No estoy hecho para ese tipo de películas

Hay un momento en la película en el que toda la historia se viene abajo. Cuando matan a Llewelyn (menudo nombre) te quedas en blanco. En el resto de la película podían poner un anuncio de la teletienda.

Por cierto, la pelicula es 'No es país para viejos'.

Momento de pánico piscinero

Segundo día que voy y al principio he vuelto a la infancia, al terror del primer día, ¿que coño pintaba alli?. La piscina era demasiado grande y hacia demasiado frío en el agua. Superado ese momento inicial de terror, he empezado hacer los largos, desapareciendo el frío al momento. En uno de los ejercicios tenía que hacer varios largos con las aletas de los pies. Joder que rápido se va con ellas, aunque las piernas te las deja listas de papeles.

Al final he terminado más cansado que el lunes. Tanto que salido por las escalerillas. Normal, hoy tenía que hacer tarde en el curro y desde allí he ido directo a la piscina.

Kingdom Rush

Pocos juegos del móvil han llegado a gustarme. Un poco el Fastlane, FlightControl y el DummyDefense. Pero eso ha cambiado con el Kingdom Rush, este juego si que ha conseguido engancharme y picarme.

La mecánica del juego es sencilla. Tienes un mapa y tienes que evitar que oleadas de enemigos llegar a una zona del mismo, para ello tienes diferentes tipo de construcciones (torres de magos, cañones, castillos de defensa, arqueros) que tiene un coste en dinero. Parte con un dinero inicial y a medida que vayas eliminando enemigos vas disponiendo de mas crédito para gastarlo en mejorar las construcciones o hacer nuevas.

El acceso a los mapas es lineal, pero a partir de cierto momento, aparecen nuevos mapas, ademas de que hay diferentes formas de pasar los mapas en función del numero de enemigos que han conseguido llegar a la zona de defensa. Todos los mapas tienen retos adicionales.

En fin, un buen juego o al menos uno que me gusta.

La muerte en forma de largo de piscina

Molido me ha dejado la piscina. Soy un desastre nadando. Carezco de fondo físico. La descoordinación de mi cuerpo es completa. Eso sí, creo que hay dos cosas que hago perfectamente, tragar agua y meterme en el agua. No sé como coño floto.

Después de todo esto, he salido contento. Es un deporte completo y salvo el peligro de morir en un intento de hacer un largo, lo he pasado bien porque he sobrevivido al primer día. Podría decirse que me gusta el riesgo.

Natación

Empezaré este mes a nadar en la piscina pública de Torreblanca. Una hora los lunes, miércoles y viernes. Vendrá bien para la espalda.

Una de mis peores recuerdos de la infancia fue tener que ir a clases de natación en el pueblo de mis padres. Lo primero que hicieron fue subirme a un trampolín de cinco metros y tirarme en la parte 'jonda' de la piscina. Creo que era el rito de iniciación del curso. Todos los padres iban ese día a ver como hacían el lanzamiento de sus hijos desde el trampolín un deporte olímpico. La falta de obra de teatro escolar hizo mucho daño...

No consiguieron que aprendiera a nadar, fuí más cabezota que ellos. Aprendí luego por mi cuenta. Mañana veré si he superado el trauma.

Recuerdos del viaje

De Barcelona me he traído un par de cosas. La primera es un decodificador de satélite, Boston DVB-4500, para poder ver la tele, que pude pasar como equipaje de mano.

La segunda es una serie de ideas para mejorar el script de notificación de intrusiones que envía por twitter. Una de ellas consiste en añadir al comentario de la ip un enlace a ripe.net que proporcione información de la ip alcahueta. Otra es añadir una lista blanca de ips que no generan alarmas.

La tercera fue un bonito recuerdo de la oficina de la empresa en Sabadell, en la que conocía algunos compañeros y pude desayunar con ellos.

También me traje alguna que otra foto, como la que hice en Segur de Calafell a un tren desde un puente peatonal. Nada del otro mundo, pero a mi me gustan los trenes.

He hecho unos cuantos kilómetros visitando Girona, Sant Boi, Sabadell, Segur de Calafell, Hospitalet y el Prat, utilizando coche y tren.

Lenta recuperación

El jueves operaron a Josemari en Bellvitge y el sábado pude hacerle una breve visita. Le acompañaban Nuri, la Vero y sus padres. Me decían sus padres que quién nos iba a decir que nos veríamos en Barcelona. No nos lo hubiéramos creído, seguro al 110%.

Lo importante es que la operación fue bien, dentro de la gravedad. Luego paso una noche y un día en la UCI, pasando posteriormente a otra unidad de UCI (o mini-uci) que tiene horario restringido de visita en vivo y en directo (una hora por la mañana, mediodía y tarde). Si continua todo correctamente, pronto estará en planta.

Todavía le queda un largo trecho por delante, pero va por le buen camino.

El final de las vacaciones tardias

Terminan, sin más. Hoy será el día de poner el orden en casa, medio abandonada durante dos semanas, mientras nos recuperamos de un resfriado que nos traemos de Barcelona. De darle curro a la lavadora con la ropa sucia de la maleta, ahora que el tiempo en Sevilla ha mejorado -nos hemos perdido la lluvia-.

Creo que no volveré a coger vacaciones tan tarde, el verano se hace muy laaaaargo.

Ryanair, Ryanair

Ryanair está causando que más de la mitad de los usuarios de avión en España viajen con un ataque de nervios, la otra mitad viaja mosqueado por que se la intentaron colar sacando el billete o en el embarque.

Novedades superfluas

Dos años llevo con mi móvil, el iphone4. En este tiempo le han dado tiempo de que saquen los de apple el iphone 4S (la repera) y el iphone5 (la repanocha). Leyendo las maravillas técnicas de rendimiento que trae, me doy cuenta de que no las necesito. Sobran al 110%.

Mi móvil no se ha vuelto una tortuga con el transcurrir de los meses y para la cuatro aplicaciones que utilizo (whastapp, issh, maps, safari, chrome, stockfish, chessdb, teléfono y música), no es necesario más procesador, ni memoria, ni mejoras en la resolución de pantalla. Las mejoras que necesita van por otros derroteros. Lo único necesario es una mayor duración de batería. Un mes sería lo ideal, pero supongo que pido demasiado, por lo que me conformo con algo menos, por ejemplo una semana. Y no me refiero a una semana 'sin', es decir, semana en las que estas sin usarlo. Sino a una semana de uso real e intensivo.

Sospecho que los móviles de ahora consumen batería sólo con mirarlos, aunque sea de reojo. ¿Vendrán equipados con algún sensor que detecta si el dueño les hecha alguna mirada, aunque sea furtiva?

Ruta por la sierra norte de Sevilla

Ciento ochenta y tres kilómetros hemos hecho hoy. Saliendo del Real de la Jara hasta el martinete, donde hemos comido, para llegar al nacimiento del Hueznar, en San Nicolás del Puerto. Luego hemos regresado por el la carrtera de Alanis, Guadalcanal y Llerena, donde hemos tomado dirección a Monesterio y Santa Olalla del Cala, para finalmente llegar a casa, en el Real de la Jara.

El trayecto hasta San Nicolás del puerto, en una carretera sin arcenes y en el que a duras penas caben dos coches, es acojonante, pero cuando te das cuenta de que te has cruzado con un único coche en sentido contrario, te sorprende más.

Y que se puede decir de ver brotar el agua en las fuentes del hueznar, joder. No pensaba que hubiera agua, y más si cabe al pensar que este año ha sido uno de los más secos, pero eso esta siempre igual, da igual que llueva o no. Parece Galicia.

Siesta con tormenta

Durante la siesta nos sorprendieron unos ruidos. Cuando logré despertarme, me día cuenta de que eran de truenos. Una tormenta de una hora ha dejado el olor de tierra mojada por toda la casa. Deberían inventar un ambientador con ese olor. Dice mi padre que por la zona del huerto han caído más de treinta litros (lo saben porque tienen una estación metoreológica en una finca de uno de mis primos).

Sin existencias

Hace tres meses cogí cita con cirugía menor para quitarme una verruga (o costra queratinosa según me pareció entender al médico). Y hoy cuando he ido no han podido quitarla porque llevan tres semanas esperando a que les envíen nitrógeno líquido. Si lo llego a saber, compro un bote y se lo llevo al médico.

He hecho doscientos kilómetros en balde -estoy distanciado del mundanal ruido de la capital en el pueblo de mis padres-.

Su nombre es Walter White

Hemos terminado de ver la primera parte de la temporada final de Breaking Bad (ocho capítulos), quedando sólo otros ochos capítulos para acabar la temporada y la serie. Los ocho últimos se emitirán a mediados del año que viene.

No sé porque coño dicen que es una única temporada de dieciséis capítulos en lugar de dos temporadas de ocho capítulos. Pero independiente de esto, me queda la duda de si la cagaran al final o no. Ya lo veremos, pero de momento la estamos disfrutando.

Pruebas con swatch y twitter satisfactorias

He terminado de hacer las pruebas con swatch. Ahora estoy en disposición de mandar los mensajes de los logs de las máquinas de casa que desee a twitter, solo hay que escribir la expresión regular¹ al uso. Pongo las dos expresiones regulares para detectar que alguien se ha logado en el ssh y de que el sslh ha detectado una conexión de ssh en el puerto HTTPS y la reenvia al SSH.

watchfor /(^(.*) sshd(.*): Accepted password for (.*) from (.*) port (.*) ssh2$)/

watchfor /(^(.*) sslh(.*): connection from (.*) forwarded (.*)$)/

Queda para nota controlar la cantidad de mensajes a enviar, puesto que twitter aplica algunas restricciones que bloquearían algunos mensajes, sobre todo si llegan muy rápido.

¹ Las expresiones regulares nunca serán lo suficientemente reconocidas.

Actualización: Instalado en los dos equipos de casa, añadido el control de cuando se puede mandar a twitter (un fichero de control se encarga de esto, estando el demonio siempre funcionando).

La puerta del baño

La biblioteca de Camas es un lugar sagrado. Allí he pasado mucho tiempo estudiando (también haciendo como el que estudiaba). El edificio que la alberga tiene un diseño arquitectónico que en su momento se consideró vanguardista y que desde entonces imitaron otras bibliotecas españolas, que personalmente me encanta. Además de todo eso, cuenta con un personal y una atención al público exquisita, encabezada por su bibliotecario Don Cristobal como por cientos de voluntarios que han pasado por sus instalaciones.

Pero volviendo al diseño arquitectónico del edificio, en la fase de construcción surgieron algunos inconvenientes, que provocan el asombro. Uno de esos inconvenientes se dio en una de las puertas de los aseos, que ha quedado para la posteridad. No dudo de que haya habido intentos de corregir el problema, pero soy de los opina que mejor dejarlo así, como una peculiaridad del edificio.

Vista exterior

Vista interior con la puerta entreabierta

Colaboraciones externas

Dos artículos he publicado en un blog que creamos un compañero del curro y yo. Los dos artículos técnicos hablan de las herramientas pdsh y expect, buscando ir un poco más allá de la administración simple de sistemas, dirigiéndose a lo que llamo la administración masiva de sistemas.

• SSH en paralelo
• Automatizando con Expect

Configurando la ausencia

Da cierto gustirrinín configurar las respuestas automáticas del correo para decir que estoy de vacaciones. Hoy comienzan.

Aventuras arqueológicas submarinas en el desierto del Sahara

El no va más en series de divulgación científica. Incluye cien minutos de ruido blanco comentado y con subtítulos. No apto para personas con dolencias cardiacas.

No reinventar la rueda

Pretendía hacer un pequeño demonio que leyese los logs del mini-pc buscando las entradas de login ssh y del sslh para que luego las mandase a twitter a modo de pequeño robotito chivato, pero no es necesario escribirlo.

Existe un demonio llamado swatch escrito en perl que lee un determinado fichero de log en busca de una cadena y cuando le encuentra ejecuta el programa que necesite. Luego hay un librería llamada twitter-php que puede utilizar para mandar mensajes a la cuenta de twitter.

Así que tengo el 90% del trabajo hecho. No hizo falta reinventar la rueda.

Invasión de polillas

Creo que debe haber una plaga de polillas por la zona, llevamos una semana en casa matando todos los días una media docena. Se nos cuelan por las ventanas de casa cuando las abrimos. El bote de raid es el arma que funciona mejor contra ellas.

Descontando días

Poquitos días me quedan para tomar las vacaciones, apenas cuatro para echar el cierre al verano que se está haciendo muy cuesta arriba. Cogeré tres semanas en las que espero hacer una recarga completa. Confío en que mis baterías no padezcan el llamado efecto memoria. De todas formas, ya habrá tiempo de pensar en 'otubre'.

Sobredosis de Breaking Bad

De una tacada hemos visto seis capítulos de la cuarta temporada y sólo nos quedan dos capítulos para terminarla. Tenemos mono de White, Pinkman & Fring.

El coche, ese gran desconocido

Una de mis asignaturas pendientes ha sido de siempre la mecánica del coche. Apenas se nada sobre ellos ni como funcionan. Me limito a lo mínimo, es decir: arrancar, conducir y llevar a las revisiones periódicas anuales. Pero hoy, por causas de fuerza mayor, he tenido que aprender a arrancar el coche utilizando los cables de batería del coche, que antes había comprado.

Una experiencia grata y recomendable, que hace que se me quiten muchos miedos que me aprisionaban.

Orientaciones de los bancos de la calle

Me he fijado que los bancos para sentarse en las calles en sitios como Barcelona suelen estar orientados dando la espalda al a carretera, mientras que en Sevilla es al revés, mirando a la carretera, dando la espalda a las casas. Al menos así ha sido hasta ahora, porque he descubierto en una avenida de Camas que han empleado la orientación catalana¹.

¹ Por ponerle un nombre.

Cuestión de prioridades

Invita a reflexionar el cambio de legislación para proteger a los arrendatarios y que se permita echar al inquilino si se retrasa en el pago 10 días. Vale, aceptamos barco, pero me pregunto ¿por qué no hacen lo mismo con una empresa que se retrase en el pago de la nómina de sus trabajadores más de 10 días? Ya conozco varias casos de amigos en las que sus empresas se están retrasando o directamente les adeudan varios meses. Mirando un poco más lejos ¿por qué no hacen lo mismo con una institución pública que tiene una deuda -del tipo que sea- con algún proveedor? 

Supongo que todo será cuestión de marcar una prioridades, primero están los 'caseros', luego esta el pueblo llano. Imagino que de los 9 millones de españoles que votaron al gobierno actual, las mayoría tienen pisos que alquilan. Supongo que estará puesto en su programa.

Reparaciones varias

Le iba tocando al coche hacer la revisión anual de los filtros y líquidos, aprovechando también para cambiar las pastillas y discos de los frenos, así como sustituir dos bombillas fundidas (de freno y delantera derecha). 

No tengo muy cuidado el coche, ya que durante estos 5 años y 83000 kilómetros que tiene, sólo le he ido haciendo las revisiones anuales que le tocaba, pero el mecánico que lo ha mirado me ha dicho que está bastante bien. Me fiaré de su palabra.

YourSQL

¿Será YourSQL el futuro nombre del fork de MySQL?

Quake III Arena en linux

Al rescatar unos cds de casa de mis padres dí con el cd 'original' del Quake III Arena, con lo que lo he instalado en el portátil. Sólo he tropezado con dos problemas en la instalación de linux. El sonido, que de momento no va y que cuando salgo del juego, no restaura la resolución de las Xs. Hay un tercer problema, la extremada sensabilidad del ratón, que para mi no es tal, puesto que juego con las teclas (Q,A,I,O...).

Actualización: Problema de resolución corregido. No tenia indicado que resolución por defecto tengo en las X, así que cuando el Quake terminaba, dejaba la resolución que tuviese el juego, sin restaurar la de por defecto.

Actualización2: El problema del audio se debe a que el quake utiliza los antiguos modulos alsa de audio, que pasaron a mejor historia con pulseaudio, con lo que para tener sonido es necesario habilitar la compatibilidad con alsa. Pero surge un problema cuando tengo audio, el quake se cuelga al iniciar la partida :-(

Relajante soniquete

Dar vueltas con un palo a un cuenco que produce un sonido con una relajante vibración es del todo satisfactorio, aunque sospecho que mi vecinos no opinen de la misma forma.

Leído con la hierba de almohada

Retome la lectura de la serie de libros de los Otori de Liam Hearn, leyendo durante el fin de semana el segundo volumen -Con la hierba de almohada-.

No ha sido tan movido como el primero -El suelo del ruiseñor-, pero hay ideas que si alguna vez me decido a preparar una partida del juego de rol de Cinco Anillos pondré en práctica.

42 grados

Creo que es la mayor temperatura que he visto marcar en la estación metereológica de San Pablo desde que  me puse a monitorizarla con el mrtg/cacti.

La desperdiciada Prometheus

Esta noche he visto Prometheus en el cine y he salido con la sensación de que han desaprovechado una buena historia. Es obvio que hacer una película que sea redonda en todos sus aspectos es muy complicado, el porcentaje puede estar en una entre diez mil. Prometheus estará entre las restantes nueve mil novecientas noventa y nueve. No todo lo puede el dinero.

Olimpiadas pelusas de rubik

Imbuido por el espíritu olímpico, he participado en mi propia final de resolución del cubo de rubik de 3x3x3 con un tiempo de 02:20,4. Me otorgo a mi mismo la medalla de oro.

Cuando subo el podio (un taburete de plástico blando de la cocina), no puedo evitar que las lágrimas inunden mis ojos ante estos días de arduo trabajo para recuperar el trono perdido.

Mi lista de records mundiales que tenía en una antigua libreta es:

• 7:23.47 11/Octubre/2004
• 5:36.29 12/Octubre/2004
• 5:30.48 15/Octubre/2004
• 4:32.35 18/Octubre/2004
• 4:25.80 19/Octubre/2004
• 3:39.00 22/Octubre/2004
• 3:22.69 23/Octubre/2004
• 2:58:92 18/Noviembre/2004
• 2:38:53 25/Noviembre/2004
• 2:21:99 7/Diciembre/2004
• 2:19.95 12/Diciembre/2004
• 2:07.65 15/Diciembre/2004

Diversos upgrades

He actualizado la placa pcengine con voyage-8.5. Después de instalarlo y dejarlo tal como estaba antes, he incorporado el sslh para poder compartir el puerto HTTPS con el SSH. Evitando algunos inconvenientes en sitios donde tengan capado el puerto HTTP (que yo lo uso para conectarme por ssh).

De tal manera que tengo dos vias para conectar con el SSH de la máquina interna de casa (por el puerto 80, mediante un nat desde el router, o por el puerto 443, donde aparece el sslh de la placa pcengine para hacer la redirección al ssh de la maquina interna).

Olvidos rubikeros

He olvidado como resolver el cubo de rubik de 3x3x3. Sólo consigo hacer una cara más las dos filas de las 4 caras laterales. Del cubo de 5x5x5 sólo puedo hacer el centro de una cara, el resto lo he olvidado.

Trabajos del presente

Parafraseando a Michael Corleone: Si hay algo que nos ha enseñado este siglo, es que cualquier tipo de trabajo se puede automatizar. Lo pensé mientras comía en el curro.

Modo brico ikea dominguero

Hace unos días compramos unas estanterías del Ikea, tipo Billy (aunque yo les llamo Bildu, no porque sean la bomba como me decía un compañero de la empresa, sino porque me suena más ese otro nombre que el original). Esta estantería sustituiría a una vieja estantería que se había traído Rocío, que se parecía más a un puente colgante por el balanceo por lo floja que tenía los tornillos que a una estantería propiamente dicha.

Así que hoy hemos hecho el montaje completo, con sustitución de la vieja, que hemos guardado en el trastero. Temo que al final terminemos tirándola, pero el síndrome de Diógenes ha podido más.

Los radio-cansinos del viernes

Los programas de radio padecen de la enfermedad del viernes, hasta tal punto que cambian los nombres de los días de la semana por cosas como luernes, marnes, miernes y juernes. Da coraje escuchar la radio y ver que tiran toda la semana por la borda para que llegue el viernes.

Semana de los túneles

Hasta para tres cosas diferentes he tenido que utilizar túneles ssh en esta semana: esquivar las restricciones de un proxy porculero del curro, acceder a un tímido kvm remoto del CPD que se escondía dentro de un chasis Centricstor, y verificar el funcionamiento de una  rootshell de php.

Por esto, puedo decir que la semana ha resultado entretenida, intelectualmente hablando, porque el trabajo en sí no ha aportado gran cosa.

Olvido lector

Mi escapada a la playa ha supuesto un descuido, olvidar el libro de Danza de Dragones, así que le 'des-secuestro' el kindle a Rocio y tropiezo con 'El Enigma del Cuatro', que por lo dice la sinopsis no aparente mucha originalidad -libro antiguo con misterioso significado, más muerte prematura del padre del protagonista que también estaba atrapado por el mensaje oculto del libro-. Si resulta interesante, descubriré el misterio.

Asfalto barato

Ahora ya no asfaltan, sólo pintan las rayas. Es la forma de abaratar los costes para mantener las carreteras.

El cuento de la lechera

Es una llamada de atención que se tiene que tener en cuenta cuando se empieza a divagar sin tener los pies apoyados firmemente en el suelo.

Terminado el segundo de Malaz

Acabe de leerlo ayer noche. El final lo salva. El trasfondo de la saga es lo que más me gusta.

Lo que menos es que el autor (o la traducción) que son poco claros escribiendo. Por ejemplo, los diálogos entre los personas son un lio, pasan de uno a otro sin ton ni son, muchas veces tienes que leerlos varias veces y aún, no quedan claros. También llega a cansar los 'silencios' de los personajes.

El cartero Juan

He visto la película de John Carter y creo que ha sido desaprovechada la historia. Entre el pasteleo, los brujos doppleganger y el malo ultrapoderos esbirro del brujo, consiguen cargarse el guión.

No menciono el problema que hay con el medallón y el transporte interplanetario -¿algunas veces se replica en el otro lado y otras no?-, ya que es una historia de fantasía y se puede argumentar que eso es así y punto, pero no es coherente con lo que cuentan.

Visita de un amigo

Hoy he podido ver a un amigo que se ha escapado por unos días de Barcelona para ver a su familia en visita sorpresa. Sé que tiene una prueba complicada por delante, quizás sea la pruebas más difícil que se pueda tener y las más dura a la que se ha enfrentado, pero ¿quién sino él para superarlo? No se rendirá, de eso estoy seguro.

El arte del libro

Me parece fascinante hacer un libro. Es algo mágico. Lo sorpresa ha sido enterarme que mi hermana ha sacado varios libros para utilizarlo como agendas y sin utilizar una prensa ni un telar.

50% en Alcalá

El miércoles y viernes de la semana pasada jugué las dos ultimas rondas del torneo con resultado desigual. El miércoles gane al encontrarme el regalo inesperado de una pieza en los primeros 14 movimientos. El viernes perdí al jugar de forma optimista e insensata una posición con la que no estoy muy habituado (defensa semieslava del gambito de dama), echando por la borda realizar un buen torneo.

En el global del torneo he conseguido un +3,=1,-3 (tres victorias, unas tablas y tres derrotas). Evidentemente se nota la falta de ritmo de competición, también el llevar 6-7 años desconectado sin sentarme cinco horas delante de un tablero (que se dice pronto).

Tablas en la quinta

Partida entretenida y con variantes. En el medio juego pude desembarazarme de la presión de la apertura y ganar un peón, pero los apuros de tiempo me llevaron a un final con un peón para cada bando en flancos distintos. Él del rival corono antes, pero el mio se quedaba en la séptima fila de la columna h con mi rey a su lado, un final de tablas.

Todo en uno

Durante el fin de semana nació el primer hijo de mi hermano y su mujer, el primer nieto de mis padres y mi primer sobrino. Todo en uno y todo perfecto.

Más libros secuelados

El sábado compre Las puertas de la casa de la muerte (edición bolsillo), el segundo libro de la saga de Malaz, que estoy leyendo pausadamente. Y hoy me ha regalado mi hermano Danza de Dragones (edición tapa dura), el quinto de Canción de Hielo y Fuego.

Derrota en la cuarta ronda

No jugué cómodo la apertura que hice, variante del cambio en el gambito de dama, y cuando tuve alguna oportunidad de complicar las cosas, no lo hice, lo que me llevo a un final de alfil y torre contra caballo y torre con peón de menos (yo tenía el alfil). Un juego correcto de las negras les llevo a materializar la ventaja que tenían, aunque al menos se lo puse difícil -o eso creo, no he repasado la partida-.

Calor Polar

Creía que había dado con un nuevo juego de palabras, pero ya lo han usado. Aún así, me gusta el concepto. Si se dice muy rápido, se confunde con el sonido de la palabra corporal.

Tercera ronda

Repetí victoria, esta vez con negras, aprovechando un error de concepto en la apertura que tuvo mi rival que aproveche para obtener ventaja de desarrollo y coordinación de mis piezas, pero analizando el medio juego posterior, no realice las mejores jugadas para acentuar la ventaja. Creo que al saberme con ventaja no realicé las jugadas claves que anularían cualquier intento por igualar del contrario. Pequé de conservador y eso le dio algunas chances que no me permitieron disfrutar de un final tranquilo. A diferencia de las anteriores partidas, en esta ocasión vez no me apuré de tiempo, controlando ese aspecto mucho mejor.

Videoclips en la MTV

Parafraseando a Roy Batty de Blade Runner, puedo decir que he visto que vosotros no creeríais, como ver videoclips en la MTV...

Fue una noche, que no podía dormir y me levante para hacer zapping en la tele a las cuatro de la mañana.

Bendito cambio en gnome3

Oh, dios mio, han hecho (por fin!) que para que te aparezca la opción de apagar en el gnome3 no tengas que pulsar la tecla ALT, apareciendo la entrada en el menú de 'apagar' junto a las habituales de hibernar y suspender sin necesidad de pulsar ALT. No me he dado cuenta hasta hoy. Fantastichen!

Momentos de pánico en el update

Actualizar Debian (en su versión de testing/wheezy actual) se convierte en una aventura por lo que te puedes encontrar debido al triste soporte de la tarjeta gráfica integrada de NVidia Gforce 7100 del PC y que ya al tener el sufrido Gnome3, es necesario disponer de aceleración gráfica si se quiere disponer de algo manejable.

He conseguido sobrevivir y he pasado de un kernel 3.0.0 al 3.2.0. También he pasado a los drivers de NVIDIA-Linux-x86_64-295.53.run, que sustituye al NVIDIA-Linux-x86_64-285.05.09. El paso no ha sido de color rosa, en el interin me he quedado sin X y he tenido que recurrir al aptitude para instalar los fuentes del kernel 3.2.0 si queria poder instalar los drivers de NVidia.

Debido a esto, no suelo permitir las actualizaciones del sistema, por lo que me puedo encontrar y las tengo bloqueadas en su mayor parte.

Las incógnitas malazanas

Una vez terminado el primer libro de la saga de Malaz, me quedan muchas incógnitas sobre la historia que se  tendrán que resolver en posteriores entregas. Pasa algo parecido a la Historia de Kvothe y, aunque en menor grado, también pasa con Canción de Hielo y Fuego. Así es la fantasía épica y nadie la va querer cambiar mientras que corramos como posesos a comprar sus tomos.

Volviendo al los jardines de la luna (el primer tomo de la saga), he de decir que me ha gustado. Incluso, una vez finalizada la novela, he vuelto a releer algunos capítulos, en los que había detalles confusos, que luego se revelan más claramente. Me pillaré el siguiente.

Primera parte de Alcalá

El viernes finaliza la primera parte del torneo de Alcalá con un balance de una derrota y una victoria (+1, -1, =0). En la primera ronda perdí con Gomez Feria, echando a perder una posición muy buena que fui trabajando poco a poco, pero me vine abajo cuando empecé a cometer imprecisiones, haciéndose todo cuesta arriba, lo que aprovecho muy bien por mi rival, que forzó llegar a un final de torres con un peón de ventaja alejado en el que yo no tenía ninguna posibilidad de forzar tablas.

En la segunda ronda me fue mejor con Narro Jiménez, aunque me cargue excesivamente de tiempo (95 minutos en 30 jugadas), quedándome 9 minutos pero pude forzar un fuerte ataque, que solventé con la ganancia de una torre limpia aunque pasé por alto un mate en seis jugadas.

El resumen es que me veo lento y en las complicaciones tácticas, no calculo del todo bien las variantes. El lado bueno es que la apreciación general de las fases iniciales de apertura y planes en el medio juego no he cometido errores, obteniendo ventaja en ambas partidas.

Incredulidad, Ira, Negación, Aceptación y Lucha.

Otro torneo en Alcalá

Mañana volveré a jugar otra vez, esta vez en el torneo de Alcalá. Será a un ritmo más serio (90 minutos + 30 segundos por jugada). Este torneo tiene algo bueno, se juega los viernes por la tarde a siete rondas, evitando las maratones de los torneos de partidas rápidas ni los palizones de otros torneos en los que se juegan siete u ocho días seguidos, sin descanso. Además de jugarse los viernes, que no rompe el fin de semana.

El tigre suelto

El lunes por la noche soñé con un tigre al que dejaba libre. En el sueño también aparecía mi padre, una casa, Rocio y una lluvia que me mojaba entre las ramas de unos arboles de un parque, aunque no parecía importarme mucho mojarme. No puedo recordar más.

Tienda en liquidación

En el fin de semana compramos otra lámpara, quedando solo las lamparas del dormitorio por comprar elegir,  pero hoy hemos tenido que volver a la tienda porque no incluía un embellecedor necesario para tapar la conexión de los cables con el techo. Aprovechando la visita, nos pasamos por una tienda de muebles que estaba en liquidación para echar un vistazo por si había algo interesante.

Mientrás estaba en la tienda tenia una sensación incómoda de saqueo que no he logrado quitarme de encima. Al final no hemos comprado nada.

Los jardines de la Luna

Como dice un amigo, la simetria friki ha tentado mi triste alma ofreciéndome un presente en forma de libro llamado 'Los jardines de la luna' de Steven Erikson. No pase la tirada de salvación.

Edredón desterrado

Los veinte grados de diferencia que se han dado en una semana han causado el destierro del edredón al fondo del armario. El general invierno deja de dar 'caló'.

Capa SSL agregada

Le puse, por fin, la capa SSL al servidor web que tiene instalado el mini-pc (que todavía sigue sin nombre). Así que ahora todos los servicios del wake-on-lan, subversion y otros, pasan a través del servidor seguro, evitando  ojos indiscretos que hagan inspección de paquetes.

El servidor seguro solo está en el mini-pc (que hace de front-end). Las comunicaciones entre el mini-pc y el servidor web local, se hace en HTTP sin utilizar SSL. Doy por supuesto que la intranet local de casa es los suficientemente segura, evitando una segunda sobrecarga SSL en las peticiones que se le hagan al proxy instalado en el mini-pc.

He cambiado el puerto del router sobre el que se hace NAT (antes era el 80), utilizando el 443 (HTTPS) para la comunicación router-minipc. Como el puerto 443 lo usaba para el SSH, el SSH queda publicado al exterior por el 80.

A la espera

Tengo parado el tema de meter el snort en la placa Wrap de pcengine, también esta a la espera activar los certificados digitales en el apache de la placa wrap y que funcione con el mod-proxy. Además tengo pendiente empezar a pintar las figuras de Warhammer 40000. Y por si fuera poco, me apunte a jugar el campeonato de alcalá (los viernes a 7 rondas). Y de lecturas, mejor ni hablo.

Siempre he tenido muy en cuenta el dicho 'quien mucho abarca, poco aprieta' para no meterme en muchos fregaos, pero esta vez hay que echarle un poco de valor y no dejar que la procastinación me atrape. 

Coincidencia Fide-Siria-Libia

Leo que Kirsán Iliumzhínov ha visitado a Bashar Al-Assad en Damasco. El primero es el presidente de la Federación Internacional de Ajedrez (FIDE) y el segundo es el presidente de Siria. Sería demasiada casualidad pero teniendo en cuenta que Iliumzhínov visitó a Gadafi, por el mes de Junio y Agosto de 2011, cuando había estallado una revuelta en Libia, creo que el régimen sirio tiene los 'días' (cuatro meses) contados.

Las nuevas veletas

Creo que las grúas de las obras son las nuevas veletas de nuestra época. Nada más hay que observar un día de viento. Es difícil dar con una veleta salvo en contados sitios, pero una grúa aparece en todos lados y en esos días las dejan al libre capricho del viento.

Me quedo con Hulk

He visto la película 'Los Vengadores' y me quedo con el personaje de Hulk. Dan ganas de hacer hulkadas por la calle. A parte de eso, tiene dos puntos buenísmos con Loki y Thor respectivamente.

Respecto a los demás personajes están todos logrados. La valoración de la película es buena, es una película de superhéroes lograda. Sólo por el combate final la vería otra vez.

Fresadora para encastrar

Hace unos días soñe de que ibamos a tirar la mesa chica del salón, pero en el último momento la llevaba a otro piso que compraba. Durante el sueño, al ser una mesa tipo Ikea sin apenas valor, me propuse darle un toque personal y decidí encastrar un tablero de ajedrez dentro de la mesa (se dice así, encastrar?), poniendo luego un cristal encima, cubirendo la superficie completa de la mesa, incluido el tablero. Pero no sabía como hacer el hueco en la mesa y me pasaba el resto del sueño pensando formas para realizar la tarea.

Hablando con un amigo, me dio una respuesta para poder hacerlo, tenía que utilizar una herramienta llamada fresadora. El mundo de la carpintería esta lleno de herramientas interesantes.

¿Predilección cani por la i final?

Parece que la mayoría de los nombres que se asocian a las canis terminan en i final. Pongo algunos ejemplos: Jessi, Jeni, Cindi, Yoli, Susi, Nati. Por lo menos es la conclusión que ha sacado después de un breve periodo de observación.

Los chismes olvidados

Algunas de los chismes que tenemos olvidados en los trasteros nos pueden venir bien el día menos pensado, puede que no sirvan para su función original, pero se pueden aprovechar.

Un amigo tenía dos viejos portátiles escacharrados (un Fujitsu Amilo y un Packard Bell), a uno de ellos no le funcionaba el disco duro y el otro no arrancaba. El sábado le acerque un juego de destornilladores de precisión para probar a abrirlos y ver que tipo de conexión con la placa base tienen los discos duros, siendo en ambos una conexión IDE (ATA/ATAPI 6). Hicimos el cambio y el Futjitsu Amilo volvió a la vida.

Luego viene la otra parte de la historia, no disponer de un disco 'bueno' de instalación de Windows XP, pero tenía un CD de instalación de Debian (¿la DGT recomienda no salir sin él?). Para comprobar que tal iba el disco duro, probé instalar el linux, funcionando correctamente.

Staunton número 5

El śabado, al entrar en una tienda del centro, me fije en una pareja que estaba siendo atendida por una dependienta. El objeto de su compra era un juego de ajedrez y estaban seleccionando el tipo de piezas. Tenían claro que las piezas eran del tipo clásico, llamadas Staunton, pero no se decidian por el tamaño (número 4, 5 o 6). Al final eligieron una Staunton número 5. Pero no se dieron cuenta de un detalle.

En los juegos de piezas llamados Staunton suelen existir dos variantes, que se diferencian en el caballo. En la primera de ellas, el caballo es representado de forma realista y el resto de piezas presenta un diseño conceptual de un rey (la cruz), la reina (la diadema), alfil (mitra).

En el otro tipo de juego, el caballo tiene el mismo estilo que las otras piezas, siendo su representación más conceptual, menos realista, con vértices afilados. Creo que el primero corresponde al diseño clásico Staunton y el segundo es una variante española, popularizado a principios del siglo XX.

El que escogieron era el clásico de Staunton. Personalmente me gusta más el diseño conceptual.

La autenticidad de los libros electrónicos

Ahora, con el auge de los libros electrónicos, entreveo a un gran problema, que será explotado por las editoriales para desprestigiar los sitios alternativos desde donde descargamos sus libros.

¿Quién me garantiza que el libro Patatín del autor Patatán es el libro que estoy bajando? ¿Quién me asegura que un energúmeno de turno no le ha dado por intercambiar los nombres de los protagonistas, poniendo el nombre del malo en el del bueno?

A diferencia de lo que podía pasar con los ediciones alternativas de música y vídeo, la modificación de un libro electrónico es muy simple de hacer, ademas de que una mínima modificación puede cambiar toda una obra. Supongo que empezaran a surgir sitios que se dedican a asegurar la integridad y autenticidad de un epub, empleando técnicas de checksum y demases varios, aunque todavía no los he visto.

Destructor de tostadas

Esta mañana he visto la forma perfecta de destruir una tostada recién hecha sin tener que recurrir a materiales ficticios superheroicos como el adamantium. Sólo tienen que darte una porción de mantequilla congelada en cualquier cafetería que ponga desayunos.

Tú mismo, al intentar esparcir la mantequilla por la tostada, terminas destrozando la miga y traspasando la corteza sin darte cuenta. La mantequilla en ese estado es cuasi indestructible, pudiendo con todo lo que se le ponga por medio.

Teoría optimista

Tengo una teoría que dice que el porcentaje de películas, libros, series y canciones que son buenas, respecto al total de las que se hacen en un año, es del uno por ciento. Aunque me parece que la teoría es demasiado optimista o soy yo, que me estoy volviéndo pesimista.

Un conclusión reveladora

He llegado a una conclusión reveladora y a la par, desalentadora. George RR Martin (o el puto cabrón amo según sus fans más queridos) tiene terminado los dos libros que le quedan de Canción de Hielo y Fuego, pero no los publica porque los utiliza como rehenes, para evitar que puedan acabar con él.

Imprimación terminada

Como nos vinimos temprano de la playa de la antilla, aproveche la tarde para terminar de darle la capa de imprimación a todo el ejercito. El resultado ha quedado tal como así.

Antes de pasar a la siguiente fase (aplicar las pinturas para definir los detalles) debo solucionar un problema, incrementar el peso de las peanas para evitar que se caigan. Es una cosa que me da mucho coraje.

Mañana en la vuelta a la dura realidad, me evadiré pensando soluciones, creo en el trabajo puedo disponer de algunos recursos.

Juntando las piezas de un IDS+IPS

Me voy a saltar toda la teoría previa de los IDS e IPS. Lo que interesa saber es lo siguiente. Usualmente, cuando queremos tener un equipo linux seguro en internet, activamos el firewall iptables con politica por defecto DROP y habrimos unos pocos puertos para las comunicaciones que vienen del exterior y van a utilizar los servicios que nuestra máquina.

De forma simplificada, tal cual esto se hace, nos resulta muy complicado cuando alguien se ha dedicado a atacar el servidor ssh o el servidor ftp en busca de un exploit que permita acceder a la máquina. Tenemos que estar revisando logs, etc. Si tenemos mucho tráfico (muchos logs) esto es inviable.

Es en este momento cuando acude en nuestra ayuda Snort, que es un IDS para linux. Snort no es más que un sniffer de red, monitorizando todo el tráfico que pasa por él. En función de un conjunto de reglas que tiene definidas, va analizando el tráfico y generando alertas de posibles ataques, tráfico sospechoso, etc.

Snort va guardando estas alertas en una base de datos (usualmente MySql), tal forma que posteriormente podemos consultarla con otra aplicación, llamada Base, que es una aplicación escrita en PHP que corre sobre un servidor web como Apache. Base es nuestro panel de control para determinar lo que esta ocurriendo en nuestra red.

Como he dicho antes, Snort utiliza un sistema basado en reglas para saber cuando hay algún tipo de ataque. Puesto que los ataques van evolucionando con el paso del tiempo, necesitamos mantener la base de datos de reglas actualizada. De esa función se encarga Oinkmaster, un script escrito en perl encargado de actualizar las reglas cada cierto tiempo. La frecuencia de ejecución de este script se deja en la crontab del sistema.

Hay varios tipos de conjunto de reglas de snort, las reglas de la comunidad disponibles para todo el mundo y las reglas VRT, que han sido certificadas por el equipo de investigación de vulnerabilidades, disponibles para los usuarios de pago. Estas últimas, están disponibles para los usuarios registrados 30 días después de su publicación para los suscriptores. Si nos registramos en la web de snort, obtendremos el oinkcode necesario para descargar las reglas mediante oinkmaster.

Instalación de Snort (junto con mysql)

El primera paso es instalar snort con soporte de mysql

$ apt-get install snort-mysql

Entre las dependencias, apt-get incluira oinkmaster, las reglas por defecto de la comunidad y las librerias comunes. En la instalación nos pedirá una serie de parámetros para la configuración de snort contra el mysql (servidor de bd, nombre de la bd, usuario y password de acceso) como la interfaz donde snort se pondrá a escuchar los paquetes de red. Si no tenemos mysql, procedemos a instalarlo con

$ apt-get install mysql-server

Si levantamos el demonio y hemos hecho bien las tareas de configuración con la orden /etc/init.d/snort start tendremos nuestro IDS activado. Aunque aún no sabremos que esta ocurriendo salvo que nos peleemos con  el mysql consultemos a pelo en las tablas de alerta.

Será ultil, agregar la siguiente linea al fichero de configuracion de snort, pudiendo consultar su alertas en /var/log/auth.log. Además, esto nos vendrá bien para la parte final (el IPS).

output alert_syslog: LOG_AUTH LOG_ALERT

Instalación de Base (junto con Apache+PHP con soporte de mysql)

Toca el turno de Base (Basic Analysis and Security Engine). A diferencia de snort, lo instalamos desde el comprimido tar.gz. Pero lo primero es preparar el sistema para que se pueda ejecutar. Eso implica instalar Apache con PHP y soporte mysql. También instalamos algunas cosas mas para la generación de graficos como la libreria pear.

$ apt-get install apache2

$ apt-get install libapache2-mod-php5 libphp-adodb php-pear php5-adodb php5-cli php5-common php5-gd php5-mysql

$ pear install Image_Graph

Descargamos y descomprimos el fuente de base en /usr/local/base. Y creamos un enlace simbólico para no tener que ir lidiando con la versión y si cuando actualicemos, solo hay que cambiar el enlace simbólico.

$ cd /usr/local/src

$ wget http://sourceforge.net/projects/secureideas/files/latest/download

$ tar xvfz base-version.tar.gz

$ mv base-version /usr/local/

$ ln -s /usr/local/base-version /usr/local/base

Creamos en el apache, en conf.d, la configuración del directorio y el alias para publicarlo. Añadimos algunas directiva de restricción del acceso a la aplicación. Pese a que base viene con sus medidas de seguridad para entrar en la aplicación, no esta demás esta restricción de acceso. La aplicación solo estará disponible para los equipos de la red local.

Alias /base /usr/local/base

<Directory /usr/local/base>
Options +FollowSymLinks
AllowOverride None
order allow,deny
allow from 192.168. 127.0.0.1

AddType application/x-httpd-php .php

<IfModule mod_php5.c>
php_flag magic_quotes_gpc Off
php_flag short_open_tag On
php_flag register_globals Off
php_flag register_argc_argv On
php_flag track_vars On
# this setting is necessary for some locales
php_value mbstring.func_overload 0
#php_value include_path .
</IfModule>

DirectoryIndex index.php
</Directory>

El siguiente paso será reinicar el apache y lanzar desde el navegador la siguiente url

http://ip-equipo-base/base/setup/

El setup realizará las comprobaciones necesarias y nos pedirá los datos de la base de datos mysql donde guardan la información snort. Seguimos la línea de baldosas amarillas que nos marca el asistente. Uno de esos pasos será la creación de un usuario administrador en la aplicación. Para la generación de los gráficos tenemos que tener bien indicado la ruta (directiva include_path) de includes de PHP para que pueda encontrar la libreria Image_Grapth de pear. La aplicación Base nos lo dirá si no puede encontrarla.

Instalación de Oinkmaster

El último paso para disponer de nuestro el IDS al completo será ir actualizando las reglas de Snort. El paquete oinkmaster ya estará instalado, sino hacemos un apt-get install oinkmaster y lo tendremos disponible al instante. Queda soliticar el oinkcode en la web de snort. Nos registramos en su web y solicitamos el codigo. Luego lo configuramos en el fichero /etc/oinkmaster.conf

url = http://www.snort.org/pub-bin/oinkmaster.cgi/CODIGO/snortrules-snapshot-2920.tar.gz

Es importante descargar el fichero que corresponde a nuestra version. Si tenemos un snort-2.9.2, entonces la url de descarga para el oinkmaster será el snapshot 2920.

$ /usr/sbin/oinkmaster -C /etc/oinkmaster.conf -o /etc/snort/rules/

Las primera actualizaciones de reglas las haremos de forma manual, así comprobamos que no hay nada que falte. A mi me paso que con la actualización de reglas, habia una serie de variables que utilizaban las reglas que no estaban definidas en el snort, con lo que el snort no se levantaba después. Estas variables se definen en el fichero snort.conf.

Después de la acutalización, oinkmaster informará de que reglas a tocado, podemos lanzar un test de la configuración de snort, levantando nosotros el demonio con el parametro -T. Esto nos dará una pista de lo que pudise pasar en el caso de que pasara algo como lo anterior que he dicho.

$ snort -T -c /etc/snort/snort.conf

Si va todo bien, podemos ir pensando en agregar a la crontab la ejecución del oinkmaster y que se lance cada  varios días la actualizacion de reglas (una semana creo que es lo suyo).

Llegados a esta altura de la pelicula, tenemos un IDS operativo. Nuestro Snort esta vigilando el trafico y si consultamos Base nos llevamos muchos sustos al descubrir muchos alarmas, la mayoria de ellas falsos positivos. Snort es facil de instalar, lo dificil es el trabajo de ajuste para eliminar los falsos positivos. Más si cabe cuando avancemos al siguiente paso, activar Guardian, que será nuestro IPS y nos protegera de todo aquello que Snort considera como un problema. Imaginad el problema de bloquearnos a nosotros mismos el acceso o un cliente por no darnos cuenta de que su tráfico era legítimo.

Guardian es una aplicación escrita en perl, que lee los logs de alertas de Snort. Cuando ve una alerta, entonces genera una regla de iptables bloqueando la comunicación con la ip del atacante. Esta regla la deja durante un tiempo X, pasado ese tiempo, lanza la regla de desbloqueo.

Instalación de Guardian

La aplicación Guardian es muy simple. De tan simple que es, hasta asusta. Procedemos a descargarla y a descomprirla tal como hicimos con Base.

$ wget guardian-version.tar.gz

$ tar xvfz guardian-version.tar.gz

$ mv /usr/local/src/guardian-version /usr/local/

$ ln -s /usr/local/guardian-version /usr/local/guardian

Copiamos el fichero de configuración guardian.conf en /etc. Al estar en un linux con iptables, cambiamos los scripts de bloqueo que estan en /usr/local/guardian/ llamados guardian_block.sh y guardian_unblock.sh por los que tenemos en /usr/local/guardian/scripts/iptables_*. Respectando el nombre

$ cp /usr/local/guardian/guardian.conf /etc/guardian.conf

$ cp /usr/local/guardian/scripts/iptables_block.sh /usr/local/guardian/guardian_block.sh

$ cp /usr/local/guardian/scripts/iptables_unblock.sh /usr/local/guardian/guardian_unblock.sh

Añadimos la directiva donde debe mirar las alertas de snort, en el fichero /etc/guardian.conf

AlertFile       /var/log/auth.log

Aquí vemos el sentido de la directiva de configuración que tocamos en el fichero de configuración de snort (output alert_syslog). Sin ese cambio, guardian sería incapaz de ver las alertas de snort y no podría hacer ningún bloqueo.

Para ejecutar guardiamos, tecleamos

$ /usr/local/guardian/guardian.pl -c /etc/guardian.conf &

Si buceamos en el fuente de Guardian, no encontraremos ningun scripts que nos sirva para ejecutarlo como demonio. No hay problema

El toque final viene de la mano de las daemontools, que son un conjunto de utilidades que nos permiten dejar a Guardian siempre en memoria.

Instalacion de las DaemonTools

Como siempre, descargar y decomprimir

$ cd /usr/local/src

$ wget http://cr.yp.to/daemontools/daemontools-0.76.tar.gz

$ tar xvfz daemontools-0.76.tar.gz

$ cd admin/daemontools-0.76

$ package/install

Aunque la instalación de las DaemonTools es un proceso muy conocido, hay un detalle jodido que suele bloquear al personal. En la compilación no hay incluida una biblioteca, generando un error de compilación. Para solucionar el error tenemos que editar la línea de compilación del compilador utilizada por las daemonstools. Editamos el fichero src/conf-cc y agregamos la libreria errno.h al final de la linea gcc.

-include /usr/include/errno.h

El fichero de run utilizado para levantar guardian por la daemons tools tendria este aspecto (cat /service/guardian/run)

#!/bin/bash

export PATH=$PATH:/usr/local/guardian

/usr/local/guardian/guardian.pl -c /etc/guardian.conf

Sobre Daemonstools me podría extender mucho más, pero lo mejor es acudir a su web http://cr.yp.to/daemontools.html que explican mucho mejor que yo como utilizarlas.

Bote de pintura acabado

A mitad del proceso de darle la capa de imprimación, el bote se quedo sin pintura. Así que mañana, aprovechando las vacaciones, iré a comprar otro bote que me servirá para terminar el principe demonio, los rapaxes y los bersekers de khorne.

Principe demonio montado

Desde el 17 de enero de 2007 llevaba en su caja y en la tarde de ayer me puse a montarla. Para hacerlo he tenido que emplear masilla y loctite. Al ser de metal, se utiliza la masilla para facilitar que quede bien encajada mientras se seca el loctite.

Probando el IDS+IPS

Ya tengo algo funcional de la pruebas con un IDS¹ (snort) + IPS² (guardian) que fortifique la seguridad del equipo WoL casero. Todo lo he hecho en una máquina virtual, aunque ahora le dare caña para ver el resultado con pocos recursos (RAM de 128 y 256 MB, disco duro de 1 y 4 GB) intentado aproximarme lo más posible a lo que me encontraré en la placa Alix/Wrap. El sistema se compone de lo siguiente:

• snort. Analiza el tráfico y crea las alarmas (es el IDS).
• mysql. Guarda las alarmas.
• base. Es la aplicación que permite ver las alarmas que detecta snort consultando la base de datos mysql. Es una aplicación que corre bajo apache con php.
• oinkmaster. Es el actualizador de las reglas de detección de snort.
• guardian. Es quien detecta los ataques (en funcion de las alertas de snort) y pone/quita las reglas del firewall (es el IPS).

Tengo que depurar algunos pasos antes de documentar el proceso -las actualización de reglas con oinkmaster, la configuración del fichero de log de snort para que lo lea guardian y la instalación de las daemonstools por si snort/guardian caen-. 

También surgen dos problemas adicionales. En las placas Alix/Wrap, el disco duro no existe como tal, es una tarjeta de memoría de tipo Compact Flash, en las cuales no se puede abusar de las escrituras.

He leído que tienen una vida media de 200K operaciones de escritura por bloque, a partir del cual empiezan a fallar, por ese motivo los sistemas operativos embebidos que se instalan sobre estas placas implementan los directorios /var/ y /tmp como sistemas de ficheros temporales en memoria. Con lo que se agraba el segundo problema, al disponer de poca memoria RAM, si encima hacemos que varios directorios estén en memoria, tendremos menos memoria final para las aplicaciones. Un gran dilema.

¹ Intrusion Detection System
² Intrusion Prevention System

Upgrade veloz

Descargados 599 MB en 1min. 35seg. (6274 kB/s)                                 

Leyendo lista de cambios... Hecho.

Los modems de 14400 bps quedaron muy lejos.

El signo de los tiempos

Llevaba tiempo queriendo hacer esta foto.

Desestimado el Port Knocking

En un hueco de tiempo puse en marcha el servicio knockd (hace las funciones de Port Knocking) para mejorar algo la seguridad de la solución WoL casera. Quería evitar los escaneos del personal con mucho tiempo libre que se dedican a buscar por internet servicios SSH (y similares) para tratar de romperlos por fuerza bruta probando miles de contraseñas o buscando alguna vulnerabilidad.

Después de instalar el servicio y configurar la secuencia de puertos que habilitan el acceso al servicio 'protegido' me di cuenta de que es una soberana estupidez. Es como si en la puerta de casa, cambias la posición de la cerradura y la pones arriba del todo, a dos metros y medio. Cada vez que quieres abrir la puerta de casa tienes que echar mano de una silla o una escalera para poder llegar a la cerradura y meter tu llave (login y password). La escalera hace la función de port knocking.

Lo que se debe hacer no es poner un port knocking, lo correcto es habilitar un IDS, que detecta que un fulano,  que se aburre mucho, ha dejado un equipo realizando infinidad de intentos de acceso a un servicio de casa en un periodo de tiempo relativamente corto. Pues cuando se detecte eso por el IDS, entonces se levanta un regla del firewall que le bloquee el acceso hasta nueva orden (por un tiempo establecido).

El problema estriba en el ajuste de esas reglas (reglas de detección y reglas de reacción), porque pueden tener consecuencias desagradables (falsos positivos) o que no detecten correctamente los intentos de los intrusos. Requiere un poco de más inteligencia, que una secuencia de puertos elegidos al azar.

Me pregunto si la placa Wrap 2E.1 tendrá potencia suficiente para aguantar snort y oinkmaster. De lo contrario tendré que utilizar la solución de la placa Alix 3D2, que tiene algo maś de potencia de CPU y memoria RAM, aunque tampoco estoy seguro de que pueda aguantar un snort corriendo. Además, a partir de ese momento, el tráfico de los equipos protegidos pasará por el mini-pc.

En el caso de que no puede aguantar la carga, pongo el snort en el equipo de sobremesa. Cuando esté encendido se dedicará a protegerse a sí mismo y cuando esté apagado, no será necesario que se proteja. En ambos casos estaré entretenido mientras lo hago funcionar.

Activado el subversión casero

Con los servicios WoL remotos del servidor de casa operativos, faltaba poner algo de chicha. ¿De que sirve disponer del equipo de casa de forma remota sin agregarle servicios que te proporcionen acceso a tus datos? 

El primero de ellos ha sido un subversión del código de tus proyectos. En muchas ocasiones me encuentro sincronizando versiones entre casa y el trabajo o reenviándolas por correo, mejor disponer de tu repositorio subversión que te haga el trabajo duro.

La documentación que circula por internet para disponer de tu propio repositorio y publicarlo mediante un apache es muy completa y los pasos a dar de forma resumida son los siguientes:

1. Instalar servicios locales subversión.
2. Crear repositorio y hacer tu primer commit con la inicialización del repositorio con branches, tags y trunk.
3. Instalar módulos authz_svn y dav_svn para apache.
4. Configurar directorio de publicación, permisos de acceso y usuarios webdav para el repositorio.
5. Configurar permisos del repositorio para el usuario que ejecuta apache para que sea el propietario.
6. Reiniciar apache.

En el paso 4, he tenido que tener en cuenta que el servidor web no es accesible directamente desde internet, sino que se accede mediante directivas mod_proxy desde otro servidor (a traves del path /sobremesa/ en el equipo que hace de proxy inverso), con lo que hay que meter en la ruta de acceso http al subversion. De tal forma que para acceder desde el exterior queda como /sobremesa/svn/proyecto. Desde la red de casa también queda igual.

Pintando wh40k

Ibamos a pasar el día en el parque del Alamillo pero el tiempo nublado nos hizo desistir, quedándonos en casa. Así que viendo que tenía la tarde por delante (las sesiones de roles semanales se han suspendido por diferentes ausencias durante tres semanas) aproveché el tiempo 'libre' para dejar en su montaje final al profanador del caos. Una vez terminado, le he dado una capa de imprimación, extendiéndola a los marines y motoristas del caos. Aún tengo unos Berseker de Khorne y una unidad de Rapaxes por pintar, además de un principe demonio (la joya de la corona junto con el profanador) por montar.

Cuando compré las figuritas de Warhammer 40000 pensé en ir despacito, pero me he colado, se han pegado tres años en sus respectivas cajas.

El guarro pervertido y la Sisi

Tendiendo esta mañana me acorde de un cartel que puso una vecina en la puerta de entrada al edificio donde vivía anteriormente. En el cartel denunciaba el robo de algunas prendas que había tendido en la azotea. Lo que más le dolía era que el ladrón no tuviera ningún reparo en quitarle sus bragas, tachándole de guarro y pervertido.

A raíz de la advertencia, mantuve cuidado con mis prendas. aunque lo que mas me preocupó fue que me quitaran mis babuchas Homer Simpson, las cuales nunca dejé en el tendedero de la azotea, dejándolas secar en la Sisi¹ que teníamos en casa.

Por cierto, el cartel tuvo efecto, porque nunca más se supo de posteriores robos.

¹ Desconozco porqué le han puesto este nombre a los tendederos portátiles. ¿Tendrá algo que ver con la princesa de los austrias? Temo que la pregunta no tenga respuesta.

Motivos para ir a la huelga

Por un hilo del grupo de correo de la RLT de mi empresa, empezamos a hablar del tema de la huelga. Algunas de las razones que se esgrimen es la coherencia y la lealtad. La mayoría de nosotros somos delegados por los sindicatos que han convocado la huelga, así que es lógico que la secundemos.

Eso puede parecer bien y correcto, pero no es lo importante. Con ese argumento no vamos a ninguna parte, ni vamos a hacer que el resto de nuestra gente apoye la huelga.

El motivo es que por una crisis que no hay quien la entienda y que se basa en un despilfarramiento en las administraciones públicas (por el que pocos han ido a la cárcel) que gestionan el dinero de nuestros impuestos y en una estafa piramidal que vino en forma de hipotecas y ladrillos. Por esta crisis nos recortan los derechos por los que lucharon nuestros padres y abuelos. Y no es el primer recorte que nos hacen. Esta reforma, realizada por un partido político de signo diferente, hace 'buena' la que nos aplicó Zapatero hace un año y medio, de signo supuestamente contrario.

Y porque si no protesto por mis derechos, ningún sindicato va a poder defenderlos. Ni bien ni mal, sencillamente pensaran que no nos importa mientras que en la tele siga saliendo la Mercedes Milá en Gran Hermano o la selección española gane otra eurocopa.

Es más, no es una huelga contra la empresa en la que trabajo. Es contra unas leyes que no son justas y que aprovechando que el Pisuerga pasa por Valladolid, nos la han querido imponer por el bien de los mercados. Me dicen que tengo que joderme y no me da la puta gana.

Cazado Radio Wall of Sound

Llevaba tiempo sin poder averiguar el título de una canción que escuchaba en la radio del coche pero hoy por fin he podido localizarla. Es la canción Radio Wall of Sound de Slade.

Retomado Con la hierba como almohada

Ayer por la noche, al no poder dormirme, retome la lectura del segundo libro de las leyendas de los Otori -Con la hierba como almohada- y conseguí sobrepasar los capítulos iniciales, volviendo a engancharme como hizo el primer libro.

VPN casera con pptpd

A causa de la petición de un compañero en la que me pidio algo relacionado con montar un servidor VPN, me puse a trastear en casa para disponer de mi propio servidor VPN. Tener una VPN en casa me permite que equipos que están en el exterior, se puedan conectar a la red local, tomando un ip de ella (o de otra red pero con las rutas necesarias para comunicarse entre sí). En situaciones normales, este tipo de cosas no las he necesitado, siempre me he servido de los túneles SSH que son la navaja suiza de la comunicaciones.

Mirando el estado actual del arte¹, hay varias formas de montar la VPN: pptp, l2tp y openvpn. Como mis requerimiento de seguridad no son elevados, sino que simplemente quiero algo que funcione rapidamente sin complicaciones, me decanto por la primera de ellas, pptp.

Consideraciones previas:

• Rango de la red local 192.168.1.1/24
• En la red hay un rango ofrecido por DHCP 192.168.1.100-199
• El rango para los equipos que van a entrar por PPTP sera el 192.168.1.200-245²
• IP del servidor PPTP 192.168.1.97
• Puerta de enlace 192.168.1.1
• Servidor dns 192.168.1.1

Como en todo este tipo de cosas, lo primera que se hace es instalar el demonio que va a prestar el servicio. Con apt-get install pptpd tenemos lo necesario para echarlo a andar. Sólo queda retocar la configuración y añadir algunos ajustes adicionales.

Editamos el fichero de configuracion /etc/pptpd.conf.

ppp /usr/sbin/pppd

option /etc/ppp/pptpd-options

debug

localip 192.168.1.97

remoteip 192.168.1.200-245

La opción localip es la ip que tiene el servidor donde va a arrancar el servicio pptpd. La opción remoteip define el rango de direcciones que va a entregar el demonio a los clientes cuando se conecten. Si vemos necesario, activamos la depuración para ver luego todo el proceso de login de los usuarios vpn (en /var/log/daemon.log y /var/log/messages).

El siguiente paso es editar el fichero de configuracion de opciones /etc/ppp/pptpd-options

name debian-wheezy-001

require-mschap-v2

require-mppe-128

ms-dns 192.168.1.1

proxyarp

defaultroute

nodefaultroute

debug

lock

La duda más importante que tengo aqui es relativa al parametro defaultroute, las guias que he leido incluyen la opción contraria (nodefaultroute) pero hasta que lo cambie no funcionó la conexión.

El último aspecto a retocar es la configuración de los usuarios que se encuentra en el fichero /etc/ppp/chap-secrets.

# client server secret IP addresses

usuariovpn1 debian-wheezy-001 claveusuariovpn1 192.168.1.200

Después de reiniciar el servicio pptpd, conseguí que los usuarios se logaran, pero no habia forma de que estos pudieran ver el resto de la red, aunque desde el servidor vpn si que lograba hacerle un ping. Me faltaba un detalle que había visto en algunas partes, permitir el ip_forward.

$ sysctl -w net.ipv4.ip_forward=1

Con esto conseguí que el cliente usuariovpn1, con ip 192.168.1.200 se viera en la red y pudiera acceder al resto de equipos de la misma (y viceversa). Si la opción net_ipv4.ip_forward la quiero dejar permanenten en el arranque, edito el fichero /etc/sysctlf.conf para incluirla.

El último paso a dar es la apertura de puertos en el router. Se debe abrir en el router el puerto del demonio pptpd (tcp/1723) y redirigirlo a la ip del servidor vpn (192.168.1.97 en este caso).

Un aspecto a modificar es el hecho de seleccionar la red 192.168. No es muy acertado, debido a que muchos clientes pueden conectarse mediante una conexión por wifi de su red local, y si la wifi suele estar configurada con la misma subred que la mía, con lo que si tenemos un cliente de la red 192.168, no se podrá comunicarse correctamente (no se puede tener la misma red en ambos extremos). Es mejor eligir otra (una 10.X.X.X) y agregar las rutas necesarias.

La duda que tengo con los parámetros defaultroute/nodefaultroute la aclararé pronto. Ha sido aclarada, es mejor poner nodefaultroute. El que no me funcionara se debe a que en mi prueba pasé por el alto que aún estaba sin configurar el parámetro del net.ipv4.ip_forward.

Las referencias que he usado son Como Instalar y Configurar servidor pptpd y How to setup a PPTP VPN

¹ Me encanta esta frase.

² Esto se demostrara más adelante que puede traer inconvenientes.

Prototipo probado

Esta noche he realiza una instalación del mini-pc, montando todo el software necesario (apache, php y mod_proxy), aisgnándole una ip fija y reconfigurando el puerto 80 del router para que las peticiones web se dirijan a su ip.

Me ha dando tiempo a hacer la prueba, apagando el pc de sobremesa, conectando el movil a internet mediante la 3G y accediendo a la página de wakeonlan del minipc que lanza el comando para que se encienda el equipo de sobremesa.

Habia algo que pasé por alto en la configuración del mod_proxy. Comentar las directivas Deny,Allow que por defecto estaban en rechazar todo y no dejar acceder a nadie, generando un error de permiso denegado cuando queria acceder a la url del script wakeonlan.php, pero por lo demás, un éxito. Este fin de semana dejaré el equipo alixwrap en su ubicación definitiva.

² Aún no le he dado nombre específico.

Chronicle en los cines de Sevilla Este

Me ha gustado Chronicle. La he visto en los cines del centro comercial de al lado de casa, que hasta ahora no había visitado. Para ver una película seguia yendo a Camas o los cines de Plaza de Armas. Hay costumbres que cuestan cambiar.

Cajas pintadas

Así quedan después de aplicar la pintura

y así eran sin pintar

El resultado final hasta parece profesional.

Paint it black

Como la canción de los Rolling, las cajas del proyecto casero WOL las estoy pintando de negro. Primero hice una prueba de pintarlas en la calle durante el fin de semana, pero surgieron dos problemas inesperados. El primero motivado por el viento y que éste arrastra partículas de tierra que se adhieren a la capa de pintura recién aplicada (estoy utilizando un bote de spray con pintura negro del caos). El segundo problema es el tiempo perdido por la espera. Mientras que se secaba la caja, no podía irme, impidiendo hacer otras cosas.

Hoy he vuelto a darle otra mano de pintura, pero en el trastero, acondicionando antes con cartones las paredes y el suelo para evitar mancharlas. Después de pintar las cajas, las he dejado que se sequen tranquilamente. Mañana veré el resultado.

Welcome to 6.002x!

Hace un par de semanas me apunté a uno de los cursos online del mit y hoy han empezado las clases. Curioso esto de asistir de forma online a un curso de circuitos y electrónica.

La sustituta

Cuando me robaron la bici me compre otra bicicleta. No lo compre porque me gustara, simplemente quería volver a disfrutar de montarme en bici, quería volver a disfrutar de las sensaciones de las que fui privado con el robo.

El problema es que la bici sustituta nunca lleno el vacío de la anterior. Siempre fue una bici sustituta. Durante años estuvo arrumbada en un pasillo de la casa de una amiga o en el trastero o en el bicicletero que instalaron dentro del patio de vecinos donde vivo ahora, sin que la cogiera para dar una vuelta en ella. Una vez le arregle un pinchazo, incluso llegue a comprarle un timbre y dos candados. Pero nunca fue lo mismo.

Hace un par de semanas, que estaba pensando en si la llevaba a arreglar las llantas y que le engrasaran un poco la cadena y los piñones del cambio, decidí dársela a un compañero de trabajo. Seguro que él la cuida mejor, ya que no hubo feeling entre nosotros. Nuestra relación empezó con mal pie.

Proxy inverso para el wol casero

Un problema que se me presentaba en el proyecto WOL casero era el de como acceder desde el exterior a los servicios http/ssh que corren en el equipo de sobremesa, conjuntamente con los servicios http/ssh que estarán activos en  el equipo pequeño que realizará el wakeonlan del de sobremesa y utilizando los mismos puertos.

El equipo pequeño (alixwrap) dispondrá de una ip fija dentro del rango 192.168.1.0/24 (por ejemplo la 192.168.1.98) y tendrá una redirección por nat del puerto 80 de la ip publica del router hacia su puerto 80, en donde estará levantado un apache (httpd). En este apache habrá una aplicación en PHP que hará el wakeonlan del equipo de sobremesa.

El equipo de sobremesa (sobremesa) tendrá otra ip fija del rango 192.168.1.0/24 (la 192.168.1.99) y dispone de dos servicios levantados, uno en el puerto 80 (httpd) y otro en el puerto 22 (sshd). Al primero, que no tendrá un nat, no se podrá acceder (en principio). Al segundo, sí que tendra un nat, desde el puerto 443 del router hacia el puerto 22.

Para acceder al servidor web del equipo de sobremesa se monta un proxy inverso en el servidor web que corre en el equipo alixwrap, de tal forma, que todas las peticiones que le lleguen al path "/sobremesa/*" serán redirigidas hacia la ip del equipo de sobremesa, conservando el path completo.

Sólo queda activar el proxy en el apache, habilitando los modulos mod_proxy y mod_proxy_http

$ a2enmod proxy
$ a2enmod proxy_http

y en /etc/apache2/conf.d/ creamos un fichero llamado proxy_sobremesa.conf con el siguiente contenido

ProxyPass /sobremesa/ http://192.168.1.99/sobremesa/
ProxyPassReverse /sobremesa/ http://192.168.1.99/sobremesa/

Y todos los servicios que sean accesibles desde el exterior, deben estar dentro del path "/sobremesa/" en el apache, como el subversión o la aplicación que muestra la webcam.

Alguien me dirá que podía abrir otros puertos en el router y agregar otros nat de puertos para acceder a los servicios de cada uno de los pcs, evitando la necesidad de disponer de un proxy, pero necesito que los servicios estén corriendo en el puerto 80/443 al estar considerados estos puertos de navegación libre en muchas redes corporativas, saltándome sus reglas de seguridad cómodamente.

A falta de hacer el script en php para invocar el wakeonlan y añadirle seguridad (https para los servidores web), los detalles de implementación del wol casero remoto están superados. Creo que sólo me falta pintar la caja de negro para que no se vea en el salón.