Edit Seguridad en sico

Title:

Last edited: 8:29:51 am on 14 January 2025 by 3.0.1.3

!!! Cambios que afectan a la seguridad de la red de SICO

+^_@
_
<tt>Tuesday, 17 December 2024, 11:53:36 am</tt>
Permito binds arbitrarios a los puertos forwardeados en vps.sicosoft.es y forwardeo puertos para una prueba (junto con sus reglas de firewall), ya que se reuiere que revenga pueda conectarse a un pupitre de prueba, al vnc de un ui_pupitre configuirado en la maqueta de SICO y transferir archivos por ftp a dicho pupitre de prueba Todo esto está basadp en un autossh desde uiharu, que hace los forwardeos de puertos desde vps, junto con unas reglas del firewall en el propio vps, que hacen que sólo pueda utilizar esto la IP que revenga nos ha facilitado. Además se ha hecho que sólo se pueda usar en un periodo lectivo determinado usando un crontab.

En vps.sicosoft.es, como root (para poder hacer que el bind de una IP determinada en el forwardeo de ssh; así evitamos el tener que redirigir un puerto a localhost con otro programa adicional):
<code>
sed -i "/^GatewayPorts.*/d" /etc/ssh/sshd_config
echo "GatewayPorts clientspecified" >> /etc/ssh/sshd_config
/etc/init.d/ssh restart
</code>

En vps.sicosoft.es, se edita el <tt>/etc/default/iptables</tt> (la IP que está puesta es la que nos ha facilitado revenga, que es desde la IP que se van a conectar) para que quede de la siguiente manera:
<code>
PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
IPTABLES=/sbin/iptables
DEV=ens3

echo "$(date) $0 $@" >> /tmp/iptables.log

if [ "m$1" = "m--help" ] ; then
        echo "$0 [revenga]"
        exit 1
fi
REVENGA=off
while [ "m$1" != "m" ] ; do
        if [ "m$1" = "mrevenga" ] ; then
                REVENGA=on
        else
                echo "Parametro no reconocido: $1"
        fi
        shift
done

# Activamos el anti-spoofing
for i in /proc/sys/net/ipv4/conf/*/rp_filter ; do echo 1 >$i ; done

# Don't respond to broadcast pings (Smurf-Amplifier-Protection)
echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts

# Block source routing
echo 0 > /proc/sys/net/ipv4/conf/all/accept_source_route

# Kill timestamps
echo 0 > /proc/sys/net/ipv4/tcp_timestamps

# Enable SYN Cookies
echo 1 > /proc/sys/net/ipv4/tcp_syncookies

# Desabilitar la redireccion del ping
echo 0 > /proc/sys/net/ipv4/conf/all/accept_redirects

# Enable bad error message protection
echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses

# Registrar los paquetes extranios (martians: packets with impossible addresses)
echo 1 > /proc/sys/net/ipv4/conf/all/log_martians

# Anti-flooding o inundacin de tramas SYN.
$IPTABLES -N syn-flood
for IFACE in `ifconfig -a | grep -B 1 "inet addr" | grep ^[a-z] | expand | cut -d ' ' -f 1 | grep -v "^lo\$"` ; do
        $IPTABLES -A INPUT -i $IFACE -p tcp --syn -j syn-flood
done
$IPTABLES -A syn-flood -m limit --limit 1/s --limit-burst 4 -j RETURN
$IPTABLES -A syn-flood -j DROP

# Quitamos todo lo que hubiera
$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
$IPTABLES -P FORWARD DROP

$IPTABLES -F
$IPTABLES -F -t mangle
$IPTABLES -F -t nat
$IPTABLES -X
$IPTABLES -X -t mangle
$IPTABLES -X -t nat

$IPTABLES -A INPUT -s 83.48.87.215/32 -j ACCEPT
# START Pupitre y VNC de pruebas para revenga
if [ "m$REVENGA" != "moff" ] ; then
        ip_revenga=195.57.30.139
        $IPTABLES -A INPUT -s ${ip_revenga}/32 -p tcp --dport 5900 -j ACCEPT
        $IPTABLES -A INPUT -s ${ip_revenga}/32 -p tcp --dport 5899 -j ACCEPT
        $IPTABLES -A INPUT -s ${ip_revenga}/32 -p tcp --dport 20 -j ACCEPT
        $IPTABLES -A INPUT -s ${ip_revenga}/32 -p tcp --dport 21 -j ACCEPT
        $IPTABLES -A INPUT -s ${ip_revenga}/32 -p tcp --dport 60000 -j ACCEPT
        $IPTABLES -A INPUT -s ${ip_revenga}/32 -p tcp --dport 60001 -j ACCEPT
        $IPTABLES -A INPUT -s ${ip_revenga}/32 -p tcp --dport 60002 -j ACCEPT
        $IPTABLES -A INPUT -s ${ip_revenga}/32 -p tcp --dport 60003 -j ACCEPT
        $IPTABLES -A INPUT -s ${ip_revenga}/32 -p tcp --dport 60004 -j ACCEPT
        $IPTABLES -A INPUT -s ${ip_revenga}/32 -p tcp --dport 60005 -j ACCEPT
fi
$IPTABLES -A INPUT -p tcp --dport 5900 -j DROP
$IPTABLES -A INPUT -p tcp --dport 5899 -j DROP
$IPTABLES -A INPUT -p tcp --dport 20 -j DROP
$IPTABLES -A INPUT -p tcp --dport 21 -j DROP
$IPTABLES -A INPUT -p tcp --dport 60000 -j DROP
$IPTABLES -A INPUT -p tcp --dport 60001 -j DROP
$IPTABLES -A INPUT -p tcp --dport 60002 -j DROP
$IPTABLES -A INPUT -p tcp --dport 60003 -j DROP
$IPTABLES -A INPUT -p tcp --dport 60004 -j DROP
$IPTABLES -A INPUT -p tcp --dport 60005 -j DROP
# END Pupitre y VNC de pruebas para revenga

$IPTABLES -A INPUT -p tcp --dport 25 -j DROP
$IPTABLES -A INPUT -p udp --dport 25 -j DROP

$IPTABLES -P INPUT ACCEPT
$IPTABLES -P OUTPUT ACCEPT
$IPTABLES -P FORWARD ACCEPT
</code>

En vps.sicosoft.es, como root, se instala el anacron:
<code>
apt-get install anacron
</code>

En vps.sicosoft.es, como root, se añaden las siguientes dos entrafas al crontab de root (como root:"crontab -e"):
<code>
0 8 * * 1,2,3,4,5 /bin/bash /etc/default/iptables revenga
0 18 * * 1,2,3,4,5 /bin/bash /etc/default/iptables

</code>

Y luego, en vps.sicosoft.es, como root:
= /etc/init.d/ssh restart
= bash /etc/default/iptables revenga

Por último, en uiharu, se añade una línea en el /etc/init.d/rc.local
<code>
sudo -u dario autossh -f -o "ServerAliveInterval 30" -o "ServerAliveCountMax 3" -N root@vps.sicosoft.es -R 51.38.32.171:5900:3.0.1.64:5900 -R 51.38.32.171:5899:3.0.1.59:2500 -R 51.38.32.171:20:3.0.1.59:20 -R 51.38.32.171:21:3.0.1.59:21 -R 51.38.32.171:60000:3.0.1.59:60000 -R 51.38.32.171:60001:3.0.1.59:60001 -R 51.38.32.171:60002:3.0.1.59:60002 -R 51.38.32.171:60003:3.0.1.59:60003 -R 51.38.32.171:60004:3.0.1.59:60004 -R 51.38.32.171:60005:3.0.1.59:60005
</code>

Update 20241219 Se usa el crontab para que las sólo acepte conexiones a dichos puertos de L-V de 8h a 18h.

Update 20250113 Se añaden los puertos 20 y 21 para que puedan usar el ftp en modo pasivo (en modo normal del ftp no funcionará por no haber algo similar al conntrack del NAT del núcleo del linux para reeescribir los paquetes del modo activo; si se quisiera hacer que funcionase eso también habría que poner algo que hiciera de proxy de ftp).

Update 20250114 Se añaden los puertos 60000-60005 para que si el servidor proftpd tiene configurado en el proftpd.conf la línea "PassivePorts 60000 60005", funcione todo correctamente.

_
<tt>Thursday, 3 October 2024, 9:22:51 am</tt>
Añado los puerto 5541 y 5542 a las scripts para que funcione la redirección de postgres de servpci1 y servpci2

1. En shirka modifico el S47sico_miscmain1. En shirka, como root:
<code>
cd /chroot/etc/rcS.d
mount -o remount,rw /chroot
vi S47sico_miscmain1
#...añado esos puertos al for que ya tenía el 5543
:wq
cp S47sico_miscmain1 /etc/rcS.d/
mount -o remount,ro /chroot
</code>
2. En shirka, hago el equivalente de reiniciar el autossh del rc.local. Para no interrumpir las conexiones actuales, simplemente arranco otro autossh. En shirka, como root:
<code>
cd /tmp
nohup autossh -nNT -i /root/.ssh/id_rsa -L 16.0.62.18:5541:localhost:5541 -L 16.0.62.18:5542:localhost:5542 metro@185.89.60.47 &
</code>
3. En shirka, modifico el firewall. En shirka, como root:
<code>
cd /chroot/etc/init.d
mount -o remount,rw /chroot
vi firewall
#...añado esos puertos al for que ya tenía el 5543
:wq
cp firewall /etc/init.d/
mount -o remount,ro /chroot
/etc/init.d/firewall
</code>

NOTA: en estos momentos, parece que no funciona el autossh si está el firewall arrancado con la redirección puesta. Basta con quitarlo del firewall y empieza a funcionar. Quizás haya que quitar la lista de puertos a redireccionar del firewall ya que no se usa ya eso...

_
<tt>Monday, 13 November 2023, 10:42:59 am</tt>
(ESTOS SON LOS CAMBIOS PARA DEJAR DE USAR vpn_reiter Y USAR EL SSH A IPFIJA)
En shirka, se ha cambiado el /chroot/etc/ssh/sshd_config para que sólo escuche en el el 3.0.1.42 De manera que quede el 16.0.62.18 libre en caso de hacer un alias a dicha IP.

Se ha añadido la siguiente línea al etc/ssh/sshd_config del /chroot : 
= ListenAddress 3.0.1.42

Y luego se ha reiniciado el servidor ssh:
= /etc/init.d/ssh restart

En shirka se ha cambiado que los socat de redirecciones de puerto sólo hagan bind al 3.0.1.42 y 127.0.0.1

Básicamente se han buscado los "TCP4-LISTEN:" y se han duplicado las líneas, poniendo un ,bind=3.0.1.42 en la primera y un ,bind=127.0.0.1 en la segunda.

Por ejemplo quedaría así:
<code>
./rcS.d/S47sico_miscmain1:/usr/bin/socat TCP4-LISTEN:${i},fork,bind=3.0.1.42 EXEC:"/usr/bin/sudo -u metro /usr/bin/ssh misc${i}@16.0.62.18" &
./rcS.d/S47sico_miscmain1:/usr/bin/socat TCP4-LISTEN:${i},fork,bind=127.0.0.1 EXEC:"/usr/bin/sudo -u metro /usr/bin/ssh misc${i}@16.0.62.18" &
</code>

En shirka, como root
<code>
mount -o remount,rw /chroot
cd /chroot/etc
vi ./rcS.d/S47sico_maintdserver
vi ./rcS.d/S47sico_webmain1
vi ./rcS.d/S47sico_miscmain1 
cd /
mount -o remount,ro /chroot
reboot
</code>

En shirka se ha puesto en el rc.local para que haga el autossh con todas las redirecciones

</code>

En shirka, se quita el rearranque del vpn_reiter del crontab de root Ya que había uno a las 6.10am

En shirka, se renombra el vpn_reiter a vpn_reiter.disabled Para evitar problemas de que alguien le dé sin querer.

_
<tt>Wednesday, 8 November 2023, 10:31:47 am</tt>
Se ha habilitado un autossh en shirka que forwardea el puerto shirka:2222 al main1:22, y otro de main1:2223 a shirka:22 Siguiendo el siguiente procedimiento:

1. En main1, se ha añadido la clave rsa de root@shirka ( shirka:/root/.ssh/id_rsa )

2. En shirka, se ha instalado el paquete de autossh

3. En shirka, se ha añadido lo siguiente al /etc/rc.local (exactamenta al shirsk:/chroot/etc/rc.local)
<code>
autossh -f -nNT -i /root/.ssh/id_rsa -L 2222:localhost:22 -R 2223:localhost:22 metro@185.89.60.47
</code>

<s>Hago que el firewall de shirka forwardee el 16.0.62.18:22 al 127.0.0.1:2222
En shirka, como root, edito el /etc/init.d/firewall :
<code>
vi /etc/init.d/firewall
# añado las siguientes líneas después del forwardeo del puerto 8081
# iptables -t nat -I OUTPUT -p tcp -d 16.0.62.18 --dport 22 -j DNAT --to-destination 127.0.0.1:2222
# iptables -t nat -A PREROUTING -d 16.0.62.18 -p tcp --dport 22 -j DNAT --to 127.0.0.1:2222
#:wq
mount -o remount,rw /chroot/
cp /etc/init.d/firewall /chroot/etc/init.d/firewall
mount -o remount,ro /chroot/
/etc/init.d/firewall

</code>
</s>
NOTA: se ha desactivado lo de esa regla del firewall porque no funcionaba.
_
<tt>Monday, 27 March 2023, 8:21:23 am</tt>
Añado el forwardeo del puerto 5545 al puerto correspondiente de main1 y el redir en main1 para acceder al postgresql de frontpci02 Se siguen las instrucciones de "Thursday, 3 September 2020, 8:55:37 am".

_
<tt>Wednesday, 29 June 2022, 9:27:49 am</tt>
Añado el forwardeo del puerto 5905 al puerto correspodinte de main1 y de paso actualizo el redir en main1 Se siguen las instrucciones de "Thursday, 3 September 2020, 8:55:37 am".
_
<tt>Monday, 27 June 2022, 9:06:34 am</tt>
Actualizo vps.sicosoft.es de Debian 9 a Debian 10 y a continuación a Debian 11 "Bullseye" Para poder instalar el wireguard en un futuro, por si es necesario.
_
<tt>Tuesday, 8 March 2022, 9:26:35 am</tt>
Añado los puertos 5543 5544 a los forwardeos de shirka Para el postgres de servtce1/2. Se siguen las instrucciones de "Thursday, 3 September 2020, 8:55:37 am".
_
<tt>Thursday, 2 September 2021, 11:41:13 am</tt>
Filtro en asterisk/obelisk las conexiones al exterior al puerto 25 Para minimizar el riesgo de que mandemos SPAM.

En asterisk y en obelisk, como root, edito el fichero /etc/default/iptables:
<code>
...
# Permitimos de forma explicita el correo desde salchicha y zen
-A FORWARD -p tcp -s 3.0.1.170 --dport 25 -j ACCEPT
-A FORWARD -p tcp -s 3.0.1.124 --dport 25 -j ACCEPT

# Denegamos de forma explicita el correo desde el resto de las maquinas de SICO
-A FORWARD -p tcp -s 3.0.1.0/24 --dport 25 -j LOG --log-prefix "noforward-correo:"
-A FORWARD -p tcp -s 3.0.1.0/24 --dport 25 -j DROP

#-A FORWARD -j LOG --log-prefix "noforward:"
COMMIT

</code>
_
<tt>Thursday, 1 July 2021, 10:02:32 am</tt>
Añado el puerto 5916/8016 a los forwardeos de shirka Para llegar al vnc/web del monitorwall que se ha instalado en granvia.
_
<tt>Tuesday, 9 March 2021, 8:19:58 am</tt>
Añado el puerto 5915/8015 a los forwardeos de shirka Para llegar al vnc/web del monitorwall que se ha instalado en tribunal.
_
<tt>Tuesday, 24 November 2020, 9:08:28 am</tt>
Añado los puerto 5914 y 8014 a los forwardeos de shirka Para llegar al vnc/web del monitorwall que se ha instalado en ¿arroyofresno?. Siguiendo las linstrucciones de "Thursday, 3 September 2020, 8:55:37 am"
_
<tt>Thursday, 3 September 2020, 8:55:37 am</tt>
Añado los puertos 8888 y 8889 a los forwardeos de shirka Como he puesto una redirección desde main1:8888 a servvent:8888 (tomcat) y 8889 a servsic:8888 (tomcat), añado el 8888 y 8889 a la lista de puertos forwardeados por shirka:

En shirka, como root:

1. Edito /etc/rcS.d/S47sico_miscmain1 y lo copio a disco:
<code>
cd
vi /etc/rcS.d/S47sico_miscmain1 
# añado el 8888 y 8889 a la lista de puertos de misc_main1.sh
#:wq
mount -o remount,rw /chroot/
cp /etc/rcS.d/S47sico_miscmain1 /chroot/etc/rcS.d/S47sico_miscmain1 
mount -o remount,ro /chroot/
for i in 8888 8889 ; do nohup /usr/bin/socat TCP4-LISTEN:${i},fork,reuseaddr EXEC:"/usr/local/sbin/miscport.sh ${i}",pty,raw,echo=0 & done
</code>

2. Edito /etc/init.d/firewall y lo copio en disco:
<code>
vi /etc/init.d/firewall
# añado el 8888 8889 a la lista de puertos 
#:wq
mount -o remount,rw /chroot/
cp /etc/init.d/firewall /chroot/etc/init.d/firewall
mount -o remount,ro /chroot/
/etc/init.d/firewall
</code>

NOTA: En main1 se ha hecho previamente lo siguiente:

En main1, como root
<code>
cd
./virinetd
# Se añaden las siguientes dos líneas (sin la almohadilla inicial)
#0.0.0.0 8888 16.0.62.10 8888
#0.0.0.0 8889 16.0.59.14 8888
#:wq
nohup redir --lport=8888 --caddr=16.0.62.10 --cport=8888 &
nohup redir --lport=8889 --caddr=16.0.59.14 --cport=8888 &
</code>

_
<tt>Thursday, 23 July 2020, 9:43:52 am</tt>
Hago que /root/renew-certbot.sh ponga temporalmente una redirección desde el vps a sico Ya que webmail.sicosoft.es está apuntando al vps en estos momentos.

=asterisk:/root/renew-certbot.sh

<table border=1><tr><td><code>
#!/bin/bash
export PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
n=`certbot certificates 2>/dev/null | grep "[^A-Z]VALID: [0-9]" | wc -l | tr -dc 0-9`
daysleft=`certbot certificates 2>/dev/null | grep "[^A-Z]VALID: [0-9]" | head -1 | sed "s/^.*VALID: $[0-9][0-9]*$.*/\1/g"`
if [ "m$n" != "m1" ] || [ $daysleft -le 30 ] ; then
 ssh root@vps.sicosoft.es "ps -efa | grep 'redir .*83.48.87.215:80\|redir .*83.48.87.215:443' | expand | sed 's/ */ /g' | cut -d ' ' -f 2 | xargs kill"
 ssh root@vps.sicosoft.es "redir 51.38.32.171:80 83.48.87.215:80 ; redir 51.38.32.171:443 83.48.87.215:443 "
 service nginx stop
 certbot renew
 service nginx start
 ssh root@vps.sicosoft.es "ps -efa | grep 'redir .*83.48.87.215:80\|redir .*83.48.87.215:443' | expand | sed 's/ */ /g' | cut -d ' ' -f 2 | xargs kill"
 scp /etc/letsencrypt/live/sico.sicosoft.es/fullchain.pem /etc/letsencrypt/live/sico.sicosoft.es/privkey.pem root@zen:/etc/letsencrypt/live/sico.sicosoft.es/
 ssh root@zen "apache2ctl restart"
fi
</code></td></tr></table>
_
<tt>Friday, 3 July 2020, 11:30:38 am</tt>
Habilito un usuario "tablet" en asterisk para forwardear a un puerto de main1 Siguiendo las instrucciones de "Wednesday, 13 May 2020, 9:43:28 am"
En asterisk:
<code>
adduser tablet
su - tablet
ssh-keygen -t rsa
scp .ssh/id_rsa.pub metro@16.0.62.18:/tmp/
ssh metro@16.0.62.18
su
cd
rm /etc/mtab ; ln -s /proc/mounts /etc/mtab
mount -o remount,rw /chroot/home/
cd /chroot/home/miscport
cat /tmp/id_rsa.pub >> .ssh/authorized_keys 
mount -o remount,ro /chroot/home/
exit
exit
touch .hushlogin
echo -e '#!/bin/bash\nexec ssh miscport@16.0.62.18' > connect
chmod 755 connect
su
sed -i "s#/home/tablet:/bin/bash#/home/tablet:/home/tablet/connect#g" /etc/passwd
exit
echo -e "ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAACAQCa9khU8/6CkaBo7r
Zd0B5W75zWIa5wS+BWMDwYq746+avLqmPSUKKmu43nE5GE9pT0UsVKhJr4pLB1E
6UR5yqh6OeGvvg8YUYcbVXJzRUdIQ41nkcyK6HkrhliIr3TXrHGuZZ7TYzIXKZi
9nU5iIvgaSHYMR/4yOL9As6A461AitzlKmfdF2zXSnTFoFfNU2KFDG946otm4d7
MQ4RKaQ0GEZi1Gw87zz953ZLH3bloLzKTX848l8ZgCMs1ZxGLzQ3SgyfFW/46FD
W26d/9DA5eGzahuaYtfpEkEdpJWxxLy6ROsz601zr1VF7IRMD7Pg6BvztvPGGzK
2rwxUf9isREumeZvFRNcxpggTocnR95EXkDSYAbnZgP1F1arTD39S9F4U6tzxwG
2NodQIQHLq32XucmIdgZ/zWwNs+p+Qb2VaEe20MMDeP2mLeTaNSXkOMUAOJdbqh
eTKrghteFqrr/OF066e+bnYeS1uoP6NdvBVowBZOOHAcFIh+Yvc8I1CTCcWpqZX
LukvhBuve/EtXCfpfiKIGWiNOp8VVCTr+CS4ABhtKQX10a4bpZoDGrHiYYzaydA
5qAvifKe6Ba3oZc5NtKsylFxCmkwyEqZK27UHW4/hKs7GQZld3ghQxZtPhxCKMU
bFGzZYRr3WNjnNzITLsyntJTf1Js9/Vcw== root@raspberrypi" | tr -d '\n' >> .ssh/authorized_keys

</code>

Configuramos una raspberry para que lo use Básicamente se ha hecho lo siguiente (*tutorial>https://www.raspberrypi.org/documentation/configuration/wireless/access-point-routed.md*):
<code>
vi /etc/dhcpcd.conf 
apt-get install nfs-common expect tk8.6 wish openssh-server rsh-server telnetd-ssl vsftpd
vi /etc/vsftpd.conf
apt-get update
apt-get install ssh-server
apt-get install openssh-server
apt-get -f install
hostname raspberry
apt-get -f install
hostname
vi /etc/hosts
apt-get -f install
dpkg -C
cat /etc/dhcpcd.conf 
exit
cd /etc/ssl/
vi openssl.cnf 
apt-get install --reinstall openssh-server
systemctl enable ssh
systemctl start ssh
reboot
cd /etc/
vi /etc/dhcpcd.enter-hook
chmod a+x dhcpcd.enter-hook 
cd /root/
scp ana@sico.sicosoft.es:/tmp/redirmetro.tgz .
tar -xvzf redirmetro.tgz 
vi redir-metro.sh 
apt-get install build-essential
scp ana@sico.sicosoft.es:/tmp/redir4.tgz .
tar -xvzf redir4.tgz 
cd redir4/src/
ls
make clean
make
cp redir4-* /usr/local/bin/
redir4-client 
cd
cd .ssh/
ssh-keygen -t rsa -b 4096
rfkill unblock 0
cat /etc/dhcpcd.enter-hook
cp /dev/tty dhcpcd.enter-hook
chmod a+x dhcpcd.enter-hook 
vi /etc/dhcpcd.enter-hook
apt install hostapd
sudo systemctl unmask hostapd
sudo systemctl enable hostapd
sudo apt install dnsmasq
vi /etc/dhcpcd.conf
vi /etc/hostapd/hostapd.conf
systemctl reboot
apt-get install bc
vi redir-metro.sh 
mkdir src
cd src
scp ana@sico.sicosoft.es:/tmp/tctivideoserver-src.tgz .
tar -xvzf tctivideoserver-src.tgz 
vi Makefile 
apt-get install libjpeg62-turbo-dev
ln -s /usr/lib/arm-linux-gnueabihf/libjpeg.a .
make clean all
./tctivideoserver --help
cp tctivideoserver ..
./tctivideoserver -nocams
^C
rm -rf src
reboot
apt-get install socat
vi redir-metro.sh 
echo "#!/bin/bash\nexport TERM=$1\nexec ssh tablet@sico.sicosoft.es\n" > miscport.sh
chmod a+x miscport.sh 
mv /etc/dnsmasq.conf /etc/dnsmasq.conf.orig
vi /etc/dnsmasq.conf
systemctl enable dnsmasq
systemctl start dnsmasq
systemctl restart dnsmasq
</code>

Los ficheros que se han editado, han quedado así
= /etc/dhcpcd.conf
<table border=1><tr><td><code>
hostname
clientid
persistent
option rapid_commit
option domain_name_servers, domain_name, domain_search, host_name
option classless_static_routes
option interface_mtu
require dhcp_server_identifier
slaac private
interface eth0
static ip_address=192.168.1.5/24
static routers=192.168.1.1
static domain_name_servers=8.8.8.8 fd51:42f8:caae:d92e::1
interface wlan0
 static ip_address=16.0.62.18/8
 nohook wpa_supplicant
</code></td></tr></table>

= /etc/vsftpd.conf
<table border=1><tr><td><code>
listen=NO
listen_ipv6=YES
anonymous_enable=NO
local_enable=YES
write_enable=YES
local_umask=022
dirmessage_enable=YES
use_localtime=YES
xferlog_enable=YES
connect_from_port_20=YES
secure_chroot_dir=/var/run/vsftpd/empty
pam_service_name=vsftpd
rsa_cert_file=/etc/ssl/certs/ssl-cert-snakeoil.pem
rsa_private_key_file=/etc/ssl/private/ssl-cert-snakeoil.key
ssl_enable=NO
</code></td></tr></table>

= /etc/dnsmasq.conf
<table border=1><tr><td><code>
interface=wlan0 # Listening interface
dhcp-range=16.0.62.1,16.0.62.4,255.255.255.0,24h
 # Pool of IP addresses served via DHCP
domain=wlan # Local wireless DNS domain
address=/gw.wlan/16.0.62.18
 # Alias for this router
</code></td></tr></table>

= /etc/dhcpcd.enter-hook
<table border=1><tr><td><code>
/root/dhcpcd.enter-hook
</code></td></tr></table>

= /root/dhcpcd.enter-hook
<table border=1><tr><td><code>
#!/bin/bash
rfkill unblock 0
rfkill unblock 1
/sbin/ifconfig wlan0 down
/sbin/ifconfig wlan0 up
/sbin/ifconfig wlan0 16.0.62.18 netmask 255.255.255.0
/root/redir-metro.sh
</code></td></tr></table>

= /root/miscport.sh
<table border=1><tr><td><code>
#!/bin/bash
TERM=$1 ssh tablet@sico.sicosoft.es
</code></td></tr></table>

= /root/redir-metro.sh
<table border=1><tr><td><code>
#!/bin/bash
PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
export PATH
if [ "m$(whoami)" != "mroot" ] ; then
 echo "ERROR: esta script requiere root\n"
 exit 1
fi
echo 1 > /proc/sys/net/ipv4/ip_forward
dev=wlan0
echo "DEVICE: $dev"
n=`/sbin/ifconfig -a | grep "^$dev[ :]" | wc -l | tr -dc 0-9`
echo "n: $n"
if [ "m$n" == "m0" ] ; then
 echo "ERROR: No hay interfaz ${dev} (el ethernet USB de uiharu), comprueba que esta bien conectado"
 exit 1
fi
cd /root
echo "Cleaning old configuration..."
./redir-metro-off.sh 2>/dev/null >/dev/null
echo "Stopping tctivideoserver..."
ps -efa | grep "tctivi[d]eoserver" | expand | grep -v "zed\| vi" | sed "s/ */ /g" | cut -d ' ' -f 2 | xargs kill 2>/dev/null
(
nohup redir4-client 10001 127.0.0.1 11001 &
nohup redir4-client 10003 127.0.0.1 11001 &
nohup redir4-client 10011 127.0.0.1 11001 &
nohup redir4-client 10013 127.0.0.1 11001 &
nohup redir4-client 10016 127.0.0.1 11001 &
nohup redir4-client 10017 127.0.0.1 11001 &

) 2>/dev/null
ifconfig ${dev} 16.0.62.18 netmask 255.255.255.255
ifconfig ${dev}:1 16.13.62.60
ifconfig ${dev}:1 up
ifconfig ${dev}:2 16.0.62.62
ifconfig ${dev}:2 up
n=3;
for i in `ls planos_linea*.cfg | tr -cd "0-9\n" | sort -n` ; do
 for ip in `cat planos_linea${i}.cfg | expand | cut -d ' ' -f 1 | grep ^[0-9]` ; do
 ifconfig ${dev}:$n $ip netmask 255.255.255.255
 ifconfig ${dev}:$n up
 n=`echo ${n}+1| bc`
 done
done
for i in planos_piloto.cfg ; do
 for ip in `cat ${i} | expand | cut -d ' ' -f 1 | grep ^[0-9]` ; do
 ifconfig ${dev}:$n $ip netmask 255.255.255.255
 ifconfig ${dev}:$n up
 n=`echo ${n}+1| bc`
 done
done
nohup ./tctivideoserver -nocams &
for i in 11001 ; do 
/usr/bin/socat TCP4-LISTEN:${i},fork,reuseaddr EXEC:"/root/miscport.sh ${i}",pty,raw,echo=0 &
done
</code></td></tr></table>

= /etc/ssl/openssl.cnf
<table border=1><tr><td><code>
HOME = .
oid_section = new_oids
openssl_conf = default_conf
[ new_oids ]
tsa_policy1 = 1.2.3.4.1
tsa_policy2 = 1.2.3.4.5.6
tsa_policy3 = 1.2.3.4.5.7
[ ca ]
default_ca = CA_default
[ CA_default ]
dir = ./demoCA
certs = $dir/certs
crl_dir = $dir/crl
database = $dir/index.txt
new_certs_dir = $dir/newcerts
certificate = $dir/cacert.pem
serial = $dir/serial
crlnumber = $dir/crlnumber
crl = $dir/crl.pem
private_key = $dir/private/cakey.pem
x509_extensions = usr_cert
name_opt = ca_default
cert_opt = ca_default
default_days = 365
default_crl_days= 30
default_md = default
preserve = no
policy = policy_match
[ policy_match ]
countryName = match
stateOrProvinceName = match
organizationName = match
organizationalUnitName = optional
commonName = supplied
emailAddress = optional
[ policy_anything ]
countryName = optional
stateOrProvinceName = optional
localityName = optional
organizationName = optional
organizationalUnitName = optional
commonName = supplied
emailAddress = optional
[ req ]
default_bits = 2048
default_keyfile = privkey.pem
distinguished_name = req_distinguished_name
attributes = req_attributes
x509_extensions = v3_ca
string_mask = utf8only
[ req_distinguished_name ]
countryName = Country Name (2 letter code)
countryName_default = AU
countryName_min = 2
countryName_max = 2
stateOrProvinceName = State or Province Name (full name)
stateOrProvinceName_default = Some-State
localityName = Locality Name (eg, city)
0.organizationName = Organization Name (eg, company)
0.organizationName_default = Internet Widgits Pty Ltd
organizationalUnitName = Organizational Unit Name (eg, section)
commonName = Common Name (e.g. server FQDN or YOUR name)
commonName_max = 64
emailAddress = Email Address
emailAddress_max = 64
[ req_attributes ]
challengePassword = A challenge password
challengePassword_min = 4
challengePassword_max = 20
unstructuredName = An optional company name
[ usr_cert ]
basicConstraints=CA:FALSE
nsComment = "OpenSSL Generated Certificate"
subjectKeyIdentifier=hash
authorityKeyIdentifier=keyid,issuer
[ v3_req ]
basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment
[ v3_ca ]
subjectKeyIdentifier=hash
authorityKeyIdentifier=keyid:always,issuer
basicConstraints = critical,CA:true
[ crl_ext ]
authorityKeyIdentifier=keyid:always
[ proxy_cert_ext ]
basicConstraints=CA:FALSE
nsComment = "OpenSSL Generated Certificate"
subjectKeyIdentifier=hash
authorityKeyIdentifier=keyid,issuer
proxyCertInfo=critical,language:id-ppl-anyLanguage,pathlen:3,policy:foo
[ tsa ]
default_tsa = tsa_config1
[ tsa_config1 ]
dir = ./demoCA
serial = $dir/tsaserial
crypto_device = builtin
signer_cert = $dir/tsacert.pem
certs = $dir/cacert.pem
signer_key = $dir/private/tsakey.pem
signer_digest = sha256
default_policy = tsa_policy1
other_policies = tsa_policy2, tsa_policy3
digests = sha1, sha256, sha384, sha512
accuracy = secs:1, millisecs:500, microsecs:100
clock_precision_digits = 0
ordering = yes
tsa_name = yes
ess_cert_id_chain = no
ess_cert_id_alg = sha1
[default_conf]
ssl_conf = ssl_sect
[ssl_sect]
system_default = system_default_sect
[system_default_sect]
MinProtocol = TLSv1.1
CipherString = DEFAULT@SECLEVEL=1
</code></td></tr></table>

FALTA: contenido de "/etc/hostapd/hostapd.conf"
_
<tt>Wednesday, 13 May 2020, 9:43:28 am</tt>
Habilito un forwardeo generico de puertos en main1 Siguiendo *este post>https://superuser.com/questions/163167/when-sshing-how-can-i-set-an-environment-variable-on-the-server-that-changes-f* veo que se puede poner en el sshd_config un AcceptEnv para poder pasar una variable de entorno desde el cliente usando "ssh -o SendEnv=MYVARNAME user@host.tld", y que la variable TERM siempre se pasa (lo de AcceptEnv no funciona en el sshd de main1, seguramente portque es muy antiguo). Habilito el usuario miscport en main1 para usar la variable TERM que indica el puerto a forwardear a localhost si es que es puramente numérica.
Resumiendo:
1. Se modifica el firewall de shirka para que haga proxy transparente de esos puertos
2. Se añade en la script /etc/rcS.d/S47sico_miscmain1 para que haga un socat del puerto local a un ssh a main1
3. Se añaden los usuarios a main1 (rm /etc/mtab ; ln -s /proc/mounts /etc/mtab ; chroot /chroot ; #(esperar el prompt) ; mount -o remount,rw /home ; mount -o remount,rw / ; adduser xxxx )
4. Para cada usuario se hace

poner el .ssh/authorized_keys de la clave de metro@shirka
poner el .hushlogin
cambiar la script de connect para que se conecte al sitio requerido
cambiar el /etc/passwd para que el shell sea /home/nombreusuario/connect

Todo eso con cuidado de hacer los cambios en los directorio /chroot de main1 y shirka y reiniciar después.

Update 20200514 Para que funcionen bien los forwardeos desde shirka han sido necesarias las siguientes scripts:

= shirka:/chroot/etc/rcS.d/S47sico_miscmain1
<table border=1><tr><td><code>#!/bin/sh
#
# start/stop webmain1 forward daemon.

### BEGIN INIT INFO
# Provides:          webmain1
# Required-Start:    $network
# Required-Stop:     $network
# Default-Start:     S 2 3 4 5
# Default-Stop:      0 1 6
# Short-Description: Start webmain1 port forward
# Description:       webmain1 port forward
#                    (does an ssh to maintd@16.0.62.18)
### END INIT INFO

test -f /usr/bin/socat || exit 0

for i in 1525 1527 1528 1529 1530 1531 5901 5902 5969 5979 5989 5999 11001 11003 4321 ; do 
/usr/bin/socat TCP4-LISTEN:${i},fork EXEC:"/usr/bin/sudo -u metro /usr/bin/ssh misc${i}@16.0.62.18" &
done
for i in `seq 5501 5516` `seq 5521 5536` ; do 
/usr/bin/socat TCP4-LISTEN:${i},fork,reuseaddr EXEC:"/usr/local/sbin/miscport.sh ${i}",pty,raw,echo=0 &
done
</code></td></tr></table>

= shirka:/chroot/usr/local/sbin/miscport.sh
<table border=1><tr><td><code>#!/bin/bash
PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
export TERM=$1
exec /usr/bin/sudo -u metro /usr/bin/ssh miscport@16.0.62.18
</code></td></tr></table>

Y en main1:

= main1:/etc/passwd
<table border=1><tr><td><code>...
miscport:$1$TGFZ7KXc$ZAASPd1KfpVSmwasMq0At.:1020:1020:-,-,-,-,-:/home/miscport:/home/miscport/connect
...
</code></td></tr></table>

= main1:/home/miscport/connect
<table border=1><tr><td><code>#!/bin/bash
MISCPORT=$( echo "$TERM" | tr -dc 0-9 | grep ....)
if [ "m$MISCPORT" == "m" ] ; then
 exit
fi
exec /usr/local/bin/nc localhost $MISCPORT
</code></td></tr></table>
_
<tt>Monday, 16 September 2019, 11:44:26 am</tt>
Añado webmail.sicosoft.es a asterisk:/root/renew-certbot.sh Realmente no se toca el script, sino que se hace a mano para que el certbot actualice lo que hace con un simple renew.

En asterisk, como root:
<code>
service nginx stop
certbot certonly --standalone -d sico.sicosoft.es -d mail.sicosoft.es -d mail2.sicosoft.es -d informes.sicosoft.es -d vpn.sicosoft.es -d webmail.sicosoft.es
service nginx start
scp /etc/letsencrypt/live/sico.sicosoft.es/fullchain.pem /etc/letsencrypt/live/sico.sicosoft.es/privkey.pem root@zen:/etc/letsencrypt/live/sico.sicosoft.es/
ssh root@zen "apache2ctl restart"
</code>

NOTA: las siguientes veces bastará hacer un simple:
= /root/renew-certbot.sh
_
<tt>Monday, 16 September 2019, 11:36:48 am</tt>
Vuelvo a poner que asterisk haga un autossh a vps para forwardear de forma inversa el puerto 2222 de vps al 22 sico Para poder entrar desde fuera si por alguna razón el router de telefónica se vuelve loco.

En asterisk, como root, he modificado:
= autossh-vps.sh 
<table border=1><tr><td><code>#!/bin/bash
cd /tmp
autossh -f -o "ServerAliveInterval 30" -o "ServerAliveCountMax 3" -N root@vps.sicosoft.es -R 2222:192.168.1.2:22 -R 443:192.168.1.2:443 -R 80:192.168.1.2:80 -C
</code></td></tr></table>

= /etc/network/interfaces
<table border=1><tr><td><code>...
iface eth1 inet static
 address 192.168.1.2
 network 192.168.1.0
 netmask 255.255.255.0
 broadcast 192.168.1.255
 gateway 192.168.1.1
 post-up /bin/sh -c "/etc/init.d/iptables start ; sleep 1 ; /root/nat.sh eth1 ; /root/autossh-sico2.sh ; /root/nat-carteles.sh ; /root/autossh-vps.sh"
...
</code></td></tr></table>

Y en vps.sicosoft.es, como root:

= /etc/init.d/networking
<table border=1><tr><td><code>...
case "$1" in
start)
...
 if ifup -a $exclusions $verbose && ifup_hotplug $exclusions $verbose
 then
 log_action_end_msg $?
 else
 log_action_end_msg $?
 fi
 ### SICO
 for i in 2222 443 80 ; do
 redir 51.38.32.171:$i 127.0.0.1:$i 
 done
 ### END SICO
 ;;

stop)
 if init_is_upstart; then
 exit 0
...
</code></td></tr></table>
_
<a name="Thursday23May2019103631am"><tt>Thursday, 23 May 2019, 10:36:31 am</tt></a>
Configuro el router Linksys WAG320N como "profiláctico de red" Si se enchufa el LANPORT1 del WAG a la red de sico, los equipos que se enchufen en la LANPORT2/3/4 con IPs de SICO, sólo se verán entre ellos, sin poder llegar al resto de los equipos de SICO.

Esto está pensado para las pruebas de los carteles de ascensores.

1. Se configura en asterisk un alias de red en la eth0:2 con la ip 192.168.2.254:
= /etc/network/interfaces
<table border=1><tr><td><code># This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo eth0 eth1
allow-hotplug eth2

iface lo inet loopback

iface eth0 inet static
        address 3.0.1.52
        #gateway 3.0.1.51
        network 3.0.1.0
        netmask 255.255.255.0
        broadcast 3.0.1.255
        # dns-* options are implemented by the resolvconf package, if installed
        dns-nameservers 3.0.1.3
        dns-search sicosoft.es
        post-up /sbin/ifconfig eth0:1 3.0.1.51
        post-up /sbin/ifconfig eth0:2 192.168.2.254 netmask 255.255.255.0
        post-up /sbin/route add -host 16.0.62.18 gw 3.0.1.42
        post-up echo 1 > /proc/sys/net/ipv4/ip_forward

iface eth1 inet static
        address 192.168.1.2
        network 192.168.1.0
        netmask 255.255.255.0
        broadcast 192.168.1.255
        gateway 192.168.1.1
        post-up /bin/sh -c "/etc/init.d/iptables start ; sleep 1 ; /root/nat.sh eth1 ; /root/autossh-sico2.sh"

iface eth2 inet dhcp
        post-up /usr/local/sbin/ppp_huawei_e5563_modem.sh on
        post-up /etc/init.d/iptables start
        post-up /bin/sh -c "sleep 5 ; /root/nat.sh eth2 ; /root/autossh-sico2.sh"
        post-down /usr/local/sbin/ppp_huawei_e5563_modem.sh off

</code></td></tr></table>
2. Se configura en asterisk el firewall para que filtre las cosas que vienen de 192.168.2.1 de manera que sólo responda a las peticiones de DNS, filtrando el resto de los puertos.
= /etc/default/iptables
<table border=1><tr></td><code>
...
# Loop device.
-A INPUT -i lo -j ACCEPT

# Para la red aislada (WAG320N 192.168.2.1 a ASTERISK 192.168.2.254)
-A INPUT -s 192.168.2.1 -d 192.168.1.2 -j DROP
-A INPUT -s 192.168.2.1 -d 192.168.2.254 -p tcp --dport 53 -j ACCEPT
-A INPUT -s 192.168.2.1 -d 192.168.2.254 -p udp --dport 53 -j ACCEPT
-A INPUT -s 192.168.2.1 -d 192.168.2.254 -j DROP

# socket-upipe-server usage
-A INPUT -p tcp --dport 10000 -j ACCEPT

# dns
-A INPUT -p tcp --dport 53  -j ACCEPT
-A INPUT -p udp --dport 53  -j ACCEPT

...
</code></td></tr></table>

3. Reseteo el WAF320N: se enciende, y una vez totalmente arrrancado, se presiona el reset durante 5segs; el power parpadea en rojo para indicar que el router se ha reseteado

4. Desde un portátil con un cable al puerto LANPORT1, me conecto a http://192.168.1.1 (user:admin, pass:admin)

5. Configuro el WAG320N
- Pongo el user/pass de los routers de internet de sico (admin:qni...)
- Desactivo el WiFi
- Le pongo como red de la LAN la 3.0.1.51 (y me reconecto a http://3.0.1.51)
- Le pongo en modo bridge
- Le configuro el LANPORT1 como WAN, con la IP 192.168.2.1, GATEWAY 192.168.1.254, DNS 192.168.1.254 y 8.8.8.8
- Reconecto el portátil al puerto LANPORT2
- Configuro los forwards de puertos (ver <a href="/Diarios/uploads/3/forwardeos-carteles-laboratorio_20210929-1.png">forwardeos-carteles-laboratorio_20210929-1.png</a>):
|nombre|puertoorig|puertodest|ipdest|active|
|18580|18580|8080|3.0.1.185|YES|
|18581|18581|8081|3.0.1.185|YES|
|18522|18522|22|3.0.1.185|YES|
|18680|18680|8080|3.0.1.186|YES|
|18681|18681|8081|3.0.1.186|YES|
|18622|18622|22|3.0.1.186|YES|
|18780|18780|8080|3.0.1.187|YES|
|18781|18781|8081|3.0.1.187|YES|
|18722|18722|22|3.0.1.187|YES|
|18880|18880|8080|3.0.1.188|YES|
|18881|18881|8081|3.0.1.188|YES|
|18822|18822|22|3.0.1.188|YES|
|18980|18980|8080|3.0.1.189|YES|
|18981|18981|8081|3.0.1.189|YES|
|18922|18922|22|3.0.1.189|YES|
|18550|18550|28550|3.0.1.185|YES|
|18551|18551|28551|3.0.1.185|YES|
|18650|18650|28550|3.0.1.186|YES|
|18651|18651|28551|3.0.1.186|YES|
|18750|18750|28550|3.0.1.187|YES|
|18751|18751|28551|3.0.1.187|YES|
|18850|18850|28550|3.0.1.188|YES|
|18851|18851|28551|3.0.1.188|YES|
|18950|18950|28550|3.0.1.189|YES|
|18951|18951|28551|3.0.1.189|YES|

Y con eso está todo.

Update 20190913: Faltaba hacer un "/root/nat.sh eth0" en asterisk (como root) para que todo funcionase bien, ya que si no, no hace NAT desde la 192.168.2.0/24 a la 3.0.1.0/24. Lo he añadido al /etc/network/interfaces.

= asterisk:/etc/network/interfaces
<table border=1><tr><td><code>
...
iface eth1 inet static
 address 192.168.1.2
 network 192.168.1.0
 netmask 255.255.255.0
 broadcast 192.168.1.255
 gateway 192.168.1.1
 post-up /bin/sh -c "/etc/init.d/iptables start ; sleep 1 ; /root/nat.sh eth1 ; /root/autossh-sico2.sh ; /root/nat.sh eth0"
...
</code></td></tr></table>

Update 20210929 Se añaden puertos para poder conectar a los carteles por SSL, se quita el cartel de 3.0.1.190 porque hay un límite de 24 reglas.
_
<tt>Friday, 24 August 2018, 10:09 am</tt>
Hemos vuelto a contratar un vps. Reconfiguro el DNS y los ssh para él
- Lo pongo en el DNS de sico como "vps.sicosoft.es"
- Le autorizo para mandar emails de sico (añado su IP registro SPF del DNS)
- Genero una clave rsa para root@vps.sicosoft.es
- Igual que con el anterior, se ha autorizado a root@asterisk y a dario@uiharu para acceder al equipo por ssh ("ssh root@vps.sicosoft.es").
- En el vps, se ha desactivado el acceso por ssh con password siguiendo este *tutorial>https://support.hostgator.com/articles/how-to-disable-password-authentication-for-ssh*.
- Pongo un firewall en /etc/default/iptables y lo *llamo desde rc.local>https://askubuntu.com/questions/886620/how-can-i-execute-command-on-startup-rc-local-alternative-on-ubuntu-16-10* (ver fichero al final de esta entrada)
- Instalo un postfix como "open relay", ya que sólo aceptamos mails que vengan de vps.sicosoft.es, siguiendo *esta guía>https://www.digitalocean.com/community/tutorials/how-to-install-and-configure-postfix-as-a-send-only-smtp-server-on-ubuntu-14-04*, pero sin desactivar lo de "open relay".
<code>
apt-get install postfix mailutils
# NOTA: Cuando pregunte, queremos "Internet Host" y el nombre a usar er "vps.sicosoft.es"
sed -i "s/^myhostname = .*/myhostname = vps.sicosoft.es/g" /etc/postfix/main.cf
echo -e "\n# ADDED\n\nrelay_domains = sicosoft.es\nmynetowrks = 2.136.41.224/32\nsmtpd_client_restrictions = permit_mynetworks" >> /etc/postfix/main.cf
/etc/init.d/postfix restart
</code>
- Configuro zen para que use vps para los correos de yahoo, usando *este tutorial>https://help.comodo.com/topic-157-1-288-4540-.html* y *esta lista de dominios>https://help.zendesk.com/hc/en-us/articles/229494928-Service-Incident-Email-Delivery-to-Yahoo-Domains*:
EN ZEN, COMO ROOT:
<code>
cd /etc/postfix
for i in rocketmail.com yahoo.ae yahoo.at yahoo.be yahoo.ch yahoo.co.id yahoo.co.il yahoo.co.in yahoo.co.jp yahoo.co.nz yahoo.co.th yahoo.co.uk yahoo.co.za yahoo.com yahoo.com.ar yahoo.com.au yahoo.com.br yahoo.com.co yahoo.com.hk yahoo.com.hr yahoo.com.mx yahoo.com.my yahoo.com.ph yahoo.com.sg yahoo.com.tr yahoo.com.tw yahoo.com.vn yahoo.cz yahoo.de yahoo.dk yahoo.es yahoo.fi yahoo.fr yahoo.gr yahoo.hu yahoo.ie yahoo.in yahoo.it yahoo.nl yahoo.no yahoo.pl yahoo.pt yahoo.ro yahoo.ru yahoo.se ymail.com ; do echo "$i smtp:vps.sicosoft.es:25" >> transport ; done
postmap hash:/etc/postfix/transport
sed -i "s@$^transport_maps = .*$@\1, hash:/etc/postfix/transport@g" main.cf
/etc/init.d/postfix restart
</code>

= /etc/default/iptables
<table border=1><tr><td><code>
IPTABLES=/sbin/iptables
DEV=ens3