sip5060.net / en es

Planet SIP

November 06, 2023

Andrea Sannucci KamCLI – la consola Linux de Kamailio
Kamcli es un proyecto cuyo objetivo es brindar una consola linux para Kamailio mas amigable y más fácil de utilizar de Kamcmd. En este articulo veremos como realizar la instalación en Rocky Linux 9 y como utilizar los comandos disponibles; como los comandos se basan en archivos en Python (el lenguaje de programación utilizado para la creación de kamcli) se pueden ampliar, añadir y/o modificar. Empezamos con la configuración del lado Kamailio donde lo único que tenemos que hacer es cargar el modulo jsonrpcs con dos parámetros:

nano /etc/kamailio/kamailio.cfg

en el bloque dedicado a los módulos se copian las lineas que siguen:

loadmodule "jsonrpcs.so"

# ----- jsonrpcs params -----

modparam("jsonrpcs", "transport", 6)

modparam("jsonrpcs", "pretty_format", 1)

Se guardan los cambios y se reinicia Kamailio:

systemctl restart kamailio

Ya se puede pasar a la compilación e instalación de KamCLI:

cd /usr/src/

se descargan las fuentes:

git clone https://github.com/kamailio/kamcli.git

se entra en la nueva carpeta:

cd kamcli

se instalan las dependencias:

pip3 install -r requirements/requirements.txt

para que la consola pueda interactuar con la base de datos de kamailio (normalmente creata con MySQL/MariaDB):

pip3 install mysqlclient

para terminar se instala la consola con el comando:

pip3 install .

El paso a seguir, aunque no indispensable, es crear el archivo de configuración de la consola de forma que cada vez que se ejecutará, el programa sepa donde buscar su configuración:

kamcli config install

directory /etc/kamcli created

config file installed to /etc/kamcli/kamcli.ini

Si al momento de crear la base de datos de Kamailio se ha utilizado la configuración estándar, no hace falta realizar cambios en el archivo kamcli.ini, en caso contrario:

nano /etc/kamcli/kamcli.ini

se modifican los datos de conexión a la base de datos que se encuentran después de esta etiqueta:

[db]

Realizados los cambios se guardan y ya se puede utilizar la consola:

kamcli

veremos todos los grupos de comandos disponibles.

kamcli acc --help

Commands:

acc-struct-update Run SQL statements to update acc table structure

cdrs-generate Run SQL stored procedure to generate CDRS

cdrs-list List call data records

cdrs-proc-create Run SQL statements to create the stored procedure

to...

cdrs-table-create Run SQL statements to create cdrs table structure

list List accounting records

mc-struct-update Run SQL statements to update missed_calls table...

rates-add Add a new rating record to database

rates-generate Run SQL stored procedure to rate the CDRS and...

rates-proc-create Run SQL statements to create the stored procedure

to...

rates-rm Remove a rating record from database

rates-table-create Run SQL statements to create billing_rates table...

tables-struct-update Run SQL statements to update acc and missed_calls...

veremos la ayuda para todos los comandos disponibles para el grupo acc. Otra opción interesante es la posibilidad de entrar directamente en la consola:

kamcli shell

(info) connected to: kamailio 5.7.2 (x86_64/linux) bfbabc

(info) sip server uptime: 0h 47m 52s

Quick help:

? - kamcli commands help

:h - internal commands help

:q - quit interactive shell

--

y utilizar la ayuda en tiempo real para la búsqueda del comando que necesitamos, ejemplo:

con solo escribir la letra a veremos todas las posibilidades disponibles; otro ejemplo:

veremos todos los comandos disponibles para el grupo acc y así a seguir. Para salir de la consola:

kamcli > :q

Un ultimo tip bastante interesante es que se pueden crear alias de comando que luego se pueden utilizar desde la consola. Estos alias se crean en el archivo de configuración kamcli.ini, después de la etiqueta:

[shell.cmdremap]

dv=db show "version"

u=uptime

donde ya se encuentran esos dos ejemplos. Para utilizarlos:

kamcli shell

kamcli > u

id: 8082

jsonrpc: '2.0'

result:

now: Sat Nov 4 10:52:30 2023

up_since: Sat Nov 4 09:49:43 2023

uptime: 3767

kamcli > :q

Por ahora es todo. Me comentan
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

November 04, 2023

Andrea Sannucci ¿Te gustaría un curso de Kamailio solo con Videoconferencias aunque fuera más costoso?
Opciones
Si

No

October 27, 2023

Juan Oliva Sweet32 CVE-2016-2183 – Remediación Windows
Un Pentester normalmente está focalizalizado en la detección de vulnerabilidades, sin embargo a este “doble skill» que considero hoy tienen que tener los que somos especialistas en Ciberseguridad, el cual tiene que ver en que no solalmente tienen que saber detectar y explotar la vulnerabilidad si nó tambien saber como remediarla cuando el cliente lo solicite.

Es así que vamos a ver una vulnerabilidad muy recurrente en estos tiempos que es la denominada Sweet32 CVE-2016-2183.

1.- Detección y verificación manual de la vulnerabilidad

Así un analizador de vulnerabilidades la detectaría :

Como se puede apreciar es el uso de cifrado de intensidad o complejidad media para el cifrado SSL, lo cual involucra el uso de cifrado que use longitudes de clave de al menos 64 bits y menos de 112 bits, o que utilice el conjunto de cifrado 3DES.

Cuando vamos a realizar verificación manual de la vulnerabilidad, es posible realizarla con varias herramientas, en lo personal a mi me gusta realizarla con testssl

Bueno hasta ahí detectamos y reportamos la vulnerabilidad, como vemos el CVE inclusive es posible reportala con nivel de criticiad alta, pero ahora cómo remediamos ?

2.- Remediación de la vulnerabilidad

Para solucionar esta vulnerabilidad en sistemas operativos Windows Server 2019 , es necesario
- Ingresar al regedit en la llave :
Computer\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Cryptography\Configuration\Local\SSL\00010002

Editar la llave “Funtions” y remover la linea “TLS_RSA_WITH_3DES_EDE_CBC_SHA» como se muestra a continuación :

Luego hacer clic en el boton “OK» para actualizar la llave, cerrar el editor y reiniciar el servidor.

3.- Re-test.

Para evidenciar que la vulnerabilidad ya no está presente, volvemos a ejecutar la herramienta y tendremos el siguiente resultado.

Mas informacion en : https://learn.microsoft.com/en-us/answers/questions/348323/how-to-disable-3des-and-rc4-on-windows-server-2019

Espero les sirva.
@jroliva

October 24, 2023

Andrea Sannucci Amazon EC2: acceso con usuario root
Una de las cosas que no me gusta de Amazon AWS es que una vez creada una instancia, por defecto, no se pueda acceder como usuario root sino el usuario establecido por cada tipo de Imagen que se instale. En el caso de Rocky Linux 8, que estoy utilizando en estos días, el usuario es rocky y se utiliza junto a la clave RSA creada anteriormente. Vamos por pasos; buscamos el servicio:

luego lo seleccionamos:

en la pagina que aparece tenemos dos opciones; la opción que he utilizado es Actions → Import Key Pair. En la nueva pagina:

escogemos un nombre y copiamos la parte publica de la clave RSA. Guardamos con el botón:

a seguir creamos una instancia y escogemos como clave publica la que acabamos de crear. Si, como en mi caso, la instancia es con Rocky Linux 8, al momento de configurar el cliente SSH PuttY:

en Connection → Data:

en Connection → SSH → Auth:

Guardamos los cambios y accedemos al servidor; una vez adentro, pasamos a usuario root:

sudo su root

instalamos un editor de texto (en mi caso NANO):

dnf install nano

Abrimos el siguiente archivo:

nano /root/.ssh/authorized_keys

y borramos todo lo que aparece antes de la clave publica que normalmente inicia con:

ssh-rsa

en mi caso borré:

no-port-forwarding,no-agent-forwarding,no-X11-forwarding,command="echo 'Please login as the user \"rocky\" rather than the user \"root\".';echo;sleep 10;exit 142"

Se guardan los cambios y se reinicia el servidor:

reboot

ahora se modifica la configuración del cliente PuttY donde en Conection → Data en lugar de rocky se pone root

¡Listo!
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

October 18, 2023

Andrea Sannucci Adiós Canal SIP - Liberada la versión 21 de Asterisk PBX
Con la llegada de la versión 21 de Asterisk PBX, tenemos que despedirnos definitivamente del canal chan_sip que ha sido eliminado, como se lee en el documento dedicado a los cambios presentes en la nueva versión:

Como dirían en Colombia: ahora no hay excusas para hacerse el huevón y seguir utilizando el canal chan_sip :)

Junto al canal chan_sip se van el canal chan_alsa, el canal chan_mgcp y el canal chan_sknny

Muchos cambios más pero mejor que lean ustedes mismos.
- Asterisk PBX 21
- chan_sip
Vota el Articulo:

Promedio: 3 (2 votos)

Evalúa la calidad del articulo

September 23, 2023

Juan Oliva DICOM MEDICAL DEVICES FULL DISCLOSURE
Durante el curso de Pentesting / Ethical Hacking el cual constantemente voy actualizando, durante la etapa de footpinting aprovechando los scripts que publicó Hernan Rodrigez … scripts van, scripts vienen y nos damos la sorpresa de lo que a continuacion explico:

DICOM, son las siglas de “Digital Imaging and Communications in Medicine» es un estandar que es usado en dispositivos medicos que se usa para para transmitir, almacenar, recuperar, imprimir, procesar y mostrar información de imágenes médicas o radriografias de diversos tipos.

El caso es que buscando información en Shodan de estos dispositivos fue posible encontrar una gran cantidad expuestos :

Luego selecionamos algunas IP, comenzamos a configurar y ejecutar los scripts, en donde fue espeluznante la cantidad de información que no debería estar expuesta como se muestra a continuación :

Como se puede apreciar la conectividad se realiza por el puerto TCP/104 y sin ningún tipo de autenticación es posible obtener la siguiente información :

Mas allá de lo preocupante que puede ser esto, en este caso de Perú ( por favor avisenle a esta gente) no se lleva la exclusividad del problema, debido a existen muchos mas paises que exponen estos dispositivos :

FInalmente y por si fuera poco existe una vulnerabilidad explotable CVE-2019-11687 si bien es cierto la explotación es un poco complicada, con tiempo y condiciones todo se puede.

Espero les sirva
@jroliva

September 18, 2023

Andrea Sannucci Curso Kamailio TLS/WebRTC y Balanceo/HA Segunda Edición
Kamailio es un Proxy SIP cuyas funcionalidades más importantes son:

Servidor Proxy, Servidor Registrar, Servidor Location, Servidor Redirect

Procesamiento de las peticiones SIP de forma Stateful y Stateless

Soporte para los protocolos de trasporte UDP, TCP, TLS, WS, WSS, SCTP

Soporte IPv4 e IPv6

Soporte para los registros DNS, SRV y NAPTR

Soporte Multi dominio

Autenticación vía Digest (RFC2617) y/o sobre IP

Servidor de presencia (Monitoreo extensiones y mensajería instantánea)

Soporte NAT para trafico SIP y RTP

Balanceamiento de carga y respaldo

Configuración de Gateway SIP para la conexión a la red PSTN y/o proveedores VoIP.

Websocket para el utilizo de WebRTC

El próximo 16 de octubre tendrá inicio la segunda edición del curso de Kamailio TLS/WebRTC y Balanceo/HA. En esta segunda edición he añadido una gran novedad. La utilización de FreeSWITCH como Servidor Media para algunos servicios muy específicos (conferencias, buzón de voz y test de echo) y la completa integración con Kamailio donde:

Autenticación se realiza a nivel de Kamailio

Registro y localización de los dispositivos se realiza en Kamailio

Llamadas entre extensiones se realiza en FreeSWITCH

Llamadas entrantes y salientes se realizan en Kamailio

Servicios Media (IVR, Buzón de voz, etc) se configuran en FreeSWITCH

Además de eso se ha añadido una nueva configuración de cifrado donde será posible realizar llamadas entre usuarios de este tipo:

De esta forma todo lo que pase por Kamailio será cifrado sea con TLS, sea con WebRTC.

Por ultimo todo el proceso de instalación y configuración se realizará con la distribución Rocky Linux 9.

En esta segunda edición se ha mantenido el esquema de descuentos presentes en la primera edición es decir:

antiguo estudiantes con solo acceso a los materiales: 120 dólares

antiguos estudiantes con curso completo (25% de descuento): 150 dólares

nuevos estudiantes con descuento de pronto pago (15%) 170 dólares

nuevos estudiantes sin descuento de pronto pago: 200 dólares

empresas que inscriban tres o más personas (descuento de 20%): 160 dólares por persona

Ahora algunos datos relativos al curso:

Fecha de inicio: 16 de Octubre 2023

Duración: 4 semanas

Cupos disponibles: Curso completo 15, Acceso a materiales 10

Videoconferencias en vivo: cinco:

17 Octubre 2pm hora de Colombia: presentación del curso y del protocolo SIP

24 Octubre 2 pm hora de Colombia: Kamailio como una PBX

27 Octubre 2pm hora de Colombia: Kamailio y WebRTC

31 Octubre 2 pm hora de Colombia: Kamailio para balanceo de carga

7 Noviembre 2 pm hora de Colombia: La consola Web de Kamailio Siremis

23 guías textuales

más de 450 paginas de materiales

7 Video Guías

En el anexo presente en esta entrada el temario y todos los datos relacionados con el curso.

Sigan este enlace para realizar la inscripción. Los espero.
Adjunto Tamaño

programa_curso_kamailio.pdf 88.71 KB
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

Adjunto	Tamaño
programa_curso_kamailio.pdf	88.71 KB

September 16, 2023

Andrea Sannucci Instalación del sistema de facturación de llamadas y DID OV500
OV500 es un sistema de facturación de llamadas y de Números Geográficos basados en Kamailio y FreeSWITCH. Permite configurar cuentas prepago y postpago, gateway para pagos vía PayPal, configuración de usuarios, revendedores y proveedores de llamadas. A cada usuario se puede asociar una o más cuentas SIP que se pueden autenticar con usuario y contraseña o sobre IP. Se pueden crear enrutamientos personalizados y tiene un buen sistema de monitoreo accesible vía Web. El sistema puede escalar horizontalmente añadiendo servidores FreeSWITCH y verticalmente utilizando una configuración de alta disponibilidad:

En este documento veremos como instalar OV500 en CentOS 7 desde cero y como realizar la primera llamada a un numero de Estados Unidos. El documento es bastante extenso; IMPORTANTE: CAMBIEN 207.246.68.160, EN TODOS LOS PUNTOS DONDE APARECE, CON LA IP PUBLICA DE SU SERVIDOR; iniciamos preparando el servidor:

yum update -y

timedatectl set-timezone America/Bogota

yum install chrony -y

systemctl enable chronyd

systemctl start chronyd

nano /etc/hosts

modificamos estas lineas:

127.0.0.1 sip1.kamailio.xyz sip1

::1 sip1.kamailio.xyz sip1

para que queden:

#127.0.0.1 sip1.kamailio.xyz sip1

#::1 sip1.kamailio.xyz sip1

nano /root/.bash_profile

al final del archivo añadimos las siguientes lineas:

export EDITOR=/usr/bin/nano

export PS1='\[\033[0;35m\]\H\[\033[0;33m\] \w\[\033[00m\]: '

alias free="free -m"

alias kacfg="nano /home/OV500/LB/etc/kamailio/kamailio.cfg"

alias fscli="/usr/local/bin/fs_cli"

alias mysql="mysql -u root -pKLuJUE3NEwTaSH6S"

guardamos los cambios y recargamos:

source /root/.bash_profile

Desactivamos Selinux:

nano /etc/selinux/config

modificamos las dos lineas para que queden:

SELINUX=disabled

SELINUXTYPE=targeted

reiniciamos:

reboot

Instalamos toda una serie de paquetes para compilar desde las fuentes y unas dependencias que necesitamos más adelante:

yum groupinstall "Development tools" -y

yum install epel-release -y

yum install wget curl git bind-utils ntpdate systemd net-tools whois sendmail sendmail-cf mlocate iptables-devel net-snmp-devel iptables* vim -y

yum install http://rpms.remirepo.net/enterprise/remi-release-7.rpm -y

yum-config-manager --disable remi-php54

yum-config-manager --enable remi-php73

yum install php php-fpm php-cli php-json php-readline php-xml php-curl php-gd php-json php-mbstring php-mysqlnd php-opcache php-pdo php-zip mod_ssl -y

yum install kernel-devel kernel-headers libunistring-devel flex gcc hiredis-devel libevent-devel *pcap* json-glib glib* glib2 glib2-devel xmlrpc-c-devel gcc-c++ alsa-lib-devel autoconf automake bison bzip2 curl-devel libdb4-devel e2fsprogs-devel erlang flite-devel gdbm-devel gnutls-devel ldns-devel libcurl-devel libedit-devel libidn-devel libjpeg-devel libmemcached-devel libogg-devel libsndfile-devel libtheora-devel libtool libvorbis-devel libxml2-devel lzo-devel mongo-c-driver-devel ncurses ncurses-devel openssl-devel opus-devel pcre-devel perl perl-ExtUtils-Embed pkgconfig portaudio-devel python-devel soundtouch-devel speex-devel sqlite sqlite-devel unbound-devel libuuid-devel which zlib-devel ImageMagick ImageMagick-devel iftop htop tcpdump ngrep psmisc readline* lua lua-devel postgresql-devel yasm nasm opus-devel -y

yum install -y luarocks && luarocks install lua-cjson

yum install json-devel json-c-devel -y

yum install mariadb mariadb-devel mariadb-server mysql-connector-odbc libtool-ltdl-devel unixODBC unixODBC-devel -y

Iniciamos una serie de servicios y los configuramos para que arranquen en automático:

systemctl start httpd

systemctl enable httpd

Created symlink from /etc/systemd/system/multi-user.target.wants/httpd.service to /usr/lib/systemd/system/httpd.service.

systemctl start php-fpm

systemctl enable php-fpm

Created symlink from /etc/systemd/system/multi-user.target.wants/php-fpm.service to /usr/lib/systemd/system/php-fpm.service.

systemctl stop firewalld

systemctl disable firewalld

Removed symlink /etc/systemd/system/multi-user.target.wants/firewalld.service.

Removed symlink /etc/systemd/system/dbus-org.fedoraproject.FirewallD1.service.

systemctl enable iptables

Created symlink from /etc/systemd/system/basic.target.wants/iptables.service to /usr/lib/systemd/system/iptables.service.

systemctl start iptables

cd /usr/src

Bajamos el programa OV500 con relativas configuraciones que utilizaremos más adelante:

git clone -b master https://github.com/openvoips/OV500.git

instalamos dos repositorios que utilizaremos a seguir:

yum install http://repo.okay.com.mx/centos/7/x86_64/release/okay-release-1-1.noarch.rpm -y

yum install http://www.nosuchhost.net/~cheese/fedora/packages/epel-7/x86_64/cheese-r... -y

sed -i "s#gpgcheck=1#gpgcheck=0#g" /etc/yum.repos.d/okay.repo

instalamos nuevos paquetes presentes en los dos repositorios recién instalados:

yum install autoconf automake broadvoice-devel flite-devel g722_1-devel ilbc2-devel libcodec2-devel libsilk-devel lua-devel opus-devel libks libks-devel signalwire-client-c -y

yum install spandsp spandsp-devel -y

yum install libavformat-devel libswscale-devel ffmpeg vorbis-tools mpg123-devel mpg123-libs libshout-devel lame lame-devel -y

Compilamos la pila SIP Sofia desde las fuentes (requerida por FreeSWITCH):

cd /usr/src

git clone https://github.com/freeswitch/sofia-sip.git

cd sofia-sip

./autogen.sh

./configure --prefix=/usr --libdir=/usr/lib64

make

make install

descargamos las fuentes de FreeSWITCH 1.10:

cd /usr/src

git clone -b v1.10 https://github.com/signalwire/freeswitch.git

cd freeswitch

./bootstrap.sh -j

copiamos y pegamos el bloque que sigue para indicar los módulos que queremos compilar:

echo 'applications/mod_commands

applications/mod_conference

applications/mod_callcenter

applications/mod_curl

applications/mod_db

applications/mod_dptools

applications/mod_enum

applications/mod_esf

applications/mod_expr

applications/mod_fifo

applications/mod_fsv

applications/mod_hash

applications/mod_httapi

applications/mod_sms

applications/mod_spandsp

applications/mod_test

applications/mod_valet_parking

applications/mod_voicemail

codecs/mod_amr

codecs/mod_b64

codecs/mod_g723_1

codecs/mod_g729

codecs/mod_h26x

codecs/mod_opus

dialplans/mod_dialplan_asterisk

dialplans/mod_dialplan_xml

endpoints/mod_loopback

endpoints/mod_rtc

endpoints/mod_skinny

endpoints/mod_sofia

endpoints/mod_verto

event_handlers/mod_cdr_csv

event_handlers/mod_json_cdr

event_handlers/mod_cdr_sqlite

event_handlers/mod_event_socket

formats/mod_local_stream

formats/mod_native_file

formats/mod_png

formats/mod_shout

formats/mod_sndfile

formats/mod_tone_stream

languages/mod_lua

#languages/mod_v8

loggers/mod_console

loggers/mod_logfile

loggers/mod_syslog

say/mod_say_en

xml_int/mod_xml_cdr

xml_int/mod_xml_curl

xml_int/mod_xml_rpc

xml_int/mod_xml_scgi'>/usr/src/freeswitch/modules.conf

Seguimos con la compilación e instalación de las locuciones audio y música de espera:

./configure -C --prefix=/home/OV500

make

make install

make cd-sounds-install

make cd-moh-install

Para el Codec G729 necesitamos la versión 3.20 de Gmake que vamos a instalar desde las fuentes:

yum remove cmake -y

cd /usr/src

wget https://github.com/Kitware/CMake/releases/download/v3.20.0/cmake-3.20.0....

tar -xf cmake-3.20.0.tar.gz

cd cmake-3.20.0

./bootstrap --prefix=/usr

gmake

make install

cd /usr/src

descargamos y compilamos la versión Open Source del codec G729:

git clone https://github.com/xadhoom/mod_bcg729.git

cd mod_bcg729/

nano Makefile

modificamos las dos lineas que siguen:

FS_INCLUDES=/usr/include/freeswitch

FS_MODULES=/usr/lib/freeswitch/mod

para que queden:

FS_INCLUDES=/home/OV500/include/freeswitch

FS_MODULES=/home/OV500/lib/freeswitch/mod

Gurdamos los cambios y compilamos:

make

make install

sed -i "s/g729/bcg729/" /home/OV500/etc/freeswitch/autoload_configs/modules.conf.xml

modificamos la configuración de los programas ejecutables de FreeSWITCH:

rm -rf /usr/local/bin/freeswitch

rm -rf /usr/local/bin/fs_cli

ln -s /home/OV500/bin/freeswitch /usr/local/bin/freeswitch

ln -s /home/OV500/bin/fs_cli /usr/local/bin/fs_cli

Instalamos algunas dependencias más para la compilación de algunos módulos de Kamailio:

yum install rtpproxy jansson-devel jansson-devel-doc -y

descargamos y compilamos la versión 4.4.7 de Kamailio:

cd /usr/src

wget https://www.kamailio.org/pub/kamailio/4.4.7/src/kamailio-4.4.7_src.tar.gz

tar -xf kamailio-4.4.7_src.tar.gz

mv kamailio-4.4.7 kamailio

cd kamailio

make include_modules="db_mysql dialplan dispatcher exec" exclude_modules="python acc_radius app_java app_lua app_mono app_perl app_python auth_ephemeral auth_identity auth_radius carrierroute cdp cdp_avp cnxcc cpl-c crypto db2_ldap db_berkeley db_cassandra db_mongodb db_oracle db_perlvdb db_postgres db_sqlite db_unixodbc dialplan dnssec erlang evapi geoip geoip2 gzcompress h350 http_async_client ims_auth ims_charging ims_dialog ims_icscf ims_isc ims_qos ims_registrar_pcscf ims_registrar_scscf ims_usrloc_pcscf ims_usrloc_scscf iptrtpproxy jansson janssonrpc-c json jsonrpc-c kazoo lcr ldap log_systemd memcached mi_xmlrpc misc_radius ndb_cassandra ndb_mongodb ndb_redis osp outbound peering purple regex rls sctp snmpstats xhttp_pi xmlops xmlrpc xmpp" cfg prefix="/home/OV500/LB"

make

make install

Preparamos la parte Web de OV500:

cd /usr/src/OV500

cp -rf /usr/src/OV500/portal /home/OV500/

sed -i "s/;request_terminate_timeout = 0/request_terminate_timeout = 300/" /etc/php-fpm.d/www.conf

sed -i "s#short_open_tag = Off#short_open_tag = On#g" /etc/php.ini

sed -i "s#;cgi.fix_pathinfo=1#cgi.fix_pathinfo=1#g" /etc/php.ini

sed -i "s/max_execution_time = 30/max_execution_time = 3000/" /etc/php.ini

sed -i "s/upload_max_filesize = 2M/upload_max_filesize = 20M/" /etc/php.ini

sed -i "s/post_max_size = 8M/post_max_size = 20M/" /etc/php.ini

sed -i "s/memory_limit = 128M/memory_limit = 512M/" /etc/php.ini

sed -i "s/;date.timezone =/date.timezone = America\/Bogota/" /etc/php.ini

systemctl restart php-fpm

systemctl restart httpd

eliminamos y volvemos a crear el archivo con los datos de conexión a las bases de datos que más adelante crearemos:

rm /home/OV500/portal/application/config/database.php

rm: remove regular file /home/OV500/portal/application/config/database.php? y

copiamos y pegamos todo el bloque que sigue:

echo "<?php

defined('BASEPATH') OR exit('No direct script access allowed');

\$active_group = 'default';

\$query_builder = TRUE;

\$db['default'] = array(

'dsn' => 'mysql:host=localhost;dbname=switch',

'hostname' => '',

'username' => 'ovswitch',

'password' => 'sesamo',

'database' => '',

'dbdriver' => 'pdo',

'dbprefix' => '',

'pconnect' => TRUE,

'db_debug' => TRUE,

'cache_on' => FALSE,

'cachedir' => '',

'char_set' => 'utf8',

'dbcollat' => 'utf8_general_ci',

'swap_pre' => '',

'encrypt' => FALSE,

'compress' => FALSE,

'stricton' => FALSE,

'failover' => array()

);

\$db['cdrdb'] = array(

'dsn' => 'mysql:host=localhost;dbname=switchcdr',

'hostname' => '',

'username' => 'ovswitch',

'password' => 'sesamo',

'database' => '',

'dbdriver' => 'pdo',

'dbprefix' => '',

'pconnect' => FALSE,

'db_debug' => FALSE,

'cache_on' => FALSE,

'cachedir' => '',

'char_set' => 'utf8',

'dbcollat' => 'utf8_general_ci',

'swap_pre' => '',

'encrypt' => FALSE,

'compress' => FALSE,

'stricton' => FALSE,

'failover' => array(),

'save_queries' => TRUE

);">/home/OV500/portal/application/config/database.php

hacemos lo mismo con el archivo de configuración de OV500:

rm /home/OV500/portal/api/config.php

rm: remove regular file /home/OV500/portal/api/config.php? y

copiamos y pegamos todo el bloque que sigue:

echo "<?php

error_reporting(0);

ini_set('memory_limit', '1024M');

date_default_timezone_set('America/Bogota');

define('CDR_DSN', 'mysql:dbname=switchcdr;host=localhost');

define('CDR_DSN_LOGIN', 'ovswitch');

define('CDR_DSN_PASSWORD','sesamo');

define('SWITCH_DSN', 'mysql:dbname=switch;host=localhost');

define('SWITCH_DSN_LOGIN', 'ovswitch', );

define('SWITCH_DSN_PASSWORD','sesamo');

define('LOGPATH', 'log/');

define('LOGWRITE', '0');

define('DBLOGWRITE', '1');">/home/OV500/portal/api/config.php

enlace simbólico y permisos:

ln -s /home/OV500/portal /var/www/html/portal

chown -Rf apache:apache /var/www/html/portal

chown -Rf apache:apache /home/OV500/portal

copiamos y pegamos el bloque que sigue para la configuración de MariaDB:

echo '[mysqld]

datadir=/var/lib/mysql

socket=/var/lib/mysql/mysql.sock

# Disabling symbolic-links is recommended to prevent assorted security risks

symbolic-links=0

# Settings user and group are ignored when systemd is used.

# If you need to run mysqld under a different user or group,

# customize your systemd unit file for mariadb according to the

# instructions in http://fedoraproject.org/wiki/Systemd

symbolic-links=0

sql_mode=''

port = 3306

innodb_file_per_table

key-buffer-size = 248M

myisam-recover = FORCE,BACKUP

# SAFETY #

max-allowed-packet = 248M

max-connect-errors = 10000

skip-name-resolve

event_scheduler = 1

# CACHES AND LIMITS #

tmp-table-size = 124M

max-heap-table-size = 124M

query-cache-type = 0

query-cache-size = 0

max-connections = 10000

thread-cache-size = 248

open-files-limit = 65535

table-definition-cache = 4096

table-open-cache = 500

innodb-flush-method = O_DIRECT

innodb-log-files-in-group = 2

innodb-flush-log-at-trx-commit = 0

innodb-file-per-table = 1

innodb-buffer-pool-size = 2G

innodb_stats_on_metadata = OFF

skip-networking=0

skip-bind-address

[mysqld_safe]

log-error=/var/log/mariadb/mariadb.log

pid-file=/var/run/mariadb/mariadb.pid

#

# include all files from the config directory

#

!includedir /etc/my.cnf.d'>/etc/my.cnf

Activamos el arranque automatico de MariaDB:

systemctl enable mariadb

Created symlink from /etc/systemd/system/multi-user.target.wants/mariadb.service to /usr/lib/systemd/system/mariadb.service.

reiniciamos:

systemctl restart mariadb

creamos el usario con contraseña para que tenga acceso a todas las base de datos:

/usr/bin/mysql -e "GRANT ALL PRIVILEGES ON *.* TO 'ovswitch'@'localhost' IDENTIFIED BY 'sesamo'";

Creamos las base de datos y cargamos tablas y datos:

mysqladmin create switch

mysqladmin create switchcdr

mysqladmin create kamailio

/usr/bin/mysql switch < /usr/src/OV500/config/database/switch.sql

/usr/bin/mysql switchcdr < /usr/src/OV500/config/database/switchcdr.sql

/usr/bin/mysql kamailio < /usr/src/OV500/config/database/kamailio.sql

Creamos la contraseña del usuario root de MariaDB:

mysqladmin -u root password KLuJUE3NEwTaSH6S

instalamos SNGREP y NGREP copiando y pegando el bloque que sigue:

echo '[irontec]

name=Irontec RPMs repository

baseurl=http://packages.irontec.com/centos/$releasever/$basearch/'>/etc/yum.repos.d/sngrep.repo

importando la clave del repositorio

rpm --import http://packages.irontec.com/public.key

instalando:

yum install ngrep sngrep -y

copiamos los archivos de configuración de Kamailio:

cp -rf /usr/src/OV500/config/kamailio /home/OV500/LB/etc/

cp: overwrite â/home/OV500/LB/etc/kamailio/kamctlrcâ? y

cp: overwrite â/home/OV500/LB/etc/kamailio/tls.cfgâ? y

cp: overwrite â/home/OV500/LB/etc/kamailio/kamailio.cfgâ? y

cp: overwrite â/home/OV500/LB/etc/kamailio/dictionary.kamailioâ? y

sed -i 's/OV500LBIP/'207.246.68.160'/g' /home/OV500/LB/etc/kamailio/kamailio.cfg

sed -i 's/ovswitch123/'sesamo'/g' /home/OV500/LB/etc/kamailio/kamailio.cfg

nano +1236 /home/OV500/LB/etc/kamailio/kamailio.cfg

se comentan las dos lineas (1236 y 1237) para que queden:

#if (!(isflagset(FLT_NATS) || isbflagset(FLB_NATB)))

# return;

Se guardan los cambios y se continua con:

sed -i 's/OV500FSIPADDRESS/'207.246.68.160'/g' /home/OV500/LB/etc/kamailio/dispatcher.list

cd /usr/src/OV500/config/freeswitch

sed -i 's/LBSERVERIP/'207.246.68.160'/g' /usr/src/OV500/config/freeswitch/autoload_configs/acl.conf.xml

sed -i 's/OV500FSIPADDRESS/'207.246.68.160'/g' /usr/src/OV500/config/freeswitch/vars.xml

cp autoload_configs/acl.conf.xml /home/OV500/etc/freeswitch/autoload_configs/acl.conf.xml

cp: overwrite /home/OV500/etc/freeswitch/autoload_configs/acl.conf.xml? y

cp autoload_configs/lua.conf.xml /home/OV500/etc/freeswitch/autoload_configs/lua.conf.xml

cp: overwrite /home/OV500/etc/freeswitch/autoload_configs/lua.conf.xml? y

cp autoload_configs/modules.conf.xml /home/OV500/etc/freeswitch/autoload_configs/modules.conf.xml

cp: overwrite /home/OV500/etc/freeswitch/autoload_configs/modules.conf.xml? y

sed -i "s/g729/bcg729/" /home/OV500/etc/freeswitch/autoload_configs/modules.conf.xml

cp autoload_configs/switch.conf.xml /home/OV500/etc/freeswitch/autoload_configs/switch.conf.xml

cp: overwrite /home/OV500/etc/freeswitch/autoload_configs/switch.conf.xml? y

cp autoload_configs/xml_cdr.conf.xml /home/OV500/etc/freeswitch/autoload_configs/xml_cdr.conf.xml

cp: overwrite /home/OV500/etc/freeswitch/autoload_configs/xml_cdr.conf.xml? y

cp autoload_configs/xml_curl.conf.xml /home/OV500/etc/freeswitch/autoload_configs/xml_curl.conf.xml

cp: overwrite /home/OV500/etc/freeswitch/autoload_configs/xml_curl.conf.xml? y

cp vars.xml /home/OV500/etc/freeswitch/vars.xml

cp: overwrite /home/OV500/etc/freeswitch/vars.xml? y

cp sip_profiles/internal.xml /home/OV500/etc/freeswitch/sip_profiles/internal.xml

cp: overwrite /home/OV500/etc/freeswitch/sip_profiles/internal.xml? y

cp /usr/src/OV500/portal/api/lib/vm_user.lua /home/OV500/share/freeswitch/scripts/

se copia y pega el bloque que sigue para la conexión ODBC a la base de datos switch:

echo "[freeswitch]

Driver = MySQL

SERVER = localhost

PORT = 3306

DATABASE = switch

OPTION = 67108864

USER = ovswitch

PASSWORD = sesamo

">/etc/odbc.ini

se copia y pega el bloque que sigue para la configuración del cortafuegos:

echo "# sample configuration for iptables service

# you can edit this manually or use system-config-firewall

# please do not ask us to add additional ports/services to this default configuration

*filter

:INPUT ACCEPT [0:0]

:FORWARD ACCEPT [0:0]

:OUTPUT ACCEPT [0:0]

-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

-A INPUT -p icmp -j ACCEPT

-A INPUT -i lo -j ACCEPT

-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT

# User Agent

-A INPUT -p udp -m udp --dport 5060 -m string --string "friendly-scanner" --algo bm -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "sipcli" --algo bm -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "VaxSIPUserAgent/3.0" --algo bm -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "sipvicious" --algo bm -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "iWar" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "sipsak" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "pplsip" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "Sippy" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "Cisco" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "Avaya" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "Mitel" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "OpenScape" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "Samsung" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "Linksys" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "voip" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "Office" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "Aastra" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "Yealink" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "MyPBX" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "F660" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "Polycom" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "MERA" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "Telovox" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "SylkServer" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "ASTPP" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "Webitel" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "Technicolor" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "c1" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "Hello" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "15502" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "EnGenius" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "Oktell" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "R2M5PBX" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "Aastra" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "NWS" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "VOS2009" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "Sippy" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "STARFACE" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "VOXGRID" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "Streamco" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060 -m string --string "FRITZ" --algo bm --to 65535 -j DROP

-A INPUT -p udp -m udp --dport 5060:5061 -j ACCEPT

-A INPUT -p udp -m udp --dport 6000:65000 -j ACCEPT

-A INPUT -p tcp -m tcp --dport 10443 -j ACCEPT

-A INPUT -p tcp -m tcp --dport 10080 -j ACCEPT

-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT

-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT

-A INPUT -j REJECT --reject-with icmp-host-prohibited

-A FORWARD -j REJECT --reject-with icmp-host-prohibited

-A INPUT -j DROP

COMMIT">/etc/sysconfig/iptables

Se reinicia IPtables:

systemctl restart iptables

se copia y pega el bloque que sigue para la configuración del servidor Web:

echo '

<VirtualHost *:80>

ServerAdmin demo@demo.com

ServerName localhost

DocumentRoot /var/www/html

<Directory /var/www/html>

Options Indexes FollowSymLinks MultiViews

AllowOverride All

Require all granted

</Directory>

ErrorLog error.log

CustomLog access.log combined

RewriteEngine on

</VirtualHost>'>/etc/httpd/conf.d/ov.conf

se reinician algunos servicios:

systemctl restart php-fpm

systemctl restart httpd

se copia y se pega el bloque que sigue para la configuración de los Trabajos programados relacionados con OV500:

crontab -l > /home/OV500/cron_bkp

echo "*/30 * * * * /usr/bin/sh /home/OV500/xmlcdr.sh >/dev/null 2>&1

*/15 * * * * /usr/bin/php /var/www/html/portal/index.php Billing quickservice >/dev/null 2>&1

1 4 * * * /usr/bin/php /var/www/html/portal/index.php Billing cron >/dev/null 2>&1" > /home/OV500/cron_bkp

se sube el archivo al proceso Cron:

crontab /home/OV500/cron_bkp

se copia y pega el bloque que sigue que contiene el arranque de todos los servicios:

echo '#!/usr/bin/sh

systemctl restart iptables

systemctl restart mariadb

systemctl restart php-fpm

systemctl restart httpd

killall -9 /usr/bin/rtpproxy

/usr/bin/rtpproxy -L 100000 -u root -l 207.246.68.160 -s udp:localhost:5899 -m 6000 -M 65000

killall -9 /home/OV500/LB/sbin/kamailio

/home/OV500/LB/sbin/kamailio

/home/OV500/bin/fs_cli -x "shutdown"

sleep 10

/home/OV500/bin/freeswitch -nc'> /home/OV500/ovservice.sh

se cambian los permisos del archivo:

chmod 777 /home/OV500/ovservice.sh

se copia el archivo de configuración de los CDR:

cp -rf /usr/src/OV500/config/xmlcdr.sh /home/OV500/

Se añade el archivo creado anteriormente (ovservice.sh) al arranque automático de CentOS 7:

nano /etc/rc.local

al final del archivo se pega:

/home/OV500/ovservice.sh

se guardan los cambios y se configura:

chmod +x /etc/rc.d/rc.local

systemctl enable rc-local

se reinicia el sistema:

reboot

si todo sale bien ya deberíamos poder acceder al portal:

http://207.246.68.160/portal/

Username: admin

Password: Ov500@786

Para poder realizar la primera llamada de prueba a un numero de Estados Unidos:

añadir dinero al usuario presente User Management → My Users & Services → Icono Payment → Add Payment:

añadir una nueva extensión al usuario presente: User Management → My Users & Services → Icono Services Edit → SIP-Trunk → Add SIP User:

añadir la tarifa USA a las tarifas del usuario presente: Rates and Package → Ratecard → customer (CUSTOMER42) → Icono View rates → Add rate:

añadir una IP/Troncal al Carrier presente: Routing Management → Carriers → Icono Edit → IP Trunk → Add Carrier IP:

Tienen que añadir un Proveedor de llamadas que los autentique sobre IP. Configuran la extensión 1000 que hemos creado en un teléfono SIP y marcan a USA utilizando el prefijo 1 + numero. La llamada debería funcionar sin problemas, el CDR de la mia:

Para subir tarifas desde archivos CSV: Rates & Package → Ratecard → Icono Edit → Upload From = Upload from file (csv).

Cosa que se deberían mejorar:

Actualizar el sistema a Rocky Linux 8

utilizar PHP 8.1 en lugar de 7.3

utilizar RTPEngine en lugar de RTPProxy

utilizar una versión más reciente de Kamailio

Si quiern comentar, añadir contenido, preguntar, pueden inscribirse al canal Telegram: https://t.me/voztovoice y opinar :)
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

September 15, 2023

Andrea Sannucci Actualizar NextCloud desde linea de comando
Hoy estaba intentando actualizar NextCloud a la ultima versión disponible 27.0.2 desde la pagina de administración web y no lo lograba; cuando llegaba el momento de crear el backup, antes de instalar la nueva versión, me daba error (sin ningún tipo de mensaje explicativo) y no seguía.

Entonces dije, lo voy a intentar directamente desde la consola de Linux para ver que pasa:

sudo -u apache php /var/www/nextcloud/updater/updater.phar

cambiar apache con el usuario que tiene acceso a la carpeta donde se encuentra instalado NextCloud y indicar el camino exacto del archivo updater.phar; me ha aparecido:

claramente le he dado y:

al momento del backup me ha salido nuevamente un error pero esta vez si indicándome donde se encontraba el problema que en este caso eran los permisos de una archivo que tenia como copia del archivo de configuración de NextCloud. Corregido el error y ejecutado nuevamente el comando:

sudo -u apache php /var/www/nextcloud/updater/updater.phar

luego ha empezado la actualización de la plataforma, esta vez sin errores:

a la pregunta he contestado nuevamente con yes y ha empezado todo el proceso de actualización, que ha terminado sin problemas con esta pregunta:

relativa a si quería mantener el sistema en modo mantenimiento (claramente no). La verdad siempre había actualizado el sistema desde la pagina web de administración pero me parece que utilizando los comandos disponibles desde la consola de Linux es mucho más confiable y rápido.

Me comentan
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

September 06, 2023

Andrea Sannucci RFC9420 – El nuevo estándar de cifrado para la mensajería instantánea y no solo
Messaging Layer Security (MLS), es un nuevo estándar que admite el cifrado de extremo a extremo en aplicaciones de mensajería y se liberó como RFC9420.

El nombre es una variación obvia del Transport Layer Security (TLS), pero no termina con eso las similitudes. . MLS estuvo en desarrollo durante unos cinco años, un tiempo parecido al que llevó producir TLS 1.3. Ambos estándares se basaron en los protocolos que los precedieron. Ambos estándares involucraron al mundo académico y a una base de expertos más amplia para analizar los diseños antes de que se consideraran completos.

Para entender por qué se necesita MLS, hay que ir al 1991 y Pretty Good Privacy (PGP). Desarrollado por Phil Zimmerman, PGP fue el primer intento de proporcionar cifrado de extremo a extremo para la mensajería, más específicamente, para el correo electrónico. Aunque PGP proporcionaba cierta seguridad básica, su usabilidad era deficiente y la criptografía débil según los estándares actuales; además su seguridad dependía de una clave maestra. Si esa clave se viera comprometida, toda la comunicación, pasada y futura, también estaría comprometida.

Siguieron otros estándares. El protocolo Off-the-Record (OTR) se centra en la seguridad de los mensajes (chat) en tiempo real, introduciendo el forward-secrecy que garantiza que el descubrimiento de las claves utilizadas al momento no compromete la seguridad de las claves usadas con anterioridad (no las revela). Por lo tanto la seguridad de lo que se hizo usando claves antiguas persiste.

El protocolo Signal mejoró aún más las cosas al agregar soporte para comunicación fuera de línea, así como seguridad en el caso que los datos de un usuarios estuvieran comprometidos, parecido a lo que pasa con el protocolo TLS 1.3. El protocolo Signal ha logrado un gran éxito y ha sido implementado no solo por Signal, sino también por WhatsApp, Facebook Messenger, Skype y otros.

Aunque el protocolo Signal en este momento es un estándar de facto, MLS pretende ir más allá con una comunicación de grupo mejorada, una estandarización adecuada y una implementación de referencia en Rust, un lenguaje de programación de alto rendimientos y de alta fiabilidad; todo esto bajo una licencia de código abierto.

Si varios proveedores adoptarán este protocolo, se abrirían las puertas a una posible federación e interoperatividad entre aplicaciones de mensajería instantánea. Varias empresas destacadas participaron en el esfuerzo de desarrollo. Google ya afirmó que implementará MLS en Google Messages. y Matrix ya está experimentando el nuevo protocolo.

Toca solo esperar para ver como termina la historia. Para aquellos que quieran profundizar el tema del Post-Compromise Security, les anexo una tesis de laurea escrita sobre el tema para TLS 1.3 (que es bastante parecido) a MLS; la tesis es en inglés.

Adjunto Tamaño

post-compromise_security_and_tls_1.3_session_resumption.pdf 1.25 MB
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

Adjunto	Tamaño
post-compromise_security_and_tls_1.3_session_resumption.pdf	1.25 MB

August 30, 2023

Andrea Sannucci ¿Hetzner es un buen proveedor de VPS?
Aquellos que leen este blog saben que siempre hablé bien y recomendé utilizar servidores de Linode pero, desde que Linode fue adquirida por Akamai, me parece que la calidad ha bajado mucho, ha cambiado el esquema de negocio y algunos servicios que antes funcionaban muy bien (IP Failover, ya no funcionan más)

Es por eso que propio en estos días me estaba poniendo la pregunta que da el titulo a esta entrada; después de probar un par de semanas, y seguiré probando, puedo responder que para mi si, Hetzner es un buen proveedor. Los motivos que me han llevado a esta conclusión son muchos:

el costo: el servidor más pequeño tiene un costo de 4,35 Euro y viene con 2 AMD vCPU, 2 GB de Memoria RAM y 40 GB de disco. Un servidor con las mismas características en Digital Ocean cuesta 18 dólares y en Linode 12 dólares y viene con solo 1 vCPU:

Digital Ocean:

Hetzner:

A ese precio hay que añadir 0,50 Euro/mes que cobran la IPv4.

El costo del Backup que es el 20% del costo del servidor. En el caso del más pequeño sería 0,77 Euro al mes

El costo de los Snapshot que valen, 0.011 Euros/GB. Ne he sacado uno hace poco y resultó ser de 3GB pues el costo mensual amontaría a 0.033 Euros/Mes

La estabilidad de los servicios que hasta el momento han funcionado sin ningún tipo de falla

La disponibilidad de dos centros de datos en Estados Unidos, uno en la costa Este y uno en la costa Oeste

El panel de control es bastante intuitivo y desde una pagina es posible manejar todos los servicios

La disponibilidad de API que se pueden utilizar para un sin fin de servicios y actividades

La disponibilidad de una Floating IP que a través de las API es posible mover de un servidor a otro. Existen configuraciones que funcionan perfectamente con KeepAlived y Pacemaker/Corosync. En cualquier momento es posible saber en que servidor se encuentra la IP, cosa que no era posible con Linode:

Creo que por ahora es todo, si tengo más novedades les comento.
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

August 28, 2023

Andrea Sannucci VideoCurso – Kamailio Alta Disponibilidad - Segunda Edición
Después de un año vamos a “estrenar” la segunda edición del video curso de tres horas dedicado a la configuración de Kamailio en Alta Disponibilidad. A lo largo de la videoconferencia veremos como configurar dos servidores Kamailio en alta disponibilidad utilizando dos escenarios/programas distintos:

KeepAlived

Pacemaker junto a Corosync

Del primer escenario veremos dos diferentes configuraciones:

utilizando los módulos DMQ y DQM_USRLOC de Kamailio

utilizando una replicación Primario/Primario de la base de datos con MariaDB

DMQ y DMQ_USRLOC son dos módulos que permiten replicar los datos entre distintos servidores Kamailio parte de un Cluster de servidores. Su ventaja es que todo se desarrolla en la memoria de trabajo de Kamailio, volviendo el proceso de replicación mucho más rápido y efectivo.

Con la replicación Primario/Primario de la base de datos, la replicación es intrínseca al tipo de configuración pues todos los datos de configuración y funcionamiento de los dos Kamailio serán replicados en las bases de datos de ambos servidores.

Con KeepAlived podremos parar el Kamailio de un servidor sin que las llamadas se caigan ya que el RTPEngine, instalado en el mismo servidor, seguirá funcionando; si se cae el servidor por completo, todas las llamadas en curso se caerán. En una segunda configuración veremos también como monitorear RTPEngine de forma que si se cae RTPEngine aunque Kamailio siga funcionando, se transfieran los servicios en el servidor de respaldo. Otra opción que se puede utilizar es instalar RTPEngine en un servidor remoto y que ambos Kamailio lo utilicen o utilizar un cluster de RTPEngine y gestionarlos en la configuración de Kamailio.

Con la segunda configuración lograremos que las llamadas no se caigan y que puedan pasar de un servidor a otro sin ningún tipo de interrupción. Durante el cambio de servidor el audio de las llamadas se interrumpirá entre 3 y 6 segundos. Este valor depende de la potencia de los servidores utilizados y de la configuración de Corosync. Utilizando una configuración más “estricta” se puede bajar a 1-3 segundos.

Los dos servidores utilizados para el curso se alquilarán, a diferencia del curso anterior, con Hetzner que permite la configuración de una IP Flotante que se puede mover de un servidor a otro utilizando las API disponibles. Desafortunadamente Linode ya no permite la configuración de una IP de respaldo ya que cambiaron toda la configuración de red de sus centros de datos tirando a la porra uno de los pocos servicios interesantes que tenían.

¿Fechas?

El video curso tendrá lugar el Sábado, 9 de Septiembre 2023, de 9am a 12pm hora de Colombia.

¿Que necesito para participar?

Una buena conexión de internet, micrófono con auriculares y uno o dos SoftPhone para participar de manera activa en las pruebas que se realizarán

¿Cual es el costo del Curso?

35 dólares o 140mil pesos Colombianos

¿Cómo puedo realizar el pago?

PayPal

Tarjeta de Crédito

Transferencia bancaria Colombia

¿Cómo me puedo inscribir?

Utilizando el formulario de inscripción presente en esta pagina

¿Qué incluye el curso?

La configuración completa de los dos escenario compuesta por 5 guías separadas:

Preparación de los VPS (Servidores Privados Virtuales)

Instalación de ultima versión disponible de Kamailio (5.7.1)

Instalación y Configuración del Cortafuegos

Archivo de Configuración predefinido de Kamailio y Arquitectura del Proxy

Kamailio Alta Disponibilidad

Foro para preguntas abierto de por vida

Grabación de la Videoconferencia disponible de por vida

Acceso al curso abierto de por vida

¿Puedo inscribirme si no puedo participar a la videoconferencia?

Sin problemas ya que podrás acceder a todos los materiales del curso, incluyendo la grabación de la videoconferencia y el foro.

Me comentan
Vota el Articulo:

Promedio: 5 (1 voto)

Evalúa la calidad del articulo

July 03, 2023

Andrea Sannucci Asterisk, calidad de las llamadas y MES (Media Experience Score)
Medir la calidad de las llamadas siempre ha sido bastante complicado y quizás el método más conocido/utilizado es el MOS (Mean Opinion Score). Aunque se utilizan algoritmos para calcular el MOS, este sistema nace basándose en la percepción del audio que tienen los usuarios de un determinado sistema audio y del juicio expreso por los mismos acerca de la experiencia utilizando ese mismo sistema. Para alejarse de ese concepto y considerando que el nuevo indice se basa en puros cálculos matemáticos, hace poco ha nacido el MES (Media Experience Score), sistema que permite medir la calidad del audio para el canal PJSIP.

El calculo se basa en tres valores que se pueden extrapolar del flujo media:

RTT (tiempo de ida y vuelta de un paquete audio)

el Jitter que es un indicador de como se comporta el flujo media

la perdida de paquetes que afecta la calidad del flujo media

Utilizando estos tres valores se obtiene un Factor de calificación que va de 0 a 100 donde 0 es igual a pésima calidad de audio y 100 optima calidad de audio. El valor de partida del este factor R ha sido fijado en 93.2 y a ese valor se aplica una formula para obtener un valor final. Contribuye a la formación de ese valor final:

Promedio RTT

Promedio Jitter

Retraso Codec audio

Paquetes perdidos

El valor obtenido, como se ha dicho, puede ser entre 0 y 100 y de ese valor se puede sacar, si se necesita, un indice entre 1 y 4.5, tipo MOS, utilizando la siguiente formula:

En Asterisk podemos sacar todas una serie de valores relacionados con el MES a través de la función CHANNEL ${CHANNEL(rtcp,<stat>)}, donde en lugar de stat se puede poner:

all_mes

txmes

rxmes

remote_maxmes

remote_minmes

remote_normdevmes

remote_stdevmes

local_maxmes

local_minmes

local_normdevmes

local_stdevmes

Con local se entiende el flujo media que llega a Asterisk y con remote el flujo media que sale de Asterisk. Lo he probado en dos llamadas, una entre extensiones:

y una saliente utilizando una troncal SIP:

en ambos casos, la calidad fue bastante buena. Si quisiéramos expresar el valor con el indice de 1 a 4,5, tomando, por ejemplo, el valor del MESlocalMAX de la primera llamada, sería (redondeando):

Opinion = 1 + (0.035 x 85,4) + (85,4 x (85,4 – 60) x (100 – 85,4) * 0,0000007) = 4,01

Me comentan
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

June 26, 2023

Andrea Sannucci VideoCurso – Kamailio Alta Disponibilidad - Segunda Edición
Después de casi un año vamos a “estrenar” la segunda edición del video curso de tres horas dedicado a la configuración de Kamailio en Alta Disponibilidad. A lo largo de la videoconferencia veremos como configurar dos servidores Kamailio en alta disponibilidad utilizando dos escenarios/programas distintos:

KeepAlived

Pacemaker junto a Corosync

Del primer escenario veremos dos diferentes configuraciones:

utilizando los módulos DMQ y DQM_USRLOC de Kamailio

utilizando una replicación Primario/Primario de la base de datos con MariaDB

DMQ y DMQ_USRLOC son dos módulos que permiten replicar los datos entre distintos servidores Kamailio parte de un Cluster de servidores. Su ventaja es que todo se desarrolla en la memoria de trabajo de Kamailio, volviendo el proceso de replicación mucho más rápido y efectivo.

Con la replicación Primario/Primario de la base de datos, la replicación es intrínseca al tipo de configuración pues todos los datos de configuración y funcionamiento de los dos Kamailio serán replicados en las bases de datos de ambos servidores.

Con KeepAlived podremos parar el Kamailio de un servidor sin que las llamadas se caigan ya que el RTPEngine, instalado en el mismo servidor, seguirá funcionando; si se cae el servidor por completo, todas las llamadas en curso se caerán. En una segunda configuración veremos también como monitorear RTPEngine de forma que si se cae RTPEngine aunque Kamailio siga funcionando, se transfieran los servicios en el servidor de respaldo. Otra opción que se puede utilizar es instalar RTPEngine en un servidor remoto y que ambos Kamailio lo utilicen o utilizar un cluster de RTPEngine y gestionarlos en la configuración de Kamailio.

Con la segunda configuración lograremos que las llamadas no se caigan y que puedan pasar de un servidor a otro sin ningún tipo de interrupción. Durante el cambio de servidor el audio de las llamadas se interrumpirá entre 5 y 8 segundos. Este valor depende de la potencia de los servidores utilizados y de la configuración de Corosync. Utilizando una configuración más “estricta” se puede bajar a 3-4 segundos.

Los dos servidores utilizados para el curso se alquilarán con Linode que permite la configuración de una IP Virtual compartida entre dos servidores.

¿Fechas?

El video curso tendrá lugar el Sábado, 8 de Julio 2023, de 9am a 12pm hora de Colombia.

¿Que necesito para participar?

Una buena conexión de internet, micrófono con auriculares y uno o dos SoftPhone para participar de manera activa en las pruebas que se realizarán

¿Cual es el costo del Curso?

35 dólares o 120mil pesos Colombianos

¿Cómo puedo realizar el pago?

PayPal

Tarjeta de Crédito

Transferencia bancaria Colombia

¿Cómo me puedo inscribir?

Utilizando el formulario de inscripción presente en esta pagina

¿Qué incluye el curso?

La configuración completa de los dos escenario compuesta por 5 guías separadas:

Preparación de los VPS (Servidores Privados Virtuales)

Instalación de ultima versión disponible de Kamailio (5.7.1)

Instalación y Configuración del Cortafuegos

Archivo de Configuración predefinido de Kamailio y Arquitectura del Proxy

Kamailio Alta Disponibilidad

Foro para preguntas abierto de por vida

Grabación de la Videoconferencia disponible de por vida

Acceso al curso abierto de por vida

¿Puedo inscribirme si no puedo participar a la videoconferencia?

Sin problemas ya que podrás acceder a todos los materiales del curso, incluyendo la grabación de la videoconferencia

Me comentan
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

May 21, 2023

Andrea Sannucci Kamailio 5.7 y el modulo TLS_WOLFSSL
La versión 5.7 de Kamailio ha sido liberada el pasado 17 de mayo y entre las novedades la posibilidad de integrar la librería WolfSSL. De esta librería he hablado en esta entrada; en pocas palabras sus puntos de fuerza son ser liviana, fácil de integrar en muchas aplicaciones y pensada para la seguridad del internet de las cosas.

En esta entrada veremos como compilar el modulo TLS_WOLFSSL en la ultima versión de Kamailio.

Una vez instaladas todas las dependencias que necesita Kamailio para ser compilado desde las fuentes, lo descargamos:

cd /usr/src

git clone --depth 1 --no-single-branch https://github.com/kamailio/kamailio kamailio
Entramos en la carpeta creada:

cd kamailio

y pasamos a la rama 5.7:

git checkout -b 5.7 origin/5.7

Branch 5.7 set up to track remote branch 5.7 from origin.

Switched to a new branch '5.7'

Ejecutamos el comando que sigue que se necesita para preparar las fuentes para la compilación y para indicar la carpeta de instalación (desde la carpeta raíz):

make PREFIX="/" cfg

Bajamos la versión 5.3 de WolfSSL y copiamos los archivos donde Kamailio espera encontrarlos para la compilación del modulo TLS_WOLFSSL:

cd /usr/src

wget https://github.com/wolfSSL/wolfssl/archive/refs/tags/v5.3.0-stable.tar.gz

tar -xf v5.3.0-stable.tar.gz

cd wolfssl-5.3.0-stable

cp -rf * ../kamailio/misc/external/wolfssl/wolfssl/

IMPORTANTE: la compilación de Kamailio con versiones superiores a las 5.3 de WolfSSL (la ultima disponible es la 5.6) fallan

Volvemos a la carpeta de Kamailio:

cd /usr/src/kamailio/

abrimos el siguiente archivo que se utiliza, entre otras cosas, para definir los módulos de Kamailio que no se compilarán:

nano src/modules.lst

borramos la linea que inicia con exclude_modules (19) y la sustituimos con la siguiente:

exclude_modules= kafka kazoo ndb_mongodb app_java ndb_cassandra db_cassandra osp evapi iptrtpproxy db_oracle nsq phonenum app_python dnssec rtp_media_server mqtt secsipid_proc misc_radius stirshaken peering auth_radius acc_radius ruxc nats erlang

De esta forma indicaremos los módulos que no se compilarán e instalarán. Tiene que quedar todo en el mismo renglón. Guardamos los cambios y terminamos con la compilación e instalación:

make Q=0 all

make install

Terminada la compilación e instalación, encontraremos los programas relacionados con Kamailio en la carpeta /sbin:

ls /sbin/kam*

/sbin/kamailio /sbin/kambdb_recover /sbin/kamcmd /sbin/kamctl /sbin/kamdbctl

y todos los módulos compilados en la carpeta /lib64/kamailio/modules/:

ls /lib64/kamailio/modules/

el modulo se habrá compilado correctamente. Una vez creados los certificados y modificado el archivo de configuración de Kamailio para activar el modulo, se inicia Kamailio:

systemctl start kamailio

en el LOG veremos:

Esto será parte del próximo curso de Kamailio programado para septiembre 2023.

Me cuentan
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

May 16, 2023

Andrea Sannucci Instalación de FreeSWITCH 1.10.8 en Rocky Linux 8
A ver si se animan a inscribirse al curso de FreeSWITCH:

FreeSWITCH es un programa Open Source, distribuido bajo licencia MPL1.1, utilizado para implementar una central telefónica o, en general, un servidor B2BUA (Back To Back User Agent). Para una lista completa de las funcionalidades brindadas, pueden visitar la Wiki de los desarrolladores. Entre ellas:

• Registro (Log) de las llamadas

• Grabación de llamadas

• Desvío de llamadas

• Trasferencia de llamadas

• Conferencias audio y Videoconferencias

• Música en espera

• Soporte IPv6

• Creación de contestadoras automáticas: IVR

• Servidor y Gateway WebRTC con señalización SIP y Verto

• Multi Dominio y Multi usuario

• Least Cost Routing (LCR) para llamadas salientes

Este curso abarca la instalación de FreeSWITCH 1.10 en un VPS (Servidor Virtual Privado) remoto y es valida para cualquier Servidor Rocky Linux/Almalinux 8. Con el VPS remoto la ventaja es tener el SWITCH siempre activo, independiente de la banda ancha disponible en la casa/oficina y evita tener una computadora dedicada y siempre encendida.

Utilidades, librerías, dependencias

La instalación de FreeSWITCH se realizará a partir de las fuentes para que puedan ver el proceso de instalación de dependencias y librerías que, en algunos casos, se instalarán también desde las fuentes. Claramente es posible instalar FreeSWITCH desde los repositorios disponibles pero es bueno que aprendan a manejar directamente las fuentes. Antes de la compilación de FreeSWITCH, se instalarán toda una serie de librerías y dependencias que permitirán obtener una instalación de casi todos los módulos más importantes de FS. Primero se activan los repositorios Power-Tools que permiten la instalación de algunos paquetes no presentes en los repositorios estándar de Rocky Linux:

dnf config-manager --set-enabled powertools

Se empieza con Vorbis que es una librería para la compresión/descompresión audio indispensable para la correcta compilación del modulo mod_shout:

dnf install libvorbis libvorbis-devel vorbis-tools libogg libogg-devel -y

junto a mpg123 y libshout:

dnf install mpg123-devel mpg123-libs libshout-devel -y

Para el formato audio GSM se instalan los relativos paquetes:

dnf install gsm gsm-devel -y

FFMPEG es una dependencia del modulo mod_av que permite utilizar el codec Video H264 en Verto, la señalización utilizada para WebRTC en FreeSWITCH, otra opción además de la señalización SIP:

dnf install --nogpgcheck https://mirrors.rpmfusion.org/free/el/rpmfusion-free-release-8.noarch.rpm -y

dnf install ffmpeg ffmpeg-devel -y

se sigue con CURL que es un cliente que permite recibir y/o enviar archivos utilizando los protocolos HTTP, HTTPS, FTP, GOPHER, DICT, TELNET; utilizado por el modulo mod_xml_curl:

dnf install curl curl-devel libidn-devel -y

se instalan todas las librerías y dependencias que se necesitan para la compilación de las fuentes:

dnf install gcc ncurses-devel make gcc-c++ zlib-devel libtool bison-devel bison \

openssl-devel bzip2-devel wget newt-devel subversion flex gtk2-devel bzip2 patch \

libjpeg-devel yasm libsndfile-devel net-tools git perl-ExtUtils-Embed -y

En Rocky Linux 8, para la gestión de la base de datos, de manera predefinida ya no está presente MySQL sino MariaDB que se instala:

dnf install mariadb mariadb-server mariadb-devel -y

UNIXODBC que es la implementación Linux de las API ODBC que permiten conectarse a muchos sistemas de gestión de base de datos (ej: MySQL/MariaDB):

dnf install unixODBC unixODBC-devel mariadb-connector-odbc libtool-ltdl-devel -y

Como la base de datos interna de FreeSWITCH de manera predefinida se basa en SQLite, se instala el paquete del programa y el paquete de desarrollo:

dnf install sqlite sqlite-devel -y

PostgreSQL:

dnf install postgresql-devel postgresql-server -y

Se instala, desde las fuentes, FLITE, Festival Lite, que es un sistema de text to speech (texto a voz) utilizado por el modulo mod_flite de FS:

cd /usr/src

git clone https://github.com/festvox/flite.git

cd flite/

./configure --enable-shared --with-audio=none --prefix=/usr

make

make get_voices

make install

Libuuid y uiid utilizados para la identificación univoca de canales y hilos de procesos del SoftSWITCH:

dnf install libuuid libuuid-devel uuid uuid-devel -y

Se continua con la instalación de otros formatos audio: SPEEX WAW y LAME; este ultimo es también una dependencia para el modulo mod_shout:

dnf install speex speex-devel speexdsp-devel wavpack wavpack-devel lame-devel -y

Se continua con LIBMAD que es un MPEG audio decodificador de alta calidad:

cd /usr/src

wget https://campus.voztovoice.org/FreeSWITCH/libmad-0.15.1b.tar.gz

tar -xf libmad-0.15.1b.tar.gz

cd libmad-0.15.1b

./configure --prefix=/usr --libdir=/usr/lib64

Para que la compilación tenga éxito hay que modificar una linea del archivo Makefile:

nano +129 Makefile

CFLAGS = -Wall -g -O -fforce-mem -fforce-addr -fthread-jumps -fcse-follow-jumps -fcse-skip-blocks -fexpensive-optimizations -fregmove -fschedule-insns2

para que quede:

CFLAGS = -Wall -g -O -fforce-addr -fthread-jumps -fcse-follow-jumps -fcse-skip-blocks -fexpensive-optimizations -fregmove -fschedule-insns2

se continua con su compilación e instalación:

make

make install

Para la instalación del modulo mod_opus relacionado con el Codec Audio Opus, hay que instalar el codec desde las fuentes siguiendo estos pasos:

wget https://archive.mozilla.org/pub/opus/opus-1.3.1.tar.gz

tar -xf opus-1.3.1.tar.gz

cd opus-1.3.1

./configure --prefix=/usr --libdir=/usr/lib64

make

make install

Se termina esta primera parte con SoX que es un programa que permite la manipulación de archivos audio y la posibilidad de pasarlos de un formato a otro:

cd /usr/src

wget https://campus.voztovoice.org/FreeSWITCH/sox-14.4.2.tar.gz

tar -xf sox-14.4.2.tar.gz

cd sox-14.4.2

./configure --prefix=/usr --libdir=/usr/lib64

Al finalizar el configure aparecerá esta tabla donde se encontrarán todos los formatos audio que se podrán manipular con SoX:

Se termina con la compilación e instalación:

make && make install

Se continua con las librerías libtiff y SpanDSP, un procesador de señales digitales que en FreeSWITCH permite la instalación del modulo mod_spandsp para la recepción y envío de faxes:

dnf install libtiff libtiff-devel libxml2 libxml2-devel -y

dnf --enablerepo=okay install spandsp spandsp-apidoc spandsp-devel libks-devel -y

OpenLDAP es la versión open source del protocolo Lightweight Directory Access. Normalmente se utiliza para crear un directorio de usuarios que puede ser consultado y/o modificado desde remoto. Muchos programas implementan la posibilidad de conectarse a un servidor OpenLDAP y FreeSWITCH presenta esta posibilidad a través del modulo mod_ldap, aunque sea considerado un modulo obsoleto:

dnf install openldap openldap-clients openldap-devel openldap-servers -y

SNMP es el Protocolo Simple de Administración de Red y sirve para controlar y monitorear el desempeño del servidor Linux y de determinadas aplicaciones:

dnf install net-snmp net-snmp-devel net-snmp-libs net-snmp-utils -y

Se continua la preparación del servidor con la instalación del lenguaje de programación LUA que es el más utilizado para escribir script y código para interactuar con FS:

dnf install lua lua-devel -y

Se instalan los paquetes para compilar el modulo mod_memcache utilizado como memoria de cache en algunos tipo de consultas a base de datos:

dnf install memcached memcached-devel libmemcached libmemcached-devel -y --skip-broken

Por ultimo la librería LIBSRTP que permite implementar el cifrado del flujo media en FreeSWITCH a través del protocolo SRTP (RFC3711) y la pila SIP utilizada por FS (SIP SOFIA):

dnf --enablerepo=okay install libsrtp libsrtp-devel sofia-sip* -y

y la librería Jansson para el soporte del modulo mod_verto utilizado como sistema de señalización para WebRTC:

dnf install jansson jansson-devel -y

Para terminar hay que instalar unas cuantas librerías que permitirán instalar unos módulos más y de esta forma obtener una instalación casi completa de FreeSWITCH y sus módulos:

dnf install portaudio portaudio-devel python2-devel perl-devel erlang ldns-devel libedit-devel -y

Instalación de FreeSWITCH

Terminada la preparación del servidor, se inicia con la instalación de FreeSWITCH; se descarga la ultima versión disponible de la rama 1.10:

cd /usr/src

git clone -b v1.10 https://github.com/signalwire/freeswitch.git

Se entra a la carpeta creada:

cd freeswitch

y se preparan las fuentes para la compilación:

./bootstrap.sh -j

Luego para que se compilen algunos módulos que por defecto no están activados, se abre el siguiente archivo:

nano modules.conf

se descomentan las lineas de los módulos que se quieren incluir en la compilación e instalación y se comenta la linea del modulo mod_signalwire ya que este modulo se utiliza solamente si se contratan servicios con la empresa SignalWire, creada por los desarrolladores FreeSWITCH. Se modifican las siguientes lineas:

#applications/mod_curl

#applications/mod_directory

#applications/mod_distributor

#applications/mod_easyroute

#applications/mod_lcr

#applications/mod_memcache

#applications/mod_nibblebill

applications/mod_signalwire

#applications/mod_translate

#applications/mod_vmd

#asr_tts/mod_flite

#codecs/mod_mp4v

#databases/mod_mariadb

#event_handlers/mod_odbc_cdr

#event_handlers/mod_snmp

#formats/mod_shout

#say/mod_say_es

#say/mod_say_es_ar

#xml_int/mod_xml_curl

para que queden:

applications/mod_curl

applications/mod_directory

applications/mod_distributor

applications/mod_easyroute

applications/mod_lcr

applications/mod_memcache

applications/mod_nibblebill

#applications/mod_signalwire

applications/mod_translate

applications/mod_vmd

asr_tts/mod_flite

codecs/mod_mp4v

databases/mod_mariadb

event_handlers/mod_odbc_cdr

event_handlers/mod_snmp

formats/mod_shout

say/mod_say_es

say/mod_say_es_ar

xml_int/mod_xml_curl

Se guardan los cambios y se continua con:

./configure -C --enable-portable-binary \

--prefix=/usr --localstatedir=/var --sysconfdir=/etc \

--with-gnu-ld --with-python=/usr/bin/python2 --with-erlang --with-openssl \

--enable-core-odbc-support --enable-zrtp \

--enable-core-pgsql-support \

--enable-static-v8 --disable-parallel-build-v8

con el comando anterior se indican las carpetas donde se instalarán respectivamente los archivos binarios, los LOG y los archivos de configuración; además se definen que módulos se van a soportar y como. Se continua con:

make

Si no aparecen errores, se continua con:

make install

Se instalan las locuciones en inglés y los audio para la música de espera (calidad CD):

make cd-sounds-install

make cd-moh-install

Las únicas locuciones en español disponibles son con acento mexicano. Son las que utilizaremos para el curso aunque no son completas. Para instalarlas tendremos que utilizar una pequeña artimaña. Primero se descargan los paquetes RPM desde los repositorios OKAY:

cd /

wget http://repo.okay.com.mx/centos/7/x86_64/release/freeswitch-sounds-es-mx-...

wget http://repo.okay.com.mx/centos/7/x86_64/release/freeswitch-sounds-es-mx-...

wget http://repo.okay.com.mx/centos/7/x86_64/release/freeswitch-sounds-es-mx-...

wget http://repo.okay.com.mx/centos/7/x86_64/release/freeswitch-sounds-es-mx-...

y se descomprimen con una utilidad pensada para los paquetes RPM:

rpm2cpio freeswitch-sounds-es-mx-maria-48000-1.0.16-1.el7.centos.noarch.rpm | cpio -ivd

rpm2cpio freeswitch-sounds-es-mx-maria-32000-1.0.16-1.el7.centos.noarch.rpm | cpio -ivd

rpm2cpio freeswitch-sounds-es-mx-maria-16000-1.0.16-1.el7.centos.noarch.rpm | cpio -ivd

rpm2cpio freeswitch-sounds-es-mx-maria-8000-1.0.16-1.el7.centos.noarch.rpm | cpio -ivd

Quedarán instaladas en la carpeta que contiene las demás locuciones audio.

Si en cualquier momento se quiere añadir un modulo a la instalación realizada, no hace falta volver a realizar la compilación e instalación desde cero sino seguir estos pasos:

cd /usr/src/freeswitch

nano modules.conf

descomentar el modulo que se quieres instalar. En este ejemplo veremos como instalar el modulo mod_callcenter utilizado para configurar las colas de espera en FS; se modifica esta linea:

#applications/mod_callcenter

para que quede:

applications/mod_callcenter

Se guardan los cambios y se ejecuta el siguiente comando:

make mod_callcenter-install

si el modulo requiere algunas dependencias, será el mismo FreeSWITCH que las instalará. Para tener la certeza que el modulo se haya instalado correctamente:

ls /usr/lib64/freeswitch/mod/mod_call*

/usr/lib/freeswitch/mod/mod_callcenter.la /usr/lib/freeswitch/mod/mod_callcenter.so

Para que se inicie con FS:

nano +144 /etc/freeswitch/autoload_configs/modules.conf.xml

se modifica esta linea (Linea 141):



para que quede:

<load module="mod_callcenter"/>

Se guardan los cambios. Ahora para que FreeSWITCH se ejecute en automático cada vez que se reinicie el servidor:

Se modifica el siguiente archivo:

nano /usr/src/freeswitch/build/freeswitch.service

Cambiando esta linea:

WorkingDirectory=/run/freeswitch

para que quede:

WorkingDirectory=/var/run/freeswitch

Se guardan lo cambios y se copia en la carpeta de los scripts de inicio:

cp /usr/src/freeswitch/build/freeswitch.service /usr/lib/systemd/system/

se copia el archivo donde se pueden añadir parámetros personalizados en la respectiva carpeta:

cp /usr/src/freeswitch/build/freeswitch.sysconfig /etc/sysconfig/freeswitch

Como el script de inicio de FreeSWITCH utiliza el usuario freeswitch, hay que crearlo:

useradd -r -d /etc/freeswitch/ freeswitch

Como la carpeta /var/run/freeswitch, indicada en el script de inicio, se borra cada vez que se reinicia el sistema, para que cada vez se cree correctamente, se crea el siguiente archivo:

nano /etc/tmpfiles.d/freeswitch.conf

y se copia la siguiente linea:

d /var/run/freeswitch 0755 freeswitch freeswitch - -

con este comando se creará la carpeta /var/run/freeswitch con los permisos 0755, usuario y grupo propietario freeswitch. Ya se puede activar el script de inicio:

systemctl enable freeswitch

Created symlink from /etc/systemd/system/multi-user.target.wants/freeswitch.service to /etc/systemd/system/freeswitch.service.

Antes de iniciar el servicio con el script de inicio, se ejecuta en primer plano para averiguar si hay errores de configuración/instalación y para que se creen todos los archivos que FreeSWITCH necesita:

freeswitch -nonat -nf

las dos opciones significan respectivamente: no utilizar la detección de NAT y trabajar en primer plano. Muy probablemente aparecerán algunas lineas de error relacionadas con SQLite:

[ERR] switch_core_sqldb.c:587 NATIVE SQL ERR [no such table: channels]

esto es porque las tablas que utiliza FreeSWITCH se crean en SQLite la primera vez que se inicia el programa. Una vez que termine el flujo de LOG, para averiguar que el modulo más importante, mod_sofia, esté funcionando correctamente:

freeswitch@sip10.voztovoice.net> sofia status

Para parar/terminar FreeSWITCH:

freeswitch@sip10.voztovoice.net> shutdown

Ahora que se ha averiguado que todo está funcionando correctamente, se cambian los permisos de las carpetas y archivos relacionados con FreeSWITCH; este paso se realiza también porque las base de datos SQLite3 creadas al iniciar FreeSWITCH con usuario root, sean accesibles al usuario freeswitch que es él con que se inicia el programa.

chown -Rf freeswitch:freeswitch /etc/freeswitch/ /usr/lib/freeswitch/ /var/log/freeswitch/ /var/run/freeswitch/ /var/lib/freeswitch/ /usr/share/freeswitch

Ahora podemos iniciar el programa utilizando el script inicio:

systemctl start freeswitch

y averiguar que esté corriendo:

ps aux | grep freeswitch

freeswi+ 126946 0.7 1.7 269156 17200 ? Ssl 11:21 0:00 /usr/bin/freeswitch -nc -nf

Acceder a la consola con el alias de comando que se ha creado en la primera parte del este módulo semanal:

fscli

Salir de la consola:

freeswitch@sip10.voztovoice.net> ...

IMPORTANTE: son tres puntos seguidos

Aunque la base de datos interna predefinida se basa en SQLite3, es posible utilizar el conector ODBC con otras base de datos para los datos internos de FS y algunos módulos. Es por eso que realizaremos una configuración inicial de MariaDB. Iniciamos el programa:

systemctl start mariadb

lo configuramos para que se ejecute en automático:

systemctl enable mariadb

Created symlink /etc/systemd/system/mysql.service â /usr/lib/systemd/system/mariadb.service.

Created symlink /etc/systemd/system/mysqld.service â /usr/lib/systemd/system/mariadb.service.

Created symlink /etc/systemd/system/multi-user.target.wants/mariadb.service â /usr/lib/systemd/system/mariadb.service.

Creamos la contraseña para el usuario root:

mysqladmin -u root password GuV3sP289nudWuAV

y lo ponemos en seguridad:

mysql_secure_installation

Se contestan las preguntas somo sigue:

Enter current password for root (enter for none): GuV3sP289nudWuAV

OK, successfully used password, moving on...

Change the root password? [Y/n] n

... skipping.

Remove anonymous users? [Y/n] y

... Success!

Disallow root login remotely? [Y/n] y

... Success!

Remove test database and access to it? [Y/n] y

- Dropping test database...

Reload privilege tables now? [Y/n] y

... Success!

Cleaning up...

All done! If you've completed all of the above steps, your MariaDB

installation should now be secure.

Thanks for using MariaDB!

Configuramos la zona horaria de MariaDB:

mysql_tzinfo_to_sql /usr/share/zoneinfo | mysql -u root -pGuV3sP289nudWuAV mysql

Warning: Unable to load '/usr/share/zoneinfo/leapseconds' as time zone. Skipping it.

Warning: Unable to load '/usr/share/zoneinfo/tzdata.zi' as time zone. Skipping it.

nano /etc/my.cnf.d/mariadb-server.cnf

Bajo la etiqueta [mysqld] añadimos (PERSONALIZAR según su País):

default-time-zone = America/Bogota

Para asegurarnos que todo esté funcionando correctamente, reiniciamos el servidor:

reboot

después de unos segundos volvemos a acceder y miramos si podemos conectarnos a la consola de FreeSWITCH:

fscli

Si todo está bien, miramos el estado del programa y la versión instalada:

freeswitch@sip10.voztovoice.net> status

luego salimos de la consola:

freeswitch@sip10.voztovoice.net> /quit

/quit es otro comando que se puede utilizar para salir de la consola de FS. Para averiguar que esté escuchando en los puertos 5060 y 5080 que corresponden a los dos perfiles SIP predefinidos, de los que hablaremos más adelante:

netstat -naep | grep 5060

tcp 0 0 216.128.130.80:5060 0.0.0.0:* LISTEN 985 24410 1522/freeswitch

tcp6 0 0 2001:19f0:6401:21f:5060 :::* LISTEN 985 24406 1522/freeswitch

udp 0 0 216.128.130.80:5060 0.0.0.0:* 985 24409 1522/freeswitch

udp6 0 0 2001:19f0:6401:21f:5060 :::* 985 24405 1522/freeswitch

y:

netstat -naep | grep 5080

tcp 0 0 216.128.130.80:5080 0.0.0.0:* LISTEN 985 24416 1522/freeswitch

tcp6 0 0 2001:19f0:6401:21f:5080 :::* LISTEN 985 24402 1522/freeswitch

udp 0 0 216.128.130.80:5080 0.0.0.0:* 985 24415 1522/freeswitch

udp6 0 0 2001:19f0:6401:21f:5080 :::* 985 24401 1522/freeswitch

Fin
Vota el Articulo:

Promedio: 5 (1 voto)

Evalúa la calidad del articulo

May 08, 2023

Andrea Sannucci Curso FreeSWITCH 1.10.8 – Tercera Edición
Ya ha llegado la hora de dictar la tercera edición del curso dedicado al SWITCH/PBX FreeSWITCH. FreeSwitch representa la única alternativa valida Open Source a Asterisk PBX. De hecho el principal desarrollador de FreeSWITCH, Anthony Minessale, por años ha contribuido al código de Asterisk PBX hasta que no decidió empezar a escribir el código de FS; de hecho, en la documentación oficial de FreeSWITCH, hay una pagina dedicada a las diferencias entre Asterisk PBX y FreeSWITCH (Rosetta Stone) para que la curva de aprendizaje fuera más corta.

Este es actualmente el único curso totalmente en español dedicado a FreeSWITCH presente en el mercado.

El curso tiene una duración de 4 semanas al terminar el cual, deberían aprender:

Preparación del Servidor Linux (VPS remoto) con Rocky Linux 8

Instalación de FreeSWITCH 1.10.8 o superior desde las fuentes

Configuración del cortafuegos

Arquitectura de FreeSWITCH (Corazón y módulos)

Que son y como se configuran los Perfiles SIP

Negociación de Codec básica y avanzada

Solucionar problemas de NAT

Las expresiones regulares utilizadas en el Dialplan (PCRE - Perl Compatible Regular Expressions)

Endpoint/Extensiones, Dialplan y Contextos

Dialplan básico y avanzado (llamadas entrantes y salientes)

Concepto y uso de las Phrase Macros

Como utilizar el Buzón de voz

Como configurar un IVR

Llamadas seguras (TLS, SRTP, ZRTP)

Conferencias audio y Videoconferencias

WebRTC SIP y VERTO

Configuración Multi Dominio, Multi Utente

Respaldo de llamadas

Monitoreo y seguridad del sistema

Fehca de inicio del curso: 5 Junio 2023

Duración: 4 semanas:

Donde: El curso es a distancia y se dicta en el Campus de VozToVoice.

Costo: El valor del curso es de 150 dólares, 136 Euros o 680mil Pesos Colombianos (COP).

Descuentos:

15% pronto pago/inscripción temprana; pagos realizados antes del 30 de Octubre 2022

20% para grupos de 3 o más personas de la misma empresa

25% para inscritos que ya han participado en un curso organizado por VozToVoice

Los descuentos no son acumulables.

En anexo encuentran el temario detallado del curso y algunas informaciones importantes. El formulario de inscripción. Los espero.
Adjunto Tamaño

programa_curso_freeswitch.pdf 79.73 KB
Vota el Articulo:

Promedio: 5 (1 voto)

Evalúa la calidad del articulo

Adjunto	Tamaño
programa_curso_freeswitch.pdf	79.73 KB

April 10, 2023

Andrea Sannucci Curso Kamailio TLS/WebRTC y Balanceo – Primera Edición
Con este nuevo curso dedicado al proxy SIP Kamailio, vamos a añadir/ampliar dos temas:

El cifrado de la señalización SIP y del flujo media con una configuración que permita a todos los dispositivos comunicarse entre ellos usen o no el cifrado de la señalización SIP y del flujo media; esto quiere decir que será posible realizar llamadas entre dispositivos que no utilizan el cifrado de la señalización SIP y del flujo media y dispositivos que si la utilizan. Además si un usuario está registrado desde distintos dispositivos, unos con el cifrado y otros sin cifrado la llamada llegará a cada dispositivos según el tipo de configuración que tenga. La comunicación Entre Kamailio y Asterisk PBX será sobre UDP

La implementación de WebRTC de forma que sea posible realizar llamadas entres WebRTC y SIP y viceversa. De esta forma, por ejemplo, será posible que Kamailio se comunique con Asterisk PBX sobre UDP mientras que los usuarios se puedan llamar entre ellos vía WebRTC o WebRTC ↔ SIP

Además de estas dos novedades, se han ampliado todos los temas presentes en los cursos anteriores y se ha mejorado el archivo de configuración de Kamailio inicial para volverlo más fácil de modificar y gestionar utilizando las sentencias que permiten activar/desactivar bloque enteros de configuración.

Como va a ser la primera edición de la nueva versión del curso, hemos añadido, para los antiguos estudiantes, una nueva forma de inscripción que permite acceder solamente a los contenidos sin servidor remoto y numero geográfico y troncal SIP; de esta forma será posible participar a un precio más contenido.

En detalle, estos son los distintos tipos de inscripción disponibles con relativos precios:

antiguo estudiantes con solo acceso a los materiales: 120 dólares

antiguos estudiantes con curso completo (25% de descuento): 150 dólares

nuevos estudiantes con descuento de pronto pago (15%) 170 dólares

nuevos estudiantes sin descuento de pronto pago: 200 dólares

empresas que inscriban tres o más personas (descuento de 20%): 160 dólares por persona

Ahora algunos datos relativos al curso:

Fecha de inicio: 8 de mayo 2023

Duración: 4 semanas

Cupos disponibles: Curso completo 15, Acceso materiales 10

Videoconferencias en vivo: cinco:

9 Mayo 2pm hora de Colombia: presentación del curso y del protocolo SIP

16 Mayo 2 pm hora de Colombia: Kamailio como una PBX

20 Mayo 2pm hora de Colombia: Kamailio y WebRTC

23 Mayo 2 pm hora de Colombia: Kamailio para balanceo de carga

30 Mayo 2 pm hora de Colombia: La consola Web de Kamailio Siremis

23 guías textuales

7 Video Guías

En el anexo presente en esta entrada el temario y todos los datos relacionados con el curso.

Sigan este enlace para realizar la inscripción. Los espero.
Adjunto Tamaño

programa_curso_kamailio.pdf 88.15 KB
Vota el Articulo:

Promedio: 5 (1 voto)

Evalúa la calidad del articulo

Adjunto	Tamaño
programa_curso_kamailio.pdf	88.15 KB

March 08, 2023

Andrea Sannucci La Ong Sea-Watch usa Nexcloud
Si todavía tienen dudas acerca de como se toman en serio la privacidad los desarrolladores de NextCloud, pueden leer el siguiente articulo donde se habla acerca de la experiencia de Sea-Watch con Nextcloud.

Sea-Watch es una organización no gubernamental que trabaja con sus propios barcos en el Mediterráneo rescatando los inmigrantes que intentan llegar a las costas Europeas y/o vigilando que no haya violaciones de los derechos humanos.

Como pueden imaginar, con la cantidad de datos sensibles que manejan, no pueden confiar en los servicios brindados por las Big Tech pues optaron por NextCloud

¿Que opinan?
- Sea-Watch
- Nextcloud
Vota el Articulo:

Promedio: 5 (1 voto)

Evalúa la calidad del articulo

March 06, 2023

Andrea Sannucci Kamailio: captura TLS con el modulo SIPTRACE y SNGREP
Retomando el articulo que he escrito hace un mes, les voy a mostrar la configuración que acabo de probar y me funcionó. Estoy utilizando un servidor VULTR con IP publica y IP privada. Empezando con Kamailio:

nano /etc/kamailio/kamailio.cfg

al inicio del archivo he definido una sentencia de forma que todo lo relacionado con el modulo SIPTRACE se activará solamente si esta sentencia existe:

#!define WITH_SIPTRACE

luego en el bloque módulos he configurado:

#!ifdef WITH_SIPTRACE

loadmodule "siptrace.so"

#!endif

para cargar el modulo y:

#!ifdef WITH_SIPTRACE

# ----- siptrace module -----

modparam("siptrace", "trace_mode", 4)

modparam("siptrace", "trace_to_database", 0)

modparam("siptrace", "trace_on", 1)

modparam("siptrace", "duplicate_uri", "sip:10.39.96.15:9060")

modparam("siptrace", "hep_mode_on", 1)

modparam("siptrace", "hep_version", 3)

modparam("siptrace", "hep_capture_id", 1234)

#!endif

para configurar los parámetros del modulo. 10.39.96.15 es la IP Privada de mi servidor. En el bloque de enrutamiento he añadido dos bloques; uno después de esta linea:

request_route {

que es:

#!ifdef WITH_SIPTRACE

sip_trace_mode("t");

#!endif

y uno al final del archivo:

#!ifdef WITH_SIPTRACE

onsend_route {

if (is_method("ACK")) {

sip_trace();

}

}

#!endif

he guardado los cambios y reiniciado kamailio:

systemctl restart kamailio

luego he ejecutado SNGREP con los siguientes parámetros:

sngrep -l 4000 -R -d enp6s0 -L udp:10.39.96.15:9060

El resultado de un REGISTER y un INVITE respectivamente:

Me comentan como les fue
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo
Andrea Sannucci La Nsima caída de TWITTER
El pasado miércoles, primero de marzo 2023, Twitter ha padecido una nueva caída de los servicios a nivel mundial; esto ha pasado a las 10:20 hora de Inglaterra y, a pesar que los servicios se han restablecidos por completo después de una hora, solamente al finalizar la tarde todos los usuarios han podido volver a acceder regularmente.

Seguramente, los despidos en los departamentos críticos hechos por Elon Musk tienen que ver con esta situación; situación laboral menos apetecible, caída de la red interna de comunicación basada en Slack, falta de seguridad acerca del futuro para los empleados, ingenieros trasladados de Tesla a Twitter para tapar los huecos.

En el transcurso de este año hubo 5 caídas del sistema mientras en todo el 2022 hubo 10. En dos meses se alcanzaron las caídas de seis meses del año anterior.

¿Qué nos dice todo esto?

Que si nuestra empresa “depende” de servicios de terceros, debemos empezar a pensar en soluciones alternativas que nos permitan seguir trabajando pase lo que pase. Desde mi punto de vista esto quiere decir:

Utilizar Mastodon en lugar de Twitter o por lo menos tenerlo a la mano en el caso se necesite pasar de uno a otro

crear su propio servidor de correo electrónico

almacenar sus datos en sus propios servidores con Nextcloud

utilizar su proprio sistema de mensajería instantánea por lo menos dentro de su empresa: Ejabberd o, mejor aún, Element

En lo general evitar de depender de servicios de terceros; Esto también por temas de seguridad y privacidad.
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

March 01, 2023

Andrea Sannucci Libro: The Joy of Cryptography
Este libro, distribuido gratuitamente, es completamente dedicado a la criptografía. La palabra Joy no es traducible al español ya que su significado es más que alegría… En italiano tenemos una traducción para esa palabra y es gioia… El alemán también tiene su correspondiente palabra que es freude, de ahí el Ode an die Freude de Beethoven (Himno a la ¿Alegría?)

Como se pueda amar la criptografía hasta probar “gioia” en estudiarla, aplicarla, para mi es algo totalmente desconocido e inimaginable.

Ya que estoy me gustaría compartir una novela sobre el tema que he leído el año pasado y que me ha encantado: El Don del autor chino Mai Jia; si la leen me cuentan

Volviendo al libro se compone de 16 capítulos de 0 a 15. El capitulo 0 es una introducción a la criptografía, los capítulos de 1 a 12 están dedicados a la criptografía simétrica mientras los últimos tres a la criptografía asimétrica. A seguir el Indice:

0 Review of Concepts & Notation 1

0.1 Logs & Exponents . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1

0.2 Modular Arithmetic . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1

0.3 Strings . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4

0.4 Functions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5

0.5 Probability . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5

0.6 Notation in Pseudocode . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7

0.7 Asymptotics (Big-O) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8

1 One-Time Pad & Kerckhoffs’ Principle 10

1.1 What Is [Not] Cryptography? . . . . . . . . . . . . . . . . . . . . . . . . . 10

1.2 Specifcs of One-Time Pad . . . . . . . . . . . . . . . . . . . . . . . . . . . 13

2 The Basics of Provable Security 21

2.1 How to Write a Security Defnition . . . . . . . . . . . . . . . . . . . . . . 21

2.2 Formalisms for Security Defnitions . . . . . . . . . . . . . . . . . . . . . . 25

2.3 How to Demonstrate Insecurity with Attacks . . . . . . . . . . . . . . . . . 30

2.4 How to Prove Security with The Hybrid Technique . . . . . . . . . . . . . 33

2.5 How to Compare/Contrast Security Defnitions . . . . . . . . . . . . . . . 38

3 Secret Sharing 47

3.1 Defnitions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 47

3.2 A Simple 2-out-of-2 Scheme . . . . . . . . . . . . . . . . . . . . . . . . . . 51

3.3 Polynomial Interpolation . . . . . . . . . . . . . . . . . . . . . . . . . . . . 54

3.4 Shamir Secret Sharing . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 58

3.5 Visual Secret Sharing . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 62

4 Basing Cryptography on Intractable Computations 67

4.1 What Qualifes as a “Computationally Infeasible” Attack? . . . . . . . . . . 67

4.2 What Qualifes as a “Negligible” Success Probability? . . . . . . . . . . . . 70

4.3 Indistinguishability . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 72

4.4 Birthday Probabilities & Sampling With/out Replacement . . . . . . . . . . 76

5 Pseudorandom Generators 85

5.1 Defnitions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 85

5.2 Pseudorandom Generators in Practice . . . . . . . . . . . . . . . . . . . . . 87

5.3 Application: Shorter Keys in One-Time-Secret Encryption . . . . . . . . . 90

5.4 Extending the Stretch of a PRG . . . . . . . . . . . . . . . . . . . . . . . . . 92

5.5 Applications: Stream Cipher & Symmetric Ratchet . . . . . . . . . . . . . . 98

6 Pseudorandom Functions & Block Ciphers 106

6.1 Defnition . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 107

6.2 PRFs vs PRGs; Variable-Hybrid Proofs . . . . . . . . . . . . . . . . . . . . . 110

6.3 Block Ciphers (Pseudorandom Permutations) . . . . . . . . . . . . . . . . . 120

6.4 Relating PRFs and Block Ciphers . . . . . . . . . . . . . . . . . . . . . . . . 121

6.5 PRFs and Block Ciphers in Practice . . . . . . . . . . . . . . . . . . . . . . 124

6.6 Strong Pseudorandom Permutations . . . . . . . . . . . . . . . . . . . . . . 125

7 Security Against Chosen Plaintext Attacks 130

7.1 Limits of Deterministic Encryption . . . . . . . . . . . . . . . . . . . . . . 130

7.2 Pseudorandom Ciphertexts . . . . . . . . . . . . . . . . . . . . . . . . . . . 133

7.3 CPA-Secure Encryption Based On PRFs . . . . . . . . . . . . . . . . . . . . 135

8 Block Cipher Modes of Operation 144

8.1 A Tour of Common Modes . . . . . . . . . . . . . . . . . . . . . . . . . . . 144

8.2 CPA Security and Variable-Length Plaintexts . . . . . . . . . . . . . . . . . 147

8.3 Security of OFB Mode . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 149

8.4 Padding & Ciphertext Stealing . . . . . . . . . . . . . . . . . . . . . . . . . 152

9 Chosen Ciphertext Attacks 162

9.1 Padding Oracle Attacks . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 162

9.2 What Went Wrong? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 165

9.3 Defning CCA Security . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 168

9.4 A Simple CCA-Secure Scheme . . . . . . . . . . . . . . . . . . . . . . . . . 171

10 Message Authentication Codes 182

10.1 Defnition . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 182

10.2 A PRF is a MAC . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 186

10.3 MACs for Long Messages . . . . . . . . . . . . . . . . . . . . . . . . . . . . 191

10.4 Encrypt-Then-MAC . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 194

11 Hash Functions 201

11.1 Security Properties for Hash Functions . . . . . . . . . . . . . . . . . . . . 201

11.2 Merkle-Damgård Construction . . . . . . . . . . . . . . . . . . . . . . . . . 205

11.3 Hash Functions vs. MACs: Length-Extension Attacks . . . . . . . . . . . . 208

12 Authenticated Encryption & AEAD 214

12.1 Defnitions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 215

12.2 Achieving AE/AEAD . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 217

12.3 Carter-Wegman MACs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 218

12.4 Galois Counter Mode for AEAD . . . . . . . . . . . . . . . . . . . . . . . . 225

13 RSA & Digital Signatures 227

13.1 “Dividing” Mod n . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 227

13.2 The RSA Function . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 232

13.3 Digital Signatures . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 237

13.4 Chinese Remainder Theorem . . . . . . . . . . . . . . . . . . . . . . . . . . 240

13.5 The Hardness of Factoring N . . . . . . . . . . . . . . . . . . . . . . . . . . 244

14 Diffe-Hellman Key Agreement 254

14.1 Cyclic Groups . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 254

14.2 Diffe-Hellman Key Agreement . . . . . . . . . . . . . . . . . . . . . . . . . 255

14.3 Decisional Diffe-Hellman Problem . . . . . . . . . . . . . . . . . . . . . . 256

15 Public-Key Encryption 260

15.1 Security Defnitions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 260

15.2 One-Time Security Implies Many-Time Security . . . . . . . . . . . . . . . 261

15.3 ElGamal Encryption . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 264

15.4 Hybrid Encryption . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 267

Index of Security Defnitions 271

Encuentran una copia del libro en anexo a esta entrada.

Me cuentan

Adjunto Tamaño

the_joy_of_cryptography.pdf 4.11 MB
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

Adjunto	Tamaño
the_joy_of_cryptography.pdf	4.11 MB

February 16, 2023

Andrea Sannucci Kamailio y el modulo DB_CLUSTER
Tengo que ser sincero; desconocía por completo la existencia de este modulo y la verdad enterarme de su existencia ha sido un descubrimiento muy interesante. Este modulo permite crear una serie de conexiones a base de datos y luego aprovecharlas en los distintos módulos que utilizan o pueden utilizar una base de datos para su configuración/funcionamiento.

Vamos por pasos. Para que el modulo funcione correctamente, depende de un conector database, es decir de una modulo que permite el utilizo de una base de datos; normalmente, en Kamailio, el modulo utilizado es DB_MYSQL, aunque no es el único disponible.

Luego se puede pasar a la configuración del modulo donde se crean, una por linea, las conexiones a las base de datos. Un ejemplo de la configuración del modulo, podría ser:

loadmodule "db_mysql"

loadmodule "db_cluster"

modparam("db_cluster", "connection", "c1=>mysql://kamailio:kamailiorw@192.168.1.2/kamailio")

modparam("db_cluster", "connection", "c2=>mysql://kamailio:kamailiorw@192.168.1.3/kamailio")

modparam("db_cluster", "cluster", "cl1=>c1=9r9p;c2=8r8p")

modparam("db_cluster", "inactive_interval", 180)

la explicación linea por linea:

se carga un modulo base de datos de que depende el modulo DB_CLUSTER

se carga el modulo DB_CLUSTER

se crean la conexiones (una por linea) siguiendo la sintaxis:

motor de base de datos

usuario

contraseña

IP/dominio donde se encuentra la base de datos

nombre de la base de datos

se crea el cluster indicando el nombre (cl1) seguido por las conexiones que va a utilizar el cluster (c1 y c2). A cada conexión hay que añadir 4 valores; los primeros dos relacionados con las operaciones de lectura y los segundos dos con las operaciones de escritura. El primer numero indica el nivel de prioridad que va de 0 a 9; 0 significa que la conexión no se utilizará, 9 es la prioridad más alta. La letra que sigue indica como se utilizará el cluster para las operaciones de lectura:

s significa operación serial se utiliza la primera conexión y si falla la siguiente

r round robin; se utilizan las conexiones disponibles de manera aleatoria

p se utiliza solamente para operaciones de escritura y significa que se realizará la operación paralelamente en todas las base de datos

En nuestro ejemplo la conexión c1 se utilizará round robin con una prioridad 9 para lectura y opción paralela con prioridad 9 para escritura

La conexión c2 se utilizará round robin con una prioridad 8 para lectura y opción paralela con prioridad 8 para escritura

Luego, para los módulos que se pueden apoyar en una base de datos para su funcionamiento/configuración se indica el nombre del cluster como conexión a la base de datos; dos ejemplos:

modparam("acc", "db_url", "cluster://cl1")

modparam("usrloc", "db_url", "cluster://cl1")

donde cl1 es el nombre de la conexión configurada en el parámetro cluster del modulo DB_CLUSTER

Como la escritura se ha configurado de manera paralela, los datos presente en las distintas tablas de las dos base de datos deberían ser idénticos. No he hecho todavía la prueba pero les estaré comentando.
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

February 03, 2023

Andrea Sannucci Capturar señalización SIP Cifrada con SNGREP
SNGREP es seguramente uno de mis programas preferidos para la captura de la señalización SIP y para tener traza del flujo media. El programa es desarrollado por la empresa Basca/Española Irontec.

El problema es que no es posible de manera predefinida capturar la señalización SIP cifrada (tls, wss) que es propiamente lo que se necesita más en estos últimos tiempos ya que todo es WebRTC y SIP TLS.

Entre las distintas opciones de SNGREP hay una que permite capturar paquetes encapsulados con protocolo HEP, el protocolo utilizado para enviar normalmente el trafico a un servidor Homer SIP Capture Server. Kamailio y OpenSIPs tienen módulos dedicados para este tipo de tarea y nada más realizar la configuración en ellos y luego iniciar SNGREP con:

sngrep -L udp:1.2.3.4:5065

L es la opción que permite a SNGREP ponerse a la escucha para paquetes de tipo HEP

udp protocolo de trasporte de los paquetes recibidos

1.2.3.4 IP donde sngrep se pondrá a la escucha

5065 puerto donde sngrep se pondrá a la escucha

En este articulo encuentran toda la configuración para Kamailio. Me comentan si les funcionó
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

January 31, 2023

Andrea Sannucci Curso A2Billing integrado con OpenSIPs
Uno podría pensar que A2Billing, un sistema de facturación de llamadas basado en Asterisk, es algo obsoleto, que no se puede utilizar y no funciona correctamente. La verdad es que yo también pensaba lo mismo pero luego de una pequeña investigación me di cuenta que:

a pesar de pequeñas limitaciones, sigue funcionando correctamente también con la versión de PHP 7.2 utilizada por Almalinux 8 y Rocky Linux 8; yo lo uso con PHP 7.3 sin problemas.

Almalinux o Rocky Linux 8 tienen soporte hasta el primero de marzo de 2029

Asterisk 18, la versión utilizada junto al canal chan_sip funciona sin problemas y el canal chan_sip se puede utilizar hasta la versión 20 de Asterisk que tiene soporte hasta el diecinueve de octubre del 2027

OpenSIPs 3.1 funciona perfectamente con Almalinux 8 y se integra sin problemas con A2Billing y se puede actualizar a las versiones más recientes con poco esfuerzo; de hecho al finalizar el curso se indicará como actualizar la versión 3.1 a la versión 3.2

Actualmente no hay un sistemas de facturación Open Source que estén a la altura o que se puedan articular como A2Billing con OpenSIPs. Los programas que he tomado en cuenta:

ASTPP, programa de facturación de llamadas basado en FreeSWITCH tiene muchas limitaciones, se basa en distribuciones Linux casi obsoletas y está lleno de errores; además de eso los desarrolladores van quitando siempre más opciones y menú para volverlos de pago

IvozProvider es seguramente una aplicación solida, considerando la empresa que hay detrás, pero si se quiere empezar a escalar horizontalmente distribuyendo los servicios en distintos servidores, no hay casi documentación al respecto

SPCE Community Edition siempre me ha parecido difícil de instalar, configurar y gestionar. Aunque hay bastante documentación no me parece amigable. Como es el caso de IvozProvider no se explica como poder escalar horizontalmente.

a MagnusBilling tengo que darle otra oportunidad pero volvemos al tema de escalar horizontalmente y utiliza distribuciones Linux que están cerca de su End Of Life (debian 11 2026 y CentOS 7 (2024)

Por eso he decidido dictar este curso a distancia dedicado a la integración de OpenSIPs con A2Billing. Al terminar el curso aprenderán:

Preparación del Servidor Linux con Almalinux 8 64bit

Instalación Asterisk 18.16.0 o superior

Instalación A2Billing 2.3.0

Configuración base A2Billing

Configuración avanzada A2Billing

Instalación OpenSIPs 3.1

OpenSIPs – balanceo de carga

OpenSIPs como Registrar

Llamadas entre usuarios desde OpenSIPs

Presencia y mensajes instantáneos entre usuarios desde OpenSIPs

Autenticación INVITE con usuario y contraseña y/o sobre IP en OpenSIPs

Gestión de DIDs integrada entre A2Billing y OpenSIPs

Sistema de tarjetas telefónicas

Monitoreo y seguridad del servidor

¿Cómo funciona?

El curso se divide en módulos. Cada semana se presentará un modulo que contiene una parte teórica, una practica y una videoconferencia. El modulo se compone de partes textuales y foros. Cada estudiante podrá acceder al campus las 24 horas y ir desarrollando las tareas programadas. Las videoconferencias tendrán lugar cada lunes a las 2pm hora de Colombia. Para aquellos que no podrán participar, el día siguiente estará disponible la grabación en la pagina principal del curso. Las videoconferencias tendrán como temas:

1. Presentación del protocolo SIP

2. Pagina de administración de A2Billing

3. La configuración de OpenSIPs

6. La calidad de las llamadas SIP

¿Donde se dicta el curso?

El curso es a distancia y se dicta en el Campus de VozToVoice.

Carga horaria aproximada: 10 horas/semana

¿Cuanto cuesta?

El valor del curso es de 160 dólares o 145 Euros o 725mil pesos Colombianos

Descuentos:

• 15% pronto pago/inscripción temprana; pagos realizados antes del 13 de Febrero 2023

• 20% para grupos de 3 o más personas de la misma empresa

• 25% para inscritos que ya han participado en un curso organizado por VozToVoice

Formas de pago:

Paypal

Tarjeta de Crédito/Débito

Transferencia bancaria Colombia

Bonifico Zona Euro

El precio incluye:

• Un VPS (servidor virtual privado) por cada inscrito

• Una cuenta SIP para realizar llamadas

• Una copia del libro, de VozToVoice, dedicado a la integración de A2Billing con OpenSIPs (aunque no totalmente actualizado)

Al terminar el curso se entregará un certificado de asistencia de 40 horas, respaldado por la empresa Mesa Proyectos SAS.

Para inscripciones
Adjunto Tamaño

programa_curso_a2bsip.pdf 73.71 KB
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

Adjunto	Tamaño
programa_curso_a2bsip.pdf	73.71 KB

December 16, 2022

Andrea Sannucci Gmail, HotMail y afines: ¡Cuantos correos se me pierden?
¡Muchos!

Justamente hoy temprano estaba mirando mi cliente de correo (Thunderbird) y en especifico algunos correos que rebotaron; la dirección de ambos? Gmail. Prácticamente Gmail los rechaza solamente porque tienen un anexo. Ese anexo es un archivo en formato CSV con el CDR de las llamadas del día anterior; esas dos personas se quedarán sin su CDR porque Gmail ha decidido que mis anexos son peligrosos, SPAM, código sospechoso…

Otra cosa que me tocaba hacer todo el tiempo cuando tenía una cuenta Gmail: revisar la carpeta de SPAM para ver si Gmail ¿Por error? se había “comido” algún correo legitimo. ¡Una desgracia!

En más de una ocasión no he hablado bien de esas BigTech y este es otro motivo para que dejen de utilizar sus servicios y empiecen a mirar hacia servicios alternativos. Como ya se comentan en muchos ambientes, lo gratuito sale caro económicamente y en términos de privacidad.

Otra cosa que me ha pasado últimamente es que Hotmail/Microsoft ha decidido de un día para otro que uno de mis servidores de correos era fuente de SPAM y me lo ha bloqueado. Afortunadamente los chic@s del soporte de Linode se han encargado de resolver el problema y en unos días lo han resuelto. Claramente Microsoft no ha dado ningún tipo de explicación del porque mi servidor había sido bloqueado.

Algunos servicios alternativos y que respetan su privacidad:

Proton Mail – versión gratuita y de pago

MailBox – desde 1 Euro/mes

Tu propio servidor de correo – desde 5 dólares/mes (o menos).

Estoy escribiendo un manual para que puedan montar su propio servidor de privacidad que va a permitirles:

Utilizar una Red VPN

Tener su propio servidor de correo electrónico

Tener datos en la nube y mucho más con Nextcloud

Tener su propio servidor de chat, videollamadas y videoconferencias con Matrix

Seguramente lo tendré listo al iniciar el próximo año. Es un proyecto completamente libre y todo aquellos que quieran pueden participar para mejorarlo.
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

December 10, 2022

Andrea Sannucci Pagina en Blanco actualizando NextCloud a la versión 25.0.2
Hoy me encontré con un problema bastante serio y es que cuando me fui a actualizar NextCloud desde la versión 24.0.8.2 a la versión 25.0.2, después que el sistema realizara la copia de backup y otras operaciones, me apareció una pagina completamente blanca y no podía seguir con la actualización y el sistema no estaba funcionando. Revisando los LOG me di cuenta que el problema era este:

[php7:error] [pid 29825] [client 181.235.107.65:61552] PHP Fatal error: Declaration of OCA\\Talk\\Share\\RoomShareProvider::getSharesInFolder($userId, OCP\\Files\\Folder $node, $reshares): array must be compatible with OCP\\Share\\IShareProvider::getSharesInFolder($userId, OCP\\Files\\Folder $node, $reshares, $shallow = true) in /var/www/nextcloud/apps/spreed/lib/Share/RoomShareProvider.php on line 520

la aplicación spreed es también conocida como Talk y es la que permite chat y videoconferencias para pequeños grupos de usuarios (máximo 4). La verdad yo casi no la uso pero no sabía como se deshabilitaba para poder seguir con la actualización. Buscando en la red me encontré con una pagina donde se explicaba como realizar operaciones sobre las aplicaciones directamente desde la linea de comando de Nextcloud pues lo que hice primero fue ver la lista de aplicaciones:

sudo -u apache php /var/www/nextcloud/occ app:list

occ es el programa que nos permite realizar este tipo de operaciones. Tienen que cambiar /var/www/nextcloud con la carpeta donde se encuentra instalado su nextcloud. Luego para deshabilitar la aplicación:

sudo -u apache php /var/www/nextcloud/occ app:disable spreed

recargando la pagina ya pude seguir con la actualización. Al finalizar me pidió que actualizara los indices de las tablas de la base de datos:

sudo -u apache php /var/www/nextcloud/occ db:add-missing-indices

Tengan en cuenta que para mejorar las prestaciones de esta versión deberían actualizar php a la versión 8.

Eso es todo
- Nextcloud
- Talk
Vota el Articulo:

Promedio: 5 (1 voto)

Evalúa la calidad del articulo

December 05, 2022

Andrea Sannucci VideoCurso FusionPBX – Interfaz grafica para FreeSWITCH y mucho más
FusionPBX es una interfaz grafica (GUI) para Freeswitch pero es también mucho más. A través de FusionPBX es posible añadir funcionalidades y configuraciones de una forma más cómoda y más fácil de gestionar. Viene con toda una serie de configuraciones predefinidas que permiten crear de manera rápida y sencilla conferencias audio/video, colas de espera con relativos agentes, llamadas automáticas programables, desvío, servicio sígueme.

La gran fortaleza de esta solución es que se instala en menos de 15 minutos utilizando uno script creado por los desarrolladores. La distribución Linux aconsejada es Debian 11 y es la que utilizaremos en este VideoCurso.

¿Qué necesitan para participar?

Una conexión de banda ancha

conocimientos básicos de FreeSWITCH (no indispensable)

3 horas disponibles el 17 de diciembre de 9 am a 12 pm hora de Colombia :)

El softphone Grandstream Wave para celular si quieren realizar pruebas a lo largo de la videoconferencia

¿Qué aprenderán?

Preparación del servidor

Instalación de FusionPBX

Arquitectura de FusionPBX, dominios, menú, usuarios y grupos

Crear extensiones

Aprovisionamiento de las extensiones y Softphone GS Wave

Configuración de los Gateway para las llamadas salientes

Configuración de las reglas para las llamadas salientes

Configuración de un Ring Group

Configuración de las llamadas entrantes y desvío a el Ring Group creado

Configuración de las conferencias audio y videoconferencias

Configuración de los agentes y las colas de espera

Configuración del desvío de llamadas y aplicación Sígueme

Creación de un IVR – Contestadora automática

Configuración del cifrado de la señalización SIP y del flujo media

Actualizar y monitorear el sistema

El costo del curso es de 35 dólares y si están interesados deben rellenar el siguiente formulario de inscripción.

En anexo a esta entrada encuentran el temario y más informaciones.

Los espero.
Adjunto Tamaño

programa_curso_fusionpbx.pdf 79.24 KB

Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

Adjunto	Tamaño
programa_curso_fusionpbx.pdf	79.24 KB

November 30, 2022

Andrea Sannucci Nextcloud Recognize Aplicación
En Nextcloud, instalando la aplicación Photos permite guardar todas las fotos en la plataforma y, configurado oportunamente, subir de manera automática las fotos desde los dispositivos mobiles y/o tabletas; algo parecido a lo que hacemos con iCloud y Google Drive.

Una vez que tengamos nuestras fotos guardadas en Nextcloud, podemos instalar otra aplicación, Recognize, que se ocupara de organizarla utilizando la inteligencia artificial, en específicos componente desarrollados por Google pero disponibles bajo licencia Apache. Esta aplicación permite organizar las fotos en categorias ya que es capaz de:

identificar caras y fotos de grupo por las caras

identificar animales, paisajes, comida, vehículos, edificios y otros objetos

identificar señales y monumentos importantes

identificar géneros musicales

El proyecto se encuentra en esta pagina.

Pueden descargar y activar la aplicación directamente desde la pagina de administración de Nextcloud:

y luego acceder a la pagina de configuración de la app

Es todo
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

November 25, 2022

Andrea Sannucci Matrix, Synapse server: Comunicaciones unificadas en tu propio servidor
La verdad conocía el proyecto Matrix desde hace rato y siempre me había parecido algo muy pero muy interesante y potente. En los últimos tiempos el proyecto ha mejorado mucho, los clientes están disponibles para cualquier plataforma y la instalación del servidor se ha vuelto bastante sencilla. Es por eso que he decidido incluirlo en mi “proyecto” de servidor de privacidad.

He realizado la instalación y configuración en un servidor de 5 dólares con la distribución Linux Fedora 37 para aprovechar la presencia del servidor en los repositorios en lugar de proceder a la instalación desde las fuentes. Una vez iniciado y actualizado el servidor, se instala el paquete:

dnf install matrix-synapse -y

luego para crear los distintos archivos de configuración se ejecuta:

/usr/bin/synapse_homeserver --generate-config -H privacidad.xyz -c /etc/synapse/homeserver.yaml --report-stats=yes

privacidad.xyz es el nombre de dominio asociado al servidor

/etc/synapse/homeserver.yaml es el nombre y carpeta donde se creará el archivo de configuración

--report-stats=yes si se quieren enviar o no las estadísticas de uso a los desarrolladores

el paso a seguir es modificar el archivo de configuración porque algunas configuraciones predefinidas no se adaptan perfectamente al servidor en uso:

nano /etc/synapse/homeserver.yaml

se borra el contenido del archivo y se copia:

server_name: "privacidad.xyz"

pid_file: /run/synapse/homeserver.pid

listeners:

- port: 8448

tls: true

type: http

x_forwarded: true

resources:

- names: [client, federation]

compress: false

tls_certificate_path: "/etc/synapse/fullchain.pem"

tls_private_key_path: "/etc/synapse/privkey.pem"

federation_client_minimum_tls_version: 1.2

turn_uris: [turn:turn.privacidad.xyz]

turn_shared_secret: "92a77cbcc2d55841f8b3850ff56bc3f1"

turn_user_lifetime: 1h

turn_allow_guests: false

database:

name: sqlite3

args:

database: /etc/synapse/homeserver.db

log_config: "/etc/synapse/privacidad.xyz.log.config"

media_store_path: /home/media_store

registration_shared_secret: "^mDfjZKHp-xM_T8_oVe2@3.vLcxu4=7S6fFPZ18m3eRN:9^@0q"

report_stats: true

macaroon_secret_key: "c7=+Tqo_#4#uPkor^K6oyc0cfVTiLE,kzz_RzTp=+d:5r4a84V"

form_secret: "w,~y^;Zv.AZ~I^VZN.&YBAE@wqJVka*4jTV=SamG9IMZS50QK="

signing_key_path: "/etc/synapse/privacidad.xyz.signing.key"

trusted_key_servers:

- server_name: "matrix.org"

Los datos más importantes:

server_name: "privacidad.xyz" nombre del dominio asociado al servidor

pid_file: /run/synapse/homeserver.pid nombre y carpeta donde se creará el proceso una vez iniciado el programa

bloque listeners: todo lo relacionado al puerto de escucha, conexión segura y tipo de conexión que aceptará el servidor

tls_certificate_path: y tls_private_key_path: nombre y carpeta donde se encontrarán los certificados que utilizar el servidor para la conexiones TLS

siguen unas lineas relacionadas con la configuración de la conexión al servidor STUN/TURN que puede estar instalado en el mismo servidor o en otro

tipo de base de datos utilizada y donde se encuentra; en este caso SQLite3

log_config: archivo donde se encuentra la configuración de todo lo relacionado con los LOG de Synapse

media_store_path: carpeta para guardar elementos media recibidos

unas lineas relacionadas con las claves utilizadas por el servidor en la comunicación con los clientes

En esta pagina aparece la lista completa de los parámetros que se pueden utilizar en el archivo de configuración. Como las carpetas /run/synapse y /home/media_store no existen, se crean y se cambian los permisos ya que el servidor arranca con usuario y grupo synapse:

mkdir /run/synapse

chown -Rf synapse:synapse /run/synapse

mkdir /media_store

chown synapse:synapse /media_store/

Luego se abre el archivo de configuración del LOG:

nano /etc/synapse/privacidad.xyz.log.config

y se modifica el parámetro filename para que quede:

filename: /var/log/homeserver.log

Se guardan los cambios, se crea el archivo y se cambian los permisos:

touch /var/log/homeserver.log

chown synapse:synapse /var/log/homeserver.log

Falta la creación de los certificados:

dnf install certbot -y

Luego:

certbot certonly --standalone -m yo@micorreo.org -d privacidad.xyz

se copian en la carpeta indicada en el archivo de configuración de Synapse y se cambian los permisos:

cp /etc/letsencrypt/live/tls.kamailio.club/fullchain.pem /etc/synapse

cp /etc/letsencrypt/live/tls.kamailio.club/privkey.pem /etc/synapse

chown synapse:synapse /etc/synapse/fullchain.pem

chown synapse:synapse /etc/synapse/privkey.pem

Ya podemos iniciar el servidor:

systemctl start synapse

y configurar para que arranque con el sistema:

systemctl enable synapse

Si no aparecen errores ya se pueden crear los primeros dos usuarios, uno como administrador y uno normal:

register_new_matrix_user -u admin -p password -t bot -a -c /etc/synapse/homeserver.yaml

Sending registration request...

Success!

register_new_matrix_user -u fulano -p password -t bot --no-admin -c /etc/synapse/homeserver.yaml

Sending registration request...

Success!

Ahora podemos descargar el cliente disponible para todas las plataformas y registrar el primer usuario:

en la pagina que sigue indicar usuario y contraseña y listo. He probado chat, llamadas audio, videollamadas y Videoconferencias (se apoya en Jitsi) y la verdad me pareció muy bueno.
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

November 21, 2022

Andrea Sannucci BigBlueButton – Acceder a una conferencia llamando un numero de teléfono
Si utilizamos BigBlueButton integrado con Moodle, para dictar conferencias, se puede presentar el problema, raro, que algún participante no pueda utilizar el audio del computador/tableta o no le funcione. Para que se pueda acceder a la parte audio de la conferencia podemos utilizar un numero geográfico y enrutar las llamadas entrantes a la conferencia. En BBB integrado con Moodle al programar una videoconferencia se le asigna un numero único. Ese numero, de 5 dígitos es él que tendrá que marcar quien quiera acceder vía DID cuando el sistema se lo pida. Lo único que todavía no he resuelto es como conocer el numero asignado a la conferencia sin tener que acceder una primera vez a ella. Los pasos a seguir:

1. Como el perfil SIP configurado en BBB trabaja sobre el puerto 5060 y de manera predefinida ese puerto, por temas de seguridad está cerrado, lo tenemos que abrir para la IP o las IPs desde donde van a llegar las llamadas entrantes del proveedor:

ufw status numbered

si las primeras lineas son estas:

y la IP del proveedor es 1.2.3.4, la añadimos de la siguiente forma:

ufw insert 3 allow 5060/udp from 1.2.3.4

2. Programamos una videoconferencia en Moodle utilizando la integración con BigBueButton

3. Accedemos a la videoconferencia una primera vez y luego accedemos a la consola de FreeSWITCH. Para hacerlo tenemos que buscar la contraseña en este archivo:

nano /opt/freeswitch/etc/freeswitch/autoload_configs/event_socket.conf.xml

y anotamos el valor en negrita:

<param name="password" value="97fdc5d3583edcf1"/>

luego:

/opt/freeswitch/bin/fs_cli -p 97fdc5d3583edcf1

una vez en la consola escribimos:

freeswitch@bbb1> conference + tecla tabulador

aparecerá el numero de la conferencia:

freeswitch@bbb1> conference 77627

77627 es el numero de la conferencia asignado.

3. Ahora podemos pasar a la configuración del dialplan de FreeSWITCH. Creamos el siguiente archivo:

nano /opt/freeswitch/etc/freeswitch/dialplan/public/00_did.xml

copiamos las lineas que siguen:

<extension name="proveedor_DID">

<condition field="destination_number" expression="^13057288421">

<action application="start_dtmf" />

<action application="answer"/>

<action application="sleep" data="1000"/>

<action application="play_and_get_digits" data="5 7 3 30000 # conference/conf-pin.wav ivr/ivr-that_was_an_invalid_entry.wav pin \d+"/>

<action application="transfer" data="conferencia XML public"/>

</condition>

</extension>

<extension name="check_if_conference_active">

<condition field="${conference ${pin} list}" expression="/sofia/g" />

<condition field="destination_number" expression="^conferencia$">

<action application="set" data="bbb_authorized=true"/>

<action application="transfer" data="${pin} XML default"/>

</condition>

</extension>

<extension name="conf_bad_pin">

<condition field="${pin}" expression="^\d{5}$">

<action application="answer"/>

<action application="sleep" data="1000"/>

<action application="play_and_get_digits" data="5 7 3 30000 # conference/conf-bad-pin.wav ivr/ivr-that_was_an_invalid_entry.wav pin \d+"/>

<action application="transfer" data=" conferencia XML public"/>

</condition>

</extension>

13057288421 es el numero geográfico utilizado (en este caso de Miami) desde el cual se recibirán las llamadas. Una vez que la llamada entre será contestada y al llamante se le pedirá digitar el numero de la conferencia, que como dijimos es 77627; después de los 5 dígitos el usuario tendrá que marca la tecla almohadilla (o tecla numero). Si el numero digitado es correcto, se enviará la llamada al la extensión marcada, XML, contexto default, donde se procesará en este bloque:

<extension name="bbb_conferences">

<condition field="${bbb_authorized}" expression="true" break="on-false" />

<condition field="destination_number" expression="^(\d{5,11})$">

<action application="set" data="jitterbuffer_msec=60:120" />

<action application="set" data="rtp_jitter_buffer_plc=true" />

<action application="set" data="rtp_jitter_buffer_during_bridge=true" />

<action application="set" data="suppress_cng=true" />

<action application="answer" />

<action application="conference" data="$1@cdquality" />

</condition>

</extension>

En Moodle:
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

November 16, 2022

Andrea Sannucci GOOGLE es una desgracia: ¿Alguien todavía lo duda?
Acabo de leer este articulo y la verdad me quedé sin palabras. Dos padres envían una foto de su respectivo hijo a su respectivo medico que las solicitó para revisar un problema de piel, las fotos se suben de manera automática a Google Cloud y el algoritmo de Google las cataloga como fotos relacionadas con la explotación sexual de menores / Pedofilia y bloquea la cuenta de los dos usuarios. Hasta aquí no sería nada del otro mundo; el problema es que a pesar de todos los pasos realizados, los padres no han podido volver a tener acceso a su cuenta y han perdido, quizás de manera definitiva:

su cuenta GMAIL

su lista de CONTACTOS

las fotos presentes en GOOGLE FOTOS

su MUSICA

códigos de seguridad para otros sitios Web

posibilidad de generar el segundo factor de autenticación para otros sitios

eventuales números de teléfonos contratados con GOOGLE

En pocas palabras, gran parte de su vita digital. La fuente original del articulo es el New York Times.

No es por hacerme publicidad pero estoy trabajando a un sistema integrado de privacidad para que puedan abandonar definitivamente a las Big Tech y tener su propia privacidad. En un único servidor estoy configurando:

OpenVPN para tener su propia VPN y no pagar por el servicio o utilizar un servicio gratuito que quien sabe como trata sus datos

Un servidor de correo electrónico para enviar y recibir correos y no depender de ningún proveedor externo

Un almacén de datos en la nube, tipo Google Cloud donde poder guardar sus datos, fotos, etc. A través de otras aplicaciones que se pueden instalar, su consola Web de correo, su calendario y su sistema de videoconferencia (hasta 4 usuarios). Hablo de NextCloud

Un servidor de mensajería instantánea para tener su propio servidor de chat, envío de documentos y llamadas

Si se les ocurre algo más que añadirían, me comentan
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

November 12, 2022

Andrea Sannucci Cierre de la cuenta de Linkedin
Otra cuenta que he cerrado con un placer que ni les puedo contar, es la de Linkedin, otro basurero que la verdad no me aguantaba más. Me había subscrito a un grupo de Wholesale Voip donde esperaba encontrar buenas noticias acerca de tarifas, rutas y posibilidad de negocio y me he encontrado con un 98% de pura basura publicitaria. Buscar alguna noticia interesante entre tanta mierda la verdad no era agradable ni fácil.

Como esa cuenta no aportaba nada a mis negocios sino dolor de cabeza y pura noticias basura, he decidido cerrarla. Si quieren estar al tanto de lo que pasa en este sitio, pueden subscribirse a los FEED presentes en la pagina principal. Yo los uso para muchos sitios que me interesan y la verdad es la mejor forma de enterarse de las novedades. En Firefox hay un complemento que se llama RSS Feed Reader

Nos vemos ahí
- Linkedin
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

November 10, 2022

Andrea Sannucci Cierre de la cuenta de Twitter
Así como lo leen, voy a cerrar la cuenta de twitter por dos motivos:

Elon Musk podrá ser genio o no pero lo que si es cierto es que ha demostrado en más de una ocasión que no le gustan mucho la leyes laborales o que la gente tenga otra vida además del trabajo. Si el tiene ese problema, no significa que todos sus empleados tienen que tenerlo.

El 80% de lo que leo en Twitter es basura tipo fulano sigue zutano o fulano reenvío el twitter de no se quien. Ese 80% no aporta absolutamente nada a mis conocimientos/intereses.

Muy probablemente voy a instalar mi propio twitter o voy a unirme a un grupo de los que ya existen.

@voztovoice ya se fue
- Twitter
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo
Andrea Sannucci Configurar Nexcloud Talk con un servidor TURN
En este sitio hemos hablado de NextCloud en distintas ocasiones, desde su instalación, pasando por la migración desde servicios ofrecidos por Google, Microsoft, etc…, hasta llegar a hablar de la aplicación TALK (Hablar en español) que es una aplicación que permite realizar videoconferencias entre usuarios registrados en el mismo NextCloud aunque solamente para pequeños grupos (máximo 4). Quizás en otra entrada hablaré de la posibilidad de instalar un servidor de señalización para aumentar ese exiguo numero de participantes. Por ahora hablaré de como configurar el servidor TURN que hemos instalado y configurado en esta entrada. ¿Cuando necesitamos un servidor TURN? Cuando hay usuarios que se conectan desde sitios donde se aplican políticas estrictas de acceso a servicios externos, por ejemplo, permitiendo solamente el trafico hacia servidores web seguros (puerto 443/TCP). Mano a la obra; accedemos a nuestro servidor NextCloud como administrador y luego escogemos:

En la pagina que aparece, lado izquierdo, seleccionamos:

bajamos hasta encontrar el bloque con nombre Servidores STUN + donde:

y en TURN Servers +:

Los datos:

turns:only – Se utilizará el servidor TURN solamente sobre una conexión segura

turn.voztovoice.org:443 – sudominio y puerto donde escucha el servidor TURN

1cdda865dcad48953a5e2ca03da5a8b8 – la clave compartida como configurado en el servidor TURN

TCP Only – que se podrá utilizar solamente el protocolo de transporte TCP

Si la configuración es correcta y el servidor TURN contesta a la prueba de conexión, al final de la linea, aparecerá:

Si quieren una entrada dedicada a la instalación de la ultima versión de NextCloud, me comentan
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

November 08, 2022

Andrea Sannucci Instalar y Configurar un servidor TURN para BigBlueButton
Como les había anticipado en mi entrada anterior, en este articulo vamos a ver como instalar y configurar un servidor TURN para que los usuarios que se encuentren detrás de una NAT estricto, puedan acceder a las videoconferencias creadas con BBB y no tengan problemas de audio/video. El programa va instalado en un nuevo servidor y en mi caso he optado por Debian 11. Al servidor TURN se asignará un subdominio que en mi caso es turn.voztovoice.org que apuntará a las IPPublicas IPv4 y IPv6 del nuevo servidor. Iniciamos con actualizar el sistema:

apt update

apt upgrade

Continuamos con la instalación del programa, del cortafuegos ufw y del programa para crear los certificados con Let’s Encrypt:

apt install coturn ufw certbot

Creamos el certificado para el subdominio turn.voztovoice.org que luego se utilizará para la configuración de servidor TURN; para que se pueda crear sin problemas miramos si el puerto 80 está abierto en el cortafuegos:

ufw status numbered

en mi caso:

To Action From

-- ------ ----

[ 1] 22 ALLOW IN Anywhere

[ 2] 22 (v6) ALLOW IN Anywhere (v6)

pues lo añadimos:

ufw allow 80/tcp

luego creamos el certificado (PERSONALIZAR NOMBRE SUBDOMINIO Y CORREO ELECTRÓNICO):

certbot certonly --standalone -d turn.voztovoice.org -m campus@voztovoice.org

El resultado:

Let’s Encrypt, con que se ha creado el certificado, permite ejecutar uno script cada vez que se renueve un certificado. Utilizaremos esta característica para que se copien los archivos del certificado en una determinada carpeta y se cambien los permisos para que el usuario turnserver, el usuario con que arranca el servidor TURN, pueda acceder a ellos:

mkdir -p /etc/letsencrypt/renewal-hooks/deploy

nano /etc/letsencrypt/renewal-hooks/deploy/coturn

se copian las siguientes lineas y se PERSONALIZA EL DUBDOMINIO que aparece:

#!/bin/bash -e

for certfile in fullchain.pem privkey.pem ; do

cp -L /etc/letsencrypt/live/turn.voztovoice.org/"${certfile}" /etc/turnserver/"${certfile}".new

chown turnserver:turnserver /etc/turnserver/"${certfile}".new

mv /etc/turnserver/"${certfile}".new /etc/turnserver/"${certfile}"

done

systemctl kill -sUSR2 coturn.service

Se guardan los cambios y se cambiamos los permisos del archivo:

chmod 0755 /etc/letsencrypt/renewal-hooks/deploy/coturn

ya podemos pasar a la personalización del archivo de configuración del servidor TURN; lo abrimos:

nano /etc/turnserver.conf

y empezamos cambiando estas dos lineas:

#listening-port=3478

#tls-listening-port=5349

para que queden:

listening-port=3478

tls-listening-port=443

seguimos cambiando estas dos lineas:

#listening-ip=172.17.19.101

#relay-ip=172.17.19.105

para que queden (MODIFICAR IPPublicav4 y IPPublicav6 CON LA IP PUBLICA V4 Y IPPUBLICA V6 DEL SERVIDOR RESPECTIVAMENTE):

listening-ip=IPPublicav4

listening-ip=IPPublicav6

relay-ip=IPPublicav4

relay-ip=IPPublicav6

modificamos las dos lineas donde se configuran los puertos que utilizará el servidor TURN para redirigir el el flujo media:

#min-port=49152

#max-port=65535

para que queden:

min-port=32769

max-port=65535

se modifica la linea que sigue para activar un debug moderado:

#verbose

para que quede:

verbose

Las opciones que siguen permiten configurar el servidor TURN para que se pueda acceder solamente con una clave; esto para evitar que venga utilizado por otros usuarios y con otros possibles fines:

#fingerprint

#use-auth-secret

#static-auth-secret=north

#realm=mycompany.org

para que queden (PERSONALIZAR static-auth-secret Y realm):

fingerprint

use-auth-secret

static-auth-secret=1cdda865dcad48953a5e2ca03da5a8b8

realm=voztovoice.org

se modifican los parámetros que siguen para la configuración de la parte relacionadas con los certificados:

#cert=/usr/local/etc/turn_server_cert.pem

#pkey=/usr/local/etc/turn_server_pkey.pem

#cipher-list="DEFAULT"

#dh-file=<DH-PEM-file-name>

para que queden (PERSONALIZAR LAS PRIMERAS DOS LINEAS):

cert=/etc/turnserver/fullchain.pem

pkey=/etc/turnserver/privkey.pem

cipher-list="ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384"

dh-file=/etc/turnserver/dhp.pem

se configura para que los LOG del programa se guarden en un archivo dedicado, modificando estas dos lineas:

#log-file=/var/tmp/turn.log

syslog

para que queden:

log-file=/var/log/turnserver/turnserver.log

#syslog

Se desactiva la consola del servidor TURN, los protocolos tlsv1 y tlsv1.1 y el acceso desde IP utilizadas por el protocolo Multicast; esto modificando las siguientes lineas:

#no-cli

#no-multicast-peers

#no-tlsv1

#no-tlsv1

para que queden:

no-cli

no-multicast-peers

no-tlsv1

no-tlsv1

Se guardan los cambios y se crea el archivo dhp.pem:

mkdir -p /etc/turnserver

openssl dhparam -dsaparam -out /etc/turnserver/dhp.pem 2048

Se cambian los permisos del certificado que se acaba de crear:

chown turnserver:turnserver /etc/turnserver/dhp.pem

Para que el servidor TURN pueda escuchar sobre el puerto 443 TCP, puerto reservado a que no tienen acceso los programas que no se ejecutan con usuario root:

setcap cap_net_bind_service=+ep /usr/bin/turnserver

Se configura el archivo para la rotación de los archivos de LOG:

nano /etc/logrotate.d/coturn

Se copian las lineas que siguen:

/var/log/turnserver/*.log

{

rotate 7

daily

missingok

notifempty

compress

postrotate

/bin/systemctl kill -s HUP coturn.service

endscript

}

Se guardan los cambios y se crea la carpeta para los LOG como indicado en el archivo que se acaba de crear:

mkdir -p /var/log/turnserver

chown turnserver:turnserver /var/log/turnserver

Ejecutamos el archivo para mover los certificados ya que se ejecutará solamente cuando se renueven los certificados y nosotros los necesitamos ahora par poder iniciar el programa Coturn:

/etc/letsencrypt/renewal-hooks/deploy/coturn

Averiguamos que todos los certificados estén bien:

Abrimos los puertos configurados en el servidor TURN; para ver la configuración del Cortafuegos:

ufw status numbered

añadimos primero el puerto 443 udp/tcp utilizado por el protocolo TURN:

ufw allow 443/udp

ufw allow 443/tcp

y los puertos 3478:3479 utilizados por el protocolo STUN:

ufw allow 3478:3479/udp

ufw allow 3478:3479/tcp

luego los puertos utilizados para el flujo media:

ufw allow 32769:65535/udp

Iniciamos el servidor TURN:

systemctl start coturn

averiguamos que esté corriendo:

systemctl status coturn

* coturn.service - coTURN STUN/TURN Server

Loaded: loaded (/lib/systemd/system/coturn.service; enabled; vendor preset: enabled)

Drop-In: /etc/systemd/system/coturn.service.d

ââoverride.conf

Active: active (running) since Sat 2022-11-05 11:18:53 -05; 1h 1min ago

Docs: man:coturn(1)

man:turnadmin(1)

man:turnserver(1)

Main PID: 25786 (turnserver)

Tasks: 9 (limit: 19660)

Memory: 7.6M

CGroup: /system.slice/coturn.service

ââ25786 /usr/bin/turnserver --daemon -c /etc/turnserver.conf --pidfile /run/turnserver/turnserver.pid

Si quieren revisen el LOG. Ahora podemos pasar a la configuración de BBB para que aproveche el servidor TURN que se acaba de configurar. En el servidor donde se encuentra instalado:

cd /usr/share/bbb-web/WEB-INF/classes/spring/

creamos una copia del archivo original:

mv turn-stun-servers.xml turn-stun-servers.xml-orig

creamos uno nuevo:

nano turn-stun-servers.xml

copiamos las lineas que siguen (MODIFICAR turn.voztovoice.org CON SU SUBDOMINIO):

<?xml version="1.0" encoding="UTF-8"?>

<beans xmlns="http://www.springframework.org/schema/beans"

xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"

xsi:schemaLocation="http://www.springframework.org/schema/beans

http://www.springframework.org/schema/beans/spring-beans-2.5.xsd">

<bean id="stun0" class="org.bigbluebutton.web.services.turn.StunServer">

<constructor-arg index="0" value="stun:turn.voztovoice.org"/>

</bean>

<bean id="turn0" class="org.bigbluebutton.web.services.turn.TurnServer">

<constructor-arg index="0" value="1cdda865dcad48953a5e2ca03da5a8b8"/>

<constructor-arg index="1" value="turns:turn.voztovoice.org:443?transport=tcp"/>

<constructor-arg index="2" value="86400"/>

</bean>

<bean id="turn1" class="org.bigbluebutton.web.services.turn.TurnServer">

<constructor-arg index="0" value="1cdda865dcad48953a5e2ca03da5a8b8"/>

<constructor-arg index="1" value="turn:turn.voztovoice.org:443?transport=tcp"/>

<constructor-arg index="2" value="86400"/>

</bean>

<bean id="stunTurnService"

class="org.bigbluebutton.web.services.turn.StunTurnService">

<property name="stunServers">

<set>

<ref bean="stun0"/>

</set>

</property>

<property name="turnServers">

<set>

<ref bean="turn0"/>

<ref bean="turn1"/>

</set>

</property>

</bean>

</beans>

Guardamos los cambios y reiniciamos BBB:

bbb-conf --restart

para probar el servidor TURN, creamos uno script BASH con el siguiente contenido (PERSONALIZAR turn.voztovoice.org con su subdominio, secret con la clave configurada en el parametro static-auth-secret del archivo de configuración de Coturn):

nano prueba.sh

copiamos:

#!/bin/bash

HOST=turn.voztovoice.org

SECRET=1cdda865dcad48953a5e2ca03da5a8b8

time=$(date +%s)

expiry=8400

username=$(( $time + $expiry ))

echo

echo " https://webrtc.github.io/samples/src/content/peerconnection/trickle-ice/"

echo

echo URI : turn:$HOST:443

echo username : $username

echo password : $(echo -n $username | openssl dgst -binary -sha1 -hmac $SECRET | openssl base64)

echo

Guardamos los cambios y volvemos el archivo ejecutable:

chmod + prueba.sh

lo ejecutamos:

./prueba.sh

el resultado:

https://webrtc.github.io/samples/src/content/peerconnection/trickle-ice/

URI : turn:turn.voztovoice.org:443

username : 1667776448

password : wMV+2iWjEWqIsf67QvWut8qOzpo=

Accedemos a la URL indicada:

https://webrtc.github.io/samples/src/content/peerconnection/trickle-ice/

y rellenamos los campos como sigue:

Luego:

si aparece algo parecido:

Significa que el servidor STUN/TURN está funcionando correctamente.

Hemos terminado.
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

November 05, 2022

Andrea Sannucci BigBlueButton 2.5 y Moodle 4.X: Videoconferencias y eLearning
BigBlueButton es la plataforma de videoconferencias que utilizo en mis cursos en linea integrada con Moodle 4.0, el sistema de educación a distancia que también uso para mis cursos. La ultima versión de BBB que tenía instalada era la 2.2 y en estos días decidí actualizarla porque la 2.5 trae muchas novedades muy interesantes:

basada en contenedores (docker)

posibilidad de bloquear el cuadro de la cámara de los participantes para que la posición quede siempre la misma

posibilidad de tomar pantallazos de la pizarra donde se está trabajando

ampliada la tipología de encuestas que se pueden crear a lo largo de una videoconferencia

posibilidad de crear grupos de trabajos durante una videoconferencia, cada uno con su sala de videoconferencia definiendo los usuarios que serán parte de cada grupo y el tiempo de duración del trabajo. Cuando el tiempo termine, los usuarios volverán a la sala principal

la presencia de un panel de análisis de aprendizaje donde es posible ver toda una serie de estadísticas relacionadas con los participantes en la videoconferencia y visualizadas como una linea del tiempo. La estadísticas se pueden descargar en formato CSV

integración con GreenLight, una consola web muy interesante, que permite crear usuarios, cuartos de videoconferencia e invitar usuarios a los cuartos creados

Anexo a esta entrada el video, en inglés, donde se muestran todas las novedades presentes en la versión 2.5 de BBB. Ahora pasamos a su instalación; ¿Qué necesito?

Un servidor con por lo menos 4vCPU y 4GB RAM; personalmente utilizo VPSDime desde hace 2 años y medio y la verdad me ha ido muy bien. El servidor que utilizo viene con 4vCPU y 6 GB de RAM; tiene un costo de 7 dólares/mes que se cobran mensualmente (no por hora). Una vez adquirido, si cambian las necesidades, es posible actualizar cada elemento del servidor (CPU, RAM, Disco) o pasar al servidor que sigue que tiene un costo de 14 dólares/mes

Un dominio o sub dominio que hay que asociar al servidor por temas de certificados y seguridad. En esta guía utilizaremos bbb.dominio.org

La distribución Linux Ubuntu 20.04 64bits

posiblemente IPv4 y IPv6 (VPSDime ofrece solamente IPv4)

Si procedemos de una versión anterior, el primer paso es guardar los datos de las videoconferencias presentes en el viejo servidor para luego copiarlos en el nuevo servidor. Accedemos al viejo servidor y creamos los siguientes archivos:

cd /var/bigbluebutton/

tar -zcvpf /root/recording.tar.gz recording/raw

tar -zcvpf /root/published.tar.gz published/

tar -zcvpf /root/unpublished.tar.gz unpublished/

luego copiamos los tres archivos en el servidor nuevo:

scp published.tar.gz root@bbb.dominio.org:/tmp

scp unpublished.tar.gz root@bbb.dominio.org:/tmp

scp recording.tar.gz root@bbb.dominio.org:/tmp

Accedemos al servidor nuevo y empezamos con actualizar el sistema:

apt update

apt upgrade

la hora:

timedatectl set-timezone America/Bogota

averiguamos que el idioma predefinido sea en_US.UTF-8:

cat /etc/default/locale

LANG="en_US.UTF-8"

si así no fuera:

apt-get install -y language-pack-en

update-locale LANG=en_US.UTF-8

systemctl set-environment LANG=en_US.UTF-8

luego:

systemctl show-environment

debe aparecer:

LANG=en_US.UTF-8

PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin

Averiguamos que la versión de Ubuntu sea la correcta:

cat /etc/lsb-release

resultado:

DISTRIB_ID=Ubuntu

DISTRIB_RELEASE=20.04

DISTRIB_CODENAME=focal

DISTRIB_DESCRIPTION="Ubuntu 20.04.5 LTS"

que el sistema sea 64 bits:

uname -m

x86_64

y que la versión del Kernel 5.X:

uname -r

5.4.0-131-generic

Luego se realiza la instalación utilizando el siguiente script:

wget -qO- https://ubuntu.bigbluebutton.org/bbb-install-2.5.sh | bash -s -- -v focal-250 -s bbb2.dominio.org -e campus@voztovoice.org -a -w

-v focal-250: la versión de BBB que se instalará

-s bbb.dominio.org: el dominio/subdominio asociado a la instalación

-e campus@voztovoice.org: el correo electrónico utilizado para la creación de los certificados con letsencrypt

-a: si queremos instalar las API de prueba para poder probar las salas de videoconferencias antes de integrar BBB con moodle. Si en lugar de las API queremos instalar GreenLight cambiamos la letra -a con la letra -g

-w: para configurar de manera automática el cortafuegos utilizando el programa ufw (Uncomplicated FireWall)

Empezará la instalación de todo el sistema que durará aproximadamente unos 10 minutos. Si a lo largo del proceso no aparecen errores, significa que todo procede correctamente. Al terminar, podremos averiguarlo con el siguiente comando:

bbb-conf --check

eventuales problemas aparecerán debajo de esta linea:

# Potential problems described below

En mi caso aparecía un error relacionado con el temporizador de la CPU que he solucionado de la siguiente manera:

nano /usr/lib/systemd/system/bbb-html5-backend@.service

comentar la siguiente linea para que quede:

#CPUSchedulingPolicy=fifo

nano /usr/lib/systemd/system/bbb-html5-frontend@.service

comentar la siguiente linea para que quede:

#CPUSchedulingPolicy=fifo

recargar la configuración de los script de arranque:

systemctl daemon-reload

y luego reiniciar el sistema para averiguar que todo se inicie correctamente:

reboot

Volver a acceder vía SSH y ejecutar nuevamente:

bbb-conf --check

si todo sale bien, ejecutar:

bbb-conf --status

todos los procesos tienen que estar activos. Ahora si accedemos a la pagina:

https://bbb.dominio.org

dependiendo si hemos instalado las API o GreenLight, nos aparecerá la respectiva pagina. En el caso de las API:

ponemos un nombre para la sala y le damos a Join. Empezará todo el proceso de acceso a la sala de videoconferencia. Una vez realizadas todas las pruebas del caso, removemos las API:

apt-get purge bbb-demo

Si hemos instalado GreenLight, para quitarlo:

cd ~/greenlight

docker-compose down

docker rmi bigbluebutton/greenlight:v2

cd ../

rm -rf greenlight/

ahora copiamos el backup de las videoconferencias en las carpetas del nuevo servidor:

cd /tmp

tar -xf recording.tar.gz

tar -xf published.tar.gz

tar -xf unpublished.tar.gz

cp -rf recording/* /var/bigbluebutton/recording/raw

cp -rf published/* /var/bigbluebutton/published

cp -rf unpublished/* /var/bigbluebutton/unpublished

Terminamos cambiando los permisos de todos los archivos copiados:

chown -Rf bigbluebutton:bigbluebutton /var/bigbluebutton/unpublished /var/bigbluebutton/published /var/bigbluebutton/recording/raw

Terminada esta fase podemos pasar a la configuración de Moodle. Los datos que necesitamos los arroja este comando:

bbb-conf --secret

aparecerá algo parecido:

URL: https://bbb.dominio.org/bigbluebutton/

Secret: GhzsXU5Fob9i6oaLCj83eQEcBYTyVOTAymoYfU7EEI

Accedemos al servidor Moodle y luego Administración del sitio → Extensiones → Vista General de extensiones, en la lista aparecerá:

Seleccionamos Configuración;

en URL del servidor BigBlueButton copiamos el contenido de la linea URL arrojada por el comando bbb-conf --secret y en Clave secreta de BigBlueButton el valor de la linea Secret arrojada por el mismo comando. Guardamos los cambios y ¡Listo!

Si están interesados en un articulo dedicado a la instalación de Moodle (da instalar en otro servidor), me comentan. En el próximo articulo veremos como instalar un servidor TURN para que los usuarios que se encuentran detrás de un Cortafuego estricto puedan acceder a BBB y tener audio correctamente.
Vota el Articulo:

Promedio: 5 (1 voto)

Evalúa la calidad del articulo

video:

November 03, 2022

Andrea Sannucci Configurar Postfix con SpamAssassin y Spamass-Milter para bloquear SPAM
Estaba totalmente seguro de haber configurado Postfix integrado con spamassassin que la verdad ni me había dato cuenta que ni lo tenía instalado. SpamAssassin es el programa que analiza los correos recibidos y en base a unos algoritmos y un valor que se configura en el archivo de configuración del programa, decide si el correo es SPAM o no.

A seguir les indico los pasos que he seguido para la integración en Rocky Linux 8; primero hay que instalar SpamAssassin y Spamass-Milter:

dnf install spamassassin spamass-milter -y

se configuran para que arranquen con el sistema:

systemctl enable spamassassin spamass-milter

Luego se configuran algunas opciones de spamass-milter que serán aquellas que leerá el script de arranque:

nano /etc/sysconfig/spamass-milter

al final del archivo se añade:

EXTRA_FLAGS="-m -r 8"

SOCKET_OPTIONS="-g postfix"

En la primera linea con la opción -m se indica que no se modificarán las cabeceras Subject:, Content-Type y el cuerpo del mensaje, con la opción -r 8 se indica la puntuación arriba de la cual se considerará como SPAM el correo recibido; En la segunda linea se indica que el zócalo del programa será accessible al grupo postfix y esto permitirá la comunicación entre Postifix y Spamass-Milter.

Se guardan los cambios y se pasa al archivo de configuración de arranque de Spamass-Milter donde hay que añadir el mismo grupo presente en la opción SOCKET_OPTIONS:

nano /usr/lib/systemd/system/spamass-milter.service

después de esta linea:

User = sa-milt

se añade:

Group = postfix

Se guardan los cambios y se actualizan los archivos de arranque para cargar los cambios realizados:

systemctl daemon-reload

Ultimo paso es actualizar la configuración de Postfix:

nano /etc/postfix/main.cf

al final del archivo, añadimos:

milter_default_action = accept

milter_protocol = 6

smtpd_milters = unix:/run/spamass-milter/spamass-milter.sock

non_smtpd_milters = $smtpd_milters

si estamos utilizando OpenDKIM seguramente ya teníamos algo parecido pero esas lineas que teníamos debemos comentarlas y en su lugar:

milter_default_action = accept

milter_protocol = 6

smtpd_milters = inet:127.0.0.1:8891,unix:/run/spamass-milter/spamass-milter.sock

non_smtpd_milters = $smtpd_milters

Guardamos los cambios y iniciamos SpamAssassin, Spamm-Milter y reiniciamos Postfix:

systemctl start spamassassin

systemctl start spamass-milter

systemctl restart postfix

Si todo sale bien el sistema debería funcionar correctamente. Podemos realizar una prueba enviando un correo electrónico a uno de los usuarios configurados en el servidor donde acabamos de realizar las configuraciones; en el cuerpo del mensaje añadimos:

XJS*C4JDBQADN1.NSBN3*2IDNEN*GTUBE-STANDARD-ANTI-UBE-TEST-EMAIL*C.34X

que es una linea que hará que el correo será detectado como SPAM, no me pregunten porque :)

En los LOG de Postfix:

spamd: identified spam (999.8/5.0) for sa-milt:899 in 0.5 seconds, 3792 bytes.

milter-reject: END-OF-MESSAGE from midominio.org[1.2.3.4]: 5.7.1 Blocked by SpamAssassin;

Parece que funciona.

Me comentan
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

November 02, 2022

Andrea Sannucci LogWatch: como eliminar reportes de determinados programas – Rocky Linux 8
LogWatch siempre me ha parecido una herramienta muy cómoda y efectiva para enterarme de lo que está pasando en mis servidores. El programa funciona de la siguiente manera:

cada día se ejecuta un trabajo programado (CronJob) para generar el reporte /etc/cron.daily/0logwatch

el tipo de reporte, como se guardará y otras opciones dependerá de la configuración del archivo /usr/share/logwatch/default.conf/logwatch.conf. En mi caso los reportes se envían a mi correo electrónico en formato texto

La configuración del los programasa cuyos LOG se analizarán para el reporte depende de la configuración de dos archivos para cada programa; uno presente en la carpeta /usr/share/logwatch/default.conf/logfiles y otro presente en la carpeta /usr/share/logwatch/default.conf/services

Tomamos como ejemplo Fail2ban:

el archivo logfiles contiene:

*ApplyEuroDate

LogFile = fail2ban.log

Archive = fail2ban.log.1

Archive = fail2ban.log.*.gz

Archive = fail2ban.log-*

fail2ban.log será el archivo de LOG de Fail2ban que LogWatch buscará para realizar su análisis y generar el reporte; el archivo de services:

el titulo como aparecerá en el reporte:

Title = fail2ban-messages

los archivos logfiles, presentes en la carpeta /usr/share/logwatch/default.conf/logfiles, que se utilizarán:

LogFile = fail2ban

LogFile = messages

una expresión regular, en este caso, para seleccionar solamente lo que realmente interesa:

*OnlyContains = fail2ban([^-]|).*\[[0-9]+\]

Claramente el contenido del archivo de services cambia mucho dependiendo del programa que se va a analizar pero lo importante es saber donde buscar la información.

Ahora, como Fail2ban me generaba mucha información que la verdad no me interesaba porque tengo otra forma de enterarme de lo que pasa con bloqueo y desbloqueo de IPs, he decidido quitarlo de los reportes de LogWatch.

Estoy seguro que hay una forma más elegante de hacerlo pero en mi caso:

cd /usr/share/logwatch/default.conf/

mv logfiles/fail2ban.conf //usr/share/logwatch/fail2ban.conf-logfiles

mv services/fail2ban.conf //usr/share/logwatch/fail2ban.conf-services

Si queremos probar el programa sin esperar que se ejecute el CronJob:

/etc/cron.daily/0logwatch

El resultado:

Una linea indica cuando termina el Reporte de un determinado programa y cuando inicia el Reporte de otro. Para terminar:

Para instalarlo:

dnf install logwatch -y

Me comentan
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

October 26, 2022

Andrea Sannucci Kamailio y el nuevo modulo TLSA en Rocky Linux 8
En la ultima versión de Kamailio, la 5.6, entre otros módulos, está presente el módulo TLSA. Este modulo puede sostituir el modulo TLS que se utiliza para la configuración de Kamailio con el soporte del cifrado de la señalización SIP. Si se utiliza el modulo TLSA no se puede utilizar el modulo TLS y viceversa.

Pero, ¿Qué ventajas tiene este nuevo modulo sobre el viejo TLS?

las librerías libssl y libcrypto quedan embebidas en el modulo pues no comparten con cualquier otro programa el contexto SSL / TLS;

la posibilidad de utilizar una versión especifica de libssl en lugar de la versión que viene con los repositorios estándar de la distribución Linux utilizada. Esto permite poder utilizar versiones más estables y exentes de errores

Para compilar el modulo en Rocky Linux 8 hay que acudir a una pequeña artimaña; una vez instaladas las librerías desde los repositorios, antes de compilar Kamailio se crean enlaces simbólicos de las librerías instaladas a los nombres que buscará Kamailio a lo largo de la compilación:

ln -s /usr/lib64/libssl.so /usr/lib64/libssl.a

ln -s /usr/lib64/libcrypto.so /usr/lib64/libcrypto.a

ln -s /usr/lib64/libz.so /usr/lib64/libz.a

Luego se continua con la compilación de Kamailio. La configuración del modulo es exactamente igual al modulo TLS, cambia solamente el nombre, ejemplo:

# ----- tlsa -----

loadmodule "tlsa.so"

modparam("tlsa", "tls_method", "TLSv1.2+")

modparam("tlsa", "verify_certificate", 0)

modparam("tlsa", "require_certificate", 0)

modparam("tlsa", "private_key", "/etc/letsencrypt/live/PUBDOMAIN/privkey.pem")

modparam("tlsa", "certificate", "/etc/letsencrypt/live/PUBDOMAIN/fullchain.pem")

Lo he probado y funciona perfectamente.

Me comentan
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

October 24, 2022

Andrea Sannucci Videocurso: Kamailio como Puente TLS/SRTP – UDP/RTP con Asterisk PBX
En muchos escenarios nos encontramos con PBX, tipo Asterisk, instaladas dentro de la red local y con todas las extensiones que se conectan desde la misma red local. Con el aumento del trabajo desde remoto o teletrabajo, vamos a necesitar que haya también conexiones de extensiones remotas.

En esto caso una simple y el mismo tiempo segura solución es poner un Kamailio por delante de la PBX que funcione como Gateway TSL-SRTP/UDP-RTP; esto es configurando Kamailio para que reciba todo el trafico sobre una IP publica (Internet) y que luego dialogue con la PBX sobre una IP Privada. De esta forma toda la señalización que pasa por Internet es completamente cifrada (Señalización y Flujo media) mientras la comunicación entre Kamailio y la PBX se establece sobre las IP de la red local donde no se necesita, normalmente, algún cifrado.

Algunos podrán preguntarse: se podría hacer esto directamente con Asterisk PBX, cambiando la configuración del bloque de tipo transporte del archivo pjsip.conf; eso es cierto pero Kamailio tiene un valor añadido sobre Asterisk PBX: la posibilidad de aumentar la seguridad del servidor gracias a los distintos módulos disponibles (PIKE, SECFILTER, RATELIMIT), la posibilidad de configurar el atravesiamiento de NAT de una forma más granular y la posibilidad de analizar todas las solicitudes entrantes para corroborar que la sintaxis esté correcta y aceptable. Todas las solicitudes que no pasan estos controles, serán descartada.

En este VideoCurso veremos dos escenarios distintos:

Kamailio y Asterisk PBX instalados en el mismo servidor

Kamailio instalado en un servidor y Asterisk PBX instalado en un segundo servidor

La comunicación entre Kamailio y los usuarios será sobre TLS/SRTP es decir con cifrado de la señalización SIP y del flujo media y sobre la IP Publica del servidor. Las pruebas se han realizado con los siguientes Softphone/Teléfonos de mesa:

Microsip

Linphone

Blink

GrandStream WP820

La comunicación entre Kamailio y Asterisk PBX se realizará sin cifrado y utilizando la IP local de los dos servidores, esto quiere decir que Asterisk no será visible en la red publica.

En Asterisk se utilizará el canal pjsip y desde Asterisk se podrán sacar las llamadas a través de la configuración de una troncal que se autenticará con usuario y contraseña.

Para la configuración de Proveedores de números geográficos, deberíamos solicitar la autenticación con usuario y contraseña u optar para proveedores que permiten el trafico TLS/SRTP.

Ahora algunos datos relativos al curso:

Fecha: Sábado, 26 Noviembre 2022

Costo: 35 dólares

Duración: 3 horas de 9 am a 12 pm

El precio incluye:

el acceso de por vida a la grabación del VideoCurso

el acceso a las guías que les permitirá replicar la configuración presentada a lo largo del curso

un foro para preguntas

Si están interesados en participar, pueden utilizar el siguiente formulario de inscripción para reservar su cupo.

Los espero.
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

October 20, 2022

Andrea Sannucci Borrar registros colgados en el canal PJSIP de Asterisk PBX
Borrar registros colgados en el canal PJSIP de Asterisk PBX

En el canal PJSIP de Asterisk, bloque de tipo AOR es posible definir un parámetro, max_contacts donde se configura el numero máximo de dispositivos que podrán registrarse utilizando las mismas credenciales; esto quiere decir que si al usuario 1000 asociamos un bloque aor con el parámetro max_contacts=5, Asterisk aceptará el registros de hasta 5 dispositivos distintos.

Lo que a veces puede pasar es que por problemas de red o porque los usuarios no se de registran correctamente, se pueden quedar registros colgados aunque no activos. Esto implica que a pesar que ese registro no está activo, contribuye a la cuenta del numero máximo de dispositivos, además, si se ha configurado el dialplan para marcar a todos los dispositivos registrados de un determinado usuario, pueden presentarse problemas de señalización.

La primera opción, como en Asterisk PBX hay un temporizados que cada determinado tiempo actualiza esos registros, es esperar que se ejecute y que se actualicen los AOR de los usuarios.

La segunda opción que desconocía por completo es borrarlos desde la consola de Asterisk ya que por cada registros hay una entrada en la base de datos interna de Asterisk PBX.

Los paso a seguir son:

de registrar todos los teléfonos (si posible)

entrar a la consola de Asterisk:

asterisk -rvvvvvvvvvvvvvvvvvvvv

eliminar todos los registros con el comando

CLI> database deltree registrar/contact

la opción deltree del comando database permite borrar enteros grupos de datos presentes en la base de datos internas de Asterisk PBX.

A mi me pareció útil, ¿Qué opinan?
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

October 18, 2022

Andrea Sannucci Ataques de canal lateral en la comparación de llaves criptográficas
Hay un ataque de canal lateral que afecta la comparación de llaves criptográficas; este ataque puede llevar a la captura de estas llaves y por consecuencia a su utilizo por parte de los atacantes. Antes de empezar la explicación, ¿Qué es un ataque de canal lateral? Es un tipo de ataque que no se basa en algoritmos o ingeniería social sino en el propio funcionamiento de los sistemas como la sincronización de la información, el consumo de energía, las fugas electromagnéticas, los sonidos y, el que nos interesa, el ataque basado en la medición del tiempo que se tarda la maquina para ejecutar una determinada operación normalmente relacionada con algoritmos de criptografía. Tomamos este ejemplo:

// Genera un error si inputKey no es correcta

// inputKey y correctKey son ambas cadenas

function checkApiKey(inputKey, correctKey) {

if (inputKey !== correctKey) {

throw new Error("wrong key");

}

}

El operador !== es vulnerable a una ataque de canal lateral basado en la medición del tiempo; esto porque las dos claves se comparan byte por byte hasta que no se encuentre un byte que no empareje y se termine el procesamiento. Esto significa que si los primeros bytes son exactos la comparación continuará hasta encontrar un byte diferente y esto alargará temporalmente la ejecución del proceso de comparación. Midiendo ese tiempo será posible, byte a byte lograr conocer la clave, es decir tener éxito con el ataque de canal lateral. Un ejemplo: el atacante envía su primera clave y el primer byte no empareja; el proceso termina en seguida en un tiempo, por ejemplo, de 2 segundos. El atacante envía una segunda clave y el primer byte empareja pero el segundo no pues el proceso termina en un tiempo de 2,1 segundos. Comparando los distintos tiempos el atacante podrá, realizando muchas pruebas, conocer el valor de la clave.

Una solución definitiva a este problema es que la CPU de los procesadores tomen SIEMPRE el mismo tiempo para comparar las claves y de esta forma no dar pistas a los atacantes. Esto se ha llamado constant-time y por mucho tiempo los productores de procesadores han hecho caso omiso a esta importantísima temática afirmando que no se trataba de un problema de seguridad o una falla en su CPUs.

En una entrada en la lista de distribución Linux kernel del 25 de Agosto se comenta que Intel y ARM, cada uno a su manera, han dado una media solución al tema:

INTEL creando una bandera llamada MSR que se puede activar a nivel de Kernel del sistema y que implementaría el procesamiento de esta operaciones siempre utilizando un tiempo constante

ARM utiliza otro tipo de solución basada en un registro llamado DIT (Data Independent Time) que se puede también configurar a nivel de Kernel

Ahora el tema de discusión en distintos foros es si esta configuración tiene que ser la predefinida o dejar que cada usuario decida si activarla o no; esto porque parece que puede afectar un poco las prestaciones de la CPU.

Si hay más novedades, les comentaré
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

October 14, 2022

Andrea Sannucci Curso FreeSWITCH 1.10 - Segunda Edición
Después de tres años, vamos a estrenar la segunda edición del curso dedicado a FreeSWITCH, versión 1.10. Este vas a ser el ultimo curso que se dictará este año. En Marzo 2023 una nueva edición del curso de Kamailio Balanceo / Alta Disponibilidad. Un cambio importante es el pasaje de CentOS 7 a Rocky Linux 8.

Queremos recordar que es el único curso completamente en español disponible en internet dedicado a este SoftSWITCH. En nuestras búsquedas no hemos encontrado otros cursos similares.

FreeSWITCH es uno SWITCH B2BUA parecido a Asterisk pero con características muy peculiares que hacen que sea el preferido por muchos desarrolladores VoIP; es mucho más performante que Asterisk PBX. Si, por ejemplo, en un servidor con instalado Asterisk PBX podemos cursar 100 llamadas simultaneas, con FreeSWITCH seguramente más de 200; además de eso, FreeSWITCH logra procesar más llamadas por segundo que Asterisk, otro factor que SIEMPRE hay que tener en consideración.

Algunas características especificas de FRESWITCH son:

Archivos de configuración en formato XML

Servidor y Gateway WebRTC con señalización VERTO (Basada en JSON) Y SIP. La señalización VERTO es totalmente desarrollada por el equipo de FreeSWITCH

Configuración predefinida con muchísimas opciones ya activas y fácil de gestionar

Posibilidad de realizar Videoconferencias audio/video con un gran abanico de opciones

Utilizo de Phrase Macros que permiten una gestión mucho más dinámica de las locuciones audio y de los IVR

Modulo LCR (least cost routing) que permite seleccionar la mejor ruta disponible por cada numero marcado

Cifrado del flujo media con el protocolo ZRTP

En este curso realizaremos una configuración que abordará los siguientes escenarios:

Llamadas entre extensiones

Gestión de NAT

Llamadas entrantes y salientes

Llamadas cifradas

IVR

Buzón de voz

Conferencias Audio/Video

Configuración Multi dominio

WebRTC

Respaldo de llamadas

DEBUG y seguridad

Algunos datos del curso:

Duración: 4 semanas (de 7 Noviembre - 4 Diciembre 2019)

Videoconferencias: 4

Temas de las Videoconferencias:

Presentación del curso y Protocolo SIP

Perfiles SIP, Dialplan, Contextos, Configuración de Extensiones y llamadas entre ellas, Negociación de Codec audio en las llamadas, Dialplan y Expresiones regulares, Gestión de NAT, Llamadas entrantes y salientes (Gateway y Números Geográficos), Llamadas seguras (TLS, SRTP, ZRTP)

Modulo LCR, IVR, Conferencia audio/video, WebRTC

DEBUG, Seguridad y Monitoreo

Costo: 150 dólares o 700 mil pesos colombianos (COP)

Descuentos:

15% pronto pago/inscripción temprana; pagos realizados antes del 30 de Octubre 2022

20% para grupos de 3 o más personas de la misma empresa

25% para inscritos que ya han participado en un curso organizado por VozToVoice

IMPORTANTE: los descuentos no son acumulables

Para participar, rellenen el formulario de inscripción.

En anexo, más informaciones y temario del curso.
Adjunto Tamaño

programa_curso_freeswitch.pdf 78.59 KB
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

Adjunto	Tamaño
programa_curso_freeswitch.pdf	78.59 KB

September 26, 2022

Andrea Sannucci Clonar un VPS de Linode para mejorar las prestaciones
Si tienen un VPS con Linode desde hace tiempo, es posible que se encuentren en esta situación:

cat /proc/cpuinfo

Un procesador relativamente viejo (2017). Como Linode ha actualizado muchos de sus servidores, es muy probable que si se clona un servidor, en el nuevo se aproveche un procesador más rápido y con mejores prestaciones. En este breve articulo voy a explicar como hacerlo. Primero apagamos el servidor que queremos clonar utilizando el menú presente al final de la linea que identifica el servidor:

luego seleccionamos el mismo menú y escogemos Clone:

en la pagina que aparece seleccionamos el servidor que queremos clonar, la Región donde lo queremos crear y las características del nuevo servidor (pueden ser iguales al clonado):

tendremos el nuevo servidor disponible:

si en el servidor clonado teníamos activada también una IP local, la añadimos al nuevo servidor seleccionándolo:

escogiendo la pestaña Network y luego:

Ahora para terminar el proceso, aprovechamos la funcionalidad de Linode de poder intercambiar las IPs de los servidores; en la misma pestaña Network seleccionamos:

y luego:

cambiando las IP publica y privada del nuevo servidor con aquellas del clonado. Terminamos con SAVE. Ahora podemos encender el servidor, acceder y mirar el nuevo procesador:

cat /proc/cpuinfo

He hecho este proceso con dos servidores Asterisk que tenía y la verdad, con pruebas que he realizado, con el nuevo servidor he podido doblar el numero de llamadas pasando de 40 a 80 llamadas simultaneas. Considerando que el servidor cuesta 5 dólares al mes, no está nada mal.
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

September 12, 2022

Andrea Sannucci Dos métodos de Intercambio de claves pos-cuánticos ya se han roto: SIDH y SIKE
Estos dos métodos de intercambios de claves pos-cuánticos y que hasta hace poco participan en la competencia para los nuevos sistemas de criptografía del futuro, han sido completamente rotos utilizando computadores clásicos.

Las dos siglas están por supersingular isogeny Diffie-Hellman y supersingular isogeny key encapsulation respectivamente; el segundo método es una variación del primero.

He encontrado un muy buen articulo acerca de SIDH y la pagina del proyecto SIKE.

La buena noticias es que afortunadamente se han descubierto las fallas por tiempo, antes que los dos métodos hubieran sido incorporados en algún sistema de cifrado.
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

September 03, 2022

Andrea Sannucci Librería WolfSSL llega a la versión 5.4.0 y se puede integrar con la versión 3.2 de OpenSIPs
La librería WolfSSL de que se ha hablado en este blog hace unos meses, llega a la versión 5.4.0 con la gran novedad del soporte del protocolo DTLS versión 1.3 (Protocolo de Seguridad de Capa de Transporte) utilizado para cifrar el flujo media cuando se utilice WebRTC.

Desde la versión 3.2 de OpenSIPs es posible decidir si utilizar la librería OpenSSL o la librería WolfSSL para la gestión del cifrado de la señalización SIP. Su instalación es bastante sencilla:

cd /usr/src

git clone https://github.com/OpenSIPS/opensips.git -b 3.2 opensips_3_2 --recursive

cd opensips_3_2

make menuconfig

donde se selecciona la librería para que se compile en Configure Compile Option → Configure Excluded Modules:

de esta forma se compilarán la dos librerías y el modulo para la gestión de los certificados y configuración del protocolo TLS en OpenSIPs. No olvidemos que WolfSSL soporta el protocolo TLS versión 1.3 desde hace rato, considerado, por el momento, el más seguro a utilizar aunque la versión 1.2 todavía es solida. NO UTILIZAR VERSIONES ANTERIORES EN SU SERVIDORES EN PRODUCCIÓN

Por ahora es todo. Me comentan
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

August 23, 2022

Andrea Sannucci Kamailio World Conference Online 2022
Este año el Kamailio World Conference será otra vez online; ya se encuentra disponible el calendario con todas las ponencias. De interés:

7 septiembre 1pm UTC: Daniel-Constantin Mierla, Co-Founder Kamailio, asipto.com Present the latest features added to Kamailio and what is new in its ecosystem.

7 septiembre 2pm UTC: Basic NAT Handling Fred Posner, VoIP Consultant, lod.com

8 septiembre 3pm UTC: Build VoIP Clusters With Kamailio, NATS and Lua Seven Du, VoIP Consultant Sharing from 15+ years of experience of building various VoIP systems using open source solutions, introducing applications and tools that can be used together to build a VoIP cluster which scales from a tiny IP-PBX to a VoIP cloud: xTra - a Lua framework works both in Kamailio and FreeSWITCH (also in Nginx for WebRTC/WebSocket Proxy); NATS - clustering, bi-directional controlling between Kamailio and FreeSWITCH using Pub/Sub; XUI - Web UI for Kamailio and FreeSWITCH configurations.
- Kamailio
- Kamailio World
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

August 19, 2022

Andrea Sannucci Servidor Web Apache y el modulo mod_security en CentOS 7
En otra entrada estuvimos hablando de como aumentar la seguridad de nuestro servidor Web Apache a través del modulo mod_evasive pensado para mitigar el efecto de los ataques DoS y DDoS. En esta entrada hablaremos de un modulo mucho más potente, completo y complejo que nos permite llegar a un nivel de seguridad mucho más avanzado. Este modulo se llama mod_security; mod_security es un modulo que trabaja como cortafuego para aplicaciones Web. Una premisa: el 70% de los ataques que recibe un servidor, se realizan a nivel del servidor Web y se basan en solicitudes de tipo POST que contienen un anexo que el sistema de LOG base del servidor Web no es capaz de analizar.

mod_security es capaz de analizar cualquier tipo de anexo presente en las solicitudes recibidas y, trabajando en tiempo real, es capaz de analizar todo el trafico en entrada y bloquear cualquier tipo de solicitud que considera sospechosa. Todas las reglas se pueden personalizar ofreciendo un producto solido, versátil y altamente profesional.

En CentOS 7 podemos instalar mod_security de tres formas; la más sencilla es desde los paquetes presentes en los repositorios:

yum install mod_security mod_security-mlogc mod_security_crs

El primer paquete es el modulo, el segundo permite tener un LOG de auditoría donde es posible revisar que tipo de trafico se ha bloqueado y en base a que regla, el tercer modulo contiene todas las reglas que se pueden personalizar y que se activarán junto al modulo.

La segunda forma es instalar solamente el modulo y el paquete de LOG de auditoría:

yum install mod_security mod_security-mlogc

y luego bajar las reglas actualizadas desde GitHub:

cd /usr/src/

git clone https://github.com/SpiderLabs/owasp-modsecurity-crs.git

entrar en la carpeta:

cd owasp-modsecurity-crs

copiar el archivo de configuración general de las reglas en la carpeta donde el modulo mod_secutiry lo buscará por defecto:

cp crs-setup.conf.example /etc/httpd/modsecurity.d/crs-setup.conf

copiar todas las reglas en la carpeta donde el modulo mod_secutiry las buscará por defecto:

cp rules/* /etc/httpd/modsecurity.d/activated_rules/

La versión de mod_security presente en CentOS7 es:

yum info mod_security

la versión 2.9.2 y de ahí la tercera forma de instalar el modulo que es directamente desde las fuentes para aprovechar la ultima versión disponible que es este momento (Agosto 2022) es la 3.0.7. Primero los paquetes para poder realizar la compilación desde las fuentes:

yum groupinstall "Development tools" -y

luego algunas dependencias especificas de mod_security:

yum install lua-devel httpd-devel libxml2 pcre-devel libxml2-devel curl-devel -y

Ya se puede descargar la ultima versión disponible:

cd /usr/src

wget https://github.com/SpiderLabs/ModSecurity/releases/download/v3.0.7/modse...

se descomprime:

tar -xf modsecurity-v3.0.7.tar.gz

se entra en la carpeta de las fuentes:

cd modsecurity-v3.0.7

se inicia la compilación:

./autogen.sh

./configure

make

para averiguar que todo esté bien:

make CFLAGS=-DMSC_TEST test

El resultado:

se termina con:

make install

se copian los archivos de configuración predefinidos de mod_security y del LOG de autoría en las respectivas carpetas. Más adelante hablaremos del archivo de configuración y sus parámetros:

cp modsecurity.conf-recommended /etc/httpd/conf.d/modsecurity.conf

cp mlogc/mlogc-default.conf /etc/mlogc.conf

se copia el archivo que sigue, requerido por mod_security:

cp unicode.mapping /etc/httpd/conf.d/

El modulo depende, para su funcionamiento, de otro modulo, unique_id, que es parte del corazón del paquete httpd, pero para asegurarnos que se cargue correctamente junto al modulo mod_security:

nano /etc/httpd/conf.modules.d/10-mod_security.conf

se copian las siguientes lineas:

LoadModule security2_module modules/mod_security2.so

<IfModule !mod_unique_id.c>

LoadModule unique_id_module modules/mod_unique_id.so

</IfModule>

con la primera linea se carga el modulo mientras en el bloque de tres lineas que sigue, aplica la siguiente lógica: si el modulo mod_unique_id no está cargado, se carga ya que es requerido por el modulo mod_security.

Como se ha hecho con la segunda forma de instalar el modulo, se descargan y configuran las reglas:

cd /usr/src/

git clone https://github.com/SpiderLabs/owasp-modsecurity-crs.git

entrar en la carpeta:

cd owasp-modsecurity-crs

crear las carpetas donde se va a guardar el archivo de configuración general de las reglas y las reglas respectivamente:

mkdir -p /etc/httpd/modsecurity.d

mkdir -p /etc/httpd/modsecurity.d/activated_rules/

copiar el archivo de configuración general de las reglas en la carpeta donde el modulo mod_secutiry lo buscará por defecto:

cp crs-setup.conf.example /etc/httpd/modsecurity.d/crs-setup.conf

copiar todas las reglas en la carpeta donde el modulo mod_secutiry las buscará por defecto:

cp rules/* /etc/httpd/modsecurity.d/activated_rules/

A partir de este momento se puede empezar con la configuración del modulo a través del archivo dedicado.

IMPORTANTE: en el caso de la primera y segunda forma de instalación el archivo es el mismo. Con la tercera forma cambia ya que se copia desde las fuentes. Aquí vamos a utilizar el archivo como viene con las fuentes:

nano /etc/httpd/conf.d/mod_security.conf

donde encontraremos todas una serie de parámetros de configuración que vamos a analizar en detalle pero primero, antes de esta linea:

SecRuleEngine DetectionOnly

añadimos:

<IfModule mod_security2.c>

# ModSecurity Core Rules Set configuration

IncludeOptional modsecurity.d/*.conf

IncludeOptional modsecurity.d/activated_rules/*.conf

de esta forma se cargará el archivo de configuración de las reglas y todas las reglas presentes en la carpeta activated_rules. Al final del archivo se añade la siguiente linea:

</IfModule>

para cerrar el If abierto con el bloque añadido al inicio del archivo. Volviendo al inicio del modulo el primer parámetro que encontramos y que es quizás el más importante es:

SecRuleEngine

on aplica las reglas a las solicitudes recibidas

off no aplica las reglas

DetectionOnly aplica las reglas pero no realiza ningún tipo de acción de bloque. Es la configuración aconsejada cuando se instala el modulo. Solamente después de probar el servidor y tener la certeza que todo funciona bien, se puede cambiar a on

SecRequestBodyAccess

on el modulo tiene acceso a los anexos presentes en las solicitudes recibidas, que, como dijimos anteriormente, son las que se utilizan para lanzar ataques

off no se accede a los anexos

SecRule es el parámetro que se puede repetir más de una vez en el archivo y es donde se definen las reglas generales del modulo. El parámetro tiene la siguiente sintaxis:

variable

operator

action

ejemplo: en el archivo la primera vez que aparece es para permitir parsear los anexos XML

SecRequestBodyLimit: el tamaño máximo de un anexo que mod_security aceptará en el área de trabajo. El valor es en byte y el predefinido es 13107200 que corresponde a 12,5 MByte. Si llega alguna solicitud con un anexo de tamaño más grande, el servidor web contestará con el siguiente mensaje de error: 413 Request Entity Too Large. Limite máximo intrínseco al modulo: 1 GB

SecRequestBodyNoFilesLimit: el tamaño máximo de una anexo que mod_security aceptará cuando no se trata de un archivo. El valor predefinido corresponde a 128KBytes

SecRequestBodyInMemoryLimit: el tamaño máximo de una anexo que mod_security aceptará en la memoria de trabajo. El valor predefinido corresponde a 128 KBytes

SecRequestBodyLimitAction: controla que tipo de acción se toma cuando llega una solicitud con un anexo de tamaño más grande al definido en el parámetro SecRequestBodyLimit:

reject: se rechaza

ProcessPartial: se procesa parcialmente hasta llegan al tamaño máximo definido. IMPORTANTE: si SecRuleEngine = DetectionOnly el valor de este parámetro se configurará automáticamente en ProcessPartial

SecResponseBodyAccess: se define si los anexos presentes en las repuestas (no en las solicitudes) se aceptarán en el área de trabajo de mod_security.

On: activo

Off: no activo

SecResponseBodyMimeType: que tipo de anexo de las respuestas se analizarán si el parámetro anterior está en On:

text/plain: texto plano

text/html: formato HTML

text/xml: formato XML

SecResponseBodyLimit: tamaño maximo aceptado para el anexo presente en una respuesta; valor predefinido 524288 correspondiente a 512KBytes

SecResponseBodyLimitAction: acción que se tomará si el tamaño del anexo de la respuesta supera el valor presente en el parametro anterior

Reject: se rechaza

ProcessPartial: se procesa parcialmente hasta llegan al tamaño máximo definido

SecTmpDir: carpeta donde mod_security guardará los archivos temporales

/tmp/

SecDataDir: carpeta donde mod_security guardará los archivos persistentes

/tmp/

SecDebugLog: carpeta y archivo donde se guardará el debug del programa

/var/log/modsecurity/debug.log

SecDebugLogLevel

0: LOG desactivado

1: errores

2: Advertencias

3: noticias

4: detalles de como las transacciones se han procesado

5: como la anterior añadiendo más datos de las transacciones

9: cualquier tipo de operación realizada por el modulo

SecAuditEngine RelevantOnly

SecAuditLogParts ABIJDEFHZ

SecAuditLogType Serial

SecAuditLog /var/log/modsecurity/audit.log

NOTA Nextcloud

en uno de mis servidores tengo instalado Nextcloud y esto me ha creado dos tipos de problemas:

la aplicación para Windows 10 iOS dejaba de conectarse

si enviaba archivos de un tamaño más grande al definido en el parámetro SecRequestBodyLimit no pasaban

Par resolver el primero problema se añade Nextcloud a la lista blanca de mod_security:

nano /etc/httpd/modsecurity.d/crs-setup.conf

al final del archivo se añade:

SecAction \

"id:900130,\

phase:1,\

nolog,\

pass,\

t:none,\

setvar:tx.crs_exclusions_nextcloud=1"

se guardan los cambios. Para el segundo punto hay que aumentar el valor del parámetro SecRequestBodyLimit con una valor adecuado al tamaño de loas archivos que se manejan con Nextcloud ya que los archivos, del cliente al servidor, viajan como anexos a través del servidor web.
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

August 16, 2022

Andrea Sannucci Curso Kamailio Balanceo/Alta disponibilidad – Tercera Edición – Octubre 2022
El próximo mes de octubre tendrá lugar la tercera edición del curso de Kamailio Balanceo / Alta disponibilidad. En este curso, además de ver como funciona y como se configura el Proxy SIP Kamailio, veremos distintos escenarios que pueden ser muy útiles cuando se quiera escalar horizontalmente y/o verticalmente una o más PBX/Switch. Las NOVEDADES de este curso es que se trabajará con la versión 9 de Rocky Linux, la ultima version de Kamailio, la 5.6 y se dictará una videoconferencia de 3 horas dedicada a la configuración de alta disponibilidad.

Fecha de inicio: 3 Octubre 2022

El curso se compone de cuatro módulos semanales cuyo contenido es el siguiente:

Modulo I – Preparación del Servidor e instalación de Kamailio

Modulo II – Configuración de Kamailio como una PBX

Modulo III – Balanceo de carga y Alta Disponibilidad

Modulo IV – Monitoreo, Seguridad y Consola Web de Kamailio (Siremis)

Cada modulo está compuesto por textos, foros, videos y una videoconferencia que se dictará todos los martes a las 2pm hora de Colombia. Los temas de cada Videoconferencia serán:

Presentación del Curso y del Protocolo SIP

Configuración de Kamailio como una PBX

Configuración de Kamailio como balanceador de carga

Integración de Kamailio con Asterisk PBX – Consola Web Siremis

NOVEDAD IMPORTANTE: El sábado de la primera semana del curso, 8 de Octubre, se dictará una videoconferencia de 3 horas (de 9am a 12pm) dedicada a el alta disponibilidad donde se mostrará la configuración desde cero de dos servidores con instalado Kamailio utilizando Keepalived y Pacemaker con Corosync. Es posible participar solamente a este videoconferencia, al precio de 35 dólares, rellenando el formulario presente en está pagina.

Requisitos para participar:

conocimientos básicos de Linux (distribución Almalinux/Rocky Linux 64bit)

acceso a Internet de banda ancha

conocimientos básicos protocolo SIP (RFC3261)

¿A quien está dirigido?

Empresas que trabajan en el mundo VoIP y que quieran formar sus profesionales

Ingenieros de sistemas y/o Ingenieros informáticos

Programadores

¿Que Aprenderé?

Preparación del Servidor Linux con Rocky Linux 64bit versión 9.X

Instalación de Kamailio 5.6.X

Kamailio como PBX (SWITCH de Clase 5):

Registro y localización

Llamadas entre extensiones

Resolver problemas de NAT (señalización y audio de las llamadas)

Transcodificación Codec Audio en las llamadas y grabación de las llamadas a través de RTPEngine

Presencia y mensajes instantáneos

Llamadas entrantes y salientes

Servidor media para conferencias audio, correo de voz y test de echo

Configurar distintas empresas en el mismo servidor (Multi dominio)

Cifrado señalización SIP y flujo media (TLS y SRTP)

Kamailio como balanceador de carga (SWITCH de Clase 4):

Modulo DISPATCHER (Outbound Proxy y protocolo PATH). Como distribuir todas las solicitudes SIP o solamente las llamadas entre dos servidores Asterisk PBX.

Modulo LCR. Distribución de llamadas basadas en prefijos, pesos y prioridades

modulo DROUTING. Distribución de llamadas basada en reglas y permisos

Integración de Kamailio con Asterisk PBX:

Autenticación en Kamailio

Registro y localización de los dispositivos en Kamailio

Llamadas entre extensiones en Asterisk

Llamadas entrantes y salientes en Kamailio

Servicios Media (IVR, Buzón de voz, etc) en Asterisk

Conocer como configurar Kamailio en Alta disponibilidad con Keepalived o Pacemaker y Corosync

Gestionar y configurar Kamailio desde una interfaz Web (Siremis)

Puesta en seguridad de Kamailio:

modulo SANITY

modulo PIKE

modulo SECFILTER

modulo TOPOH

Fail2BAN

Monitoreo de Kamailio:

Homer SIP Capture Server

MONIT

Protocolo SNMP y Nagios

Numero de cupos disponibles: 15

Carga horaria de estudio: 10 horas/semana

¿Cuanto cuesta?

El valor del curso es de 200 dólares, 195 Euros o 850.000 pesos colombianos. Descuentos:

15% para pronto pago/inscripción temprana; pagos realizados antes del 24 de Abril;

20% para empresas que inscriban 3 o más empleados.

25% para “viejos” estudiantes que ya participaron en un curso organizado por VozToVoice

IMPORTANTE: Los descuentos no son acumulables y no incluyen el 19% de IVA si se solicita factura.

Formas de pago:

Paypal

Tarjeta de crédito

Transferencia bancaria pesos Colombianos (Colombia)

Transferencia bancaria Euro SEPA (Europa)

Transferencia bancaria Dólar ACH (USA)

El precio incluye:

Un VPS (servidor virtual privado) por cada inscrito para toda la duración del curso

Acceso a llamadas VoIP saliente que se realizarán a lo largo del curso

El alquiler de un numero geográfico de Estados Unidos para las pruebas de llamadas entrantes

Acceso al curso, a todos los materiales y a la grabación de las videoconferencias de por vida.

El precio no incluye:

todo lo que no está expresamente indicado en el apartado “El precio incluye”

En anexo a esta entrada mayores informaciones y temario.

Formulario de inscripción en esta pagina

Me comentan

Saludos
Adjunto Tamaño

programa_curso_kamailio.pdf 88.31 KB
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

Adjunto	Tamaño
programa_curso_kamailio.pdf	88.31 KB

July 06, 2022

Andrea Sannucci Linode soporta la distribución Kali Linux
Linode, el proveedor de Servidores virtuales que he más utilizado a lo largo de mi trayectoria profesional, desde hoy permite de escoger entre las distintas distribuciones Linux, Kali Linux:

Kali Linux es una distribución avanzada de Linux de código abierto utilizada para pruebas de penetración, piratería ética y evaluaciones de seguridad de red en su infraestructura en la nube.

Deberían probarla.

Saludos
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

June 10, 2022

Andrea Sannucci Ataques más comunes a las aplicaciones de aprendizaje de maquina (Machine Learning)
En este interesante articulo en inglés, podrán leer cuales son los ataques más comunes a aplicaciones de aprendizaje de maquina. El Aprendizaje de maquina o Machine Learning es la posibilidad para un programa y/o una aplicación de aprender a partir de los datos que se le envían en lugar de ser explícitamente programados para realizar un determinado tipo de tarea.

En la lista se encuentran los siguientes temas:

Evasión: cuando a través de un determinada operación se modifica el algoritmo de clasificación utilizado por la maquina de aprendizaje

Envenenamiento: inyectar datos falsos con el objetivo de que la maquina de aprendizaje produzca resultados incorrectos

Inferencia: si un atacante determina que tipo de datos se utilizan para entrenar una maquina de aprendizaje, esa información se puede utilizar para encontrar vulnerabilidades en la misma maquina

Troyanos: utilizo de distintas técnicas para crear código y/o datos que se presentan como legítimos pero que en la realidad estás diseñados para tomar el control de la maquina de aprendizaje o manipular componentes específicos de la misma

Puertas traseras: aprovechando vulnerabilidades del sistema o del ambiente donde el sistema se encuentra, se toma el control de la maquina de aprendizaje

Espionaje: estudiando atentamente la organización de la empresa, sus empleados y utilizando técnicas de ingeniería social se intenta acceder a los resultados producidos por la maquina y aprovecharlos según el contexto

Sabotaje: el objetivo es destruir y/o crear graves problemas de funcionamiento de la maquina de aprendizaje

Fraude: acceder al funcionamiento de la maquina de aprendizaje para producir datos falsos y/o utilizar la aplicación sin tener que pagar eventuales costos de utilizo

Como pueden ver, es un tema bastante interesante ya que sobre el OUTPUT de las maquinas de aprendizaje se basan, cada vez más, las tomas de decisiones en muchos entornos de producción y de pensamiento.

¿Qué opinan?
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

June 08, 2022

Andrea Sannucci Curso OpenSIPs Cluster para las Américas
Después de pensarlo un rato, he decidido organizar un curso de OpenSIPs Cluster para los países de Norte, Centro y Sur América; esto ofreciendo un precio más abordable en comparación con el costo de la edición anterior que era de 250 dólares. Este curso está abierto solamente a las personas que viven en los países presentes en el formulario de inscripción.

Primera pregunta: ¿Para que un curso de OpenSIPs Cluster?

OpenSIPs soporta el Cluster de Servidores Proxy desde la versión 2.4 (ahora estamos en la 3.2), tiene un modulo dedicado y se puede aprovechar este tipo de configuración para muchos escenarios. A lo largo del curso veremos:

Federated User Location Cluster: independientemente de donde se registren los usuarios, entre los distintos proxy disponibles en el Cluster de servidores, podrán llamarse y comunicarse sin ningún tipo de problema

Presencia: será posible compartir el estado de los dispositivos entre todos los servidores parte del cluster

Modulo LOAD_BALANCER: utilizado para distribuir las llamadas entre distintos Gateway/Troncales; cada servidor parte del Cluster podrá conocer en cualquier momento el estado de los Gateway y compartir los datos relacionados con las llamadas que se están cursando y crear perfiles de llamadas apoyándose en el modulo DIALOG

Modulo DROUTING: utilizado para procesar llamadas según las reglas y los grupos configurados, puede aprovechar también el modulo CLUSTERER para compartir toda una serie de datos relacionados con las llamadas. Se integra con el modulo QROUTING que permite crear estadísticas de calidad de los Gateway configurados y de esta forma poder escogerlos en base a su desempeño

Modulo DISPATCHER: no es tan avanzado como el correspondiente modulo de Kamailio pero también se integra con el modulo CLUSTERER

Además de estos temas relacionados con el modulo CLUSTERER, veremos también como realizar una configuración de Alta Disponibilidad utilizando dos escenarios distintos:

el programa KeepAlived

El sistema de alta disponibilidad de CentOS basado en Pacemaker y Corosync (sistema procedente de RED HAT y presente también en la distribución Rocky Linux que se utilizará para el curso).

Cada participante tendrá disponibles dos servidores para poder realizar todas las configuraciones indicadas en las diferentes guías.

Ahora algunos datos relacionados con el curso:

Duración: 4 semanas (1 Agosto – 28 Agosto)

Requisitos para inscribirse:

conocimientos básicos de Linux (distribución CentOS)

acceso a Internet de banda ancha

conocimientos básicos protocolo SIP (RFC3261)

¿Que Aprenderé?

Preparación del Servidor Linux con CentOS 8 64bit

Instalación OpenSIPs 3.2.6 o superior

OpenSIPs como Registrar - Mid Registrar – Federated User Location Cluster

OpenSIPs y llamadas entre extensiones locales y remotas

Resolver problemas de NAT (audio de las llamadas y señalización)

OpensSIPs para Presencia y mensajes instantáneos - Cluster de presencia

OpenSIPs en un entorno multi-dominio

Configurar y utilizar Gateway VoIP para llamadas salientes – LOAD_BALANCER, DROUTING junto a QROUTING, en Cluster y el modulo DISPATCHER

Recibir llamadas de números geográficos y transferirlas a las extensiones configuradas en OpenSIPs

Integrar OpenSIPs con un media server para conferencias audio, correo de voz y test de echo

Configurar dos servidores OpenSIPs en alta disponibilidad con Keepalived

Configurar dos servidores OpenSIPs en alta disponibilidad con Pacemaker y Corosync sin que las llamadas en curso se caigan

Gestionar y configurar OpenSIPs desde una interfaz Web (OpenSIPs Console)

Monitoreo y puesta en seguridad del Servidor Linux y de OpenSIPs

¿Cómo funciona?

El curso se divide en 4 módulos semanales. Cada estudiante podrá acceder al campus las 24 horas y ir desarrollando las tareas programadas. El curso es muy practico y cada guía incluye siempre una parte teórica y una practica. Las guías tienen una secuencia lógica y NO ES POSIBLE saltar de una a otra.

Cada lunes, a las 2pm hora de Colombia, tendrá lugar una videoconferencia. Los temas abordados en cada videoconferencia serán:

Presentación del curso y Protocolo SIP

OpenSIPs como una PBX

Balanceamiento de Carga, cluster de servidores y Alta disponibilidad

Consola Web de OpensIPs

¿Donde se dicta el curso?

El curso es a distancia y se dicta en el Campus de VozToVoice.

Carga horaria de estudio promedio: 10 horas/semana

IMPORTANTE: si no tienen el tiempo disponible indicado, es aconsejado no inscribirse para no perder dinero y tiempo.

¿Cuanto cuesta?

El valor del curso es de 150 dólares, 140 Euros o 570.000 pesos colombianos. Para aquellos que necesiten factura hay que añadir, al valor del curso, el 19% de IVA.

Descuentos:

10% para pronto pago si te inscribes antes del 25 de Julio de 2022

15% para viejos estudiantes es decir personas que ya han participado en un curso organizado por VozToVoice

IMPORTANTE: los descuentos no son acumulables

Formas de pago:

Paypal – No Colombia

Tarjeta de crédito

Transferencia bancaria pesos Colombianos (Bancolombia)

Transferencia bancaria Euro SEPA (Europa)

Transferencia bancaria Dólar ACH (USA)

El precio incluye:

Dos servidores remotos virtuales con IP flotante disponible para toda la duración del curso (4 semanas)

Troncales SIP para probar las llamadas salientes

Numero geográfico de Estados Unidos para las pruebas de llamadas entrantes

Acceso indefinido a los contenidos del curso y eventuales actualizaciones

Un foro por cada modulo para preguntas relacionadas con el curso

Un área de Chat donde se puede solicitar la presencia del tutor del curso

Al terminar el curso se entregará un certificado de asistencia de 40 horas, respaldado por la empresa

Mesa Proyectos SAS.

Para inscribirse utilicen en siguiente formulario

En anexo el temario completo del curso.

Me comentan
Adjunto Tamaño

programa_curso_opensips.pdf 65.01 KB
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

Adjunto	Tamaño
programa_curso_opensips.pdf	65.01 KB

April 18, 2022

Andrea Sannucci OpensSIPs vs Kamailio: ¿Qué Proxy SIP utilizar?
OpenSIPs y Kamailio son seguramente los dos Proxy SIP con licencia OpenSource más utilizados en la implementación de plataformas de comunicación basadas en el protocolo SIP (RFC3261). Gracias a ellos, además de poder escalar horizontalmente y verticalmente en nuestra infraestructura, podemos trabajar con el protocolo SIP a un nivel más bajo, cosa que no permiten PBX/SWITCH como Asterisk PBX y/o FreeSWITCH.

Ahora la pregunta de un millón que siempre me hacen los participantes de los distintos cursos que dicto: ¿Qué Proxy utilizar? ¿Cual de los dos es el mejor?

Mi respuesta es siempre la misma: DEPENDE

Depende del tipo de escenario que necesitamos implementar o del tipo de objetivo que tenemos que alcanzar. Les voy a dar algunos Ejemplos:

distribución de llamadas entre uno o más Gateway/PBX: personalmente prefiero el modulo LOAD BALANCER de OpenSIPs por su sencillez, facilidad de implementación y posibilidad de trabajar en un Cluster de servidores OpensSIPs

distribución de solicitudes SIP: seguramente el modulo DISPATCHER de Kamailio que permite 14 algoritmos de distribución, cada unos de ellos con sus características y peculiaridades. En OpenSIPs el mismo modulo no ha hecho grandes progresos y parece que se haya quedado un poco atrás

Cluster de Servidores: seguramente OpenSIPs que con su modulo CLUSTERER permite una relativamente fácil y monitoreable configuración de un cluster de servidores OpenSIPs compuesto por dos o más Proxy SIP. Personalmente lo uso desde la versión 2.4 de OpenSIPs y nunca me ha dado problemas.

Integración con FreeSWITCH: en el caso de OpenSIPs la integración es nativa en el sentido que OpenSIPs se puede conectar directamente a el EVENT SOCKET LAYER de FreeSWITCH y de esta forma enviar comandos a lo SWITCH o recibir eventos generados en FreeSWUTCH. Su implementación se basa en dos módulos: FREESWITCH y FREESWITCH SCRIPTING

IP MULTIMEDIA SYSTEM (IMS): seguramente Kamailio ya que OpenSIPs no tiene ningún modulo relacionado con este protocolo

Distribución de llamadas basadas en LCR (Least cost ruting): Kamailio tiene un modulo dedicado. LCR

Cantidad de Modulos y Opciones: seguramente Kamailio que en cada nueva versión implementa siempre nuevos módulos con sus relativas configuraciones

Comunidad de usuarios: la comunidad de usuarios/desarrolladores de Kamailio me parece mucho más activa que la de OpenSIPs.

Claramente estos son solamente algunos ejemplos. En el caso en que necesiten un escenario que es posible implementar con cualquiera de los dos Proxy, yo me orientaría por Kamailio; me parece un pelín más estable y solido que OpenSIPs

¿Que Opinan?
Vota el Articulo:

Promedio: 5 (1 voto)

Evalúa la calidad del articulo

April 12, 2022

Andrea Sannucci Ataques DdoS Segundo Trimestre 2021 – CloudFlare
Aunque un poco fechado, el documento que encuentran anexo a esta entrada es supremamente interesante e importante para tener una idea de los ataques DdoS que se estás presentando en el mundo y que tipo de objetivos tienen.

Según este reporte, publicado por CloudFlares, podemos saber que:

el 11% de los clientes de CloudFlares que fueron blanco de un ataque DDoS, antes del ataque recibieron una amenaza con solicitud de rescate para no ser atacados

Los ataques DDoS dirigidos hacia los servicios Web (HTTP) aumentaron del 491% para el sector publico y el 684% para servicios al consumidor; esto respecto al trimestre anterior

China sigue siendo el país con mayor cantidad de actividad DDoS

Los países más atacados son China y Estados Unidos

los ataques de tipo Ransomware con solicitud de rescate subieron de manera preocupante

Más informaciones en el documento anexo

Me comentan
Adjunto Tamaño

whitepaper_ddos.pdf 1.68 MB
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

Adjunto	Tamaño
whitepaper_ddos.pdf	1.68 MB

April 05, 2022

Andrea Sannucci El proveedor Linode y los nuevos procesadores AMD 7542
El proveedor Linode, del que se ha hablado en distintas ocasiones en este Blog, está cambiando paulatinamente los servidores con los nuevos procesadores AMD 7542. La empresa Cloud Spectator ha realizado distintos tipos de pruebas comparando los nuevos servidores de Linode con servidores de otras empresas, basados en Intel.

El resultado es que Linode, en la mayoría de las pruebas, se ha demostrado más performante que los demás proveedores. Esto en cuanto a resultados y a resultados por dólar gastado para el alquiler.

Les comparto el PDF donde se muestran todos los resultados. Entre los servidores que tengo alquilado con Linode, por ahora solamente uno ya implementa los nuevos procesadores:

Me comentan

Adjunto Tamaño

linode_cloudspectator_cloudcpubenchmarkreport_032021.pdf 4.16 MB
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

Adjunto	Tamaño
linode_cloudspectator_cloudcpubenchmarkreport_032021.pdf	4.16 MB

March 27, 2022

Andrea Sannucci Curso Online Kamailio Balanceo/Alta disponibilidad – Segunda Edición
Hola a tod@s, a partir de este momento quedan abiertas las inscripciones a la segunda edición del curso de Kamailio Balanceo / Alta disponibilidad. En este curso, además de ver como funciona y como se configura el Proxy SIP Kamailio, veremos distintos escenarios que pueden ser muy útiles cuando se quiera escalar horizontalmente y/o verticalmente una o más PBX/Switch.

Fecha de inicio: 2 Mayo 2022

El curso se compone de cuatro módulos semanales cuyo contenido es el siguiente:

Modulo I – Preparación del Servidor e instalación de Kamailio

Modulo II – Configuración de Kamailio como una PBX

Modulo III – Balanceo y Alta Disponibilidad

Modulo IV – Monitoreo, Seguridad y Consola Web de Kamailio (Siremis)

Cada modulo está compuesto por textos, foros, videos y una videoconferencia que se dictará todos los martes a las 2pm hora de Colombia. Los temas de cada Videoconferencia serán:

Presentación del Curso y del Protocolo SIP

Configuración de Kamailio como una PBX

Configuración de Kamailio como balanceador de carga

Integración de Kamailio con Asterisk PBX – Consola Web Siremis

Requisitos para participar:

conocimientos básicos de Linux (distribución Almalinux/Rocky Linux 64bit)

acceso a Internet de banda ancha

conocimientos básicos protocolo SIP (RFC3261)

¿A quien está dirigido?

Empresas que trabajan en el mundo VoIP y que quieran formar sus profesionales

Ingenieros de sistemas y/o Ingenieros informáticos

Programadores

¿Que Aprenderé?

Preparación del Servidor Linux con CentOS 8/Rocky Linux 64bit

Instalación de Kamailio 5.5.X

Kamailio como PBX (SWITCH de Clase 5):

Registro y localización

Llamadas entre extensiones

Resolver problemas de NAT (señalización y audio de las llamadas)

Transcodificación Codec Audio en las llamadas y grabación de las llamadas a través de RTPEngine

Presencia y mensajes instantáneos

Llamadas entrantes y salientes

Servidor media para conferencias audio, correo de voz y test de echo

Configurar distintas empresas en el mismo servidor (Multi dominio)

Cifrado señalización SIP y flujo media (TLS y SRTP)

Kamailio como balanceador de carga (SWITCH de Clase 4):

Modulo DISPATCHER (Outbound Proxy y protocolo PATH). Como distribuir todas las solicitudes SIP o solamente las llamadas entre dos servidores Asterisk PBX.

Modulo LCR. Distribución de llamadas basadas en prefijos, pesos y prioridades

modulo DROUTING. Distribución de llamadas basada en reglas y permisos

Integración de Kamailio con Asterisk PBX:

Autenticación en Kamailio

Registro y localización de los dispositivos en Kamailio

Llamadas entre extensiones en Asterisk

Llamadas entrantes y salientes en Kamailio

Servicios Media (IVR, Buzón de voz, etc) en Asterisk

Conocer como configurar Kamailio en Alta disponibilidad con Keepalived o Pacemaker y Corosync

Gestionar y configurar Kamailio desde una interfaz Web (Siremis)

Puesta en seguridad de Kamailio:

modulo SANITY

modulo PIKE

modulo SECFILTER

modulo TOPOH

Fail2BAN

Monitoreo de Kamailio:

Homer SIP Capture Server

MONIT

Protocolo SNMP y Nagios

Numero de cupos disponibles: 15

Carga horaria de estudio: 10 horas/semana

¿Cuanto cuesta?

El valor del curso es de 200 dólares, 180 Euros o 750.000 pesos colombianos. Descuentos:

15% para pronto pago/inscripción temprana; pagos realizados antes del 24 de Abril;

20% para empresas que inscriban 3 o más empleados.

25% para “viejos” estudiantes que ya participaron en un curso organizado por VozToVoice

IMPORTANTE: Los descuentos no son acumulables y no incluyen el 19% de IVA si se solicita factura.

Formas de pago:

Paypal

Tarjeta de crédito

Transferencia bancaria pesos Colombianos (Colombia)

Transferencia bancaria Euro SEPA (Europa)

Transferencia bancaria Dólar ACH (USA)

El precio incluye:

Un VPS (servidor virtual privado) por cada inscrito para toda la duración del curso

Acceso a llamadas VoIP saliente que se realizarán a lo largo del curso

El alquiler de un numero geográfico de Estados Unidos para las pruebas de llamadas entrantes

Acceso al curso, a todos los materiales y a la grabación de las videoconferencias de por vida.

El precio no incluye:

todo lo que no está expresamente indicado en el apartado “El precio incluye”

En anexo a esta entrada mayores informaciones y temario.

Formulario de inscripción en esta pagina

Me comentan

Saludos
Adjunto Tamaño

programa_curso_kamailio.pdf 87.33 KB
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

Adjunto	Tamaño
programa_curso_kamailio.pdf	87.33 KB

March 01, 2022

Andrea Sannucci La censura es censura por donde se mire
Vota el Articulo:

Promedio: 5 (1 voto)

EvalÃºa la calidad del articulo

video:

February 08, 2022

Andrea Sannucci Como mitigar ataques de tipo SYN Flood en Linux
En esta entrada veremos como mitigar los ataques de tipo SYN Flood en Linux. Cuando se intenta crear una conexión utilizando el protocolo TCP, los pasos que se realizan son tres:

El cliente envía una paquete SYN al servidor para solicitar una nueva conexión

el servidor contesta con un SYN/ACK indicando que reconoció la solicitud. A partir de este momento se queda a la espera de la confirmación definitiva del cliente dejando abierto un puerto y recursos para esa eventual conexión

el cliente confirma con un ACK indicando que recibió el paquete procedente del servidor. A partir de este momento la creación de la conexión termina y sobre esa conexión cliente y servidor podrán intercambiar todos los datos que necesiten.

Visto Gráficamente:

Este tipo de ataque se puede realizar de tres formas distintas:

enviando un alto numero de solicitudes SYN desde IP reales y no contestando el SYN/ACK recibido por el servidor. Como los recursos disponibles en el servidor son finitos, cuando se alcancen, el servidor no podrá atender más solicitudes de ese tipo enviadas por usuarios reales

enviando un alto numero de solicitudes presentándose con IP que no son realmente aquellas desde donde salen las solicitudes; el atacante, previamente, se habrá asegurado que desde esas IP nunca se contesten los paquetes SYN/ACK enviados por el servidor

el tercer y más efectivo ataque es de tipo distribuido; el atacante ha tomado el control de distintos servidores (botnet) y desde ahí inicia el ataque que le permite tener un mucho más alto volumen de paquetes

En Linux podemos mitigar estos tipos de ataques utilizando dos tipos de defensas:

la configuración de algunos parámetros relativos al Kernel

añadiendo algunas reglas a el cortafuegos (IPTables)

Para el primer punto se realiza la siguiente configuración:

nano /etc/sysctl.conf

al final del archivo se añaden las siguientes lineas:

net.ipv4.tcp_max_syn_backlog=2048

net.ipv4.tcp_syncookies=1

net.ipv4.tcp_synack_retries=2

net.ipv4.conf.all.rp_filter=1

net.ipv4.conf.default.rp_filter=1

net.ipv4.conf.eth0.rp_filter=1

net.ipv4.conf.lo.rp_filter=1

cuyo significado es respectivamente:

se aumenta el numero de solicitudes de conexiones, que todavía no han recibido una respuesta definitiva, de que el servidor mantendrá memoria. Si el numero es bajo, el sistema se saturaría muy rápido. Si el numero es demasiado alto y el servidor no tiene muchos recursos disponibles, se podría crear problemas generales de funcionamiento

utilizado para evitar que un servicio quede totalmente inhabilitado por un ataque de tipo SYN FLOOD

numero de envíos de SYN/ACK si no se recibe una respuesta al primero enviado. Con un valor bajo el tiempo que quedará abierta un intento de conexión TCP será menor liberando el recurso de manera más rápida

las ultima 4 lineas se utilizan para descartar paquetes procedentes de IP Falsas a las que no es posible enrutar adecuadamente las respuestas

Cerramos el archivo. La nueva configuración aplicará al reiniciar el servidor; para que apliquen en seguida:

sysctl --system

Ahora podemos pasar al cortafuegos donde antes de cualquier tipo de configuración se añaden las siguientes reglas:

iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP

Con esta regla se bloquean todo los paquetes vacíos;

iptables -A INPUT -p tcp ! --syn -m state --state NEW -j DROP

con esta regla se rechazan paquetes de tipo SYN de nuevos intentos de conexión cuyo objetivo es crear una ataque de sipo SYN Flood;

iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP

esta regla nos permite mitigar ataques de tipo XMAS que se utilizan para conocer el tipo de router utilizado y de esta forma aprovechar cualquier tipo de vulnerabilidad presente en ese router. Estos paquetes se reconocen porque tienen todas las banderas (Flag) permitidas activadas;

Después de estas tres lineas pueden empezar con su configuración habitual, ejemplo:

iptables -A INPUT -i lo -j ACCEPT

iptables -A INPUT ! -i lo -d 127.0.0.0/8 -j REJECT

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A OUTPUT -j ACCEPT

iptables -A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT

…

etcétera. Terminando con:

iptables -A INPUT -j REJECT

iptables -A FORWARD -j REJECT

service iptables save

systemctl start iptables

Me comentan
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

February 01, 2022

Andrea Sannucci VULTR llega a Madrid y México City
VULTR, uno de los proveedores de servidores virtuales privados más utilizados, acaba de desembarcar a Madrid:

y ya desde hace un tiempo en México City:

Personalmente lo utilizo mucho para mis cursos y algunos proyectos que tengo activos desde hace tiempo. No recuerdo la ultima vez que tuve un problema y el suporte es muy rápido y eficiente, contestan casi en seguida cualquier incidencia, y si no tienen solución la escalan.

Si quieren conocer la latencia desde su locación, pueden utilizar este servicio; todavía no aparece el centro de datos de Madrid.

Me comentan si lo prueban.
Vota el Articulo:

Sin votos (todavía)

Evalúa la calidad del articulo

Planet SIP

November 06, 2023

Vota el Articulo:

November 04, 2023

October 27, 2023

October 24, 2023

Vota el Articulo:

October 18, 2023

Vota el Articulo:

September 23, 2023

September 18, 2023

Vota el Articulo:

September 16, 2023

Vota el Articulo:

September 15, 2023

Vota el Articulo:

September 06, 2023

Vota el Articulo:

August 30, 2023

Vota el Articulo:

August 28, 2023

Vota el Articulo:

July 03, 2023

Vota el Articulo:

June 26, 2023

Vota el Articulo:

May 21, 2023

Vota el Articulo:

May 16, 2023

Vota el Articulo:

May 08, 2023

Vota el Articulo:

April 10, 2023

Vota el Articulo:

March 08, 2023

Vota el Articulo:

March 06, 2023

Vota el Articulo:

Vota el Articulo:

March 01, 2023

Vota el Articulo:

February 16, 2023

Vota el Articulo:

February 03, 2023

Vota el Articulo:

January 31, 2023

Vota el Articulo:

December 16, 2022

Vota el Articulo:

December 10, 2022

Vota el Articulo:

December 05, 2022

Vota el Articulo:

November 30, 2022

Vota el Articulo:

November 25, 2022

Vota el Articulo:

November 21, 2022

Vota el Articulo:

November 16, 2022

Vota el Articulo:

November 12, 2022

Vota el Articulo:

November 10, 2022

Vota el Articulo:

Vota el Articulo:

November 08, 2022

Vota el Articulo:

November 05, 2022

Vota el Articulo:

video:

November 03, 2022

Vota el Articulo:

November 02, 2022

Vota el Articulo:

October 26, 2022

Vota el Articulo:

October 24, 2022

Vota el Articulo:

October 20, 2022