Al comenzar a escribir mi OpenLDAP-howto-ayuda-guía, inicié por donde la mayoría de los howto’s-guías-documentos comienzan, y esto es por
1. Una definición
2. Hablar de su historía
3. Cómo instalarlo
4. Cómo configurarlo
5. Ejemplos útiles

Para el momento que el lector está por el número 3 ya está cansado y quiere llegar a algo mas substancial y concreto. Entonces lo que yo voy a tratar de hacer en estos párrafos es explicar cómo utilizar un servidor de OpenLDAP como servidor de autenticación.

El ejemplo es el siguiente:

Supongamos que tenemos un conjunto de 20 linux hosts a los cuáles un grupo de usuarios necesita acceso. Si fuera un solo usuario con la necesidad de acceso a todos estos hosts, no resultaría tan “difícil” crear su cuenta de usuario en esos 20 hosts.

Pero que pasa cuando tenemos 30-40 usuarios que necesitan acceso a esos 20 hosts? Aquí es donde podemos hacer uso de OpenLDAP. Cuando creamos la cuenta de un usuario en el servidor OpenLDAP y además configuramos un host para que utilice a OpenLDAP como su servidor de autenticación, no hay necesidad de crear la cuenta del usuario manera local en el host o hosts que el usuario o usuarios quieren accesar. Una imagen dice más que mil palabras:

Esto quiere decir que cuando creámos la cuenta de usuario en OpenLDAP este automáticamente tiene acceso a todos estos hosts (tomando en cuenta que los configuramos para que usen OpenLDAP como su auth-server). Y obvio, cuando eliminamos la cuenta del usuario en OpenLDAP, automáticamente pierde su acceso a todos estos hosts.

Pero que pasa cuando solo quiero darle acceso a un usuario a un determinao host o grupo de hosts? Esto también se puede configurar en OpenLDAP y solo se necesitan modificar 2 líneas más en el host en /etc/ldap.conf.

Supongamos que queremos que el usuarioTest solo puede conectarse a s2.linux, s4.linux y s5.linux, esto se logra cuando modificamos 2 líneas extras en /etc/ldap.conf y cuando en nuestro servidor OpenLDAP agregamos al host en el ou=hosts y le decimos que usuarios tiene permiso para conectarse.

La otra pregunta es: un usuario tiene la posibilidad de cambiar su password cuando está conectado a cualquier host? La respuesta es “si”. Esto se hace modificando el servidor OpenLDAP y agregando unas cuantas líneas, esto para que cuando el usuario este logeado a cualquier host, solo tenga que teclear “passwd” y list, puede cambiar su contraseña.

El último ejemplo es: que pasa cuando mi servidor OpenLDAP deja de funcionar por alguna razón? Bueno, lo primero que va a suceder es que los usuarios no van a poder conectarse a los hosts, al ingresar su username el sistema simplemente se va a congelar, puesto que

1. El usuario ve el mensaje de login:
2. El ususario teclea su nombre de usuario
3. El host recibe esa petición y trata de conectarse a la ip del servidor de OpenLDAP
4. El host no recibe respuesta inmediata del servidor OpenLDAP y se queda “esperando”
5. Después de varios minutos se recibe un “unable to login”

Aquí es donde configurar un segundo servidor OpenLDAP como servidor de replicación es muuuuy útil. También voy a cubrir el tema de cómo configurar un servidor de OpenLDAP con replicación.

Hasta el momento estos son los ejemplos útiles que me vienen a la mente, si alguien tiene en mente algo más que piense que es útil, déjame un comentario y voy a tratar de agregarlo a mi howto-guia-documento.

Después de la emoción del lunes por la mañana, no me podía imaginar que algo más interesante ó emocionante fuera a ocurrir durante el día.

El lunes por la tarde era el último partido de baseball de la temporada de mi chiquillo, me pude salir en punto de las 5 de la oficina para llegar a ver un poco más de la mitad del partido. Lástima, el partido lo perdimos por una carrera, pero mi chiquillo es el “slugger” del equipo; 4 carreras anotadas y 5 carreras impulsadas en 5 turnos al bat, nada mal.

Después de partido, las fotos, las porras, las despedidas, un mini-convivio que duró hasta aprox las 8 de la noche. Ya para este entonces todos estábamos cansados y listos para ir a casa.
Durante todo el día el cielo estuvo nublado, hizo bastante calor y la humedad estaba creo yo al 100%, la temperatura al momento de terminar el partido parece que estaba en los 85F.

Del campo de baseball a la casa serán apróximadamente 15 minutos en carro a una velocidad de 30-45 mhp, así que no nos queda muy lejos; cuando estábamos a 3-4 minutos de llegar a la casa, el cielo se puso negro, negro, negro, comenzó a soplar muchísimo viento y a llover tremendamente. En la mañana había escuchado el pronóstico del tiempo y habían dicho que para en la noche había la posibilidad de “fuertes tormentas”. En el mismo momento que la lluvía y el viento comenzó, escuche la sirena de alerta de tornado de la ciudad donde vivo (o debería llamarle pueblillo?, es una ciudad pequeña) y dije “chispas! a ver si llego a la casa”, en menos de un minuto la visibilidad era casi 0, la lluvia tupía duro sobre el parabrisas y el viento hacía imposible ver mas alla de un par de metros de frente. En ese momento prendí el radio para ver que decían y para sorpresa mía el anuncio era “las sirenas de alerta de tornado están activadas en los siguientes lugares, X, X, X, XXX, inmediatamente busquen refugio y alejense de los árboles”, diantres! es donde yo vivo!!!
Mi temor en ese momento fue que un arbol nos fuera a caer encima, los árboles se mecían cual pajas de debiluchas cuando les pega una brisa. La otra cosa que me impresionaba en ese momento no se si eran los relámpagos y el sonido de ellos, en mi vida había escuchado algo así, tantas veces y tan cerca :-/

Mi otra preocupación es que mi esposa venía en el otro carro, lo único “bueno” es que no viene sola, venía con mi cuñada, pude comunicarme por teléfono con ella y le dije que se estacionara enfrente de una gasolinera que está cerca de nuestra casa y no se moviera hasta que la tormenta bajara de intensidad.

De alguna manera lográmos llegar a la casa, me enfile en el “driveway”, osease el caminito que lleva a la cochera y estacioné el carro exactamente frente a las escaleras de la casa, no sabía si quedarme dentro del carro o correr dentro de la casa, de cualquier manera, parecía que estábamos en medio de lo mas fuerte de la tormenta. Agarré a Josué y le dije “no me sueltes!”, corrimos los 30-40 pasos que hay entre donde dejé estacionado el carro hacía la puerta de la casa, con bastante nerviosismo saqué las llaves y trataba de abrir la puerta, diantres! tristes llaves! Porque no dejan de temblar en mis manos! Ah no, lo que está temblando son mis manos

Ya dentro de la casa nos sentámos en un rincón de la casa, Josué y yo teníamos una botella de agua y una lámpara, ese era nuestro kit de supervivencia. Después de unos 10-15 minutos la tormenta comenzó a bajar de intensidad. Desde el momento que llegamos a la casa estábamos sin electricidad, así que todo estába a obscuras, para este momento ya eran aproximadamente las 9:15 - 9:20 de la noche, no me acuerdo exactamente de la hora. Mi esposa y mi cuñada llegaron a la casa aprox a las 9:45, temblorosas y mojadas.

Di una mini vuelta al jardín y vi que varias ramas de tamaño considerable habían caído de los árboles que tenemos, pero a nuestros vecinos les fue peor, árboles arrancados de raíz, carros volteados, postes de luz por el suelo.

Después de pasar la noche sin electricidad y después de haber recibido otra tormenta a las 12:20 am, el martes por la mañana sali a dar una vuelta más para ver los daños. No me gusta exagerar pero nuestra zona parecía zona de desastre. Cuando iba manejando rumbo a la estación del tren para ir al trabajo, la escena era la misma, árboles caídos por todos lados, arrancados de raiz, postes de luz por el suelo y no había electricidad por ningún lado. Por la tarde el anuncio fue oficial, un tornado de nivel F2 fue lo que impacto el pueblillo/ciudad donde vivo. :-/
Cuando iba en el carro pude tomar unas cuantas fotos, aquí se las dejo para que las vean porque como dicen, una imagen dice más que mil palabras.

Los escritores de nuestro sitio utilizan un MT (Movable Type) que está más manoseado que un jitomate en un puesto de verduras en mercado público.
El problema? nuestros escritores no podían “logearse” a MT (que acá entre nosotros lo llamaos de cariño “ncms).
Paso 1. trato de ir al url para desplegar la página de login — todo parece estár bien puesto que me aparece el diálogo donde me pide que ingrese mi nombre de usuario y contraseña.
Al ver que la página de login si despliega me muestro un tanto incrédulo al reporte de que “nadie puede logearse”

Paso 2. Ingreso mi nombre de usuario y contraseña para verificar que todo está bien, clikeo “login” y mi browser solo comienza a esperar .. esperar … esperar …. esperar ….. esperar …… esperar …….

Ok, ok, puede que haya algo mal, inicio una sesion ssh al servidor, todo ok.

Paso 3. Checo que apache esté funcionando con el famoso ps aux | grep httpd, todo ok … mhhhh

Paso 4. A ver los logs, tail -f /var/log/httpd/access_log y /var/log/httpd/error_log … todo se ve bien! … mmmhhhh

Paso 5. Recargo la página de inicio de “ncms” mientras veo los logs, ahí aparece mi ip, ok, hasta aquí bien, ingreso mi username & password, veo la petición en access_log y ah! un error en error_log, veamos, se queja de que está llamando un script

Paso 5. Verifico que el script está donde MT cree que está y si, efectivamente ahí está, verifico permisos, apache tiene permisos para ver el script … mmmmmhhh, curioso, muy curioso …

Paso 6. No puedo descartar que otro usuario haya hecho algo (aunque solo somos 2 los que tenemos acceso al server) y comienzo a checar /var/log/secure, /var/log/messages, /var/log/kernel mmhhh, todo bien por aquí …

Paso 7. Porque diantres MT manda ese error cuando le doy click a “login”

Paso 8. Checo que la conexión a la base de datos está bien, desde le host donde está instalado MT hago un simple mysql -u usuario -p -h db_host, me pide la contraseña, todo bien, ya estándo conectado a la BD le digo un use cms; ok, todo bien, show tables; todo bien, mmmhhh curioso!!!

Paso 9. Ya tengo más de 4 terminales abiertas a estas alturas solo para este pequeño problema (esto sin contar las veintitantas ventanas que deje abiertas de toda la actividad de la semana pasada, aquí es donde tener 2 pantallas planas de 21″ es realmente bueno), pero bueno, lo que hago es un tail -f /var/log/mysql/query-log mientras le doy click a “login” … nada raro por estos rumbos

Paso 10. Para estas alturas estoy pensando en reiniciar apache pero esto sería una salida rápida a mi problema y posiblement eno solucione nada, puesto que apache, sus config files, mt y todo lo demás se ve bien.

Paso 11. Recargo la página de “login” de ncms y digo “ok, voy a poner un nombre de usuario y contraseña inválida”, lo hago, click en “login” … aahhh!!! error inmediato! La página no se queda esperando y esperando! mmhhh? Porque con credenciáles inválidas regresa un error inmediato y con credenciales válidas se queda en la lela?

A estas alturas ya más de 5 personas están fastidiando y preguntando “que pasa con MT?!” … Y para colmo de los colmos, un developer me dice “oye, sabes que pasa con la versión de DEVELOPMENT de MT?” … 2 minutos después de regañarlo y decirle que me deje de fastidiar preguntándome que pasa con DEV MT, voy al url de nuestra versión de development de MT y curiosamente DEV MT tiene exactamente el mismo problema que PROD MT …. mmmhhhh, hora de usar tcpdump para ver que pasan en las tripas de la conexión.

Un simple
[root@MT SERVER ~]# tcpdump -ni ‘any’ port 80
me dice que al momento de hacer click al botón de login el servidor trata de “contactar” a 204.9.177.33 …. mmhhh, esa ip NO es de mi network block, ok … veamos …

[root@server1 ~]# ping 204.9.177.33
PING 204.9.177.33 (204.9.177.39) 56(84) bytes of data.

espero … espero …. espero …… espero ……..

Nada! De quién diantres es esa ip?

whois 204.9.177.33
[Querying whois.arin.net]
[whois.arin.net]

City: San Francisco
StateProv: CA
PostalCode: 94107
Country: US


Paso 12. Ok, si MT insiste en ir a esa ip, lo más “decente” es bloquearle el acceso, cómo hacemos esto? Con un simple :
iptables -I OUTPUT -d 204.9.177.33 -j REJECT

Paso 13. Voial’a! Al hacer click al botón de login de MT puedo logearme al sistema sin ningún problema.

Paso 14. Parece que MT tiene una “opción de phone home” .. para que? no se, eso se lo dejo a los developers. Pero la moraleja? Cuando todo lo demás falla, tcpdump es una herramienta muuuy útil.

Cuando la vida va rapido, mas vale fijarse en donde pisa uno, no sea que se resbale y caiga.

Debe de haber algo mal con esto. Blogeando desde tan temprano, y en sabado! Resulta que la clase en el gimnasio al que asiste mi esposa es los sabados a las 8 am, diantres! Me tengo que levantar para llevarla al gimnasio, la ventaja de todo esto? Aqui a la vuelta hay un Starbucks, entonces despues de dejarla en el gym, me doy una vuelta rapido por el auto lavado, le doy su aspirada y lavada al carro (no me tardo mas de 15 minutos) y estoy de regreso en el starbucks con un cafe y blogeando. Una vez que la cafeina comienza a hacer efecto mis dedos no pueden detenerse de teclear, la inspiraci’on de la cafeina ha llegado!