Mi entorno python en windows

Para mis pruebas de Hy (http://hy.readthedocs.org/en/latest/) y diversos scripts que normalmente ejecuto en Linux.

Usaré python 2.7, teniendo en cuenta hacer código migrable a python3, el porqué no usar python3 es debido a que algunas librerías no están migradas aún a python3.

Sistema base: windows 8.1 64 bits

Python (Seleccionar agregar python al PATH durante la instalación)
https://www.python.org/downloads/

Setup tools
Ejecutar PowerShell como administrador y ejecutar lo siguiente

(Invoke-WebRequest https://bootstrap.pypa.io/ez_setup.py).Content | python -

Pip
Ejecutar PowerShell como administrador y ejecutar lo siguiente

(Invoke-WebRequest https://raw.githubusercontent.com/pypa/pip/master/contrib/get-pip.py).Content | python -

PyWin32
Descargar la ultima versión disponible desde http://sourceforge.net/projects/pywin32/
PD: Instalarla como usuario estándar, cuando lo intente como administrador por algún motivo fallaba en windows 8.1

Agregar rutas al PATH en PowerShell

setx PATH "%PATH%;C:\Python27\Scripts"

Pylint
python code static checker

pip install pylint

Ipython

pip install ipython

BeautifulSoup4
Para automatizar el analisis de código HTML

pip install beautifulsoup4

Hy
"Hy is a lisp dialect, but one that converts its structure into Python" =)

pip install hy

libdnet
No existe un instalador oficial para python 2.7 pero desde https://twitter.com/dloss/status/18457222544

http://dirk-loss.de/scapy/dnet-1.12.win32-py2.7.exe

dpkt
"fast, simple packet creation / parsing, with definitions for the basic TCP/IP protocols"
El texto menciona python 2.6 pero tambien sirve para 2.7
https://code.google.com/p/dpkt/downloads/detail?name=dpkt-1.7.win32.exe&can=2&q=

pypcap
"simplified object-oriented Python extension module for libpcap"
Tampoco tiene instalador oficial pero lo obtuve de aqui https://code.google.com/p/pypcap/issues/detail?id=36

https://pypcap.googlecode.com/issues/attachment?aid=360000000&name=pcap-1.1.win32-py2.7.exe&token=ABZ6GAdluPCo_hMK4vnsnR7oKqP_Gjomow%3A1406650615796

scapy
http://www.secdev.org/projects/scapy/doc/installation.html
http://bb.secdev.org/scapy/downloads/scapy-2.2.0.zip

wireshark
instalar la version de 32 bits
www.wireshark.org

Pycrypto
http://www.voidspace.org.uk/python/modules.shtml#pycrypto
http://www.voidspace.org.uk/downloads/pycrypto26/pycrypto-2.6.win32-py2.7.exe

dnspython
"dnspython is a DNS toolkit for Python. It supports almost all record types"

pip install dnspython

IDE:
Aptana Studio (Pydev)
http://www.aptana.com/products/studio3/download

GNS3/Linux: Creando una VPN site to site usando CLI

Topologia:

R0

interface FastEthernet0/0
 ip address 192.168.169.2 255.255.255.0
 duplex auto
 speed auto
!
interface FastEthernet0/1
 ip address 192.168.1.2 255.255.255.0
 duplex auto
 speed auto

router rip
 network 192.168.1.0
 network 192.168.169.0

line con 0
 logging synchronous

R1

crypto isakmp policy 1
 encr aes
 authentication pre-share
 group 2
crypto isakmp key s3cr3t address 192.168.1.1
!
!
crypto ipsec transform-set TRANSFORM_VPN_TEST esp-aes esp-sha-hmac
!
crypto map VPN_R1_TO_R2 10 ipsec-isakmp
 set peer 192.168.1.1
 set transform-set TRANSFORM_VPN_TEST
 match address 101

interface FastEthernet0/0
 ip address 10.10.2.1 255.255.255.0
 duplex auto
 speed auto
!
interface FastEthernet0/1
 ip address 192.168.169.1 255.255.255.0
 duplex auto
 speed auto
 crypto map VPN_R1_TO_R2
!
router rip
 network 192.168.169.0

ip route 10.10.3.0 255.255.255.0 192.168.1.1
access-list 101 permit ip 10.10.2.0 0.0.0.255 10.10.3.0 0.0.0.255
line con 0
 logging synchronous

R2

!
crypto isakmp policy 1
 encr aes
 authentication pre-share
 group 2
crypto isakmp key s3cr3t address 192.168.169.1
!
!
crypto ipsec transform-set TRANSFORM_VPN_TEST esp-aes esp-sha-hmac
!
crypto map VPN_R2_TO_R1 10 ipsec-isakmp
 set peer 192.168.169.1
 set transform-set TRANSFORM_VPN_TEST
 match address 101

interface FastEthernet0/0
 ip address 10.10.3.1 255.255.255.0
 duplex auto
 speed auto
!
interface FastEthernet0/1
 ip address 192.168.1.1 255.255.255.0
 duplex auto
 speed auto
 crypto map VPN_R2_TO_R1
!
router rip
 network 192.168.1.0

ip route 10.10.2.0 255.255.255.0 192.168.169.1
access-list 101 permit ip 10.10.3.0 0.0.0.255 10.10.2.0 0.0.0.255
line con 0
 logging synchronous

GNS3/Linux: Instalacion de Cisco SDM desde Linux

Estar familiarizado con el uso del Cisco SDM (Security Device Manager) es necesario para rendir el examen 640-553 CCNA Security. Instalarlo desde windows es relativamente sencillo ya que dispone de un instalador. Sin embargo, desde Linux no lo es tanto; estos son los pasos que segui para instalarlo usando GNS3.

Creamos la Interfaz tap0 y le asignamos una direccion IP

tunctl
ifconfig tap0 10.10.2.2 netmask 255.255.255.0 up

Descargamos una version de java antigua

http://java.sun.com/products/archive/

Instalamos un servidor tftp

aptitude install atftpd

Descargamos el SDM v2.5 y copiamoslos siguientes archivos a /var/lib/tftpboot

cp 128MB.sdf /var/lib/tftpboot
cp attack-drop.sdf /var/lib/tftpboot
cp es.tar /var/lib/tftpboot
cp home.tar /var/lib/tftpboot
cp sdm.tar /var/lib/tftpboot
cp sslclient-win-1.1.4.176.pkg /var/lib/tftpboot
cp 256MB.sdf /var/lib/tftpboot
cp common.tar /var/lib/tftpboot
cp home.shtml /var/lib/tftpboot
cp sdmconfig-36xx-37xx.cfg /var/lib/tftpboot
cp securedesktop-ios-3.1.1.45-k9.pkg /var/lib/tftpboot
cp wlanui.tar /var/lib/tftpboot

Iniciamos elgns3 y abrimos una consola:

Formateamos la flash:

Router#erase flash:
Router#format flash:
Router#conf t

Logging syncronizado

Router(config)#hostname R0
R0(config)#line console 0
R0(config-line)#logging synchronous
R0(config-line)#exit
R0(config)#end

Habilitamos ssh

R0(config)#ip domain-name ccnasec
R0(config)#crypto key generate rsa general-keys modulus 1024

Habilitamos el servidor https

R0(config)#ip http server
R0(config)#ip http secure-server
R0(config)#ip http authentication local
R0(config)#ip http timeout-policy idle 600 life 86400 requests 10000
R0(config)#username cquispe privilege 15 secret 0 cquispe
R0(config)#do wr

Habilitamos el acceso mediante vty

R0(config)# line vty 0 4
R0(config-line)# privilege level 15
R0(config-line)# login local
R0(config-line)# transport input telnet ssh
R0(config-line)# end
R0#wr

Configuramos la interfaz

R0(config)#int fa0/0
R0(config-if)#ip addr 10.10.2.3 255.255.255.0
R0(config-if)#no shu

Copiamos los archivos del sdm a la memoria flash del router

R0#copy tftp://10.10.2.2:/128MB.sdf flash:
R0#copy tftp://10.10.2.2:/attack-drop.sdf flash:
R0#copy tftp://10.10.2.2:/es.tar flash:
R0#copy tftp://10.10.2.2:/home.tar flash:
R0#copy tftp://10.10.2.2:/sdm.tar flash:
R0#copy tftp://10.10.2.2:/sslclient-win-1.1.4.176.pkg flash:
R0#copy tftp://10.10.2.2:/256MB.sdf flash:
R0#copy tftp://10.10.2.2:/common.tar flash:
R0#copy tftp://10.10.2.2:/home.shtml flash:
R0#copy tftp://10.10.2.2:/sdmconfig-36xx-37xx.cfg flash:
R0#copy tftp://10.10.2.2:/securedesktop-ios-3.1.1.45-k9.pkg flash:
R0#copy tftp://10.10.2.2:/wlanui.tar flash:

Abrimos el navegador en https://10.10.2.3

 

Cargando el SDM

  

Login

  

Aceptamos

Cargando la interfaz

La interfaz del SDM

Enlaces utiles para el CCNA Security

El libro oficial, me a gustado bastante y el cdrom viene con un banco de preguntas:
http://www.amazon.com/Security-Official-Certification-Guide-640-553/dp/1587202204

Videos recomendados, requiere registrarse pero es gratuito:
https://cisco.hosted.jivesoftware.com/community/certifications/security_ccna/iins?tab=studylearn

Enlaces utiles para el CCNA

Bueno, despues de enterarme que habia quienes me leian !! ( jejeej) .. y respondiendo al pedido de uno de ellos por material para el examen CCNA, empezare a publicar enlaces, articulos y tutoriales sobre algunos de los temas que se incluyen en la curricula para obtener esta certificacion. En un post diferente tambien empezare a poner enlaces para el CCNA Security, una de las certificaciones que tengo como objetivo conseguir este año, aparte del BSCI.

Frame Relay:
http://www.cisco.com/en/US/tech/tk713/tk237/technologies_tech_note09186a008014f8a7.shtml

Estudiando para el BSCI

Aqui estare posteando los links que considere utiles para rendir el examen 640-901 (BSCI)

Cisco Enterprise Architecture, IIN y SONA
http://www.cisco.com/web/about/ciscoitatwork/network_systems/cisco_sona_and_unified_comm_web.html
http://www.cisco.com/web/about/ciscoitatwork/downloads/ciscoitatwork/pdf/Cisco_IT_Case_Study_SONA.pdf
http://www.ciscopress.com/articles/article.asp?p=1073230
http://www.cisco.com/web/about/ciscoitatwork/downloads/ciscoitatwork/pdf/Cisco_IT_Case_Study_SONA_UC.pdf
http://www.cisco.com/en/US/solutions/collateral/ns340/ns629/sonaTOGAFwp072308.pdf


BGP
http://lacnic.net/documentos/lacnicxii/presentaciones/08_bgp.pdf
http://lacnic.net/documentos/lacnicxii/presentaciones/10_Seguridad_en_BGP.pdf

IPv6
http://www.6deploy.eu/e-learning/english/

Virtualizacion con KVM y virt-manager

Debemos asegurarnos si nuestra cpu soporta virtualizacion:

Intel CPUs:
cat /proc/cpuinfo | grep vmx
AMD CPUs:
cat /proc/cpuinfo | grep svm

Hay que entrar al BIOS de la PC y activar el soporte de virtualizacion.
Luego instalar

aptitude install virt-manager libvirt-bin kvm

Ejecutamos la herramienta grafica

virt-manager

Luego vamos a Archivo-->Abrir conexion

Y configuramos una maquina virtual para OpenBSD por ejemplo:

 

  

  

  

  

  

  

  

  

Yluego seguir el procedimiento de instalacion y einstalar el SO de manera normal

 

Y configuramos una maquina virtual

PD: En el ejemplo de OpenBSD hay que hacer unos trucos para que no aparesca el mensaje "watchdog timeout."
editamos /etc/libvirt/qemu/OpenBSD.xm y agregamos la linea model

<interface type='bridge'>
      <mac address='00:16:36:54:60:ed'/>
      <source bridge='br0'/>
      <model type='e1000'/>
    </interface>

Apagar la maquina virtual OpenBSD, aun no me funciona el apagado via ACPI:

halt -p

En un terminal hacer lo siguiente:

cd /etc/libvirt/qemu
virsh --connect qemu:///system
define OpenBSD.xml
start OpenBSD

Configuracion de ssmtp con gmail

aptitude install ssmtp

vi /etc/ssmtp/ssmtp.conf

#
# Config file for sSMTP sendmail
#
# The person who gets all mail for userids < 1000
# Make this empty to disable rewriting.
#root=postmaster
root=usuario@gmail.com

# The place where the mail goes. The actual machine name is required no
# MX records are consulted. Commonly mailhosts are named mail.domain.com
#mailhub=mail
mailhub=smtp.gmail.com:587

# Where will the mail seem to come from?
#rewriteDomain=

# The full hostname
#hostname=host.localdomain
hostname=usuario@gmail.com

UseTLS=YES
UseSTARTTLS=YES
AuthUser=usuario
AuthPass=password

# Are users allowed to set their own From: address?
# YES - Allow the user to specify their own From: address
# NO - Use the system generated From: address
#FromLineOverride=NO
FromLineOverride=YES

vi /etc/ssmtp/revaliases

 # sSMTP aliases
#
# Format:   local_account:outgoing_address:mailhub
#
# Example: root:your_login@your.domain:mailhub.your.domain[:port]
# where [:port] is an optional port number that defaults to 25.
root:usuario@gmail.com:smtp.gmail.com:587

Instalando ns-3, Network Simulator Version 3

Aqui podemos encontrar la descripcion completa, tutoriales.
http://www.nsnam.org/

Una descripcion de ns-3
http://www.nsnam.org/docs/ns-3-overview.pdf

Instalando los prerequisitos:

aptitude install gccxml sqlite3 build-essential libsqlite3-dev libgoocanvas-dev libgoocanvas3 unzip python-dev gcc-3.4 gcc-4.1 libgtk2.0-0 libgtk2.0-dev doxygen graphviz imagemagick texinfo dia flex bison tcpdump wireshark

pygccxml

wget http://downloads.sourceforge.net/pygccxml/pygccxml-1.0.0.zip?modtime=1224497206&big_mirror=0
unzip pygccxml-1.0.0.zip
cd pygccxml-1.0.0
python setup.py install
cd ..

Descargamos e instalamos ns-3:

wget http://www.nsnam.org/releases/ns-3.2.tar.bz2
tar jxvf ns-3.2.tar.bz2
cd ns-3.2
./waf configure
./waf

Terminado de compilar podemos comprobar si a sido correcta la compilacion

./waf check

Generamos la documentacion:

./waf --doxygen

dynamips y wireshark, capturando trafico

Despues de pasarme largo rato buscando la manera de snifear el trafico entre 2 router simulados por dynamips, la solucion era bastante simple.

capture R1 f0/0 r1.cap

y abrir ese archivo con wireshark
Para detener la captura:

no capture R1 f0/0

Ejecutando estos comandos desde la consola de dynagen.
En fin, mas que un STFW era un RTFM

Configurando Dynamips / GNS3 para simular routers Cisco en 32 y 64 bits

Instalando Dynamips
En Debian testing y SID, estos 2 programas ya se encuentran en los repositorios, podemos instalarlo de la siguiente manera

aptitude install  gns3 dynamips

Sin embargo, dynamips consume bastantes recursos asi que sera mejor compilar una version optimizada para el procesador que tengamos.
Para compilar el codigo fuente:

apt-get build-dep gns3 dynamips

aptitude install libelf-dev libelf1 libpcap0.8 libpcap0.8-dev cdbs python-qt4-dev python-sip4-dev libasm1 elfutils python-qt4 python-sip4

Bajamos el cofigo fuente de la pagina de dynamips:

http://www.ipflow.utc.fr/dynamips/dynamips-0.2.8-RC2.tar.gz
tar zxvf dynamips-0.2.8-RC2.tar.gz
cd dynamips-0.2.8-RC2

Editamos el siguiente archivo para ponerlo de acuerdo a la version:

vi debian/changelog
dynamips (0.2.8-RC2-1) unstable; urgency=low -->lo cambiamos al texto que aparece en negrita

Damos permiso de ejecucion, creamos el binario .deb e instalamos

chmod +x debian/rules
fakeroot debian/rules binary  --> para 32bits
export DYNAMIPS_ARCH=amd64 &&  fakeroot debian/rules binary  --> para 64 bits
cd ..
dpkg -i dynamips_0.2.8-RC2-1_i386.deb -->32bits
dpkg -i dynamips_0.2.8-RC2-1_amd64.deb -->64bits

Instalando GNS3
Descargamos la ultima version de la pagina de GNS3, son archivos en python asi que no hay necesidad de instalar:

http://www.gns3.net/download 
tar jxvf GNS3-0.5-src.tar.bz2
cd GNS3-0.5-src
./gns3

Una ves ejecutado GNS3, nos pedira la ubicacion de dynamips, se encuentra en/bin/dynamips

Descomprimiendo el IOS
La documentacion recomienda descomprimir la imagen de IOS que vayamos a usar, asi que manos a la obra

unzip -p mi_archivo_ios.bin > ios_descomprimido.bin

Estableciendo el parametro idlepc
Si no configuramos este parametro, dinamyps consumira toda la CPU, hay otra opcion usando el comando cpulimit pero no e tenido la necesidad de usarlo aun.

De manera predeterminada, dynamips asume que queremos emular el modelo c7200, asi que si tenemos otra imagen debemos cambiarlo con el parametro -P (actualmente estan soportados los modelos 7200, 3600, 2691, 3725, 3745).
Podemos determinar graficamente este valor usando GNS3, pero al menos en mi PC (que no es tan nueva) deja colgado la interfaz, asi que hagamoslo en modo texto. Asmumanos que una imagen c3725, entonces ejecutamos este comando:

dynamips -P 3725  c3725_descomprimido.bin

Esto va a poner muy lenta la PC ya que va a consumir el 100% de CPU, esperamos que arranque el IOS hasta que nos aparesca el mensaje "Press RETURN to get started!" ( si nos pregunta la autoconfiguracion le damos que no). Luego presionamos la siguiente combinacion de teclas: Ctrl-] i (es decir, presionamos Control y ] al mismo tiempo, soltamos las teclas y a continuacion i). Esto nos va a mostrar una informacion como esta:

Please wait while gathering statistics...
Done. Suggested idling PC:
   0x602649b4 (count=75)
       0x60264a2c (count=40)
       0x60bedba0 (count=51)
Restart the emulator with "--idle-pc=0x602649b4" (for example)

Matamos el proceso dynamips y empezamos a probar con esos valores hasta encontrar el valor que haga que el consumo de cpu disminuya.

dynamips -P 3725 --idle-pc=0x602649b4  c3725_descomprimido.bin

Puede haber mas de un valor optimo, en mi caso obtuve estos resultados de uso de cpu:

• 0x602649b4 (count=75)  --> 25%
• 0x60264a2c (count=40) --> 90%
• 0x60bedba0 (count=51) --> 26%
  

Luego de encontrado el valor optimo, abrimos el GNS3 y establecemos los valores.

Instalando Packet Tracer 5 en Linux

La ultima versión de Packet Tracer trae una versión para linux, por lo que ya no es necesario instalar la versión de windows usando wine. Esta versión viene con un instalador especifico para ubuntu y fedora, así como el genérico que es el que vamos a usar.
Lo descargamos y descomprimimos:

#tar zxvf PacketTracer5_generic.tar.gz

#cd PacketTracer5

#./installer

Presionamos Enter para leer la licencia y Bajamos hasta el final para aceptarla escribiendo Y
Luego debemos especificar la ubicación en donde se instalara, presionamos enter para dejarlo en la ubicación predeterminada:

Enter location to install Packet Tracer 5 or press enter for default [/opt/pt]:

Nos pregunta si queremos que cree enlaces simbolicos a /usr/local/bin, escribirmos Y

Should we create a symbolic link "packettracer" in /usr/local/bin for easy Packet Tracer 5 startup? [Yn]Y

y listo !!!, ya tenemos packet tracer en Linux. Ahora solo debemos abrir un terminal ( xterm, kconsole, gnome-terminal, ... cualquiera), escribir el comando packettracer y ya lo tendremos el software ejecutándose en nuestra PC.

Nota: En caso de tener un sistema de 64 bits hay que instalar las librerías de compatibilidad de 32 bits.

Configurando LVS/DR para balanceo de carga

Topologia



Instalacion de paquetes
debian-ldirector
aptitude install ldirectord-2 heartbeat
debian-rs y debian-rs2
aptitude install apache2

Configuracion de red

debian-ldirector
auto eth0
iface eth0 inet static
       address 192.168.1.35
       netmask 255.255.255.0
       gateway 192.168.1.1

auto eth0:0
iface eth0:0 inet static
       address 192.168.1.34
       netmask 255.255.255.0

debian-rs
# The primary network interface
auto eth0
iface eth0 inet static
       address 192.168.1.36
       netmask 255.255.255.0
       gateway 192.168.1.1

auto lo:0
iface lo:0 inet static
       address 192.168.1.34
       netmask 255.255.255.255

debian-rs2
# The primary network interface
auto eth0
iface eth0 inet static
       address 192.168.1.37
       netmask 255.255.255.0
       gateway 192.168.1.1

auto lo:0
iface lo:0 inet static
       address 192.168.1.34
       netmask 255.255.255.255



Modificando parametros del kernel para evitar el problema arp
debian-ldirector
#vi /etc/sysctl.conf
net.ipv4.ip_forward = 1
#sysctl -p
debian-rs y debian-rs2
#vi /etc/sysctl.conf
net.ipv4.conf.all.arp_ignore = 1
net.ipv4.conf.eth0.arp_ignore = 1
net.ipv4.conf.all.arp_announce = 2
net.ipv4.conf.eth0.arp_announce = 2
#sysctl -p

Configuracion de ldirectord
vi /etc/ha.d/ldirectord.cf
checktimeout=10
checkinterval=2
autoreload=no
logfile="/var/log/ldirectorlog.log"
quiescent=yes
# Virtual Server for HTTP
virtual=192.168.1.34:80
       fallback=127.0.0.1:80
       real=192.168.1.36:80 gate
       real=192.168.1.37:80 gate
       service=http
       request="test.html"
       receive="funciona"
       scheduler=rr
       protocol=tcp
       checktype=negotiate

Instalacion de Packet Tracer en Linux

Actualizacion:

La version 5 del Packet Tracer esta disponible nativamente para Linux, por lo que ya no es necesario emular la version de Windows. Si usas un sistema Linux de 64 bits, previamente tienes que instalar las librerias de compatibilidad de 32 bits. Mirar aca:



http://cquispe.blogspot.com/2008/10/instalando-packet-tracer-5.html 





Para poder tener el Packet Tracer en Linux debemos instalar wine.

En Debian simplemente escribimos:

aptitude install wine wine-utils

Luego:

wine /home/christian/Packet_tracer.exe

Y aparecera el tipico instalador de windows.

empezando la instalacion de packet tracer

El tipico wizard, click en siguiente

Instalacion en Curso

Una red de prueba, todo funciona ok

Incluso tenemos el Packet tracer dentro del menu del KDE

Dynamips, un emulador de router cisco

Este programa necesita una imagen IOS para funcionar por lo que una ves hecho instalado y configurado podemos ejecutar todos los comandos que el IOS soporte.
Actualmente este emulador soporta las siguientes routers:

• Cisco 7200 (NPE-100 to NPE-400)
• Cisco 3600 (3620, 3640 and 3660)
• Cisco 2691
• Cisco 3725
• Cisco 3745
• Cisco 2600 (2610 to 2650XM)
• Cisco 1700 (1710 to 1760)

Lo interesante es que es multiplataforma, con soporte para Linux, OSX y windows.

Hasta ahora solo habia estado usando el Packet Tracer y Boson para realizar los laboratorios de CCNA en casa y por lo tanto estaba limitado a los comandos que estos simuladores implementan. En cambio con dynamips estoy ejecutando una imagen IOS total, por lo que,en mi opinion, es mucho mejor para aprender.

Enlaces útiles:

Dynamips
http://www.ipflow.utc.fr/index.php/Cisco_7200_Simulator

Dynamips Blog
http://www.ipflow.utc.fr/blog/

Dynagen
http://dyna-gen.sourceforge.net/

Dynagui:
http://dynagui.sourceforge.net/

Foro de ayuda:
http://7200emu.hacki.at/index.php