteúdo:
$ cd ~/.ssh
$ ls
authorized_keys2 id_dsa known_hosts
config id_dsa.pub
Você está procurando por um par de arquivos chamados algo e algo.pub, onde algo é normalmente id_dsa ou id_rsa. O arquivo .pub é a sua chave pública, e o outro arquivo é a sua chave privada. Se você não tem estes arquivos (ou não tem nem mesmo o diretório .ssh), você pode criá-los executando um programa chamado ssh-keygen, que é fornecido com o pacote SSH em sistemas Linux/Mac e vem com o pacote MSysGit no Windows:
$ ssh-keygen
Generating public/private rsa key pair.
Enter file in which to save the key (/Users/schacon/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /Users/schacon/.ssh/id_rsa.
Your public key has been saved in /Users/schacon/.ssh/id_rsa.pub.
The key fingerprint is:
43:c5:5b:5f:b1:f1:50:43:ad:20:a6:92:6a:1f:9a:3a [email protected]
Primeiro ele confirma onde você quer salvar a chave (.ssh/id_rsa), e então pergunta duas vezes por uma senha, que você pode deixar em branco se você não quiser digitar uma senha quando usar a chave.
Agora, cada usuário que executar o comando acima precisa enviar a chave pública para você ou para o administrador do seu servidor Git (assumindo que você está usando um servidor SSH cuja configuração necessita de chaves públicas). Tudo o que eles precisam fazer é copiar o conteúdo do arquivo .pub e enviar para você via e-mail. As chaves públicas são parecidas com isso.
$ cat ~/.ssh/id_rsa.pub
ssh-rsa AAAAB3NzaC1yc2EAAAABIwAAAQEAklOUpkDHrfHY17SbrmTIpNLTGK9Tjom/BWDSU
GPl+nafzlHDTYW7hdI4yZ5ew18JH4JW9jbhUFrviQzM7xlELEVf4h9lFX5QVkbPppSwg0cda3
Pbv7kOdJ/MTyBlWXFCR+HAo3FXRitBqxiX1nKhXpHAZsMciLq8V6RjsNAQwdsdMFvSlVK/7XA
t3FaoJoAsncM1Q9x5+3V0Ww68/eIFmb1zuUFljQJKprrX88XypNDvjYNby6vw/Pb0rwert/En
mZ+AW4OZPnTPI89ZPmVMLuayrD2cE86Z/il8b+gw3r3+1nKatmIkjn2so1d01QraTlMqVSsbx
NrRFi9wrf+M7Q== [email protected]
Para um tutorial mais detalhado sobre criação de chaves SSH em vários sistemas operacionais, veja o guia do GitHub sobre chaves SSH no endereço http://github.com/guides/providing-your-ssh-key.
porplague70
The command below enables a stricter SPAM handling for postfix on ISPConfig 3 servers.
In Detail:
First make a backup of the postfix main.cf file in case that you want to reverse the changes later:
cp -pf /etc/postfix/main.cf /etc/postfix/main.cf.bak
Then execute this command to enable the additional spam protection functions (the command is one line!).
postconf -e ‘smtpd_recipient_restrictions = permit_mynetworks, permit_sasl_authenticated, reject_invalid_hostname, reject_non_fqdn_hostname, reject_unknown_recipient_domain, reject_non_fqdn_recipient, reject_unauth_destination, reject_non_fqdn_sender, reject_unknown_sender_domain, reject_unknown_recipient_domain, reject_rbl_client cbl.abuseat.org,reject_rbl_client dul.dnsbl.sorbs.net,reject_rbl_client ix.dnsbl.manitu.net, check_recipient_access mysql:/etc/postfix/mysql-virtual_recipient.cf, reject_unauth_destination’
Then restart postfix:
/etc/init.d/postfix restart
porplague70
Vc não fechou o comando … note que vc abre a instrução do SED com aspas simples, logo vc tem que fechar
sed 's/antigo/novo/g' arquivo jogando pra um arquivo. sed 's/antigo/novo/g' arquivo > arquivo.new
porplague70
Sem utilizar a edição via crontab -e (comando abre o conteúdo do cron no seu editor para edição), é possível diretamente da linha de comando adicionar uma nova linha ao crontab. Abaixo um exemplo:
$ (crontab -l; echo "30 04 * * 4 /home/data/drall/backups/report.sh 2>&1") | crontab - |
A manha é justamente executar 2 comandos em um subshell agrupados por “(” e “)”. O primeiro comando, crontab -l, obtem os comandos atualmente existente no crontab. O comando echo em seguida emite o novo comando. A junção dos dois é feita e estas saídas se tornam via pipe a entrada padrão para o comando crontab, que efetuará o salvamento de todo o novo conteúdo em seu registro.
Também é possível adicionar via comandos salvo em um arquivo:
$ cat /tmp/cron | crontab - |
porplague70
Todo mundo fica dizendo que e-mail é coisa do passado e que o futuro mesmo é utilizar as redes sociais e a Web 2.0 (lol) para se comunicar. Mas a verdade é que o e-mail ainda é muito útil e acredito que vai demorar bastante tempo para que isso mude. No pior dos casos, e-mail ainda continua sendo uma boa forma de registro e notificação.
E no caso da notificação, enviar e-mail via linha de comando do Linux é bastante útil. Terminou uma tarefa no crontab? Envia um e-mail com o resultado. Caiu um servidor? Envia um e-mail para alguém notificando. Ou então querer apenas testar um servidor de e-mail local? É só usar a imaginação.
Como todos sabemos, o Linux conta com o recurso de shell, que por sua vez permite criar poderosos programas que são chamados de shell scripts. Vejamos aqui esta pequena dica de como enviar e-mail via linha de comando.
O comando mail será usado aqui primeiramente. Ele está contido no pacote mailx, geralmente em todas as distribuições (Debian por exemplo, é o bsd-mailx, Red Hat/Fedora seria apenas mailx). Além disso, é necessário um servidor de e-mail local, o que é comum em todas as distribuições Linux por aí.
Mandando um e-mail com o comando mail, manualmente, via linha de comando:
mail -s "Assunto Teste" [email protected] |
O parâmetro -s especifica o assunto da mensagem. Coloque entre aspas como no exemplo para que ele reconheça todo o assunto com espaços. O último argumento é o endereço para quem se vai enviar a mensagem.
Quando você der ENTER, não vai aparecer nada e nem vai voltar pro prompt. Digite então toda a sua mensagem e quando terminar, aperte CTRL+D. Vai aparecer um “Cc:“, que significa que se você quiser enviar cópia para alguém, basta colocar agora. Aperte ENTER e vói-lá! A mensagem foi para o destinatário (bem, pelo menos era pra ir!).
Agora vamos utilizar um modo mais rápido e não-interativo de se mandar o mesmo e-mail:
echo "Isto é um e-mail de teste" | mail -s "Assunto Teste 2" [email protected] |
Agora ao invés de você ter que digitar, ele já joga a mensagem “Isto é um e-mail de teste” no corpo e manda o e-mail. Isso serve para você acoplar justamente em um shell script sem ter que precisar que alguém digite alguma coisa na hora.
Mas o echo ainda é limitado para mensagens grandes, então vamos ler de um arquivo:
mail -s "Assunto Teste 3" [email protected] < /var/log/syslog |
Ele usou um redirecionador (mais sobre eles no artigo Shell: Entrada e Saída) para que o conteúdo do arquivo /var/log/syslog se tornasse o corpo da mensagem. Mais uma vez, você pode usar um shell-script para gerar o arquivo com o conteúdo que você quiser e depois mandar por e-mail.
Há outros parâmetros no comando mail também. Para ver todos, basta ler a boa e velha página de manual (man mail).
Outro exemplo:
echo 'Maravilha!' | mail -s "Assunto Teste 4" [email protected] \ |
Neste caso, mandei um e-mail para [email protected], com cópia para [email protected] e [email protected] (vários e-mails separados por vírgula) e uma cópia oculta para [email protected].
O comando mail faz parte do sistema padrão de e-mails locais que é utilizado há vários anos pelos sistemas Unix em geral. Por isso, o campo From, ou seja, o Remetente da mensagem vai ser o usuário que está executando o comando, mais o nome completo da máquina. Exemplo, se eu sou o usuário eitch, na máquina batima.devin.com.br, quer dizer que o Remetente será: [email protected].
Como nem tudo são flores, na hora de mandar arquivos anexos junto a mensagem, o comando mail não suporta essa funcionalidade. Neste caso, geralmente o pessoal utiliza o cliente de e-mail de linha de comando mutt.
O comando é bem parecido com o do mail:
echo "Assunto Anexo" | mutt -s "Assunto Teste 5" -a arquivo.zip [email protected] |
O parâmetro -a é quem cuida dos anexos. No caso de enviar vários anexos, é necessário também que o -a fique antes do destinatário, seguido por “–”, assim:
echo "Assunto Anexo" | mutt -s "Assunto Teste 6" \-a /home/eitch/imagem.jpg /var/log/syslog /home/eitch/arquivo.zip -- [email protected] |
Não são todos os sistemas que tem um servidor de e-mail local. Por exemplo, algumas máquinas de hostings não possuem um sendmail, postfix ou qmail instalados e prontos para usar. Em outros casos, organizações preferem ficar sem o servidor de e-mail de cada máquina e concentrar tudo em uma única file de e-mail, um único servidor de e-mail na rede. Este caso do servidor de e-mail único é bem comum.
O SMTP – Simple Mail Transfer Protocol é o protocolo para envio de e-mails e um servidor SMTP é justamente o que recebe os e-mails e repassa para outros servidores necessários. Não vou me aprofundar muito no assunto SMTP, mas vamos aprender um pouco como usá-lo diretamente.
Pra enviar o e-mail, vamos primeiro conversar diretamente com o servidor SMTP através do comando nc. O nc é o comando netcat e serve para abrir conexões TCP puras e transferir dados para ela (como se fosse um telnet não-interativo). Se o comando nc não existir na sua máquina, instale-o dos repositórios, já que vem em praticamente todas as distribuições Linux.
Exemplo de script shell para mandar e-mail via nc:
#!/bin/bash#cat <<EOF | /usr/bin/nc smtp.devin.com.br 25HELO $(hostname)MAIL FROM: <[email protected]>RCPT TO: <[email protected]>DATAFrom: Hugo Cisneiros (Eitch) <[email protected]>Date: $(date '+%a, %d %b %Y %H:%M:%S %z')Subject: Assunto da mensagemContent-Type: text/plain; charset=UTF-8 Fala Destinatário!Estou mandando este e-mail via shell script, usando o nc diretamente pelo SMTP.Legal né?Abraços!.QUITEOF |
O que fizemos no exemplo é conversar usando o protocolo SMTP.
Até que é fácil né? Basta agora ir substituindo os campos de e-mail e testando. Esse método com o comando nc é o ideal para utilizar junto com shell-scripts em servidores. Ele só não serve muito bem para mandar anexos, pois transformar os anexos para mandar via nc não é algo trivial de se fazer.
porplague70
O Zabbix é uma solução de nível enterprise, de código aberto. O Zabbix é um software que monitora vários parâmetros da rede, dos servidores e da saúde dos serviços. Utiliza-se de um mecanismo flexível de notificação que permite configurar alertas por e-mail entre outros como Telegram, para praticamente qualquer evento. As notificações permitem que se reaja rapidamente à problemas no ambiente. O Zabbix oferece excelentes recursos de relatórios e visualização de dados armazenados. Isso faz com que o Zabbix seja a ferramenta ideal para planejamento de capacidade.
Distribuição utilizada: Debian 8 (Jessie) / Instalação Limpa (Tutorial de instalação aqui)
Vamos a instalação do pacote que irá atualizar nosso repositório com as fontes do Zabbix assim vai ficar fácil atualizar posteriormente.
Versão 3.4.X
# wget http://repo.zabbix.com/zabbix/3.4/debian/pool/main/z/zabbix-release/zabbix-release_3.4-1+jessie_all.deb # dpkg -i zabbix-release_3.4-1+jessie_all.deb
Versão 3.2.X
# wget http://repo.zabbix.com/zabbix/3.2/debian/pool/main/z/zabbix-release/zabbix-release_3.2-1+jessie_all.deb # dpkg -i zabbix-release_3.2-1+jessie_all.deb
Versão 3.0.X
# wget http://repo.zabbix.com/zabbix/3.0/debian/pool/main/z/zabbix-release/zabbix-release_3.0-1+jessie_all.deb # dpkg -i zabbix-release_3.0-1+jessie_all.deb
Atualize o repositório:
# apt update
Instalando os pacotes do Zabbix Server com banco de dados MySQL e interface web Apache.
# apt install zabbix-server-mysql zabbix-frontend-php
Serão instalados diversos pacotes entre eles o apache e mysql-server.
Será solicitado a senha do usuário root do MySQL, após repita.
Vamos intalar nosso agente também.
# apt install zabbix-agent
Vamos criar uma base de dados chamada zabbix e um usuário também chamado de zabbix no MySQL.
# mysql -uroot -p
1 2 3 |
create database zabbix character set utf8 collate utf8_bin; grant all privileges on zabbix.* to zabbix@localhost identified by 'SENHA'; quit; |
Importe o esquema de tabelas e dados padrões.
# cd /usr/share/doc/zabbix-server-mysql # zcat create.sql.gz | mysql -u root zabbix -p
Digite a senha de seu usuário zabbix criada no passo anterior para importar as tabelas.
Agora vamos editar o arquivo zabbix_server.conf para informar os dados para conexão com o MySQL.
# vim /etc/zabbix/zabbix_server.conf
1 2 3 4 |
DBHost=localhost DBName=zabbix DBUser=zabbix DBPassword=SENHA |
Iniciando o Zabbix Server e o Agente.
# /etc/init.d/zabbix-server start # /etc/init.d/zabbix-agent start
Editando a configuração do PHP para a interface web do Zabbix
A configuração do Apache para a interface web do Zabbix está localizada em /etc/apache2/conf-enabled/zabbix.conf. Algumas das configurações do PHP já estão definidas, para alterar edite:
# vim /etc/apache2/conf-enabled/zabbix.conf
1 2 3 4 5 6 7 |
php_value max_execution_time 300 php_value memory_limit 128M php_value post_max_size 16M php_value upload_max_filesize 2M php_value max_input_time 300 php_value always_populate_raw_post_data -1 php_value date.timezone America/Sao_Paulo |
É necessário que se remova o comentário na linha do parâmetro “date.timezone” e que se defina o timezone apropriado (America/Sao_Paulo para a maioria dos estados brasileiros). Após a alteração do arquivo de configuração será necessário o reinicio do processo do servidor web (Apache).
# /etc/init.d/apache2 restart
A interface web do Zabbix estará disponível em http://SEU-IP/zabbix através do seu navegador.
O usuário e senha padrões são: Admin/zabbix
[Next step]
Tudo deve estar ok [Next step]
Informe sua senha de conexão ao MySQL. [Next step]
[Next step]
[Next step]
[Finish]
Usuário: Admin Senha: zabbix
Zabbix instalado! ?
porplague70
Bom, vamos ao que interessa….
1– Reinicie o PFSense
2– Ao iniciar, selecione a opção “Single User Mode” no menu de boot. (dependendo da versão pode ser a opção 2 ou 4)
3– Fique atento após selecionar essa opção, pois no decorrer do processo de inicialização irá aparecer “Start /bin/sh”, então pressione “Enter”
4– Remonte as unidades de forma que seja possível sobrescrever os dados
/sbin/mount/ -o rw / (após pressione enter)
5– Em seguida digite o comando de reset de password
/etc/rc.initial.password
Após pressionar enter, siga os passos solicitados pelo Wizard.
6– Ao concluir reinicie
/sbin/reboot
Agora seu PFSense estará acessível com o usuário “admin” e a senha “pfsense”.