Scripts de inicialização com Systemd

     O systemd é um sistema de inicialização (init system) composto por um conjunto de programas executado em segundo plano (ou seja, um daemon). Atualmente, a maioria das distribuições linux utiliza este daemon para gerenciar a inicialização do sistema. Dessa forma, se for necessário adcionar algum script a inicialização do Linux, não basta mais colocar o mesmo no /etc/rc.local, é necessário seguir o padrão do systemd.

     A inclusão de um script na inicializa é necessário que sejam seguidos alguns passos conforme a seguir.

1. Criação do script

     Embora o systemd seja o responsável pela inicialização do Linux, ele não inicializa scripts naturalmente, logo o script propriamente dito ainda é necessário.

     Crie o script para executar a ação desejada e salve no diretório que desejar. Como exemplo, será utilizado o script vpn_manager.sh salvo em /usr/local/sbin, pois facilita a posterior utilização.

2. Definir o momento da execução.

     O systemd executa as units (seus scripts) de acordo com o nível de execução definido no script. Assim, para informar quando deve ocorrer a execução, é necessário informar após qual processo ela deve ocorrer.

systemd-analyze plot > systemd.svg 

     O comando acima gera um relatório com todas as inicializações, sequência e tempo de inicialização individual, resultando em uma “imagem” com um gráfico. Para conseguir visualiza-la pode-se utilizar um navegador como Chrome, Chromium ou Firefox. Ou então algum programa de imagem ImageMagick, gimp, inkscape, etc.

3. Criando um serviço no daemon

Criar um arquivo com a nomenclatura [vpn_manager].service em /lib/systemd/system/, incluindo o conteúdo a seguir:

[Unit]
# Descricao do que sera executado
Description=gerenciamento de vpn
# Esta unit sera executada apos o servico definido
After=network.service openvpn.service

[Service]
# Tipo de inicialização
Type=simple
# Para que o systema considere o servico como ativo após executado
#RemainAfterExit=yes
# Este campo exige o caminho completo até o script a ser executado
ExecStart=/usr/local/sbin/vpn_manager.sh

[Install]
# Serviço valido para o runlevel multi-user.targe
WantedBy=multi-user.target 

Outras configurações pode ser realizadas, incluindo opções de start, status e stop. Mais informações podem ser encontradas nesse link ou nas referências.

4. Efetivando a configuração

chmod +x /usr/local/sbin/vpn_manager.sh
systemctl enable /lib/systemd/system/vpn_manager.service
systemctl daemon-reload
reboot

A primeira linha da permissão de execução para o script, caso ainda não tenha sido feito. A segunda habilita o service, a terceira recarrega ao daemon e a última reinicia o sistema para testar a configuração.  Sempre que forem realizadas alterações no daemon, o mesmo deve ser recarregado.

Referências

• https://www.vivaolinux.com.br/dica/Executar-Script-na-Inicializacao-do-Sistema-com-Systemd
• https://e-tinet.com/linux/systemd/
• http://fredaugusto.com.br/2019/09/30/usando-o-systemd-para-iniciar-seu-script-automaticamente-no-debian/
• https://www.vivaolinux.com.br/dica/Como-executar-automaticamente-scripts-na-inicializacao-do-SystemD-Linux
• https://e-tinet.com/linux/systemd-runlevels/
• https://blogdocardoso.com/raspbian-utilizando-o-systemd-para-executar-scripts-durante-a-inicializacao/
• https://wiki.archlinux.org/index.php/Systemd_(Portugu%C3%AAs)

Acessar Linux remotamente via RDP

      Geralmente os acesso remotos são realizados nos servidores via ssh. Mas por algum motivo, pode vir a ser necessário um acesso ao ambiente gráfico de um equipamento que não é um servidor e que somente o acesso ssh pode não resolver.
     Em momentos distintos, relativamente próximos, tive necessidade deste tipo de acesso em dois computadores, com distribuições Mint e Ubuntu e não fiquei muito surpreso ao ver que para cada uma é necessária uma configuração diferente.
     Logo, seguem as configurações realizadas em casa distribuição, que obviamente foram retiradas de algumas outras páginas, cujos endereços estão nas referências.

Configuração no Mint

Nesse senário, é possível apenas uma conexão remova por usuário, podendo o usuário estar logado localmente

1. Basta instalar o pacotes necessários e reiniciar o computador:

# sudo apt-get install xrdp xorgxrdp

2. Configura xrdp para permitir uma sessão remota. Caso essa linha não seja configurada, um erro de acesso é exibido após a senha. Alterar para mate-session ou para o ambiente gráfico que estiver utilizando

# echo env -u SESSION_MANAGER -u DBUS_SESSION_BUS_ADDRESS cinnamon-session > ~/.xsession

3. Agora basta realizar o acesso por onde desejar, tando por outro SO Linux, utilizando o remina ou rdesktop ou por um SO Windows utilizando o assistente para conexão de área de trabalho remota.

Configuração no Ubuntu

1. Instalar o xrdp:

# apt-get install xrdp

2. Instalar o mate para área de trabalho alternativa, pois não encontrei uma solução para utilizar o Gnome.

# apt-get install mate-core mate-desktop-environment mate-notification-daemon

3. Configura xrdp para uso do mate

# sed -i.bak '/fi/a #xrdp multiple users configuration \n mate-session \n' /etc/xrdp/startwm.sh

4. Caso o teclado não funcione, este link foi o que funcionou para o meu caso. Caso está não funcione, em uma das referências, existe outra forma de realizar a configuração do teclado.

Referências

• https://medium.com/@fabianosarmento/
• https://forums.linuxmint.com/
• https://www.webtips.com.br/Home/Detail/64

Sincronização de data e hora no linux

     Em algumas instalações pode ocorrer de o servidor ficar com a hora incorreta devido ao fuso horário em que se encontra. A timezone na qual o dispositivo se encontra, pode ser verificada com o comando timedatectl e reconfigurada com o comando dpkg-reconfigure tzdata.

     Após a reconfiguração da timezone pode ser necessário manter o servidor com a hora sincronizada através de um servidor NTP. Essa configuração pode ser realizada com a instalação do ntpdate e configuração da sua execução periódica no crontab com a inclusão da linha * */2 * * * ntpdate [IP/URLdo servidor NTP 2>&1 >  /dev/null.

apt-get install ntpdate

     Alguns endereços de servidores NTP mais estáveis e/ou confiáveis são:

• 0.pool.ntp.org
• 1.pool.ntp.org
• a.ntp.org
• b.ntp.org
• c.ntp.org

     Também existem outras formas de configurar a sincronização de data e hora, que podem ser pesquisadas na web ou em alguns dos links nas referências do post.

Referências 

• https://ntp.br/
• https://www.pool.ntp.org/pt/use.html
• https://ntp.br/guia-linux-avancado.php
• https://pt.m.wikihow.com/Alterar-o-Fuso-Hor%C3%A1rio-no-Linux
• https://www.vivaolinux.com.br/artigo/Modificando-o-TimeZone-2-metodos

Instalando Packet Tracer no linux

     A Cisco disponibiliza um simulador de rede com alguns dos seus equipamentos, permitindo criar cenários que vão desde configurações básicas até ambientes completos. A utilização do programa exige uma conta no site netacad.com, ambiente de treinamento da Cisco, para acesso a todas as funcionalidades, no entanto permite um acesso mais restrito como usuário convidado.

     Após realizar o cadastramento e login no Net Acad, é possível baixar a última versão do programa (7.2.1), para Windows e Linux nas versões 32 e 64 bits. Além das versões para desktop, também são disponibilizadas versões para dispositivos móveis com iOS e Android.

     A instalação nos dois ambientes ocorre de forma trivial, no entanto para linux algumas bibliotecas ficam faltando, sendo necessário a sua instalação. De uma forma resumida, os passos a seguir resultam na instalação correta da versão 7.2.1:

1. Descompactar o aquivo .tar.gz em um diretório:

mkdir pkttar -xvzf Packet Tracer 7.2.1 for Linux 64 bit.tar.gz -C pkt/

2. Acessar o diretrório e instalar o programa. Caso seja executado como usuário sem poderes administrativos, será solicitada a senha de root.

cd pkt
./install

3. Agora a instalação das bibliotecas pendentes, como root.

apt install libqt5xml5 libqt5webkit5 libqt5script5 libqt5scripttools5 libqt5sql5
wget http://ftp.us.debian.org/debian/pool/main/libp/libpng/libpng12-0_1.2.50-2+deb8u3_amd64.deb
dpkg -i libpng12-0_1.2.50-2+deb8u3_amd64.deb

4. Pronto, o programa já pode ser executado com o comando abaixo:

/opt/pt/bin/PacketTracer7

Corrigindo o atalho

     Ao executar somente o comando packettracer, o programa não inicializa, sendo necessário passar todo o caminho como no passo 4 descrito anteriormente. 

     Para que esse comando execute corretamente, é necessário editar o arquivo /opt/pt/packettracer realizando uma das duas alterações descritas abaixo.

• trocar a linha pushhd $PTDIR/bin > /dev/null por cd $PTDIR/bin > /dev/null. 
• ou alterar a linha seguinte incluindo o caminho necessário /opt/pt/bin/PacketTracer7 "$@" > /dev/null 2>&1

Referências

• https://www.netacad.com/
• http://labcisco.blogspot.com/ 

Servidor TFTP para backup e restore

     O TFTP (Trivial File Transfer Protocol) é um protocolo de transferência de  arquivos, muito simples, semelhante ao FTP, geralmente utilizado para transferir pequenos arquivos entre hosts numa rede. É baseado em UDP (usa a porta 69) ao contrário do FTP que se baseia no TCP (usa a porta 21) e não permite listar o conteúdo de directoórios e principalmente, não apresenta mecanismos de autenticação ou encriptação de dados.

• OBS: certifique-se de não deixar o servidor tftp ativo, pois por não possuir autenticação pode ser explorado como vulnerabilidade.

SO Linux

1. Instalar os pacotes servidor tftpd-hba. Observar que o pacote em questão é o tftpD-hpa e não o tftp-hpa.

apt-get install tftpd-hpa

2. Verificar as configurações do arquvio tftpd-hpa

vim /etc/default/tftpd-hpa
....
TFTP_USERNAME="tftp"
TFTP_DIRECTORY="/caminho/diretorio/tftp"
TFTP_ADDRESS="[::]:69"
TFTP_OPTIONS="--secure --create"
...

3. Em algumas configurações o valor da quarta linha de configuração teve que ser alterado de [::]:69 para 0.0.0.0:69, ficando conforme abaixo:

TFTP_ADDRESS="[0.0.0.0]:69"

4. Dar as devidas permissões a pasta

chmod 777 /caminho/diretorio/tftp

5. Inicializar/Parar serviço

/etc/init.d/tftpd-hpa {start|stop|restart|force-reload|status}
service tftpd-hpa {start|stop|restart|force-reload|status}

SO Windows

1. Instalar o programa tftp32 de acordo com a versão do SO [link].

2. Após a instalação será necessário adicionar uma exceção no firewall do windows, para que o servidor funcione.

3. Ao executar o programa, altere a pasta de destino do servidor tftp para uma pasta no seu diretório de usuário. Esta configuração é a primeira linha exibida no topo da janela aberta ao executar o programa.

4. O programa ja está pronto para ser utilizado. Após utilizar remova a exceção do firewall para garantir que o SO não fique vulnerável

Backup e Restores em switches gerenciáveis

     Os procedimentos abordados neste tópico são realizados via linha de comando (CLI), não abordando equipamentos que não suportem esse método de configuração.

     Para equipamentos que Nesses equipamentos o backup e restore pode ser realizado por TFTP ou com o auxílio de um dispositivo USB, sendo necessário observar alguns requisitos:

• para dispositivos USB é necessário formatar em FAT;
• é importante não esquecer de remover dispositivos USB ao reiniciar os equipamentos, em alguns modelos o equipamento não inicia caso não seja removido o dispositivo;
• o arquivo de configuração deve estar em um formato texto puro;
• para uso do TFTP é necessário comunicação via rede e um servidor TFTP;

Backup 

Via TFTP

1. Acesse o switch em modo exec privilegiado.

hostname#

2. Execute o comando a seguir.

copy startup-config tftp

3. Será solicitado o ip do servidor TFTP e o nome do arquivo de backup ou ENTER para salvar com o nome indicado.

Address or name of remote host []? 192.168.15.10
Destination filename [hostname-confg]?
!!
9170 bytes copied in 0.140 secs (65500 bytes/sec)

4. Em caso de falha na realização do backup, será exibido o aviso de erro abaixo. Em geral este problema ocorre por falha na configuração do servidor TFTP

Address or name of remote host []? 192.168.15.10
Destination filename [hostname-confg]?
.....
%Error opening tftp://192.168.15.10/hostname-confg (Timed out)]

Via dispositivo USB

1. Plugar o dispositivo USB no switch e verificar em qual das portas o mesmo foi inserido. Se estiver conectado no console, será exibido um aviso como

%USBFLASH-5-CHANGE: usbflash0 has been inserted!

2. Realizar os procedimentos de copy tendo como destinho o usb

copy startup-config usbflash0:BKP_SWXYZ.conf

Restaurar Backup

Via TFTP

1. Acesse o switch em modo exec privilegiado.

hostname#

2. Execute o comando a seguir, onde flash representa o destino onde será salvo o arquivo.

copy tftp flash

3. Será solicitado o IP do servidor TFTP, o nome do arquivo a ser copiado do servidor para o switch e o nome a ser utilizado para salvar o arquivo, caso deva ser alterado.

Address or name of remote host []? [IP DO SERVIDOR TFTP]
Source filename []? [NOME DO ARQUIVO]
Destination filename [NOME DO ARQUIVO]? [NOVO NOME CASO DESEJE]
Accessing tftp://xx.yy.zz.ww/NOME DO ARQUIVO ...
Loading NOME DO ARQUIVO from xx.yy.zz.ww (via Vlan13): !
[OK - 2056 bytes]

2056 bytes copied in 8.087 secs (254 bytes/sec)

4. As principais causas de falhas no envio de arquivos do servidor para o switch são:

• falha na configuração do servidor TFTP
• divergência entre o nome indicado e o nome do arquivo salvo no servidor tftp

Via dispositivo USB

1. Para restaurar execute o procedimento contrário.

copy usbflash0:BKP_SWXYZ.conf nvram:startup-config

2. Reiniciar o switch e não esquecer de remover o dispositivo USB

Referências 

• http://brainwork.com.br/

Configurando portas em um switch - parte II

Removendo configurações de uma porta

     Para remover determinadas configurações aplicada a porta de um switch,  é necessário acessar a mesma e aplicar o comando no sobre cada uma das configurações existentes.     Por exemplo, para remover a descrição e o acesso a VLAN 5 da configuração acima, seria necessário executar os seguintes comandos ao acessar o switch:

switch(config)# interface gigabitEthernet 1/0/7
switch(config-if)# no description
switch(config-if)# no switchport mode access
switch(config-if)# no switchport access vlan

Alterando as configurações

     Algumas configurações não necessitam ser removidas, apenas aplicadas, pois sobrescrevem as atuais, tais como:

• switchport mode trunk : quando aplicada em uma porta com mode access, sobrescreve essa configuração, e vice versa;
• switchport access-vlan [ID]: altera o ID da VLAN em uma porta; 
• description [descricao]: sobrescreve a descrição da porta

Zerando as configurações de uma porta

      Para remover totalmente as configurações de uma porta, pode ser executado o comando default, fazendo com que a porta retorne ao estado original.

default interface gigabitEthernet 1/0/7

Utilizando voice vlan

     Para realizar o compartilhamento de um único ponto de rede, entre equipamentos VOiP e outro dispositivo de rede, é necessário realizar a configuração da VLAN de voz definida, adicionando a configuração inicial apresentada, o seguinte comando

switchport voice vlan [ID]

     Em determinados aparelhos, também é necessário definir esta VLAN no dispositivo, para que o mesmo identifique o trafego corretamente.

Power inline

     Em switches POE, é possível aplicar configurações sobre o fornecimento de energia das portas, sendo as mais básica, a sua desativação (never) e a sua ativação (auto), através dos comandos a seguir:

switchport power inline never
switchport power inline auto

     Outras opções também são disponíveis, tais como static e max.

Referências

• https://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst4500/12-2/25ew/configuration/guide/conf/PoE.html
• https://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst3560/software/release/12-2_52_se/configuration/guide/3560scg/swvoip.html

Configurando portas em um switch

     Primeiramente, para configurarmos uma porta é necessário acessá-la, utilizando para tal a sua identificação [tipo_de_interface] [interface], sendo estas informações variáveis de acordo com o equipamento utilizados. 

     Nos exemplos são utilizados switches gigabit e por isso o tipo de interface é gibabitEthernet. Outros tipos poderiam ser também fastEthernet ou tengigabitEthernet.

Porta em modo access

     Uma porta de acesso pode pertencer somente a uma VLAN por vez, com exceção as porta conectada a um telefone IP, que no entanto necessitam de configurações adicionais.

hostname(config)# interface gigabitEthernet 1/0/7
hostname(config-if)# description descricao da porta
hostname(config-if)# switchport mode access
hostname(config-if)# switchport access vlan 5

     O comando switchport mode access é opcional, mas altamente recomendável como prática de segurança, pois com esse comando a interface é alterada para o modo de acesso permanente e obriga o tráfego tagueado. Para atribuir uma VLAN a várias portas utilize a palavra-chave range seguido das atribuições.

     O comando switchport access vlan define qual VLAN será utilizada na porta em questão e força a criação de uma VLAN se ainda não houver nenhuma no switch. 

Porta em modo tronco

     Um tronco de VLAN é um link de camada 2 OSI entre dois switches que transporta o tráfego de todas as VLANs (a menos que a lista de VLANs permitidas seja restrita manual ou dinamicamente). Para permitir links de tronco, configure as portas em cada extremidade do link físico com os conjuntos de comandos paralelos switchport mode trunk.

     Com esse comando, a interface é alterada para o modo de entroncamento permanente. A porta entra em uma negociação de Dynamic Trunking Protocol (DTP) para converter o link em uma trunk, mesmo que a interface de conexão não concorde com a alteração.
     Sempre configure ambas as extremidades de um link de tronco com as mesmas configurações, a fim de evitar erros ou falhas na comunicação. Ainda, por padrão, todas as VLANs são permitidas em um link de tronco.

hostname(config)# interface gigabitEthernet 1/0/7
hostname(config-if)# description descricao da porta
hostname(config-if)# switchport mode trunk

Limitação de vlans em portas tronco

      Para permitir que somente determinadas vlans trafeguem em uma porta já configurada em modo tronco, basta utilizar o argumento allowed vlan, conforme o exemplo a seguir, onde são permitidas as vlans 10 e 20 e o intervalo de 30 à 40.

hostname(config)# interface gigabitEthernet 1/0/7
hostname(config-if)# switchport trunk allowed vlan 10,20,30-40

     Para adicionar novas vlans as permitida

hostname(config-if)# switchport trunk allowed vlan add 102

     Para remover uma vlan

hostname(config-if)# switchport trunk allowed vlan remove 102 

     Para remover todas as vlans e permitir todoas novamente.

hostname(config-if)# no switchport trunk allowed vlan  .

Link aggregation

     Ethernet bonding ou port channel é uma técnica usada para o acoplamento de dois ou mais canais Ethernet em paralelo para produzir um único canal de maior velocidade e/ou aumentar a disponibilidade e redundância desse canal.

     Para a configuração de um link aggregation, preferencialmente não se deve estar conectado a porta ou portas que se deseja configurar. Inicialmente deve-se criar um port-channel com um id não utilizado, que varia de 1 a metade das portas existentes no switch:

hostname(config-if)# interface port-channel 5

     Em seguida, é necessário aplicar a configuração de channel-group nas portas que se deseja configurar:

hostname(config-if)# interface range gibabitEthernet g1/0/15-16
hostname(config-if)# channel-group 5 mode on

     O modo de utilização do channel-group permite configurações adicionais de alén do on, tais como :

• active: habilita LACP incondicionalmente. Um exemplo deste uso é em configurações de servidores de virtualização como XenSever;
• passive:   habilita LACP somente se um dispositivo LACP for detectado;
• auto:  habilita PAgP somente se um dispositivo com PAgP for detectado;
• desirable: habilita PAgP incondicionalmente;
• on: habilita somente etherchannel.
  

     E por fim, retornar ao port-channel e aplicar as configurações desejadas para o agrupamento de links:

hostname(config)# interface range gibabitEthernet g1/0/15-16 
hostname(config-if)# description descricao do LA
hostname(config-if)# switchport mode trunk 

     A configuração deve ser a mesma em ambos os lados do LA para evitar que ocorram problemas como portas desabilitadas ou em estado de erro. 

Referências

• http://brainwork.com.br/2009/03/27/tipos-de-portas-em-um-switch/
• https://www.security.unicamp.br/blog/89-boas-praticas-em-configuracao-de-switches-de-camada-2/

Gerenciamento de VLANs

     Para criação de uma VLAN, é necessário definir um identificador (ID) e um nome únicos, sendo importante mater a atenção pois dependendo do equipamento, nenhum alerta é exibido, podendo resultar em falhas de funcionamento. Para criação de uma VLAN são necessários os seguintes comandos:

switch# conf t
switch(config)#vlan 600
switch(config-vlan)#name [nome_da_vlan]
switch(config-vlan)#end
switch#

     Além de inserir um único VLAN ID, é possível inserir uma série de IDs da VLAN separados por vírgulas ou um intervalo de IDs de VLAN separados por hífens usando o comando vlan vlan-id. Por exemplo, use o seguinte comando para criar as VLANs 10, 20,31,32,33,34,35:

switch(config)#vlan 10, 20, 31-35

     A definição 31-35, cria as dentro do intervalo definido, sendo criada com o nome padrão VLAN0ID. A inclusão do comando no a frente do comando de criação, remove todas as VLANs criadas.

switch(config)#no vlan 601, 602, 605-610

     O comando show vlan permite que sejam visualizadas as VLANs existentes, bem como quais portas cada uma está atribuída. As portas que não possuem nenhuma atribuição, são mantidas na VLAN Padrão (ID 1), conforme figura abaixo.

Saída com comando show vlan

     O comando show vlan pode também ser complementado com outras palavras chaves tais como:

• show vlan name [NOME]: exibe informações da vlan [NOME]
• show vlan id [ID]: exibe informações da vlan [ID]

     A criação de VLANs em todos os equipamentos da rede, também pode ser automatizada, através do protocolo GRVP (Generic Vlan Registration Protocol), ou de protocolos proprietários, os quais devem ser utilizados com uma atenção especial, visto que permite também a exclusão automatizada, resultando em problemas de conectividade.

Referências: 

• http://www.dltec.com.br/blog/cisco/como-criar-vlan-e-alocar-portas-em-switches-cisco-ccna/ 
• https://www.cisco.com/c/m/en_us/techdoc/dc/reference/cli/nxos/commands/l2/show-vlan.html

Raspberry - configuração básica

     Na última postagem compilei informações sobre algumas das formas de instalar um SO no Raspyberry. Agora descrevo algumas configurações que foram realizadas.

SSH

     Nas instalações do raspbian  que realizei, foi necessário instalar o openssh-server, já na versão pré configurada do ubuntu 16.04, a instalação não foi necessária. Mas de qualquer forma, o processo incluindo a instalação do pacote será:

1. Instalar o openssh-server

apt-get install openssh-server

2. Alterar a porta caso deseje

sed -i 's/#Port 22/Port 4242/' /etc/ssh/sshd_config

3. Habilitar a inicialização com o sistema

update-rd.c ssh enable

4. Reiniciar e testar o acesso.

Transmission Web

      Versão do cliente BitTorrent Transmission que roda em um servidor e pode ser gerenciada por uma interface web ou ou cliente instalado em outro computador.

1. Instalação

apt-get install transmission-daemon

2. Criação do diretório

mkdir /media/dados/torrents
chmod -R 775 /media/dados/torrents
chown -R [user_local]:debian-transmission /media/dados/torrents
usermod -G sudo,debian-transmission [user_local]

3. Configuração básica

service transmission-daemon stop
vim /etc/transmission-daemon/settings.json
...
"download-dir": "/media/dados/torrents",
"incomplete-dir-enabled": false,
"rpc-authentication-required": true,
"rpc-bind-address": “0.0.0.0″,
"rpc-enabled": true,
"rpc-password": "[senha]",
"rcp-port": 9091,
"rpc-username": "[user_local]",
"rpc-whitelist-enabled": false, 
...
service transmission-daemon start

4. Testar acesso em um computador cliente

• Via navegador: http://192.168.1.2:9091
• Via cliente remoto: 
• apt-get install transmission-gtk e,
• acessar trasmission-gui
• configurar e conectar

SAMBA

     Compartilhamento de arquivos através do protocolo SMB, permitindo compartilhar os arquivos em rede.

1. Instalar os pacotes necessários

sudo apt-get install samba samba-common-bin

2. Adicionar o usuário ao samba

smbpasswv -a [user_local]

3. Configuração básica que necessitam ser alteradas

vim /etc/samba/smb.conf
....
workgroup=[grupo_dominio]
netbios name=[hostname]
....
; o ponto e virgula comenta a linha
[privado]
    comment = compartilhamento privado
    browseable = no
    path = /media/dados/privado
    guest ok = no
    writeable = yes
    public = no
    create mask = 775
    valid user=[usuario_valido]
   valid group=[grupo_usuario_valido]
 
[publico]
   comment = compartilhamento público
   browseable = yes
   path = /media/dados/publico
   guest ok = yes
   read only = yes
   writeable = no
   public = yes   
....
service smbd restart

     O que faz cada uma das opções nos compartilhamentos:

• [nome]: nome do compartilhamento
• comment: comentário
• browseable : permite ou impede a descoberta de rede
• path: caminho do diretório compartilhado. Se estiver incorreto, o compartilhamento será exibido mas não acessível.
• guest ok: permite acesso com usuário anonimo
• read only: se o mesmo é somente para leitura
• writeable: permite que seja editável e tem prioridade sobre a configração read only
• public: define se todos podem acessar o compartilhamento 
• create mask: mascara com a qual o compartilhamentos será criado
• valid user: usuário válidos para acessar
• valid group: grupo válidos para acessa
• em ambas as configuraçoes valid* o usuário deve ser adicionado com smbpasswd -a [login]

4. Testando o acesso

• smb://192.162.1.2/publico
• smb://192.162.1.2/privado

Referências

• http://www.rpi.uroboros.es/servers.html#9
• https://pt.wikibooks.org/wiki/Guia_do_Linux/Avan%C3%A7ado/SAMBA/Compartilhamento_de_arquivos_e_diret%C3%B3rios
• https://www.hardware.com.br/livros/linux-redes/configurando-manualmente-etcsambasmb.conf.html
• http://www.madeira.eng.br - compartilhando arquivos e diretorios com Samba em Redes Windows

Raspberry - Instalação de SO

     O Raspiberry Pi suporta uma gama de sistemas operacionais, estando dentre as oficiais, o Windows 10 IOT Core, Ubuntu e Raspbian (distribuição dedicada à Raspberry Pi, baseada no Debian). 
     As formas de instalação também são variadas, podendo ser realizado através
do:

• NOOBS (New Out Of the Box Software): pacote que contem várias versões do SO com uma interface para instalação.
• GNOME Disks:  é um front-end gráfico do udisks incluido no pacote gnome-disk-utility
• Linha de comando 

     A instalação será realizada a partir de um computador com SO Linux e será utilizado o SO Ubuntu Server 16.04, podendo ser utilizados outros SOs Linux compatíveis. Para instalção do Windows ou a partir de ou SO, existem links nas referências.
     Após a instalação, documentei algumas configurações adicionais em um outro post.

Requisitos    

• teclado USB
• monitor HDMI
• cartão microSD 
• Raspberry Pi 2/3
• SO a ser instalado
• https://ubuntu-pi-flavour-maker.org/download/ 
• https://www.raspberrypi.org/downloads/
• 2018-04-18-raspbian-stretch-lite 
• computador para escrita no microSD

Instalação via linha de comando

1. Descobrir o ponto de montagem do cartao SD e desmontar

    df -h
    umont /dev/mmcblk0p1
    umont /dev/mmcblk0p2

2. Formatar o cartao de memoria em FAT

    mkfs.vfat -I -F 32 /dev/mmcblk0

3. Descompactar a iso em um diretorio qualquer e gravar no cartão

    unxz ubuntu-16.04-preinstalled-server-armhf+raspi3.img.xz
    dd bs=4M if=ubuntu....raspi3.img of=/dev/mmcblk0 status=progress conv=fsync

Instalação via Gnome Disk

     Possibilidade de instalação gráfica que já vem por default no ubuntu ou mint, mas caso necessário, a instalação pode ser realizada como descrito a seguir:

sudo apt-get install gnome-disk-utility

 Instalação

1. Com o  Gnome Disks aberto, selecione o disco que será formatado e no canto superior esquerdo, abra o menu e escolha restaurar imagem no disco
2. Na janela aberta, clique para buscar a imagens a ser instalada
3. Na janela aberta, escola a ISO desejada
4. Inicie o processo de  gravação
5. Apenas confirme que a imagem será restaurada
6. Aguarda alguns minutos para finalizar
7. Remova o dispositivo no  mesmo menu onde iniciou o processo de restauração.

Usuário e senha

Após a instalação, o acesso poder ser realizado com os dados a seguirm de acordo com o SO instalado.

• Ubuntu 16.04 server : usuário ubuntu e senha ubuntu
• Raspbian server: usuário pi e senha raspberry

Outras instalações

• A partir do windows - link 1 - link 2 -  link 3
• Instalação de windows - link 1 - link 2 - link 3 
• Instalação do NOOBS - link 1 - link 2 - link 3

Referências

• http://www.jairjunior.eng.br/artigos/instalando-o-raspbian-no-raspberry-pi/
• https://www.embarcados.com.br/primeiros-passos-linux-na-raspberry-pi-3/
• https://ubuntu-pi-flavour-maker.org/download/
• https://www.robocore.net/tutoriais/instalando-ubuntu-na-raspberry-pi.html
• http://www.rpi.uroboros.es/servers.html

VLANs - Virtual Lans

Representação do trafego isolado por VLANs

     As Virtual LANs ou Redes Virtuais, permitem a um administrador segmentar o seu domínio com base em fatores como a função, equipe do projeto ou a aplicação, independentemente da localização física do usuário ou do dispositivo. Dessa forma, os dispositivos pertencentes a determinada rede virtual, atuam em uma rede lógica independente, mesmo que compartilhem uma infraestrutura física comum.

     Essa independência faz com que os pacotes destinados às estações que não pertencem à VLAN sejam enviados através de um dispositivo com suporte para esse roteamento. Esse isolamento entre redes permite tanto uma maior segurança quanto uma melhora de desempenho devido a criação de um domínio de broadcast para cada rede virtual.

     Por exemplo, se um dispositivo em uma VLAN enviar um quadro ethernet de broadcast, somente os dispositivos na mesma VLAN receberão o quadro, os demais não.

     Ainda, cada VLAN corresponde a uma rede IP e a cada porta de um switch pode ser atribuída apenas uma rede virtual, exceto quando se tratam de VLANs de voz ou portas trunk.

Vantagens das VLANs

     As VLANs tornam mais fácil projetar uma rede para suportar os objetivos de uma organização. Os principais benefícios do seu uso são:

• segurança: proporcionam o isolamento entre grupos de dispositivos, reduzindo as chances de violações de informações sigilosas.
• redução de custos: resultante da menor abrangência e impacto das  possíveis atualizações de rede e do uso mais eficiente da largura de banda e dos equipamentos já existentes.
• melhor desempenho: dividir as redes simples de Camada 2 em vários grupos de trabalho lógicos (domínios de broadcast) reduz o tráfego desnecessário na rede e aumenta o desempenho.
• diminuir domínios de broadcast: além de melhorar o desempenho facilita na detecção e isolamento de problemas, devido a menor quantidade de equipamentos em cada rede.
• maior eficiência da equipe de TI: elas facilitam o gerenciamento da rede isolando grupos de usuários com requisitos semelhantes. 

Tipos deVLANs

     As redes virtuais podem ser classificadas de acordo com o elemento ao qual ela se associa, podendo ser baseada em:

1. portas (L1): onde cada VLANs existe em um conjunto de portas.
2. endereço MAC (L2): onde cada conjunto de MACs é associado a uma VLAN.
3. tipo de protocolo (L2): as VLANs são segmentadas de acordo com o protocolo envolvido na comunicação.
4. faixa de IP (L3): os dispositivos pertencentes a uma determinada VLANs são determinados pela faixa de endereço IP que recebem.
5. protocolo: os membros de uma VLANs são definidos de acordo com o protocolo ou conjunto de protocolos que utilizam. Por exemplo FTP, HTTP, etc.

     O padrão IEEE 802.1Q, define a criação de redes virtuais somente para as camadas 1 e 2 do modelo OSI. A utilização em outras camadas depende de soluções proprietárias.

VLANs de acordo com o uso

     De acordo com a utilização e a funcionalidade de uma VLANs, é possível também denominá-la de outra forma. 

1. VLAN padrão: configuração de fábrica que em geral utiliza o identificador 1 (um) e não pode ser renomeada ou excluída, sendo atribuída para todas as portas do equipamento por default, até que uma nova configuração seja realizada. Ela também é utilizada por padrão como VLAN nativa.
2. VLAN nativa: é uma VLAN especial que só existe na s portas trunk e que não será tagueada nestes links. Se a VLAN nativa for diferente em algum switch da rede ou em um dispositivo camada 3 que participa o processo de roteamento interVLAN, a parte do tráfego não será encaminhada.
3. VLAN de dados: é o nome dado aquelas que são configuradas para transportar o tráfego gerado pelo usuário.
4. VLAN de voz: é separada para suportar Voz sobre IP (VoIP), sendo necessárias as devidas configurações na rede para suportar os requisitos de tráfego, que são:
• Largura de banda garantida para assegurar a qualidade de voz;
• Prioridade de transmissão sobre outros tipos de tráfego de rede;
• Capacidade para roteamento em áreas congestionadas na rede;
• Atraso de menos de 150 ms na rede.
5. VLAN de gerência: é a VLAN que foi definida para ser utilizada pelos ativos de rede, permitindo que o mesmo seja acessado remotamente e gerenciado. Embora, teoricamente, um switch possa ter mais de uma VLAN de gerenciamento, isso aumenta a exposição a ataques à rede
   
6. VLAN trunk: ou tronco, permitem que o tráfego de todas as redes virtuais existentes em uma rede seja propagado, permitindo a comunicação entre dispositivos conectados em uma mesma VLANs mas em switches  distintos. As portas configuradas como trunk, suportam dois tipos de tráfego, denominados como:
• tagueado: ou marcado, o qual é oriundo de inúmeras VLANs, que tem uma marca (tag) de 4 bytes inserida no cabeçalho do quadro Ethernet original, especificando a VLAN à qual o quadro pertence.
• não tagueado: ou não marcado, que não possui nenhuma marcação de VLAN, sendo automaticamente colocado na VLAN nativa. Dessa forma, esse tráfego acaba na prática sendo descartado em uma porta trunk, caso a VLAN nativa não esteja sendo utilizada.

Referências

• https://www.gta.ufrj.br/ensino/eel879/trabalhos_vf_2012_2/vlan/index.html
• https://pt.wikipedia.org/wiki/Virtual_LAN 

Confirugarndo acesso ssh a um switch

     O Secure Shell (SSH) é um protocolo que roda por padrão na porta 22 e fornece conexão de gerenciamento seguro (criptografia forte) a um dispositivo remoto, tanto para autenticação de login (usuário e senha) quanto para dados transmitidos entre os dispositivos de comunicação, sendo assim utilizado em substituição ao Telnet (porta 23), nas conexões de gerenciamento, pois este é um protocolo mais antigo que usa transmissão de texto não criptografado, não protegido.
     Assim como na maioria das postagens, essa configuração foi realizada em um switch Cisco modelo 2960, mas em geral pode ser replicada com algumas adaptações em equipamentos de outros fabricantes.

Configuração do SSH

1. Verifique o suporte a SSH com o comando show ip ssh. Se o switch não estiver executando um IOS que suporte recursos criptográficos, esse comando não será reconhecido.

switch# show ip ssh
SSH Disabled - version 1.99
%Please create RSA keys (of atleast 768 bits size) to enable SSH v2.
Authentication timeout: 120 secs; Authentication retries: 3
switch#

2. Permita somente ssh versão 2 com o comando ip ssh version 2.

• OBS: por padrão, o SSH suporta ambas as versões 1 e 2, essa informação é mostrada na saída show ip ssh como suportando a versão 1.99, A versão 1 tem vulnerabilidades conhecidas, que com essa configuração, são evitadas.

3. Configure o nome de domínio com o comando ip domain-name;

4. Gere um par de chaves RSA, o que ativa automaticamente o SSH. Para tal use o comando crypto key generate rsa no modo de configuração global. Um comprimento para o módulo será solicitado, em geral utilizado 1024 ou 2048 bits.

• OBS: para excluir os pares de chaves RSA, use o comando crypto key zeroize rsa do modo de configuração global. Assim o servidor SSH será desativado automaticamente.

5. Configure o tempo limite de conexão com o comando ip ssh time-out [segundos].

6. Ative o protocolo SSH nas linhas vty com o comando do modo de configuração de linha transport input ssh, limitando o switch a aceitar conexões somente SSH, impedindo conexões como Telnet.

• OBS: quando se utiliza a configuração de autenticação aaa, referente aos usuários institucionais, está é a única configuração necessárias nas linhas console e vty.

7. Verifique a configuração e versão do ssh com o comando show ip ssh e as conexões ativas com o comando show ssh.

XenServer - Multiplas Vlans por Interface

     Em alguns casos o número de Vlans utilizadas pode ser maior do que a quantidade de interfaces de rede disponíveis, tanto por razões de capacidade física como definições de utilização das NICs existentes.

     Para auxiliar em casos como este, é possível realizar a criação de interfaces virtuais adicionais, ligadas a uma interface física, onde cada uma das novas interfaces atende a demanda de uma Vlan em específico.

     No entanto, como requisito adicional para esta configuração, são necessárias também configurações na porta do switch com a qual a NIC está conectada, a qual deve estar configurada como tronco, ou trunk. 

     Embora este requisito seja uma coniguração simples e bem similar, ela pode váriar de acordo com o equipamento utilizado e dessa forma não pode ser abordada na sua totalidade

Configuração do XenServer

Passo 1: Acessar a aba Networking do servidor que se deseja configurar, e clicar em Add Network.

Passo 2: Na janela seguinte, manter selecionada a opção External Network;

Passo 3: Definir um nome para a interface;

Passo 4: Selecionar a interface física a qual a interface virtual está relacionada e definir a Vlan correspondente;

Passo 5: Conferir se a aplicação foi realizada.

XenServer - Arquivos de log

     Provavelmente não seja nenhuma novidade falar que os logs do XenServer são armazenados no diretório /var/logs, pois é onde realmente se espera encontra lós.
     No entanto, o que diferencia são os aquivos presentes neste diretório e a sua finalidade. Em um sistema operacional linux os logs seriam encontrados em /var/logs alguns arquivos como:

• auth.log:armazena logs de autenticação;
  
• boot.log: informações relacionadas à inicialização;
• cron: armazena todas as mensagens relacionadas a Crond (tarefas cron) ;
• daemon: registros pertinentes aos daemons em execução no servidor; 
• dmesg: mensagens relacionadas aos drivers de dispositivo;
• faillog: contém informações sobre todas as tentativas de login falhas;
• mail.log: armazena todos os logs relacionados aos servidores de e-mail
• kern.log: armazena logs do Kernel e dados de aviso.
• syslog: mensagens gerais;

    Já no XenServer, alguns desdes diretórios não estão presentes, ao mesmo passo que outros arquivos não encontrados em servidores linux, são exibidos no XenServer. Dentre eles os principais são:

• audit.log:  informações detalhadas sobre as RBCA-roles (role-based access control) ou controle de acesso baseado em funções;
• installer: diretório com registros do processo de instalação;
• secure: registro das conexões realizadas ao XenServer, variando entre XenCenter e acessos via ssh;
• SMLog: arquivo com registros das ações relacionadas ao armazenamento, tais como montagem, conexões e verificações do status das conexões; 
• xensource.log: arquivo  com o registros dos eventos realizados pelo conjunto de ferramentas utilizado para gerenciamento do XenServer, denominado XAPI. Devido ao seu nível de detalhamento é um pouco mais complicado de ser analisado.

      Outros destinos dos logs também poder ser observados na imagens abaixo, que lista o conteúdo do diretório /var/log.

Referências 

• https://xenserver.org/partners/developing-products-for-xenserver/20-dev-hints/90-xs-log-debug-understand.html
• https://cleriston.com.br/post/110423117208/o-que-e-o-xapi
• Virtualization Security: Protecting Virtualized Environments

Switch virtual interface (SVI)

     Geralmente, switches gerenciáveis permitem a criação de interfaces virtuais criadas no software para fornecer um meio de acesso via rede usando IPv4/6, denominadas de SVI, as quais se comportam como interfaces físicas, possindo inclusive um endereço MAC.

     Em geral, cada switch é fornecido com um SVI padrão definida como interface vlan 1, sendo necessário realizar a configuração de rede para permitir acesso remoto.

Configuração SVI

     A sequência de comandos a seguir foi executa da em um switch Catalyst da Cisco e habilita administrativamente e atribui um endereço IP a interface Vlan 1, tornando possível assim o acesso via rede

switch(config)#interface vlan 1
switch(config-if)#ip address 192.168.1.10 255.255.254.0
switch(config-if)#no shutdown
%LINK-5-CHANGED: Interface Vlan1, changed state to up
switch(config-if)#

     Assim como aplicada a Vlan 1, interfaces virtuais podem ser criadas para outras Vlans que estejam presentes no equipamento, sendo necessário também a criação da Vlan, pois a criação da interface para uma Vlan não existente não realiza a criação da Vlan de forma automática.
     Essas configurações permitem que o equipamento seja encontrado na rede através de um endereço IP, sendo necessário configurações adicionais para que seja realizado um acesso remoto, tal como a definição do gateway, configurações de uplink entre switches, configurações de Vlan entre outros. 
   

Teste de configuração

     Dentre os vários testes que podem ser realizados para verificar o funcionamento da configuração aplicada, um deles que não necessita de gateway, por estar na mesma rede, consiste em:

1. configurar um computador na mesma rede
2. conectar em uma porta do switch que esteja em modo access e na vlan 1
• OBS: caso tenha configurado a interface virtual em outra Vlan, a porta access deve estar na Vlan na qual foi configurado o IP.
3. utilizar o comando ping para testar.

Referências

• https://www.grandmetric.com/knowledge-base/design_and_configure/how-to-create-svi-interface-cisco/ 
• https://www.ppgia.pucpr.br/~jamhour/Download/pub/RSS/old/VLANs.pdf

XenServer - Adicionando template do Ubuntu 18.04 LTS

     Um template é um modelo partir do qual se pode provisionar rapidamente uma nova VM. Mais detalhadamente, consiste em um arquivo com todas as informações de uma VM, tais como CPU, memória, tamanho do disco e recursos de rede. Em outras palavras, um template consiste em uma VM encapsulada com todas as suas informações.

      O Xen já disponibiliza templantes a serem escolhidos no momento da criação de uma nova VMs, os quais, além de conterem as definições básicas, auxiliam na definição de como ocorrerá a virtualização, se totalmente virtualizado o se paravirtualizada, dentre outros. Ademais, eles também não contam com sistema operacional instalado. 

     Já os templates criados a partir de VMs configuradas, possuem a vantagem de serem totalmente configurados, de acordo com quem realizou a preparação da sua VM de origem.

     Este post aborda o primeiro tipo de template, que é necessário ser criado geralmente quando ocorrem lançamento de novas versões de SOs que somente serão incluídas nas próximas versões do XenServer, tal como o Ubuntu Server 18.04 LTS, no XenServer 7.2.

Passo a passo:

1. Obter o UUID do template da versão anterior.

UUID=`xe template-list name-label="Ubuntu Xenial Xerus 16.04" params=uuid --minimal`

2. Clonar o template da versão anterior para um novo template, já com o nome da nova versão

NEW_UUID=`xe vm-clone uuid=$UUID new-name-label="Ubuntu Bionic Beaver 18.04"`

3. Setar como um template default

xe template-param-set uuid=$NEW_UUID other-config:default_template=true

Referências

• https://tecadmin.net/add-ubuntu-16-04-lts-template-on-xenserver/ 
• https://www.techhapa.com/2016/08/adding-ubuntu-1604-lts-template-in.html
• http://ports.marllus.com/2016/02/17/entendendo-templates-xenserver-6-5/

XenServer - Níveis de usuáros

     O XS (XenServer) apresenta por padrão cinco (5) Roles (níveis de usuários), denominados Pool Admin, Pool Operator, VM Power Admin, VM Admin, VM Operator ou Read-Only.  Estas roles são, com um conjunto de permissões que possibilitam garantir acesso total ou restringir  acessos mais específicos a cada usuário, conforme descrito a seguir.

• Pool Admin: maior nível de acesso, permitindo controle total a todas as funções e configurações do XS, incluindo o acesso a console do host, tendo permissão para executar comandos como root.
• Pool Operators: permite a execução de ações no nível do pool, como configurações de storage, gerenciamento de patches e a criação de resource pool. Também permite a configuração de Hight Availability, Workload Balancing, não tendo acesso a ações como inclusão de usuários e acesso console.
• VM Power Admin: os usuários pertencentes a esta role tem permissão para gerenciar máquinas virtuais, templates, snapshots, recurso de Dynamic Memory Control e definição de Home Server.
• VM Admin: permite o gerenciamento de VMs e templates sem acesso ao Dynamic Memory, snapshots e definição do Home Server.
• VM Operators: possuem permissão para gerenciar uma VM em questão, realizando algumas atividades básicas, não sendo possível alterar as propriedades daPolls máquinas virtuais, como memória e CPU.
• Read-Only: grupos associados a essa role terão acesso total somente leitura, não sendo permitido nenhuma modificação em todo o ambiente.

     É importante ressaltar que a inclusão de um usuário em uma role, permite que ele execute as funcionalidades a partir do XenCenter, sendo necessário a existência de um usuário na VM para que seja realizado o acesso ao SO.

Referências

• https://docs.citrix.com/en-us/xencenter/6-5/xs-xc-users/xs-xc-rbac-roles.html
• https://www.safaribooksonline.com/library/view/citrix-xenserver-60/9781849686167/ch02s04.html
• https://www.packtpub.com/mapt/book/virtualization_and_cloud/9781849686167/2/ch02lvl1sec20/roles-and-permissions
• https://cleristononline.wordpress.com/2015/02/19/testando-os-niveis-de-acesso/

Mensagens de Log nos switches CISCO

     Os registros de logs podem ser usados para notificação de falhas, análise forense e auditoria de segurança. As mensagens de logs dos equipamentos Cisco podem ser tratadas de 5 maneiras diferentes, gerando registros de log:

• do terminal: similar ao do console, mas mostra mensagens de log nas linhas VTY. Não é habilitado por padrão.
• de console:  por padrão, todas as mensagens de log são enviadas para sua porta console. Portanto somente os usuários que estão fisicamente conectados à porta console pode ver essas mensagens.
• de buffer: tipo de log que usa a memoria RAM para o armazenamento das mensagens de log. O buffer tem um limite fixo para garantir que o log não irá esgotar memória valiosa do sistema, deletando mensagens antigas do buffer assim como novas mensagens vão entrando.
• do servidor Syslog: as mensagens de log podem ser encaminhadas para um servidor externo para o armazenamento.
• de trap SNMP: mensagens de log podem ser enviadas para servidores SNMP através da configuração de traps.

Níveis de informação

     O tratamento das mensagens de log é realizado através da definição do nível de informação das mensagens, sendo dividida em 7 níveis, onde a definição de um nível faz com que todas as mensagens dos níveis inferiores sejam também enviadas.

Formatação dos logs

     O formato dos logs pode variar de acordo com o modelo do equipamento, mas nos switches da linha Catalyst 2960, são exibidos conforme exemplo:

     Alguns exemplos de configuração para registro de logs que poderiam ser aplicados são:

• logging on: habilita o log para todos os destinos;
• logging console 3: define o nível de informação das mensagens exibidas quando realizado acesso via console, fazendo com que sejam exibidas somente mensagens de status de erro ou de maior importância;
• logging trap 7: define o nível de informação das mensagens armazenadas no buffer e enviadas para algum servidor Syslog, caso exista.
• logging buffered 100000: definir o tamanho do buffer de log para ser armazenado no switch. O nível dos logs é definido com o parâmetro trap;
• service sequence-numbers: habilita números sequenciais nos logs;  
• service timestamps log datetime localtime: define o horário do log para o mesmo horário do equipamento, que por sua vez já foi configurado para ser sincronizado via NTP; 
• show logging: não é uma configuração mas serve para exibe o buffer local com os eventos de log;

     A aplicação em um switch é meramente a transposição dos comandos em negrito para o console

switch(config)# logging on
switch(config)# logging console 3
switch(config)# logging trap 7
switch(config)# logging buffered 100000
switch(config)# service sequence-numbers
switch(config)# service timestamps log datetime localtime
switch(config)# end
switch# show logging

    Uma configuração de log adicional por ser obtida com o comando archive que habilita o log das alterações realizadas pela linha de comando, salvando informações da sessão, tais como login e comando realizado.

switch(config)# archive
switch(config-archive)# log config
switch(config-archive-log-cfg)# logging enable
switch(config-archive-log-cfg)# logging size 500
switch(config-archive-log-cfg)# end
switch#

     O comando show archive log config all é utilizado para exibir os logs das alterações realizadas, informando mais especificamente os comandos executados, os usuários e a linha de console utilizada para tal.

switch# show archive log config all
idx   sess           user@line      logged command
    1    20          admin@console  |logging on
    2    20          admin@console  |logging console 3
    3    20          admin@console  |logging trap 7
    4    20          admin@console  |logging buffered 100000
    5    20          admin@console  |service sequence-numbers
    6    20          admin@console  |service timestamps log datetime localtime
    7    20          admin@console  |archive
    8    20          admin@console  | log config
    9    20          admin@console  |  logging enable
   10    20          admin@console  |  logging size 500
switch#

Referências

• https://pt.slideshare.net/vitordantasdealbuquerque/syslog-e-snmp-31008945
• blog.ccna.com.br/2008/07/11/registrando-as-ocorrencias-de-seu-roteador-cisco/
• http://www.dltec.com.br/blog/cisco/entendendo-as-mensagens-e-logs-em-roteadores-e-switches-cisco-para-o-ccna-e-ccent/
• https://www.vivaolinux.com.br/artigo/Servidor-de-logs-para-Routers-e-Switches-Cisco
• https://supportforums.cisco.com/legacyfs/online/how_to_configure_logging_in_cisco_ios.pdf
• https://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst3750x_3560x/software/release/12-2_55_se/configuration/guide/3750xscg/swlog.pdf#G1030431

Contas de usuários em switches gerenciáveis

     A autenticação em dispositivos Cisco, assim como nos demais sistemas operacionais e determinadas aplicações, pode ser realizada através de uma consulta a base de usuários locais ou a uma base de usuários remota, através do protocolos AAA (Autenticação, Autorização e Auditoria), RADIUS e TACACS (Terminal Access Controller Access-Control System). 

     Embora a utilização de uma base de dados centralizada seja mais indicada, também consiste em um recurso mais complexo e não elimina a necessidade de usuários locais, cujas configurações e detalhes são descritos a seguir.

     Usuários locais podem ser criados com o comando username e as palavras chaves desejadas, tais como:

• privilege [1-15]: define o nível de privilégios do usuário criado
• passwd: define uma senha em texto puro
• secret: define uma senha criptografada, não podendo ser utilizado em conjunto com a opção passwd

     A criação do usuário admin exemplificada a seguir, define o nível de privilégio 15 para o usuário, com uma senha em texto puro, ou seja, caso as configurações sejam visualizadas, a senha será exibida no console.

switch(config): username admin privilege 15 passwd senhateste

     Uma das alternativas para criptografar as senhas em texto puro é habilitar a criptografia de senhas com o comando service seguido da palavra chave encryption-password, que criptografa todas as senhas criadas em texto puro.

switch(config): secret encryption-passwd

     Diferentemente da maioria dos comandos, a execução do no service encryption-passwd não não retira a criptografia das senhas. 

     Uma segunda opção, que pode ser utilizada em conjunto com a anterior, consiste em criar um usuário com a opção secret. a qual criptografa a senha digitada.

Complementos

     A criação de um usuário por si só não garante a segurança no acesso ao sistema, sendo necessário configurações adicionais, definindo os tipos de acesso nas linhas vty e console. Para utilizar o usuário local, é necessário acessar as linhas vty e definir a utilização da base de dados local para autorização de acesso.

switch(config-line)# line console 0
switch(config-line)# login local
switch(config-line)# line vty 0 15
switch(config-line)# login local
switch(config-line)#

     Uma configuração adicional que possibilita maior segurança no acesso aos equipamentos é a definição de uma senha para acesso ao nivel EXEC, definida com o comando  enable secret/passwd [senha] que exige a inclusão da senha para habilitar o modo exec usuário, sendo que a definição de senhas em texto puro e criptografadas segue a mesma lógica já explicada.

switch(config-line)# enable passwd senhaTextoPuro
..........
switch(config-line)# enable secret senhaSeraCriptografada