Palabras clave

Arranque del sistema

Scripts de inicio
SSH
Telnet
Derechos
Permisos
Supervisión
Inetd
Cron
Respaldo
Conexión en caliente
(«hotplug»)
PCMCIA
APM
ACPI
 Capítulo

Servicios Unix 9
Contenidos

Arranque del sistema 190 Inicio de sesión remoto 195 Administración de permisos 201
Interfaces de administración 203 syslog Eventos de sistema 206 El superservidor inetd 208
Programación de tareas con cron y atd 210 Programación de tareas asincrónicas: anacron 213 Cuotas 214
Respaldo 215 Conexión en caliente: hotplug 219
Gestión de energía: interfaz avanzada de configuración y energía (ACPI: «Advanced Configuration and Power Interface) 223

Este capítulo cubre un número básico de servicios que son comunes a varios sistemas
Unix. Todos los administradores deberían estar familiarizados con ellos.
 9.1. Arranque del sistema

Cuando inicia el equipo, los muchos mensajes que aparecen en la pantalla muestran varias ini-
cializaciones y configuraciones automáticas que se están ejecutando. Algunas veces deseará al-
terar ligeramente cómo funciona esta etapa, lo que significa que necesitará entenderlas bien.
Éste es el propósito de esta sección.
Primero el BIOS toma el control del equipo, detecta los discos, carga el registro maestro de ar-
ranque («MBR») y ejecuta el gestor de arranque. Este toma el control, busca el núcleo en el disco,
lo carga y lo ejecuta. Luego se inicializa el núcleo y empieza la búsqueda y montaje de la parti-
ción que contiene el sistema de archivos raíz y finalmente ejecuta el primer programa — init.
Frecuentemente esta «partición raíz» y su init están, de hecho, ubicados en un archivo virtual
del sistema que sólo existe en RAM (de aquí el nombre «initramfs», anteriormente llamado «ini-
trd» por «disco RAM de inicialización»: «initialization RAM disk»). El gestor de arranque carga
este sistema de archivos en memoria, muchas veces desde un archivo en el disco duro o desde
la red. Contiene sólo lo mínimo requerido por el núcleo para cargar el «verdadero» sistema de
archivos raíz: estos pueden ser módulos de controladores para el disco duro u otros dispositivos
sin los cuales el sistema no puede iniciar o, más frecuentemente, scripts de inicialización y mó-
dulos para ensamblar arreglos RAID, abrir particiones cifradas, activar volúmenes LVM, etc. Una
vez que se montó la partición raíz el initramfs entrega el control al verdadero init y la máquina
regresa al proceso de inicio estándar.
Actualmente sysv-rc («System V») provee el «init real» y esta sección documenta este sistema
de inicio.

CASO ESPECÍFICO En algunas situaciones, se puede configurar el BIOS para que no ejecute el
Arranque desde la red MBR sino que busque su equivalente en la red, haciendo posible construir
equipos sin disco duro o que son completamente reinstalados en cada ar-
ranque. Esta opción no está disponible en todo el hardware y generalmente
necesita una combinación apropiada de BIOS y placa de red.
El arranque desde la red puede utilizarse para ejecutar debian-installer o
FAI (revise la Sección 4.1, «Métodos de instalación» página 50).

VOLVER A LOS Un proceso es la representación en memoria de un programa en ejecución.

CIMIENTOS Incluye toda la información necesaria para la ejecución apropiada del progra-
El proceso, una instancia de ma (el código en sí pero también los datos que tiene en memoria, la lista de
un programa archivos que ha abierto, las conexiones de red que ha establecido, etc.). Un úni-
co programa puede ser instanciado en varios procesos inclusive bajo el mismo
ID de usuario.

Init pone en marcha varios procesos, siguiendo instrucciones del archivo /etc/inittab. El
primer programa ejecutado (el cual corresponde al paso sysinit) es /etc/init.d/rcS, un script
que ejecuta todos los programas en el directorio /etc/rcS.d/.
Entre estos encontrará sucesivamente programas a cargo de:
configurar el teclado de la consola;

190 El libro del administrador de Debian

 cargar controladores: el núcleo carga por sí mismo la mayoría de los módulos a medida que
el hardware es detectado; los controladores extras se cargan automáticamente cuando los
módulos correspondientes son listados en /etc/modules;
verificar la integridad de los sistemas de archivos;
montar particiones locales;
configurar la red;
montar sistemas de archivos de red (NFS).

SEGURIDAD Por convención el primer proceso iniciado es el programa init. Sin embargo,
Usar una consola como init es posible proveer una opción init al núcleo indicando un programa diferente.
para obtener derechos de Cualquier persona con acceso al equipo puede presionar el botón Reset y así
root reiniciarla. Entonces es posible, en el prompt del gestor de arranque, pasar la
opción init=/bin/sh al núcleo para obtener acceso root sin conocer la con-
traseña del administrador.
Para prevenirlo puede proteger el gestor de arranque con una contraseña.
También podría pensar en proteger el acceso al BIOS (casi siempre tiene
disponible un mecanismo de protección por contraseña) sin el cual un intruso
malicioso podría iniciar la máquina desde un medio removible que contiene
su propio sistema Linux, el cual podría utilizar para tener acceso a los datos
del disco duro del equipo.
Finalmente, tenga en cuenta que la mayoría de los BIOS tiene disponible
una contraseña genérica. Inicialmente destinado a resolver los problemas
de quienes han olvidado su contraseña, éstas ahora son públicas y están
disponibles en Internet (revíselo por su cuenta buscando «contraseñas genéri-
cas de BIOS» en algún motor de búsqueda). Todas estas protecciones im-
pedirán el acceso no autorizado a la máquina sin poder evitarlo por completo.
No existe una forma segura de proteger un equipo si el atacante puede acceder
a él físicamente; podría quitar el disco duro para conectarlo a un equipo bajo
su control de cualquier manera, o aún robar la máquina completa o borrar la
memoria del BIOS para eliminar la contraseña…

VOLVER A LOS Los módulos del núcleo también tienen opciones que puede configurar agre-
CIMIENTOS gando algunos archivos en /etc/modprobe.d/. Estas opciones se definen con
Módulos y opciones del directivas como: options nombre-del-módulo nombre-opción=valor-opción.
núcleo Puede especficar varias opciones con una sola directiva si es necesario.
Estos archivos de configuración están destinados a modprobe — el programa
que carga un módulo de núcleo con sus dependencias (los módulos también
pueden llamar otros módulos). El paquete kmod provee este programa.

Luego de esta etapa, init toma el control e inicia los programas activados en el nivel de ejecu-
ción («runlevel») predeterminado (generalmente el nivel 2). Ejecuta /etc/init.d/rc 2, un
script que inicia todos los servicios enumerados en /etc/rc2.d/ y aquellos cuyos nombres
comiencen con la letra «S». Los números de dos cifras que le sigue fueron utilizados histórica-
mente para definir el orden en el que se iniciarán los servicios, pero actualmente el sistema de
inicio predeterminado utiliza insserv, que programa todo automáticamente basándose en las

Capítulo 9 — Servicios Unix 191

 dependencias de los scripts. Cada script de inicio, por lo tanto, declar las condiciones a cumplir
para iniciar o detener el servicio (por ejemplo, si debe iniciar antes o después de otro servicio);
init luego los ejecuta en un orden que satisfaga estas condiciones. El enumerado estático de los
scripts ya no se tiene en cuenta (pero sus nombres siempre deben comenzar con «S» seguidos de
dos números y el nombre real del script utilizado para dependencias). Generalmente, se inician
primero los servicios de base (como los registros con rsyslogd o la asociación de puertos con
portmap) seguidos de los servicios estándar y la interfaz gráfica (gdm).
Este sistema de inicio basado en dependencias hace posible renumerar automáticamente los
scripts, lo que sería tediososo de hacer manualmente y limita el riesgo de error humano ya que
se realiza la programación según los parámetros indicados. Otro beneficio es que se pueden
iniciar los servicios en paralelo cuando son independientes entre ellos, lo cual puede acelerar el
proceso de inicio.

ALTERNATIVA Este libro describe el sistema de inicio utilizado de forma predeterminada en

Otros sistemas de inicio Debian (como es implementado por el paquete sysvinit), la cual deriva y here-
da de «System V » de sistemas Unix, pero existen otros. Jessie probablemente
incluya otro sistema de inicio predeterminado porque el actual ya no es ade-
cuado para la naturaleza dinámica de la informática.
file-rc es un sistema de inicio con un proceso muy simple. Mantiene el princi-
pio de niveles de ejecución pero reemplaza los directorios y enlaces simbólicos
con un archivo de configuración que le indica a init los procesos a iniciar y
el orden en el que hacerlo.
El sistema upstart todavía no fue probado perfectamente en Debian. Está
basado en eventos: los scripts de inicio no se ejecutan en un orden secuencial
sino en respuesta a eventos como la finalización de otro script del que de-
pende. Este sistema, creado en Ubuntu, está presente en Debian Wheezy pero
no es el predeterminado; sólo viene como reemplazo para sysvinit y una de
las tareas ejecutadas por upstart es ejecutar los scripts escritos para sistemas
tradicionales, especialmente aquellos del paquete sysv-rc.
Otra nueva alternativa que está ganando mucha fuerza es systemd. Su enfoque
es opuesto a los sistemas anteriores; en lugar de ejecutar todos los servicios
preventivamente y tener que lidiar con el orden de los mismos, systemd inicia
los servicios a pedido, de alguna forma similar a inetd. Pero esto significa
que el sistema de inicio necesita poder saber cómo se provee cada servicio
(puede ser a través de un zócalo, un sistema de archivo u otros) y, por lo tanto,
necesita pequeñas modificaciones en estos servicios. También es compatible
con los scripts de inicio de System V.
También existen otros sistemas y otros modos de operación, como runit,
minit o initng pero son relativamente especializados y poco difundidos.

init distingue varios niveles de ejecución («runlevel») y puede cambiar de uno a otro ejecutan-
do telinit nuevo-nivel. Inmediatamente, init ejecuta nuevamente /etc/init.d/rc con el
nuevo nivel de ejecución. Luego, este script ejecutará los servicios faltantes y detendrá aquellos
que ya no se desean. Para hacerlo, se refiere al contenido del archivo /etc/rcX.d (donde X rep-
resenta el nuevo nivel de ejecución). Los scripts cuyos nombres comienzan con «S» (por «start»,
iniciar) son los servicios a iniciar; aquellos cuyos nombres comienzan con «K» (por «kill», matar)

192 El libro del administrador de Debian

son los servicios a detener. El script no inicia ningún servicio que ya haya estado activo en el
nivel de ejecución anterior.
De forma predeterminada, Debian utiliza cuatro niveles de ejecución diferentes:
Nivel 0: sólo se lo utiliza temporalmente mientras se apaga el equipo. Como tal, sólo con-
tiene scripts «K».
Nivel 1: también conocido como modo de usuario único, corresponde al sistema en modo
degradado; sólo incluye servicios básicos y está destinado a operaciones de mantenimien-
to donde no se desea la interacción con usuarios normales.
Nivel 2: es el nivel para operaciones normales, lo que incluye servicios de red, una interfaz
gráfica, sesiones de usuario, etc.
Nivel 6: similar a nivel 0, excepto a que es utilizada durante la fase de cierre que precede
a un reinicio.
Existe otros niveles, especialmente del 3 al 5. De forma predeterminara están configurados para
operar de la misma forma que el nivel 2, pero el administrador puede modificarlos (agregando
o eliminando scripts en los directorios /etc/rcX.d correspondientes) para adaptarlos a necesi-
dades particulares.

Figura 9.1 Secuencia de inicio de un equipo ejecutando Linux

Capítulo 9 — Servicios Unix 193

 Todos los scripts en los varios directorios /etc/rcX.d son sólo enlaces simbólicos — creados
durante la instalación del paquete por el programa update-rc.d — que apuntan a los scripts
reales que están almacenados en /etc/init.d/. El administrador puede ajustar los servicios
disponibles en cada nivel de ejecución ejecutando update-rc.d nuevamente con los parámet-
ros correctos. La página de manual update-rc.d(1) describe la sintaxis en detalle. Sepa que
eliminar todos los enlaces simbólicos (con el parámetro remove) no es un buen método de de-
sactivar un servicio. En su lugar, simplemente debería configurar para que el mismo no se eje-
cute en el nivel de ejecución deseado (preservando las llamadas para detenerlo en caso que el
servicio esté ejecutando en el nivel de ejecución anterior). Debido a que update-rc.d tiene una
interfaz bastante compleja, puede preferir utilizar rcconf (en el paquete rcconf ) que provee una
interfaz mucho más amigable.

NORMATIVA DEBIAN Los scripts de mantenimiento para paquetes Debian a veces reinician algunos
Reinicialización de servicios servicios para asegurar su disponibilidad o conseguir que tengan en cuenta
algunas opciones. El script que controla un servicio — /etc/init.d/servicio
operación — no tiene en cuenta el nivel de ejecución, asume (incorrectamente)
que el servicio está siendo utilizado actualmente y, por lo tanto, puede iniciar
operaciones incorrectas (iniciar un servicio que fue detenido deliberadamente
o detener un servicio que no está ejecutando, etc.). Por lo tanto, Debian in-
trodujo el programa invoke-rc.d: los scripts de mantenimiento deben uti-
lizar este programa para ejecutar scripts de inicialización de servicios que sólo
ejecutarán las órdenes necesarias. Sepa que, contrario al uso común, aquí se
utiliza el sufijo .d en el nombre de un programa y no en un directorio.

Finalmente, init inicia los programas de control para varias consolas virtuales (getty). Muestra
un prompt esperando por un nombre de usuario y luego ejecuta login usuario para iniciar una
sesión.

VOCABULARIO Los primeros equipos generalmente estaban separados en varias partes muy
Consola y terminal grandes: el compartimiento de almacenamiento y la unidad de procesamiento
central estaban separados de los dispositivos periféricos que los operadores
utilizaban para controlarlos. Éstos eran parte de un mobiliario separado: la
«consola». Se mantuvo este término pero cambió su significado. Se convirtió,
de cierta forma, en sinónimo de «terminal» (un teclado y una pantalla).
Con el desarrollo de la tecnología, los sistemas operativos han ofrecido varias
consolas virtuales que permiten varias sesiones independientes al mismo tiem-
po, aún si sólo hay un teclado y pantalla. La mayoría de los sistemas GNU/Lin-
ux ofrecen seis consolas virtuales (en modo texto) a las que puede acceder
presionando las combinaciones de teclas Control+Alt+F1 a Control+Alt+F6.
Por extensión, los términos «consola» y «terminal» también pueden hacer
referencia a emuladores de terminales en una sesión gráfica X11 (como xterm,
gnome-terminal o konsole).

194 El libro del administrador de Debian

9.2. Inicio de sesión remoto

Es esencial para el administrador poder conectarse a un equipo de forma remota. Los servidores,
aislados en su propia habitación, rara vez están equipados con monitores y teclados perma-
nentes — pero están conectados a la red.

VOLVER A LOS Generalmente se describe a un sistema en el que varios procesos se comunican

CIMIENTOS entre ellos con la metáfora «cliente/servidor». El servidor es el programa que
Cliente, servidor toma y ejecuta los pedidos que provienen de un cliente. Es el cliente el que
controla la operación, el servidor no tiene iniciativa propia.

9.2.1. Inicio seguro de sesión remota: SSH

El protocolo SSH (interprete de órdenes seguro: «Secure SHell») fue diseñado pensando en la
seguridad y la confiabilidad. Las conexiones que utilizan SSH son seguras: la otra parte es aut-
enticada y se cifran todos los datos intercambiados.

CULTURA Antes de SSH, Telnet y RSH eran las principales herramientas para sesiones
Telnet y RSH son obsoletos remotas. Actualmente son generalmente obsoletas y no debería utilizarlas aún
cuando Debian todavía las provee.

VOCABULARIO Cuando necesita proveerle a un cliente la capacidad de realizar o desenca-

Autenticación, cifrado denar acciones en un servidor, la seguridad es importante. Debe asegurar la
identidad del cliente; esto es autenticación. Esta identidad generalmente con-
sisten en una constraseña que debe mantenerse en secreto o cualquier otro
cliente podría obtener la contraseña. Este es el propósito del cifrado, que es
una forma de codificación que permite a dos sistemas intercambiar informa-
ción confidencial en un canal público al mismo tiempo que la protege de que
otros la puedan leer.
Frecuentemente se nombran a la autenticación y al cifrado en conjunto, tanto
porque se los utiliza a ambos como porque generalmente son implementados
con conceptos matemáticos similares.

SSH también ofrece dos servicios de transferencia de archivos. scp es una herramienta para
la terminal que puede utilizar como cp excepto que cualquier ruta a otro equipo utilizará un
prefijo con el nombre de la máquina seguido de dos puntos («:»).
$ scp archivo equipo:/tmp/

sftp es un programa interactivo similar a ftp. En una sola sesión sftp puede transferir varios
archivos y es posible manipular archivos remotos con él (eliminar, renombrar, cambiar per-
misos, etc.).

Capítulo 9 — Servicios Unix 195

 Debian utiliza OpenSSH, una versión libre de SSH mantenida por el proyecto OpenBSD (un sis-
tema operativo libre basado en el núcleo BSD enfocado en seguridad) que es una bifurcación
(«fork») del software SSH original desarrollado por la empresa SSH Communications Security
Corp de Finlandia. Esta empresa inicialmente desarrolló SSH como software libre pero eventual-
mente decidió continuar su desarrollo bajo una licencia privativa. El proyecto OpenBSD luego
creó OpenSSH para mentener una versión libre de SSH.

VOLVER A LOS Una bifurcación («fork»), en el campo de soware, significa que comienza un
CIMIENTOS nuevo proyecto como clon de un proyecto existente y que competirá con él.
Bifurcación: «fork» Desde allí, ambos programas generalmente divergirán rápidamente en térmi-
nos de nuevos desarrollos. Por lo general son un resultado de desacuerdos
dentro del equipo de desarrollo.
La opción de bifurcar un proyecto es un resultado directo de la naturaleza
misma del soware libre; es un evento saludable cuando permite la contin-
uación de un proyecto como soware libre (por ejemplo, en el caso de cambios
de licencia). Una bifurcación generada por desacuerdos técnicos o personales
usualmente es un desperdicio de recursos; se prefiere otra solución. También
ocurren fusiones de dos proyectos que anteriormente habían bifurcado.

OpenSSH está dividido en dos paquetes: la parte del cliente se encuentra en el paquete openssh-
client y el servidor en el paquete openssh-server. El metapaquete ssh depende de ambas partes y
facilita la instalación conjunta (apt-get install ssh).

Autenticación basada en llaves

Cada vez que alguien inicia sesión a través de SSH, el servidor remoto pide una contraseña para
autenticar al usuario. Esto puede ser problemático si desea automatizar la conexión o si utiliza
una herramienta que necesita conexiones frecuentes sobre SSH. Es por esto que SSH ofrece un
sistema de autenticación basada en llaves.
El usuario genera un par de llaves en la máquina cliente con ssh-keygen -t rsa; la llave públi-
ca se almacena en ~/.ssh/id_rsa.pub mientras que la llave privada correspondiente estará
almacenada en ~/.ssh/id_rsa. Luego, el usuario utiliza ssh-copy-id servidor para agregar
su llave pública al archivo ~/.ssh/authorized_keys en el servidor. Si no se protegió la llave
privada con una «frase de contraseña» al momento de crearla, todos los inicios de sesión sigu-
ientes al servidor funcionarán sin contraseña. De lo contrario, debe descifrar la llave privada
cada vez ingresando la frase de contraseña. Afortunadamente, ssh-agent permite mantener
llaves privadas en memoria para no tener que ingresar la frase de contraseña regularmente.
Para ello, simplemente utilizaría ssh-add (una vez por sesión de trabajo) siempre que la sesión
ya esté asociada con una instancia funcional de ssh-agent. De forma predeterminada, Debian
activa este comportamiento en sesiones gráficas pero lo puede desactivar cambiando el archivo
/etc/X11/[Link]. Para una sesión en consola, puede iniciarlo manualmente con
eval $(ssh-agent).

196 El libro del administrador de Debian

 SEGURIDAD ien posea la llave privada puede iniciar sesión con la cuenta configurada. Es
Protección de la llave privada por esto que se protege la llave privada con una «frase de contraseña». ien
obtenga una copia del archivo de la llave privada (por ejemplo, ~/.ssh/id_
rsa) todavía tendrá que saber dicha frase para poder intentar utilizarla. Sin
embargo, esta protección adicional no es infalible y es mejor deshabilitar la
llave en aquellos equipos en las que la instaló (eliminándola de los archivos
authorized_keys) y reemplazándola con una nueva llave que haya generado.

CULTURA La biblioteca OpenSSL, como fue provista inicialmente en Debian Etch, tenía
Falla OpenSSL en Debian un serio problema en su generador de números aleatorios (RNG: «Random
Etch Number Generator»). El desarrollador Debian había realizado una modifi-
cación para que los programas que la utilizan no generaran advertencias mien-
tras eran objetivo de análisis por herramientas de pruebas de memoria como
valgrind. Desafortunadamente, este cambio también significaba que el RNG
sólo utilizaba una fuente de entropía que correspondía al número de proceso
(PID); pero los 32000 valores posibles del mismo no ofrecen suficiente aleato-
riedad.
è [Link]
Específicamente, cuando utilizaba OpenSSL para generar una llave, siempre
producía una llave dentro de un conjunto conocido de cientos de miles de
llaves (32000 multiplicado por una pequeña cantidad de longitudes de llaves).
Esto afectaba llaves SSH, llaves SSL y certificados X.509 utilizados por nu-
merosas aplicaciones, como OpenVPN. Un «cracker» sólo debía intentar todas
estas llaves para obtener un acceso no autorizado. Para reducir el impacto del
problema, se modificó el demonio SSH para rechazar las llaves problemáticas
incluidas en los paquetes openssh-blacklist y openssh-blacklist-extra. Además,
el programa ssh-vulnkey permite identificar posibles llaves comprometidas
en el sistema.
Un análisis más detallado de este problema resaltó que era el resultado de
múltiples problemas (pequeños), tanto en el proyecto OpenSSL así como tam-
bién con el encargado del paquete Debian. Una biblioteca tan utilizada como
OpenSSL no debería — sin modificaciones — generar advertencias cuando es
probada con valgrind. Lo que es más, el código (especialmente las partes tan
sensibles como el RNG) deberían tener mejores comentarios para evitar es-
tos errores. El encargado Debian por su parte, deseando validar sus modifica-
ciones con los desarrolladores de OpenSSL, simplemente explicó sus modifi-
caciones sin proveer el parche correspondiente para revisar. Tampoco se iden-
tificó a sí mismo claramente como el encargado del paquete Debian corre-
spondiente. Finalmente, en sus elecciones como encargado, no documentó los
cambios al código original claramente; todas las modificaciones fueron alma-
cenadas en un repositorio Subversion, pero terminaron agrupadas en sólo un
parche durante la creación del paquete fuente.
Bajo tales condiciones es difícil encontrar las medidas correctivas para evitar
que ocurran incidentes similar. La lección a aprender aquí es que cada di-
vergencia que Debian introduce al soware de origen debe estar justificada,
documentada, enviada al proyecto de origen cuando sea posible y publicitada
ampliamente. Es desde esta perspectiva que se desarrollaron el nuevo forma-
to de paquete fuente («3.0 (quilt)») y el sistema de seguimiento de parches
Debian.
è [Link]

Capítulo 9 — Servicios Unix 197

 Utilización aplicaciones X11 remotas

El protocolo SSH permite redirigir datos gráficos (sesión «X11» por el nombre del sistema gráfico
más utilizado en Unix); el servidor luego mantiene un canal dedicado para estos datos. Específi-
camente, el programa gráfico ejecutado remotamente puede mostrarse en el servidor [Link] de
la pantalla local y toda la sesión (datos ingresados y lo que sea mostrado) será segura. De forma
predeterminada, esta funcionalidad está desactivada porque permite que aplicaciones remotas
interfieran con el sistema local. Puede activarla especificando X11Forwarding yes en el archivo
de configuración del servidor (/etc/ssh/sshd_config). Finalmente, el usuario también debe
solicitarlo agregando la opción -X al ejecutar ssh.

Creación de túneles cifrados con redirección de puertos

Las opciones -R y -L le permiten a ssh crear «túneles cifrados» entre dos equipos, redirigiendo
de forma segura un puerto TCP local (revise el recuadro « TCP/UDP» página 228) a un equipo
remoto o viceversa.

VOCABULARIO Internet, y la mayoría de las redes de área local conectadas a ella, funcionan
Túnel bajo conmutación de paquetes y no bajo conmutación de circuitos, lo que sig-
nifica que un paquete enviado de un equipo a otro será detenido en varios
routers intermedios para encontrar su ruta al destino. Todavía puede simu-
lar el modo de conexión en el que el flujo esté encapsulado en paquetes IP
normales. Estos paquetes siguen su ruta usual pero se reconstruye el flujo sin
cambios en el destino. A esto le llamamos un «túnel», el análogo a un túnel vial
en el que los vehículos conducen directamente desde la entrada a la salida sin
encontrase con intersección alguna a diferencia de una ruta en la superficie
que involucraría intersecciones y cambios de dirección.
Puede utilizar esta oportunidad para agregar cifrado al túnel: así el flujo del
mismo no puede ser reconocido desde el exterior, pero al salir del túnel se
encuentra descifrado.

ssh -L 8000:servidor:25 intermediario establece una sesión SSH con el equipo intermedi-
ario y escucha en el puerto local 8000 (revise la Figura 9.2, “Redirección de un puerto local con
SSH” página 199). Para cualquier conexión en este puerto, ssh iniciará una conexión desde el
equipo intermediario al puerto 25 de servidor y unirá ambas conexiones.
ssh -R 8000:servidor:25 intermediario también establece una sesión SSH al equipo in-
termediario, pero es en este equipo que ssh escuchará en el puerto 8000 (revise la Figura 9.3,
“Redirección de un puerto remoto con SSH” página 199). Cualquier conexión establecida en este
puerto causará que ssh abra una conexión desde el equipo local al puerto 25 de servidor y unirá
ambas conexiones.
En ambos casos, se realizan las conexiones en el puerto 25 del equipo servidor, que pasarán a
través del túnel SSH establecido entre la máquina local y la máquina intermediario. En el primer
caso, la entrada al túnel es el puerto local 8000 y los datos se mueven hacia la máquina interme-
diario antes de dirigirse a servidor en la red «pública». En el segundo caso, la entrada y la salida

198 El libro del administrador de Debian

del túnel son invertidos; la entrada es en el puerto 8000 de la máquina intermediario, la salida es
en el equipo local y los datos son dirigidos a servidor. En la práctica, el servidor generalmente
está en la máquina local o el intermediario. De esa forma SSH asegura la conexión un extremo a
otro.

Figura 9.2 Redirección de un puerto local con SSH

Figura 9.3 Redirección de un puerto remoto con SSH

9.2.2. Utilización de escritorios gráficos remotos

VNC (computación en redes virtuales: «Virtual Network Computing») permite el acceso remoto
a escritorios gráficos.
Esta herramienta se utiliza más que nada para asistencia técnica; el administrador puede ver los
errores con los que se enfrenta el usuario y mostrarle el curso de acción correcto sin tener que
estar a su lado.

Capítulo 9 — Servicios Unix 199

 Primero, el usuario debe autorizar compartir su sesión. Los entornos gráficos de escritorio
GNOME y KDE incluyen vino y krfb, respectivamente, que proveen una interfaz gráfica que per-
mite compartir una sesión existente sobre VNC (ambos son identificados como Escritorio compar-
tido tanto en la lista de aplicaciones de GNOME y el menú de KDE). Para otros entornos gráficos
de escritorio el programa x11vnc (en el paquete Debian del mismo nombre) cumple el mismo
propósito; puede ponerlo a disposición del usuario con un ícono explícito.
Cuando la sesión gráfica está disponible a través de VNC, el administrador debe conectarse a
ella con un cliente VNC. Para ello GNOME posee vinagre y remmina, mientras que KDE posee
krdc (en el menú K → Internet → Cliente de Escritorio Remoto). Existen otros clientes VNC
para utilizar en una terminal como xvnc4viewer en el paquete Debian del mismo nombre. Una
vez conectado, el administrador puede ver lo que sucede, trabajar en el equipo remotamente y
mostrarle al usuario cómo proceder.

SEGURIDAD Si desea conectarse con VNC y no desea que se envíen sus datos en texto
VNC sobre SSH plano a través de la red, es posible encapsular los datos en un túnel SSH (revise
la Sección [Link], «Creación de túneles cifrados con redirección de puertos»
página 198). Simplemente tiene que saber que, de forma predeterminada, VNC
utiliza el puerto 5900 para la primera pantalla (llamada «localhost:0»), 5901
para la segunda (llamada «localhost:1»), etc.
La orden ssh -L localhost:5901:localhost:5900 -N -T equipo crea un
túnel entre el puerto local 5901 en la interfaz de «localhost» y el puerto 5900
de equipo. La primera ocurrencia de «localhost» restringe a SSH para que sólo
escuche en dicha interfaz en la máquina local. El segundo «localhost» indica
que la interfaz en la máquina remota que recibirá el tráfico de red que ingrese
en «localhost:5901». Por lo tanto, vncviewer localhost:1 conectará el cliente
VNC a la pantalla remota aún cuando indique el nombre de la máquina local.
Cuando cierre la sesión VNC, recuerde también cerrar el túnel saliendo de la
sesión SSH correspondiente.

VOLVER A LOS gdb, kdm, lightdm y xdm son gestores de pantalla. Toman el control de la interfaz
CIMIENTOS gráfica poco después del inicio para proveer al usuario una pantalla de inicio de
Gestor de pantallas sesión. Una vez que el usuario inició sesión, ejecutan los programas necesarios
para iniciar una sesión gráfica de trabajo.

VNC también funciona para usuarios móviles o ejecutivos de empresas que ocasionalmente
necesitan iniciar sesión desde sus casas para acceder a un escritorio remoto similar al que uti-
lizan en la oficina. La configuración de tal servicio es más complicada: primero instale el paque-
te vnc4server, modifique la configuración del gestor de pantalla para aceptar pedidos XDMCP
Query (en gdm3 puede hacerlo agregando Enable=true en la sección «xdmcp» del archivo
/etc/gdm3/[Link]). Finalmente, inicie el servidor VNC con inetd para que se inicie una
sesión automáticamente cuando el usuario intente hacerlo. Por ejemplo, puede agregar la sigu-
iente línea al archivo /etc/[Link]:
5950 stream tcp nowait [Link] /usr/bin/Xvnc Xvnc -inetd -query localhost -
å once -geometry 1024x768 -depth 16 securitytypes=none

200 El libro del administrador de Debian

Redireccionar las conexiones entrantes al gestor de pantallas soluciona el problema de la auten-
ticación ya que sólo los usuarios con cuentas locales pasarán la pantalla de inicio de sesión de gdm
(o su equivalente kdm, xdm, etc.). Como esta operación permite múltiples sesiones simultánea-
mente sin problemas (siempre que el servidor sea suficientemente poderoso), incluso puede
ser utilizada para proveer escritorios completos para usuarios móviles (o sistemas de escrito-
rios menos poderosos configurados como clientes ligeros). Los usuarios simplemente iniciarán
sesión en la pantalla del servidor con vncviewer servidor:50 ya que utiliza el puerto 5950.

9.3. Administración de permisos

Linux es definitivamente un sistema multiusuario por lo que necesita proveer un sistema de

permisos para controlar el conjunto de operaciones autorizadas sobre archivos y directorios,
lo que incluye todos los recursos del sistema y los dispositivos (en un sistema Unix cualquier
dispositivo es representado por un archivo o un directorio). Este principio es común a todos
los sistemas Unix pero siempre es útil recordarlo, especialmente porque existen algunos usos
avanzados interesantes y relativamente desconocidos.
Cada archivo o directorio tiene permisos específicos para tres categorías de usuarios:
su dueño (representado con u por «usuario»);
su grupo dueño (representado con g por «grupo»), que incluye a todos los miembros del
grupo;
y los demás (representado con o por «otros»).
Puede combinar tres tipos de permisos:
lectura (representado por r por «read»: leer);
escritura (o modificación, representado con w por «write»: escribir);
ejecución (representado con x por «eXecute»: ejecutar).
En el caso de un archivo, estos permisos se entienden fácilmente: la lectura permite acceder al
contenido (inclusive copiarlo), la escritura permite cambiarlo y la ejecución permite ejecutarlo
(que sólo funcionará si es un programa).

SEGURIDAD Dos permisos particulares son relevantes para archivos ejecutables: setuid y
Ejecutables setuid y setgid setgid (representados con la letra «s»). Sepa que frecuentemente haremos
referencias a «bits» ya que cada uno de estos valores booleanos pueden rep-
resentarse con un 0 o un 1. Estos dos permisos le permiten a cualquier usuario
ejecutar el programa con los permisos del dueño o del grupo respectivamente.
Este mecanismo provee acceso a funcionalidades que necesitan más permisos
de los que tendría normalmente.
Dado que un programa cuyo dueño es root con setuid activado ejecutará sis-
temáticamente con la identidad del súperusuario, es muy importante asegu-
rar que es seguro y confiable. De hecho, un usuario que pueda comprometerlo
para ejecutar otro programa de su elección podría hacerse pasar por el usuario
root y obtener todos los permisos sobre el sistema.

Capítulo 9 — Servicios Unix 201

 Los directorios se manejan diferente. El permiso de lectura provee acceso para consultar su lista
de elementos (archivos y directorios), el permiso de escritura permite crear o borrar archivos
y el permiso de ejecución permite atravesarlo (especialmente para llegar a él con cd). Poder
atravesar un directorio sin leerlo permite acceder a los elementos que contenga siempre que
se conozca su nombre, pero no le permitirá encontrarlos si no sabe que existen o conoce sus
nombres exactos.

SEGURIDAD El bit setgid también funciona en directorios. Cualquier elemento creado en

Directorios setgid y el bit tales directorios serán asignados automáticamente al grupo dueño del direc-
«sticky» (pegajoso) torio padre en lugar de heredar el grupo principal de su creador como es usual.
Esta configuración evita que el usuario tenga que cambiar su grupo principal
(con el programa newgrp) cuando trabaje en un árbol de archivos compartidos
entre varios usuarios del mismo grupo dedicado.
El bit «sticky» (representado por la letra «t») es un permiso que sólo es util
en directorios. Es utilizado especialmente en directorios temporales a los que
todos tienen permisos de escritura (como /tmp/): restringe la eliminación de
archivos para que sólo pueda hacerlo el dueño del mismo (o el dueño del direc-
torio padre). Sin esto, cualquier podría eliminar los archivos de otros usuarios
en /tmp/.

Tres programas controlan los permisos asociados a un archivo:

chown usuario archivo cambia el dueño de un archivo;
chgrp group archivo modifica el grupo dueño;
chmod permisos archivo cambia los permisos del archivo.

Hay dos formas de representar permisos. Entre ellas, la representación simbólica es probable-
mente la más sencilla de entender y recordar. Involucra las letras mencionadas anteriormente.
Puede definir permisos para cada categoría de usuarios (u/g/o) definiéndolos explícitamente
(con =, agregar permisos (+) o eliminar (-) permisos. Por lo tanto, la fórmula u=rwx,g+rw,o-r
provee al dueño permisos de lectura, escritura y ejecución, agrega permisos de lectura y escrit-
ura al grupo dueño y elimina el permiso de lectura para los otros usuarios. Los permisos que no
son modificados cuando se agreguen o eliminen permisos en estas fórmulas se mantienen in-
tactos. La letra a (por «all», todos) incluye las tres categorías de usuarios, por lo que a=rx otorga
los mismos permisos (lecutra y ejecución, pero no escritura) a las tres categorías de usuario.
La representación numérica (octal) asocia cada permiso con un valor: 4 para lectura, 2 para
escritura y 1 para ejecución. Asociamos cada combinación de permisos con la suma de dichos
valores. Se asigna cada valor a las diferentes categorías de usuarios uniéndolos en el orden usual
(dueño, grupo, otros).
Por ejemplo, chmod 754 archivo configurará los siguientes permisos: lectura, escritura y eje-
cución para el dueño (ya que 7 = 4 + 2 + 1); lectura y ejecución para el grupo (ya que 5 = 4 +1);
sólo lectura para los otros usuarios. 0 significa ningún permiso; por lo tanto chmod 600 archivo
provee permisos de lectura y escritura al dueño y ningún permiso para todos los demás. La com-
binación de permisos más frecuente es 755 para archivos ejecutables y directorios y 644 para
archivos de datos.

202 El libro del administrador de Debian

Para representar permisos especiales, puede agregar un cuarto dígito antes que los demás según
el mismo principio, donde los bits setuid, setgid y «sticky» son, respectivamente, 4, 2 y 1. chmod
4754 asociará el bit setuid con los permisos descriptos anteriormente.
El uso de notación octal sólo permite definir todos los permisos en un archivo simultáneamente;
no puede utilizarlo simplemente para agregar un nuevo permiso, como lectura al grupo dueño,
ya que debe tener en cuenta permisos existentes y calcular el nuevo valor numérico correspon-
diente.

SUGERENCIA A veces debemos cambiar los permisos a un árbol de archivos completo. Todos
Operación recursiva los programas mencionados aceptan la opción -R para trabajar recursivamente
en subdirectorios.
La distinción entre archivos y directorios a veces causa problemas con opera-
ciones recursivas. Es por eso que se introdujo la letra «X» en la representación
simbólica de permisos. Representa el permiso de ejecución sólo para directo-
rios (y no para archivos que no tengan este permiso). Por lo tanto, chmod -
R a+X directorio sólo agregará permisos de ejecución para todas las cat-
egorías de usuarios (a) en todos los subdirectorios y aquellos archivos en los
que al menos una de las categorías de usuario (aún si sólo es el usuario dueño)
ya posea permisos de ejecución.

SUGERENCIA Frecuentemente deseará cambiar el grupo de un archivo al mismo tiempo que

Modificación de usuario y cambia su dueño. El programa chown tiene una sintaxis especial para esto:
grupo chown usuario:grupo

YENDO MÁS ALLÁ Cuando una aplicación crea un archivo asigna permisos indicativos, sabien-
umask do que el sistema automáticamente elimina algunos permisos, dados por el
programa umask. Ejecuta umask en una consola; verá una máscara como 0022.
Ésta es simplemente una representación octal de los permisos que serán elim-
inados sitemáticamente (en este caso, el permiso de escritura para el grupo y
otros usuarios).
Si provee un nuevo valor octal, el programa umask modificará la máscara. Si lo
utiliza en un script de inicialización de consola (por ejemplo ~/.bash_profile)
efectivamente cambiará la máscara predeterminada en sus sesiones de traba-
jo.

9.4. Interfaces de administración

Utilizar una interfaz gráfica para administración es interesante en varias circunstancias. Un

administrador no conoce, necesariamente, todos los detalles de la configuración de todos los
servicios, y no siempre tendrá tiempo de revisar la documentación correspondiente. Una inter-
faz gráfica para administración puede, entonces, acelerar el despliegue de un nuevo servicio.
También puede simplificar la instalación de servicios que son difíciles de configurar.
Estas interfaces son sólo ayudas y no un fin en sí mismo. En todos los casos el administrador
debe dominar su comportamiento para entender y evitar cualquier problema potencial.

Capítulo 9 — Servicios Unix 203

 Debido a que ninguna interfaz es perfecta, puede tentarse de probar varias soluciones. Debe
evitar esto tanto como sea posible ya que, a veces, el funcionamiento de diferentes herramientas
son incompatibles entre sí. Aún si todas intentan ser muy flexibles e intentan adoptar el archivo
de configuración como única referencia, no siempre podrán integrar cambios externos.

9.4.1. Administración en una interfaz web: webmin

Esta es, sin lugar a dudas, una de las interfaces de administración más existosas. Es un sistema
modular administrador a través de un servidor web, que incluye un amplio rango de áreas y
herramientas. Lo que es más, está internacionalizada y está diponible en muchos idiomas.
Lamentablemente, webmin ya no es parte de Debian. Su encargado en Debian — Jaldhar H. Vyas
— eliminó los paquetes que creó porque ya no tenía el tiempo necesario para mantenerlos en
un nivel de calidad aceptable. Nadie asumió ese trabajo oficialmente, por lo que Wheezy no tiene
el paquete webmin.
Existe, sin embargo, un paquete no oficial distribuido en el sitio web [Link]. A diferencia
de los paquetes Debian originales, este paquete es monolítico; de forma predeterminada se in-
stalan y activan todos sus módulos de configuración, aún si el servicio correspondiente no está
instalado en el equipo.

SEGURIDAD Durante la primera sesión debe identificarse con el usuario root y su con-
Modificación de la traseña usual. Es recomendable cambiar la contraseña que utiliza webmin tan
contraseña de root pronto como pueda para que, si es comprometido, no se involucre la con-
traseña de root del servidor; aún si esto provee permisos administrativos im-
portantes en el equipo.
¡Cuidado! Dado que webmin posee tanta funcionalidad, un usuario malicioso
que acceda a él puede comprometer la seguridad de todo el sistema. En gen-
eral, no se recomiendan este tipo de interfaces para sistemas importantes con
fuertes limitaciones de seguridad (firewall, servidores sensibles, etc.).

Webmin se utiliza a través de una interfaz web, pero no necesita instalar Apache. Esencialmente,
este software tiene su propio miniservidor web integrado. De forma predeterminada, este servi-
dor escucha en el puerto 10000 y acepta conexiones HTTP seguras.
Los módulos incluidos cubren una amplia variedad de servicios, entre ellos:
todos los servicios base: creación de usuarios y grupos, administración de archivos
crontab, scripts de inicio, visualización de registros, etc.

bind: configuración del servidor DNS (servicio de nombres);

postfix: configuración del servidor SMTP (correo electrónico);
inetd: configuración del superservidor inetd;
quota: administración de cuotas de usuario;
dhcpd: configuración del servidor DHCP;

204 El libro del administrador de Debian

 prpftpd: configuración del servidor FTP;
samba: configuración del servidor de archivos Samba;
software: instalación o eliminación de software desde paquetes Debian y actualizaciones
de sistema.
La interfaz de administración está disponible a través de un navegador en hps://localhost:
10000. ¡Cuidado! No podrá utilizar directamente todos los módulos. Deberá configurar algunos
especificando la ubicación de los archivos de configuración correspondiente y algunos archivos
ejecutables (programas). Frecuentemente el sistema le pedirá esa información cuando no pueda
activar un módulo que solicite.

ALTERNATIVA El proyecto GNOME también provee varias interfaces de administración, a

Centro de control de las que generalmente puede acceder a través del elemento «Preferencias» en
GNOME («Control Center») el menú del usuario en la esquina superior derecha. gnome-control-center
es el programa principal que las unifica, pero muchas de las herramientas de
configuración del sistema en general son provistas efectivamente por otros pa-
quetes (accountsservice, system-config-printer, etc.). Estas aplicaciones, fáciles
de utilizar, sólo cubren una cantidad limitada de servicios básicos: gestión de
usuarios, configuración de fecha y hora, configuración de red, configuración
de impresión, etc..

9.4.2. Configuración de paquetes: debconf

Después de realizar unas pocas preguntas durante la instalación a través de Debconf, muchos
paquetes son configurados automáticamente. Puede reconfigurar estos paquetes ejecutando
dpkg-reconfigure paquete.
En la mayoría de los casos, estas configuraciones son muy simples; sólo modifican unas pocas
variables importantes en el archivo de configuración. Generalmente se agrupan estas variables
entre dos líneas de «demarcación» para que la reconfiguración del paquete sólo afecte el área
entre ellas. En otros casos, la reconfiguración no realizará cambios si el script detecta una modi-
ficación manual del archivo de configuración para preservar estas intervenciones humanas (de-
bido a que el script no puede asegurar que sus propias modificaciones no afectarán la configu-
ración existente).

NORMATIVA DEBIAN La Normativa Debian estipula expresamente que se debe hacer todo para
Preservación de cambios preservar los cambios manuales en los archivos de configuración, por lo que
más y más scripts toman precauciones al editar archivos de configuración. El
principio general es simple: el script sólo realizará cambios si conoce el estado
del archivo de configuración, lo que controla comparando la suma de verifi-
cación del archivo con la del último archivo generado automáticamente. Si son
iguales, el script está autorizado a realizar cambios en el archivo de configu-
ración. De lo contrario, determina que el archivo fue modificado y pregunta
por la acción a tomar (instalar el nuevo archivo, guardar el archivo existente
o intentar integrar los nuevos cambios en el archivo actual). Este principio de

Capítulo 9 — Servicios Unix 205

 precaución es, desde hace tiempo, exclusivo de Debian pero otras distribu-
ciones gradualmente comenzaron a aceptarlo.
Puede utilizar el programa ucf (en el paquete Debian del mismo nombre) para
implementar este comportamiento.

9.5. syslog Eventos de sistema

9.5.1. Principio y mecanismo

El demonio rsyslogd es responsable de recolectar los mensajes de servicio que provienen de

aplicaciones y el núcleo para luego distribuirlos en archivos de registros (usualmente almace-
nados en el directorio /var/log/). Obedece a su archivo de configuración: /etc/[Link].
Cada mensaje de registro es asociado con un subsistema de aplicaciones (llamados «facility» en
la documentación):
auth y authpriv: para autenticación;
cron: proviene servicios de programación de tareas, cron y atd;
daemon: afecta un demonio sin clasificación especial (DNS, NTP, etc.);
p: el servidor FTP;
kern: mensaje que proviene del núcleo;
lpr: proviene del subsistema de impresión;
mail: proviene del subsistema de correo electrónico;
news: mensaje del subsistema Usenet (especialmente de un servidor NNTP — protocolo
de transferencia de noticias en red, «Network News Transfer Protocol» — que administra
grupos de noticias);
syslog: mensajes del servidor syslogd en sí;
user: mensajes de usuario (genéricos);
uucp: mensajes del servidor UUCP (programa de copia Unix a Unix, «Unix to Unix Copy
Program», un protocolo antiguo utilizado notablemente para distribuir correo electróni-
co);
local0 a local7: reservados para uso local.
Cada mensaje tiene asociado también un nivel de prioridad. Aquí está la lista en orden decre-
ciente:
emerg: «¡Ayuda!» Hay una emergencia y el sistema probablemente está inutilizado.
alerta: apúrese, cualquier demora puede ser peligrosa, debe reaccionar inmediatamente;
crit: las condiciones son críticas;
err: error;

206 El libro del administrador de Debian

 warn: advertencia (error potencial);
notice: las condiciones son normales pero el mensaje es importante;
info: mensaje informativo;
debug: mensaje de depuración.

9.5.2. El archivo de configuración

La sintaxis del archivo /etc/[Link] está detallada en la página de manual rsyslog.

conf(5), pero también hay disponible documentación HTML en el paquete rsyslog-doc (/usr/
share/doc/rsyslog-doc/html/[Link]). El principio general es escribir pares de «selec-
tor» y «acción». El selector define los mensajes relevantes y la acción describe qué hacer con
ellos.

Sintaxis del selector

El selector es una lista separada por punto y coma de pares [Link] (por ejem-
plo: [Link];[Link]). Un asterisco puede representar todos los subsistemas o todas las
prioridades (por ejemplo: *.alert o mail.*). Puede agrupar varios subsistemas separándolos con
una coma (por ejemplo: auth,[Link]). La prioridad indicada también incluye los mensajes de
prioridad igual o mayor; por lo tanto, [Link] indica los mensajes del subsistema auth de pri-
oridad alert o emerg. Si se agrega un signo de exclamación (!) como prefijo, indica lo contrario;
en otras palabras, prioridades estrictamente menores. Por lo tanto, auth.!notice sólo incluye los
mensajes del subsistema auth con prioridades info o debug. Si se agrega un signo igual (=) como
prefijo corresponde única y exactamente con la prioridad indicada (auth.=notice sólo incluye
los mensajes del subsistema auth con prioridad notice).
Cada elemento en la lista del selector reemplaza elementos anteriores. Así es posible restringir
un conjunto o excluir ciertos elementos del mismo. Por ejemplo, [Link];kern.!err significa
los mensajes del núcleo con prioridades entre info y warn. La prioridad none indica el conjunto
vacío (ninguna prioridad) y puede servir para excluir un subsistema de un conjunto de mensajes.
Por lo tanto *.crit;[Link] indica todos los mensajes con prioridad igual o mayor a crit que no
provengan del núcleo.

Sintaxis de las acciones

VOLVER A LOS Una tubería con nombre es un tipo particular de archivo que funciona como
CIMIENTOS una tubería tradicional (la tubería que crea con el símbolo «|» en una con-
La tubería («pipe») con sola), pero a través de un archivo. Este mecanismo tiene la ventaja de poder
nombre, una tubería relacionar dos procesos que no están relacionados. Todo lo que se escriba en
persistente una tubería con nombre bloquea el proceso que escribe hasta que un proceso
intente leer los datos escritos. Este segundo proceso lee los datos escritos por
el primero, que puede luego continuar ejecutando.
Puede crear estos archivos con el programa mkfifo.

Capítulo 9 — Servicios Unix 207

 Las acciones posibles son:
agregar el mensaje a un archivo (ejemplo: /var/log/messages);
enviar el mensaje a un servidor syslog remoto (ejemplo: @[Link]);
enviar el mensaje a una tubería con nombre existente (ejemplo: |/dev/xconsole);
enviar el mensaje a uno o más usuarios si tienen una sesión iniciada (ejemplo: root,rhert
zog);
enviar el mensaje a todos los usuarios con sesiones activas (ejemplo: *);
escribir el mensaje en una consola de texto (ejemplo: /dev/y8).

SEGURIDAD Es buena idea grabar los registros más importantes en una máquina separada
Reenvío de registros (tal vez dedicada a este propósito), ya que evitará que cualquier intruso elimine
los rastros de su intromisión (a menos, por supuesto, que también comprometa
este otro servidor). Lo que es más, en el caso de un problema mayor (como un
fallo abrupto del núcleo) tendrá disponible los registros en otro equipo, lo que
aumenta sus probabilidades de determinar la secuencia de eventos que llevó
al fallo.
Para aceptar mensajes de registro enviados por otras máquinas debe recon-
figurar rsyslog: en la práctica es suficiente activar las líneas ya preparadas en
el archivo /etc/[Link] ($ModLoad imudp y $UDPServerRun 514).

9.6. El superservidor inetd

Inetd (frecuentemente llamado «superservidor de internet») es un servidor de servidores. Eje-

cuta a pedido servidores rara vez utilizados para que no tengan que ejecutar continuamente.
El archivo /etc/[Link] enumera estos servidores y sus puertos usuales. El programa inetd
escucha en todos estos puertos y cuando detecta una conexión a uno de ellos ejecuta el programa
servidor correspondiente.

NORMATIVA DEBIAN Frecuentemente los paquetes desean registrar un nuevo servidor en el archivo
Registro de un servidor en /etc/[Link], pero la Normativa Debian prohíbe que un paquete mod-
[Link] ifique un archivo de configuración que no le pertenece. Es por esto que se
creó el script updated-inetd (en el paquete del mismo nombre): administra el
archivo de configuración y otros paquetes pueden utilizarlo para registrar un
nuevo servidor en la configuración del superservidor.

Cada línea significativa del archivo /etc/[Link] describe un servidor con siete campos
(separados con espacios):
El número de puerto TCP o UDP o el nombre del servicio (asociado con un número de
puerto estándar con la información en el archivo /etc/services).
El tipo de zócalo: stream para una conexión TCP, dgram para datagramas UDP.

208 El libro del administrador de Debian

 El protocolo: tcp o udp.
Las opciones: dos valores posibles, wait o nowait para indicarle a inetd si debe esper-
ar o no a que el proceso ejecutado finalice antes de aceptar una nueva conexión. Para
conexiones TCP, fáciles de gestionar simultáneamente, utilizará generalmente nowait.
Para programas que respondan sobre UDP debería utilizar nowait sólo si el servidor es
capaz de gestionar varias conexiones en paralelo. Puede agregar un punto al final de este
campo seguido de la cantidad máxima de conexiones autorizadas por minuto (el límite
predeterminado es 256).
El nombre del usuario bajo el que ejecutará el servidor.
La ruta completa al programa del servidor a ejecutar.
Los parámetros: esta es una lista completa de los parámetros del programa, incluyendo su
propio nombre (argv[0] en C).
El ejemplo a continuación ilustra los casos más comunes:

Ejemplo 9.1 Extracto de /etc/[Link]

talk dgram udp wait [Link] /usr/sbin/[Link] [Link]

finger stream tcp nowait nobody /usr/sbin/tcpd [Link]
ident stream tcp nowait nobody /usr/sbin/identd identd -i

Frecuentemente se utiliza el programa tcpd en el archivo /etc/[Link]. Permite limitar

las conexiones entrantes aplicando reglas de control de acceso, documentadas en la página de
manual hosts_access(5), y que puede configurar en los archivos /etc/[Link] y /etc/
[Link]. Una vez que se determinó que la conexión está autorizada, tcpd ejecuta el servidor
real (en el ejemplo: [Link]). Vale la pena aclarar que tcpd necesita el nombre con el que
se lo invoca (que es el primer parámetro: argv[0]) para identificar el programa real a ejecutar.
No debería iniciar la lista de parámetros con tcpd sino con el programa subyacente.

COMUNIDAD Wietse Venema, programador reconocido por su experiencia sobre seguridad,

Wietse Venema es el autor del programa tcpd. También es el creador principal de Postfix,
el servidor de correo modular (SMTP, protocolo simple de transferencia de
correo: «Simple Mail Transfer Protocol»), diseñado para ser más seguro y con-
fiable que sendmail que tiene una larga historia de vulnerabilidades de seguri-
dad.

ALTERNATIVA Si bien Debian instala openbsd-inetd de forma predeterminada, no faltan al-

Otros programas inetd ternativas: podemos mencionar inetutils-inetd, micro-inetd, rlinetd y xinetd.
Esta última encarnación de superservidor ofrece posibilidades muy intere-
santes. Notablemente, se puede dividir su configuración en varios archivos
(almacenados, por supuesto, en el directorio /etc/xinetd.d/), lo que puede
hacer más sencilla la vida del administrador.

Capítulo 9 — Servicios Unix 209

 9.7. Programación de tareas con cron y atd

cron es el demonio responsable de ejecutar tareas programadas y recurrentes (todos los días,
todas las semanas, etc.); atd está encargado de los programas a ejecutar una sola vez pero en un
momento específico en el futuro.
En un sistema Unix, muchas tareas están programadas para ejecutarse regularmente:

rotar los archivos de registro;

actualizar la base de datos del programa locate;
respaldos;
scripts de mantenimiento (como limpiar los archivos temporales).

De forma predeterminada, todos los usuarios pueden programar tareas para ejecutar. Cada
usuario tiene su propio «crontab» en el que pueden almacenarlas. Puede editarlo ejecutan-
do crontab -e (el contenido del mismo es almacenado en el archivo /var/spool/cron/
crontabs/usuario).

SEGURIDAD Puede restringir el acceso a cron si crea un archivo de autorización explíci-

Restricción de cron o atd ta (una lista blanca) en /etc/[Link] donde indique sólo los usuarios
autorizados a programar tareas. Todos los demás usuarios automáticamente
quedarán excluidos de dicha funcionalidad. A la inversa, si sólo desea bloquear
unos pocos usuarios problemáticos, podría agregar su nombres de usuario en
el archivo de prohibición explícita /etc/[Link]. Esta misma funcionalidad
está disponible para atd con los archivos /etc/[Link] y /etc/[Link].

El usuario root tiene su propio «crontab», pero también puede utilizar el archivo /etc/crontab
o escribir archivos «crontab» adicionales en el directorio /etc/cron.d. Estas dos últimas solu-
ciones tienen la ventaja de poder especificar el usuario bajo el que se ejecutará el programa.
De forma predeterminada, el paquete cron incluye algunas tareas programadas que ejecutan:

programas en el directorio /etc/[Link]/ una vez por hora;

programas en el directorio /etc/[Link]/ una vez por día;
programas en el directorio /etc/[Link]/ una vez por semana;
programas en el directorio /etc/[Link]/ una vez por mes.

Muchos paquetes Debian dependen de este servicio: agregan sus scripts de mantenimiento en
estos directorios, los cuales garantizan un funcionamiento óptimo de sus servicios.

9.7.1. Formato de un archivo crontab

210 El libro del administrador de Debian

 SUGERENCIA cron reconoce algunas abreviaciones que reemplazan los primeros cinco cam-
Atajos de texto para cron pos de un elemento de crontab. Corresponden a las opciones de programación
más comunes:
@yearly: una vez por año (1 de Enero a las 00:00);
@monthly: una vez por mes (el 1ro de mes a las 00:00);
@weekly: una vez por semana (Domingo a las 00:00);
@daily: una vez por día (a las 00:00);
@hourly: una vez por hora (al principio de cada hora).

CASO ESPECIAL En Debian, cron tiene en cuenta los cambios de hora (para horarios de verano
cron y horarios de verano. o, de hecho, cualquier cambio importante en la hora local) de la mejor forma
que le es posible. Por lo tanto, las tareas que deben ejecutarse durante una hora
que nunca existió (por ejemplo: aquellas programadas para las 02:30 durante
el cambio de horario de verano en Francia, ya que el reloj salta de las 02:00 a
las 03:00 directamente) se ejecutarán poco después del cambio de hora (por
lo tanto, alrededor de las 03:00 DST). Por otro lado, en otoño, las tareas serán
ejecutadas sólo una vez cuando podrían ser ejecutadas varias veces (a las 02:30
DST y luego a las 02:30 en horario estándar ya que a las 03:00 DST el reloj
vuelve a las 02:00).
Tenga cuidado, sin embargo, si el orden y el tiempo entre ejecuciones de tar-
eas programadas importa. Debe revisar la compatibilidad de estas limitaciones
con el comportamiento de cron; si es necesario, puede preparar una progra-
mación especial para las dos noches problemáticas del año.

Cada línea significativa de un archivo crontab describe una tarea programada con los siguientes
seis (o siete) campos:
el valor del minuto (número de 0 a 59);
el valor de la hora (de 0 a 23);
el valor del día del mes (de 1 a 31);
el valor del mes (de 1 a 12);
el valor de los días de la semana (de 0 a 7, donde 1 es el lunes y el domingo es tanto el 0
como el 7; también es posible utilizar las tres primeras letras del nombre del día en inglés,
como Sun, Mon, etc.);
el nombre de usuario bajo el que se ejecutará el programa (en el archivo /etc/crontab y
en los fragmentos ubicados en /etc/cron.d/, pero no en los archivos de cada usuario);
el programa a ejecutar (cuando se cumpla la condición definida por los primeros cinco
campos).
Todos estos detalles están documentados en la página de manual crontab(5).
Puede expresar cada valor como una lista de valores posibles (separados por coma). La sintaxis
a-b describe el intervalo de todos los valores entre a y b. La sintaxis a-b/c describe el intervalo

Capítulo 9 — Servicios Unix 211

 con un incremento de c (por ejemplo: 0-10/2 es lo mismo que 0,2,4,6,8,10. Un asterisco «*» es
un comodín y representa todos los valores posibles.

Ejemplo 9.2 Ejemplo de archivo crontab

#Formato
#min hora dia mes dds programa

# Descargar los datos todas las noches a las 19:25

25 19 * * * $HOME/bin/[Link]

# 08:00 en días de semana (Lunes a Viernes)

00 08 * * 1-5 $HOME/bin/haceralgo

# Reiniciar el proxy IRC luego de cada reinicio

@reboot /usr/bin/dircproxy

SUGERENCIA Para ejecutar un programa sólo una vez, justo después de iniciar el equipo,
Ejecución de un programa puede utilizar el macro @reboot (reiniciar cron no disparará aquello progra-
durante el inicio mado con @reboot). Este macro reemplaza los primeros cinco campos de un
elemento en el archivo «crontab».

9.7.2. Utilización del programa at

at ejecuta un programa en un momento específico en el futuro. Obtiene la fecha y hora deseada

como parámetros y el programa a ejecutar en su entrada estándar. Ejecutará el programa como si
hubiese sido ingresado en la consola actual. at también se encarga de mantener el entorno para
poder reproducir las mismas condiciones al ejecutar el programa. Puede indicar la hora con las
convenciones usuales: 16:12 o 4:12pm representan 12 minutos pasadas las 4 de la tarde. También
puede especificar la fecha en varios formatos europeos u occidentales, incluyendo [Link]
(27.07.12 representaría el 27 de Julio de 2012), AAAA-MM-DD (la misma fecha se representaría
como 2012-07-27), MM/DD/[CC]AA (es decir: 12/25/12 o 12/25/2012 representan, ambas, el 25
de Diciembre de 2012) o simplemente MMDDCCAA (de forma que 122512 o 12252012 también
representaría el 25 de Diciembre de 2012). Sin fecha, ejecutará el programa tan pronto como
el reloj indique la hora especificada (el mismo día o el siguiente si ya pasó dicha hora ese día).
También puede ingresar simplemente «today» o «tomorrow» representando el día actual o el
día siguiente, respectivamente.
$ at 09:00 27.07.14 <<END
> echo "¡No olvides desearle un feliz cumpleaños a Raphaël!" \
> | mail lolando@[Link]
> END
warning: commands will be executed using /bin/sh
job 31 at Fri Jul 27 [Link] 2012

212 El libro del administrador de Debian

Una sintaxis alternativa posterga la ejecución por un tiempo determinado: at now + número
período. El período puede ser minutes (minutos), hours (horas), days (días) o weeks (semanas).
número simplemente indica la cantidad de dichas unidades deben pasar antes de ejecutar el pro-
grama.
Para cancelar una tarea programada con cron, simplemente ejecute crontab -e y elimine la
línea correspondiente del archivo crontab. Para tareas en at es casi igual de sencillo: ejecute atrm
número-tarea. El número de tarea es indicado por at cuando la programó, pero puede volver a
encontrarla ejecutando atq que le proveerá una lista de las tareas programadas actualmente.

9.8. Programación de tareas asincrónicas: anacron

anacron es el demonio que completa cron en equipos que no están encendidos todo el tiempo.
Dado que generalmente las tareas recurrentes están programadas para la mitad de la noche, no
ejecutarán nunca si la máquina está apagada en esos momentos. El propósito de anacron es eje-
cutarlas teniendo en cuenta los períodos de tiempo en los que el equipo no estuvo funcionando.
Sepa que anacron frecuentemente ejecutará dichos programas unos minutos después de iniciar
la máquina, lo que utilizará poder de procesamiento del equipo. Es por esto que se ejecutan
las tareas en el archivo /etc/anacrontab con el programa nice que reduce su prioridad de
ejecución, limitando así su impacto en el resto del sistema. Tenga en cuenta que el formato
de este archivo no es el mismo que el de /etc/crontab; si tiene necesidades especiales para
anacron revise la página de manual anacrontab(5).

VOLVER A LOS Los sistemas Unix (y, por lo tanto, Linux) son sistemas multitarea y mul-
CIMIENTOS tiusuario. Varios procesos puede ejecutar en paralelo y pertenecer a diferentes
Prioridades y nide usuarios: el núcleo mediará el acceso a los recursos para los diferentes pro-
cesos. Como parte de esta tarea tiene el concepto de prioridad, que permite
favorecer a ciertos procesos por sobre otros según sea necesario. Cuando sabe
que un proceso puede ejecutar con prioridad baja, puede indicarlo ejecután-
dolo con nice programa. El programa entonces tendrá una porción más pe-
queña del CPU y tendrá un menor impacto sobre otros procesos en ejecución.
Por supuesto, si no hay otros procesos que necesiten ejecutar el programa no
será restringido artificialmente.
nice funciona con niveles de «bondad»: los niveles positivos (de 1 a 19) re-
ducen progresivamente la prioridad mientras que los niveles negativos (de -
1 a -20) aumentan la prioridad — pero sólo root puede utilizar estos niveles
negativos. A menos que se indique lo contrario (revise la página de manual
nice(1)), nice aumentará en 10 el nivel actual.

Si descubre que una tarea que está procesando debería haberse ejecutado con
nice no es muy tarde para corregirlo; el programa renice modifica la prioridad
de cualquier proceso que está en ejecución en la dirección que desee (pero
reducir la «bondad» de un proceso está reservado para el usuario root).

Instalar el paquete anacron desactiva la ejecución via cron de los scripts en los directorios
/etc/[Link]/, /etc/[Link]/, /etc/[Link]/ y /etc/[Link]/. Esto

Capítulo 9 — Servicios Unix 213

 evita que sean ejecutados tanto por anacron como por cron. El programa cron continuará acti-
vo y seguirá administrando otras tareas programadas (especialmente aquellas programadas por
los usuarios).

9.9. Cuotas

El sistema de cuotas permite limitar el espacio en disco reservado para un usuario o grupo de
usuarios. Para configurarlo, debe tener un núcleo compatible (compilado con la opción CONFIG_
QUOTA) — como es el caso de los núcleos Debian. Puede encontrar el software de administración
de cuotas en el paquete Debian quota.
Para activarlo en un sistema de archivos debe indicar las opciones usrquota y grpquota en el
archivo /etc/fstab para las cuotas de usuario y grupos, respectivamente. Al reiniciar el equipo
se actualizarán las cuotas cuando no exista actividad en el disco (una condición necesaria para
poder contabilizar apropiadamente el espacio en disco ya utilizado).
Ejecutar edquota usuario (o edquota -g grupo) le permite modificar los límites mientras
examina el uso actual del espacio en disco.

YENDO MÁS ALLÁ Puede utilizar el programa setquota en un script para modificar automática-
Definición de cuotas con un mente muchas cuotas. Su página de manual setquota(8) contiene los detalles
script de la sintaxis que debe utilizar.

El sistema de cuotas le permite definir cuatro límites:

dos límites (llamados «suave» y «duro») se refieren a la cantidad de bloques utilizados. Si
creó el sistema de archivos con un tamaño de bloque de 1 kibibyte, cada bloque contiene
1024 bytes del mismo archivo. Por lo tanto, los bloques no saturados inducen pérdida de
espacio en disco. Puede saturar una cuota de 100 bloques, que teóricamente permitirían
almacenar 102400 bytes, con sólo 100 archivos de 500 bytes cada uno que sólo representan
50000 bytes en total.
dos límites (suave y duro) que hacen referencia a la cantidad de inodos utilizados. Cada
archivo ocupa al menos un inodo para almacenar información sobre sí mismo (permisos,
dueño, marcas temporales del último acceso, etc.). Por lo tanto, es un límite en la cantidad
de archivos del usuario.
Puede exceder temporalmente un límite «suave»; el programa warnquota, generalmente ejecu-
tado por cron, simplemente advertirá al usuario que excedieron su cuota. Nunca podrá exceder
un límite «duro»: el sistema rechazará toda operación que fuera a exceder una cuota dura.

VOCABULARIO El sistema de archivos divide el disco duro en bloques — pequeñas áreas

Bloques e inodos contiguas. Definirá el tamaño de dichos bloques cuando cree el sistema de
archivos y generalmente varía entre 1 y 8 kibibytes.
Un bloque puede utilizarse para almacenar los datos reales de un archivo o los
metadatos utilizados por el sistema de archivos. Entre estos metadatos, encon-
trará especialmente los inodos. Un inodo utiliza un bloque del disco duro (pero

214 El libro del administrador de Debian

 no se lo tiene en cuenta respecto a la cuota de bloques, sólo en la cuota de ino-
dos) y contiene tanto la información del archivo al que corresponde (nombre,
dueño, permisos, etc.) y punteros a los bloques de datos que son utilizados
realmente. Para archivos muy grandes que ocupan más bloques que los un in-
odo puede referenciar, existe un sistema de bloques indirectos; el inodo hace
referencia a una lista de bloques que no contienen datos directamente sino
otra lista de bloques.

Si ejecuta edquota -t puede definir un «período de gracia» máximo autorizado durante el que
se puede exceder un límite suave. Luego de este período se interpretará el límite suave como
uno duro y el usuario deberá reducir su uso de espacio en disco por debajo de este límite para
poder escribir en disco duro.

YENDO MÁS ALLÁ Para definir una cuota automática para usuarios nuevos, debe configurar un
Configuración de una cuota usuario patrón (con edquota o setquota) e indicar su nombre de usuario en
predeterminada para nuevos la variable QUOTAUSER en el archivo /etc/[Link]. Se aplicará automáti-
usuarios camente dicha configuración de cuota a cada nuevo usuario creado con el
programa adduser.

9.10. Respaldo

Realizar respaldos es una de las principales responsabilidades de cualquier administrador; pero

es un tema complejo, que involucra herramientas potentes que usualmente son difíciles de dom-
inar.
Existen muchos programas, como amanda, bacula y BackupPC. Éstos son sistemas cliente/servi-
dor con muchas opciones y cuya configuración es bastante complicada. Algunos proveen una
interfaz de usuario amigable para mitigarlo. Sin embargo, como bien puede comprobar con
apt-cache search backup, Debian contiene docenas de paquetes de software de respaldo que
cubren todos los casos de uso posibles.
En lugar de detallar algunos de ellos, esta sección presentará lo que pensaron los admin-
istradores de Falcot Corp cuando definieron su estrategia de respaldos.
En Falcot Corp los respaldos tiene dos objetivos: restaurar archivos eliminados por error y re-
cuperar rápidamente cualquier equipo (servidor o de escritorio) en el que falle el disco duro.

9.10.1. Respaldos con rsync

Habiendo descartado los respaldos en cintas por ser lentos y costosos, se respaldarán los datos
en discos duros en un servidor dedicado en el que utilizarán RAID por software (revise la Sección
12.1.1, «RAID por software» página 308) que protegerá los datos contra errores de disco duro.
No se respaldarán individualmente los equipos de escritorio, pero se le informa a los usuarios
que se respaldará su cuenta personal en el servidor de archivos del departamento. Se utiliza di-

Capítulo 9 — Servicios Unix 215

 ariamente el programa rsync (en el paquete del mismo nombre) para respaldar estos diferentes
servidores.

VOLVER A LOS A diferencia de un enlace simbólico, no se puede diferenciar un enlace duro

CIMIENTOS del archivo enlazado. Crear un enlace duro es esencialmente lo mismo que
El enlace duro, un segundo dar al archivo un segundo nombre. Es por esto que eliminar un enlace duro
nombre para el archivo sólo elimina uno de los nombres asociados al archivo. Siempre que quede otro
nombre asociado al archivo, los datos en él seguirán presentes en el sistema de
archivos. Es interesante saber que, a diferencia de una copia, un enlace duro
no ocupa espacio adicional en el disco duro.
Puede crear un enlace duro con ln objetivo enlace. El archivo enlace será
un nuevo nombre para el archivo objetivo. Sólo puede crear enlaces duros en
el mismo sistema de archivos, mientras que los enlaces simbólicos no tienen
dicha restricción.

El espacio en disco disponible prohíbe la implementación de un respaldo diario completo. Por lo

tanto, el programa rsync es precedido con una duplicación del contenido del respaldo anterior
con enlaces duros, lo que evita utilizar demasiado espacio en disco. Luego, el proceso rsync sólo
reemplazará los archivos que fueron modificados desde el último respaldo. Con este mecanismo,
pueden mantener una gran cantidad de respaldos en un espacio pequeño. Debido a que todos
los respaldos están disponibles inmediatamente (por ejemplo, en diferentes directorios de un
recurso compartido en la red) puede realizar comparaciones entre dos fechas rápidamente.
Puede implementar fácilmente este mecanismo de respaldo con el programa dirvish. Utiliza
un espacio de almacenamiento de respaldo («bank» — banco — en su vocabulario) en el que
ubica copias con marcas temporales de conjuntos de archivos de respaldo (estos conjuntos son
llamados «vaults» — bóvedas — en la documentación de dirvish).
La configuración principal se encuentra en el archivo /etc/dirvish/[Link]. Define la
ubicación del espacio de almacenamiento de respaldos, la lista de «bóvedas» administradas y
los valores predeterminados de expiración de los respaldos. El resto de la configuración está
ubicada en los archivos banco/bóveda/dirvish/[Link] y contienen las configuraciones
específicas a los conjuntos de archivos correspondientes.

Ejemplo 9.3 EL archivo /etc/dirvish/[Link]

bank:
/backup
exclude:
lost+found/
core
*~
Runall:
root 22:00
expire-default: +15 days
expire-rule:
# MIN HR DOM MON DOW STRFTIME_FMT

216 El libro del administrador de Debian

 * * * * 1 +3 months
* * 1-7 * 1 +1 year
* * 1-7 1,4,7,10 1

La configuración bank indica el directorio en el que se almacenarán los respaldos. La configu-

ración exclude le permite indicar archivos (o tipos de archivo) a excluir del respaldo. Runall es
una lista de conjuntos de archivos a respaldar con una marca temporal para cada conjunto, lo
que le permite asignar la fecha correcta la copia en caso que el respaldo no ejecute exactamente
en el momento programado. Debe indicar una hora justo antes del momento de ejecución (las
22:04 de forma predeterminada en Debian, según /etc/cron.d/dirvish). Finalmente, las con-
figuraciones expire-default y expire-rule definen las políticas de expiración para los respaldos.
El ejemplo anterior mantiene por siempre los respaldos generados el primer domingo de cada
trimestre, elimina después de un año aquellos realizados el primer domingo de cada mes y luego
de 3 meses aquellos realizados otros días domingo. Mantendrá los demás respaldos diarios por
15 días. El orden de las reglas sí importa, Dirvish utiliza la última regla que coincida o la directiva
expire-default si ninguna línea de expire-rule coincide.

EN LA PRÁCTICA dirvish-expire no utiliza las reglas de expiración para realizar su trabajo. En

Expiración programada realidad, se utilizan las reglas de expiración cuando se crea una nueva copia de
respaldo para definir la fecha de expiración asociada con dicha copia. dirvish-
expire simplemente examina las copias almacenadas y elimina aquellas cuyas
fechas de expiración ya pasaron.

Ejemplo 9.4 El archivo /backup/root/dirvish/[Link]

client: [Link]
tree: /
xdev: 1
index: gzip
image-default: %Y %m %d
exclude:
/var/cache/apt/archives/*.deb
/var/cache/man/**
/tmp/**
/var/tmp/**
*.bak

El ejemplo anterior especifica el conjunto de archivos a respaldar: los archivos en la máquina

[Link] (para respaldos de datos locales, simplemente especifique el nombre local del
equipo según indica hostname), especialmente aquellos en el árbol raíz (tree:/), excepto aquellos
enumerados en exclude. El respaldo estará limitado a los contenidos de un sistema de archivos
(xdev:1). No incluirá archivos de otros puntos de montaje. Generará un índice de los archivos
almacenados (index:gzip) y el nombre de la imagen estará basado en la fecha actual (image-
default: %Y %m %d).

Capítulo 9 — Servicios Unix 217

 Existen muchas opciones disponibles, todas documentadas en la página de manual dirvish.
conf(5). Una vez que finalizó estos archivos de configuración deben inicializar cada conjunto
de archivos ejecutando dirvish --vault bóveda --init. Luego, la ejecución dirvish-runall
automáticamente generará una nueva copia de respaldo inmediatamente después de eliminar
aquellas que hayan expirado.

EN LA PRÁCTICA Cuando dirvish necesita guardar datos en una máquina remota, utilizará ssh
Respaldos remotos sobre para conectarse con ella, e iniciará rsync en modo servidor. Esto necesita
SSH que el usuario root pueda conectarse automáticamente. Las llaves de auten-
ticación SSH permiten esto exactamente (revise la Sección [Link], «Autenti-
cación basada en llaves» página 196).

9.10.2. Restauración de equipos sin repaldos

Los equipos de escritorio, que no son respaldados, serán fáciles de reinstalar desde DVD-ROMs
personalizados que fueron preparados con Simple-CDD (revise la Sección 12.3.3, «Simple-CDD: la
solución todo-en-uno» página 353). Dado que se realiza una instalación desde cero, se pierden
todas las personalizaciones que pueden haberse realizado luego de la instalación inicial. Esto
no es un problema ya que los sistemas están conectados a un directorio LDAP central para las
cuentas de usuario y la mayoría de las aplicaciones de escritorio son preconfiguradas gracias a
dconf (revise la Sección 13.3.1, «GNOME» página 370 para más información al respecto).
Los administradores de Falcot Corp están al tanto de las limitaciones de sus políticas de respaldo.
Debido a que no pueden proteger el servidor de respaldo tan bien como una cinta en una caja
fuerte a prueba de fuego, lo instalaron en una habitación separada para que desastres como
fuego en la sala de servidores no destruyan los respaldos junto con todo lo demás. Lo que es
más, realizan un respaldo incremental en DVD-ROM una vez por semana — sólo se incluyen los
archivos que fueron modificados desde el último respaldo.

YENDO MÁS ALLÁ Muchos servicios (como bases de datos SQL y LDAP) no pueden respaldarse
Respaldo de servicios SQL y simplemente copiando sus archivos (a menos que sean interrumpidos apropi-
LDAP adamente mientras se crean estos respaldos, lo que frecuentemente es prob-
lemático ya que fueron pensados para estar disponibles todo el tiempo). Como
tal, es necesario utilizar un mecanismo de «exportación» para crear un «vol-
cado de datos» que pueda ser respaldado de forma segura. Generalmente son
archivos grandes, pero se comprimen fácilmente. Para reducir el espacio de
almacenamiento necesario, sólo almacenará un archivo de texto completo por
semana y diferencias (diff) cada día, que puede crear utilizando algo simi-
lar a diff archivo_de_ayer archivo_de_hoy. El programa xdelta produce
diferencias incrementales de volcados binarios.

CULTURA Históricamente, la forma más sencilla de realizar un respaldo en Unix era al-
TAR, el estándar para macenar un compendio TAR en una cinta. Inclusive el programa tar obtuvo
respaldos en cinta su nombre de «compendio en cinta» («Tape ARchive»).

218 El libro del administrador de Debian

9.11. Conexión en caliente: hotplug

9.11.1. Introducción

El subsistema hotplug del núcleo administra dinámicamente el agregar y eliminar dispositivos

mediante la carga de los controladores apropiados y la creación de los archivos de dispositivo
correspondientes (con la ayuda de udevd). Con el hardware moderno y la virtualización, casi to-
do puede ser conectado en caliente: desde los periféricos USB/PCMCIA/IEEE 1394 usuales hasta
discos duros SATA, pero también la CPU y la memoria.
El núcleo tiene una base de datos que asocia cada ID de dispositivo con el controlador necesario.
Se utiliza esta base de datos durante el inicio para cargar todos los controladores de los per-
iféricos detectados en los diferentes canales, pero también cuando se conecta un dispositivo en
caliente. Una vez el dispositivo está listo para ser utilizado se envía un mensaje a udevd para
que pueda crear los elementos correspondientes en /dev/.

9.11.2. El problema de nombres

Antes que existieran las conexiones en caliente, era sencillo asignar un nombre fijo a un dis-
positivo. Simplemente estaba basado en la posición del dispositivo en su canal correspondiente.
Pero esto no es posible cuando dichos dispositivos puede aparecer y desaparecer del canal. El ca-
so típico es el uso de una cámara digital y una llave USB, ambos serán un disco para el equipo. El
primero en conectarse puede ser /dev/sdb y el segundo /dev/sdc (siempre que /dev/sda rep-
resente el disco duro del equipo en sí). El nombre del dispositivo no es fijo, depende del orden
en el que se conecte los dispositivos.
Además, más y más controladores utilizan valores dinámicos para los números mayor/menor
de los dispositivos, lo que hace imposible tener elementos estáticos para dichos dispositivos ya
que estas características esenciales puede cambiar luego de reiniciar el equipo.
Se creó udev precisamente para solucionar este problema.
EN LA PRÁCTICA Muchos equipos poseen múltiples tarjetas de red (a veces dos interfaces ca-
Administración de tarjetas bleadas y una interfaz inalámbrica) y, con la mayoría de los canales compat-
de red ibles con hotplug, el núcleo 2.6 ya no garantiza un nombre fijo para cada in-
terfaz de red. ¡Pero un usuario que desea configurar su red en /etc/network/
interfaces necesita un nombre fijo!
Sería difícil pedirle a todos los usuarios que creen sus propias relgas udev
para evitar este problema. Es por esto que se configuró udev de una for-
ma particular: cuando inicia por primera vez (y, de forma más general, cada
vez que detecta una nueva tarjeta de red) utiliza el nombre de la interfaz de
red y su dirección MAC para crear nuevas reglas que le asignarán el mismo
nombre cada vez que inicie. Almacena estas reglas en /etc/udev/rules.d/
[Link].
Este mecanismo tiene unos efectos secundarios que debería conocer. Consid-
eremos el caso de una máquina que sólo tiene una tarjeta de red PCI. Lógi-
camente, la interfaz de red se llama eth0. Digamos ahora que la tarjeta de-
ja de funcionar y el administrador la reemplaza; la nueva tarjeta tendrá una

Capítulo 9 — Servicios Unix 219

 nueva dirección MAC. Debido a que el nombre eth0 fue asignado a la tar-
jeta anterior, a la nueva se le asignará eth1 aunque eth0 no aparecerá nun-
ca más (y la red no funcionará porque /etc/network/interfaces probable-
mente configura la interfaz eth0). En este caso, basta con borrar el archivo
/etc/udev/rules.d/[Link] antes de reiniciar el equipo.
Así se le asignará el nombre esperado, eth0 a la nueva tarjeta.

9.11.3. Cómo funciona udev

Cuando el núcleo le informa a udev de la aparición de un nuevo dispositivo, recolecta mucha

información sobre el dispositivo consultando los elementos correspondientes en /sys/; espe-
cialmente aquellos que lo identifican unívocamente (dirección MAC para una tarjeta de red,
número de serie para algunos dispositivos USB, etc.).
Con esta información, udev luego consulta todas las reglas en /etc/udev/rules.d y /lib/
udev/rules.d. En este proceso decide cómo nombrar al dispositivo, los enlaces simbólicos que
creará (para darle nombres alternativos) y los programas que ejecutará. Se consultan todos estos
archivos y se evalúan las reglas secuencialmente (excepto cuando un archivo utiliza la directiva
«GOTO»). Por lo tanto, puede haber varias reglas que correspondan a un evento dado.
La sintaxis de los archivos de reglas es bastante simple: cada fila contiene criterios de selección
y asignaciones de variables. El primero se utiliza para seleccionar los eventos ante los que reac-
cionar y el último define las acciones a tomar. Se los separa simplemente con comas y el operador
implícitamente diferencia entre un criterio de selección (con operaciones de comparación como
== o !=) o una directiva de asignación (con operadores como =, += o :=).
Se utilizan los operadores de comparación en las siguientes variables:
KERNEL: el nombre que el núcleo le asigna al dispositivo;
ACTION: la acción que corresponde al evento («add» cuando se agregó un dispositivo,
«remove» cuando fue eliminado);
DEVPATH: la ruta al elemento del dispositivo en /sys/;
SUBSYSTEM: el subsistema del núcleo que generó el pedido (hay muchos, pero unos
pocos ejemplos son «usb», «ide», «net», «firmware», etc.);
ATTR{atributo}: el contenido del archivo attribute en el directorio /sys/ruta_de_
dispositivo/ del dispositivo. Aquí es donde encontrará la dirección MAC y otros iden-
tificadores específicos del canal;
KERNELS, SUBSYSTEMS y ATTRS{atributos} son variaciones que intentarán coincidir
las diferentes opciones en alguno de los dispositivos padre del dispositivo actual;
PROGRAM: delega la prueba al programa indicado (coincidirá si devuelve 0, no lo hará
de lo contrario). Se almacenará el contenido de la salida estándar del programa para que
pueda utilizarse en la prueba RESULT;
RESULT: ejecuta pruebas en la salida estándar almacenada durante la última ejecución
de una sentencia PROGRAM.

220 El libro del administrador de Debian

Los operadores correctos puede utilizar expresiones con patrones para que coincidan varios
valores simultáneamente. Por ejemplo, * coincide con cualquier cadena (inclusive una vacía);
? coincide con cualquier carácter y [] coincide el conjunto de caracteres enumerados entre los
corchetes (lo opuesto si el primer carácter es un signo de exclamación y puede indicar rangos
de caracteres de forma similar a a-z).
En cuanto a los operadores de asignación, = asigna un valor (y reemplaza el valor actual); en el
caso de una lista, es vaciada y sólo contendrá el valor asignado. := realiza lo mismo pero evi-
ta cambios futuros en la misma variable. Respecto a +=, agrega elementos a una lista. Puede
modificar las siguientes variables:
NAME: el nombre del archivo de dispositivo que se creará en /dev/. Sólo se tiene en
cuenta la primera asignación, las demás son ignoradas;
SYMLINK: la lista de enlaces simbólicos que apuntarán al mismo dispositivo;
OWNER, GROUP y MODE definen el usuario y el grupo dueños del dispositivo así como
también los permisos asociados, respectivamente;
RUN: la lista de programas a ejecutar en respuesta a este evento.
Los valores asignados a estas variables pueden utilizar algunas substituciones:
$kernel o %k: equivalente a KERNEL;
$number o %n: el número de orden del dispositivo; por ejemplo, para sda3 sería «3»;
$devpath o %p: equivalente a DEVPATH;
$attr{atributo} o %s{atributo}: equivalentes a ATTRS{atributo};
$major o %M: el número mayor del dispositivo en el núcleo;
$mior o %m: el número menor del dispositivo en el núcleo;
$result o %c: la cadena de salida del último programa ejecutado por PROGRAM;
finalmente, % % y $$ para los signos de porcentaje y el símbolo de moneda respectiva-
mente.
La lista anterior no está completa (sólo incluye los parámetros más importantes), pero la página
de manual udev(7) debería serlo.

9.11.4. Un ejemplo concreto

Consideremos el caso de una simple llave USB e intentemos asignarle un nombre fijo. Primero
debe encontrar los elementos que la identificarán de manera unívoca. Para ello, conéctela y
ejecuta udevadm info -a -n /dev/sdc (reemplazando /dev/sdc con el nombre real asignado
a la llave).
# udevadm info -a -n /dev/sdc
[...]
looking at device '/devices/pci0000:00/[Link].3/usb1/1-2/1-2.2/1-2.2:1.0/host9/
å target[Link]/[Link]/block/sdc':

Capítulo 9 — Servicios Unix 221

 KERNEL=="sdc"
SUBSYSTEM=="block"
DRIVER==""
ATTR{range}=="16"
ATTR{ext_range}=="256"
ATTR{removable}=="1"
ATTR{ro}=="0"
ATTR{size}=="126976"
ATTR{alignment_offset}=="0"
ATTR{capability}=="53"
ATTR{stat}==" 51 100 1208 256 0 0 0
å 0 0 192 25 6"
ATTR{inflight}==" 0 0"
[...]
looking at parent device '/devices/pci0000:00/[Link].3/usb1
å /1-2/1-2.2/1-2.2:1.0/host9/target[Link]/[Link]':
KERNELS=="[Link]"
SUBSYSTEMS=="scsi"
DRIVERS=="sd"
ATTRS{device_blocked}=="0"
ATTRS{type}=="0"
ATTRS{scsi_level}=="3"
ATTRS{vendor}=="I0MEGA "
ATTRS{model}=="UMni64MB*IOM2C4 "
ATTRS{rev}==" "
ATTRS{state}=="running"
[...]
ATTRS{max_sectors}=="240"
[...]
looking at parent device '/devices/pci0000:00/[Link].3/usb1/1-2/1-2.2':
KERNELS=="[Link]"
SUBSYSTEMS=="usb"
DRIVERS=="usb"
ATTRS{configuration}=="iCfg"
ATTRS{bNumInterfaces}==" 1"
ATTRS{bConfigurationValue}=="1"
ATTRS{bmAttributes}=="80"
ATTRS{bMaxPower}=="100mA"
ATTRS{urbnum}=="398"
ATTRS{idVendor}=="4146"
ATTRS{idProduct}=="4146"
ATTRS{bcdDevice}=="0100"
[...]
ATTRS{manufacturer}=="USB Disk"
ATTRS{product}=="USB Mass Storage Device"
ATTRS{serial}=="M004021000001"
[...]

222 El libro del administrador de Debian

Para crear una nueva regla, puede utilizar las pruebas en las variables del dispositivo así como
también en los dispositivos padre. El caso anterior le permite crear dos reglas como las sigu-
ientes:
KERNEL=="sd?", SUBSYSTEM=="block", ATTRS{serial}=="M004021000001", SYMLINK+="usb_key/
å disk"
KERNEL=="sd?[0-9]", SUBSYSTEM=="block", ATTRS{serial}=="M004021000001", SYMLINK+="
å usb_key/part %n"

Una vez que haya guardado estas reglas en un archivo, llamado por ejemplo /etc/udev/rules.
d, puede desconectar y conectar la llave USB. Podrá ver que /dev/usb_key/disk representa el
disco asociado con la llave USB y /dev/usb_key/part1 como su primera partición.

YENDO MÁS ALLÁ Al igual que muchos demonios, udevd almacena registros en /var/log/
Depuración de la [Link]. Pero no es muy descriptivo de forma predeterminada y gen-
configuración de udev eralmente no son suficientes para entender lo que está sucediendo. Ejecu-
tar udevadm control --log-priority=info aumenta el nivel de información
y soluciona este problema. udevadm control --log-priority=err vuelve al
valor predeterminado.

9.12. Gestión de energía: interfaz avanzada de configuración y energía

(ACPI: «Advanced Configuration and Power Interface)

Usualmente, el tema de administración de energía es problemático. Suspender apropiadamente

un equipo necesita que todos los controladores de los dispositivos en él sepan cómo configurar-
los en reposo y reconfigurarlos apropiadamente al despertar la máquina. Desafortunadamente,
aún existen algunos dispositivos que no pueden suspender correctamente en Linux debido a que
sus fabricantes no proveen las especificaciones necesarias.
Linux es compatible con ACPI (interfaz avanzada de configuración y energía: «Advanced Config-
uration and Power Interface») — el estándar más reciente sobre gestión de energía. El paquete
acpid provee un demonio que busca eventos relacionados con la gestión de energía (cambios
entre corriente alterna y batería en un portátil, etc.) y puede ejecutar varios programas en re-
spuesta.

CULTURA APM (gestión avanzada de energía: «Advanced Power Management») es el

Gestión avanzada de energía ancestro de ACP en el mundo de gestión de energía. Si bien Debian todavía
(APM: «Advanced Power provee apmd (la contraparte de acpid para el estándar APM), el núcleo Debian
Management») oficial ya no es compatible con APM por lo que deberá ejecutar un núcleo
personalizado si realmente lo necesita en algún equipo antiguo.

CUIDADO El controlador de la tarjeta de video frecuentemente es el problema cuando la

Tarjetas gráficas y suspensión no funciona correctamente. En estos casos, es buena idea probar
suspensión la última versión del servidor gráfico [Link].

Capítulo 9 — Servicios Unix 223

 Luego de esta revisión de los servicios básicos comunes a muchos sistemas Unix, nos enfocare-
mos en el entorno de las máquinas administradas: la red. Se necesitan muchos servicios para
que la red funcione correctamente. Hablaremos de ellos en el próximo capítulo.

224 El libro del administrador de Debian