Manual Sisland Server Versión 9 (página 3)

3.1 Configuración
Global

Esta página nos muestra información sobre el sistema y algunas
opciones para configurarlo.Más opciones de
configuración e información del sistema irán
apareciendo en esta página en futuras
versiones.

  No presentar página de
login a usuarios no autorizados

Cuando configuramos usuarios que autentican
por login el servidor
siempre presentará la página de logueo a las
IPs no autorizadas que intenten conectarse, dándo la
oportunidad de que se comience una sesión de
navegación por login. Cuando no tenemos ningún
usuario que autentica por login el servidor también
presentará la página de logueo lo cual sirve, por
ejemplo, para mostrar un aviso de cuenta suspendida si la
IP/MAC no
autorizada está configurada en algún usuario pero
deshabilitada; también sirve para que los usuarios no
autorizados conozcan los datos de la empresa a la
cual se están conectando y puedan contactarse a fin de
solicitar el servicio.
Si no tenemos usuarios por login y no queremos que la
página de logueo aparezca a los usuarios no autorizados,
debemos marcar esta casilla.

  No aislar redes
internas

Cuando está activo el control de acceso
(ver 3.2 Control de Procesos) el
servidor también implementa reglas para que las diferentes
redes lan (o
redes intranet) no
puedan comunicarse entre sí. Marcando esta opción
dichas reglas no son aplicadas. Lo habitual en un servidor o
router que
soporta diversas subredes internas es que comunique las
diferentes subredes entre sí. Esto significa que un
cliente con la IP
192.168.1.10 tendría comunicación con otro de IP 10.42.42.50
-aunque tengan subredes incompatibles- gracias al ruteo del
servidor. Para evitar este comportamiento
normal SislandServer incluye reglas internas que aislan las redes
internas. Este aislamiento puede desactivarse con esta
opción.

DNS secundarios

SislandServer incluye un servidor DNS interno
que los clientes pueden
utilizar como servidor DNS en su configuración de red (o sea que utilizan la
misma IP como puerta de enlace y como DNS primario, de hecho
asó es como se les configura automáticamente a los
clientes que se conectan por DHCP). El servidor DNS de
SislandServer tiene una lista interna de servidores DNS
secundarios para consultar. En algunas ocasiones queremos que el
DNS del servidor no consulte a esa amplia lista sino a DNS
específicos (por ej., a los DNS que nos indica
nuestro proveedor del enlace que suelen ser de acceso más
veloz porque están más "cerca"). Esos DNS
específicos se configuran aquí, una IP junto a la
otra separadas por espacio únicamente.En ocasiones, se han
presentado periodos donde hay problemas en
internet para
acceder a algunos servidores DNS. En estos casos también
puede ser útil fijar DNS en este campo. Pueden utilizarse
los DNS de nuestro proveedor o DNS públicos como
208.67.222.222, 67.138.54.100, 4.2.2.1, 4.2.2.3 y otros
DNS públicos. Para probar si un DNS es abierto y accesible
desde el servidor podemos ejecutar, por terminal o consola
virtual, un comando como dig -t ns sitaram.org
@208.67.222.222 reemplazando 208.67.222.222 por
la IP del DNS que queremos testear y sitaram.org por
cualquier dominio existente
(o utilizar este mismo).

Sitios sin proxy

El servidor hace pasar toda la
navegación http (puerto 80)
por el proxy Squid que tiene instalado y preconfigurado. Esto
permite "cachear" (almacenar) los contenidos y ahorrar ancho de
banda cuando otro usuario requiere el mismo material. Sin
embargo, algunos sitios no funcionan bien cuando pasan a
través de un proxy por lo cual podemos en este campo
agregar dichos sitios (por IP o por dominio) separados por
espacios para que no sean redirigidos al proxy.

Puertos Adicionales de aplicaciones
P2P

El sistema identifica a los programas p2p a
través de filtros especiales y de puertos preconfigurados
que tradicionalmente utilizan estos programas. A los puertos que
ABC reconoce como transferencias de programas peer to peer y a
los cuales les aplica un ancho de banda diferenciado -tanto de
bajada como de subida-, el administrador
puede agregar una lista adicional que se aplicará en
cuanto se guarde la configuración si el sistema
está activado.La lista solo debe contener números
(los puertos) separados por comas, permitiéndose los
rangos como 2000:2005 (o sea, del 2000 al 2005).Ejemplo de lista
adicional: 6987, 23658,
2568,4587,8900:8999,1254

¡ATENCIÓN! Pueden haber
espacios pero no puede omitirse la separación con comas,
incluir letras ni ningún otro símbolo. Errores en
esta lista pueden resultar en que el sistema no haga el modulado
diferenciado de ningún puerto p2p.En este listado de
puertos pueden incluirse puertos correspondientes a otros
protocolos (no
p2p) que se pretenda sean controlados con el mismo ancho de banda
que los p2p.

Avanzadas

Puertos liberados

Podemos especificar puertos a los cuales el
servidor no les aplicará control de acceso. Es un
parámetro a utilizar con cuidado ya que si se trata de
clientes cuyas IP no corresponden a ningún usuario cargado
en el sistema, tendrán el puerto abierto pero
ningún control de ancho de banda, también estos
puertos podría ser utilizados por programas p2p. Solo se
recomienda en redes controladas en las cuales se desea que
algunos protocolos estén liberados para toda la
red.

Consultas DNS: máximo ancho de
banda de subida permitido.

Aquí opcionalmente puede limitarse
el ancho de banda de subida que el servidor puede utilizar para
las consultas DNS. No es necesario llenar este parámetro a
no ser en en enlaces con problemas de ancho de banda de subida
muy limitado.

Duración en seg. guardián
de conexiones

Si nuestra licencia incluye el
módulo de balanceo de conexiones y ruteo selectivo,
aparecerá esta opción que tiene sentido
únicamente si efectivamente estamos utilizando el
balanceo, o sea que conectamos el servidor a más de una
conexión a internet. Para saber si las conexiones
están funcionando adecuadamente el servidor testea las
puertas de enlace o las IP de control de diferentes maneras en
forma periódica . El último testeo consiste en
enviarles ping en un lapso de tiempo de 5
segundos por test. Si
más del 50% de los ping son respondidos considera que la
conexión funciona aceptablemente; sino, la deshabilita
hasta que la misma responde adecuadamente. En enlaces muy lentos,
muy saturados o inestables, 5 segundos puede ser poco tiempo de
prueba y producirse falsos negativos, con periódicas
desactivaciones de enlace que perjudican el servicio. En
conexiones con las características mencionadas o si
notamos que en el registro del
guardián de conexiones presenta desactivaciones muy
frecuentes, puede ser conveniente aumentar este valor a 10 o
más. Los tests serán más lentos pero
más seguros.

En el panel izquierdo podemos configurar
datos informativos:

• NOMBRE EMPRESA

Aparecerá en la página de
login, o sea que será visto por los usuarios que accedan
por nombre de usuario/contraseña. Se superpone al nombre
de la empresa
configurado en la intranet, si se hubiera hecho

• EMAIL para avisos del sistema

Es el mail al cual el servidor
enviará avisos como caida y recuperación de enlaces
(módulo de balanceo) y otros.

• Imagen o HTML para página de login

Aparecerá en la sección
derecha de la página de login cuando los usuarios sin
autenticación por IP/MAC quieran conectarse. Lo mejor es
subir una imagen JPG o GIF
con el diseño
que queramos (tamaño máximo recomendado 440px de
ancho por 380px de alto). También puede ser un archivo HTML o de
texto.

3.2 Control de Procesos

Actualmente esta página contiene el
mismo Panel de Control que la página principal
(El Portal) y un panel de control
extendido para los principales servicios
incluidos en el servidor.

PANEL DE CONTROL

Las funciones del
panel de control que describimos a continuación son las
mismas para El Portal y para la página de Control de
Procesos.

Control de
servicios

  SQUID – el proxy
que cachea las páginas web visitadas
haciendo más ágil la navegación, puede
desactivarse a los fines de diagnóstico pero conviene que funcione. El
botón de la derecha permite vaciar el caché (las
páginas almacenadas) lo cual sólo es necesario como
prueba en el caso de que notemos la navegación muy lenta y
tengamos certeza que no se debe a la conexión a internet
(ver página Mantenimiento
de la Intranet).

NTop – una aplicación
auxiliar que recopila estadísticas del uso de la red (ver 4.3
NTop: análisis del tráfico de la
red)

DNS server Bind9 – un servicio
incluido en el servidor que hace la función de
DNS para los usuarios y para el mismo servidor. Mientras este
funcione, los usuarios pueden utilizar el servidor como DNS
(ahorrando consultas hacia internet) y el servidor no necesita
configuración de DNS. Otra ventaja es que cachea las
consultas lo cual implica ahorro de
ancho de banda. El control especial sirve para vaciar el
caché (dominios almacenados).

Ajuste de fecha y hora

La hora del servidor se actualiza en forma
periódica con servidores ntp (servidores de hora) en
internet. En esta sección de la página Control
de Procesos podemos solicitar una actualización
inmediata de fecha y hora y/o cambiar la zona horaria en la que
el servidor está ubicado.

3.3 Respaldo y
restauración

Disponemos aquí de 2 funciones
complementarias. Bajar archivo de BackupGenera un archivo
de texto con TODOS los datos de configuración de ABC que
se descarga en el mismo equipo desde el cual estamos accediendo a
la interfaz web de ABC. Restaurar desde este
archivoPermite subir un archivo generado con el paso
anterior, restaurando todos los datos (usuarios, grupos,
interfaces, configuraciones, etc.).

3.4 Setup (activación y
licenciamiento del servidor)

Esta página nos permite realizar
configuraciones importantísimas en el servidor sin
recurrir a comandos por
consola. Es la base para que todas las configuraciones y paquetes
de software queden
convenientemente instalados. El uso de las opciones de esta
página está explicado en las instrucciones de
instalación www.sislandserver.com/instalacion. Aquí
haremos un repaso de las opciones que podemos utilizar tanto en
la configuración inicial, como en posteriores
actualizaciones y tareas de mantenimiento o verificación.
Para ingresar en esta página necesitamos el
usuario/contraseña del titular de la licencia, o sea, los
mismos que se utilizan en la intranet.

• LICENCIAS

1. Activar LicenciaNos presenta una
lista de licencias disponibles para elegir cual instalamos en
este servidor. Una vez activada la licencia, haciendo clic en
esta misma opción la actualizamos, lo cual puede ser
útil para habilitar nuevos módulos contratados en
la intranet, por ejemplo.2. Desactivar licenciaAntes de
intentar instalar el servidor en otro equipo o hacer una
instalación completa en este mismo, es recomendable
desactivar la licencia.

• SERVIDOR

3. Configuración
generalInstala todos los paquetes de software y establece las
configuraciones necesarias para el correcto funcionamiento del
servidor. Se puede ejecutar las veces que queramos, para
asegurarnos que todos los componentes del servidor estén
correctamente instalados y configurados, pero habitualmente solo
se utiliza en la instalación inicial, luego del Paso
2.4. Actualizar sistema de controlActualiza el sistema de
control a la última versión disponible.

MANTENIMIENTO 5. Volver
a versión anterior instaladaPermite volver el sistema
de control atrás luego de una actualización Las
opciones siguientes ya están incluidas en las anteriores.
Se presentan aquí por separado para tareas de
mantenimiento o "reparación":6. Actualizar
programas auxiliares de estadísticasRepasa la
instalación de programas como el ntop, iptraf, etc.7.
Actualizar configuración del entorno
operativoReinstala programas importantes como el servidor de
nombres, base de datos,
proxy y otros.8. Migración
a nueva versión Se asegura que ciertos
parámetros utilizados por la actual versión del
sistema de control sean configurados en el servidor. Se utiliza
cuando hay un cambio
importante de versión, por indicación de los
desarrolladores del sistema.

• Datos

9. Resetear clave local de acceso al
sistemaLa contraseña local, que sirve para todo el ABC
menos para el setup, se resetea al valor predeterminado: usuario
igual al ID de licencia, contraseña igual al ID de
licencia.10. Cargar configuración predeterminada
¡Sólo instalaciones nuevas!(figura como
Instalar datos predeterminados en versiones
anteriores)Carga configuración "de fábrica" del
sistema de control como redes, grupos, usuarios, etc. Luego de
utilizar esta opción es imprescindible reconfigurar las
Redes antes de resetear el equipo o reiniciar el control
de ancho de banda.

• Sistema Operativo

12. Configurar kernel y
servidoresEstá incluido en el punto 3 pero figura en esta
página por si hiciera falta asegurarnos que software vital
para el funcionamiento del servidor como el kernel de
SislandServer está instalado en el sistema
operativo.

4.1 Sobre los informes del
servidor

Al desarrollar ABC nos hemos concentrado,
dedicando miles de horas de investigación y programación, a lograr un óptimo
control del ancho de banda y la mayor simplicidad y eficiencia
posibles en la instalación y configuración del
servidor. Los informes no han sido la primera prioridad ya que,
cuando el servidor distribuye bien el ancho de banda no es tan
necesario controlar el tráfico, pero contamos en el
servidor con varios y muy útiles. ABCTrafDisponemos
de UserTraf, una página poderosa y útil que nos
muestra el consumo actual
de los usuarios: por tipo de transferencia, por usuario y por
grupo. Ver
página del manual sobre
UserTrafNTOP Ver página del manual sobre NTop
(análisis del tráfico de la red)Equipos
Conectados A través de esta página podemos
saber fehacientemente las IP y MAC de los clientes que pasan por
el servidor. Aquellas IP marcadas con un + a la derecha
están conectadas en este momento, la marca o y –
significan que se han conectado hace algunos segundos; si no
tienen marca es un registro de que estuvieron conectadas. La
información se refresca cada 30 segundos y podemos
actualizarla más rápido simplemente apretando la
tecla F5.Algunos access point
enmascaran la MAC de las máquinas
que se conectan a través de ellos; gracias a esta
página sabemos sin duda cuál es la MAC que llega al
servidor.Consumo por interfazSencilla aplicación
auxiliar que nos muestra el tráfico (en cantidad de Mb o
Gb) de cada placa de red por hora, día o
mes.Información del servidorOtra aplicación
auxiliar que nos muestra la configuración general del
sistema operativo y los valores de
hardware
detectados. Es normal que la memoria
aparezca cercana al 90% ya que en ocasiones Linux una vez que
la utiliza la deja reservada y figura como en
uso.IPTRAFSislandServer incluye una poderosa herramienta
de monitoreo de red por consola: iptraf. Loguearse en una
consola directamente o con putty y ejecutar sudo
iptraf para acceder a la misma. Hay documentación disponible sobre este
programa en
http://cebu.mozcom.com/riker/iptraf/2.7/manual.htmlEn SislandSoft
continuamos con en el desarrollo de
nuevas herramientas
de información que se incorporarán en futuras
versiones, permitiendo el análisis del consumo
histórico de cada usuario y otras prestaciones.

4.2 UserTraf: el monitor de
consumo por usuario

Esta página nos permite hacer el
monitoreo on-line del consumo en kbps de cada usuario. Trabaja
con una avanzada tecnología de
auto-refresco de datos, optimizada para ocupar el menor ancho de
banda posible.Solamente presenta los datos si el control de ancho
de banda está activo en el servidor.La banda celeste
muestra los datos del grupo de usuarios: ID, nombre, ancho de
banda asignado de bajada y de subida, ancho de banda actual de
bajada (rojo) y de subida (verde) y tráfico acumulado de
bajada y de subida desde la última activación del
control de ancho de banda.

Cada cuadro (hay 4 o 5 por fila) muestra
los datos de un usuario: ID, login, IP, ancho de banda actual de
bajada (rojo) y de subida (verde), tráfico recibido (Rx) y
transmitido (Tx) desde la última activación del
control de ancho de banda. En el caso de los usuarios con
autenticación por login, aparecerá la IP que le
asignó el servidor y haciendo clic en la misma se
cierra la sesión para ese usuario.A la derecha vemos
un detalle del ancho de banda consumido en cada grupo de
protocolos: s (ssh y tráfico de prioridad 1), w (web), n
(ftp y todo lo
demás), m (mail y radio), p (p2p
detectado). Observarán que a veces no coincide la suma del
ancho de banda de estos protocolos con el total del usuario; esto
es normal por los tiempos de medida que difieren en milisegundos
y el redondeo que se aplica para poder
mostrarlo en este pequeño cuadro.Los cuadros "iluminados"
muestran los usuarios con transferencia; luego de unos 30
segundos sin actividad vuelven al color
original.Están en desarrollo o planificadas las siguientes
prestaciones para UserTraf:

• monitoreo del total por dispositivo
  (placa de red)

• monitoreo por grupo o por usuario
  seleccionado

• opción de vista breve y
  detallada

• edición y habilitación
  del usuario desde esta página

• cantidad de tráfico acumulado
  mensual

4.3 NTop: análisis del
tráfico de la red

¿Qué es Ntop?Un
programa que genera estadísticas sobre de la red
incluyendo actividad IP por IP y que SislandServer instala
durante los procesos de Setup¿Cómo se accede a
Ntop?A través de un navegador web (Firefox,
Internet
Explorer) apuntando a alguna de las IP internas del servidor,
puerto 3000. Por ejemplo: http://192.168.1.1:3000,
http://10.0.0.1:3000, http://10.42.42.1:3000, etc.Si quieres que
sea accesible por la IP externa, conectada a internet, debes
abrir el puerto 3000 en la pestaña Avanzadas de la
página Redes, seleccionando la red correspondiente (ver
página Redes).Ntop no funciona ¿cómo
puedo reinstalarlo?En la página de Setup del
sistema de control hacer clic en Actualizar Programas
auxiliares de estadísticas ¿Cómo se
inicia/detiene Ntop?Habitualmente este se inicia como
servicio (o "daemon") y se ejecuta periódicamente en el
servidor sin que debamos ejecutar ningún comando.
Disponemos, sin embargo, de un control gráfico en la
página 3.2 Control de Procesos de ABC y de comandos por
consola para asegurarnos que el mismo funcione, detenerlo o
evitar que se inicie como servicio en el arranque del
servidor:

• sudo invoke-rc.d ntop restartreinicia
  el servicio ntop

• sudo invoke-rc.d ntop stopdetiene el
  servicio ntop

• sudo update-rc.d -f ntop removeevita
  que ntop se inicie al arancar el servidor

• sudo update-rc.d ntop start 99 2 3 4 5
  . stop 10 0 1 6 . ;vuelve a configurar ntop como servicio
  para que arranque junto con el servidor

Más información sobre
NtopNTOP es un potente programa de análisis del
tráfico de red que queda a disposición del
administrador. Se accede por el puerto 3000 via web solamente
desde la red interna. Para su conocer su funcionamiento,
además de la mencionada interfaz web por el puerto 3000,
puede ejecutarse por consola ntop -L o ntop
–help; los archivos de
configuración se encuentran en /etc/ntop. Si se
tiene un tráfico de red muy intenso o una computadora de
memoria
limitada el ntop puede ocupar bastantes recursos en su
escaneo permanente de la red. Para detenerlo puede ejecutarse
sudo invoke-rc.d ntop stop y para evitar que se inicie
al arrancar el servidor ejecutar sudo update-rc.d -f ntop
remove.CONSEJO: en IP >> Summary >>
Traffic disponemos de los accesos directos para ver el
consumo por IP (haciendo clic en Local Only, arriba, el
listado solo presentará la actividad de las IP de la red
interna).¿Se puede configurar ntop?Si. La
configuración por defecto puede cambiarse en el mismo Ntop
por web en la página Admin >
Configure.

• ¿Cuál es la
  contraseña para el "admin" de ntop y cómo se
  cambia?La contraseña predeterminada es igual al
  mismo ID de licencia del servidor y el usuario predeterminado
  es admin; estos datos pueden cambiarse desde esta
  misma página (recomendamos cambiarla recordando sin
  embargo que en las reinstalaciones al hacer clic en
  Configuración Inicial,
  Actualización o Actualizar Programas
  auxiliares de estadísticas de la página de
  Setup, la contraseña de Ntop se
  reseteará nuevamente al ID de licencia).

• ¿Cómo configuro que el
  ntop registre la actividad de varias placas de red?A
  partir de la versión 7.01-098 el sistema de
  control se encarga de configurar las placas correspondientes
  en el NTop. En versiones anteriores: en el menú
  Admin >> Configure >> Preferences de
  Ntop por web agregamos al final un nuevo campo a la izquierda
  que diga ntop.devices y a la derecha establecemos
  los nombres de las placas de red separadas por coma (Ej.:
  eth1, eth2) sobre las cuales queremos que el ntop
  recopile información, preferentemente las placas
  internas. Deben ser las placas de red conectadas a los
  usuarios y no las placas conectadas a internet.

• ¿Cómo reseteo las
  estadísticas?En el menú Admin >>
  Configure >> Reset Stats

5.1 Acerca de
Comunicaciones

Este es un menú en el que
figurarán enlaces a páginas
web de los desarrolladores, los instaladores y otros sitios
de interés, así como el manual y
documentación en general. Su contenido se
enriquecerá a través de la actualización
automática.

6.2 Licenciamiento

Cuando adquieres una licencia de
SislandServer tú indicas y contratas el número
máximo de usuarios que tendrás autorizado y los
módulos adicionales que utilizarás.Tienes
más información sobre la
administración de licencias en la página del
manual sobre el Setup (activación y licenciamiento del
servidor).Uno de los aspectos más importantes de
SislandServer es la facilidad con la que lo instalas, lo
reinstalas, lo cambias de equipo, etc., sin necesidad de
solicitar nuevas activaciones de licencia o perderla al cambiar
al hard. Lograr esta flexibilidad y a la vez proteger el sistema
de copias ilegales no es una tarea fácil y ha requerido
cientos de horas de trabajo. A fin
de disponer de un sistema de licenciamiento dinámico,
rápido y seguro, el
servidor activa las licencias a través de internet y en
forma periódica chequea la validez de la licencia con
nuestros servidores de licencias. Por eso es necesario para su
funcionamiento una conexión a internet permanente y
medianamente estable. El servidor NO envía
información acerca de los usuarios, grupos,
tráfico, etc., del mismo. Tenemos implementado un plan de
contingencia para asegurar que los servidores siempre puedan
verificar la licencia y funcionar, con servidores espejo,
algoritmos de
tolerancia,
transferencias encriptadas de poca longitud, chequeos aleatorios
en lapsos de tiempo bastante amplios, técnicos de
emergencia, etc.

Autor:

William Ramírez