Ejecución de código a través de SNMP en Solaris 10 y OpenSolaris

Se ha informado sobre una vulnerabilidad en el System Management Agent
(SMA) del demonio SNMP (snmpd(1M)) de Solaris 10 y OpenSolaris que
podría ser aprovechada por un atacante remoto para ejecutar código
arbitrario con los permisos del demonio SNMP o hacer que éste deje de
responder.

La vulnerabilidad se debe a un desbordamiento de buffer en la función
'__snprint_value'. Esto puede permitir la ejecución de código a través
del envío de una cadena de caracteres especialmente manipulada.

Este fallo solo afecta a sistemas con el paquete SUNWsmagt instalado. Se
ven afectadas las versiones de Solaris 10 y OpenSolaris en las
compilaciones snv_01 a snv_92 tanto para Plataformas Sparc como X86.

En OpenSolaris se recomienda actualizar a compilaciones snv_93 o
superiores. Para Solaris, hasta la publicación de un parche oficial, es
posible desactivar el servio SMA mediante:
# svcadm disable svc:/application/management/sma:default

Denegaciones de servicio en Asterisk

Se han encontrado dos vulnerabilidades en Asterisk, ambas calificadas
como críticas, que podrían permitir a un atacante local o remoto causar
una denegación de servicio en los sistemas vulnerables.

Asterisk es una aplicación de una central telefónica (PBX) de código
abierto. Como cualquier PBX, se pueden conectar un número determinado de
teléfonos para hacer llamadas entre sí e incluso conectarlos a un
proveedor de VoIP para realizar comunicaciones con el exterior.

Asterisk es ampliamente usado e incluye un gran número de interesantes
características: buzón de voz, conferencias, IVR, distribución
automática de llamadas, etc. Además el software creado por Digium está
disponible para plataformas Linux, BSD, MacOS X, Solaris y Microsoft
Windows.

A continuación se explican con más detalle las vulnerabilidades
encontradas y corregidas:

* Por medio del envío masivo de peticiones POKE a un sistema vulnerable,
un atacante podría acaparar todos los números de llamada (líneas)
asociados con el protocolo IAX2, impidiendo el procesamiento del resto
de llamadas o peticiones, provocando una denegación de servicio.

El fallo está causado porque, de acuerdo con el protocolo IAX2, una vez que
el servidor recibe una petición de POKE, este mandaría una respuesta
PONG y se quedaría esperando por un paquete ACK con el mismo número de
llamada, manteniendo ocupada esa línea.

El problema ha sido solucionado
usando única y exclusivamente el número de llamada 1 (línea 1) para las
peticiones POKE y descartando los paquetes ACK para dicha línea.

El investigador que descubrió la vulnerabilidad hizo público un exploit
tan solo dos días después de informar al equipo de Digium acerca de la
misma y sin dar tiempo suficiente para la creación de un parche. A los
desarrolladores de Asterisk, que se enteraron de la existencia del
exploit por medio de terceras partes, no les ha gustado esta forma de
proceder y la han tachado de irresponsable al poner en riesgo la
usabilidad de los sistemas afectados.

* En cuanto a la segunda vulnerabilidad descubierta, está provocada por
la falta de un método de validación de destino (handshake) en el
protocolo usado para el envío de actualizaciones del firmware, y podría
permitir que un atacante remoto falsificase la dirección desde la que se
envía dicha petición, causando que el paquete de actualización mandado
por el servidor (con un tamaño de 1040 bytes) tuviera como destino una
dirección falsificada. Por medio de múltiples peticiones a distintos
servidores, un atacante remoto podría dirigir a un sistema una gran
cantidad de paquetes de actualización no deseados, causándole una
denegación de servicio.

A continuación se muestra una lista de los productos afectados por los
dos problemas de seguridad:

Asterisk Open Source 1.0.x, 1.2.x y 1.4.x.
Asterisk Business Edition A.x.x, B.x.x y C.x.x.
La versión pre-release de AsteriskNOW.
Asterisk Appliance Developer Kit 0.x.x.
s800i (Asterisk Appliance) 1.0.x.

SQUID PROXY EN LINUX

Indice

1. Software de Proxy
2. Cómo configurar Squid: Servidor Proxy.
3. Cómo configurar Squid: Restricción de acceso a sitios Web.
4. Cómo configurar Squid: Acceso por Autenticación.


1. Software de Proxy
Existe una variedad de paquetes de software de proxy para Linux. Algunos son a nivel de aplicación (como SQUID) y otros son a nivel de sesión (como
SOCKS). Squid es un proxy a nivel de aplicación para HTTP, HTTPS y FTP. También puede ejecutar peticiones DNS bastate más rápido de lo que puede
hacerlo la mayoría del software cliente. SQUID es ideal para acelerar el acceso a www, y para controlar el acceso a sitios web (utilizando paquetes como
squidGuard).

Squid es el servidor Proxy más popular y extendido entre los sistemas operativos basados sobre UNIX®. Es muy confiable, robusto y versátil. Al ser
software libre, además de estar disponible el código fuente, está libre del pago de costosas licencias por uso o con restricción a un uso con determinado
número de usuarios.

Entre otras cosas, Squid puede hacer Proxy y cache con los protocolos HTTP, FTP, GOPHER y WAIS, Proxy de SSL, cache transparente, WWCP,
aceleración HTTP, cache de consultas DNS y más.
2. Cómo configurar Squid: Servidor Proxy.
Software requerido.

Para poder llevar la cabo los procedimientos descritos en este manual y documentos relacionados, usted necesitará tener instalado al menos lo siguiente:

squid-2.4.STABLE1
iptables-1.2.4
kernel-2.4.9

Tómese en consideración que, de ser posible, se debe utilizar la versión estable más reciente de todo el software que vaya a instalar al realizar los
procedimientos descritos en este manual, a fin de contar con los parches de seguridad necesarios. Ninguna versión de Squid anterior a la 2.4.STABLE1 se
considera como apropiada debido a fallas de seguridad de gran importancia, y ningún administrador competente utilizaría una versión inferior a la
2.4.STABLE1. Por favor visite el sito Web de su distribución predilecta para estar al tanto de cualquier aviso de actualizaciones de seguridad. Ejemplo:
para Red Hat Linux 7.1 y 7.2 hay paquetería de actualización en los siguientes enlaces:
ftp://updates.redhat.com/7.1/en/os/i386/, si posee alguna distribución basada sobre Red Hat(TM) Linux 7.1

ftp://updates.redhat.com/7.2/en/os/i386/, si posee alguna distribución basada sobre Red Hat(TM) Linux 7.2
Instalación del software necesario.
Regularmente Squid no se instala de manera predeterminada a menos que especifique o contrario durante la instalación del sistema operativo, sin embargo viene incluido en casi todas las distribuciones actuales. El procedimiento de instalación es exactamente el mismo que con cualquier otro software:

mount /mnt/cdrom/ rpm -Uvh /mnt/cdrom/*/RPMS/squid-*.i386.rpm eject

Iptables se utilizará para un guión de Enmascaramiento de IP. Se instala por defecto en todas las distribuciones actuales que utilicen kernel-2.4.
Es importante tener actualizado el kernel por diversas cuestiones de seguridad. No es recomendable utilizar versiones del kernel anteriores a la 2.4.9. En el
manual "Cómo actualizar el Kernel a partir de paquetes RPM®" se describe a detalle lo necesario.
Antes de continuar Tenga en cuenta que este manual ha sido comprobado varias veces y ha funcionado en todos los casos y si algo no fucniona solo significa que ustesd no lo leyó a detalle y no siguió correctamente las indicaciones.

Evite dejar espacios vacios en lugares indebidos. El siguiente es un ejemplo de como no debe descomentarse un parámetro.
Mal # Opción incorrectamente http_access 3128, El siguiente es un ejemplo de como si debe descomentarse un parámetro.

bien # Opción correctamente descomentada http_access 3128 Configuración básica.

Squid utiliza el fichero de configuración localizado en /etc/squid/squid.conf, y podrá trabajar sobre este utilizando su editor de texto preferido. Existen un
gran número de parámetros, de los cuales recomendamos configurar los siguientes:
http_port
cache_mem
http_user
ftp_passive
cache_dir
Al menos una Lista de Control de Acceso
Al menos una Regla de Control de Acceso
cache_mgr
httpd_accel_host
httpd_accel_port
httpd_accel_with_proxy
Parámetro http_port: ¿Que puerto utilizar para Squid?
Squid por defecto utilizará el puerto 3128 para atender peticiones, sin embargo se puede especificar que lo haga en cualquier otro puerto o bien que lo haga
en varios puertos a la vez.

En el caso de un Proxy Transparente, regularmente se utilizará el puerto 80 y se valdrá del re-direccionamiento de peticiones de modo tal que no habrá
necesidad alguna de modificar la configuración de los navegadores Web para utilizar el servidor Proxy. bastará con utilizar como puerta de enlace al
servidor. Es importante recordar que los servidores Web, como Apache, también utilizan dicho puerto, por lo que será necesario reconfigurar el servidor
Web para utiliza otro puerto disponible, o bien desinstalar o deshabilitar el servidor Web.

Hoy en día ya no es del todo práctico el utilizar un Proxy Transparente, a menos que se trate de un servicio de Café Internet u oficina pequeña, siendo que
uno de los principales problemas con los que lidian los administradores es el mal uso y/o abuso del acceso a Internet por parte del personal. Es por esto que
puede resultar más conveniente configurar un servidor Proxy con restricciones por contraseña, lo cual no puede hacerse con un Proxy Transparente, debido
a que se requiere un diálogo de nombre de usuario y contraseña.
Regularmente algunos programas utilizados comúnmente por los usuarios suelen traer por defecto el puerto 8080 -servicio de cacheo WWW- para utilizarse al configurar que servidor proxy utilizar. Si queremos aprovechar esto en nuestro favor y ahorrarnos el tener que dar explicaciones innecesarias al usuario, podemos especificar que Squid escuche peticiones en dicho puerto también. Siendo así localice la sección de definición de http_port, y especifique:
#
# You may specify multiple socket addresses on multiple lines.
#
# Default: http_port 3128
http_port 3128
http_port 8080
Parámetro cache_mem
El parámetro cache_mem establece la cantidad ideal de memoria para lo siguiente:
Objetos en tránsito.
Objetos Hot.
Objetos negativamente almacenados en el caché.
Los datos de estos objetos se almacenan en bloques de 4 Kb. El parámetro cache_mem especifica un límite máximo en el tamaño total de bloques
acomodados, donde los objetos en tránsito tiene mayor prioridad. Sin embargo los objetos Hot y aquellos negativamente almacenados en el caché podrán
utilizar la memoria no utilizada hasta que esta sea requerida. De ser necesario, si un objeto en tránsito es mayor a la cantidad de memoria especificada,
Squid excederá lo que sea necesario para satisfacer la petición.
Por defecto se establecen 8 MB. Puede especificarse una cantidad mayor si así se considera necesario, dependiendo esto de los hábitos de los usuarios o
necesidades establecidas por el administrador.
Si se posee un servidor con al menos 128 MB de RAM, establezca 16 MB como valor para este parámetro:
cache_mem 16 MB
Parámetro cache_dir: ¿Cuanto desea almacenar de Internet en el disco duro?
Este parámetro se utiliza para establecer que tamaño se desea que tenga el cache en el disco duro para Squid. Para entender esto un poco mejor, responda a
esta pregunta: ¿Cuanto desea almacenar de Internet en el disco duro? Por defecto Squid utilizará un cache de 100 MB, de modo tal que encontrará la
siguiente línea:
cache_dir ufs /var/spool/squid 100 16 256
Se puede incrementar el tamaño del cache hasta donde lo desee el administrador. Mientras más grande el cache, más objetos de almacenarán en éste y
por lo tanto se utilizará menos el ancho de banda. La siguiente línea establece un cache de 700 MB:
cache_dir ufs /var/spool/squid 700 16 256
Los números 16 y 256 significan que el directorio del cache contendrá 16 subdirectorios con 256 niveles cada uno. No modifique esto números, no hay
necesidad de hacerlo.
Es muy importante considerar que si se especifica un determinado tamaño de cache y este excede al espacio real disponible en el disco duro, Squid se
bloqueará inevitablemente. Sea cauteloso con el tamaño de cache especificado.
Parámetro ftp_user Al acceder a un servidor FTP de manera anónima, por defecto Squid enviará como contraseña Squid @. Si se desea que el acceso anónimo a los servidores FTP sea más informativo, o bien si se desea acceder a servidores FTP que validan la autenticidad de la dirección de correo especificada como contraseña,
puede especificarse la dirección de correo electrónico que uno considere pertinente.
ftp_user proxy@su-dominio.net
Parámetro ftp_passive
Si se tiene un muro contrafuegos que no permite acceder a servidores FTP más que de modo pasivo, debe habilitarse ftp_passive con el valor on.
ftp_passive on
Controles de acceso.
Es necesario establecer Listas de Control de Acceso que definan una red o bien ciertas maquinas en particular. A cada lista se le asignará una Regla de
Control de Acceso que permitirá o denegará el acceso a Squid. Procedamos a entender como definir unas y otras.
Listas de control de acceso.
Regularmente una lista de control de acceso se establece siguiendo la siguiente sintaxis:

acl [nombre de la lista] src [lo que compone a la lista], Si uno desea establecer una lista de control de acceso que defina sin mayor trabajo adicional a toda la red local definiendo la IP que corresponde a la red y la máscara de la sub-red. Por ejemplo, si se tienen una red donde las máquinas tienen direcciones IP 192.168.1.n con máscara de sub-red 255.255.255.0,

podemos utilizar lo siguiente:
acl miredlocal src 192.168.1.0/255.255.255.0
También puede definirse una Lista de Control de Acceso invocando un fichero localizado en cualquier parte del disco duro, y en el cual se en cuenta una
lista de direcciones IP. Ejemplo:
acl permitidos "/etc/squid/permitidos"
El fichero /etc/squid/permitidos contendría algo como siguiente:
192.168.1.1
192.168.1.2
192.168.1.3
192.168.1.15
192.168.1.16
192.168.1.20
192.168.1.40
Lo anterior estaría definiendo que la Lista de Control de Acceso denominada permitidos estaría compuesta por las direcciones IP incluidas en el fichero
/etc/squid/permitidos.
Reglas de Control de Acceso
Estas definen si se permite o no el acceso a Squid. Se aplican a las Listas de Control de Acceso. Deben colocarse en la sección de reglas de control de
acceso definidas por el administrador, es decir, a partir de donde se localiza la siguiente leyenda:
#
# INSERT YOUR OWN RULE(S) HERE TO ALLOW ACCESS FROM YOUR CLIENTS
#
La sintaxis básica es la siguiente:

http_access [deny o allow] [lista de control de acceso] En el siguiente ejemplo consideramos una regla que establece acceso permitido a Squid a la Lista de Control de Acceso denominada permitidos:
http_access allow permitidos
También pueden definirse reglas valiéndose de la expresión !, la cual significa excepción . Pueden definirse, por ejemplo, dos listas de control de acceso,
una denominada lista1 y otra denominada lista2, en la misma regla de control de acceso, en donde se asigna una expresión a una de estas. La siguiente
establece que se permite el acceso a Squid a lo que comprenda lista1 excepto aquello que comprenda lista2:
http_access allow lista1 !lista2
Este tipo de reglas son útiles cuando se tiene un gran grupo de IP dentro de un rango de red al que se debe permitir acceso, y otro grupo dentro de la misma

red al que se debe denegar el acceso.
Aplicando Listas y Reglas de control de acceso.
Una vez comprendido el funcionamiento de la Listas y las Regla de Control de Acceso, procederemos a determinar cuales utilizar para nuestra
configuración.
Caso 1
Considerando como ejemplo que se dispone de una red 192.168.1.0/255.255.255.0, si se desea definir toda la red local, utilizaremos la siguiente línea en la
sección de Listas de Control de Acceso:
acl todalared src 192.168.1.0/255.255.255.0
Habiendo hecho lo anterior, la sección de listas de control de acceso debe quedar más o menos del siguiente modo:
Listas de Control de Acceso: definición de una red local completa
#
# Recommended minimum configuration:
acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl todalared src 192.168.1.0/255.255.255.
A continuación procedemos a aplicar la regla de control de acceso:
http_access allow todalared Habiendo hecho lo anterior, la zona de reglas de control de acceso debería quedar más o menos de este modo:
Reglas de control de acceso: Acceso a una Lista de Control de Acceso.
#
# INSERT YOUR OWN RULE(S) HERE TO ALLOW ACCESS FROM YOUR CLIENTS
#
http_access allow localhost
http_access allow todalared
http_access deny all
La regla http_access allow todalared permite el acceso a Squid a la Lista de Control de Acceso denominada todalared, la cual está conformada por
192.168.1.0/255.255.255.0. Esto significa que cualquier máquina desde 192.168.1.1 hasta 192.168.1.254 podrá acceder a Squid.
Caso 2
Si solo se desea permitir el acceso a Squid a ciertas direcciones IP de la red local, deberemos crear un fichero que contenga dicha lista. Genere el fichero
/etc/squid/lista, dentro del cual se incluirán solo aquellas direcciones IP que desea confirmen la Lista de Control de acceso. Ejemplo:
192.168.1.1
192.168.1.2
192.168.1.3
192.168.1.15
192.168.1.16
192.168.1.20
192.168.1.40
Denominaremos a esta lista de control de acceso como redlocal:
acl redlocal src "/etc/squid Habiendo hecho lo anterior, la sección de listas de control de acceso debe quedar más o menos del siguiente modo:Listas de Control de Acceso: definición de una red local completa
#
# Recommended minimum configuration:
acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl redlocal src "/etc/squid/lista"
A continuación procedemos a aplicar la regla de control de acceso:
http_access allow redlocal Habiendo hecho lo anterior, la zona de reglas de control de acceso debería quedar más o menos de este modo: Reglas de control de acceso: Acceso a una Lista de Control de Acceso.
#
# INSERT YOUR OWN RULE(S) HERE TO ALLOW ACCESS FROM YOUR CLIENTS
#
http_access allow localhost
http_access allow redlocal
http_access deny all
La regla http_access allow redlocal permite el acceso a Squid a la Lista de Control de Acceso denominada redlocal, la cual está conformada por las
direcciones IP especificadas en el fichero /etc/squid/lista. esto significa que cualquier máquina no incluida en /etc/squid/lista no tendrá acceso a Squid.
Parámetro cache_mgr.
Por defecto, si algo ocurre con el Cache, como por ejemplo que muera el procesos, se enviará un mensaje de aviso a la cuenta webmaster del servidor.
Puede especificarse una distinta si acaso se considera conveniente.
cache_mgr joseperez@midominio.net
Cache con aceleración.
Cuando un usuario hace petición hacia un objeto en Internet, este es almacenado en el cache de Squid. Si otro usuario hace petición hacia el mismo objeto, y este no ha sufrido modificación alguna desde que lo accedió el usuario anterior, Squid mostrará el que ya se encuentra en el cache en lugar de volver a
descargarlo desde Internet.

Esta función permite navegar rápidamente cuando los objetos ya están en el cache de Squid y además optimiza enormemente la utilización del ancho de
banda.

En la sección HTTPD-ACCELERATOR OPTIONS deben habilitarse los siguientes parámetros:

Proxy Acelerado: Opciones para Proxy Convencional.
httpd_accel_host virtual
httpd_accel_port 0
httpd_accel_with_proxy on
Si se trata de un Proxy transparente -Squid escuchando peticiones en el puerto 80-, debe hacerse con las siguientes opciones:
Proxy Acelerado: Opciones para Proxy Transparente.
httpd_accel_host virtual
httpd_accel_port 80
httpd_accel_with_proxy on
httpd_accel_uses_host_header on
Por defecto el parámetro httpd_accel_with_proxy viene con el valor off, es importante no olvidar cambiar este valor por on.
Estableciendo el idioma por defecto.
Squid incluye traducción a distintos idiomas de las distintas páginas de error e informativas que son desplegadas en un momento dado. Dichas traducciones
se pueden encontrar en /usr/lib/squid/errors/. Para poder hacer uso de las páginas de error traducidas al español, es necesario cambiar un enlace simbólico
localizado en /etc/squid/errors para que apunte hacia /usr/lib/squid/errors/Spanish en lugar de hacerlo hacia /usr/lib/squid/errors/English.
Elimine primero el enlace simbólico actual:
rm -f /etc/squid/errors

Coloque un nuevo enlace simbólico apuntando hacia /usr/lib/squid/errors/Spanish.

ln -s /usr/lib/squid/errors/Spanish /etc/squid/errors Iniciando, reiniciando y añadiendo el servicio al arranque del sistema.
Una vez terminada la configuración, ejecute el siguiente comando para iniciar por primera vez Squid:
/etc/rc.d/init.d/squid start
Si necesita reiniciar para probar cambios hechos en la configuración, ejecute lo siguiente:
/etc/rc.d/init.d/squid restart
Si desea que Squid inicie de manera automática la próxima vez que inicie el sistema, ejecute lo siguiente:
/sbin/chkconfig --level 345 squid on
Lo anterior habilitará a Squid en los niveles de corrida 3, 4 y 5
Nota para los novatos: Usted NO tiene porque editar cosa alguna en /etc/rc.d/rc.local o /etc/inittab para que Squid -así como cualquier otro servicio- inicie
en el arranque del sistema. Mientras usted sea novato, por favor, olvide que existen esos ficheros y exclame una fuerte amenaza y alejese de quien le indiqueque desde ahí debe arrancar servicios.

Ajustes para el muro contrafuegos o guión de Enmascaramiento de IP.
A continuación comentaremos algunos ajustes que pueden añadirse o editarse en el guión de el muro contrafuegos, como el generado por herramientas
como Firestarer, o bien un simple guión de Enmascaramiento de IP.
Sugerimos utilizar Firestarer debido a que permite configurar tanto el enmascaramiento de IP como el muro contrafuegos y la importancia que tiene la
presencia de éste último en un servidor que sirve como puerta de enlace para la red local.
Iptables en lugar de ipchains.
Desde el kernel 2.4, GNU/Linux utiliza Netfilter, el cual se configura a través de iptables. La sintaxis cambia con respecto a ipchains, y a fin de permitir a
los administradores darse tiempo de adaptarse, distribuciones como Red Hat (TM) incluyeron soporte para ipchains a manera de aplicación de legado .
Pudiendo utilizarse iptables no tiene sentido mantener instalado ipchains, que aún es utilizado por defecto en Red Hat Linux (TM) 7.1 y 7.2. Se recomienda
desinstalar ipchains y los paquetes que dependan de este.
Es importante utilizar la más reciente versión de iptables para la distribución utilizada. Ninguna versión de iptables anterior a la 1.2.4 se considera como
apropiada debido a fallas de seguridad de gran importancia, y ningún administrador competente utilizaría una versión inferior a la 1.2.4. Por favor visite el sito Web de su distribución predilecta para estar al tanto de cualquier aviso de actualizaciones de seguridad. Ejemplo: para Red Hat Linux 7.1 y 7.2 hay paquetería de actualización en los siguientes enlaces: ftp://updates.redhat.com/7.1/en/os/i386/, si posee alguna distribución basada sobre Red Hat(TM) Linux 7.1 ftp://updates.redhat.com/7.2/en/os/i386/, si posee alguna distribución basada sobre Red Hat(TM) Linux 7.2

Antes de desinstalar ipchains, primero debe eliminarse cualquier regla que pudiese existir.
/sbin/ipchains -X
/sbin/ipchains -F
/sbin/ipchains -Z
A continuación debe removerse el módulo de ipchains para permitir la carga del módulo ip_tables.
/sbin/rmmod ipchains
/sbin/modprobe ip_tables
Para terminar, se desinstala ipchains y toda la paquetería que dependa de éste.
rpm -e ipchains lokkit gnome-lokkit firewall-config

Esto ajustes deben poder permitir utilizar iptables en lugar de ipchains sin mayor problema.
Re-direccionamiento de peticiones.
En un momento dado se requerirá tener salida transparente hacia Internet para ciertos servicios, pero al mismo tiempo se necesitará re-direccionar
peticiones hacia servicio Web, Web SSL, ftp, gopher o WAIS hacia el el puerto donde escucha peticiones Squid (3128), de modo que no haya salida alguna
hacia alguno de estos protocolos sin que ésta pase antes por Squid.
El re-direccionamiento lo hacemos a través de iptables. Considerando para este ejemplo que la red local se accede a través de una interfaz eht0, el
siguiente esquema ejemplifica un re-direccionamiento:
/sbin/iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port
3128
Lo anterior hace que cualquier petición hacia el puerto 80 (servicio HTTP) hecha desde la red local hacia el exterior, se re-direccionará hacia el puerto
3128 del servidor.
Considerando lo anterior, con el fin de re-direccionar peticiones hacia los puertos 20 (FTP-data), 21 (FTP), 70 (GOPHER), 80 (HTTP), 210 (WAIS) y 443
(HTTPS), podemos añadir al guión del muro contrafuegos lo siguiente:
Re-direccionamiento de servicios ordinarios con iptables.
# FTP-data /sbin/iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 20 -j REDIRECT --to-port
3128
# FTP
/sbin/iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 21 -j REDIRECT --to-port
3128
# GOPHER
/sbin/iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 70 -j REDIRECT --to-port
3128
# HTTP
/sbin/iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port
3128
# WAIS
/sbin/iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 210 -j REDIRECT --to-port
3128
# HTTPS
/sbin/iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 443 -j REDIRECT --to-port
3128
Puede añadirse re-direccionamiento hacia otros puertos menos usuales pero que llegan ser utilizados para acceder hacia algún servicio, com por ejemplo el
81, utilizado en ocasiones como alternativo para HTTP, y el 563, utilizado para NNTP sobre SSL.
También se pueden re-direccionar los puertos utilizados por los clientes de mensajería instantánea, siempre que estos permitan hacer uso de un servidor
proxy, ya que de lo contrario quedarían bloqueados, como sería el caso del protocolo ICQ, mismo que no tiene soporte para servidor proxy.
AIM: puertos 9898, 5190 al 5193.
Yahoo! Messenger: puertos 5050 u 80 para mensajes, 5000 al 5010 para conversaciones por voz y 5100 para vídeo.
MSN Messenger: puerto 1863, y 80 si no puede usarse el primero.
Re-direccionamiento de otros servicios con iptables.
# A veces utilizado para HTTP
/sbin/iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 81 -j REDIRECT --to-port
3128
# NNTP sobre SSL
/sbin/iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 563 -j REDIRECT --to-port
3128
# AIM
/sbin/iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 9898 -j REDIRECT --to-port
3128
/sbin/iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 5190:5193 -j REDIRECT
--to-port 3128
# Yahoo! Messenger
/sbin/iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 5000:5010 -j REDIRECT
--to-port 3128
/sbin/iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 5050 -j REDIRECT --to-port
3128
# MSN Messenger
/sbin/iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 1863 -j REDIRECT --to-port
3128
Guión ejemplo de Enmascaramiento de IP con iptables.
El guión que mostramos en la tabla a continuación considera que se dispone de dos interfaces: eth0 y eth1. Para nuestro ejemplo la red local se accede por
la interfaz eth0 y la salida hacia Internet de hace por la interfaz eth1. Utilice Firestarer para configurar el enmascaramiento y muro contrafuegos siempre que
sea posible. Este guión NO es sustituto para un guión de muro contrafuegos.
Guión básico de Enmascaramiento de IP.
#!/bin/sh
# cargamos los módulos del kernel necesarios:
/sbin/modprobe ip_conntrack
/sbin/modprobe ip_conntrack_ftp
/sbin/modprobe ip_conntrack_irc
/sbin/modprobe ipt_REJECT
/sbin/modprobe ipt_REDIRECT
/sbin/modprobe ipt_TOS
/sbin/modprobe ipt_MASQUERADE
/sbin/modprobe ipt_LOG
/sbin/modprobe iptable_mangle
/sbin/modprobe iptable_nat
/sbin/modprobe ip_nat_ftp
/sbin/modprobe ip_nat_irc
# Habilitamos el reenvío de direcciones IP
if [ -e /proc/sys/net/ipv4/ip_forward ]; then
echo 0 > /proc/sys/net/ipv4/ip_forward
fi
# Estableciendo política de reenvío del enmascaramiento
/sbin/iptables -t filter -P FORWARD DROP
# Reenvío de trafico intento-externo y externo-interno
/sbin/iptables -t filter -A FORWARD -d 0/0 -s 192.168.1.0/255.255.255.0 -o eth0 -j
ACCEPT
/sbin/iptables -t filter -A FORWARD -d 192.168.1.0/255.255.255.0 -j ACCEPT
# Enmascaramiento de todo el trafico saliente
# NOTA: recordemos que la salida hacia Internet es por
# la interfaz eth0
/sbin/iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
# No enmascararemos tráfico externo
/sbin/iptables -t nat -A POSTROUTING -o eth1 -d 0/0 -j ACCEPT
# Permitir al tráfico de la red interna ir a donde sea
/sbin/iptables -t filter -A INPUT -s 192.168.1.0/255.255.255.0 T -d 0/0 -j ACCEPT
/sbin/iptables -t filter -A OUTPUT -s 192.168.1.0/255.255.255.0 -d 0/0 -j ACCEPT
/sbin/iptables -t filter -A OUTPUT -p icmp -s 192.168.1.0/255.255.255.0 -d 0/0 -j ACCEPT
# Re-direccionamiento hacia el puerto 3128 (donde Squid escucha
# peticiones) para cualquier petición originada desde la red
# local hacia servicios que utilicen protocolo http, https y ftp
# Pueden añadirse más re-direccionamientos a discreción del
# administrador.
# NOTA 1: recordemos que la red local se accede con la interfaz eth1
# NOTA 2: Si se utiliza un Proxy transparente, deberá cambiarse
# --to-port 3128 por --to-port 80
# FTP-data
/sbin/iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 20 -j REDIRECT --to-port
3128
# FTP
/sbin/iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 21 -j REDIRECT --to-port
3128
# GOPHER
/sbin/iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 70 -j REDIRECT --to-port
3128
# HTTP
/sbin/iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port
3128
# WAIS
/sbin/iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 210 -j REDIRECT --to-port
3128
# HTTPS
/sbin/iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 443 -j REDIRECT --to-port
3128
# A veces utilizado para HTTP
/sbin/iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 81 -j REDIRECT --to-port
3128
# NNTP sobre SSL
/sbin/iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 563 -j REDIRECT --to-port
3128
# AIM
/sbin/iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 9898 -j REDIRECT --to-port
3128
/sbin/iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 5190:5193 -j REDIRECT
--to-port 3128
# Yahoo! Messenger
/sbin/iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 5000:5010 -j REDIRECT
--to-port 3128
/sbin/iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 5050 -j REDIRECT --to-port
3128
# MSN Messenger
/sbin/iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 1863 -j REDIRECT --to-port
3128

3. Cómo configurar Squid: Restricción de acceso a sitios Web.
Introducción.
Denegar el acceso a ciertos sitos Web permite hacer un uso más racional del ancho de banda con el que se dispone. El funcionamiento es verdaderamente
simple, y consiste en denegar el acceso a sombres de dominio o direcciones Web que contengan patrones en común.
Este manual considera que usted ya ha leído previamente, a detalle y en su totalidad el manual "Como configurar Squid: Servidor Proxy" y que ha
configurado exitosamente Squid como servidor proxy.
Software requerido.
Para poder llevar la cabo los procedimientos descritos en este manual y documentos relacionados, usted necesitará tener instalado al menos
squid-2.4STABLE1.
Definiendo patrones comunes.
Lo primero será generar una lista la cual contendrá direcciones Web y palabras usualmente utilizadas en nombres de ciertos dominios. Ejemplos:
www.sitioporno.com
www.otrositioporno.com
sitioindeseable.com
otrositioindeseable.com
napster
sex
porn
mp3
xxx
adult
warez
Esta lista, la cual deberá ser completada con todas las palabras (muchas de está son palabras obscenas en distintos idiomas) y direcciones Web que el
administrador considere pertinentes, la guardaremos como /etc/squid/sitios-denegados.

Parámetros en /etc/squid/squid.conf
Debemos definir una Lista de Control de Acceso que as u vez defina al fichero /etc/squid/sitios-denegados. Esta lista la denominaremos como denegados.
De modo tal, la línea correspondiente quedaría del siguiente modo:
acl negados url_regex "/etc/squid/sitios-denegados"
Habiendo hecho lo anterior, deberemos tener en la sección de Listas de Control de Acceso algo como lo siguiente:
#
# Recommended minimum configuration:
acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl redlocal src 192.168.1.0/255.255.255.0
acl password proxy_auth REQUIRED
acl negados url_regex "/etc/squid/sitios-denegados"
A continuación especificaremos una regla de control de acceso para dicha Lista de Control de Acceso:
http_access deny negados
Note que esta debe ir antes de cualquier otra regla que permita el acceso a cualquier otra lista. Ejemplo:
Reglas de control de acceso: denegación de sitios.
#
# INSERT YOUR OWN RULE(S) HERE TO ALLOW ACCESS FROM YOUR CLIENTS
#
http_access deny negados
http_access allow localhost
http_access allow redlocal password
http_access deny all
Si por ejemplo el incluir una palabra en particular afecta el acceso a un sitio Web, puede generarse una lista de dominios o palabras que contengan un patrón
pero que consideraremos como apropiados.
Como ejemplo: vamos a suponer que en la lista de sitios denegados está la palabra sex. esta denegaría el acceso a cualquier nombre de dominio que incluya dicha cadena de caracteres, como extremesex.com. Sin embargo también estaría bloqueando a sitios como sexualidadjovel.cl, el cual no tiene que ver en lo absoluto con pornografía, sino orientación sexual para la juventud. Podemos añadir este nombre de dominio en un ficheros que denominaremos
/etc/squid/sitios-inocentes.

Este fichero será definido en una Lista de Control de Acceso del mismo modo en que se hizo anteriormente con el fichero que contiene dominios y palabras
denegadas. acl inocentes url_regex "/etc/squid/sitios-inocentes"
Para hacer uso de el fichero, solo bastará utilizar la expresión ! en la misma línea utilizada para la Regla de Control de Acceso establecida para denegar el
mismo.

http_access deny negados !inocentes
La regla anterior especifica que se denegará el acceso a todo lo que comprenda la Lista de Control de Acceso denominada denegados excepto lo que comprenda la Lista de Control de Acceso denominada inocentes. es decir, se podrá acceder sin dificultad a www.sexualidadjoven.cl manteniendo restricción para la cadena de caracteres sex.
Finalmente, solo bastará reiniciar Squid para que tomen efecto los cambios y podamos hacer pruebas.
/etc/rc.d/init.d/squid restart
4. Cómo configurar Squid: Acceso por Autenticación.
Introducción.
Es muy útil el poder establecer un sistema de autenticación para poder acceder hacia Internet, pues esto permite controlar quienes si y quienes no accederán
a Internet sin importar desde que máquina de la red local lo hagan. Sera de modo tal que tendremos un doble control, primero por dirección IP y segundo
por nombre de usuario y contraseña.
Para tal fin nos valdremos de un programa externo para autenticar, como es ncsa_auth, de la NCSA (National Center for Supercomputing Applications), y
que ya viene incluido como parte del paquete principal de Squid en la mayoría de las distribuciones actuales.

Para poder llevar la cabo los procedimientos descritos el los documentos relacionados, usted necesitará tener instalado al menos lo siguiente:
squid-2.4.STABLE1
apache-1.3.22

Procedimientos
Creación del fichero de contraseñas.
Se requerirá la creación previa de un fichero que contendrá los nombres de usuarios y sus correspondientes contraseñas (cifradas). El fichero puede
localizarse en cualquier lugar del sistema, con la única condición que sea asequible para el usuario squid.
Debe procederse a crear un fichero /etc/squid/squid-passwd:
touch /etc/squid/squid-passwd
Como medida de seguridad, este fichero debe hacerse leíble y escribible solo para el usuario squid:
chmod 600 /etc/squid/squid-passwd
chown squid:squid /etc/squid/squid-passwd
A continuación deberemos dar de alta las cuentas que sean necesarias, utilizando el comando htpasswd -mismo que viene incluido en el paquete
apache-1.3.22-. Ejemplo:
htpasswd /etc/squid/squid-passwd joseperez
Lo anterior solicitará teclear una nueva contraseña para el usuario joseperez y confirmar tecleando ésta de nuevo. Repita con el resto de las cuentas que
requiera dar de alta.
Todas las cuentas que se den de alta de este modo son independientes a las ya existentes en el sistema. Al dar de alta una cuenta o cambiar una contraseña lo
estará haciendo exclusivamente para el acceso al servidor Proxy. Las cuentas son independientes a las que se tengan existentes en el sistema como serían
shell, correo y Samba.

Desarrollan software gratuito para localizar a ladrones de laptops

deona, fruto de la cooperación entre la Universidad de San Diego y la de Washington, es un sistema que guía a los dueños de los ordenadores portátiles robados hasta la última dirección IP utilizada.

San Francisco.- Sufrir el robo de un portátil hoy en día supone dar por perdidos documentos y archivos a veces irrecuperables, pero varios programas de software permiten rastrear al ladrón y, eventualmente, recuperar el ordenador.

Cientos de miles de ordenadores portátiles “desaparecen” cada año en EU, bien por robo o descuido. Sólo en los aeropuertos del país se pierden cada semana unos 10,000 aparatos, generalmente porque los dueños los olvidan en los controles de seguridad.

A las molestias por la pérdida de documentos y el coste económico se une el riesgo para la seguridad.

El pasado marzo, por ejemplo, salió a la luz el robo de un portátil perteneciente al Gobierno estadounidense que contenía datos confidenciales de 2,500 participantes en un estudio oficial.

Para impedir incidentes como éste, varios programas informáticos permiten a los propietarios rastrear la ubicación de sus portátiles basándose en la localización de la dirección IP.

El último en aparecer es Adeona, fruto de la cooperación entre la Universidad de San Diego y la de Washington, un software de código abierto que, a diferencia de otros que ya existen en el mercado, es gratuito.

Llamado como la diosa mitológica romana encargada de devolver los niños perdidos a sus padres, Adeona guía a los dueños de los ordenadores portátiles robados hasta los ladrones o, al menos, hasta la última dirección IP utilizada.

Esta dirección IP es una secuencia numérica que identifica un ordenador conectado a la red.

“El usuario descarga gratuitamente el programa y éste empieza a enviar notas codificadas a un servicio de servidores llamado OpenDHT”, explicó a EFE Gabriel Maganis, investigador de la Universidad de Washington y participante en el proyecto.

Estas notas contienen información sobre la dirección IP del portátil. En caso de robo, el dueño accede al programa, introduce su contraseña y puede ver la última dirección usada además de obtener datos sobre los routers cercanos usados para conectarse a Internet.

Adeona no proporciona exactamente la calle y el teléfono del ladrón, pero permite conocer información valiosa que ayude a localizar el aparato.

“Una vez que el dueño tiene esta información, recomendamos que se dirija con ella a la policía”, dijo Maganis.

En el mercado existen programas similares como Lojack y Brigadoon PC Phone Home, pero cuestan unos 30 dólares al año y a muchos usuarios les preocupa también que información delicada como la localización de su ordenador acabe en manos de empresas comerciales.

“Para nosotros, la privacidad es nuestra mayor preocupación”, dijo Maganis. “Sólo el usuario tiene la clave para acceder a sus datos en Adeona y ello asegura que no habrá terceras personas que puedan localizar el ordenador”.

Los desarrolladores de Adeona afirman también con orgullo que se trata de un software de código abierto, lo que permitirá a sus usuarios modificarlo para adaptarlo a sus necesidades o desarrollar otras aplicaciones.

Así, por ejemplo, confían en que alguien desarrolle un sistema de localización por GPS que funcione en otros aparatos, como el teléfono móvil iPhone, y que permitiría ver sobre un mapa de Google, por ejemplo, aproximadamente dónde está nuestro portátil robado.

que es un sistema RAID en discos duros

El concepto de RAID fue desarrollado por un grupo de científicos en la Universidad de California en Berkley en 1987. Los científicos investigaban usando pequeños discos duros unidos en un arreglo (definido como dos o más HD agrupados para aparecer como un dispositivo único para el servidor) y compararon el rendimiento y los costes de este tipo de configuración de almacenamiento con el uso de un SLED (un solo disco grande y caro), común en aplicaciones de MainFrames (estaciones de trabajo).

Su conclusión fue que los arreglos de discos pequeños y poco costosos ofrecían el mismo o un mejor rendimiento que los SLED.

Al ver que este sistema era verdaderamente factible, propusieron 5 tipos de arreglos redundantes definiéndolos como RAID Nivel 1 hasta 5. El nivel del RAID es simplemente la arquitectura que determina como se logra la redundancia y como los datos están distribuidos a través de los HD del arreglo.

Adicional al RAID 1 hasta 5, una configuración de arreglo no redundante que emplea partición de datos (esto es partir los archivos en bloques pequeños y distribuir estos bloques a través de los HD del arreglo), esto es conocido como RAID 0.

RAID 0

También llamado partición de los discos, los datos son distribuidos a través de discos paralelos. RAID 0 distribuye los datos rápidamente a los usuarios, pero no ofrece mas protección a fallas de hardware que un simple disco.

RAID 0

RAID 1

También llamado Disco Reflejado provee la mas alta medida de protección de datos a través de una completa redundancia. Los datos son copiados a dos discos simultáneamente. La disponibilidad es alta pero el costo también dado que los usuarios deben comprar dos veces la capacidad de almacenamiento que requieren.

RAID 1

RAID 0/1

Combina Disco Reflejado y partición de datos. El resultado es gran disponibilidad al mas alto rendimiento de entrada y de salida para las aplicaciones de negocios mas criticas. A este nivel como en el RAID 1 los discos so n duplicados. Dado que son relativamente no costosos, RAID 0/1 es una alternativa para los negocios que necesitan solamente uno o dos discos para sus datos, sin embargo, el costo puede convertirse en un problema cuando se requieren mas de dos discos.

RAID 3

Logra redundancia sin reflejado completo. El flujo de los datos es repartido a través de todos los HD de datos en el arreglo. La información extra que provee la redundancia esta escrito en un HD dedicado a la paridad. Si cualquier HD del arreglo falla, los datos perdidos pueden ser reconstruidos matemáticamente desde los miembros restantes del arreglo. RAID 3 es especialmente apropiado para procesamiento de imagen, colección de datos científicos, y otras aplicaciones en las cuales grandes bloques de datos guardados secuencialmente deben ser transferidos rápidamente.

RAID 3

RAID 5

Todos los HD en el arreglo operan independientemente. Un registro entero de datos es almacenado en un solo disco, permitiendo al arreglo satisfacer múltiples requerimientos de entrada y salida al mismo tiempo. La información de paridad esta distribuida en todos los discos, aliviando el cuello de botella de acceder un solo disco de paridad durante operaciones de entrada y salida concurrentes. RAID 5 está bien recomendado para procesos de transacciones on-line, automatización de oficinas, y otras aplicaciones caracterizadas por gran numero de requerimientos concurrentes de lectura. RAID 5 provee accesos rápidos a los datos y una gran medida de protección por un costo mas bajo que el Disco Reflejado.

RAID 5

RAID 10

La información se distribuye en bloques como en RAID-0 y adicionalmente, cada disco se duplica como RAID-1, creando un segundo nivel de arreglo. Se conoce como "striping de arreglos duplicados". Se requieren, dos canales, dos discos para cada canal y se utiliza el 50% de la capacidad para información de control. Este nivel ofrece un 100% de redundancia de la información y un soporte para grandes volúmenes de datos, donde el precio no es un factor importante. Ideal para sistemas de misión crítica donde se requiera mayor fiabilidad de la información, ya que pueden fallar dos discos inclusive (uno por cada canal) y los datos todavía se mantienen en línea.

RAID 10

RAID 30

Se conoce también como "striping de arreglos de paridad dedicada". La información es distribuida a través de los discos, como en RAID-0, y utiliza paridad dedicada, como RAID-3 en un segundo canal. Proporciona una alta fiabilidad, igual que el RAID-10, ya que también es capaz de tolerar dos fallos físicas de discos en canales diferentes, manteniendo la información disponible. RAID-30 es el mejor para aplicaciones no interactivas, tales como señales de vídeo, gráficos e imágenes que procesan secuencialmente grandes archivos y requieren alta velocidad y disponibilidad.

RAID 50

Con un nivel de RAID-50, la información se reparte en los discos y se usa paridad distribuida, por eso se conoce como "striping de arreglos de paridad distribuida". Se logra fiabilidad de la información, un buen rendimiento en general y además soporta grandes volúmenes de datos. Igualmente, si dos discos sufren fallas físicas en diferentes canales, la información no se pierde. RAID-50 es ideal para aplicaciones que requieran un almacenamiento altamente confiable, una elevada tasa de lectura y un buen rendimiento en la transferencia de datos. A este nivel se encuentran aplicaciones de oficina con muchos usuarios accediendo pequeños archivos, al igual que procesamiento de transacciones.

RAID 50

Hasta la fecha, cada vez que un profesional deseaba utilizar un sistema de arreglo redundante RAID, la única solución factible era el uso obligado de adaptadores y discos dotados de la interfaz de conexión SCSI. A pesar del elevado y eficiente rendimiento de este interfaz, sus prestaciones suelen exceder las necesidades medias de los sistemas informáticos de buena parte de las PYMES, con el inconveniente añadido de su elevado coste, circunstancia que se hace mas patente conforme se va subiendo en el escalafón de las sucesivas generaciones SCSI. De tal forma, la sustancial mejora experimentada en el estándar EIDE, empleada masivamente en el diseño de discos duros dirigidos al mercado de consumo, ha hecho posible su entrada en el más elitista sector de los sistemas de tolerancia a fallos RAID.

En síntesis, bajo las actuales y más modernas generaciones de discos duros EIDE (UtraDMA/66, UltraDMA/100) y gracias a la sustancial mejora de las prestaciones de este tipo de unidades, ya es posible, por un módico precio, contar con una de estas controladoras en nuestra estación de trabajo o pequeño servidor empresarial.

RECOMENDACIONES FINALES.

• PARA UN USUARIO NORMAL

  * 4,5GB mínimo
  * 5400RPM
  * 10ms de tiempo de acceso
  * Buffer de 128KB
  * Modo Ultra DMA-33
  

• PARA UN USUARIO DE ALTAS PRESTACIONES

  * 6,5GB mínimo
  * 7200RPM
  * 8ms de tiempo de acceso
  * Buffer de 512KB
  * Modo Ultra DMA-33, DMA-66 o SCSI
  

• PARA UN SERVIDOR O UNA ESTACÍON GRAFICA

  * 6,5GB mínimo
  * 7200RPM a 10.000rpm
  * 8ms de tiempo de acceso
  * Buffer de 1MB
  * Modo ULTRA-SCSI o ULTRA-WIDE SCSI

configuracion de de vlan switche cisco

espero que este articulo les sirva de gran ayuda


El siguiente es un pequeño resumen sobre comandos para configurar un switch cisco y algunos de router, espero que les sea útil como lo es para mi.



Rip
NewYork(config)#interface fastethernet0/0
NewYork(config-if)#ip address 192.168.50.129 255.255.255.192
NewYork(config-if)#ip rip send version 1
NewYork(config-if)#ip rip receive version 1
NewYork(config)#interface fastethernet0/1
NewYork(config-if)#ip address 172.25.150.193 255.255.255.240
NewYork(config-if)#ip rip send version 1 2

Show ip protocols
show interface interface
show ip interface interface
show running-config
Show ip rip database
OSPF
Router(config)#router ospf process-id
Router(config-router)#network address wildcard-mask area area-id

Router(config)#interface lookback 0
Router(config-if)#ip address 192.168.3.33 255.255.255.255

Rtr(config-if)# bandwidth 64
Rtr(config-if)# ip ospf cost 1562

Autenticación sin md5
Router(config-if)#ip ospf authentication-key password
Router(config-router)#area area-number authentication

Autenticación con md5
Router(config-if)#ip ospf message-digest-key key-id encryption-type md5 key
Router(config-router)#area area-id authentication message-digest

Router(config-if)#ip ospf hello-interval seconds
Router(config-if)#ip ospf dead-interval seconds
debug ip ospf events
--aumentar la prioridad para elegir un router DR
sw(config)#interface fasethernet 0/0
sw(config-if)#ip osfp priority 50
sw(config-if)#end



EIGRP

Router(config)#router eigrp as-id
Router(config-router)#network 192.168.3.0
Router(config-router)#end
Router# show ip eigrp topology

eigrp log-neighbor-changes
resumen de rutas: router(config-router)#no auto-summary



Switch

Switch# dir flash:
Switch#show flash
Switch#show vlan

Switch#vlan database
Switch(vlan)#vlan vlan_number
Switch(vlan)#exit
Switch(config)#interface fastethernet 0/9
Switch(config-if)#switchport access vlan vlan_number
Switch#vlan database
Switch(vlan)#no vlan 300
Switch(config)#interface fastethernet 0/9
Switch(config-if)#switchport access vlan vlan_number

Sw1#delete flash:vlan.dat
Sw1#erase startup-config
Sw1#reload

Interface web
Sw1(config)#ip http port 80

Ver la tabla MAC:
Switch#show mac-address-table (? Mas opciones)
Switch#clear mac-address-table

Asignar una mac estatica


•Switch(config)#mac-address-table static interface FastEthernet number="" vlan name=""
•Switch(config)#no mac-address-table static interface FastEthernet number="" vlan name=""
Seguridad de Puerto

Sw1(config)#interface fastETehernet 0/2
Sw1(config-if)#switchport port-security ?(sale las opciones)

Limitar la cantidad de host por puerto
1900:
Sw1(config)#interface fastETehernet 0/2
Sw1(config-if)#port secure mas-mac-count 1


2950:
Sw1(config)#interface fastETehernet 0/2
Sw1(config-if)#switchport port-security maximum 1

Configuracion del Puerto que se desconecte cuando se produce una violacion de seguridad

Sw(config-if)#switchport port-security violation shutdown


2900xl:
Sw(config-if)#port security action shutdown



Poner Ip a la Vlan1

Catalyst 2950
Sw(config)#interface Vlan1
Sw(config-if)#ip address 192.168.1.2 255.255.255.0
Sw(config-if)#no shutdown

Sw(config)# ip default-gateway 192.168.1.1

Catalyst 1900
Sw(config)#ip address 192.168.1.2 255.255.255.0

Sw(config)# ip default-gateway 192.168.1.1


Archivos de configuracion

Sw# copy running-config startup-config

1900:
Sw#copy nvram tftp://tftp server ip add/destination_filename


COnfiguracion de la velocidad

Switch(config)#interface fastethernet 0/9
Switch(config-if)#duplex full
Switch(config-if)#speed 100


Crear el trunk del switch

Sw(config)#interface fastethernet 0/1
Sw(config-if)#swicthport mode trunk
Sw(config-if)#end

2900:
Sw(config)#interface fastethernet 0/1
Sw(config-if)#swicthport mode trunk
Sw(config-if)#swicthport trunk encapsulation dot1q
Sw(config-if)#end

1900:
Sw(config)#interface fastethernet 0/1
Sw(config-if)#swicthport mode trunk
Sw(config-if)#swicthport trunk encapsulation dot1q
Sw(config-if)#end

Trunk en el router

Router(config)#interface fastethernet 0/0
Router(config-if)#no shutdown
Router(config-if)#interface fastEthernet 0/0.1
Router(config-subif)#encapsulation dot1q vlan-number
Router(config-subif)#ip address…….


router1#copy running-config tftp


Quitar un Puerto de una VLAN
Switch(config)#interface fasethernet 0/9
Switch(config-if)#no switchport access vlan 300

Eliminar una vlan

Switch#vlan database
Switch(vlan)#no vlan 300

Spanning tree
show spanning-tree

Configuracion de VTP
switch#vlan database
switch#vtp v2-mode

switch(vlan)#vtp domain password

switch#vtp {client | server | transparent}


Copiar el IOS a un server tftp

Sw#copy flash tftp

2900: sw#copy flash:nombre_del_archivo tftp


Copiar IOS desde un Server tftp
Sw#copy TFTP flash

Sw# copy Start tftp

1900: sw#copy nvram tftp://numero-ip/name

Sw#copy tftp startup-config

1900: sw#copy tftp://numero-ip/name nvram


Recuperar el acceso al switch

1. Apagar el switch, Vuelva a encenderlo mientras presiona el boton MODE en la parte delantera del switch. Deje de presionar el boton MODE una vez que se apague el led de STAT
2. introducir los siguientes comandos:
flash_init
load_helper
dir flash:
3. rename flash:config.text flash:config.old
4. reiniciar el sistema original:
4.1 despues de entrar al switch hacer: rename flash:config.old flash:config.text
4.2 sw#copy flash:config.text system:running-config
4.3 Cambiar los password

Actualizar el firmware

Sw#show boot (muestra el archive de boteo)

Cambiar el nombre del archivo de la ios,con el commando #rename flash:nombre flash:Nuevo_nombre

Sw(config)#no ip http Server
Sw# delete flash:html/*

Extraer la nueva version del IOS

Sw#archive tar /x tftp://192.168.1.3/nombre_del_archivo.tar flash:
Sw(config)#ip http Server
Sw(config)#boot system flash:nombre.bin


Spanning-Tree

#show spanning-tree brief
Cambiar prioridad: ios 12.0 sw(config)#spanning-tree priority 1
sw(config)#exit

Oracle publicará parches para 45 problemas de seguridad

Oracle ha anunciado que en su ciclo trimestral de publicación de 
parches, (previsiblemente hoy 15 de julio) se corregirán 45 problemas 
de seguridad en sus productos. 
 
Para la próxima CPU (Critical Patch Update) de Oracle, se solucionarán 
45 problemas de seguridad en total. 11 de estos parches estarán 
destinados a corregir fallos en Oracle Database, producto "estrella" de 
la compañía. 9 para Oracle Application Server, 6 para Oracle E-Business 
Suite, 2 para Oracle Enterprise Manager, 7 para productos Oracle 
PeopleSoft Enterprise, 7 para Oracle WebLogic Server y 3 para Oracle 
TimesTen In-Memory Database. 
 
De estos fallos mencionados, al parecer ninguno de los 11 para la base 
de datos son especialmente graves, pues no necesitarían autenticación 
para ser aprovechados de forma remota. 
 
Oracle acumula este año 112 problemas de seguridad (a la espera del 
grupo de parches de octubre), lo que supone una considerable mejora con 
respecto a años anteriores. En 2007 publicó más de 180 parches. En 2006, 
batió todas las marcas con casi 300 problemas de seguridad solucionados 
sólo ese año. 
 
Desde enero de 2007 Oracle anuncia con antelación algunos detalles de lo 
que publicará el día de parcheo. Esto supuso un paso más en su nueva 
apuesta por mejorar la estrategia de seguridad de la empresa. Un primer 
acercamiento fue el unificar los parches de forma mensual, luego 
trimestral, más tarde incluir más y mejor información en sus boletines y 
por último anunciar con cierta antelación detalles sobre lo que será 
publicado el día que se liberen las actualizaciones. 
 
Esta será la primera vez que el grupo de parches de Oracle incluya 
actualizaciones para WebLogic Server, producto de BEA Systems que fue 
adquirido por Oracle en enero de este mismo año. También para Hyperion y 
TimesTen Database, tecnología también absorbida hace tiempo por el 
gigante de las bases de datos. 
 
Hispasec Sistemas publicará puntualmente a través de este boletín 
información detallada sobre los nuevos parches.

Actualización de Sun Java por múltiples problemas de seguridad

Sun Microsystems ha publicado actualizaciones para Java que solventan múltiples vulnerabilidades en el Java Runtime Environment (JRE) y Java Development Kit (JDK) que podrían permitir a un atacante remoto elevar privilegios, efectuar una denegación de servicio y potencialmente ejecutar código arbitrario. Sun ha lanzado un total de ocho boletines de seguridad en los que se dan a conocer las siguientes vulnerabilidades: * Un fallo en el procesamiento XML podría permitir acceder a ciertos recursos URL no especificados y potencialmente denegar el servicio en la máquina que este ejecutando el JRE. Afecta a JRE y JDK 6 Update 6 y anteriores. * Existe otro fallo en JRE al procesar XML que podría permitir que una aplicación o applet no confiable tuviera acceso a ciertos recursos URL, tales como archivos o páginas web.

Afecta a JRE y JDK 6 Update 6 y anteriores; JRE y JDK 5.0 Update 15 y anteriores. * Un desbordamiento de la memoria intermedia en el procesamiento de fuentes del JRE podría permitir a un applet o aplicación sin autenticar leer y escribir archivos locales y potencialmente ejecutar aplicaciones que estén accesibles. Afecta a JRE y JDK 5.0 Update 9 y anteriores; JRE y SDK 1.4.2_17 y anteriores; JRE y SDK 1.3.1_22 y anteriores.

Una vulnerabilidad no especificada en el soporte de lenguajes de scripting del JRE podría permitir a un applet o aplicación sin autenticar elevar privilegios. Afecta a JRE y JDK 6 Update 6 y anteriores. * Un fallo en el agente JMX del JRE podría permitir a un agente JMX remoto ejecutar operaciones no autorizadas en un sistema con la opción de monitorización local JMX activada. Afecta a JRE y JDK 6 Update 6 y anteriores; JRE y JDK 5.0 Update 15 y anteriores. * Una vulnerabilidad no especificada en la máquina virtual del JRE podría permitir a un applet o aplicación sin autenticar leer y escribir archivos locales y potencialmente ejecutar aplicaciones que estén accesibles. Afecta a JRE y JDK 6 Update 6 y anteriores; JRE y JDK 5.0 Update 15 y anteriores / SDK y JRE 1.4.2_17 y anteriores). * Varios fallos de seguridad no especificados en el JRE podrían permitir a un applet o aplicación remota especialmente manipulada saltar restricciones de seguridad y acceder a recursos de la red con los privilegios de un applet o aplicación que hubiese sido descargada y ejecutada en una máquina local. Afecta a JRE y JDK 6 Update 6 y anteriores; JRE y JDK 5.0 Update 9 y anteriores; JRE y SDK 1.4.2_17 y anteriores; JRE y SDK 1.3.1_22 y anteriores. * Un desbordamiento de la memoria intermedia en Java Web Start podría permitir a una aplicación Java Web Start elevar privilegios a través de vectores no especificados. Afecta a JRE y JDK 6 Update 3 y anteriores; JRE y JDK 5.0 Update 15 y anteriores; JRE y SDK 1.4.2_17 y anteriores. * Una vulnerabilidad no especificada en Java Web Start podría permitir a una aplicación Java Web Start crear archivos arbitrariamente con los permisos del usuario que la ejecute. Afecta a JRE y JDK 6 Update 6 y anteriores; JRE y JDK 5.0 Update 15 y anteriores; JRE y SDK 1.4.2_17 y anteriores. * Una vulnerabilidad no especificada en Java Web Start podría permitir a una aplicación Java Web Start crear o borrar archivos arbitrariamente con los permisos del usuario que la ejecute. Afecta a JRE y JDK 5.0 Update 15 y anteriores; JRE y SDK 1.4.2_17 y anteriores.

Una vulnerabilidad no especificada en Java Web Start podría permitir a una aplicación Java Web Start determinar la ruta donde se encuentra la cache de Java Web Start. Afecta a JRE y JDK 6 Update 6 y anteriores; JRE y JDK 5.0 Update 15 y anteriores; JRE y SDK 1.4.2_17 y anteriores. *La última vulnerabilidad está causada por un defecto en la implementación de Secure Static Versioning que podría permitir que ciertos applets se ejecutaran en una versión antigua de JRE a pesar de tener instalada una versión más reciente. Es recomendable desinstalar de forma manual las versiones antiguas de Java, debido a que esto no se realiza de forma automática durante el proceso de instalación de una nueva versión.

Los nuevos agentes HP-UX completan las funcionalidades de monitorización UNIX de Tango/04

• Ahora, VISUAL Message Center de Tango/04 monitoriza y gestiona el rendimiento de la mayoría de tipos de servidores UNIX, incluídos HP-UX y los ya soportados AIX y Sun Solaris.
• Las empresas con servidores HP-UX en su infraestructura pueden obtener todas las ventajas de las funcionalidades de Gestión de Niveles de Servicio (SLA) y de Gestión de Servicios de Negocio (BSM) en tiempo real de VISUAL Message Center.
  

BARCELONA, 27 de marzo de 2007 - Las empresas que utilizan servidores HP-UX ahora pueden mejorar la disponibilidad y rendimiento de sus aplicaciones y servicios de negocio críticos utilizando los nuevos agentes HP-UX de VISUAL Message Center, la solución de monitorización de operaciones de TI y de Gestión de Servicios de Negocio de Tango/04.

Tango/04 Computing Group, desarrollador líder de soluciones de software para Gestión de Sistemas, Auditoría de Seguridad, Monitorización de Operaciones y Gestión de Servicios de Negocio, ha lanzado hoy un conjunto de nuevos agentes HP-UX. Con estos nuevos agentes, VISUAL Message Center puede monitorizar y gestionar la disponibilidad y rendimiento de servicios de negocio que incluyan la versión de Hewlett Packard del sistema operativo UNIX como parte de la infraestructura que los soporta.

Con la inclusión de estos nuevos monitores, VISUAL Message Center ayuda ahora a los departamentos de TI a gestionar todos los grandes sistemas UNIX, ya que estos nuevos agentes HP-UX complementan la ya existente gama de Agentes AIX, Sun Solaris, Linux y otros agentes para VISUAL Message Center. Empresas con infraestructuras multiplataforma que comprendan cualquier combinación de servidores Windows, iSeries, Linux y UNIX pueden beneficiarse de la extrema facilidad de uso y de las potentes funcionalidades de Gestión de Sistemas, Operaciones, Niveles de Servicio y Servicios de Negocio de VISUAL Message Center.

"Las infraestructuras de TI que soportan servicios críticos de negocio se están volviendo cada vez más heterogéneas y complejas. Los departamentos de informática necesitan desesperadamente simplificar su gestión monitorizando cada componente, servidor, aplicación y dispositivo desde una única consola," dice Raúl Cristián Aguirre, Gerente de Tango/04 Computing Group. "Lo que distingue a VISUAL Message Center es el hecho de que la monitorización puede realizarse tanto a nivel de componente como de aplicación. Con ello es fácil conocer el impacto real de un problema, la causa raíz de un fallo y asegurar la integridad, disponibilidad y rendimiento óptimo de los procesos de negocio."

La SmartConsole de VISUAL Message Center consolida eventos de toda la infraestructura TI, incluyendo servidores HP-UX, ordenándolos conforme a modelos de procesos de negocio personalizados, y representándolos en paneles de control gráfico para operadores o en vistas de negocio de alto nivel para la gerencia. Incluso puede ser accedido desde cualquier lugar vía web utilizando la WebSmartConsole.

Los nuevos agentes HP-UX de Tango/04 incluyen los siguientes grupos de monitores:

• Uso del Sistema de Archivo
  
• Información de Procesos
  
• Abusadores de CPU
  
• Uso de CPU
  
• Uso de Memoria Física
  
• Promedio de Carga
  
• Número de Procesos
  
• Estadísticas de Memoria Virtual
  

Además, VISUAL Message Center ofrece otros agentes y monitores UNIX que pueden complementar los nuevos agentes HP-UX, incluyendo el agente Syslog, los monitores de servicios de red (POP3, SMTP, SNMP, FTP, etc.), los monitores de aplicaciones web (HTTP, transacciones web, etc.), el Applications Agent (analizador universal de logs multi formato), y muchos más.

Los directores de informática con sistemas HP-UX en su infraestructura podrán obtener todas las ventajas de las potentes funcionalidades de BSM y Gestión de Niveles de Servicio de VISUAL Message Center, permitiéndoles simplificar la gestión de su infraestructura multiplataforma, alinearla con sus prioridades de negocio, cumplir con los cada vez más exigentes Acuerdos de Niveles de Servicio (SLAs), y demostrar a la gerencia que tienen todo bajo control.

Acerca de Tango/04 Computing Group

Tango/04 Computing Group es una de las principales empresas desarrolladoras de software de gestión y automatización de la infraestructura informática y de Gestión de Servicios de Negocio (BSM). El software de Tango/04 ayuda a las empresas a mantener la salud operativa de sus procesos de negocio, mejorar sus niveles de servicio, incrementar su productividad y reducir costes mediante una gestión inteligente de su infraestructura informática.

Tango/04 tiene más de mil clientes y mantiene operaciones en todo el mundo a través de una red de 35 Business Partners. Nuestros clientes incluyen a empresas como ABN Amro, ABX Logistics, ADT, Aviva, Banque de Luxembourg, Bacardi, BankBoston, Banque Rotschild, BBVA, becom Informatiesystemen, Boehringer Ingelheim, Bridgestone Firestone, BSCH, CelTel, Certegy, Coca-Cola, Carrefour, Dole Fresh Fruit, EDS, FootLocker, Fortis Bank Commercial Finance, Fritz Meyer, Genesis MetLife, Miele, Henry Schein, ING, L'Oréal, Manpower, Nationale Nederlanden, Nike, Norge Gruppen, Pierre Fabre, Repsol YPF, Shell, Sligro, Stora Enso, Stratapult, Telmex, Universal Music, y Zurich Seguros.

Citrix muestra públicamente software que permite el acceso a servidores Windows desde el iPhone

Citrix es una empresa dedicada al software y muy conocida en ambientes profesionales por sus productos de acceso remoto que facilitan la ejecución de aplicaciones a través de máquinas distintas de forma transparente para el usuario. En su cartera de productos se ofrecen programas básicamente para Windows, pero también aplicaciones que permiten la ejecución remota de software de Windows desde desktops Unix.

Si a esto le unimos el gran éxito que están teniendo tanto el iPhone cómo el iPod Touch, tenemos que el interés de poder llegar a las aplicaciones de escritorio desde los dispositivos móviles de Apple se ha disparado. Además, otros factores convergen para fomentar este interés, empezando por la disponibilidad de conexión por WiFi que presentan ambos dispositivos y acabando por el enfoque cada vez más acentuado que Apple le está dando al iPhone hacia el segmento corporativo. Buena muestra de esto último es la inclusión de correo electrónico push mediante un servicio propio llamado MobileMe, la compatibilidad con servidores Exchange y el software para conexión a redes privadas virtuales Cisco.

A todo ello, además, debemos sumarle el interés que ha despertado el iPhone entre las grandes empresas de software corporativo. Es el caso de SAP, que ha estado desarrollando una aplicación para conectarse a sus sistemas desde el teléfono de la compañía de Cupertino.

Por todo lo enumerado hasta ahora, no es raro que Citrix se haya interesado por lanzar productos destinados a los dispositivos de Apple. Y dada su especialización, tampoco debe extrañarnos que estos se vendan cómo la forma de ejecutar Windows en un iPhone, pese a que la afirmación no es del todo cierta.

ZDNet Australia ha publicado recientemente una serie de imágenes de un acto celebrado por Citrix en Melbourne (la compañía tiene su sede en Florida, Estados Unidos) en las que se puede ver una pantalla gigante en la que corre una demo de un software que permite conectarse desde el iPhone a un servidor de aplicaciones Windows, y trabajar con el escritorio del sistema operativo de Microsoft cómo si tuviéramos a este instalado en nuestro teléfono.

Realmente, lo que hace la aplicación de Citrix es una conexión tipo escritorio remoto, tal y cómo lo hacen también otras aplicaciones cómo VNC. Esto hace que toda la potencia de cálculo necesaria para trabajar con las aplicaciones salga de la máquina remota, y lo único que veamos en el dispositivo que utilizamos para conectarnos sea una captura de pantalla del servidor.

Tal vez parezca un tema intrascendente, pero algo destacable del software de Citrix, al menos por lo que parece verse en las fotografías publicadas por ZDNet, es que adapta la resolución de pantalla al iPhone, con lo que ver el escritorio de Windows no nos supondrá hacer un esfuerzo visual.

Microsoft confirma fecha de lanzamiento para Windows 7

Según afirma el rotativo en línea InfoWorld, Bill Veghte (vicepresidente senior de servicios online y de la unidad de negocio de Windows) ha confirmado Enero de 2010 cómo la fecha de lanzamiento del futuro Windows 7 -el sucesor de Windows Vista- en una carta dirigida a los grandes clientes corporativos que tiene la compañía de Redmond.

Windows 7 hizo su entrada en la escena mediática más o menos un año después del lanzamiento de Windows Vista, el sucesor de Windows XP. Según la opinión mayoritaria entre los analistas de mercado y la prensa especializada, esto ha sido así debido a los resultados de penetración en el mercado de Windows Vista que, sin ser malos, no han sido todo lo buenos que la compañía de Redmond esperaba.

Así, las críticas se han centrado en la compatibilidad hacia atrás con numerosas aplicaciones, algo que se ha intentado solucionar con el Service Pack 1 pero de forma ya algo tardía después de que la prensa especializada y la "vox populi" insistiera especialmente en este aspecto del nuevo Windows.

El éxito de ventas de Vista es indudable, con unas cifras hasta ahora nunca alcanzadas por Microsoft. No obstante, se apunta exclusivamente a la venta de máquinas OEM con el sistema preinstalado cómo la responsable de este éxito, mientras que los usuarios que migran de XP a Vista son un número muy reducido. Los intentos de varias compañías y de los propios usuarios por alargar la vida comercial de Windows XP han sido numerosos y no han caído en saco roto; parece que el inicialmente denostado Windows XP se ha hecho a la larga un hueco en los corazones de los usuarios y que Vista no ha podido luchar contra ello.

Es también interesante ver cómo las críticas que se han vertido durante años sobre Windows XP cómo la deficiente seguridad del sistema o su estabilidad, no son las mismas que se echan sobre Windows Vista, más aquejado de los antes mencionados problemas de compatibilidad pero con una estabilidad y seguridad que prácticamente no han sido mencionadas en las críticas. ¿Será que al nuevo sistema de Microsoft se le ha "buscado las cosquillas" sistemáticamente y utilizando cualquier excusa?

La reciente aparición mediática del futuro Windows 7 parece responder a una nueva estrategia de Microsoft de "dar por perdido" en cierto sentido a Vista, considerando que ya ha jugado el papel que había venido a jugar cómo puente entre XP y 7 -independientemente que este fuera o no su enfoque inicial- y centrarse en el futuro con Windows 7, del cual se van dejando conocer detalles para empezar a abrir boca entre el público. Así, aquellos que no se hayan actualizado de XP a Vista esperarán al nuevo Windows 7 sin dejarse caer en las tentaciones de Linux...

Volviendo a la carta de Veghte de la que se hace eco InfoWorld, este afirma que el anuncio se produce por las peticiones de los usuarios de disponer de una hoja de ruta predecible para futuros lanzamientos del sistema operativo Windows.

El directivo de Microsoft también se da por "enterado" de lo mal que han sentado entre el público los problemas de compatibilidad de Vista, por lo que promete que la misma situación no se volverá a dar con Windows 7.

Se desconoce la fecha exacta en la que se desvelará todo el contenido de la carta de Bill Veghte a la que ha tenido acceso InfoWorld.

Ubuntu lanza su distribución para dispositivos MID

Tal y cómo ya anunciara Mark Shuttleworth hace un mes, Canonical ha presentado una versión de la distribución GNU/Linux Ubuntu para dispositivos móviles tipo MID (Mobile Internet Device) o ultraportátiles, especialmente optimizada para su uso con los procesadores Atom de la compañía californiana Intel.

Su nombre es Ubuntu MID Edition y no Netbook Remix cómo apuntó inicialmente Shuttleworth, se dirige a integradores de sistemas y fabricantes de hardware, y permite la inclusión de aplicaciones de terceras partes, software propietario y todo tipo de códecs.

Los MID's son una nueva clase de dispositivos, de los cuales los UMPC (Ultra-Mobile PC) son su primer representante, de pequeñas dimensiones y orientados a ofrecer todas o casi todas las funciones de una computadora portátil en un pequeño dispositivo de bolsillo. Disponen de conexión a redes de datos (Internet vía WiFi o WiMAX, y conexión mediante Bluetooth a otros aparatos electrónicos), un navegador web que les permite visitar cualquier sitio sin las limitaciones impuestas por otros dispositivos móviles cómo los teléfonos, y software multimedia para reproducir música, vídeo y escuchar emisoras de radio. En definitiva, buscan ser un centro de ocio portable combinado con una herramienta de trabajo.

La oferta de Canonical está preparada para funcionar en un dispositivo que posea una pantalla táctil con unas dimensiones de cuatro a siete pulgadas, de 2 a 8 GB. de almacenamiento en una memoria tipo Flash o en disco duro, disponga de 256 MB. de RAM cómo mínimo (recomendados 512), tenga teclado físico o virtual, soporta conexiones WiFi, WiMAX, Bluetooth, 3G y datos procedentes del sistema de posicionamiento GPS para las aplicaciones de geolocalización, y ofrece soporte para dispositivos cómo cámaras de fotos/vídeo, sistemas de manos libres o puertos USB entre otros.

Cómo software, Ubuntu MID Edition incluye un potente navegador web compatible con las aplicaciones y sitios de la Web 2.0 además del cliente de telefonía IP Skype, software de calendario, juegos, mensajería instantánea (Pidgin), cliente de Terminal Server, o lector de ebooks entre otras aplicaciones. Algunos de estos programas han sido cedidos por el proyecto Moblin, impulsado por Intel para crear una comunidad de programadores alrededor de sus MID's.

Cómo software, Ubuntu MID Edition incluye un potente navegador web compatible con las aplicaciones y sitios de la Web 2.0 además del cliente de telefonía IP Skype, software de calendario, juegos, mensajería instantánea (Pidgin), cliente de Terminal Server, o lector de ebooks entre otras aplicaciones. Algunos de estos programas han sido cedidos por el proyecto Moblin, impulsado por Intel para crear una comunidad de programadores alrededor de sus MID's.

La interfaz de usuario es totalmente personalizable según las necesidades del fabricante o integrador, pudiendo trabajar con lenguajes cómo el HTML, Flash, librerías GTK (las mismas de Gnome, el escritorio utilizado por defecto en Ubuntu) sobre C/C++ o Python, y Java entre otros.

El sitio web Phoronix ha analizado esta distro con mayor profundidad y ofrece una gran cantidad de capturas de pantalla.