Frotmail Projects - User contributions [en]

Main Page

2025-10-21T19:02:49Z

Eric: /* Linux */

Een aantal pagina's waren door spambots vernaggeld dus heb ik hier en daar wat op protected moeten zetten...
Mocht je een pagina aan willen passen welke protected is dan kan je mij mailen op wikiadmin apenootje frotmail.nl

----
=Tools=
* [[Co2 Laser]]
* [[CNC]]

=Projecten=
[[Projecten]]

=Crypto=
- [[PKI RSA & SSL]]

=Networking=
* [[Two-factor auth met Google Authenticator]]

==Problems==
* [[Problem:HSRP met Spanning-Tree]]
* [[Problem:Connectivity loss met HSRP]]
* [[Problem:Verkeerde next-hop in OSPF]]

==IPv6==
- [[PowerDNS IPv6]]

==Cisco==
* [[:Category:Cisco]]
* [[ATX to RPS]]

==Linux==
- [[:Category:Docker]]

- [[linux firewall voor IIS2k3 Passive FTP achter nat]]

- [[Mail Related]]

- [[SSH]]

- [[Reboot na kernel panic]]

- [[Apache met ssl]]

- [[MySQL Backup]]

- [[Iproute 2]]

- [[Links]]

- [[LVM Disk migratie]]

- [[HA Cluster met Docker]]

== RPI ==

- [[SPI]]

=Windows=

- [[Passive FTP in IIS]]

=Hardware=
- [[Electronica]]

Co2 Laser

2024-10-10T07:05:19Z

Eric: /* De software */

=Intro=
De lasersnijder is een kwetsbaar apparaat waarmee je gemakkelijk fouten kan maken die gevaarlijk of duur uit kunnen pakken. Daarom hier een pagina hoe deze werkt en tevens een naslag welke instellingen passen bij welke materialen.

=De onderdelen=
De laser bestaat uit diverse onderdelen.
* De pomp voor koeling
* De afzuiging voor rookafvoer
* De luchtpomp voor 'air-assist'
* De bediening van de laser computer
* De laserbuis
* De 'gantry'
* Het bed

==Inschakelen==
# Om de machine in te schakelen controleer je of rechts op de zijkant alle schakelaars op 0 staan (de schakelaar van de rotary moet je met rust laten)
# Controleer of de main switch uit staat (Links-boven)
# Controleer of de X en Y as vrij kunnen bewegen (geen rommel op het bed)
# Reset de stop-knop (draaien met de klok mee tot hij 'omhoog' komt)
# Schakel de main switch in (draaien met de klok mee)
# Schakel de temperatuur schakelaar in (links-voor bij het kleine display)
# Controleer of de laser-buis vrij is van lucht!!!
# Controleer of de temperatuur onder de 24 graden is
# Schakel rechts op de zijkant de verlichting en laser in
# Klaar voor de start :)

=Onderhoud=
==Uitlijnen van de spiegels==
https://www.youtube.com/watch?v=rYX0zfWFnIM

==Reinigen spiegels / lens==
https://www.youtube.com/watch?v=T9p-1AZKCVg

==Water vullen==
Demi of gedestilleerd water, er mag '''geen''' kalk aanslag in de buis komen!

=De software=
Om de laser aan te sturen gebruiken we 'Lightburn'

https://docs.lightburnsoftware.com/LightBurnDocs.pdf

* [https://10.2.10.108:9443 LightBurn Ilse]
* [https://10.2.10.108:8445 LightBurn Eric]

=Materialen=
{| class="wikitable" style="margin:auto"
|+ Materialen
|-
! Soort !! Dikte !! Details !! Graveren !! Snijden
|-
| Hout || ~3mm || Hard triplex - Hornbach || 300mm/sec @ 20% || 20mm/sec @ 60%
|-
| Hout || 10mm || Multiplex met witte grondlaag || 300mm/sec @ 20% || niet bekend
|-
| Vilt || 9mm || PET Vilt met plaklaag || niet bekend || 60mm/sec @ 55% in 4x
|}

Co2 Laser

2024-06-17T18:20:11Z

Eric: /* Materialen */

=Intro=
De lasersnijder is een kwetsbaar apparaat waarmee je gemakkelijk fouten kan maken die gevaarlijk of duur uit kunnen pakken. Daarom hier een pagina hoe deze werkt en tevens een naslag welke instellingen passen bij welke materialen.

=De onderdelen=
De laser bestaat uit diverse onderdelen.
* De pomp voor koeling
* De afzuiging voor rookafvoer
* De luchtpomp voor 'air-assist'
* De bediening van de laser computer
* De laserbuis
* De 'gantry'
* Het bed

==Inschakelen==
# Om de machine in te schakelen controleer je of rechts op de zijkant alle schakelaars op 0 staan (de schakelaar van de rotary moet je met rust laten)
# Controleer of de main switch uit staat (Links-boven)
# Controleer of de X en Y as vrij kunnen bewegen (geen rommel op het bed)
# Reset de stop-knop (draaien met de klok mee tot hij 'omhoog' komt)
# Schakel de main switch in (draaien met de klok mee)
# Schakel de temperatuur schakelaar in (links-voor bij het kleine display)
# Controleer of de laser-buis vrij is van lucht!!!
# Controleer of de temperatuur onder de 24 graden is
# Schakel rechts op de zijkant de verlichting en laser in
# Klaar voor de start :)

=Onderhoud=
==Uitlijnen van de spiegels==
https://www.youtube.com/watch?v=rYX0zfWFnIM

==Reinigen spiegels / lens==
https://www.youtube.com/watch?v=T9p-1AZKCVg

==Water vullen==
Demi of gedestilleerd water, er mag '''geen''' kalk aanslag in de buis komen!

=De software=
Om de laser aan te sturen gebruiken we 'Lightburn'

https://docs.lightburnsoftware.com/LightBurnDocs.pdf

=Materialen=
{| class="wikitable" style="margin:auto"
|+ Materialen
|-
! Soort !! Dikte !! Details !! Graveren !! Snijden
|-
| Hout || ~3mm || Hard triplex - Hornbach || 300mm/sec @ 20% || 20mm/sec @ 60%
|-
| Hout || 10mm || Multiplex met witte grondlaag || 300mm/sec @ 20% || niet bekend
|-
| Vilt || 9mm || PET Vilt met plaklaag || niet bekend || 60mm/sec @ 55% in 4x
|}

LVM Disk migratie

2024-05-23T06:01:55Z

Eric: Created page with "Voeg nieuwe disk toe aan het systeem en maak partitie tabel aan. In het huidige geval migreer ik van een SATA disk naar een NVME disk op een pi5. De niet-LVM partities en partitie tabel migreer ik met rpi-clone [https://rpi-clone.jeffgeerling.com/] Hierna maken we een Physical Volume aan op de partitie: root@dockerpi:/home/eric# pvcreate /dev/nvme0n1p3 Using metadata size 960 KiB for non-standard page size 16384. Using metadata size 960 KiB for non-standard page..."

Voeg nieuwe disk toe aan het systeem en maak partitie tabel aan.

In het huidige geval migreer ik van een SATA disk naar een NVME disk op een pi5. De niet-LVM partities en partitie tabel migreer ik met rpi-clone [https://rpi-clone.jeffgeerling.com/]

Hierna maken we een Physical Volume aan op de partitie:

root@dockerpi:/home/eric# pvcreate /dev/nvme0n1p3
Using metadata size 960 KiB for non-standard page size 16384.
Using metadata size 960 KiB for non-standard page size 16384.
Physical volume "/dev/nvme0n1p3" successfully created.

Vervolgens kijken we welke Volume Group op het systeem is gemaakt, hier gaan we de PV aan toevoegen:

root@dockerpi:/home/eric# vgdisplay
--- Volume group ---
VG Name ssd
System ID
Format lvm2
Metadata Areas 1
Metadata Sequence No 3
VG Access read/write
VG Status resizable
MAX LV 0
Cur LV 2
Open LV 2
Max PV 0
Cur PV 1
Act PV 1
VG Size 847.21 GiB
PE Size 4.00 MiB
Total PE 216887
Alloc PE / Size 102400 / 400.00 GiB
Free PE / Size 114487 / 447.21 GiB
VG UUID 2zBos5-Net6-dM6L-kPIq-KzGY-OxEG-2pYiZ9

En het toevoegen:

root@dockerpi:/home/eric# vgextend ssd /dev/nvme0n1p3
Using metadata size 960 KiB for non-standard page size 16384.
Using metadata size 960 KiB for non-standard page size 16384.
Volume group "ssd" successfully extended

Vervolgens moeten we weten welke volumes we moeten migreren:

root@dockerpi:/home/eric# lvdisplay
--- Logical volume ---
LV Path /dev/ssd/docker_root
LV Name docker_root
VG Name ssd
[..]

--- Logical volume ---
LV Path /dev/ssd/docker_data
LV Name docker_data
VG Name ssd
[..]

Deze kunnen we dupliceren met het volgende commando:

root@dockerpi:/home/eric# lvconvert --type mirror -m1 /dev/ssd/docker_root /dev/nvme0n1p3
Logical volume ssd/docker_root being converted.
ssd/docker_root: Converted: 0.02%
ssd/docker_root: Converted: 1.91%

Main Page

2024-05-23T05:55:12Z

Eric: /* Linux */

Een aantal pagina's waren door spambots vernaggeld dus heb ik hier en daar wat op protected moeten zetten...
Mocht je een pagina aan willen passen welke protected is dan kan je mij mailen op wikiadmin apenootje frotmail.nl

----
=Tools=
* [[Co2 Laser]]
* [[CNC]]

=Projecten=
[[Projecten]]

=Crypto=
- [[PKI RSA & SSL]]

=Networking=
* [[Two-factor auth met Google Authenticator]]

==Problems==
* [[Problem:HSRP met Spanning-Tree]]
* [[Problem:Connectivity loss met HSRP]]
* [[Problem:Verkeerde next-hop in OSPF]]

==IPv6==
- [[PowerDNS IPv6]]

==Cisco==
* [[:Category:Cisco]]
* [[ATX to RPS]]

==Linux==
- [[:Category:Docker]]

- [[linux firewall voor IIS2k3 Passive FTP achter nat]]

- [[Mail Related]]

- [[SSH]]

- [[Reboot na kernel panic]]

- [[Apache met ssl]]

- [[MySQL Backup]]

- [[Iproute 2]]

- [[Links]]

- [[LVM Disk migratie]]

== RPI ==

- [[SPI]]

=Windows=

- [[Passive FTP in IIS]]

=Hardware=
- [[Electronica]]

Co2 Laser

2023-09-19T16:07:46Z

Eric:

=Intro=
De lasersnijder is een kwetsbaar apparaat waarmee je gemakkelijk fouten kan maken die gevaarlijk of duur uit kunnen pakken. Daarom hier een pagina hoe deze werkt en tevens een naslag welke instellingen passen bij welke materialen.

=De onderdelen=
De laser bestaat uit diverse onderdelen.
* De pomp voor koeling
* De afzuiging voor rookafvoer
* De luchtpomp voor 'air-assist'
* De bediening van de laser computer
* De laserbuis
* De 'gantry'
* Het bed

==Inschakelen==
# Om de machine in te schakelen controleer je of rechts op de zijkant alle schakelaars op 0 staan (de schakelaar van de rotary moet je met rust laten)
# Controleer of de main switch uit staat (Links-boven)
# Controleer of de X en Y as vrij kunnen bewegen (geen rommel op het bed)
# Reset de stop-knop (draaien met de klok mee tot hij 'omhoog' komt)
# Schakel de main switch in (draaien met de klok mee)
# Schakel de temperatuur schakelaar in (links-voor bij het kleine display)
# Controleer of de laser-buis vrij is van lucht!!!
# Controleer of de temperatuur onder de 24 graden is
# Schakel rechts op de zijkant de verlichting en laser in
# Klaar voor de start :)

=Onderhoud=
==Uitlijnen van de spiegels==
https://www.youtube.com/watch?v=rYX0zfWFnIM

==Reinigen spiegels / lens==
https://www.youtube.com/watch?v=T9p-1AZKCVg

==Water vullen==
Demi of gedestilleerd water, er mag '''geen''' kalk aanslag in de buis komen!

=De software=
Om de laser aan te sturen gebruiken we 'Lightburn'

https://docs.lightburnsoftware.com/LightBurnDocs.pdf

=Materialen=
{| class="wikitable" style="margin:auto"
|+ Materialen
|-
! Soort !! Dikte !! Details !! Graveren !! Snijden
|-
| Hout || ~3mm || Hard triplex - Hornbach || 300mm/sec @ 20% || 20mm/sec @ 60%
|-
| Hout || 10mm || Multiplex met witte grondlaag || 300mm/sec @ 20% || niet bekend
|}

Co2 Laser

2023-09-19T07:19:19Z

Eric:

=Intro=
De lasersnijder is een kwetsbaar apparaat waarmee je gemakkelijk fouten kan maken die gevaarlijk of duur uit kunnen pakken. Daarom hier een pagina hoe deze werkt en tevens een naslag welke instellingen passen bij welke materialen.

=De onderdelen=
De laser bestaat uit diverse onderdelen.
* De pomp voor koeling
* De afzuiging voor rookafvoer
* De luchtpomp voor 'air-assist'
* De bediening van de laser computer
* De laserbuis
* De 'gantry'
* Het bed

==Inschakelen==
# Om de machine in te schakelen controleer je of rechts op de zijkant alle schakelaars op 0 staan (de schakelaar van de rotary moet je met rust laten)
# Controleer of de main switch uit staat (Links-boven)
# Controleer of de X en Y as vrij kunnen bewegen (geen rommel op het bed)
# Reset de stop-knop (draaien met de klok mee tot hij 'omhoog' komt)
# Schakel de main switch in (draaien met de klok mee)
# Schakel de temperatuur schakelaar in (links-voor bij het kleine display)
# Controleer of de laser-buis vrij is van lucht!!!
# Controleer of de temperatuur onder de 24 graden is
# Schakel rechts op de zijkant de verlichting en laser in
# Klaar voor de start :)

=De software=
Om de laser aan te sturen gebruiken we 'Lightburn'

https://docs.lightburnsoftware.com/LightBurnDocs.pdf

=Materialen=
{| class="wikitable" style="margin:auto"
|+ Materialen
|-
! Soort !! Dikte !! Details !! Graveren !! Snijden
|-
| Hout || ~3mm || Hard triplex - Hornbach || 300mm/sec @ 20% || 20mm/sec @ 60%
|-
| Hout || 10mm || Multiplex met witte grondlaag || 300mm/sec @ 20% || niet bekend
|}

Co2 Laser

2023-09-19T07:06:47Z

Eric:

Co2 Laser

2023-09-19T06:13:16Z

Eric: Created page with "=Intro= De lasersnijder is een kwetsbaar apparaat waarmee je gemakkelijk fouten kan maken die gevaarlijk of duur uit kunnen pakken. Daarom hier een pagina hoe deze werkt en tevens een naslag welke instellingen passen bij welke materialen. =De onderdelen= =Materialen= {| class="wikitable" style="margin:auto" |+ Materialen |- ! Soort !! Dikte !! Details !! Graveren !! Snijden |- | Hout || ~3mm || Hard triplex - Hornbach || 300mm/sec @ 20% || 20mm/sec @ 60% |- | Hout ||..."

Main Page

2023-09-18T12:31:41Z

Eric:

Een aantal pagina's waren door spambots vernaggeld dus heb ik hier en daar wat op protected moeten zetten...
Mocht je een pagina aan willen passen welke protected is dan kan je mij mailen op wikiadmin apenootje frotmail.nl

----
=Tools=
* [[Co2 Laser]]
* [[CNC]]

=Projecten=
[[Projecten]]

=Crypto=
- [[PKI RSA & SSL]]

=Networking=
* [[Two-factor auth met Google Authenticator]]

==Problems==
* [[Problem:HSRP met Spanning-Tree]]
* [[Problem:Connectivity loss met HSRP]]
* [[Problem:Verkeerde next-hop in OSPF]]

==IPv6==
- [[PowerDNS IPv6]]

==Cisco==
* [[:Category:Cisco]]
* [[ATX to RPS]]

==Linux==
- [[:Category:Docker]]

- [[linux firewall voor IIS2k3 Passive FTP achter nat]]

- [[Mail Related]]

- [[SSH]]

- [[Reboot na kernel panic]]

- [[Apache met ssl]]

- [[MySQL Backup]]

- [[Iproute 2]]

- [[Links]]

== RPI ==

- [[SPI]]

=Windows=

- [[Passive FTP in IIS]]

=Hardware=
- [[Electronica]]

User:Eric

2022-09-21T18:32:54Z

Eric: /* Media */

Persoonlijke links

=Media=
* [http://10.4.10.16:8096/web/index.html#!/home.html JellyFin]
* [http://10.4.10.16:2283/ Immich]
* [http://10.4.10.16:9091/ Transmission]
* [http://10.4.10.2:8092/ IPCams]

=Netwerk=
* [http://10.4.10.16:8082/admin/ Pihole uitwijk]
* [http://10.4.10.46:8082/admin/ Pihole primair]

=Domotica=
* [http://10.4.10.16:8123/ HomeAssistant]

User:Eric

2022-09-21T18:32:11Z

Eric: Created page with "Persoonlijke links =Media= * [http://10.4.10.16:8096/web/index.html#!/home.html JellyFin] * [http://10.4.10.16:2283/ Immich] * [http://10.4.10.16:9091/ Transmission] * [http://10.4.10.2:8902/ IPCams] =Netwerk= * [http://10.4.10.16:8082/admin/ Pihole uitwijk] * [http://10.4.10.46:8082/admin/ Pihole primair] =Domotica= * [http://10.4.10.16:8123/ HomeAssistant]"

Persoonlijke links

=Media=
* [http://10.4.10.16:8096/web/index.html#!/home.html JellyFin]
* [http://10.4.10.16:2283/ Immich]
* [http://10.4.10.16:9091/ Transmission]
* [http://10.4.10.2:8902/ IPCams]

=Netwerk=
* [http://10.4.10.16:8082/admin/ Pihole uitwijk]
* [http://10.4.10.46:8082/admin/ Pihole primair]

=Domotica=
* [http://10.4.10.16:8123/ HomeAssistant]

Zabbix Log monitoring

2022-04-05T09:48:06Z

Eric: Created page with "=Inleiding= Naast het verzamelen van SNMP counters is Zabbix ook in staat om logfiles in de gaten te houden. [https://www.zabbix.com/documentation/2.4/manual/config/items/itemtypes/log_items 1] Voor mij was de documentatie niet voldoende om duidelijk in te zien hoe ik logmonitoring kon toepassen met een wat uitgebreidere regex. Vandaar deze pagina ter naslag. =log item= Allereerst heb je een host nodig met de zabbix_agent, deze agent zal de logfile in de gaten gaan hou..."

=Inleiding=
Naast het verzamelen van SNMP counters is Zabbix ook in staat om logfiles in de gaten te houden. [https://www.zabbix.com/documentation/2.4/manual/config/items/itemtypes/log_items 1]

Voor mij was de documentatie niet voldoende om duidelijk in te zien hoe ik logmonitoring kon toepassen met een wat uitgebreidere regex. Vandaar deze pagina ter naslag.

=log item=
Allereerst heb je een host nodig met de zabbix_agent, deze agent zal de logfile in de gaten gaan houden en eventuele output doorzetten naar Zabbix.

In mijn geval was deze host de Zabbix server zelf, welke via remote syslog informatie ontving van netwerk devices.

Bij deze host dienen we een item aan te maken:

[ Configuration ]
|--> [ Hosts ]
|--> [ Zabbix Server: Items ]
|--> Create item

Bij het aanmaken van het nieuwe Item zijn de volgende waarden van belang:

Name: [Naam van de logmonitor]
Type: Zabbix agent (active)
Key: log[/path/to/logfile,regex]
Type of information: Log

Bij '''Key''' zijn meer opties mogelijk maar deze zijn het belangrijkst, de logfile en de regex. Je zal dit item ook moeten toewijzen aan een bestaande of nieuwe applicatie en tenslotte kan je nog wat andere zaken ingeven als time format, deze kan je voor nu prima leeg laten.

De regex kan heel eenvoudig zijn, wanneer je alle regels wil zien waarin het woord 'error' voorkomt (het meest gebruikte voorbeeld in de Zabbix documentatie) krijg je bijvoorbeeld:
log[/var/log/192.168.0.1/syslog.log,error]

Echter wil ik een wat complexere regex toepassen waarin gekeken wordt naar meerdere mogelijke matches. Je kan hiervoor in zabbix gebruik maken van algemene '''regular expressions''' [https://www.zabbix.com/documentation/2.4/manual/regular_expressions 2]

We komen zo terug op hoe we deze aanmaken, belangrijk is dat je deze kan aanspreken door te refereren naar deze regex door de volgende notatie: @regexnaam

Onze regel t.b.v. logmonitoring (in het item) ziet er dan uiteindelijk als volgt uit:

log[/var/log/192.168.0.1/syslog.log,@myregex]

=Regular Expressions=
We hebben inmiddels een item aangemaakt welke enkel regels ophaalt welke voldoen aan 'myregex'. Echter moeten we deze wel aanmaken om wat zinnige resultaten hieruit te krijgen.

Deze regex kunnen we hier aanmaken:
[ Administration ]
|--> [ General ]
|--> Kies nu uit de dropdown (rechts-boven): Regular expressions
|--> New regular expression

Ik wil de logregels in Zabbix terugzien als deze een prio hebben van 0, 1 of 2. Indien er een prio 3 logregel is met van de service [SYSTEM] wil ik deze ook. In de logfiles zie ik terug dat in de text van de logregel dan de string <0>, <1>, <2> of [SYSTEM]<3> moet voorkomen.

In je nieuwe regual expression geef je deze de naam myregex (waarnaar we hebben verwezen in bovenstaand item) en klik je binnen het vak 'Expressions' op '''Add'''.

Er opent zich een nieuw vak waarin je de expression kan opgeven, hierin vullen we het volgende in:
Expression type: Any character string included
Delimiter: ,
Case sensitive: Checked
Expression: <0>,<1>,<2>,[SYSTEM]<3>
Klik vervolgens onderaan in dit vak op '''Add''' en nu kunnen we in het 2e tab een test uitvoeren. Door een logregel te kopieren naar het vak '''Test string''' kunnen we testen of deze wel/niet zal worden opgepakt door Zabbix.

Klik wanneer je tevreden bent met je regex op '''Add''' onderaan om deze op te slaan.

=Trigger=
Tenslotte willen we dat er wat gedaan wordt met onze resultaten.
[ Configuration ]
|--> [ Hosts ]
|--> Zabbix server: Triggers
|--> Create Trigger
Geef de trigger een zinnige naam en klik op '''Add''' naast het Expression veld.

Selecteer het Item wat we aan hebben gemaakt en bij Function kies
'No data received during period of time T, then N = 1, 0 - otherwise' en vul bij T bijvoorbeeld 600 in.

Dit betekend: De trigger wordt pas actief als er data binnen komt, en 600 sec na de laatste data wordt deze weer inactief.

De expression welke dan in het veld komt wanneer we op '''Insert''' klikken ziet er ongeveer uit als volgt:
{Zabbix server:log[/var/log/192.168.0.1/syslog.log,@myregex],nodata(600)}=0

Bij 'Description' en 'URL' kan je nog wat relevante info opgeven en tenslotte kan je de severity opgeven waarna je op '''Add''' klikt.

Done!
[[Category:Zabbix]]

ZFS

2022-04-05T09:47:36Z

Eric: Created page with " 1315 add-apt-repository ppa:zfs-native/stable 1320 apt-get install ubuntu-zfs 1321 zfs 1336 zfs create tank/zip 1337 zfs set compression=gzip tank/zip 1347 zfs 1348 zfs list 1349 zfs list help 1350 zfs list zip 1351 zfs list tank 1352 zfs list tank/zip 1353 zfs list --help 1354 zfs 1355 zfs get tank 1356 zfs get tank/zip 1365 zfs get compressratio 1373 zfs create nonzip 1374 zfs create tank/nonzip 1416 zfs create -o encryption=on ta..."

1315 add-apt-repository ppa:zfs-native/stable
1320 apt-get install ubuntu-zfs
1321 zfs
1336 zfs create tank/zip
1337 zfs set compression=gzip tank/zip
1347 zfs
1348 zfs list
1349 zfs list help
1350 zfs list zip
1351 zfs list tank
1352 zfs list tank/zip
1353 zfs list --help
1354 zfs
1355 zfs get tank
1356 zfs get tank/zip
1365 zfs get compressratio
1373 zfs create nonzip
1374 zfs create tank/nonzip
1416 zfs create -o encryption=on tank/crypt
1436 zfs get compressratio
1437 zfs create tank/zip/iso
1439 zfs set compression=gzip tank/zip/iso
1443 zfs get compressratio
1447 zfs get compressratio
1449 zfs get compressratio
1450 zfs create tank/zip/img
1453 zfs status -o all
1454 zfs list -o all
1455 zfs list -o all | head -n 1
1456 zfs list -o name,used,avail,ratio,compress,quota
1457 watch zfs list -o name,used,avail,ratio,compress,quota
1483 zfs list -o name,used,avail,ratio,compress,quota
1497 zfs status
1498 zfs list
1499 zfs show
1500 modprobe zfs
1503 zfs mount -a
1507 zfs destroy tank/zip/hometest
1578 history | grep zfs
1579 zfs get compressratio
1580 zfs list -o name,used,avail,ratio,compress,quota
1581 zfs set quota
1582 zfs set quota 50G zip
1583 zfs set quota 50G tank/zip
1584 zfs list -o name,used,avail,ratio,compress,quota
1585 zfs set quota 50G tank/zip
1586 zfs set quota=50G tank/zip
1587 zfs list -o name,used,avail,ratio,compress,quota
1588 zfs set quota=0 tank/zip/img
1589 zfs list -o name,used,avail,ratio,compress,quota
1590 zfs set quota=100G tank/zip/img
1591 zfs list -o name,used,avail,ratio,compress,quota
1592 zfs set quota=0 tank/zip/img
1593 zfs set quota=0 tank/zip
1594 zfs set quota=none tank/zip
1595 zfs set quota=none tank/zip/img
1596 history | grep zfs

Wireshark

2022-04-05T09:47:21Z

Eric: Created page with "=Hoe herken je waar een capture is gemaakt= ==Lokaal of via een span poort?== Of een sessie lokaal is vastgelegd of via een spanpoort binnen is gekomen kan relevant zijn bij het interpreteren van een dump file. Checksum errors (wegens offloading) bijvoorbeeld zijn heel normaal bij een lokale dump maar niet te verwachten uit een spanpoort. Kleinste ethernet pakket = 64 bytes Als het pakket kleiner is wordt dit door de NIC aangevult (padding) FSC wordt door wireshark..."

=Hoe herken je waar een capture is gemaakt=
==Lokaal of via een span poort?==
Of een sessie lokaal is vastgelegd of via een spanpoort binnen is gekomen kan relevant zijn bij het interpreteren van een dump file.
Checksum errors (wegens offloading) bijvoorbeeld zijn heel normaal bij een lokale dump maar niet te verwachten uit een spanpoort.

Kleinste ethernet pakket = 64 bytes

Als het pakket kleiner is wordt dit door de NIC aangevult (padding)

FSC wordt door wireshark niet altijd weergegeven: 4 bytes
Kleinste pakket in wireshark is dus: 60 bytes

Zie je een pakket dat kleiner is? Dan is het een lokaal packet en is deze nooit op de wire geweest. Dus een dump vanuit wireshark op het systeem.

==Bij de Client of Server?==
Het kan belangrijk zijn om vast te stellen waar een capture is gemaakt. Bij timing/performance issues bijvoorbeeld.

Aan de three-way-handshake van een TCP sessie kunnen we 2 dingen aflezen:
* Waar de capture is gemaakt
* Wat de RTT (Round Trip Time) is

Neem de volgende handshake:
* 1) De client stuurt een SYN
* 2) Server stuurt een SYN ACK
* 3) Client stuurt een ACK

In de capture zal waarschijnlijk tussen 1 en 2 OF tussen 2 en 3 een minimale delay zitten ( < 0.0001 ).
De server stuurt zijn SYN ACK vrijwel direct nadat hij de SYN krijgt, en de client stuurt zijn ACK ook vrijwel direct nadat de SYN ACK binnen komt.

* Zit er dus geen delay tussen 1 en 2 is de dump gemaakt aan de server kant. De RTT is dan het verschil tussen 2 en 3.
* Zit er geen delay tussen 2 en 3 dan is de dump gemaakt aan de client kant. De RTT is dan het verschil tussen 1 en 2.

=Zoeken=
tcp.flag.syn -> het veld bestaat in het pakket (zegt niets over de inhoud van dit veld)
tcp.flag.syn == 1 -> check ook de waarde
ip.addr != 192.168.1.1 -> er is EEN veld dat niet deze waarde heeft
!ip.addr == 192.168.1.1 -> er mag GEEN veld zijn met deze waarde

Wifi PEAP

2022-04-05T09:46:56Z

Eric: Created page with " * [http://darelltan.multiply.com/journal/item/188 1] Note: Bij het maken/bevestigen van het server certificaat dienen de xpserver_ext extenties te worden toegevoegd. Anders zal XP het certificaat niet als geldig zien en zonder foutmelding weigeren. openssl ca -config /etc/ssl/openssl.cnf -policy policy_anything -out server_cert.pem -extensions xpserver_ext -extfile /etc/ssl/xpextentions -infiles newreq.pem root@LH-1083:/home/eric# cat /etc/ssl/xpextentions [ xpcli..."

* [http://darelltan.multiply.com/journal/item/188 1] Note: Bij het maken/bevestigen van het server certificaat dienen de xpserver_ext extenties te worden toegevoegd. Anders zal XP het certificaat niet als geldig zien en zonder foutmelding weigeren.
openssl ca -config /etc/ssl/openssl.cnf -policy policy_anything -out server_cert.pem -extensions xpserver_ext -extfile /etc/ssl/xpextentions -infiles newreq.pem

root@LH-1083:/home/eric# cat /etc/ssl/xpextentions
[ xpclient_ext]
extendedKeyUsage = 1.3.6.1.5.5.7.3.2

[ xpserver_ext ]
extendedKeyUsage = 1.3.6.1.5.5.7.3.1

Wifi

2022-04-05T09:46:40Z

Eric: Created page with "dBm to mW 10 ^ (dBm / 10) Fresnel zone diameter in meter = 17.32 * SQRT ( dist / 4 freq ) dist = KM freq = GHz Lengte frequentie 1 hz = 299792458 m 1000 hz = 299792.458 m 1000000 hz = 299.792458 m lengte in m = snelheid vh licht / hz"

dBm to mW
10 ^ (dBm / 10)

Fresnel zone
diameter in meter = 17.32 * SQRT ( dist / 4 freq )
dist = KM
freq = GHz

Lengte frequentie
1 hz = 299792458 m
1000 hz = 299792.458 m
1000000 hz = 299.792458 m

lengte in m = snelheid vh licht / hz

Two-factor Apache2

2022-04-05T09:45:34Z

Eric: Created page with "reverse proxy config: <VirtualHost *:443> ServerAlias test.frotmail.nl ServerAdmin webmaster@frotmail.nl ProxyRequests off ProxyPass /test/ http://1.2.3.4:8080/test/ ProxyPassReverse /test/ http://1.2.3.4:8080/test/ ServerName test.frotmail.nl SSLEngine on SSLCertificateFile /etc/apache2/ssl/server.pem SSLCertificateKeyFile /etc/apache2/ssl/server.key AddRadiusAuth 1.2.3.4:1812 sharedsecre..."

reverse proxy config:

<VirtualHost *:443>
ServerAlias test.frotmail.nl
ServerAdmin webmaster@frotmail.nl
ProxyRequests off
ProxyPass /test/ http://1.2.3.4:8080/test/
ProxyPassReverse /test/ http://1.2.3.4:8080/test/
ServerName test.frotmail.nl
SSLEngine on
SSLCertificateFile /etc/apache2/ssl/server.pem
SSLCertificateKeyFile /etc/apache2/ssl/server.key
AddRadiusAuth 1.2.3.4:1812 sharedsecret 9:1
AddRadiusCookieValid 60
<Location /test>
AuthType Basic
AuthName "Google Authenticator"
AuthBasicAuthoritative off
AuthBasicProvider radius
AuthRadiusAuthoritative on
AuthRadiusCookieValid 60
AuthRadiusActive On
require valid-user
</Location>
</VirtualHost>

Voor de rest van de radius config zie ook [[Two-factor auth met Google Authenticator]]

Transparante Proxy

2022-04-05T09:45:12Z

Eric: Created page with "=Situatie= We willen het uitgaande verkeer door een Squid proxy trekken om zo onze gebruikte brandbreedte te optimaliseren. =Probleem= Om het verkeer door Squid te laten afhandelen zonder alle clients hiervoor in te moeten stellen dienen we met IPTables te stoeien. Deze dient het HTTP verkeer te onderscheppen en om te leiden via Squid. =Oplossing= Er zijn 3 bekende methoden om HTTP verkeer om te leiden, hier volgt een voorbeeld van alle 3 ==Methode 1== Deze methode is al..."

=Situatie=
We willen het uitgaande verkeer door een Squid proxy trekken om zo onze gebruikte brandbreedte te optimaliseren.
=Probleem=
Om het verkeer door Squid te laten afhandelen zonder alle clients hiervoor in te moeten stellen dienen we met IPTables te stoeien. Deze dient het HTTP verkeer te onderscheppen en om te leiden via Squid.
=Oplossing=
Er zijn 3 bekende methoden om HTTP verkeer om te leiden, hier volgt een voorbeeld van alle 3
==Methode 1==
Deze methode is alleen geschikt voor situaties waarin de proxy op de router draait. Het redirect de pakketjes naar de lokale poort 8080.
iptables -t nat -A PREROUTING -p tcp -i eth1 --dport 80 -d ! NETWORK/24 \
-j REDIRECT --to-port 8080
Alle pakketjes die geforward gaan worden, binnenkomen op eth1, met als doel poort 80, met de afzender in het lokale netwerk. Worden geredirect naar lokaal poort 8080. Hierna gaat squid verder de request afhandelen.
==Methode 2==
Deze methode past alle pakketjes aan, eenmaal aangekomen bij de router wordt de afzender van de pakketjes aangepast naar het ip van de router zodat die het antwoord ontvangt. Als dit niet zou gebeuren zou de client een reaktie krijgen van een ander ip als waar het zijn vraag heeft achter gelaten.
Een nadeel van deze methode is dat alle log-entries op de proxy het ip van de router zal bevatten (als â€˜afzenderâ€™)
iptables -t nat -A PREROUTING -i eth1 -s ! PROXY-IP -p tcp --dport 80 \
-j DNAT --to PROXY-IP:8080
iptables -t nat -A POSTROUTING -o eth1 -s NETWORK/24 -d PROXY-IP \
-j SNAT --to ROUTER-IP
iptables -A FORWARD -s NETWORK/24 -d PROXY-IP -i eth0 -o eth1 -p tcp \
--dport 8080 -j ACCEPT
Alle pakketjes die niet van de proxy zelf komen met als doel een poort 80 dienen ge-nat te worden naar de proxy
Deze pakketjes moeten worden aangepast zodat de afzender het ip van de router wordt (zodat de terugweg gevonden kan worden
En tenslotte geven we nog expliciet toestemming voor deze forwarding acties.
==Methode 3==
De laatste methode heeft niet het nadeel van bovenstaande methode; de log zal gewoon de correcte ipâ€™s van de clients bevatten. Het nadeel aan deze methode is dat je een extra marking en ip routing tabel nodig hebt. Ook dien je bij deze methode ook een iptables regel op de proxy toe te voegen.
Op de router:
iptables -t mangle -A PREROUTING -j ACCEPT -p tcp --dport 80 -s PROXY-IP
iptables -t mangle -A PREROUTING -j MARK --set-mark 300 -p tcp --dport 80
ip rule add fwmark 300 table 190
ip route add default via PROXY-IP dev eth1 table 190
Alle pakketjes naar poort 80 vanaf de proxy worden zonder pardon geaccepteerd.
Andere pakketjes naar poort 80 worden gemarkeerd met marking 300
Alle pakketjes met marking 300 worden via routing tabel 190 afgehandeld
Alle pakketjes in routing tabel 190 gaan via de squid (als default gateway)

Op de proxy:
iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 80 -j REDIRECT \
--to-port 8080
Alle pakketjes die binnen komen voor poort 80 worden geredirect naar poort 8080 lokaal. Dit is eigenlijk hetzelfde als bij Methode 1 behalve dat hier dus de pakketjes op de router doorgeroute worden naar de proxy.

TrafficManagement

2022-04-05T09:44:51Z

Eric: Created page with "Handleiding thumb =Installatie & Configuratie= ==Opzetten database== In de map staat een bestand 'db.sql'. Maak in MySQL een nieuwe database en importeer de gegevens uit db.sql. ==Config.inc.php== Vervolgens moeten we enkele instellingen maken in deze file, voorbeeld: <?php $dbhost = 'localhost'; $dbuser = 'trafficuser'; $dbpass = 'trafficpass'; $dbname = 'traffic'; //connectie maken $db = mysql_connect($dbhost, $dbuser..."

Handleiding
[[Afbeelding:TrafficManagement_2.0b.png|thumb]]
=Installatie & Configuratie=
==Opzetten database==
In de map staat een bestand 'db.sql'. Maak in MySQL een nieuwe database en importeer de gegevens uit db.sql.

==Config.inc.php==
Vervolgens moeten we enkele instellingen maken in deze file, voorbeeld:
<?php
$dbhost = 'localhost';
$dbuser = 'trafficuser';
$dbpass = 'trafficpass';
$dbname = 'traffic';

//connectie maken
$db = mysql_connect($dbhost, $dbuser, $dbpass);
mysql_select_db($dbname);

//ssh connectie params
$ssh['host'] = 'localhost';
$ssh['port'] = '22';
$ssh['key'] = '/var/www/sshkey.key';

//Interne netwerkkaart
$internal_nic = "eth1";
$external_nic = "eth0";

//Afmetingen grafische objecten
$node_height = 50;
$node_width = 200;
$node_hspacing = 30;

$diagram_height = 400;
$diagram_width = 700;
$diagram_offset = 100;

$debug = 0;
?>

Het meeste spreekt voor zich en hier besteed ik dus zo min mogelijk aandacht aan.

Nadat deze file is aangemaakt zou de web-interface zichtbaar moeten zijn op het adres waarop deze is geÃ¯nstalleerd.

==Configure Uplinks==
Voor we iets kunnen toevoegen moeten we de uplinks configureren. We moeten tenminste 1 LAN adapter en 1 WAN adapter toevoegen.
Bijvoorbeeld:
Interface: eth0
Download Speed: 100000000
Upload Speed: 100000000
Type: LAN
Voor de LAN adapter zijn alleen deze 4 velden '''verplicht'''

De overige velden worden alleen gebruikt voor de WAN adapter:

Bijvoorbeeld:
Interface: eth1
Ip: 212.212.212.212
Netmask: 255.255.255.0
Network: 212.212.212.0/24
Download Speed: 1000000
Upload Speed: 1000000
Gateway: 212.212.212.1
Type: WAN

==Configure Firewall==
Hieruit wordt een iptables script gegenereerd welke de markings voor zijn rekening zal nemen.

'''Let op!''': Ieder pakketje kan slechts 1 marking mee krijgen, de markings worden uitgedeeld op volgorde van marking nummer. Deze volgorde is ook terug te zien in de lijst.

Wanneer je dus HTTP voor iedereen wilt beperken op 0,5 mbit behalve voor de admin, zal je "admin" en kleiner marking nummer moeten geven als "HTTP"
Voorbeeld:
Naam Omschrijving Mark
Admin ip adres van admin pc 1
HTTP Alle HTTP verkeer 50
Misc Alle overige pakketjes 170
In deze setup zal de pc van Admin alleen door de marking 1 worden verwerkt

Voorbeeld invulling:
Name Protocol Source Destination SrcPort DstPort Mark
AdminUp tcp 10.0.0.5 1
AdminDwn tcp 10.0.0.5 1
HTTP tcp 80 10
SMTP tcp 25 20

'''Let op!''': Wanneer je een firewall regel maakt (en dus aan een mark koppelt) die je niet invoert als service zal deze '''niet''' worden ge-shaped (behalve door de 'root'node welke de totale snelheid van een interface bepaald. '''EDIT Eric:''' Ow ja? volgens mij helemaal niet geshaped! hij valt niet in MISC en ook niet in en andere filter dus onbeperkte snelheid! )

==Creating Providers==
Klik op een leeg stuk in het diagram en rechts verschijnt een formulier.
In dit formulier vullen we in:
Name: [Naam van ISP]
Type: Provider
Parent: Root (root)

En vervolgens kiezen we 'Add'

We krijgen nu een volgend formulier met daarin de velden:

'''IPRoute tabel'''

Iedere provider (en gecombineerde) moet een uniek nummer hebben in deze tabel, ik begin meestal bij 150, 151, 152... enz.

'''Default Provider'''

Wanneer we een gecombineerde uplink/provider hebben MOET deze ook default zijn. Verder geeft dit aan over welke provider het verkeer zal gaan wat niet wordt behandeld in de traffic shaper

'''Uplink'''

Hier selecteren we de WAN adapter welke we net hebben aangemaakt. Indien het een gecombineerde uplink is kunnen we hier meerdere Uplinks aangeven

'''Weight'''

Hierin wordt de verdeling aangegeven van het verkeer (indien er meerdere WAN adapters worden gebruikt) Dit getal dient tenminste 1 te zijn. Het is zo bijvoorbeeld mogelijk om het verkeer in de verhouding 2:1 te verdelen over 2 uplinks.

Er wordt in de TC scripts nog geen rekening gehouden met het weight, de router zal de pakketjes wel in deze verhouding verdelen over de providers maar bij het traffic shapen wordt er gewoon 50:50 getelt.

Tenslotte klikken we dan op 'Commit' en onze provider zal zichtbaar worden.

==Creating Services==
De laatste stap is het toevoegen van Services. Deze services worden aan een marking gekoppeld en daarbij wordt het upload/download limiet ingesteld.

We klikken weer op een leeg stuk in het diagram en kiezen bij Type voor Service. De Parent moet een geldige provider zijn, de naam mag je zelf verzinnen.

Per service kan een Rate en een Max worden ingesteld. Het idee is dat de Max een limiet aangeeft, en de Rate een gegarandeerd minimum.
Ook is het mogelijk om een Prioriteit mee te geven. Overige bandbreedte wordt dan in volgorde van prioriteit verdeeld over de overige Services. Prioriteit 0 is de hoogste. Echter zal het Max nooit worden overschreden.

Voorbeeld:
WAN capaciteit 20 kb/s
Naam Rate Max Verbruik
HTTP 10kb/s 15kb/s 5kb/s
FTP 10kb/s 15kb/s ??
In dit voorbeeld zal er voor FTP 15kb/sec beschikbaar zijn

Voorbeeld:
WAN capaciteit 20 kb/s
Naam Rate Max Verbruik
HTTP 10kb/s 15kb/s 1kb/s
FTP 10kb/s 15kb/s ??
In dit voorbeeld zal er voor FTP toch maar 15kb/sec beschikbaar zijn, dit is omdat 'Max' nooit zal worden overschreden.

Voorbeeld:
WAN capaciteit 20 kb/s
Naam Rate Max Verbruik Prio
HTTP 5kb/s 15kb/s 5kb/s 0
FTP 5kb/s 15kb/s ?? 1
SMTP 5kb/s 15kb/s ?? 2
In dit voorbeeld zal het overige verkeer eerst aan FTP worden toegekend, en pas daarna aan SMTP. Uiteraard wordt er wel altijd minimaal voldaan aan de 'Rate' instelling. Dus FTP kan nooit ervoor zorgen dat SMTP minder dan 5 krijgt (tenzij SMTP minder nodig heeft).

==Commit==
Wanneer we tenslotte op commit drukken zal de config worden uitgevoerd op de server. De scripts die hierbij zijn gegenereerd kunnen worden ingezien.

Bij een commit:
* Worden er eerst een aantal zaken opgeruimd
** Oude TC regels
** IP Rule zaken
** IProute tabellen
** iptables regels (dit gebeurt nu nog een eindje verderop)

* Wordt vervolgens IPRoute ingesteld, het verdelen van de services over de beschikbare uplinks

* Wordt vervolgens tc, de traffic shaper, ingesteld

* En tenslotte wordt iptables ingesteld, om de juiste services de juiste markings mee te geven (Deze markings worden door tc en iproute gebruikt om het verkeer te routeren en te shapen)

=Beheren=
Wanneer de 1e setup is gedaan zal het ding nog beheerd moeten worden
==Tips==
Zorg ervoor dat de Rate van de services samen niet hoger komt als de Rate van je uplink (je kan niet meer garanderen dan je hebt!). * Wanneer je dit in orde hebt zal het "lenen" van bandbreedte onderling ook netjes volgens de prioriteiten worden afgehandeld.

* Zorg ervoor dat je je instellingen kan controleren, cacti is een prima tool om dit in de gaten te houden.

==Cacti statistieken==
Bij het pakket zitten ook templates en php files om de statistieken van tc in cacti weer te geven. Uitleg hierover volgt!

==Shape onnauwkeurigheid==
Oude situatie

Totaal 2x 1 mbit download

[interne nic]
|
|
[root node Max 2mbit]
/ | \ \
/ | \ -----------\
/ | \ \
/ | \ \
/ | \ \
[HTTP ] [SSH ] [MAIL ] [MISC ]
Min: 512kbit Min: 128kbit Min: 256kbit Min: 128kbit
Max: 1024kbit Max: 256kbit Max: 1024kbit Max: 512kbit

Nieuwe Situatie

[interne nic]
|
|
[root node Max 2mbit]
| \
| \
[Provider A+B] [ Provider A ]
[ Max 2 mbit ] [ Max 1 mbit ]
/ \ \ \-----------
/ \ \ \
/ \ \ \
[HTTP ] [SSH ] [MAIL ] [MISC ]
Min: 512kbit Min: 128kbit Min: 256kbit Min: 128kbit
Max: 1024kbit Max: 256kbit Max: 1024kbit Max: 512kbit

===Uitleg===
Wanneer je in de oude situatie MISC met 512kbit belast en MAIL met 1024kbit wordt er van Provider A 1,25 mbit verlangt. Dit gaat mis

In de nieuwe situatie wordt een niveau hoger dan het limiet gelegd bij 1 mbit. Zo komen de rate's en prioriteiten beter tot hun recht. Hier werd in de oude situatie niets mee gedaan

Wanneer we echter HTTP en MAIL vol gaan belasten blijft het probleem bestaan omdat Provider A en Provider A+B een uplink delen. Hier is momenteel niet echt veel aan te doen.

TP2010

2022-04-05T09:44:14Z

Eric: Created page with "=Info= * Proxy: Squid ** Let op FD's (file descriptors) ** WCCP *** Squid in transparent mode, iptables redirect poort * Shaping op cisco ** Netflow: [http://forums.cacti.net/about12393.html] ** Shaping basics [http://slaptijack.com/networking/easy-traffic-shaping-in-cisco-ios/] ** [http://wiki.nil.com/Traffic_shaping_in_Cisco_IOS] ** [http://www.cisco.com/en/US/docs/ios/12_1t/12_1t2/feature/guide/clsbsshp.html#wp1025965 uitleg] Eerst definities: class-map match-all..."

=Info=
* Proxy: Squid
** Let op FD's (file descriptors)
** WCCP
*** Squid in transparent mode, iptables redirect poort
* Shaping op cisco
** Netflow: [http://forums.cacti.net/about12393.html]
** Shaping basics [http://slaptijack.com/networking/easy-traffic-shaping-in-cisco-ios/]
** [http://wiki.nil.com/Traffic_shaping_in_Cisco_IOS]

** [http://www.cisco.com/en/US/docs/ios/12_1t/12_1t2/feature/guide/clsbsshp.html#wp1025965 uitleg]
Eerst definities:
class-map match-all HTTP
match protocol http
class-map match-any HighPrio
match packet length max 384
match protocol icmp

Dan Policy
policy-map blaa
class HTTP
shape average 10000000

En dan toepassen
interface fa0/0
service out blaa

[ INET ]
|
______|_______
| Cisco 2811 |
|______________|
|
_______|_______
| Cisco 3750 |
|_______________|
| | | |
| | | |
____|__|__|__|_____ ___
_| |_ /_ /|
| LAN |--------| | | <-- Squid
|_ _| | | |
|___________________| |__|/
| ___
|____________________|___| <-- Client
/___/

=Testconfig (v1)=
class-map match-all HTTP
match protocol http
class-map match-all Prio
class-map match-any SSH
match protocol ssh
class-map match-all High
match class-map SSH
class-map match-any HTTPS
match access-group name HTTPS
class-map match-any Normal
match class-map HTTP
match class-map HTTPS
class-map match-any Prios
match class-map Normal
match class-map High
class-map match-all Downstream
match class-map Prios
class-map match-all Web
match class-map HTTP
match class-map HTTPS
class-map match-all Low
!
!
policy-map Prio
policy-map High
class SSH
policy-map Normal
class HTTP
police rate percent 70
violate-action drop
class HTTPS
policy-map Prios
class Normal
bandwidth percent 70
service-policy Normal
class High
bandwidth percent 30
service-policy High
policy-map Downstream
class Downstream
shape average 1000000
service-policy Prios
class class-default
shape average 100000
policy-map Low
!
interface FastEthernet0
ip address 192.168.38.249 255.255.255.0
ip broadcast-address 0.0.0.0
ip nat outside
ip virtual-reassembly
duplex auto
speed auto
!
interface Vlan1
ip address 10.9.0.1 255.255.255.0
ip broadcast-address 0.0.0.0
ip nat inside
ip virtual-reassembly
service-policy output Downstream
!
ip route 0.0.0.0 0.0.0.0 192.168.38.1
!
ip access-list extended HTTP
permit tcp any any eq www
ip access-list extended HTTPS
permit tcp any any eq 443
ip access-list extended Mail
permit tcp any any eq pop3
permit tcp any any eq 143
permit tcp any any eq 993
permit tcp any any eq 995
permit tcp any any eq smtp
!
=testconfig (v5)=
Wanneer verkeer is binnen gekomen heeft het geen nut meer om te shapen. De queue van de provider zit dan al vol. De clue zit hem dus in het upstream shapen (upload naar je ISP) zodat je de eigen queue kan beheren. (WAN-out-shape)

Downstream kunnen we wel policen om zo de TCP sessies te remmen. (WAN-in-police)
=Services=
==ACL==
Opmerkingen:
FTP, ipsec, pptp en l2tp: op nbar laten staan?

BIJWERKEN

==Gaming==
===WoW===
TCP: 3724, 6112, 6881-6999
Game: TCP 1119 & 3724
Voice: UDP 3724
Downloader (updates): TCP 6112 & 6881-6999
===Steam===
Steam Client
* UDP 27000 to 27015 inclusive (Game client traffic)
* UDP 27015 to 27030 inclusive (Typically Matchmaking and HLTV)
* TCP 27014 to 27050 inclusive (Steam downloads)
* UDP 4380
Dedicated or Listen Servers
* TCP 27015 (SRCDS Rcon port)
Steamworks P2P Networking and Steam Voice Chat
* UDP 3478 (Outbound)
* UDP 4379 (Outbound)
* UDP 4380 (Outbound)
Additional Ports for Call of Duty: Modern Warfare 2 Multiplayer
* UDP 1500 (outbound)
* UDP 3005 (outbound)
* UDP 3101 (outbound)
* UDP 28960
==IM==
===MSN===
Sign in to the Messenger service TCP 80, 443, 1863
Network Detection TCP 7001
UDP 9, 7001
Audio TCP 80, 443, 1863
TCP/UDP 30000 - 65535
Audio (Legacy) UDP 5004 â€“ 65535
Webcam and Video Conversations TCP 80
TCP/UDP 5000 - 65535
File Transfer TCP 443, 1863
TCP/UDP 1025 - 65535
File Transfer (Legacy) TCP 6891 - 6900
Sharing Folders TCP 1863
TCP/UDP 1025 â€“ 65535
Whiteboard and Application Sharing TCP 1503
Remote Assistance TCP 3389
TCP/UDP 49152 â€“ 65535
Windows Live Call TCP 443, 5061
UDP 5004 - 65525
Games TCP 80, 443, 1863
TCP/UDP 1025 - 65535

===Skype===
Niet mogelijk vast te stellen?

===IRC===
TCP 6667

===ICQ===
TCP 5190

==Blocked==
===Torrent===
Op basis van headers?
Is het nodig om dit te blokkeren als we inbound connecties niet door laten?

===NNTP===
TCP 119

=Analyse=
==DNS==
IPTraf
â”Œ Packet Distribution by Size â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”
â”‚ â”‚
â”‚ Packet size brackets for interface eth0 â”‚
â”‚ â”‚
â”‚ â”‚
â”‚ Packet Size (bytes) Count Packet Size (bytes) Count â”‚
â”‚ 1 to 75: 6118 751 to 825: 0 â”‚
â”‚ 76 to 150: 6710 826 to 900: 0 â”‚
â”‚ 151 to 225: 900 901 to 975: 0 â”‚
â”‚ 226 to 300: 329 976 to 1050: 0 â”‚
â”‚ 301 to 375: 130 1051 to 1125: 1 â”‚
â”‚ 376 to 450: 154 1126 to 1200: 0 â”‚
â”‚ 451 to 525: 101 1201 to 1275: 0 â”‚
â”‚ 526 to 600: 42 1276 to 1350: 0 â”‚
â”‚ 601 to 675: 4 1351 to 1425: 0 â”‚
â”‚ 676 to 750: 0 1426 to 1500+: 2 â”‚
â”‚ â”‚
â”‚ â”‚
â”‚ Interface MTU is 1500 bytes, not counting the data-link header â”‚
â”‚ Maximum packet size is the MTU plus the data-link header length â”‚
â”‚ Packet size computations include data-link headers, if any â”‚
â”” Elapsed time: 0:05 â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”€â”˜
==SSH==
Proto/Port â”€â”€â”€â”€â”€â”€â”€â”€â”€ Pkts â”€â”€â”€ Bytes â”€â”€ PktsTo â”€ BytesTo PktsFrom BytesFrom â”€
TCP/22 621 87044 311 16220 310 70824

Sent: 621 p -> 87044 bytes = 140 bytes pp
Received: 310 p -> 70824 bytes = 228 bytes pp

TCP Flags

2022-04-05T09:43:47Z

Eric: Created page with "[http://www.symantec.com/connect/articles/abnormal-ip-packets] At least one of these six flags must be set in each TCP packet; each flag corresponds to a particular bit in the TCP header. The six flags are: * SYN (Synchronization) - Initiate a TCP connection. * ACK (Acknowledgment) - Indicates that the value in the acknowledgment number field is valid. * FIN (Finish) - Gracefully end a TCP connection. * RST (Reset) - Immediately end a TCP connection. * PSH (Push) - Tel..."

[http://www.symantec.com/connect/articles/abnormal-ip-packets]

At least one of these six flags must be set in each TCP packet; each flag corresponds to a particular bit in the TCP header. The six flags are:

* SYN (Synchronization) - Initiate a TCP connection.
* ACK (Acknowledgment) - Indicates that the value in the acknowledgment number field is valid.
* FIN (Finish) - Gracefully end a TCP connection.
* RST (Reset) - Immediately end a TCP connection.
* PSH (Push) - Tells the receiver to pass on the data as soon as possible.
* URG (Urgent) - Indicates that the urgent pointer is valid; often caused by an interrupt.

Before reviewing abnormal flag combinations, let's look at the normal ones:

* SYN, SYN ACK, and ACK are used during the three-way handshake which establishes a TCP connection.
Except for the initial SYN packet, every packet in a connection must have the ACK bit set.
* FIN ACK and ACK are used during the graceful teardown of an existing connection.
* PSH FIN ACK may also be seen at the beginning of a graceful teardown.
* RST or RST ACK can be used to immediately terminate an existing connection.
Packets during the "conversation" portion of the connection (after the three-way handshake but before the teardown or termination) contain just an ACK by default. Optionally, they may also contain PSH and/or URG.
Packets with any other flag combination can be classified as abnormal.

Here are some of the most commonly occurring ones:

* SYN FIN is probably the best known illegal combination. Remember that SYN is used to start a connection, while FIN is used to end an existing connection. It is nonsensical to perform both actions at the same time. Many scanning tools use SYN FIN packets, because many intrusion detection systems did not catch these in the past, although most do so now. You can safely assume that any SYN FIN packets you see are malicious.
* SYN FIN PSH, SYN FIN RST, SYN FIN RST PSH, and other variants on SYN FIN also exist. These packets may be used by attackers who are aware that intrusion detection systems may be looking for packets with just the SYN and FIN bits set, not additional bits set. Again, these are clearly malicious.
* Packets should never contain just a FIN flag. FIN packets are frequently used for port scans, network mapping and other stealth activities.
* Some packets have absolutely no flags set at all; these are referred to as "null" packets. It is illegal to have a packet with no flags set.
* Besides the six flag bits described here, TCP packets have two additional bits which are reserved for future use. These are commonly referred to as the "reserved bits". Any packet which has either or both of the reserved bits activated is almost certainly crafted.

There are several other characteristics of TCP traffic where abnormalities may be seen:

* Packets should never have a source or destination port set to 0.
* The acknowledgment number should never be set to 0 when the ACK flag is set.
* A SYN only packet, which should only occur when a new connection is being initiated, should not contain any data.
* Packets should not use a destination address that is a broadcast address, usually ending in .0 or .255. (You may not be familiar with .0 as a broadcast address; it was an older style of broadcast.) Broadcasts are normally not performed using TCP.

Squid

2022-04-05T09:43:13Z

Eric: Created page with "=Compilen= ==DNS== Bij het compilen hebben we --disable-internal-dns meegegeven omdat de interne DNS client niet geweldig presteerd bij veel clients. Nu zal squid een dnsserver compilen/installeren welke door squid gestart kan worden, zie bij config het kopje DNS Server ./configure --disable-internal-dns ==SNMP== Om de performance van de proxy te monitoren kunnen we snmp aanzetten in squid ./configure --enable-snmp =Config= ==Blacklist== acl blacklist dstdomain "/..."

=Compilen=
==DNS==
Bij het compilen hebben we --disable-internal-dns meegegeven omdat de interne DNS client niet geweldig presteerd bij veel clients. Nu zal squid een dnsserver compilen/installeren welke door squid gestart kan worden, zie bij config het kopje DNS Server

./configure --disable-internal-dns

==SNMP==
Om de performance van de proxy te monitoren kunnen we snmp aanzetten in squid

./configure --enable-snmp

=Config=
==Blacklist==
acl blacklist dstdomain "/etc/squid/blacklist"
http_access deny blacklist

==DNS Server==
Wanneer squid in een grote omgeving draait valt merkbaar de performance ver terug (getest op The Party 5 - 800 clients en tot 400 gelijktijdige connecties)

Wanneer er eenmaal een pagina is doorgekomen lijkt alles van dat domein lekker vlot te zijn.

Na wat debuggen bleek het aan de DNS client te liggen, deze is niet erg efficient.

Door Squid te bouwen met --disable-internal-dns krijg je een dnsserver en die kan je meerdere keren op laten starten

cache_dns_program /usr/local/squid/libexec/dnsserver
dns_children 16

=Overig=
==Cache Manager==
http://host/cgi-bin/cachemgr.cgi

Hier is veel info terug te vinden over de runtime van de Proxy

[[Category:Networking]][[Category:Linux]]

SFP Programming

2022-04-05T09:41:58Z

Eric: Created page with "Bron: [http://ak47.mine.nu/sfpfixhp.txt] Making SFP Mini-GBIC's HP ProCurve compatible using a HP ProCurve switch - Some quick notes Successful was: * Altering the EEPROM from a 1000BASE-LX and 1000BASE-SX SFP from a HP ProCurve 2824 so it works in HP switches * Flashing old HP ProCurve SFP's (J4858A, J4859A, J4860A) so they work in new HP switches Knowning issues: * When the SFP enforces 'write protection' you cannot flash it from the switch. See: http://www.schelto..."

Bron: [http://ak47.mine.nu/sfpfixhp.txt]

Making SFP Mini-GBIC's HP ProCurve compatible using a HP ProCurve switch - Some quick notes

Successful was:
* Altering the EEPROM from a 1000BASE-LX and 1000BASE-SX SFP from a HP ProCurve 2824 so it works in HP switches
* Flashing old HP ProCurve SFP's (J4858A, J4859A, J4860A) so they work in new HP switches

Knowning issues:
* When the SFP enforces 'write protection' you cannot flash it from the switch. See: http://www.schelto.com/SFP/SFP%20MSA%20091400.htm "The SFP transceiver may enforce this by using the write protect features of the CMOS E2PROM."
* HP ProCurve 2626 has 'BENCH' mode but cannot write anything to SFP's. Only 28xx seem to work.

Used hardware:
* HP ProCurve 2824 switch (has bench-mode)
* HP ProCurve 2510G-24 switch (does not have bench-mode)
* FINISAR FTRJ-1319-7D 1000BASE-LX Mini-GBIC SFP (x2)

All of the HP ProCurve bench-mode commands:
* http://ak47.mine.nu/hpbenchmode.txt

What's the problem?

The HP ProCurve 2510 switch does not support the Finisar SFP, using a HP ProCurve 2824 switch I have been able to alter some information in the SFP's EEPROM and make the SFP work in the 2510 switch.

When the unaltered SFP is inserted into the 2510 switch, the SFP-port's led on the front of the switch blinks indefinitely, meaning there is something "wrong" with the SFP. The log also shows this:

W 01/01/90 00:02:41 FFI: port 24 This switch only supports revision B and above transceivers.

According to HP only the SFP mentioned in this matrix should work:

http://cdn.procurve.com/training/Manuals/Mini-GBIC-Support-Jul2008.pdf

How to fix it:

# Use a HP switch that is "bench-mode" capable. I know the HP 28xx and 26xx series have this. In this case I have used the 2824. (Update: flashing does not work in 26xx switches)
# Remove the top-cover of the switch.
# Place a jumper on the pins with "BENCH" written next to it.
# Boot it up and use the serial console port to interface with the switch.
# Once booted up, you need to press enter twice and you will see a prompt.
# In the prompt type 'st_jump_pc' and wait a few seconds.
# What we need todo now is figure out what the "HPID Calculation" is. The HP switch uses this ID to check if the SFP is "okay". The ID is calculated using the vendor serial number, date code etc.
#: Use this command to see what the ID sould be:
#: physhow 24 a
#: Where '24' is the port-number.
#: You can find something like this:
#: HPID Calculation: 0x99a34e36
# The calculated ID should be stored in the EEPROM's registers 380 till 383 and 124 till 127. The 28xx and 26xx switches don't use the data from the 124 till 127 registers, but the 2510/2610/2810 switches do.
#: Assuming the SFP to write to is in port number 24, use this command to write the data (the data being 99 a3 4e 36):
#: XCVRI2CWRITE 24 124 0xA1 0x99
#: XCVRI2CWRITE 24 125 0xA1 0xA3
#: XCVRI2CWRITE 24 126 0xA1 0x4E
#: XCVRI2CWRITE 24 127 0xA1 0x36
#: XCVRI2CWRITE 24 380 0xA1 0x99
#: XCVRI2CWRITE 24 381 0xA1 0xA3
#: XCVRI2CWRITE 24 382 0xA1 0x4E
#: XCVRI2CWRITE 24 383 0xA1 0x36
# Verify if the data is actually written to the SFP by using the 'physhow' command again:
#: physhow 24 a
#: The HPID Register and HPID Calculation should be equal:
#: HPID Register: 0x99a34e36
#: HPID Calculation: 0x99a34e36
# Test the SFP out in the HP switch!

X) The HPID calculated in some cases is not 8 characters, but it really needs to be 8 characters or else you cannot write it to the register. To fix this you can for example change to vendor's date code.

The vendor's date code can be found in the registers 84 till 89.

When you have changed this, use the physhow command again to see what the new calculated HPID is, and if it is 8 chars, write the HPID to the registers mentioned at step #8.

Raspberry Fleet

2022-04-05T09:41:30Z

Eric: Created page with "{| border="0" | Type || Inzet || Overig |- | Raspberry 1b || Werkloos || Werkloos |- | Raspberry 1b || Werkloos || Werkloos |- | Raspberry 1b || Werkloos || Werkloos |- | Raspberry 2b || Octoprint || 192.168.38.51 bij 3D Printer |- | Raspberry 2b || CNCjs || Schuur |- | Raspberry 2b || Werkloos || Werkloos |- | Raspberry 2b || Werkloos || Werkloos |- | Raspberry 3b || LaserCutter || 192.168.38.72 in lasercutter |- | Raspberry 3b+ || KodiMark || Studeer..."

{| border="0"
| Type || Inzet || Overig
|-
| Raspberry 1b || Werkloos || Werkloos
|-
| Raspberry 1b || Werkloos || Werkloos
|-
| Raspberry 1b || Werkloos || Werkloos
|-
| Raspberry 2b || Octoprint || 192.168.38.51 bij 3D Printer
|-
| Raspberry 2b || CNCjs || Schuur
|-
| Raspberry 2b || Werkloos || Werkloos
|-
| Raspberry 2b || Werkloos || Werkloos
|-
| Raspberry 3b || LaserCutter || 192.168.38.72 in lasercutter
|-
| Raspberry 3b+ || KodiMark || Studeerkamer
|-
| Raspberry 3b+ || DetronPiHAT || Studeerkamer
|-
| Raspberry Zero W || Mobiel || Mobiele versie
|-
| Raspberry Pi 4b 4G || RPIBackup || 192.168.11.11 Meterkast
|-
| Raspberry Pi 4b 8G || Desktop || Studeerkamer op bureau
|-
| Raspberry Pi 4b 8G || LibreElec / Docker || 10.4.10.16 onder TV
|}

PowerDNS Stats

2022-04-05T09:38:29Z

Eric: Created page with "Waneer je PowerDNS draait kan het intressant zijn om statistieken bij te houden. In PowerDNS zit de mogelijkheid om een interne webserver te draaien, welke zeer uitgebreide statistieken kan weergeven. Echter bij een restart van de service is deze informatie verloren. Om een aantal performance counters in Cacti weer te geven kunnen de onderstaande tools worden gebruikt. =PowerDNS= Via het pdns_control commando kan men verschillende counters uitlezen: root@vps:/home/er..."

Waneer je PowerDNS draait kan het intressant zijn om statistieken bij te houden. In PowerDNS zit de mogelijkheid om een interne webserver te draaien, welke zeer uitgebreide statistieken kan weergeven. Echter bij een restart van de service is deze informatie verloren.

Om een aantal performance counters in Cacti weer te geven kunnen de onderstaande tools worden gebruikt.

=PowerDNS=
Via het pdns_control commando kan men verschillende counters uitlezen:

root@vps:/home/eric# pdns_control show *
corrupt-packets=0,deferred-cache-inserts=0,deferred-cache-lookup=0,latency=0,packetcache-hit=909,
packetcache-miss=10760,packetcache-size=322,qsize-q=1,query-cache-hit=12492,query-cache-miss=33716,
recursing- answers=0,recursing-questions=0,servfail-packets=0,tcp-answers=3,tcp-queries=9,
timedout-packets=0,udp-answers=11679,udp-queries=11688,udp4-answers=11456,udp4-queries=11465,
udp6-answers=223,udp6-queries=223,

Een aantal van deze counters heb ik in een script opgenomen welke worden doorgevoerd naar Cacti:

/etc/powerdns/pdns_cacti.sh
#!/bin/bash
/usr/bin/sudo pdns_control show latency
/usr/bin/sudo pdns_control show corrupt-packets
/usr/bin/sudo pdns_control show query-cache-hit
/usr/bin/sudo pdns_control show query-cache-miss
/usr/bin/sudo pdns_control show tcp-queries
/usr/bin/sudo pdns_control show udp-queries
/usr/bin/sudo pdns_control show udp4-queries
/usr/bin/sudo pdns_control show udp6-queries

Dit script laat ik vervolgens door SNMP uitvoeren en doorgeven

/etc/snmp/snmpd.conf
extend pdns-rec /etc/powerdns/pdns_cacti.sh

Omdat SNMP bij mij niet als root draait zal de 'snmp' user het pdns_control commando moeten kunnen uitvoeren (zie script, met behulp van sudo)

/etc/sudoers
snmp ALL=NOPASSWD: /usr/bin/pdns_control

Als we het script executable hebben gemaakt:
chmod 755 /etc/powerdns/pdns_cacti.sh

En de snmpd hebben herstart
/etc/init.d/snmpd restart

Dan kunnen we testen of het script via SNMP is aan te roepen:
eric@vps:~$ snmpwalk -v 2c -c public [server hostname] .1.3.6.1.4.1.8072.1.3.2.4.1.2
iso.3.6.1.4.1.8072.1.3.2.4.1.2.8.112.100.110.115.45.114.101.99.1 = STRING: "0"
iso.3.6.1.4.1.8072.1.3.2.4.1.2.8.112.100.110.115.45.114.101.99.2 = STRING: "0"
iso.3.6.1.4.1.8072.1.3.2.4.1.2.8.112.100.110.115.45.114.101.99.3 = STRING: "12494"
iso.3.6.1.4.1.8072.1.3.2.4.1.2.8.112.100.110.115.45.114.101.99.4 = STRING: "33727"
iso.3.6.1.4.1.8072.1.3.2.4.1.2.8.112.100.110.115.45.114.101.99.5 = STRING: "9"
iso.3.6.1.4.1.8072.1.3.2.4.1.2.8.112.100.110.115.45.114.101.99.6 = STRING: "11693"
iso.3.6.1.4.1.8072.1.3.2.4.1.2.8.112.100.110.115.45.114.101.99.7 = STRING: "11470"
iso.3.6.1.4.1.8072.1.3.2.4.1.2.8.112.100.110.115.45.114.101.99.8 = STRING: "223"

Dit is alles wat vanaf de server gedaan moet worden

=Cacti=
Om de grafiek in Cacti te krijgen kan je gebruik maken van deze cacti template: [[File:Powerdns_template.xml.zip|test]]

Door deze te importeren krijg je bij het maken van nieuwe grafieken de optie om een PowerDNS grafiek te maken. Deze kan er dan als volgt uitzien:

[[File:powerdns.png]]

Postfix Backup MX

2022-04-05T09:38:07Z

Eric: Created page with "Dit is een alternatieve manier om een Backup MX te draaien op een lichtgewicht machine. Een van de bronnen waar ik dit vandaan heb is [http://www.cyberciti.biz/faq/postfix-backup-mx-server-anti-spam/ Hier] =Functie= De functie van een backup MX server, is om mail aan te nemen wanneer de primaire server onbereikbaar is. Omdat spammers steeds vaker de backup-mx gebruiken om hun mail op te dumpen (daar draait vaak een lichtere vorm van filtering) is het belangrijk dat..."

Dit is een alternatieve manier om een [[Backup MX]] te draaien op een lichtgewicht machine.

Een van de bronnen waar ik dit vandaan heb is [http://www.cyberciti.biz/faq/postfix-backup-mx-server-anti-spam/ Hier]

=Functie=
De functie van een backup MX server, is om mail aan te nemen wanneer de primaire server onbereikbaar is. Omdat spammers steeds vaker de backup-mx gebruiken om hun mail op te dumpen (daar draait vaak een lichtere vorm van filtering) is het belangrijk dat je hiervoor maatregelen neemt. Een aantal maatregels beschrijf ik hier.

=Postfix main.cf=
Allereerst moet postfix mail gaan accepteren voor het domein:

relay_domains = frotmail.nl, $mydestination

Een optie is om ook alle users van je primaire mailserver hier te vermelden, als relay_recipient_maps. Dit voorkomt dat mail voor een niet-bestaande mailbox kan worden afgeleverd. Zie daarvoor [http://www.cyberciti.biz/faq/postfix-backup-mx-server-anti-spam/ deze] manual. Ik gebruik dit niet omdat ik een wildcard mailbox heb en dus niets heb aan deze functie.

Dan willen we voorkomen dat iedereen spam kan sturen door wat sanity checks uit te voeren:

smtpd_recipient_restrictions = permit_sasl_authenticated, permit_mynetworks,
reject_non_fqdn_hostname,
reject_non_fqdn_sender,
reject_non_fqdn_recipient,
reject_unauth_destination,
reject_unauth_pipelining,
reject_invalid_hostname,
reject_rbl_client zen.spamhaus.org
# helo required

smtpd_helo_required = yes
# disable vrfy command
disable_vrfy_command = yes

smtpd_data_restrictions =
reject_unauth_pipelining,
permit

Dit zorgt ervoor dat hij zen.spamhaus.org gebruikt als DNS blacklist provider. Dit houd al ERG veel SPAM tegen.

De volgende meldingen zie je dan in je logging
Mar 9 12:36:20 vps postfix/smtpd[7213]: NOQUEUE: reject: RCPT from wsip-70-167-198-206.ph.ph.cox.ne
t[70.167.198.206]: 554 5.7.1 Service unavailable; Client host [70.167.198.206] blocked using zen.spa
mhaus.org; http://www.spamhaus.org/query/bl?ip=70.167.198.206; from=<postmail-usid.4267@oakland.com>
to=<wperic@frotmail.nl> proto=SMTP helo=<oakland.com>

De volgende maatregel is het zgn Greylisten

=postgrey=
Om postfix te laten greylisten kunnen we het pakket postgrey installeren

apt-get install postgrey

Deze applicatie heeft erg weinig instellingen nodig en kan zonder aanpassingen gebruikt worden door Postfix.

Wel moeten we de main.cf van Postfix nog een keer aanpassen om deze extra check in te bouwen:

smtpd_recipient_restrictions = permit_sasl_authenticated, permit_mynetworks,
reject_non_fqdn_hostname,
reject_non_fqdn_sender,
reject_non_fqdn_recipient,
reject_unauth_destination,
reject_unauth_pipelining,
reject_invalid_hostname,
reject_rbl_client zen.spamhaus.org,
check_policy_service inet:127.0.0.1:10023

Als we dan postfix herstarten (postfix reload) zien we de volgende meldingen in de mail.log:
Mar 9 13:56:30 tweak postfix/smtpd[17956]: NOQUEUE: reject: RCPT from unknown[xxx.xxx.xxx.xxx]: 450
4.2.0 <boeiend@frotmail.nl>: Recipient address rejected: Greylisted, see http://postgrey.schweikert.
ch/help/frotmail.nl.html; from=<test@test> to=<boeiend@frotmail.nl> proto=ESMTP helo=<test.test.lan>

=MX Prio's=
Tenslotte zie je vaak dat SPAM bij voorkeur op je secundaire mailserver wordt afgeleverd. Ik heb daarom 3 mx records gemaakt:
Prio Server IP
10 mail.frotmail.nl [mijn server]
20 mx02.frotmail.nl [mijn backup MX]
30 mx01.frotmail.nl [mijn server weer]

Zo zal hij de backup MX niet gebruiken als mijn server nog gewoon online is

Pointers

2022-04-05T09:37:34Z

Eric: Created page with "Stel: we hebben een PC met 10.000 bytes werkgeheugen. Dit betekend dat we 10.000 “hokjes” kunnen vullen met een getal tussen de 0 en 255. Als we in hokje 5 het getal 128 zetten willen we dit natuurlijk ook ooit terug kunnen lezen? Int i=128 Met deze regel slaan we bijvoorbeeld 128 op in het werkgeheugen...De computer bepaald waar dit getal wordt opgeslagen en onthoud vervolgens in welk vakje de waarde van “i” wordt bewaard. Stel de waarde van i (128) wordt in..."

Stel: we hebben een PC met 10.000 bytes werkgeheugen. Dit betekend dat we 10.000 “hokjes” kunnen vullen met een getal tussen de 0 en 255.

Als we in hokje 5 het getal 128 zetten willen we dit natuurlijk ook ooit terug kunnen lezen?

Int i=128

Met deze regel slaan we bijvoorbeeld 128 op in het werkgeheugen...De computer bepaald waar dit getal wordt opgeslagen en onthoud vervolgens in welk vakje de waarde van “i” wordt bewaard. Stel de waarde van i (128) wordt in hokje 0 opgeslagen. Wanneer we later de waarde van i terug willen halen moeten we dus in hokje 0 zijn.

Een karakter is in feite gewoon een nummer (ASCII waarde) zo is de waarde 10 een newline (linux enter) en de A is 65 (dacht ik)

Als je met meerdere karakters achter elkaar gaat werken heb je dus ook meerdere hokjes nodig om deze data in op te slaan. Dan wordt er gebruik gemaakt van zogenaamde pointers

Een pointer in C wordt aangegeven met een &, de inhoud van een pointer wordt aangegeven met een *

Bijvoorbeeld:
char *iets=”Jan met de pet”
hier wordt hokje 0 met de waarde van de hoofdletter j gevuld, hokje 1 met de waarde van a enz.

De variable iets krijgt dan te horen dat zijn string vanaf positie 0 in het geheugen is gezet. In C kan je dat “adres” ophalen/veranderen door een & voor de variable te plakken:

printf(“Het adres van *iets is %i”,&iets);
(ik weet niet of dit voorbeeld kan zonder typecast)

met &iets heb je het dus altijd over het geheugenadres waar de string staat

de * geeft aan dat je het over de inhoud hebt van dat geheugenblok, dus met *iets kan je de data bekijken welke in het geheugen staat.

OpenSSL PKI

2022-04-05T09:36:54Z

Eric: Created page with "rootca.conf [ default ] ca = Frotmail.nl-ClientSSL # CA name dir = . # Top dir base_url = http://ssl.frotmail.nl # CA base URL aia_url = $base_url/$ca.cer # CA certificate URL crl_url = $base_url/$ca.crl # CRL distribution point name_opt = multiline,-esc_msb,utf8 # Display UTF-8 characters # CA certificate request [ req ] defaul..."

rootca.conf
[ default ]
ca = Frotmail.nl-ClientSSL # CA name
dir = . # Top dir
base_url = http://ssl.frotmail.nl # CA base URL
aia_url = $base_url/$ca.cer # CA certificate URL
crl_url = $base_url/$ca.crl # CRL distribution point
name_opt = multiline,-esc_msb,utf8 # Display UTF-8 characters

# CA certificate request
[ req ]
default_bits = 2048 # RSA key size
encrypt_key = no # Protect private key
default_md = sha256 # MD to use
utf8 = yes # Input is UTF-8
string_mask = utf8only # Emit UTF-8 strings
prompt = no # Don't prompt for DN
distinguished_name = ca_dn # DN section
req_extensions = ca_reqext # Desired extensions

[ ca_dn ]
countryName = "NL"
organizationName = "Frotmail.nl"
organizationalUnitName = "ClientSSL"
commonName = "clients.frotmail.nl"

[ ca_reqext ]
keyUsage = critical,keyCertSign,cRLSign
basicConstraints = critical,CA:true
subjectKeyIdentifier = hash

# CA operational settings
[ ca ]
default_ca = root_ca # The default CA section

[ root_ca ]
certificate = $dir/$ca.crt # The CA cert
private_key = $dir/$ca.key # CA private key
new_certs_dir = $dir/newcerts # Certificate archive
serial = $dir/$ca.crt.srl # Serial number file
crlnumber = $dir/$ca.crl.srl # CRL number file
database = $dir/$ca.db # Index file
unique_subject = no # Require unique subject
default_days = 3652 # How long to certify for
default_md = sha256 # MD to use
policy = match_pol # Default naming policy
email_in_dn = no # Add email to cert DN
preserve = no # Keep passed DN ordering
name_opt = $name_opt # Subject DN display options
cert_opt = ca_default # Certificate display options
copy_extensions = none # Copy extensions from CSR
x509_extensions = ca_ext # Default cert extensions
default_crl_days = 365 # How long before next CRL
crl_extensions = crl_ext # CRL extensions

[ match_pol ]
countryName = match # Must match 'NO'
stateOrProvinceName = optional # Included if present
localityName = optional # Included if present
organizationName = match # Must match 'Green AS'
organizationalUnitName = optional # Included if present
commonName = supplied # Must be present

[ any_pol ]
domainComponent = optional
countryName = optional
stateOrProvinceName = optional
localityName = optional
organizationName = optional
organizationalUnitName = optional
commonName = optional
emailAddress = optional

# Extensions
[ ca_ext ]
keyUsage = critical,keyCertSign,cRLSign
basicConstraints = critical,CA:true,pathlen:0
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid:always
authorityInfoAccess = @issuer_info
crlDistributionPoints = @crl_info

[ client_ext ]
keyUsage = critical,digitalSignature
basicConstraints = CA:false
extendedKeyUsage = clientAuth
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid:always
authorityInfoAccess = @issuer_info
crlDistributionPoints = @crl_info

[ crl_ext ]
authorityKeyIdentifier = keyid:always
authorityInfoAccess = @issuer_info

[ issuer_info ]
caIssuers;URI.0 = $aia_url

[ crl_info ]
URI.0 = $crl_url

client.conf
# TLS client certificate request

[ req ]
default_bits = 2048 # RSA key size
#encrypt_key = yes # Protect private key
default_md = sha1 # MD to use
utf8 = yes # Input is UTF-8
string_mask = utf8only # Emit UTF-8 strings
prompt = yes # Prompt for DN
distinguished_name = client_dn # DN template
req_extensions = client_reqext # Desired extensions

[ client_dn ]
countryName = "1. Country Name (2 letters) "
countryName_max = 2
countryName_default = NL
stateOrProvinceName = "2. State or Province Name "
stateOrProvinceName_default = Oirschot
localityName = "3. Locality Name "
organizationName = "4. Organization Name "
organizationName_default= Frotmail.nl
organizationalUnitName = "5. Organizational Unit Name "
organizationalUnitName_default = ClientSSL
commonName = "6. Common Name (Username) "
commonName_max = 64
#emailAddress = "7. Email Address (eg, name@fqdn)"
#emailAddress_max = 40

[ client_reqext ]
keyUsage = critical,digitalSignature
extendedKeyUsage = clientAuth
subjectKeyIdentifier = hash

=Commands=
Create directories
mkdir -p newcerts

Create database
touch $ca.db
touch $ca.db.attr
echo 01 > $ca.crt.srl
echo 01 > $ca.crl.srl

Create CA request
openssl req -new \
-config rootca.conf \
-out $ca.csr \
-keyout $ca.key
We create a private key and a CSR for the TLS CA. The configuration is taken from the [req] section of the TLS CA
configuration file.

Create CA certificate
openssl ca -selfsign \
-config rootca.conf \
-in $ca.csr \
-out $ca.crt \
-extensions signing_ca_ext
We use the root CA to issue the TLS CA certificate.

Create initial CRL
openssl ca -gencrl \
-config ca.conf \
-out $ca.crl
We create an empty CRL.

=client=
#!/bin/bash
if [ -z "$1" ]
then
echo "Usage: $0 [username]"
else
rm $1.*
openssl genrsa -out $1.key 2048
openssl req -new -config client.conf -out $1.csr -key $1.key
openssl ca -config rootca.conf -in $1.csr -out $1.crt -extensions client_ext
openssl pkcs12 -export -inkey $1.key -in $1.crt -out $1.pfx
rm $1.csr
rm $1.key
rm $1.crt
fi

Network Analysis

2022-04-05T09:36:29Z

Eric: Created page with "=Netwerk analyse= ==tcpdump== Met TCPdump maken we een dump van het verkeer naar disk: tcpdump -w filename.pcap ==tcpdstat== http://frotmail.nl/tools/tcpdstat-uw.tar.gz mirror http://staff.washington.edu/dittrich/talks/core02/tools/tools.html Original site Deze tool stelt ons in staat om statistieken van de pcap file uit te lezen: root@testd00s:/home/eric# tcpdstat test.pcap DumpFile: test.pcap FileSize: 441.91MB pcap_dispatch:truncated dump file; tried..."

=Netwerk analyse=
==tcpdump==
Met TCPdump maken we een dump van het verkeer naar disk:
tcpdump -w filename.pcap

==tcpdstat==
[[http://frotmail.nl/tools/tcpdstat-uw.tar.gz mirror]] [[http://staff.washington.edu/dittrich/talks/core02/tools/tools.html Original site]]
Deze tool stelt ons in staat om statistieken van de pcap file uit te lezen:
root@testd00s:/home/eric# tcpdstat test.pcap

DumpFile: test.pcap
FileSize: 441.91MB
pcap_dispatch:truncated dump file; tried to read 142 captured bytes, only got 8
Id: 201109020808
StartTime: Fri Sep 2 08:08:01 2011
EndTime: Fri Sep 2 09:14:24 2011
TotalTime: 3983.05 seconds
TotalCapSize: 435.54MB CapLen: 49298 bytes
# of packets: 417725 (435.54MB)
AvgRate: 918.42Kbps stddev:7963.55K PeakRate: 98.10Mbps

### IP flow (unique src/dst pair) Information ###
# of flows: 282 (avg. 1481.29 pkts/flow)
Top 10 big flow size (bytes/total in %):
68.8% 22.1% 3.9% 0.7% 0.5% 0.4% 0.3% 0.3% 0.1% 0.1%

### IP address Information ###
# of IPv4 addresses: 147
Top 10 bandwidth usage (bytes/total in %):
99.9% 91.1% 4.0% 0.9% 0.5% 0.5% 0.3% 0.2% 0.1% 0.1%
### Packet Size Distribution (including MAC headers) ###
<<<<
[ 32- 63]: 3811
[ 64- 127]: 161765
[ 128- 255]: 13197
[ 256- 511]: 1445
[ 512- 1023]: 2039
[ 1024- 2047]: 227130
[ 2048- 4095]: 1818
[ 4096- 8191]: 1034
[ 8192-16383]: 3393
[16384-32767]: 2058
[32768-65535]: 35
>>>>

### Protocol Breakdown ###
<<<<
protocol packets bytes bytes/pkt
------------------------------------------------------------------------
[0] total 417725 (100.00%) 456692736 (100.00%) 1093.29
[1] ip 408445 ( 97.78%) 455856868 ( 99.82%) 1116.08
[2] tcp 390934 ( 93.59%) 451225115 ( 98.80%) 1154.22
[3] ssh 104 ( 0.02%) 193406 ( 0.04%) 1859.67
[3] http(s) 261759 ( 62.66%) 346302456 ( 75.83%) 1322.98
[3] http(c) 125881 ( 30.13%) 103320254 ( 22.62%) 820.78
[3] https 3190 ( 0.76%) 1408999 ( 0.31%) 441.69
[2] udp 17445 ( 4.18%) 4627793 ( 1.01%) 265.28
[3] dns 32 ( 0.01%) 3119 ( 0.00%) 97.47
[3] netb-ns 2815 ( 0.67%) 260114 ( 0.06%) 92.40
[3] netb-se 74 ( 0.02%) 17555 ( 0.00%) 237.23
[3] mcast 492 ( 0.12%) 61621 ( 0.01%) 125.25
[3] other 14032 ( 3.36%) 4285384 ( 0.94%) 305.40
[2] igmp 66 ( 0.02%) 3960 ( 0.00%) 60.00
>>>>
==EtherApe==
Deze tool kan grafisch weergeven waar verbindingen naartoe lopen en hoeveel data deze verwerken.

Netflow on Linux

2022-04-05T09:35:31Z

Eric: Created page with "=Inleiding= Soms is het handig om Netflow informatie te kunnen uitlezen van verbindingen waarbij de apparatuur dit niet ondersteund. Een voorbeeld hiervan is een lijn van een derde partij welke in een Cisco 3750 is geprikt. De Cisco 3750 ondersteund geen netflow maar toch willen we weten wat de grootverbruiker is van deze verbinding. =Promiscuous Mode traffic ACCountant= Onder Ubuntu kan je deze eenvoudig installeren met apt-get install pmacct Vervolgens rest je all..."

=Inleiding=
Soms is het handig om Netflow informatie te kunnen uitlezen van verbindingen waarbij de apparatuur dit niet ondersteund. Een voorbeeld hiervan is een lijn van een derde partij welke in een Cisco 3750 is geprikt. De Cisco 3750 ondersteund geen netflow maar toch willen we weten wat de grootverbruiker is van deze verbinding.

=Promiscuous Mode traffic ACCountant=
Onder Ubuntu kan je deze eenvoudig installeren met

apt-get install pmacct

Vervolgens rest je alleen nog het configureren van deze daemon.

=Voorbeeld configuratie=
/etc/pmacct/pmacctd.conf
daemonize: true
pidfile: /var/run/pmacctd.pid
syslog: daemon
aggregate: src_host, dst_host, src_port, dst_port, proto, tos, vlan
interface: eth1
plugins: nfprobe
nfprobe_receiver: 10.0.0.10:2055
nfprobe_version: 9

=Inrichting=
Tenslotte zal je er nog voor moeten zorgen dat het systeem intressante informatie ontvangt op zijn eth1. Immers we willen de lijnbelasting bekijken van een bestaande lijn.

De makkelijkste manier hiervoor is om een monitor sessie aan te maken op een Cisco Switch (andere switch fabrikanten noemen dit vaak port replication, port mirroring enz.)

Voor een Cisco Switch voer je hier uit:
monitor session 1 source interface Gi1/0/1
monitor session 1 destination interface Gi1/0/2

In dit voorbeeld zal een bestaande verbinding op Gi1/0/1 worden gerepliceerd naar Gi1/0/2, hierin prikken we dus onze eth1.

Het is belangrijk dat de Ubuntu machine op eth0 normaal in het netwerk is geplaatst, anders zal de netflow informatie niet afgeleverd kunnen worden.

Net-SNMP

2022-04-05T09:35:05Z

Eric: Created page with "=Pollen of Traps?= Ik heb in het verleden SNMP eigenlijk alleen gebruikt om met behulp van polling eenvoudig statistieken te verzamelen van verschillende hosts. Cacti ging dan iedere 5 minuten alle hosts af om informatie te verzamelen en dit komt dan in een leuk grafiekje. Het begrip SNMP TRAP had ik al verschillende malen voorbij zien komen maar het zei me niets. Ik had het niet nodig om Cacti werkend te krijgen dus wat maakt het uit??? Nu hadden we een paar weken gel..."

=Pollen of Traps?=
Ik heb in het verleden SNMP eigenlijk alleen gebruikt om met behulp van polling eenvoudig statistieken te verzamelen van verschillende hosts. Cacti ging dan iedere 5 minuten alle hosts af om informatie te verzamelen en dit komt dan in een leuk grafiekje.

Het begrip SNMP TRAP had ik al verschillende malen voorbij zien komen maar het zei me niets. Ik had het niet nodig om Cacti werkend te krijgen dus wat maakt het uit???

Nu hadden we een paar weken geleden het probleem dat een proces niet meer draaide, hierdoor kwam mail niet door en kregen we ook geen alert. Dit probleem is lastig om te tackelen met een custom script, want hoe stuur je een alert uit als je mail plat ligt?

Het antwoord in deze situatie lag bij de SNMP Traps. Op deze manier laat je de SNMP daemon actief bepaalde zaken monitoren (daarvoor is hij tenslotte gemaakt) en indien er een ingestelde grens wordt overschreden stuurt hij via UDP een bericht naar de SNMP Trap HOST. In onze situatie laat ik de productie servers een Trap bericht genereren naar mijn server thuis. Deze draait een onafhankelijke mailserver waarop dan de alerts worden gemaild naar bijvoorbeeld mijn telefoon.

=SNMPv3=
Stop service
service snmpd stop
Create the SNMP user and password:
net-snmp-config --create-snmpv3-user -ro -a PASSWORD -X AES -A SHA USERNAME
This creates an SNMPv3 user called USERNAME that has read only access (-ro) authenticated (-a) access with a PASSWORD using AES for encryption (-X) and SHA for your hashes (-A).

Edit /etc/snmp/snmpd.conf and change rouser USERNAME to rouser USERNAME priv, this forces encryption for all traffic.

Start Service
service snmpd start

Test:
snmpwalk -v 3 -l authPriv -a sha -A PASSWORD -x AES -X PASSWORD -u USERNAME localhost

=Configuatie SNMPD=
De volgende extra regels heb ik aan de snmpd.conf toegevoegd:

rouser public noauth
agentSecName public
authtrapenable 1
trapcommunity public
trap2sink home.trapsink.lan
defaultMonitors yes

load 15 10 7
proc amavisd
proc mysqld_safe
disk / 20%
disk /home 20%

monitor -r 60 -o prNames -o prErrMessage "procTable" prErrorFlag != 0

Op deze manier monitoren we 5 items, 2 gemounte partities, de load en 2 processen. Indien de load over de grens gaat (15 bij 1 min avg, 10 bij 5 min avg of 7 bij 15 min avg), de processen niet meer draaien, of 1 van de volumes minder dan 20% ruimte heeft zal hij een Trap sturen naar 'home.trapsink.lan'

De onderste regel beschrijft de monitor welke de processen in de gaten houd, door deze regel controleerd hij ze iedere 60 sec. De default is namelijk 10 minuten wat vrij lang is in mijn ogen...

=Config snmptrapd=

MySQL Replicatie

2022-04-05T09:34:33Z

Eric: Created page with "=Setup Master Server= You'll need this in your my.cnf on your server: log-bin server-id = 1 log bin turns on logging and server-id (which must be unique on your network) is requried for replication to work. I made the master in this case #1. Then, setup the replication user (assumes you're running mysql 4. mysql> GRANT REPLICATION SLAVE ON *.* TO repl@"%" IDENTIFIED '<password>'; restart your mysql server, if necessary do a: Get a snapshot of current data fo..."

=Setup Master Server=
You'll need this in your my.cnf on your server:
log-bin
server-id = 1

log bin turns on logging and server-id (which must be unique on your network) is requried for replication to work. I made the master in this case #1.

Then, setup the replication user (assumes you're running mysql 4.

mysql> GRANT REPLICATION SLAVE ON *.* TO repl@"%" IDENTIFIED '<password>';

restart your mysql server, if necessary do a:

Get a snapshot of current data for the slave
after restarting with log-bin enabled, tar up your /var/lib/mysql databases that you are going to want to replicate and copy them over to the slave. i replicated all but the 'mysql' database.

If you are using MyISAM tables, flush all the tables and block write queries by executing FLUSH TABLES WITH READ LOCK command.

mysql> FLUSH TABLES WITH READ LOCK;

tar -cvf /tmp/mysql-snapshot.tar /path/to/data-dir

then, on your master, do a

mysql > SHOW MASTER STATUS;

and note the 'File' name and the 'Position' number

then you can allow writes again on your master by doing an

unlock tables

=Setup the slave server=

add server-id to the my.cnf file
(other things i added to my.cnf:

log-bin
server-id = 2

Optionally:

log-slave-updates
log-warnings
replicate-ignore-db=mysql

restart the mysqld
then:

mysql> CHANGE MASTER TO MASTER_HOST='<master host name>',
MASTER_USER='<replication user name>',
MASTER_PASSWORD='<replication password>',
MASTER_LOG_FILE='<recorded log file name>',
MASTER_LOG_POS=<recorded log offset>;

replacing the values in <> with the actual values relevant to your system.
Start the slave threads:

mysql> START SLAVE;

Once a slave is replicating, you will find a file called `master.info' and one called `relay-log.info' in the data directory. These two files are used by the slave to keep track of how much of the master's binary log it has processed. Do not remove or edit these files, unless you really know what you are doing. Even in that case, it is preferred that you use CHANGE MASTER TO command. NOTE : the content of `master.info' overrides some options specified on the command-line or in `my.cnf'

=Copy crap=
Comment
Discussion icon some real world scenarios
Posted by: sjwillis at 2004-01-05

.3 is my slave .6 is my master

so, on .6 i:

find -type d -maxdepth 1 > 6_dbase_listing

then flush with read lock, then i edit that file to remove the . and the mysql lines

tar -cvpf /usr/src/dbases.tar -T 6_dbase_listing,

then i grab the master info (file name, position) and unlock tables then i scp that tarball over to the master and

run a shell script called setup_replication.sql which populates the master.info file

then untar the tarball and restart the slave

Mikrotik Power Consumption

2022-04-05T09:33:57Z

Eric: Created page with "{| border="1" | | '''Model''' || '''Power Consumption (W) @ 12v''' || '''# Ports Online''' || '''Misc''' |- | RB951G-2HnD || 2.7 - 3 || 2 || WiFi on |- | RBwAP2nD || 1 || 1 || WiFi on |- | CRS305-1G-4S+IN || 4.3 || 1 || No SFP modules |- | CRS305-1G-4S+IN || 6.15 || 3 || 2x GLC-T |- | CRS305-1G-4S+IN || 5.36 || 3 || 2x SFP-10G-SR |- | CRS305-1G-4S+IN || 5.72 || 3 || 2x SFP-10G-LR |}"

{| border="1" |
| '''Model''' || '''Power Consumption (W) @ 12v''' || '''# Ports Online''' || '''Misc'''
|-
| RB951G-2HnD || 2.7 - 3 || 2 || WiFi on
|-
| RBwAP2nD || 1 || 1 || WiFi on
|-
| CRS305-1G-4S+IN || 4.3 || 1 || No SFP modules
|-
| CRS305-1G-4S+IN || 6.15 || 3 || 2x GLC-T
|-
| CRS305-1G-4S+IN || 5.36 || 3 || 2x SFP-10G-SR
|-
| CRS305-1G-4S+IN || 5.72 || 3 || 2x SFP-10G-LR
|}

Lab

2022-04-05T09:33:03Z

Eric: Created page with "= Hardware = == Wireless == * 1x AIR-CAP3502I-E-K9 * 2x AIR-CAP2602E-E-K9 * 3x AIR-CAP2602I-E-K9 * 5x AIR-LAP1142N-E-K9 * 3x AIR-AP1131AG-E-K9 == Routers == * 3x c1803 * 5x c1841 == Switches == * 2x ws-c3750e-24td-e * 2x ws-c3750g-24td-e = PDU = DIY PDU (10.4.101.100) 1 c2960g-24t 2 ASA 5505 3 Serial Console Server 4 c800-uplink 5 c2960g-8 6 NC 7 DELL r210 II 8 APC 7921 PDU APC PDU (192.168.38.250) 1 3750g-24t 2 3750g-24t 3 1800 4 1800 5 1800 6 1800..."

= Hardware =
== Wireless ==
* 1x AIR-CAP3502I-E-K9
* 2x AIR-CAP2602E-E-K9
* 3x AIR-CAP2602I-E-K9
* 5x AIR-LAP1142N-E-K9
* 3x AIR-AP1131AG-E-K9

== Routers ==
* 3x c1803
* 5x c1841

== Switches ==
* 2x ws-c3750e-24td-e
* 2x ws-c3750g-24td-e

= PDU =
DIY PDU (10.4.101.100)

1 c2960g-24t
2 ASA 5505
3 Serial Console Server
4 c800-uplink
5 c2960g-8
6 NC
7 DELL r210 II
8 APC 7921 PDU

APC PDU (192.168.38.250)

1 3750g-24t
2 3750g-24t
3 1800
4 1800
5 1800
6 1800
7 1800
8 1800

=Serial Console=
Serial Console Server break sequence: CTRL-D

01 [telnet://192.168.32.22:3001 3750g-24t]
02 [telnet://192.168.32.22:3002 3750g-24t]
03 [telnet://192.168.32.22:3003 1841]
04 [telnet://192.168.32.22:3004 1841]
05 [telnet://192.168.32.22:3005 1841]
06 [telnet://192.168.32.22:3006 1800]
07 [telnet://192.168.32.22:3007 1800]
08 [telnet://192.168.32.22:3008 1800]
09 [telnet://192.168.32.22:3009 c2960g-24]
10 [telnet://192.168.32.22:3010 ASA5505]
11 [telnet://192.168.32.22:3011 c2960g-8]
12 [telnet://192.168.32.22:3012 c800-uplink]
13
14
15
16

=LAB Diagram=

1 +------------+ +------------+ 2
+-----+ | | +-----+
| | c1841-01 | | c1803-01 | |
| +--+ +----+ | +--+ |
| |s +------------+ 0 | +------------+ 1| |
| | | | |
| | | | |
| | | | |
| |s +------------+ | 4 +-------------+ 1 0 +------------+ 1| |
| +--+ | +---+ +--------+ +--+ |
| | c1841-02 | | ASA | | c1803-02 | |
| +--+ +--------+ +---+ | +--+ |
| |1 +------------+ 0 5 +-------------+ 0 | +------------+ s| |
| | | | |
| | | | |
| | | | |
| |0 +------------+ | 0 +------------+ s| |
| +--+ | +----+ +--+ |
| | c1841-03 | | c1803-03 | |
+-----+ | | +-----+
1 +------------+ +------------+ 2

http://asciiflow.com/

Kibana

2022-04-05T09:32:42Z

Eric: Created page with "=Docker= ==Apt-get== apt-get install docker-compose docker adjust sudo joe /etc/sysctl.conf vm.max_map_count=262144 apt-get remove apparmor ==Docker-compose== version: '2' services: kibana: image: kibana:6.7.0 container_name: kibana links: - 'elastic:elasticsearch' ports: - '5601:5601' logstash: image: logstash:6.7.0 container_name: logstash volumes: - /root/docker/logstash/config/:/usr/share/lo..."

=Docker=
==Apt-get==
apt-get install docker-compose docker
adjust
sudo joe /etc/sysctl.conf

vm.max_map_count=262144

apt-get remove apparmor

==Docker-compose==
version: '2'
services:
kibana:
image: kibana:6.7.0
container_name: kibana
links:
- 'elastic:elasticsearch'
ports:
- '5601:5601'
logstash:
image: logstash:6.7.0
container_name: logstash
volumes:
- /root/docker/logstash/config/:/usr/share/logstash/config/
- /root/docker/logstash/patterns/:/usr/share/logstash/patterns/
ports:
- '5000:5000/udp'
command: 'logstash -f /usr/share/logstash/config/'
links:
- elastic
elastic:
image: elasticsearch:6.7.0
container_name: elastic
==Logstash==
touch /root/docker/logstash/config/logstash.yml

/root/docker/logstash/config/syslog.conf
input {
syslog {
port => 5000
type => "rsyslog"
}
udp {
host => "0.0.0.0"
port => "2055"
codec => netflow {
versions => [5, 9]
}
type => "netflow"
}
}
filter {
if [type] == "rsyslog" {
grok {
patterns_dir => ["/usr/share/logstash/patterns/"]
match => { "message" => "%{MIKROTIK}" }
match => { "message" => "%{GREEDYDATA:message}" }
}
}
}
output {
elasticsearch {
hosts => [ "elastic:9200" ]
}
}

/root/docker/logstash/patterns/
MIKROTIK_CAPS1 (?<mac_address>\S+)@(?<device>\S+) (?<action>connected|disconnected), %{GREEDYDATA:reason}
MIKROTIK_CAPS2 (?<mac_address>\S+)@(?<device>\S+) (?<action>connected|disconnected)

# Firewall Log (No NAT):
MIKROTIKFIREWALLNONAT %{DATA:LogChain}: in:%{DATA:src_zone} out:%{DATA:dst_zone}, src-mac %{MAC}, proto %{DATA:proto}, %{IP:src_ip}:%{INT:src_port}->%{IP:dst_ip}:%{INT:dst_port}, len %{INT:length}
## firewall,info TODO forward: in:vlan100-dmz out:vlan10-prod, src-mac 52:54:00:d4:f5:21, proto TCP (RST), 192.168.99.16:443->192.168.38.88:46494, len 40
MIKROTIKFIREWALL (?:%{MIKROTIKFIREWALLNONAT})

#DHCP
MIKROTIKDHCP %{DATA:DHCP_zone} %{WORD:DHCP_state} %{IP:src_ip} (?:from|to) %{MAC:src_mac}

# System Login

MIKROTIKLOGINOUT %{SYSLOGTIMESTAMP:date} MikroTik user %{WORD:user} logged (?:out|in) from %{IP:src_ip} via %{WORD:src_type}
MIKROTIKLOGINFAIL %{SYSLOGTIMESTAMP:date} MikroTik login failure for user %{WORD:user} from %{IP:src_ip} via %{WORD:src_type}

MIKROTIKLOGIN (?:%{MIKROTIKLOGINOUT}|%{MIKROTIKLOGINFAIL})

# Add all the above
MIKROTIK (?:%{MIKROTIKFIREWALL}|%{MIKROTIKDHCP}|%{MIKROTIKLOGIN}|%{MIKROTIK_CAPS1}|%{MIKROTIK_CAPS2})
=Native (oud)=
==Install ELK==
This guide is based on Ubuntu Server 16.04

===APT sources===
wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -
echo "deb https://artifacts.elastic.co/packages/5.x/apt stable main" > /etc/apt/sources.list.d/elastic-5.x.list

===Install packages===
apt update
apt install openjdk-8-jre kibana elasticsearch rsyslog
apt install logstash

==Config RSyslog==
/etc/rsyslog.d/49-remote.conf
if $fromhost-ip startswith '192.168.38.254' then {
action(type="omfwd" template="json-template" target="localhost" port="10514")
}

service rsyslog restart

===LogStash===
Create folders for patterns
mkdir -p /opt/logstash/patterns
chown -R logstash:logstash /opt/logstash

Patterns file

/opt/logstash/patterns/mikrotik
MIKROTIK_DHCP (?<action>assigned|deassigned) %{IP:ip} (?<verb>to|from) (?<mac_address>\S+)
MIKROTIK_CAPS1 (?<mac_address>\S+)@(?<device>\S+) (?<action>connected|disconnected), %{GREEDYDATA:reason}
MIKROTIK_CAPS2 (?<mac_address>\S+)@(?<device>\S+) (?<action>connected|disconnected)

Config

/etc/logstash/conf.d/logstash.conf
input {
udp {
host => "127.0.0.1"
port => 10514
codec => "json"
type => "rsyslog"
}
udp {
host => "0.0.0.0"
port => "2055"
codec => netflow {
versions => [5, 9]
}
type => "netflow"
}
}

# This is an empty filter block. You can later add other filters here to further process
# your log lines

filter {
if [type] == "rsyslog" {
grok {
patterns_dir => ["/opt/logstash/patterns/"]
match => { "message" => "%{MIKROTIK_DHCP}" }
match => { "message" => "%{MIKROTIK_CAPS1}" }
match => { "message" => "%{MIKROTIK_CAPS2}" }
match => { "message" => "%{GREEDYDATA:message}" }
}
}

}

# This output block will send all events of type "rsyslog" to Elasticsearch at the configured
# host and port into daily indices of the pattern, "rsyslog-YYYY.MM.DD"

output {
if [type] == "rsyslog" and "_grokparsefailure" in [tags] {
file { path => "/var/log/logstash/failed_%{+YYYY-MM-dd}" }
}
if [type] == "rsyslog" {
elasticsearch {
hosts => [ "localhost:9200" ]
}
}
if [type] == "netflow" {
elasticsearch {
hosts => [ "localhost:9200" ]
}
}
}

==ElasticSearch==
/etc/init.d/elasticsearch start

==Kibana==
If not only access from localhost is required, edit /etc/kibana/kibana.yml:
server.host: "::"

service kibana start

Now the kibana site should be available at http://[ip]:5601

===Troubleshooting===
* is the correct java version installed?
* Is kibana listening on loopback only?
** netstat -pant | grep 5601
* Is ElasticSearch running?

Docker Swarm

2022-04-05T09:32:04Z

Eric: Created page with "= GlusterFS = Install sudo apt install glusterfs-server sudo systemctl start glusterd.service Add peer sudo gluster peer probe docker-pi-b Create Volume gluster volume create gv0 replica 2 docker-pi-a:/opt/brick docker-pi-b:/opt/brick gluster volume create gv0 replica 2 docker-pi-a:/opt/brick docker-pi-b:/opt/brick force gluster volume start gv0 Mount volume mount -t glusterfs docker-pi-a:/gv0 /mnt/gv0/ = VRRP = Install keepalived sudo apt install keepalived..."

= GlusterFS =
Install
sudo apt install glusterfs-server
sudo systemctl start glusterd.service
Add peer
sudo gluster peer probe docker-pi-b

Create Volume
gluster volume create gv0 replica 2 docker-pi-a:/opt/brick docker-pi-b:/opt/brick
gluster volume create gv0 replica 2 docker-pi-a:/opt/brick docker-pi-b:/opt/brick force
gluster volume start gv0

Mount volume
mount -t glusterfs docker-pi-a:/gv0 /mnt/gv0/

= VRRP =
Install keepalived
sudo apt install keepalived
Configure keepalived
cd /etc/keepalived/
sudo joe keepalived.conf
/etc/keepalived/keepalived.conf @ master node
vrrp_instance vrrp_a {
interface wlan0
state MASTER
virtual_router_id 133
priority 101
authentication {
auth_type AH
auth_pass pass
}
virtual_ipaddress {
192.168.38.38
}
}
/etc/keepalived/keepalived.conf @ backup node
vrrp_instance vrrp_a {
interface wlan0
state BACKUP
virtual_router_id 133
priority 100
authentication {
auth_type AH
auth_pass pass
}
virtual_ipaddress {
192.168.38.38
}
}
Start VRRP:
sudo service keepalived start

=Swarm=
== Install Docker ==
echo "deb [arch=armhf] https://download.docker.com/linux/debian \
$(lsb_release -cs) stable" | sudo tee /etc/apt/sources.list.d/docker.list
curl -fsSL https://download.docker.com/linux/debian/gpg | sudo apt-key add -
sudo apt install --no-install-recommends docker-ce
sudo usermod -a -G docker pi

== Create Swarm ==
Node A:
docker swarm init
docker swarm join-token manager

Node B:
docker swarm join --token *token* 192.168.38.85:2377

== Create stack for Traefik ==
Node:
docker network create --driver overlay --attachable backend
docker network create --ingress --driver overlay pub

docker stack deploy -c traefik.yml traefik

traefik.yml:
version: "3.4"
services:
traefik:
image: traefik:latest
command:
- "--docker"
- "--docker.swarmmode"
- "--docker.watch"
- "--web"
volumes:
- type: bind
source: /var/run/docker.sock
target: /var/run/docker.sock

networks:
- "backend"
ports:
- "80:80"
- "8080:8080"
- "443:443"
deploy:
replicas: 2
placement:
constraints:
- node.role == manager
restart_policy:
condition: on-failure

networks:
backend:
external: true

Client-SSL

2022-04-05T09:30:58Z

Eric: Created page with " <VirtualHost *:443> ServerAdmin webmaster@localhost ServerAlias ssl.frotmail.nl ServerName ssl.frotmail.nl DocumentRoot /srv/www/ssl <Directory /> Options FollowSymLinks AllowOverride None </Directory> ErrorLog /var/log/apache2/error.log CustomLog /var/log/apache2/ssl_access.log combined SSLEngine on SSLCertificateFile /etc/ssl/wildcard.frotmail.pem SS..."

<VirtualHost *:443>
ServerAdmin webmaster@localhost
ServerAlias ssl.frotmail.nl
ServerName ssl.frotmail.nl
DocumentRoot /srv/www/ssl
<Directory />
Options FollowSymLinks
AllowOverride None
</Directory>
ErrorLog /var/log/apache2/error.log
CustomLog /var/log/apache2/ssl_access.log combined
SSLEngine on
SSLCertificateFile /etc/ssl/wildcard.frotmail.pem
SSLCertificateKeyFile /etc/ssl/server.key
SSLCertificateChainFile /etc/ssl/root.pem
SSLCARevocationCheck chain
SSLVerifyClient optional
SSLVerifyDepth 2
SSLOptions +StdEnvVars
SSLCACertificateFile /srv/www/ssl/http/Frotmail.nl-ClientSSL.cer
SSLCADNRequestFile /srv/www/ssl/http/Frotmail.nl-ClientSSL.cer
SSLCARevocationFile /srv/www/ssl/http/Frotmail.nl-ClientSSL.crl
BrowserMatch "MSIE [2-6]" \
nokeepalive ssl-unclean-shutdown \
downgrade-1.0 force-response-1.0
BrowserMatch "MSIE [17-9]" ssl-unclean-shutdown
</VirtualHost>

Certificate Templates

2022-04-05T09:29:58Z

Eric: Created page with "Bijzonderheden met betrekking tot Microsoft Certificate Services Wanneer, bij een aanvraag, de juiste certificaat templates niet zichtbaar zijn kunnen er verschillende zaken spelen: =Template niet ingeschakeld= Door te kijken welke certificaat templates zijn ingeschakeld kan het probleem mogelijk al gevonden zijn: C:\Users\Administrator>certutil -catemplates RASAndIASServer: RAS and IAS Server -- Auto-Enroll: Access is denied. DirectoryEmailReplication: Directory Ema..."

Bijzonderheden met betrekking tot Microsoft Certificate Services

Wanneer, bij een aanvraag, de juiste certificaat templates niet zichtbaar zijn kunnen er verschillende zaken spelen:
=Template niet ingeschakeld=
Door te kijken welke certificaat templates zijn ingeschakeld kan het probleem mogelijk al gevonden zijn:
C:\Users\Administrator>certutil -catemplates
RASAndIASServer: RAS and IAS Server -- Auto-Enroll: Access is denied.
DirectoryEmailReplication: Directory Email Replication -- Auto-Enroll: Access is
denied.
DomainControllerAuthentication: Domain Controller Authentication -- Auto-Enroll:
Access is denied.
EFSRecovery: EFS Recovery Agent -- Auto-Enroll: Access is denied.
EFS: Basic EFS -- Auto-Enroll: Access is denied.
DomainController: Domain Controller -- Auto-Enroll: Access is denied.
WebServer: Web Server -- Auto-Enroll: Access is denied.
Machine: Computer -- Auto-Enroll: Access is denied.
User: User -- Auto-Enroll: Access is denied.
SubCA: Subordinate Certification Authority -- Auto-Enroll: Access is denied.
Administrator: Administrator -- Auto-Enroll: Access is denied.
CertUtil: -CATemplates command completed successfully.

Als het template dat je verwacht niet niet actief is kan hier mogelijk een oorzaak liggen

templates verwijderen doe je met de -

C:\Users\Administrator>certutil -SetCATemplates -EFS
EFS: Removing
CertUtil: -SetCATemplates command completed successfully.

en toevoegen met de +

C:\Users\Administrator>certutil -SetCATemplates +EFS
EFS: Adding
CertUtil: -SetCATemplates command completed successfully.

=Rechten=
In het geval waar ik tegen dit probleem aan liep was er sprake van een domain trust tussen een root en child domain. Omdat het template alleen rechten had toegekend aan een bepaalde groep moesten deze rechten worden aangepast zodat ook de groep van het child domain rechten kreeg.

=Template opties icm web enrollment=
Indien je via web enrollment een bepaalde template niet ziet kan dit worden opgelost door te kijken naar het tabje '''subject-name''' en daar 'Build from this Active Directory information' om te zetten naar 'Supply in the request'

=Aanvraag via IIS=
http://sr-4015.vitens.lan/certsrv/

Daar kan je dan ook je certificaat ophalen nadat hij is geissued

=Aanvraag via MMC=

Unless you have enabled the certificate template to
enable autoenrollment, the user is not notified of
issuance in the Certificates MMC console.

It is recommended to request pended certificates via the
Web enrollment Web pages, as they implement a cookie so
that the client can track the status of the pending
certificate request.

You still can complete the request at the client
computer, if you look up the request ID at the CA.
Once the request ID is known, the user must type the
following commands (assuming you are running Windows XP
at the client)

certreq -retrieve <requestID> <certfile.cer>

This retrieve the issued certificate for requestID into
the file certfile.cer

Then the user must type:
certreq -accept <certfile.cer>

This place the certificate into the current user's store
and associates the certificate with the key pair
generated when the request was submitted to the CA.
[[Category:Documentatie]]

CNC

2022-04-05T09:29:30Z

Eric: Created page with "=Apparaat= De CNC machine is van het type 3018 wat zoveel betekend als: * X As is 30cm lang * Y As is 18cm lang De hoogte is ook beperkt, om over het object heen te kunnen mag het niet hoger zijn dan ~30-35mm =Inschakelen= Aan de CNC machine zitten 2 stekkers: * De 12v/24v adapter van de machine zelf * De USB voeding voor de Raspberry PI Steek eerst de voeding van de Raspberry PI in het stopcontact gevolgd door de voeding van de CNC machine zelf. Wanneer de Raspberr..."

=Apparaat=
De CNC machine is van het type 3018 wat zoveel betekend als:
* X As is 30cm lang
* Y As is 18cm lang

De hoogte is ook beperkt, om over het object heen te kunnen mag het niet hoger zijn dan ~30-35mm

=Inschakelen=
Aan de CNC machine zitten 2 stekkers:
* De 12v/24v adapter van de machine zelf
* De USB voeding voor de Raspberry PI

Steek eerst de voeding van de Raspberry PI in het stopcontact gevolgd door de voeding van de CNC machine zelf.

Wanneer de Raspberry PI is opgestart is de CNC webinterface bereikbaar op:
* [http://10.4.10.153:8000 http://10.4.10.153:8000]

=Graveren van letters=
Voor het veilig graveren van letters met een 1.5mm bit zijn de volgende snelheden een goede basis:
* feeds: 200mm/min
* plunge speed: 200mm/min
* RPM: 9000 of meer (max speed)
* Diepte per pass: 0.7mm

=Ontwerpen=
Voor eenvoudige ontwerpen kan je Easel gebruiken van "Inventables". Dit is een online product waarvan de basis gratis is te gebruiken.
Een account is nodig en hier kan je de GCODE exporteren om op de CNC uit te voeren.

Een alternatief is om FreeCAD te gebruiken. Dit is een gratis en opensource pakket welke voor zowel Windows als Linux verkrijgbaar is. Het gebruik van deze software is een stuk complexer maar dit biedt dan ook meer mogelijkheden.

De drempel om FreeCAD te gebruiken is vrij hoog dus voor eenvoudige klussen is Easel de betere optie.

=Bevestigen van de 'stock'=
In het Engels wordt het materiaal waaruit je het project gaat frezen vaak de 'stock' genoemd.

Omdat de frees aardig wat krachten kan uitoefenen op de 'stock' is het belangrijk dat deze goed is bevestigd aan het 'bed'.
Je wil tenslotte niet dat halverwege het project, je object verschuift of zelfs helemaal los komt.

Bij de frees zitten een 4-tal klemmen waarmee bijna alles wel vast te zetten is. Er zijn alternatieven maar deze zijn nog niet voorhanden.

=Nul punt bepalen=
Normaal zoek je de 0,0,0 (x,y,z) coordinaten op en stel je de machine hier op 0 in.
Belangrijk is het volgende:
* Easel: Z = 0 is bovenkant van je object
* FreeCAD: Z = 0 is onderkant van het object (!!!!!)

Let er dus op dat je frees niet vol in je object duikt omdat hij denkt dat 0 aan de 'verkeerde' kant is!!!

Het apparaat is '''NIET''' in staat zelf te bepalen waar de frees is. Dit dien je handmatig in te stellen. Het is dus ook van groot belang dat je controleerd dat de frees zich nooit buiten het werkbereik kan verplaatsen!!!

Zorg ook dat het 0,0,0 punt vrij is van obstakels, zo voorkom je dat de frees na zijn project vol in de klem duikt en het bitje afbreekt.

Als je het 0 punt hebt gevonden kan je met de pijltjes rustig deze positie instellen daar alle assen op 0 klikken.

Avocent CPS1610 Serial Console Server

2022-04-05T09:28:31Z

Eric:

=Toegang=
Poort 30xx waarbij xx het poortnummer is, is de telnet ingang van iedere poort, SSH zit op 31xx

=Bekabeling=
De volgende kabel kan gebruikt worden om Cisco apparatuur op de console aan te sluiten.

Let op: De kabel is niet symetrisch dus kan maar op 1 manier worden gebruikt.

Cisco HP
1
2 DTR -> DSR 2
3 TxD -> RxD 4
4
5 GND -> GND 6
6 RxD -> TxD 5
7 DSR -> DTR 7
8

=Configuratie=
Een Cisco device geeft standaard een enter teveel waardoor steeds een lege prompt verschijnt:

User Access Verification

Username: admin
Password:

cisco>
cisco>en
Password:
cisco#
cisco#sh ip int brief
Interface IP-Address OK? Method Status Protocol
FastEthernet0/0 unassigned YES NVRAM up up
FastEthernet0/1 unassigned YES NVRAM up up
cisco#
cisco#

Door de poort uitgaande CRLF's te laten omzetten naar CR ben je hier vanaf:
> port all set OUT CRLF=CR
HPSCS Database is being updated, please wait... Done.

Nu krijgen we:
User Access Verification

Username: admin
Password:

cisco>en
Password:
cisco#sh ip int brief
Interface IP-Address OK? Method Status Protocol
FastEthernet0/0 unassigned YES NVRAM up up
FastEthernet0/1 unassigned YES NVRAM up up
cisco#

=Info=
[http://www.42u.com/pdf/avocent-cps-install-user-guide.pdf Handleiding]
=Cisco compatible CR/LF=
Instellingen voor de poorten:
port all set out lf=strip
port all set in cr=cr (default)
port all set in lf=lf (default)
port all set out cr=cr (default)

Cisco kabel

Cisco CPS
NC NC
2 --------- 2 2->2
3 ---\ NC
NC \---- 4 3->4
5 ----\/--- 5 5->6
6 ----/\--- 6 6->5
7 --------- 7 7->7
NC NC

Avocent CPS1610 Serial Console Server

2022-04-05T09:28:00Z

Eric: Created page with "=Toegang= Poort 30xx waarbij xx het poortnummer is, is de telnet ingang van iedere poort, SSH zit op 31xx =Bekabeling= De volgende kabel kan gebruikt worden om Cisco apparatuur op de console aan te sluiten. Let op: De kabel is niet symetrisch dus kan maar op 1 manier worden gebruikt. Cisco HP 1 2 DTR -> DSR 2 3 TxD -> RxD 4 4 5 GND -> GND 6 6 RxD -> TxD 5 7 DSR -> DTR 7 8 =Configuratie= Een Cisco device geeft standa..."

802.1x

2022-04-05T09:27:34Z

Eric: Created page with "=Cisco CAT Switches= When configured as a fallback mechanisms, MAB is deployed after IEEE 802.1X times out. If the endpoint's Pre-eXecution Environment (PXE) process times out, or if Dynamic Host Configuration Protocol (DHCP) gets deep into the exponential backoff process before the timeout occurs, the endpoint may not be able to communicate even though the port has been opened. To the end user, it will appear as if network access has been denied. There are three potent..."

=Cisco CAT Switches=

When configured as a fallback mechanisms, MAB is deployed after IEEE 802.1X times out. If the endpoint's Pre-eXecution Environment (PXE) process times out, or if Dynamic Host Configuration Protocol (DHCP) gets deep into the exponential backoff process before the timeout occurs, the endpoint may not be able to communicate even though the port has been opened. To the end user, it will appear as if network access has been denied. There are three potential solutions to this problem:
* Decrease the IEEE 802.1X timeout value. See Section 2.4.1.1.1 for more information about relevant timers.

* Use a low-impact deployment scenario that allows time-critical traffic such as DHCP prior to authentication. See Section 4 for additional reading about deployment scenarios.

* If your network has many non-IEEE 802.1X-capable endpoints that need instantaneous access to the network, you can use the Flexible Authentication feature set that allows you to configure the order and priority of authentication methods. Instead of waiting for IEEE 802.1X to time out before performing MAB, you can configure the switch to perform MAB first and fallback to IEEE 802.1X only if MAB fails. See Section 4 for additional reading about Flexible Authentication.

== MAB Prio / order ==
[[https://www.cisco.com/c/en/us/products/collateral/ios-nx-os-software/identity-based-networking-services/config_guide_c17-663759.html]]

By default gaat de switch eerst naar dot1x kijken en pas na deze timeout (30 sec x3) komt MAB aan bod. Het is mogelijk om deze volgorde aan te passen.

If no fallback authentication or authorization methods are configured, the switch will stop the authentication process and the port will remain unauthorized. You can configure the switch to restart authentication after a failed MAB attempt by configuring authentication timer restart on the interface. Enabling this timer means that unknown MAC addresses will periodically fail authentication until the endpoint disconnects from the switch or the address gets added to a MAC database. To prevent the unnecessary control-plane traffic associated with restarting failed MAB sessions, Cisco generally recommends leaving authentication timer restart disabled.

Inactivity timer zorgt ervoor dat sessies worden opgeruimd wanneer een link-down scenario niet waarschijnlijk is (VoIP toestel of hub enz). Deze timer kan je static instellen op de switchport of middels radius attribute 28 vanuit ISE opgeven.

Een andere relevante timer is de reauthentication timer. Maar deze doet niets in het geval van MAB:

The reauthentication timer for MAB is the same as for IEEE 802.1X. The timer can be statically configured on the switch port, or it can be dynamically assigned by sending the Session-Timeout attribute (Attribute 27) and the RADIUS Termination-Action attribute (Attribute 29) with a value of RADIUS-Request in the Access-Accept message from the RADIUS server. For IEEE 802.1X endpoints, the reauthentication timer is sometimes used as a keepalive mechanism. This feature does not work for MAB. Upon MAB reauthentication, the switch does not relearn the MAC address of the connected endpoint or verify that the endpoint is still active; it simply sends the previously learned MAC address to the RADIUS server. Essentially, a null operation is performed.

Tenslotte is er ook nog een absolute session timer:
The absolute session timer can be used to terminate a MAB session, regardless of whether the authenticated endpoint remains connected. The session timer uses the same RADIUS Session-Timeout attribute (Attribute 27) as the server-based reauthentication timer described earlier with the RADIUS Termination-Action attribute (Attribute 29) set to Default. The switch will terminate the session after the number of seconds specified by the Session-Timeout Attribute and immediately restart authentication. If IEEE 802.1X is configured, the switch will start over with IEEE 802.1X, and network connectivity will be disrupted until IEEE 802.1X times out and MAB succeeds. This process can result in significant network outage for MAB endpoints. As an alternative to absolute session timeout, consider configuring an inactivity timeout as described in Section 2.2.6.3.

[[https://www.cisco.com/c/en/us/products/collateral/ios-nx-os-software/identity-based-networking-service/application_note_c27-573287.html]]
===MAB before 802.1x===
authentication order mab dot1x
authentication prio mab dot1x
Make sure that all devices that perform IEEE 802.1X authentication are not in your MAC address database and that your policy never returns an access-accept event for unknown MAC addresses. IEEE 802.1X devices must fail MAB if they are to perform IEEE 802.1X authentication. As a consequence, many MAB failure records will be generated in the course of normal operation.
* Use next-method for IEEE 802.1X failure handing only if local WebAuth is configured.
* If the next method is not local WebAuth, the only option for granting access after IEEE 802.1X authentication failure is the auth-fail VLAN.

===MAB before 802.1x with dot1x as prio===
authentication order mab dot1x
authentication prio dot1x mab
In summary, three points to remember if MAB precedes IEEE 802.1X authentication in order but IEEE 802.1X authentication has priority:
* IEEE 802.1X-capable endpoints can be in the MAC address database.

* Using next-method for IEEE 802.1X authentication failure handling without local WebAuth can lead to unpredictable behavior and intermittent network access (as described earlier, with MAB cycling to IEEE 802.1X authentication failure).

* For deterministic behavior upon IEEE 802.1X authentication failure after successful MAB, use the auth-fail VLAN or local WebAuth.

'''Conclusion'''

Changing the default order of authentication affects the behavior of the system in multiple ways. Before making this change, be sure to address the concerns described in Table 3.

Table 3. Points to Consider

Effect |Resolution
|
All devices will be subject to MAB |Plan for increased control-plane traffic.
Authentication priority affects MAB |If MAB has priority, IEEE 802.1X-capable devices
|must fail MAB.
|If IEEE 802.1X authentication has priority, IEEE
|802.1X-capable devices may pass or fail MAB.
MAB cannot be used as a next method for |Use next-method with WebAuth or the auth-fail
IEEE 802.1X authentication failures |VLAN

3D Printer

2022-04-05T09:27:08Z

Eric: Created page with "=Keuzes= ==Model== Voorlopig is gekozen voor de [http://reprap.org/wiki/Prusa_i3 Prusa i3] gezien deze redelijke resultaten weet te behalen met relatief lage kosten. =Onderdelen= ==Electronica== '''Optie 1''' {| | '''Onderdeel''' || '''Product''' || '''Prijs''' || '''Bijzonderheden''' |- | Motoren || [http://reprapworld.com/?products_details&products_id=95&cPath=1614 NEMA17] || 57.50 || 1x X 1x Y 2x Z 1x Extruder |- | Controller || [http://reprapworld.com/?products..."

=Keuzes=
==Model==
Voorlopig is gekozen voor de [http://reprap.org/wiki/Prusa_i3 Prusa i3] gezien deze redelijke resultaten weet te behalen met relatief lage kosten.

=Onderdelen=
==Electronica==
'''Optie 1'''
{|
| '''Onderdeel''' || '''Product''' || '''Prijs''' || '''Bijzonderheden'''
|-
| Motoren || [http://reprapworld.com/?products_details&products_id=95&cPath=1614 NEMA17] || 57.50 || 1x X 1x Y 2x Z 1x Extruder
|-
| Controller || [http://reprapworld.com/?products_details&products_id=53&cPath=1591_1609 RAMPS v1.4] || 104.99 || incl 4 drivers en de 2560
|-
| Heated bed || [http://reprapworld.com/?products_details&products_id=358&cPath=1645 Heated bed set] || 30.99 || Inclusief glasplaat
|-
| End stops || [http://reprapworld.com/?products_details&products_id=58&cPath=1591_1612 End stop] || 17.61 || 3x XYZ
|-
| LCD Display + SDRamps || [http://reprapworld.com/?searchresults&cPath=1591_1626 SDRamps] || 33.78 || n.v.t.
|}
'''Optie 2'''
{|
| '''Onderdeel''' || '''Product''' || '''Prijs''' || '''Bijzonderheden'''
|-
| Motoren || [http://reprapworld.com/?products_details&products_id=95&cPath=1614 NEMA17] || 57.50 || 1x X 1x Y 2x Z 1x Extruder
|-
| Kit || [http://dx.com/p/elecfreaks-mega2560-ramps-shield-stepstick-sdramp-diy-3d-printer-ramps-kit-white-red-black-208622 DX Kit] || 143.95 || Import enzo?
|}
==Frame==
{|
| '''Onderdeel''' || '''Product''' || '''Prijs''' || '''Bijzonderheden'''
|-
| Plastics || [http://reprapworld.com/?products_details&products_id=345&cPath=1608 ABS i3] || 49.99 || n.v.t.
|-
| Bearings & Nuts || [http://reprapworld.com/?products_details&products_id=246&cPath=1595_1597 Prusa hw kit] || 24.99 || n.v.t.
|-
| Studs & Bars || [http://reprapworld.com/?products_details&products_id=245&cPath=1595_1638 Studs & Bars] || 39.99 || n.v.t.
|}
==Hotend==
==Extruder==

Main Page

2022-04-05T09:26:39Z

Eric: /* Linux */

Een aantal pagina's waren door spambots vernaggeld dus heb ik hier en daar wat op protected moeten zetten...
Mocht je een pagina aan willen passen welke protected is dan kan je mij mailen op wikiadmin apenootje frotmail.nl

----
=Projecten=
[[Projecten]]

=Crypto=
- [[PKI RSA & SSL]]

=Networking=
* [[Two-factor auth met Google Authenticator]]

==Problems==
* [[Problem:HSRP met Spanning-Tree]]
* [[Problem:Connectivity loss met HSRP]]
* [[Problem:Verkeerde next-hop in OSPF]]

==IPv6==
- [[PowerDNS IPv6]]

==Cisco==
* [[:Category:Cisco]]
* [[ATX to RPS]]

==Linux==
- [[:Category:Docker]]

- [[linux firewall voor IIS2k3 Passive FTP achter nat]]

- [[Mail Related]]

- [[SSH]]

- [[Reboot na kernel panic]]

- [[Apache met ssl]]

- [[MySQL Backup]]

- [[Iproute 2]]

- [[Links]]

== RPI ==

- [[SPI]]

=Windows=

- [[Passive FTP in IIS]]

=Hardware=
- [[Electronica]]

MySQL Backup

2022-04-05T09:26:31Z

Eric: Created page with " #!/bin/bash USERNAME="root" PW="pass" BACKUPDIR=/crew/data/backup DBDIR=/crew/data/backup/DB MYSQLDIR=/var/lib/mysql rm $DBDIR/*.sql `mv $BACKUPDIR/sql.tar.gz $BACKUPDIR/sql.tar.gz.1` `mv $BACKUPDIR/sql.md5 $BACKUPDIR/sql.md5.1` for DB in $MYSQLDIR/*; do DB=`basename $DB` mysqldump -c -e -a -B $DB -u $USERNAME -p$PW > $DBDIR/$DB.sql echo "$DB is dumped..." done tar -zvcf $BACKUPDIR/sql.tar.gz $DBDIR 1> /dev/null rm $DBDIR/*.sql `/usr/bin/md5sum $BACKUPDI..."

#!/bin/bash
USERNAME="root"
PW="pass"
BACKUPDIR=/crew/data/backup
DBDIR=/crew/data/backup/DB
MYSQLDIR=/var/lib/mysql
rm $DBDIR/*.sql
`mv $BACKUPDIR/sql.tar.gz $BACKUPDIR/sql.tar.gz.1`
`mv $BACKUPDIR/sql.md5 $BACKUPDIR/sql.md5.1`
for DB in $MYSQLDIR/*; do
DB=`basename $DB`
mysqldump -c -e -a -B $DB -u $USERNAME -p$PW > $DBDIR/$DB.sql
echo "$DB is dumped..."
done
tar -zvcf $BACKUPDIR/sql.tar.gz $DBDIR 1> /dev/null
rm $DBDIR/*.sql
`/usr/bin/md5sum $BACKUPDIR/sql.tar.gz > $BACKUPDIR/sql.md5`

Reboot na kernel panic

2022-04-05T09:26:16Z

Eric: Created page with "Het is een kleine moeite om in te stellen maar kan soms uren downtime voorkomen. Om de pc in kwestie automatisch te laten rebooten na een kernel panic moet je deze waarde instellen in /proc/sys/kernel/panic. Om de huidige waarde te bekijken typ je: cat /proc/sys/kernel/panic (0 betekend niet rebooten) Om deze waarde te veranderen typ je: echo 10 > /proc/sys/kernel/panic waar 10 het aantal seconden is dat de machine wacht voor hij gaat rebooten Omdat je dit commando na..."

Het is een kleine moeite om in te stellen maar kan soms uren downtime voorkomen.
Om de pc in kwestie automatisch te laten rebooten na een kernel panic moet je deze waarde instellen in /proc/sys/kernel/panic.
Om de huidige waarde te bekijken typ je:
cat /proc/sys/kernel/panic
(0 betekend niet rebooten)
Om deze waarde te veranderen typ je:
echo 10 > /proc/sys/kernel/panic
waar 10 het aantal seconden is dat de machine wacht voor hij gaat rebooten

Omdat je dit commando na iedere reboot opnieuw moet uitvoeren kan je dit in een opstartscript zetten, of beter nog in lilo (anders zou een machine niet rebooten als hij panic doet tijdens een boot (Dan is immers die waarde nog niet ingesteld)

Via lilo kan het door
append = "panic=10"
toe te voegen aan lilo.conf
Voorbeeld:
image = /boot/vmlinuz
root = /dev/hda1
label = Linux
append = "panic=10"
read-only
Vergeet hierna lilo niet even opnieuw te runnen:
root@test:~# lilo
Added Linux *

Putty

2022-04-05T09:26:01Z

Eric: Created page with "=Putty: inloggen= Nodig: - puttygen - pageant - putty In dit artikel gaan we proberen met putty op een veilige manier in te loggen op een linux machine, zonder gebruik te maken van een wachtwoord bij het inloggen op de SSH server. Dit inloggen zal plaatsvinden met behulp van public en private keys. Het idee achter deze login methode is dat de server een public key heeft en u zelf de bijbehorende private key. Op deze manier controleerd de server of hij u kan herken..."

=Putty: inloggen=

Nodig:

- puttygen
- pageant
- putty

In dit artikel gaan we proberen met putty op een veilige manier in te loggen op een linux machine, zonder gebruik te maken van een wachtwoord bij het inloggen op de SSH server.

Dit inloggen zal plaatsvinden met behulp van public en private keys. Het idee achter deze login methode is dat de server een public key heeft en u zelf de bijbehorende private key. Op deze manier controleerd de server of hij u kan herkennen aan de hand van de public key die op de server bekend is.

1. Start puttygen en selecteer onderaan het type "SSH2 RSA"

2. klik op "Generate". Beweeg de muis over het vlak zoals wordt aangegeven om random data te genereren

3. Pas eventueel de "Key comment" aan, vul een "Key passphrase" in en bevestig deze bij "Confirm passphrase"

4. Sla de private key op als een file met de extentie .pkk

5. copy/paste de data in het "public key" veld naar de linux machine waar je zonder wachtwoord wilt inloggen, zet deze data in .ssh/authorized_keys2 van de user waar je mee wilt inloggen.

vb: /home/eric/.ssh/authorized_keys2
ssh-rsa AAAB3NzaC1yc2EAAAABJQAAAIEAhZC4fOYPQNIedYA6hDyHA+61BqZnphKuSj6NORMhQR24s4g/eq0o5oxUmmJChYy/rdc4k2qWtaTsWO+hkPCxB1oxa3k8ZyaB6IohP2RSECxX6keJ46Wzc8ZA+5/ahsZ/n3v/UOssSr8dTnGbu9r5N9Nrbnxzy4Hz7RZcvafwgYE= rsa-key-20050705

LET OP: dit moet op 1 regel staan van de file, iedere key moet op 1 regel passen, er mogen wel meerdere keys in 1 file

6. Start pageant en laad de private key (je wordt gevragen om een wachtwoord, dit is de passphrase van zonet, deze moet je iedere keer ingeven bij het opstarten van pageant maar hierna kan je met putty zonder pass inloggen.

voor een volledige engelse howto klik [http://www.tartarus.org/~simon/puttydoc/Chapter8.html#pubkey hier]

=Linux SSH Client=
Voer uit:
ssh-keygen -t rsa

Kopier de regel uit de .pub file naar de remote host in /home/username/.ssh/authorized_keys2

Merk op: id_rsa en id_dsa worden automatisch herkend, als je de private key in een andere file opslaat zal je deze met -i optie mee moeten geven

Merk op: Een account MOET voorzien zijn van een wachtwoord omdat deze anders gezien wordt als een disabled user

VPN over SSH

2022-04-05T09:25:46Z

Eric: Created page with "=Software nodig= - pppd, gebruikt in deze opstelling was ppp-2.4.4b1-i486-1 - OpenSSH - pty-redir (http://www.study-area.org/linux/src/pty-redir-0.1.tgz) =Netwerk info= == Subnet A == IP Range: 192.168.1.0/24 Router IP: 192.168.1.1 == Subnet B == IP Range: 192.168.3.0/24 Router IP: 192.168.3.1 == VPN Link == IP Range: 192.168.2.0/24 Side A: 192.168.2.1 Side B: 192.168.2.2 de pppd link heb ik voor het gemak even in een andere range gezet om verwarri..."

=Software nodig=
- pppd, gebruikt in deze opstelling was ppp-2.4.4b1-i486-1

- OpenSSH

- pty-redir (http://www.study-area.org/linux/src/pty-redir-0.1.tgz)

=Netwerk info=

== Subnet A ==
IP Range: 192.168.1.0/24
Router IP: 192.168.1.1

== Subnet B ==
IP Range: 192.168.3.0/24
Router IP: 192.168.3.1

== VPN Link ==
IP Range: 192.168.2.0/24
Side A: 192.168.2.1
Side B: 192.168.2.2

de pppd link heb ik voor het gemak even in een andere range gezet om verwarring te voorkomen:

Router A:
- eth0 = inet ip
- eth1 = 192.168.1.1
- ppp0 = 192.168.2.1

Router B:
- eth0 = inet ip
- eth1 = 192.168.3.1
- ppp0 = 192.168.2.2

= Script =
Wanneer je pty-redir hebt gecompiled (make) kan je het volgende script gebruiken om de tunnel op te bouwen, dit gebeurt vanaf router A:
#!/bin/sh
PATH=/bin:/usr/bin:/sbin:/usr/sbin

## Op welk internet IP is router B te bereiken
SERVER="192.0.34.166"

## Welk IP krijgt de lokale kant van de tunnel
PPPCLIENT="192.168.2.1"

## En welk IP krijgt de server kant
PPPSERVER="192.168.2.2"

## Welk netwerk hebben we lokaal
LOCALNET="192.168.1.0"

## En met welk netwerk willen we deze koppelen?
REMOTENET="192.168.3.0"

## Start pppd op remote host
pty-redir /usr/bin/ssh -t -i /root/.ssh/specialkey $SERVER \
/usr/sbin/pppd nomppc nomppe debug noauth lock asyncmap 0 > /tmp/vpn-tunnel
## Wacht even tot de connectie tot stand is gebracht
sleep 5

## Start lokaal een pppd en koppel die aan de pty van de remote pppd
/usr/sbin/pppd `cat /tmp/vpn-tunnel` debug noauth lock asyncmap 0 \
$PPPCLIENT:$PPPSERVER

## Wederom even wachten tot de handshake klaar is
sleep 15

## Lokaal de route instellen
route add -net $REMOTENET netmask 255.255.255.0 gw $PPPSERVER

## Remote de route instellen
/usr/bin/ssh -t -i /root/.ssh/specialkey $SERVER \
route add -net $LOCALNET netmask 255.255.255.0 gw $PPPCLIENT

de specialkey is voor de public-key authorisatie zodat ik geen password hoef in te geven

SSH Tunnels

2022-04-05T09:25:34Z

Eric: Created page with "=HOWTO: Sending Email from a Laptop= I own two laptops and one desktop computer, all of which run Linux. Most modern Linux distributions come with postfix and/or sendmail that allows them to send email. Unfortunately, in an attempt to reduce spam, many sysadmins have configured their mail servers not to accept email sent this way. On a desktop machine you can simply configure your mail client software to use your institute's or your Internet service provider's mail rel..."

=HOWTO: Sending Email from a Laptop=

I own two laptops and one desktop computer, all of which run Linux. Most modern Linux distributions come with postfix and/or sendmail that allows them to send email. Unfortunately, in an attempt to reduce spam, many sysadmins have configured their mail servers not to accept email sent this way.

On a desktop machine you can simply configure your mail client software to use your institute's or your Internet service provider's mail relay. Life is not so easy with a laptop. You have to change the settings in your email client every time you change locations. If you carry your laptop to and from work this could mean changing your settings twice a day.

This web page describes some solutions to this problem using ssh tunnels. In order to implement these solutions you need to be able to access your institute's (company or university) system via ssh and you need to have ssh client software installed on your laptop. The solutions I describe use openssh on Linux, but should be easily modified to use any version of ssh on any operating system, including Microsoft's operating systems using the very good putty ssh software.

==A Simple ssh Tunnel==

The simplest way to solve this problem is via an ssh tunnel. Suppose your institute's gateway is called gw.ms.com and your institute's SMTP server is called mail.ms.com (these could be the same machine). This solution involves a simple ssh tunnel from your laptop to your SMTP server.

==SSH Tunnel==

The following command (run as root) will open an ssh tunnel from your laptop to your mail server.

ssh -N -L25:mail.ms.com:25 username@gw.ms.com

After prompting you for your password, ssh will listen on port 25 of your laptop (the smtp port) and connect any incoming connection to port 25 of mail.ms.com. Now, if you configure your mail client (on your laptop) to use the SMTP server "localhost" you will be able to send mail through your institute's email server. To the receiver of the mail, it will appear as if the mail came from mail.ms.com.

The drawback of this solution is that when your laptop becomes disconnected from the Internet for any reason the ssh tunnel will collapse and you will have to run the above command again to reopen the tunnel. Furthermore, ssh requires your password in order to open the tunnel, so you can't easily automate this process by putting it in a startup script or cron job.

==Special Purpose Keys, ssh without a Password==

It is possible to open an ssh tunnel without a password provided that you're willing to do a bit of configuring beforehand. For this, you will need a special-purpose private/public key pair generated with ssh-keygen.

As root, on your laptop, run the command:

ssh-keygen -t rsa -f ~/.ssh/specialkey

and enter an empty passphrase when prompted. This will create the files ~/.ssh/specialkey (your private key) and ~/.ssh/specialkey.pub (your public key). Leave the first file where it is. From the second file you will make a new special authorized key on your institute's gateway.

The second file (~/.ssh/specialkey.pub) contains some text of the form

ssh-rsa AAAAB3NzaC1kc3MAAAC.........

Copy this text and on the gateway (gw.ms.com) add a line to the file ~/.ssh/authorized_keys2 that looks like this

command="echo Connected!",no-X11-forwarding,no-agent-forwarding,permitopen="mail.ms.com:25" ssh-rsa AAAAB3NzaC1k....

(You may have to create the file ~/.ssh/authorized_keys2.) Now, if you've done everything right you should be able to open an ssh tunnel to your mail server by issuing the command

ssh -N -L25:mail.ms.com:25 username@gw.ms.com

without having to enter your password. Be aware, however, that if hacker gains access to your account on your laptop then they also gain access to your institute's SMTP server and could use this to impersonate you or send spam from this server. This could make your sysadmin very unhappy with you.

Now you can keep your laptop's tunnel open by running a script like the following:

#!/bin/bash

while [[ 1 ]];
ssh -N -L25:mail.ms.com:25 username@gw.ms.com
sleep 5
done

This script will open an ssh tunnel and when that tunnel collapses for whatever reason it will open it again in 5 seconds. This should be sufficient for personal email. You may want to run this script from your laptop's startup files.

==An ssh Tunnel Started by inetd or xinetd==

Your ssh tunnel is essentially a service offered to email client software and occasionally this service needs to be restarted. Under Linux, the tool that handles these kinds of services is inetd, or xinetd. These are daemons that listen on a port and when a connection arrives at that port they start a server process to handle that connection. They do this by connecting the server process' stdin and stdout streams to the connection on the incoming port.

From the above description it sounds like it should be easy to make xinetd work with ssh. Unfortunately, that's not the case. The ssh software can be used to tunnel between two ports on different machines or connect the stdin/stdout of processes on two machines but it can't connect stdin/stdout from a process on one machine to a port on another machine.

The workaround for this is to connect the stdin/stdout of a process running on your laptop to the stdin/stdout of a process running on your institute's gateway and then forward that to the SMTP port of your SMTP server.

To make a long story short, add the following to the xinetd configuration file on your laptop and restart the xinetd service.

# description: This uses ssh to tunnel to the mail relay at
service smtp
{
socket_type = stream
protocol = tcp
wait = no
user = root
disable = no
server = /usr/bin/ssh
server_args = -q -T -i /root/.ssh/specialkey username@gw.ms.com
groups = yes
bind = 127.0.0.1
}

and add this line to the file ~/.ssh/authorized_keys2 on your institute's gateway:

command="nc mail.ms.com smtp",no-X11-forwarding,no-agent-forwarding,no-port-forwarding ssh-rsa AAAAB3NzaC1k.......

When your laptop's mail client tries to send mail, xinetd will make an ssh connection to gw.ms.com and execute the command "nc mail.ms.com smtp" to connect to port 25 (the SMTP port) of mail.ms.com. This requires that the netcat (nc) program be installed on this machine, and be in the user's path. Alternatively, the programs socat or socket can be used instead of netcat. In these cases, you would replace the command above with

command="socat TCP4:mail.ms.com:25"

or

command="socket mail.ms.com 25"

respectively.

That's it! If you have any questions or comments about this then send me email. In particular, if you know how to use ssh with xinetd without requiring the netcat, socat or socket software I would love to hear about it. It would be better to replace socket with telnet (which is standard in most operating sytems) but telnet's information messages seem to get in the way.
Mac OS X and/or BSD

Some Mac OS X and BSD instructions were contributed by Stefan Langerman.

[[Category:SSH]]