FortiGate: Añadir doble verificación mail y configurar bookmark

Publicado el 14 marzo, 201914 mayo, 2019 por Morris Phillips

Añadir usuario con IP fija – VPN

1º Crear el objeto/portal con la IP: 
# VPN\SSL-VPN Portals
# Create New
# Nombre: xxx
# Deshabilitar Split Tunneling
# Source IP Pools y agregar la IP fija (objeto creado en Policy & Objects\Addresses)
# Deshabilitar Web Mode (Si no se quiere que acceda vía Web)

2º Añadir el usuario con el portal(objeto) creado en el punto anterior.
# SSL-VPN Settings
# Authentication/Portal Mapping
# Create New
# Usuario xxx 
# Portal xxx

3º Crear las políticas que le van a permitir navegar desde la SSL-VPN.

1º Crear el objeto/portal con la IP:

# VPN\SSL-VPN Portals

# Create New

# Nombre: xxx

# Deshabilitar Split Tunneling

# Source IP Pools y agregar la IP fija (objeto creado en Policy & Objects\Addresses)

# Deshabilitar Web Mode (Si no se quiere que acceda vía Web)

2º Añadir el usuario con el portal(objeto) creado en el punto anterior.

# SSL-VPN Settings

# Authentication/Portal Mapping

# Create New

# Usuario xxx

# Portal xxx

3º Crear las políticas que le van a permitir navegar desde la SSL-VPN.

Si necesitamos añadir un bookmark a un usuario a su SSL-VPN tenemos que hacerlo vía línea de comandos.

Seguiremos estos pasos:

# FG29 # config vpn ssl web user-bookmark 
 
# FG29 (user-bookmark) # edit luis#  (importante poner # para que funcione) 
 
# FG29 (luis) # config bookmarks 
 
# FG29 (bookmarks) # edit "RDP_Luis"  (importante las comillas dobles)
 
# FG29 (RDP_Luis) # set apptype rdp
 
# FG29 (RDP_Luis) # set host "110.11.15.2" (importante las comillas)
 
# FG29 (RDP_Luis) #  set security tls

# FG29 (RDP_Luis) # set port 3389
 
# FG29 (RDP_Luis) # end
 
# FG29 (luis) # show
config vpn ssl web user-bookmark
    edit "luis"
        config bookmarks
            edit "RDP_Luis"
                set apptype rdp
                set description "PC_Luis"
                set host "110.11.15.2"
                set port 3389
            next
        end
    next
end

# FG29 # config vpn ssl web user-bookmark

# FG29 (user-bookmark) # edit luis# (importante poner # para que funcione)

# FG29 (luis) # config bookmarks

# FG29 (bookmarks) # edit "RDP_Luis" (importante las comillas dobles)

# FG29 (RDP_Luis) # set apptype rdp

# FG29 (RDP_Luis) # set host "110.11.15.2" (importante las comillas)

# FG29 (RDP_Luis) # set security tls

# FG29 (RDP_Luis) # set port 3389

# FG29 (RDP_Luis) # end

# FG29 (luis) # show

config vpn ssl web user-bookmark

edit "luis"

config bookmarks

edit "RDP_Luis"

set apptype rdp

set description "PC_Luis"

set host "110.11.15.2"

set port 3389

end

Doble Verificación:

# FG117369 # config user local
 
# FG117369 (local) # edit luis
 
# FG111369 (luis) # set email-to 65111226@email_sms.net
 
# FG111111 (luis) # set two-factor email
 
# FG111111 (luis) # show
config user local
    edit "luis"
        set type ldap
        set two-factor email
        set email-to "651111226@email_sssm.net"
        set ldap-server "LDAP_ServidorX"
    next
end

# FG117369 # config user local

# FG117369 (local) # edit luis

# FG111369 (luis) # set email-to [email protected]_sms.net

# FG111111 (luis) # set two-factor email

# FG111111 (luis) # show

config user local

edit "luis"

set type ldap

set two-factor email

set email-to "[email protected]_sssm.net"

set ldap-server "LDAP_ServidorX"

end

Enjaular SFTP con clave publica y password (jail Centos 7 sftp)

Publicado el 13 marzo, 201913 marzo, 2019 por Morris Phillips

Si algún cliente nos pide poder enjaular un sftp y que se autentique con clave pública y además con usuario y password tendremos que seguir estos pasos.:

# adduser bsl3
# passwd bsl3
# mkdir -p /compartido/sftp
# mkdir -p /compartido/sftp/uploads
# chown root:root /compartido/sftp
# chmod 755 /compartido/sftp/
# chown bsl3.bsl3 /compartido/sftp/uploads/
# vim /etc/ssh/sshd_config

# adduser bsl3

# passwd bsl3

# mkdir -p /compartido/sftp

# mkdir -p /compartido/sftp/uploads

# chown root:root /compartido/sftp

# chmod 755 /compartido/sftp/

# chown bsl3.bsl3 /compartido/sftp/uploads/

# vim /etc/ssh/sshd_config

Añadimos estas líneas al sshd_config:

Subsystem sftp internal-sftp

Match User bsl3
        ForceCommand internal-sftp
        RSAAuthentication yes
        PubkeyAuthentication yes
        AuthenticationMethods "publickey,password" "publickey,keyboard-interactive"
        ChrootDirectory /compartido/sftp
        PermitTunnel no
        AllowAgentForwarding no
        AllowTcpForwarding no
        X11Forwarding no

Subsystem sftp internal-sftp

Match User bsl3

ForceCommand internal-sftp

RSAAuthentication yes

PubkeyAuthentication yes

AuthenticationMethods "publickey,password" "publickey,keyboard-interactive"

ChrootDirectory /compartido/sftp

PermitTunnel no

AllowAgentForwarding no

AllowTcpForwarding no

X11Forwarding no

# systemctl restart sshd

Nos logueamos con el ususario
# su - bsl3

#  ssh-keygen -t rsa
#  cd .ssh
#  ls -al
#  rm -rf *
#  vim authorized_keys

Copiamos las claves públicas en el authorized_keys

#  chmod 600 authorized_keys
#  exit

# systemctl restart sshd

Nos logueamos con el ususario

# su - bsl3

# ssh-keygen -t rsa

# cd .ssh

# ls -al

# rm -rf *

# vim authorized_keys

Copiamos las claves públicas en el authorized_keys

# chmod 600 authorized_keys

# exit

Y Probamos .-)

# sftp bsl3@TheMachine.est

1	# sftp [email protected]

Si hacemos un cd / no deberemos ver ningún árbol de directorio del sistema.

Sólo podremos escribir en /compartido/sftp/uploads

Y si tratamos de hacer un ssh no nos dejará. Pero si queremos asegurarnos podemos modificar el /etc/passwd y añadirle al usuario /bin/false

Autenticación ssh con clave pública y con password

Publicado el 4 marzo, 20194 marzo, 2019 por Morris Phillips

Sí queremos tener autenticación vía SSH con clave pública y añadirle además un segundo factor como es contraseña podemos hacerlo añadiendo estas líneas al fichero sshd_config

Match User Usuario_Doble
        RSAAuthentication yes
        PubkeyAuthentication yes
        AuthenticationMethods "publickey,password" "publickey,keyboard-interactive"

Match User Usuario_Doble

RSAAuthentication yes

PubkeyAuthentication yes

AuthenticationMethods "publickey,password" "publickey,keyboard-interactive"

Esto hará que el usuario Usuario_Doble se le pida el certificado y luego le pregunte la clave de sistema operativo.

Ojo. No olvidar reiniciar el servicio ssh 🙂

Reset MariaDB Root Password

Publicado el 18 febrero, 201918 febrero, 2019 por Morris Phillips

Para resetear la clave de Root de MariaDB seguiremos estos pasos:

$ sudo systemctl stop mariadb
$ sudo mysqld_safe --skip-grant-tables &

$ mysql -u root

$   use mysql;
$      update user SET PASSWORD=PASSWORD("password") WHERE USER='root';
$      flush privileges;
$      exit

$ sudo systemctl start mariadb

$ sudo systemctl stop mariadb

$ sudo mysqld_safe --skip-grant-tables &

$ mysql -u root

$ use mysql;

$ update user SET PASSWORD=PASSWORD("password") WHERE USER='root';

$ flush privileges;

$ exit

$ sudo systemctl start mariadb

Cambiar editor definido en Crontab por vim o nano

Publicado el 10 enero, 201910 enero, 2019 por Morris Phillips

Si queremos cambiar el editor predefinido en el crontab en una distribución Debian, Ubuntu,..

Nano:

# export VISUAL=nano; crontab -e

1	# export VISUAL=nano; crontab -e

Vim:

# export VISUAL=vim; crontab -e

1	# export VISUAL=vim; crontab -e

Sólo restaría añadirlo al .bashrc o .bash_profile