https://wiki.ispup.com.br/w/api.php?action=feedcontributions&feedformat=atom&user=Gondim ISPUP! - Contribuições do usuário [pt-br] 2026-06-15T14:05:10Z Contribuições do usuário MediaWiki 1.45.3 https://wiki.ispup.com.br/w/index.php?title=Portas_Amplificacao_DDoS&diff=1143 Portas Amplificacao DDoS 2026-06-14T16:44:25Z <p>Gondim: </p> <hr /> <div>{{DISPLAYTITLE:Portas de Amplificação DDoS e Botnets}}<br /> __TOC__<br /> [[Arquivo:Criminal-bandit-hacker-scaled-1.jpg|miniaturadaimagem|nenhum|459x459px]]<br /> &lt;br&gt;<br /> ==Introdução==<br /> Para contextualizar nosso artigo precisamos entender basicamente que: '''amplificação''' é quando perguntamos algo para algum serviço (porta) e a resposta retornada, é maior que o tamanho da pergunta. Tendo isso em mente, existem alguns '''serviços abertos na Internet''' com essa característica e são explorados para realizarem o que conhecemos como '''Ataques de''' '''DDoS (Distributed Denial of Service)'''. Sabem aqueles ataques que costumam derrubar nossa '''Operação de Internet''', causando indisponibilidade de acesso para nossos assinantes? São esses serviços mal configurados e abertos na Internet, que munem fortemente os cibercriminosos, que usam esses serviços abertos como ferramentas para esse propósito. Não se engane se você acha que na sua Rede, não possa existir esses serviços abertos e que ninguém estaria usando-os para executar esses ataques. Estamos acostumados a sempre reclamar de ataques recebidos, mas você já parou para pensar que você pode estar sendo usado como '''vetor de ataque''' e com isso, '''inconscientemente''', atacando alguém na Internet? Tirando o fato da imperícia de quem configurou erradamente o serviço, deixando-o '''vulnerável''', '''exposto''' e '''suscetível''' a ser explorado, essa pessoa é tanto vítima quanto você.<br /> <br /> == Consequências ==<br /> Quando somos usados como '''vetor de ataque''', nossa Rede se torna instável, nossos clientes reclamam de lentidão no acesso à Internet, nosso '''Call Center''' fica atarefado com solicitações que provavelmente eles não conseguirão identificar a causa raiz do problema. Como resultado teremos um aumento da insatisfação dos nossos clientes e muitos cancelamentos ('''churn'''). Para evitarmos todos esses males, resolvi escrever esse artigo dando dicas e explicando maneiras de fixarmos esses problemas.<br /> <br /> Quanto às '''Botnets,''' existem sistemas que foram comprometidos e podem estar sendo explorados para alguma atividade ilícita e que também poderá prejudicar a sua Operação de Internet. Esses casos também precisam ser tratados.<br /> <br /> ==Portas de Amplificação e de Botnets mais conhecidas==<br /> {| class=&quot;wikitable&quot;<br /> |+<br /> !'''Porta'''<br /> !Descrição<br /> |-<br /> |DNS (53/udp)<br /> |Servidores de DNS Recursivos abertos para o mundo. Não podemos confundir com o serviço de DNS Autoritativo (53/UDP/TCP), este precisa estar aberto à consultas dos domínios de sua autoridade.<br /> |-<br /> |SNMP (161/udp)<br /> |'''Simple Network Management Protocol''' ou como costumo brincar dizendo que o significado seria: '''Security is Not My Problem'''. Este serviço é muito usado para monitorarmos nossos ativos de Redes e Servidores.<br /> |-<br /> |NTP (123/udp)<br /> |'''Network Time Protocol''' é um serviço bastante importante para mantermos nossos sistemas com data e hora corretos.<br /> |-<br /> |SSDP (1900/udp)<br /> |'''Simple Service Discovery Protocol'''.<br /> |-<br /> |PORTMAP (111/udp)<br /> |Daemon que atribui portas dinamicamente para serviços '''RPC''' '''(Remote Procedure Call)''' como '''NIS (Network Information Service)''' e o '''NFS (Network File System)''' comumente usados em sistemas Unix Like.<br /> |-<br /> |NETBIOS (137/udp)<br /> |'''Network Basic Input/Output System''', faz parte dos serviços de compartilhamento de Redes baseadas em Microsoft Windows.<br /> |-<br /> |UBNT (10001/udp)<br /> |Serviço de '''Device Discovery''' habilitado nos equipamentos da Ubiquiti.<br /> |-<br /> |MDNS (5353/udp)<br /> |Multicast DNS.<br /> |-<br /> |LDAP (389/udp)<br /> |Serviço '''Lightweight Directory Access Protocol'''.<br /> |-<br /> |CHARGEN (19/udp)<br /> |'''Character Generator Protocol''', é um protocolo usado para fins de teste, depuração e medição. Esse serviço gera datagramas contendo um número aleatório de caracteres entre 0 e 252, sempre que requisitado.<br /> |-<br /> |QOTD (17/udp)<br /> |'''Quote Of The Day''' outro serviço de teste e medição.<br /> |-<br /> |MEMCACHED (11211/udp)<br /> |Serviço de cache para aceleração de aplicativos Web.<br /> |-<br /> |WS-DISCOVERY (3702/udp)<br /> |'''Web Services Dynamic Discovery Protocol''', é um protocolo de descoberta multicast para localizar serviços em uma Rede local.<br /> |-<br /> |TFTP (69/udp)<br /> |Trivial File Transfer Protocol, é um protocolo bastante utilizado por ativos de redes para por exemplo, transferir uma atualização de firmware.<br /> |-<br /> |CoAP (5683/udp)<br /> |'''Constrained Application Protocol''', é um protocolo de comunicação usado por dispositivos de Internet que possuem pouco recurso de hardware.<br /> |-<br /> |SLP (427/udp)<br /> |'''Service Location Protocol,''' é um protocolo que permite computadores e outros dispositivos encontrarem serviços em uma rede local sem a necessidade de configuração prévia.<br /> |-<br /> |ARMS (3283/udp)<br /> |'''Apple Remote Management Service''', serviço utilizado pela Apple para prover acesso remoto e gerenciamento de dispositivos rodando MacOS.<br /> |-<br /> |DHCPDiscover (37810/udp)<br /> |'''Dynamic Host Configuration Protocol Discover''', protocolo utilizado para gerenciar equipamentos DVR.<br /> |-<br /> |MT4145 (4145/tcp)<br /> |Serviço de SOCKS habilitado na porta 4145/tcp, normalmente visto em equipamentos Mikrotiks comprometidos e abusados por Botnet.<br /> |-<br /> |MT5678 (5678/tcp)<br /> |Serviço de SOCKS4 habilitado na porta 5678/tcp, visto em Mikrotiks comprometidos e sendo abusados pela Meris Botnet .<br /> |}<br /> <br /> == Como saber se temos Portas de Amplificação DDoS e de Botnets em nossa Rede? ==<br /> Primeiramente saiba que existem entidades que se preocupam com a segurança da '''Internet''' e que tem como objetivo extinguir a exposição desses serviços de amplificação da '''Internet'''. Uma entidade que podemos citar é o [https://www.shadowserver.org/news/the-scannings-will-continue-until-the-internet-improves/ '''ShadowServer'''] e a outra já conhecemos muito bem, que é o nosso valoroso [https://bcp.nic.br/i+seg/acoes/amplificacao/ '''CERT.br''']. Uma maneira bem fácil e simples de sermos reportados sobre esses problemas de segurança, é mantendo nosso '''Contato de Segurança''' atualizado no '''Registro.br'''. Mostrarei abaixo em telas de exemplo o quanto isso é fácil. Você precisará de ter a '''credencial de acesso do seu ASN''' no [https://registro.br/ '''Registro.br'''] e já ter criado um '''ID com seus dados''' e '''e-mail,''' que será usado pelo '''CERT.br''' para enviar as '''notificações de incidentes'''.<br /> [[Arquivo:Registrobr1.png|miniaturadaimagem|691x691px|esquerda]][[Arquivo:Registrobr6.png|miniaturadaimagem|691x691px|nenhum]]<br /> [[Arquivo:Registrobr3.png|miniaturadaimagem|691x691px|esquerda]][[Arquivo:Registrobr4.png|nenhum|miniaturadaimagem|691x691px]]<br /> [[Arquivo:Registrobr7.png|esquerda|miniaturadaimagem|691x691px]][[Arquivo:Registrobr5.png|miniaturadaimagem|691x691px|nenhum]]<br /> <br /> &lt;br&gt;<br /> &lt;br&gt;<br /> &lt;br&gt;<br /> == O que vem depois ==<br /> Após acertar seu contato de segurança, você começará a receber e-mails do '''CERT.br''' e de '''outros ASNs''' sempre que houver algum incidente de segurança envolvendo o seu ASN e '''notificações''' sobre as '''portas de amplificação/botnets''', abertas em sua Rede, inclusive com cada e-mail referente a qual porta está aberta, com o esclarecimento técnico sobre os riscos e instruções de como testar e checar se o problema foi resolvido. Perceba que agora você não estará mais cego quanto aos problemas de segurança que sua Rede vem sofrendo e tenha certeza de que quanto mais limpa ela estiver, mais qualidade de serviço estará entregando ao seu cliente, diminuindo a quantidade de chamados em seu Call Center e consequentemente diminuindo seu '''churn'''.<br /> <br /> Um exemplo de e-mail que você receberá para cada serviço aberto:<br /> [[Arquivo:Certbr.png|nenhum|miniaturadaimagem|1122x1122px]]<br /> <br /> Até aqui te expliquei sobre o problema, o que ele pode causar ao seu negócio e te mostrei como passar a enxergá-los. Mas como tratá-los?<br /> <br /> == Tratando a causa raiz ==<br /> Como alguns devem ter percebido, nessa nossa relação de portas de amplificação existem portas que se forem bloqueadas te causarão dor de cabeça e muitas reclamações. Vou citar apenas como exemplo: '''DNS''', '''SNMP''' e '''NTP'''. Três serviços que se você não tiver cuidado, poderá impactar seus assinantes. Temos que entender que podemos ter 2 tipos de clientes: o '''residencial''' e o '''corporativo'''. O cliente residencial é mais simples de se resolver porque provavelmente ele não terá um servidor DNS rodando em sua residência, nem um SNMP e tão pouco um servidor NTP, porém o serviço de NTP não pode simplesmente ser bloqueado devido sua natureza de funcionamento e necessidade dos dispositivos, na residência, de manterem-se com a data e horário corretos.<br /> <br /> Já o cliente corporativo pode possuir todos esses serviços rodando e nesse caso faz-se necessário um maior entendimento junto ao cliente. O que quero dizer com isso é que para ambos os casos, você precisa elaborar um '''Plano de Ação''' para tratar cada caso, buscando sempre o resultado mais eficaz e sem causar indisponibilidade para seu cliente. O que vou propor nesse artigo são duas das formas de se tratar o problema, mas precisamos ter bom senso na hora da decisão e termos certeza de como implementar a solução tecnicamente.<br /> <br /> A informação contendo os IPs da nossa Rede que estão com as Portas de Amplificação abertas já temos em mãos, agora precisamos tratá-la. Tenho 2 propostas em mente:<br /> <br /> * Identificar os clientes com as falhas de segurança e contatá-los um a um, explicar sobre o problema, o que isso pode afetá-los e ajudá-los a resolver a situação. Essa seria a maneira mais correta, uma boa prática, porque implica em melhorar a cultura de segurança, fazendo todos entenderem sobre os riscos envolvidos e aumentando o senso de cuidado. Em contra partida é uma ação muito trabalhosa e dependendo da quantidade de clientes pode ser muito demorada.<br /> * Aplicar filtros e controles de acordo com o perfil do cliente. Para se ter um resultado mais rápido e efetivo podemos aplicar filtros em nossos '''BNGs''', bloqueando as Portas de Amplificação '''sempre no sentido Internet para o cliente''', mas com alguns cuidados que citarei ainda. Observando sempre os casos de clientes corporativos e que podem necessitar de um tratamento separado.<br /> <br /> == Estratégia de bloqueio das Portas de Amplificação/Botnet ==<br /> Faremos o bloqueio de todas as Portas de Amplificação citadas na tabela desse artigo, sempre no sentido Internet para o cliente. Isso é muito importante! O '''serviço NTP''' terá um tratamento diferenciado porque não podemos apenas bloquear o serviço, precisaremos fazer um '''rate-limit''' e uma '''condição especial''' para que seja feito o drop dos pacotes. Como a quantidade de vendors é grande e cada Provedor escolhe o melhor para a sua Operação, trouxe aqui como exemplo regras para '''Mikrotik RouterOS''', basta entender a lógica como vou explicar e procurar fazer o mesmo em seu equipamento, seja de qual fabricante for. Escolhi este vendor como exemplo pois além de ser muito utilizado no mercado, devido ao seu custo x benefício, será mais fácil de explicar o funcionamento. Entendendo como funciona, você pode implementar no seu Cisco, Huawei, Juniper, etc.<br /> <br /> == As regras de bloqueio no RouterOS ==<br /> /ip firewall raw<br /> add action=drop chain=prerouting comment=&quot;# BLOQUEIA NTP DE ORIGEM NAO NTP&quot; dst-port=123 in-interface=!all-ppp protocol=udp src-port=!123<br /> add action=drop chain=prerouting comment=&quot;# DROP ABUSO NTP&quot; limit=!2M,2M:bit protocol=udp src-port=123<br /> add action=drop chain=prerouting comment=&quot;# DROP PORTAS UDP DE AMPLIFICACAO&quot; dst-port=53,161,1900,111,137,10001,5353,389 in-interface=!all-ppp protocol=udp<br /> add action=drop chain=prerouting comment=&quot;# DROP PORTAS UDP DE AMPLIFICACAO&quot; dst-port=19,17,11211,3702,69,5683,3283,37810 in-interface=!all-ppp protocol=udp<br /> add action=drop chain=prerouting comment=&quot;# DROP PORTAS TCP BOTNET&quot; dst-port=4145,5678 in-interface=!all-ppp protocol=tcp tcp-flags=syn<br /> Estamos fazendo os bloqueios na tabela '''raw''' por ocupar menos processamento do sistema e sabemos o quanto isso é importante no RouterOS. Essas regras estão sendo aplicadas em um BNG concentrador PPPoE onde:<br /> <br /> * Na primeira linha '''ADD''' estamos bloqueando qualquer pacote entrando por qualquer '''interface que''' '''não seja PPP''', ou seja, que viria da Internet sentido o cliente, que está atrás de uma interface do tipo PPP. Ainda analisando esse filtro, somente entraria nessa regra se a '''porta origem''' do pacote '''não for a 123/udp''' e com '''destino a porta''' '''123/udp'''. Temos que concordar que se um dispositivo do cliente solicitar um sincronismo com algum servidor NTP na Internet, este responderá através da porta 123/udp. Não deve chegar para o cliente uma resposta com origem diferente da porta 123/udp. Por que isso? Algumas implementações do serviço NTP disparam requisições com porta origem 123 ao invés de uma porta origem &gt;= 1024.<br /> * Na segunda linha '''ADD''' estamos fazendo um '''rate-limit de até 2Mbps''' para qualquer pacote com a '''porta origem 123/udp''' e para '''qualquer destino'''. Para evitar que a exploração da vulnerabilidade do serviço cause excesso de tráfego na conexão.<br /> * A terceira linha '''ADD''' bloqueamos o restante das portas udp de amplificação mas com a seguinte condição: pacotes que entrem por qualquer '''interface que não seja PPP''', novamente definindo o sentido Internet para o cliente e que as portas de destino sejam a nossa lista restante de portas de amplificação.<br /> * Por último no quarto '''ADD''', bloqueamos as portas '''TCP de Botnet 4145 e 5678''', de pacotes que entrem por qualquer interface que não seja do tipo PPP, com destino elas mas com uma condição do '''pacote estar setado com a tcp flag SYN''', que indica um pedido de início de conexão. Se tem alguém na Internet tentando se conectar nessas portas TCP e o sistema por trás for um RouterOS, algo não está bem.<br /> <br /> == Checando se o problema foi resolvido ==<br /> &lt;big&gt;''Obs.: atualmente eu criei uma ferramenta muito mais poderosa e completa que esta abaixo. caso tenha interesse em conhecer e utilizar visite: '''https://github.com/gondimcodes/ampscan'''''&lt;/big&gt;<br /> <br /> Após aplicarmos os filtros, checaremos se os IPs estão com as portas de amplificação fechadas e para isso fiz um '''shell script em bash''', que usa alguns pacotes para validarmos o serviço. Como sempre estou usando para os nossos artigos a distribuição Debian GNU/Linux. Procure separar um ambiente para instalar esses pacotes e servir como base de testes. O ideal é que esteja de fora na Internet e sem qualquer bloqueio de Operadoras para esses testes poderem funcionar. Para usar o '''rpcinfo''' precisaremos do pacote '''rpcbind''' instalado, que após a instalação levantará o serviço rpc (111/udp) e na sequência iremos desabilitá-lo.<br /> # apt install nmap bind9-host bind9-dnsutils bsdextrautils netcat snmp samba-common-bin rpcbind ntp ldap-utils curl<br /> <br /> # systemctl stop rpcbind.service<br /> # systemctl stop rpcbind.socket<br /> # systemctl disable rpcbind.service<br /> # systemctl disable rpcbind.socket<br /> O script dei o nome de '''amplicacao.sh''' mas fica ao seu critério chamá-lo como quiser. Ele se encontra aqui no Github: '''https://github.com/gondimcodes/amplificacao'''<br /> <br /> Para usar é bem simples. No exemplo abaixo fiz um cheque no 8.8.8.8:<br /> [[Arquivo:Amplificacao.png|nenhum|miniaturadaimagem|654x654px]]<br /> Se você quiser checar apenas um serviço se está aberto, podemos fornecer após o IP, o nome do serviço queremos testar seguindo essa lista de opções:<br /> <br /> * netbios<br /> * rpc<br /> * arms<br /> * tftp<br /> * dns<br /> * mdns<br /> * ssdp<br /> * snmp<br /> * ntp<br /> * ldap<br /> * ubnt<br /> * chargen<br /> * qotd<br /> * memcached<br /> * ws-discovery<br /> * coap<br /> * mt4145<br /> * mt5678<br /> * dhcpdiscover<br /> <br /> Para fazer o teste de apenas um serviço, só observar o exemplo abaixo:<br /> [[Arquivo:Amplificacao2.png|nenhum|miniaturadaimagem|560x560px]]<br /> <br /> == Conclusão ==<br /> Agora que sabemos o que são as Portas de Amplificação DDoS, os riscos para a nossa Operação de Internet, sabemos como ter visibilidade do problema e como checar e tratar esse problema; você ainda vai continuar deixando isso te afetar ou vamos dar aquele UP! na sua Operação e entregar mais qualidade de serviço para seus assinantes?<br /> <br /> Essa documentação foi útil? Compartilhe, divulgue e ajude outras pessoas. Meus contatos podem ser vistos [[Sobre mim|aqui]].<br /> __FORCARTDC__<br /> [[Categoria:Artigos Técnicos]]<br /> __INDEXAR__</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Sobre_mim&diff=1142 Sobre mim 2026-04-28T21:38:39Z <p>Gondim: </p> <hr /> <div>=== Marcelo Gondim da Cunha ===<br /> [[Arquivo:Gondim perfil2026.png|esquerda|miniaturadaimagem|246x246px]]<br /> '''Contribuições e trabalhos:'''<br /> <br /> * Administração de Sistemas Unix-Like desde 1996.<br /> * Consultor na Conectiva S/A - Unidade Rio em 2000.<br /> * Autor do projeto TuxFrw - https://github.com/gondimcodes/tuxfrw e https://github.com/gondimcodes/tuxfrw-nft<br /> * Administração de sistemas BSD pela FreeBSD Brasil em 2010.<br /> * Direção do AS53135 - Nettel Telecomunicações entre 2003 e 2021 atingindo a marca de 41.000 assinantes. Gerando qualidade na entrega de serviços e implantando boas práticas como: <br /> <br /> a) IPv6.<br /> <br /> b) MANRS.<br /> <br /> c) RPKI.<br /> <br /> d) CPEs com firmware baseada na BCOP &lt;nowiki&gt;https://www.m3aawg.org/sites/default/files/lac-bcop-1-m3aawg-v1-portuguese-final.pdf&lt;/nowiki&gt;<br /> <br /> * SOC Specialist na Brasil TecPar (AS262907) de 2022 a 2025. Um milhão de clientes. Responsável pelas estratégias de mitigação anti-DDoS atendendo as Operações de RJ, SP, RS, SC, MT e MS. <br /> <br /> '''Palestras ministradas:'''<br /> <br /> * Semana da Informática UERJ 2002 - TuxFrw.<br /> * CONISLI 2003 - TuxFrw.<br /> * CONISLI 2004 - Fazendo compras com Gentoo Linux - Palestra sobre a distribuição Linux e suas ferramentas fantásticas.<br /> * CONISLI 2004 - OpenVPN - Palestra sobre como criar VPNs seguras com OpenVPN e diferenças entre ele e o IPSec.<br /> * CONISLI 2005 - SPoP (Security Point of Presence) com OpenVPN - Como utilizar túneis encriptados do OpenVPN para acessar a Internet de forma segura, onde quer que esteja.<br /> * SECOMP 2005 UNIFEI - TuxFrw.<br /> <br /> * Debconf19 2019 - [https://debconf19.debconf.org/talks/4-debian-na-vida-de-uma-operadora-de-telecom/ Debian na vida de uma operadora de Telecom], [https://www.youtube.com/watch?v=vQSTslUZy8k&amp;list=PLYUtdmpYPTTJDtwgD8AtxzFJ9t_URhFMK&amp;index=35 vídeo] e [https://salsa.debian.org/debconf-team/public/share/debconf19/raw/master/slides/4-debian-na-vida-de-uma-operadora-de-telecom.pdf?inline=false pdf].<br /> <br /> * [https://www.youtube.com/watch?v=5uOFtkplDts FiqueEmCasaUseDebian - CGNAT com NFTables] e [https://www.youtube.com/watch?v=Wz2IAg6MMlU SysAdmin apps].<br /> <br /> '''Artigos desenvolvidos para a comunidade do Brasil Peering Fórum:'''<br /> <br /> * [https://wiki.brasilpeeringforum.org/w/CGNAT_na_pratica CGNAT na pratica].<br /> * [https://wiki.brasilpeeringforum.org/w/Acesso_via_IPv6_Link-Local Acesso via IPv6 Link-Local].<br /> * [https://wiki.brasilpeeringforum.org/w/MANRS MANRS].<br /> * [https://wiki.brasilpeeringforum.org/w/CGNAT_Bulk_Port_Allocation_com_DPDK CGNAT Bulk Port Allocation com DPDK].<br /> * [https://wiki.brasilpeeringforum.org/w/Servidor_de_Logs Servidor de Logs].<br /> * [https://wiki.brasilpeeringforum.org/w/DNS_Recursivo_Anycast_Hyperlocal DNS Anycast com Hyperlocal].<br /> * [https://wiki.brasilpeeringforum.org/w/Portas_de_Amplifica%C3%A7%C3%A3o_DDoS_e_Botnets Portas de Amplificação DDoS e Botnets]<br /> * [https://wiki.brasilpeeringforum.org/w/Static_Loop_-_um_erro_que_pode_matar_seu_ISP/ITP Static Loop - um erro que pode matar seu ISP/ITP]<br /> * [https://wiki.brasilpeeringforum.org/w/Recomenda%C3%A7%C3%B5es_sobre_Mitiga%C3%A7%C3%A3o_DDoS Recomendações sobre Mitigação DDoS]<br /> * [https://wiki.brasilpeeringforum.org/w/Vazamento_de_prefixos_na_mitiga%C3%A7%C3%A3o_DDoS Vazamento de prefixos na mitigação DDoS]<br /> * [https://wiki.brasilpeeringforum.org/w/Identificando_e_neutralizando_uma_Botnet Identificando e neutralizando uma Botnet]<br /> <br /> '''Tutorial:'''<br /> <br /> * [https://bit.ly/2saumHK Segurança de roteamento: MANRS (Mutually Agreed Norms for Routing Security) - Tutoriais NIC.br em 09/12/2019].<br /> <br /> '''[https://www.manrs.org/about/advisory-group/members/ MANRS Advisory Group Member (2020-2021)]'''.<br /> <br /> [https://www.youtube.com/watch?v=oahQkGx8urY '''Live sobre MANRS com Leonardo Furtado'''].<br /> <br /> Criação da Wiki ISPUP! em 24/12/2022.<br /> <br /> '''Semana de Capacitação 6 do NIC.br 28/04/2023''' - &quot;'''CONCEITOS E IMPLEMENTAÇÃO DE CGNAT&quot;'''. Material [https://semanacap.bcp.nic.br/6-online/ aqui] e vídeo aula [https://www.youtube.com/watch?v=1q7J3NkQVSc aqui].<br /> <br /> '''Semana de Capacitação 10 do NIC.br 01/07/2025''' - &quot;'''Teste para padrões técnicos modernos de Internet e segurança: IPv6, DNSSEC, TLS, HTTPS e HSTS'''&quot;'''.''' Material [https://semanacap.bcp.nic.br/semana-de-capacitacao-online-edicao-10-2025/ aqui] e vídeo aula [https://www.youtube.com/watch?v=55RBnGQhi2o aqui].<br /> <br /> '''IX Fórum Regional Sudeste (Rio de Janeiro) 24/10/2025''' com a palestra &quot;'''Segurança com o pé direito'''&quot; pode ser baixada [https://regional.forum.ix.br/files/apresentacao/arquivo/2307/gondim.pdf aqui].<br /> <br /> '''Fórum BCOP-ICANN Edição Especial DNS 19/12/2025''' com o painel &quot;'''DNS em Ação: Como os provedores estão implantando as Boas Práticas&quot;''' com '''apresentação''' [https://forumbcop.nic.br/files/apresentacao/arquivo/2428/DNS_KINDNS_Reduzido.pdf aqui] e vídeo [https://www.youtube.com/live/GnYK9UOLXr4?t=10257s aqui].<br /> <br /> '''Fórum BCOP Fortaleza''' com a palestra: &quot;'''Recomendações de segurança para provedores&quot;''' com apresentação [https://fortaleza.forumbcop.nic.br/files/apresentacao/arquivo/2487/Marcelo_Gondim_Recomendacoes_seguranca_provedores.pdf aqui] e vídeo [https://youtu.be/Qjgb7P3cG8k?t=9237 aqui]'''.''' Os arquivos anexos de configuração: [https://fortaleza.forumbcop.nic.br/files/apresentacao/arquivo/2489/Marcelo_Gondim_filtros_edge_huawei.pdf filtros_edge_huawei], [https://fortaleza.forumbcop.nic.br/files/apresentacao/arquivo/2490/spoofer.pdf spoofer] e [https://fortaleza.forumbcop.nic.br/files/apresentacao/arquivo/2491/filtros_bng_huawei.pdf filtros_bng_huawei]. <br /> <br /> '''Moeda recebida pelo NIC.br por contribuir com conhecimento palestrando na Semana de Infraestrutura da Internet no Brasil em 2025:'''<br /> [[Arquivo:Moeda1.jpg|nenhum|miniaturadaimagem|407x407px]]<br /> '''Moeda comemorativa de 5 anos recebida pelo NIC.br em 2025 por contribuir com conhecimento para a Semana de Capacitação e Camada 8:'''<br /> [[Arquivo:Moeda2.jpg|nenhum|miniaturadaimagem|407x407px]]<br /> <br /> '''Moeda IX Fórum Fortaleza 2026:'''<br /> [[Arquivo:Frum-bcop-fortaleza-2026 55178462504 o.jpg|esquerda|miniaturadaimagem|470x470px]]<br /> [[Arquivo:Frum-bcop-fortaleza-2026 55178206816 o.jpg|nenhum|miniaturadaimagem|447x447px]]<br /> <br /> <br /> &lt;br&gt;<br /> '''Webinar:'''<br /> <br /> Proteção e Mitigação de ataques DDoS em 10/09/2024 às 20:00 UTC -3. Site da chamada [https://gdg.community.dev/events/details/google-gdg-sinop-presents-webinar-ao-vivo-protecao-e-mitigacao-de-ataques-ddos/ aqui] e o vídeo da live no Youtube [https://www.youtube.com/live/7VIaoDQaLQE aqui].<br /> <br /> '''Podcast:'''<br /> <br /> [https://www.youtube.com/live/x4fxtma4eyQ Segurança de Rede e Infraestrutura para 2025: Preparando os ISPs para o futuro!] <br /> <br /> '''Contatos:'''<br /> <br /> Telegram: '''@Marcelo_Gondim'''<br /> <br /> WhatsApp: +55 (22) 99743-9060<br /> <br /> E-mail: '''gondim at gmail.com'''<br /> <br /> Linkedin: https://www.linkedin.com/in/marcelo-gondim-sysadmin/<br /> <br /> Meu Github: https://github.com/gondimcodes<br /> ==Mini-CV==<br /> '''Marcelo Gondim''' começou sua carreira como desenvolvedor de software em COBOL e Clipper entre 1992 e 1995. Em 1996 foi responsável por desenvolver um sistema concorrente com o RENPAC da Embratel para acesso ao SISCOMEX e implantou a Internet para fins comerciais na empresa DATABRAS. Trabalhou como consultor e instrutor de GNU/Linux na Conectiva S/A em 2000. Em 2003 se tornou consultor de diversos Provedores de Internet na Região dos Lagos - RJ e onde acabou se tornando CTO da Nettel Telecomunicações (AS53135) com 42.000 assinantes. Implantou IPv6 iniciando em 2013 e se tornou participante do MANRS com diversas contribuições com artigos e palestras. Trabalhou como Especialista em Redes e SOC (Security Operations Center) na Brasil TecPar AS262907 entre 2022 e 2025, onde implementou boas práticas, tratamentos de incidentes relacionados ao ASN, desenvolveu as estratégias de Mitigação DDoS e uma Rede de DNS Recursivo Anycast espalhada pelo RS, RJ, SP, SC MT e MS, também certificada KINDNS. Fundador da empresa ISPFocus especializada em Tecnologia da Informação e boas práticas para ISPs.</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Arquivo:Gondim_perfil2026.png&diff=1141 Arquivo:Gondim perfil2026.png 2026-04-28T21:37:49Z <p>Gondim: </p> <hr /> <div>Gondim_perfil2026</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Debian_Cluster_CEPH&diff=1140 Debian Cluster CEPH 2026-04-16T16:57:30Z <p>Gondim: </p> <hr /> <div>== Introdução ==<br /> Este artigo tem como foco explicar como adicionar um Debian GNU/Linux em um Proxmox Cluster + HA com 2 nodes. Como muitos sabem, um '''Cluster''' deve ser composto de no '''mínimo 3 nodes''' para que possa dar segurança, existir '''quorum''' e quando usamos '''CEPH''' também precisamos de pelo menos 3 nodes com '''OSDs''' para termos uma estabilidade e segurança no sistema. O problema é quando se quer fazer isso com apenas 2 servidores Proxmox. Comprar um terceiro servidor às vezes ainda não está nos planos mas você tem uma máquina parada, onde você pode adicionar 2 SSDs e com 4G de ram você pode adicionar ela no '''Cluster''' para servir de quorum e de disco '''CEPH'''. Dessa maneira você consegue com 2 servidores '''Proxmox''' e uma máquina que chamei de '''Quorum Device''', colocar em produção um Cluster com HA funcional.<br /> <br /> == Diagrama ==<br /> O diagrama abaixo será o ambiente de exemplo mas não falaremos de como construir um Cluster + HA com Proxmox. Nesse caso você precisará ter os 2 servidores já instalados e configurados em '''Cluster''' com '''CEPH'''. Aqui vamos apenas mostrar como adicionar um Debian GNU/Linux nesse Cluster e no CEPH.<br /> [[Arquivo:Diagrama cluster ceph.png|nenhum|miniaturadaimagem|522x522px]]<br /> <br /> == Pré-requisitos ==<br /> <br /> * Debian GNU/Linux 13 (Trixie).<br /> * Uma máquina com 4G ou 8G de ram.<br /> * 1 SSD para instalar o sistema.<br /> * 1 SSD para servir de '''OSD''' no '''CEPH'''.<br /> *3 interfaces de rede. Uma para o acesso, outra para o '''Cluster''' e outra para o '''CEPH'''. <br /> <br /> == Configurando o Qdevice no Debian ==<br /> Uma vez instalado o Debian, precisamos configurar as 3 interfaces para a comunicação com seu Cluster Proxmox. Por exemplo:<br /> <br /> * ens18 - IP 10.254.254.27/24 GW 10.254.254.1 (essa seria a interface com acesso à Internet para instalar os programas).<br /> * ens19 - IP 192.168.1.3/24 (interface que deve se comunicar com a rede do Cluster, com os IPs dos nodes 192.168.1.1 e 192.168.1.2.<br /> * ens20 - IP 192.168.2.3/24 (interface que se comunica com a rede CEPH, com os IPs 192.168.2.1 e 192.168.2.2.<br /> <br /> Precisamos configurar o serviço SSHD para permitir conexão com root, pois o Proxmox vai precisar acessar o Debian. Para isso altere o arquivo '''/etc/ssh/sshd_config''' o parâmetro abaixo:<br /> PermitRootLogin yes<br /> Reinicie o serviço:<br /> # systemctl restart sshd<br /> No Debian vamos instalar o pacote '''corosync-qnetd''':<br /> # apt install corosync-qnetd<br /> Nos dois servidores Proxmox, no nosso exemplo PVE01 e PVE02 instalaremos o pacote '''corosync-qdevice''':<br /> # apt install corosync-qdevice<br /> Agora vá para o shell do seu '''Proxmox principal''', no meu caso o '''PVE01''' e adicione o Debian ao Cluster com o seguinte comando: <br /> # pvecm qdevice setup 192.168.1.3<br /> Com o comando '''pvecm status''' podemos ver como está o quorum e se tudo ocorreu bem, verá que agora temos 3 votos no lugar de 2 e um '''Qdevice''' no membership:<br /> [[Arquivo:Qdevice.png|nenhum|miniaturadaimagem|748x748px]]<br /> Agora em se tratando de Cluster, você tem o mínimo de votantes para o bom funcionamento e usando uma máquina simples com Debian.<br /> <br /> == Adicionando um CEPH monitor e OSD ==<br /> Agora precisamos tornar nosso '''CEPH''' saudável também e para isso vamos instalar os pacotes do CEPH do Proxmox no Debian. O CEPH precisa ser da mesma versão usada no Cluster Proxmox. Para os meus testes utilizei um '''Cluster Proxmox 9''' no '''PVE01''' e '''PVE02''' que utiliza o '''CEPH Squid 19.2'''. Então vamos adicionar o repositório:<br /> # echo &quot;deb &lt;nowiki&gt;http://download.proxmox.com/debian/ceph-squid&lt;/nowiki&gt; trixie no-subscription&quot; &gt; /etc/apt/sources.list.d/ceph.list<br /> # wget &lt;nowiki&gt;https://enterprise.proxmox.com/debian/proxmox-release-trixie.gpg&lt;/nowiki&gt; -O /etc/apt/trusted.gpg.d/proxmox-release-trixie.gpg<br /> Instalando os pacotes do CEPH:<br /> # apt update<br /> # apt install ceph ceph-common<br /> Antes de prosseguir adicione no '''/etc/hosts''' do Debian:<br /> 192.168.2.1 node1<br /> 192.168.2.2 node2<br /> 192.168.2.3 nodeq<br /> Estou chamando nosso '''Quorum Device''' com o hostname '''nodeq'''.<br /> <br /> Agora precisaremos executar algumas tarefas no nosso '''PVE01''':<br /> # ceph mon getmap -o /tmp/monmap<br /> <br /> # monmaptool \<br /> --add nodeq 192.168.2.3:6789 \<br /> /tmp/monmap<br /> Vamos checar se adicionamos o '''nodeq''' ao '''monmap''' com o comando: '''monmaptool --print /tmp/monmap'''<br /> [[Arquivo:Monmap.png|nenhum|miniaturadaimagem|677x677px]]<br /> Vamos gerar o '''keyring''' para usarmos no Debian:<br /> # ceph auth get mon. -o /tmp/ceph.mon.keyring<br /> Agora precisamos copiar todos os arquivos necessários do '''PVE01''' para o nosso Debian:<br /> # scp /tmp/monmap root@192.168.2.3:/etc/ceph/<br /> # scp /tmp/ceph.mon.keyring root@192.168.2.3:/etc/ceph/<br /> # scp /etc/pve/ceph.conf root@192.168.2.3:/etc/ceph/<br /> # scp /etc/pve/priv/ceph.client.admin.keyring root@192.168.2.3:/etc/ceph/<br /> <br /> # scp /var/lib/ceph/bootstrap-osd/ceph.keyring \<br /> root@192.168.2.3:/var/lib/ceph/bootstrap-osd/<br /> '''Atenção''' '''agora''' pois vamos no nosso Debian alterar o arquivo '''/etc/ceph/ceph.conf'''. Primeiro modifique o parâmetro abaixo para incluir o IP '''192.168.2.3''':<br /> mon_host = 192.168.2.1 192.168.2.2 192.168.2.3<br /> Modifique os dois parâmetros abaixo e deixe eles iguais a estes:&lt;pre&gt;<br /> [client]<br /> keyring = /etc/ceph/$cluster.$name.keyring<br /> <br /> [client.crash]<br /> keyring = /etc/ceph/$cluster.$name.keyring<br /> &lt;/pre&gt;Adicione no final deste mesmo arquivo a configuração abaixo:&lt;pre&gt;<br /> [mon.nodeq]<br /> public_addr = 192.168.2.3<br /> &lt;/pre&gt;Ainda no '''Debian''' execute os comandos abaixo para prepararmos o ambiente pro '''CEPH''':<br /> # mkdir -p /var/lib/ceph/mon/ceph-nodeq<br /> # chown ceph:ceph /var/lib/ceph/mon/ceph-nodeq<br /> # chmod 750 /var/lib/ceph/mon/ceph-nodeq<br /> Vamos criar o monitor:<br /> # ceph-mon --mkfs \<br /> -i nodeq \<br /> --monmap /etc/ceph/monmap \<br /> --keyring /etc/ceph/ceph.mon.keyring<br /> <br /> # chown -R ceph: /var/lib/ceph/mon/ceph-nodeq<br /> # chown -R ceph: /etc/ceph/<br /> # chmod 640 /etc/ceph/ceph.mon.keyring<br /> # chmod 640 /etc/ceph/monmap<br /> Este é o momento crucial para que tenhamos mais um monitor no nosso CEPH do Proxmox:<br /> # systemctl enable ceph-mon@nodeq<br /> # systemctl start ceph-mon@nodeq<br /> Precisamos checar se o serviço subiu com o comando: '''systemctl status ceph-mon@nodeq'''<br /> <br /> Se aparecer algo assim então parabéns, até aqui foi tudo OK:<br /> [[Arquivo:Nodeq ceph.png|nenhum|miniaturadaimagem|806x806px]]Volte no Proxmox PVE01 e altere o '''/etc/pve/ceph.conf''' modificando para:<br /> mon_host = 192.168.2.1 192.168.2.2 192.168.2.3<br /> E adicionando no final do arquivo:<br /> [mon.nodeq]<br /> public_addr = 192.168.2.3<br /> Agora ativamos, ainda no '''Proxmox PVE01''', o '''msgr2''':<br /> # ceph mon enable-msgr2<br /> No Debian reinicie o serviço:<br /> # systemctl restart ceph-mon@nodeq<br /> No '''Proxmox''' em '''CEPH''' verá um novo Monitor adicionado:<br /> [[Arquivo:Mon ceph.png|nenhum|miniaturadaimagem|598x598px]]<br /> <br /> == Adicionando o OSD no Debian ==<br /> Agora vamos aos procedimentos para usarmos aquele SSD como OSD no CEPH. Vamos supor que o '''SSD livre''' seja o '''/dev/sdb''':<br /> # apt install gdisk util-linux<br /> <br /> # wipefs -a /dev/sdb<br /> # sgdisk --zap-all /dev/sdb<br /> <br /> Feito isso só precisamos criar o volume CEPH com o comando:<br /> # ceph-volume lvm create --data /dev/sdb<br /> Se tudo foi bem, nesse momento verá o '''OSD''' no seu '''Cluster Proxmox''':<br /> [[Arquivo:Osd img.png|nenhum|miniaturadaimagem|1234x1234px]]<br /> Olhando a saúde do nosso Cluster veremos:<br /> [[Arquivo:Resultado ceph.png|nenhum|miniaturadaimagem|1235x1235px]]<br /> <br /> == Conclusão ==<br /> Aqui vemos em funcionamento um '''Cluster Proxmox + HA''' com 2 nós apenas e uma máquina Debian servindo como apoio no funcionamento e segurança do Cluster.<br /> <br /> Gostou do artigo? Compartilhe!<br /> <br /> Autor: [[Sobre mim|Marcelo Gondim]]<br /> [[Categoria:Artigos Técnicos]]</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Debian_Cluster_CEPH&diff=1139 Debian Cluster CEPH 2026-04-16T16:57:20Z <p>Gondim: </p> <hr /> <div>== Introdução ==<br /> Este artigo tem como foco explicar como adicionar um Debian GNU/Linux em um Proxmox Cluster + HA com 2 nodes. Como muitos sabem, um '''Cluster''' deve ser composto de no '''mínimo 3 nodes''' para que possa dar segurança, existir '''quorum''' e quando usamos '''CEPH''' também precisamos de pelo menos 3 nodes com '''OSDs''' para termos uma estabilidade e segurança no sistema. O problema é quando se quer fazer isso com apenas 2 servidores Proxmox. Comprar um terceiro servidor às vezes ainda não está nos planos mas você tem uma máquina parada, onde você pode adicionar 2 SSDs e com 4G de ram você pode adicionar ela no '''Cluster''' para servir de quorum e de disco '''CEPH'''. Dessa maneira você consegue com 2 servidores '''Proxmox''' e uma máquina que chamei de '''Quorum Device''', colocar em produção um Cluster com HA funcional.t<br /> <br /> == Diagrama ==<br /> O diagrama abaixo será o ambiente de exemplo mas não falaremos de como construir um Cluster + HA com Proxmox. Nesse caso você precisará ter os 2 servidores já instalados e configurados em '''Cluster''' com '''CEPH'''. Aqui vamos apenas mostrar como adicionar um Debian GNU/Linux nesse Cluster e no CEPH.<br /> [[Arquivo:Diagrama cluster ceph.png|nenhum|miniaturadaimagem|522x522px]]<br /> <br /> == Pré-requisitos ==<br /> <br /> * Debian GNU/Linux 13 (Trixie).<br /> * Uma máquina com 4G ou 8G de ram.<br /> * 1 SSD para instalar o sistema.<br /> * 1 SSD para servir de '''OSD''' no '''CEPH'''.<br /> *3 interfaces de rede. Uma para o acesso, outra para o '''Cluster''' e outra para o '''CEPH'''. <br /> <br /> == Configurando o Qdevice no Debian ==<br /> Uma vez instalado o Debian, precisamos configurar as 3 interfaces para a comunicação com seu Cluster Proxmox. Por exemplo:<br /> <br /> * ens18 - IP 10.254.254.27/24 GW 10.254.254.1 (essa seria a interface com acesso à Internet para instalar os programas).<br /> * ens19 - IP 192.168.1.3/24 (interface que deve se comunicar com a rede do Cluster, com os IPs dos nodes 192.168.1.1 e 192.168.1.2.<br /> * ens20 - IP 192.168.2.3/24 (interface que se comunica com a rede CEPH, com os IPs 192.168.2.1 e 192.168.2.2.<br /> <br /> Precisamos configurar o serviço SSHD para permitir conexão com root, pois o Proxmox vai precisar acessar o Debian. Para isso altere o arquivo '''/etc/ssh/sshd_config''' o parâmetro abaixo:<br /> PermitRootLogin yes<br /> Reinicie o serviço:<br /> # systemctl restart sshd<br /> No Debian vamos instalar o pacote '''corosync-qnetd''':<br /> # apt install corosync-qnetd<br /> Nos dois servidores Proxmox, no nosso exemplo PVE01 e PVE02 instalaremos o pacote '''corosync-qdevice''':<br /> # apt install corosync-qdevice<br /> Agora vá para o shell do seu '''Proxmox principal''', no meu caso o '''PVE01''' e adicione o Debian ao Cluster com o seguinte comando: <br /> # pvecm qdevice setup 192.168.1.3<br /> Com o comando '''pvecm status''' podemos ver como está o quorum e se tudo ocorreu bem, verá que agora temos 3 votos no lugar de 2 e um '''Qdevice''' no membership:<br /> [[Arquivo:Qdevice.png|nenhum|miniaturadaimagem|748x748px]]<br /> Agora em se tratando de Cluster, você tem o mínimo de votantes para o bom funcionamento e usando uma máquina simples com Debian.<br /> <br /> == Adicionando um CEPH monitor e OSD ==<br /> Agora precisamos tornar nosso '''CEPH''' saudável também e para isso vamos instalar os pacotes do CEPH do Proxmox no Debian. O CEPH precisa ser da mesma versão usada no Cluster Proxmox. Para os meus testes utilizei um '''Cluster Proxmox 9''' no '''PVE01''' e '''PVE02''' que utiliza o '''CEPH Squid 19.2'''. Então vamos adicionar o repositório:<br /> # echo &quot;deb &lt;nowiki&gt;http://download.proxmox.com/debian/ceph-squid&lt;/nowiki&gt; trixie no-subscription&quot; &gt; /etc/apt/sources.list.d/ceph.list<br /> # wget &lt;nowiki&gt;https://enterprise.proxmox.com/debian/proxmox-release-trixie.gpg&lt;/nowiki&gt; -O /etc/apt/trusted.gpg.d/proxmox-release-trixie.gpg<br /> Instalando os pacotes do CEPH:<br /> # apt update<br /> # apt install ceph ceph-common<br /> Antes de prosseguir adicione no '''/etc/hosts''' do Debian:<br /> 192.168.2.1 node1<br /> 192.168.2.2 node2<br /> 192.168.2.3 nodeq<br /> Estou chamando nosso '''Quorum Device''' com o hostname '''nodeq'''.<br /> <br /> Agora precisaremos executar algumas tarefas no nosso '''PVE01''':<br /> # ceph mon getmap -o /tmp/monmap<br /> <br /> # monmaptool \<br /> --add nodeq 192.168.2.3:6789 \<br /> /tmp/monmap<br /> Vamos checar se adicionamos o '''nodeq''' ao '''monmap''' com o comando: '''monmaptool --print /tmp/monmap'''<br /> [[Arquivo:Monmap.png|nenhum|miniaturadaimagem|677x677px]]<br /> Vamos gerar o '''keyring''' para usarmos no Debian:<br /> # ceph auth get mon. -o /tmp/ceph.mon.keyring<br /> Agora precisamos copiar todos os arquivos necessários do '''PVE01''' para o nosso Debian:<br /> # scp /tmp/monmap root@192.168.2.3:/etc/ceph/<br /> # scp /tmp/ceph.mon.keyring root@192.168.2.3:/etc/ceph/<br /> # scp /etc/pve/ceph.conf root@192.168.2.3:/etc/ceph/<br /> # scp /etc/pve/priv/ceph.client.admin.keyring root@192.168.2.3:/etc/ceph/<br /> <br /> # scp /var/lib/ceph/bootstrap-osd/ceph.keyring \<br /> root@192.168.2.3:/var/lib/ceph/bootstrap-osd/<br /> '''Atenção''' '''agora''' pois vamos no nosso Debian alterar o arquivo '''/etc/ceph/ceph.conf'''. Primeiro modifique o parâmetro abaixo para incluir o IP '''192.168.2.3''':<br /> mon_host = 192.168.2.1 192.168.2.2 192.168.2.3<br /> Modifique os dois parâmetros abaixo e deixe eles iguais a estes:&lt;pre&gt;<br /> [client]<br /> keyring = /etc/ceph/$cluster.$name.keyring<br /> <br /> [client.crash]<br /> keyring = /etc/ceph/$cluster.$name.keyring<br /> &lt;/pre&gt;Adicione no final deste mesmo arquivo a configuração abaixo:&lt;pre&gt;<br /> [mon.nodeq]<br /> public_addr = 192.168.2.3<br /> &lt;/pre&gt;Ainda no '''Debian''' execute os comandos abaixo para prepararmos o ambiente pro '''CEPH''':<br /> # mkdir -p /var/lib/ceph/mon/ceph-nodeq<br /> # chown ceph:ceph /var/lib/ceph/mon/ceph-nodeq<br /> # chmod 750 /var/lib/ceph/mon/ceph-nodeq<br /> Vamos criar o monitor:<br /> # ceph-mon --mkfs \<br /> -i nodeq \<br /> --monmap /etc/ceph/monmap \<br /> --keyring /etc/ceph/ceph.mon.keyring<br /> <br /> # chown -R ceph: /var/lib/ceph/mon/ceph-nodeq<br /> # chown -R ceph: /etc/ceph/<br /> # chmod 640 /etc/ceph/ceph.mon.keyring<br /> # chmod 640 /etc/ceph/monmap<br /> Este é o momento crucial para que tenhamos mais um monitor no nosso CEPH do Proxmox:<br /> # systemctl enable ceph-mon@nodeq<br /> # systemctl start ceph-mon@nodeq<br /> Precisamos checar se o serviço subiu com o comando: '''systemctl status ceph-mon@nodeq'''<br /> <br /> Se aparecer algo assim então parabéns, até aqui foi tudo OK:<br /> [[Arquivo:Nodeq ceph.png|nenhum|miniaturadaimagem|806x806px]]Volte no Proxmox PVE01 e altere o '''/etc/pve/ceph.conf''' modificando para:<br /> mon_host = 192.168.2.1 192.168.2.2 192.168.2.3<br /> E adicionando no final do arquivo:<br /> [mon.nodeq]<br /> public_addr = 192.168.2.3<br /> Agora ativamos, ainda no '''Proxmox PVE01''', o '''msgr2''':<br /> # ceph mon enable-msgr2<br /> No Debian reinicie o serviço:<br /> # systemctl restart ceph-mon@nodeq<br /> No '''Proxmox''' em '''CEPH''' verá um novo Monitor adicionado:<br /> [[Arquivo:Mon ceph.png|nenhum|miniaturadaimagem|598x598px]]<br /> <br /> == Adicionando o OSD no Debian ==<br /> Agora vamos aos procedimentos para usarmos aquele SSD como OSD no CEPH. Vamos supor que o '''SSD livre''' seja o '''/dev/sdb''':<br /> # apt install gdisk util-linux<br /> <br /> # wipefs -a /dev/sdb<br /> # sgdisk --zap-all /dev/sdb<br /> <br /> Feito isso só precisamos criar o volume CEPH com o comando:<br /> # ceph-volume lvm create --data /dev/sdb<br /> Se tudo foi bem, nesse momento verá o '''OSD''' no seu '''Cluster Proxmox''':<br /> [[Arquivo:Osd img.png|nenhum|miniaturadaimagem|1234x1234px]]<br /> Olhando a saúde do nosso Cluster veremos:<br /> [[Arquivo:Resultado ceph.png|nenhum|miniaturadaimagem|1235x1235px]]<br /> <br /> == Conclusão ==<br /> Aqui vemos em funcionamento um '''Cluster Proxmox + HA''' com 2 nós apenas e uma máquina Debian servindo como apoio no funcionamento e segurança do Cluster.<br /> <br /> Gostou do artigo? Compartilhe!<br /> <br /> Autor: [[Sobre mim|Marcelo Gondim]]<br /> [[Categoria:Artigos Técnicos]]</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Artigos_Tecnicos&diff=1138 Artigos Tecnicos 2026-04-12T20:50:26Z <p>Gondim: </p> <hr /> <div>{{DISPLAYTITLE:Artigos Técnicos}}<br /> [[Arquivo:Tecnico.png|nenhum|miniaturadaimagem]]<br /> <br /> <br /> [[IPv6 Por onde comecar|IPv6 - Por onde começar]]<br /> <br /> [[Debian Cluster CEPH]]<br /> <br /> [[Autenticacao TOTP Radius Tacacs Debian|Autenticação TOTP + Radius/Tacacs no Debian]]<br /> <br /> [[Static Loop|Static Loop - um erro que pode matar seu ISP/ITP]]<br /> <br /> [[Portas Amplificacao DDoS|Portas de Amplificação DDoS e Botnets]]<br /> <br /> [[POC DNS Anycast TCP|PoC - Quebra do TCP em DNS Anycast Balanceado]]<br /> <br /> [[Template Servidor Debian|Template de Servidor Debian GNU/Linux]]<br /> <br /> [[Policy Based Routing|Policy Based Routing (PBR)]]<br /> <br /> [[PHPIPAM|DCIM/IPAM com phpIPAM]]<br /> <br /> [[Vazamento de prefixos na mitigação DDoS]]<br /> <br /> [[Enviando mensagens para o Discord]]<br /> <br /> [[Recomendacao Mitigacao DDoS|Recomendações sobre Mitigação DDoS]]<br /> <br /> [[Identificando e neutralizando uma Botnet]]<br /> <br /> [[MSMTP com OAuth2|MSMTP com OAuth2 no Debian 12]]<br /> <br /> [[Geolocalizacao|Geolocalização e a Internet]]</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Artigos_Tecnicos&diff=1137 Artigos Tecnicos 2026-04-12T20:49:35Z <p>Gondim: </p> <hr /> <div>{{DISPLAYTITLE:Artigos Técnicos}}<br /> [[Arquivo:Tecnico.png|nenhum|miniaturadaimagem]]<br /> <br /> <br /> [[IPv6 Por onde comecar|IPv6 - Por onde começar]]<br /> <br /> [[Debian Cluster CEPH]]<br /> <br /> [[Static Loop|Static Loop - um erro que pode matar seu ISP/ITP]]<br /> <br /> [[Portas Amplificacao DDoS|Portas de Amplificação DDoS e Botnets]]<br /> <br /> [[POC DNS Anycast TCP|PoC - Quebra do TCP em DNS Anycast Balanceado]]<br /> <br /> [[Template Servidor Debian|Template de Servidor Debian GNU/Linux]]<br /> <br /> [[Policy Based Routing|Policy Based Routing (PBR)]]<br /> <br /> [[PHPIPAM|DCIM/IPAM com phpIPAM]]<br /> <br /> [[Vazamento de prefixos na mitigação DDoS]]<br /> <br /> [[Enviando mensagens para o Discord]]<br /> <br /> [[Recomendacao Mitigacao DDoS|Recomendações sobre Mitigação DDoS]]<br /> <br /> [[Identificando e neutralizando uma Botnet]]<br /> <br /> [[MSMTP com OAuth2|MSMTP com OAuth2 no Debian 12]]<br /> <br /> [[Geolocalizacao|Geolocalização e a Internet]]</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Debian_Cluster_CEPH&diff=1136 Debian Cluster CEPH 2026-04-10T16:46:10Z <p>Gondim: </p> <hr /> <div>== Introdução ==<br /> Este artigo tem como foco explicar como adicionar um Debian GNU/Linux em um Proxmox Cluster + HA com 2 nodes. Como muitos sabem, um '''Cluster''' deve ser composto de no '''mínimo 3 nodes''' para que possa dar segurança, existir '''quorum''' e quando usamos '''CEPH''' também precisamos de pelo menos 3 nodes com '''OSDs''' para termos uma estabilidade e segurança no sistema. O problema é quando se quer fazer isso com apenas 2 servidores Proxmox. Comprar um terceiro servidor às vezes ainda não está nos planos mas você tem uma máquina parada, onde você pode adicionar 2 SSDs e com 4G de ram você pode adicionar ela no '''Cluster''' para servir de quorum e de disco '''CEPH'''. Dessa maneira você consegue com 2 servidores '''Proxmox''' e uma máquina que chamei de '''Quorum Device''', colocar em produção um Cluster com HA funcional.<br /> <br /> == Diagrama ==<br /> O diagrama abaixo será o ambiente de exemplo mas não falaremos de como construir um Cluster + HA com Proxmox. Nesse caso você precisará ter os 2 servidores já instalados e configurados em '''Cluster''' com '''CEPH'''. Aqui vamos apenas mostrar como adicionar um Debian GNU/Linux nesse Cluster e no CEPH.<br /> [[Arquivo:Diagrama cluster ceph.png|nenhum|miniaturadaimagem|522x522px]]<br /> <br /> == Pré-requisitos ==<br /> <br /> * Debian GNU/Linux 13 (Trixie).<br /> * Uma máquina com 4G ou 8G de ram.<br /> * 1 SSD para instalar o sistema.<br /> * 1 SSD para servir de '''OSD''' no '''CEPH'''.<br /> *3 interfaces de rede. Uma para o acesso, outra para o '''Cluster''' e outra para o '''CEPH'''. <br /> <br /> == Configurando o Qdevice no Debian ==<br /> Uma vez instalado o Debian, precisamos configurar as 3 interfaces para a comunicação com seu Cluster Proxmox. Por exemplo:<br /> <br /> * ens18 - IP 10.254.254.27/24 GW 10.254.254.1 (essa seria a interface com acesso à Internet para instalar os programas).<br /> * ens19 - IP 192.168.1.3/24 (interface que deve se comunicar com a rede do Cluster, com os IPs dos nodes 192.168.1.1 e 192.168.1.2.<br /> * ens20 - IP 192.168.2.3/24 (interface que se comunica com a rede CEPH, com os IPs 192.168.2.1 e 192.168.2.2.<br /> <br /> Precisamos configurar o serviço SSHD para permitir conexão com root, pois o Proxmox vai precisar acessar o Debian. Para isso altere o arquivo '''/etc/ssh/sshd_config''' o parâmetro abaixo:<br /> PermitRootLogin yes<br /> Reinicie o serviço:<br /> # systemctl restart sshd<br /> No Debian vamos instalar o pacote '''corosync-qnetd''':<br /> # apt install corosync-qnetd<br /> Nos dois servidores Proxmox, no nosso exemplo PVE01 e PVE02 instalaremos o pacote '''corosync-qdevice''':<br /> # apt install corosync-qdevice<br /> Agora vá para o shell do seu '''Proxmox principal''', no meu caso o '''PVE01''' e adicione o Debian ao Cluster com o seguinte comando: <br /> # pvecm qdevice setup 192.168.1.3<br /> Com o comando '''pvecm status''' podemos ver como está o quorum e se tudo ocorreu bem, verá que agora temos 3 votos no lugar de 2 e um '''Qdevice''' no membership:<br /> [[Arquivo:Qdevice.png|nenhum|miniaturadaimagem|748x748px]]<br /> Agora em se tratando de Cluster, você tem o mínimo de votantes para o bom funcionamento e usando uma máquina simples com Debian.<br /> <br /> == Adicionando um CEPH monitor e OSD ==<br /> Agora precisamos tornar nosso '''CEPH''' saudável também e para isso vamos instalar os pacotes do CEPH do Proxmox no Debian. O CEPH precisa ser da mesma versão usada no Cluster Proxmox. Para os meus testes utilizei um '''Cluster Proxmox 9''' no '''PVE01''' e '''PVE02''' que utiliza o '''CEPH Squid 19.2'''. Então vamos adicionar o repositório:<br /> # echo &quot;deb &lt;nowiki&gt;http://download.proxmox.com/debian/ceph-squid&lt;/nowiki&gt; trixie no-subscription&quot; &gt; /etc/apt/sources.list.d/ceph.list<br /> # wget &lt;nowiki&gt;https://enterprise.proxmox.com/debian/proxmox-release-trixie.gpg&lt;/nowiki&gt; -O /etc/apt/trusted.gpg.d/proxmox-release-trixie.gpg<br /> Instalando os pacotes do CEPH:<br /> # apt update<br /> # apt install ceph ceph-common<br /> Antes de prosseguir adicione no '''/etc/hosts''' do Debian:<br /> 192.168.2.1 node1<br /> 192.168.2.2 node2<br /> 192.168.2.3 nodeq<br /> Estou chamando nosso '''Quorum Device''' com o hostname '''nodeq'''.<br /> <br /> Agora precisaremos executar algumas tarefas no nosso '''PVE01''':<br /> # ceph mon getmap -o /tmp/monmap<br /> <br /> # monmaptool \<br /> --add nodeq 192.168.2.3:6789 \<br /> /tmp/monmap<br /> Vamos checar se adicionamos o '''nodeq''' ao '''monmap''' com o comando: '''monmaptool --print /tmp/monmap'''<br /> [[Arquivo:Monmap.png|nenhum|miniaturadaimagem|677x677px]]<br /> Vamos gerar o '''keyring''' para usarmos no Debian:<br /> # ceph auth get mon. -o /tmp/ceph.mon.keyring<br /> Agora precisamos copiar todos os arquivos necessários do '''PVE01''' para o nosso Debian:<br /> # scp /tmp/monmap root@192.168.2.3:/etc/ceph/<br /> # scp /tmp/ceph.mon.keyring root@192.168.2.3:/etc/ceph/<br /> # scp /etc/pve/ceph.conf root@192.168.2.3:/etc/ceph/<br /> # scp /etc/pve/priv/ceph.client.admin.keyring root@192.168.2.3:/etc/ceph/<br /> <br /> # scp /var/lib/ceph/bootstrap-osd/ceph.keyring \<br /> root@192.168.2.3:/var/lib/ceph/bootstrap-osd/<br /> '''Atenção''' '''agora''' pois vamos no nosso Debian alterar o arquivo '''/etc/ceph/ceph.conf'''. Primeiro modifique o parâmetro abaixo para incluir o IP '''192.168.2.3''':<br /> mon_host = 192.168.2.1 192.168.2.2 192.168.2.3<br /> Modifique os dois parâmetros abaixo e deixe eles iguais a estes:&lt;pre&gt;<br /> [client]<br /> keyring = /etc/ceph/$cluster.$name.keyring<br /> <br /> [client.crash]<br /> keyring = /etc/ceph/$cluster.$name.keyring<br /> &lt;/pre&gt;Adicione no final deste mesmo arquivo a configuração abaixo:&lt;pre&gt;<br /> [mon.nodeq]<br /> public_addr = 192.168.2.3<br /> &lt;/pre&gt;Ainda no '''Debian''' execute os comandos abaixo para prepararmos o ambiente pro '''CEPH''':<br /> # mkdir -p /var/lib/ceph/mon/ceph-nodeq<br /> # chown ceph:ceph /var/lib/ceph/mon/ceph-nodeq<br /> # chmod 750 /var/lib/ceph/mon/ceph-nodeq<br /> Vamos criar o monitor:<br /> # ceph-mon --mkfs \<br /> -i nodeq \<br /> --monmap /etc/ceph/monmap \<br /> --keyring /etc/ceph/ceph.mon.keyring<br /> <br /> # chown -R ceph: /var/lib/ceph/mon/ceph-nodeq<br /> # chown -R ceph: /etc/ceph/<br /> # chmod 640 /etc/ceph/ceph.mon.keyring<br /> # chmod 640 /etc/ceph/monmap<br /> Este é o momento crucial para que tenhamos mais um monitor no nosso CEPH do Proxmox:<br /> # systemctl enable ceph-mon@nodeq<br /> # systemctl start ceph-mon@nodeq<br /> Precisamos checar se o serviço subiu com o comando: '''systemctl status ceph-mon@nodeq'''<br /> <br /> Se aparecer algo assim então parabéns, até aqui foi tudo OK:<br /> [[Arquivo:Nodeq ceph.png|nenhum|miniaturadaimagem|806x806px]]Volte no Proxmox PVE01 e altere o '''/etc/pve/ceph.conf''' modificando para:<br /> mon_host = 192.168.2.1 192.168.2.2 192.168.2.3<br /> E adicionando no final do arquivo:<br /> [mon.nodeq]<br /> public_addr = 192.168.2.3<br /> Agora ativamos, ainda no '''Proxmox PVE01''', o '''msgr2''':<br /> # ceph mon enable-msgr2<br /> No Debian reinicie o serviço:<br /> # systemctl restart ceph-mon@nodeq<br /> No '''Proxmox''' em '''CEPH''' verá um novo Monitor adicionado:<br /> [[Arquivo:Mon ceph.png|nenhum|miniaturadaimagem|598x598px]]<br /> <br /> == Adicionando o OSD no Debian ==<br /> Agora vamos aos procedimentos para usarmos aquele SSD como OSD no CEPH. Vamos supor que o '''SSD livre''' seja o '''/dev/sdb''':<br /> # apt install gdisk util-linux<br /> <br /> # wipefs -a /dev/sdb<br /> # sgdisk --zap-all /dev/sdb<br /> <br /> Feito isso só precisamos criar o volume CEPH com o comando:<br /> # ceph-volume lvm create --data /dev/sdb<br /> Se tudo foi bem, nesse momento verá o '''OSD''' no seu '''Cluster Proxmox''':<br /> [[Arquivo:Osd img.png|nenhum|miniaturadaimagem|1234x1234px]]<br /> Olhando a saúde do nosso Cluster veremos:<br /> [[Arquivo:Resultado ceph.png|nenhum|miniaturadaimagem|1235x1235px]]<br /> <br /> == Conclusão ==<br /> Aqui vemos em funcionamento um '''Cluster Proxmox + HA''' com 2 nós apenas e uma máquina Debian servindo como apoio no funcionamento e segurança do Cluster.<br /> <br /> Gostou do artigo? Compartilhe!<br /> <br /> Autor: [[Sobre mim|Marcelo Gondim]]<br /> [[Categoria:Artigos Técnicos]]</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Debian_Cluster_CEPH&diff=1135 Debian Cluster CEPH 2026-04-10T15:28:43Z <p>Gondim: </p> <hr /> <div>== Introdução ==<br /> Este artigo tem como foco explicar como adicionar um Debian GNU/Linux em um Proxmox Cluster + HA com 2 nodes. Como muitos sabem, um '''Cluster''' deve ser composto de no '''mínimo 3 nodes''' para que possa dar segurança, existir '''quorum''' e quando usamos '''CEPH''' também precisamos de pelo menos 3 nodes com '''OSDs''' para termos uma estabilidade e segurança no sistema. O problema é quando se quer fazer isso com apenas 2 servidores Proxmox. Comprar um terceiro servidor às vezes ainda não está nos planos mas você tem uma máquina parada, onde você pode adicionar 2 SSDs e com 4G de ram você pode adicionar ela no '''Cluster''' para servir de quorum e de disco '''CEPH'''. Dessa maneira você consegue com 2 servidores '''Proxmox''' e uma máquina que chamei de '''Quorum Device''', colocar em produção um Cluster com HA funcional.<br /> <br /> == Diagrama ==<br /> O diagrama abaixo será o ambiente de exemplo mas não falaremos de como construir um Cluster + HA com Proxmox. Nesse caso você precisará ter os 2 servidores já instalados e configurados em '''Cluster''' com '''CEPH'''. Aqui vamos apenas mostrar como adicionar um Debian GNU/Linux nesse Cluster e no CEPH.<br /> [[Arquivo:Diagrama cluster ceph.png|nenhum|miniaturadaimagem|522x522px]]<br /> <br /> == Pré-requisitos ==<br /> <br /> * Debian GNU/Linux 13 (Trixie).<br /> * Uma máquina com 4G ou 8G de ram.<br /> * 1 SSD para instalar o sistema.<br /> * 1 SSD para servir de '''OSD''' no '''CEPH'''.<br /> *3 interfaces de rede. Uma para o acesso, outra para o '''Cluster''' e outra para o '''CEPH'''. <br /> <br /> == Configurando o Qdevice no Debian ==<br /> Uma vez instalado o Debian, precisamos configurar as 3 interfaces para a comunicação com seu Cluster Proxmox. Por exemplo:<br /> <br /> * ens18 - IP 10.254.254.27/24 GW 10.254.254.1 (essa seria a interface com acesso à Internet para instalar os programas).<br /> * ens19 - IP 192.168.1.3/24 (interface que deve se comunicar com a rede do Cluster, com os IPs dos nodes 192.168.1.1 e 192.168.1.2.<br /> * ens20 - IP 192.168.2.3/24 (interface que se comunica com a rede CEPH, com os IPs 192.168.2.1 e 192.168.2.2.<br /> <br /> Precisamos configurar o serviço SSHD para permitir conexão com root, pois o Proxmox vai precisar acessar o Debian. Para isso altere o arquivo '''/etc/ssh/sshd_config''' o parâmetro abaixo:<br /> PermitRootLogin yes<br /> Reinicie o serviço:<br /> # systemctl restart sshd<br /> No Debian vamos instalar o pacote '''corosync-qnetd''':<br /> # apt install corosync-qnetd<br /> Nos dois servidores Proxmox, no nosso exemplo PVE01 e PVE02 instalaremos o pacote '''corosync-qdevice''':<br /> # apt install corosync-qdevice<br /> Agora vá para o shell do seu '''Proxmox principal''', no meu caso o '''PVE01''' e adicione o Debian ao Cluster com o seguinte comando: <br /> # pvecm qdevice setup 192.168.1.3<br /> Com o comando '''pvecm status''' podemos ver como está o quorum e se tudo ocorreu bem, verá que agora temos 3 votos no lugar de 2 e um '''Qdevice''' no membership:<br /> [[Arquivo:Qdevice.png|nenhum|miniaturadaimagem|748x748px]]<br /> Agora em se tratando de Cluster, você tem o mínimo de votantes para o bom funcionamento e usando uma máquina simples com Debian.<br /> <br /> == Adicionando um CEPH monitor e OSD ==<br /> Agora precisamos tornar nosso '''CEPH''' saudável também e para isso vamos instalar os pacotes do CEPH do Proxmox no Debian. O CEPH precisa ser da mesma versão usada no Cluster Proxmox. Para os meus testes utilizei um '''Cluster Proxmox 9''' no '''PVE01''' e '''PVE02''' que utiliza o '''CEPH Squid 19.2'''. Então vamos adicionar o repositório:<br /> # echo &quot;deb &lt;nowiki&gt;http://download.proxmox.com/debian/ceph-squid&lt;/nowiki&gt; trixie no-subscription&quot; &gt; /etc/apt/sources.list.d/ceph.list<br /> # wget &lt;nowiki&gt;https://enterprise.proxmox.com/debian/proxmox-release-trixie.gpg&lt;/nowiki&gt; -O /etc/apt/trusted.gpg.d/proxmox-release-trixie.gpg<br /> Instalando os pacotes do CEPH:<br /> # apt update<br /> # apt install ceph ceph-common<br /> Antes de prosseguir adicione no '''/etc/hosts''' do Debian:<br /> 192.168.2.1 node1<br /> 192.168.2.2 node2<br /> 192.168.2.3 nodeq<br /> Estou chamando nosso '''Quorum Device''' com o hostname '''nodeq'''.<br /> <br /> Agora precisaremos executar algumas tarefas no nosso '''PVE01''':<br /> # ceph mon getmap -o /tmp/monmap<br /> <br /> # monmaptool \<br /> --add nodeq 192.168.2.3:6789 \<br /> /tmp/monmap<br /> Vamos checar se adicionamos o '''nodeq''' ao '''monmap''' com o comando: '''monmaptool --print /tmp/monmap'''<br /> [[Arquivo:Monmap.png|nenhum|miniaturadaimagem|677x677px]]<br /> Vamos gerar o '''keyring''' para usarmos no Debian:<br /> # ceph auth get mon. -o /tmp/ceph.mon.keyring<br /> Agora precisamos copiar todos os arquivos necessários do '''PVE01''' para o nosso Debian:<br /> # scp /tmp/monmap root@192.168.2.3:/etc/ceph/<br /> # scp /tmp/ceph.mon.keyring root@192.168.2.3:/etc/ceph/<br /> # scp /etc/pve/ceph.conf root@192.168.2.3:/etc/ceph/<br /> # scp /etc/pve/priv/ceph.client.admin.keyring root@192.168.2.3:/etc/ceph/<br /> <br /> # scp /var/lib/ceph/bootstrap-osd/ceph.keyring \<br /> root@192.168.2.3:/var/lib/ceph/bootstrap-osd/<br /> '''Atenção''' '''agora''' pois vamos no nosso Debian alterar o arquivo '''/etc/ceph/ceph.conf'''. Primeiro modifique o parâmetro abaixo para incluir o IP '''192.168.2.3''':<br /> mon_host = 192.168.2.1 192.168.2.2 192.168.2.3<br /> Modifique os dois parâmetros abaixo e deixe eles iguais a estes:&lt;pre&gt;<br /> [client]<br /> keyring = /etc/ceph/$cluster.$name.keyring<br /> <br /> [client.crash]<br /> keyring = /etc/ceph/$cluster.$name.keyring<br /> &lt;/pre&gt;Adicione no final deste mesmo arquivo a configuração abaixo:&lt;pre&gt;<br /> [mon.nodeq]<br /> public_addr = 192.168.2.3<br /> &lt;/pre&gt;Ainda no '''Debian''' execute os comandos abaixo para prepararmos o ambiente pro '''CEPH''':<br /> # mkdir -p /var/lib/ceph/mon/ceph-nodeq<br /> # chown ceph:ceph /var/lib/ceph/mon/ceph-nodeq<br /> # chmod 750 /var/lib/ceph/mon/ceph-nodeq<br /> Vamos criar o monitor:<br /> # ceph-mon --mkfs \<br /> -i nodeq \<br /> --monmap /etc/ceph/monmap \<br /> --keyring /etc/ceph/ceph.mon.keyring<br /> <br /> # chown -R ceph: /var/lib/ceph/mon/ceph-nodeq<br /> # chown -R ceph: /etc/ceph/<br /> # chmod 640 /etc/ceph/ceph.mon.keyring<br /> # chmod 640 /etc/ceph/monmap<br /> Este é o momento crucial para que tenhamos mais um monitor no nosso CEPH do Proxmox:<br /> # systemctl enable ceph-mon@nodeq<br /> # systemctl start ceph-mon@nodeq<br /> Precisamos checar se o serviço subiu com o comando: '''systemctl status ceph-mon@nodeq'''<br /> <br /> Se aparecer algo assim então parabéns, até aqui foi tudo OK:<br /> [[Arquivo:Nodeq ceph.png|nenhum|miniaturadaimagem|806x806px]]Volte no Proxmox PVE01 e altere o '''/etc/pve/ceph.conf''' modificando para:<br /> mon_host = 192.168.2.1 192.168.2.2 192.168.2.3<br /> E adicionando no final do arquivo:<br /> [mon.nodeq]<br /> public_addr = 192.168.2.3<br /> Agora ativamos, ainda no '''Proxmox PVE01''', o '''msgr2''':<br /> # ceph mon enable-msgr2<br /> No Debian reinicie o serviço:<br /> # systemctl restart ceph-mon@nodeq<br /> No '''Proxmox''' em '''CEPH''' verá um novo Monitor adicionado:<br /> [[Arquivo:Mon ceph.png|nenhum|miniaturadaimagem|598x598px]]<br /> <br /> == Adicionando o OSD no Debian ==<br /> Agora vamos aos procedimentos para usarmos aquele SSD como OSD no CEPH. Vamos supor que o '''SSD livre''' seja o '''/dev/sdb''':<br /> # apt install gdisk<br /> <br /> # wipefs -a /dev/sdb<br /> # sgdisk --zap-all /dev/sdb<br /> <br /> Feito isso só precisamos criar o volume CEPH com o comando:<br /> # ceph-volume lvm create --data /dev/sdb<br /> Se tudo foi bem, nesse momento verá o '''OSD''' no seu '''Cluster Proxmox''':<br /> [[Arquivo:Osd img.png|nenhum|miniaturadaimagem|1234x1234px]]<br /> Olhando a saúde do nosso Cluster veremos:<br /> [[Arquivo:Resultado ceph.png|nenhum|miniaturadaimagem|1235x1235px]]<br /> <br /> == Conclusão ==<br /> Aqui vemos em funcionamento um '''Cluster Proxmox + HA''' com 2 nós apenas e uma máquina Debian servindo como apoio no funcionamento e segurança do Cluster.<br /> <br /> Gostou do artigo? Compartilhe!<br /> <br /> Autor: [[Sobre mim|Marcelo Gondim]]<br /> [[Categoria:Artigos Técnicos]]</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Debian_Cluster_CEPH&diff=1134 Debian Cluster CEPH 2026-04-10T15:27:59Z <p>Gondim: </p> <hr /> <div>== Introdução ==<br /> Este artigo tem como foco explicar como adicionar um Debian GNU/Linux em um Proxmox Cluster + HA com 2 nodes. Como muitos sabem, um '''Cluster''' deve ser composto de no '''mínimo 3 nodes''' para que possa dar segurança, existir '''quorum''' e quando usamos '''CEPH''' também precisamos de pelo menos 3 nodes com '''OSDs''' para termos uma estabilidade e segurança no sistema. O problema é quando se quer fazer isso com apenas 2 servidores Proxmox. Comprar um terceiro servidor às vezes ainda não está nos planos mas você tem uma máquina parada, onde você pode adicionar 2 SSDs e com 4G de ram você pode adicionar ela no '''Cluster''' para servir de quorum e de disco '''CEPH'''. Dessa maneira você consegue com 2 servidores '''Proxmox''' e uma máquina que chamei de '''Quorum Device''', colocar em produção um Cluster com HA funcional.<br /> <br /> == Diagrama ==<br /> O diagrama abaixo será o ambiente de exemplo mas não falaremos de como construir um Cluster + HA com Proxmox. Nesse caso você precisará ter os 2 servidores já instalados e configurados em '''Cluster''' com '''CEPH'''. Aqui vamos apenas mostrar como adicionar um Debian GNU/Linux nesse Cluster e no CEPH.<br /> [[Arquivo:Diagrama cluster ceph.png|nenhum|miniaturadaimagem|522x522px]]<br /> <br /> == Pré-requisitos ==<br /> <br /> * Debian GNU/Linux 13 (Trixie).<br /> * Uma máquina com 4G ou 8G de ram.<br /> * 1 SSD para instalar o sistema.<br /> * 1 SSD para servir de '''OSD''' no '''CEPH'''.<br /> *3 interfaces de rede. Uma para o acesso, outra para o '''Cluster''' e outra para o '''CEPH'''. <br /> <br /> == Configurando o Qdevice no Debian ==<br /> Uma vez instalado o Debian, precisamos configurar as 3 interfaces para a comunicação com seu Cluster Proxmox. Por exemplo:<br /> <br /> * ens18 - IP 10.254.254.27/24 GW 10.254.254.1 (essa seria a interface com acesso à Internet para instalar os programas).<br /> * ens19 - IP 192.168.1.3/24 (interface que deve se comunicar com a rede do Cluster, com os IPs dos nodes 192.168.1.1 e 192.168.1.2.<br /> * ens20 - IP 192.168.2.3/24 (interface que se comunica com a rede CEPH, com os IPs 192.168.2.1 e 192.168.2.2.<br /> <br /> Precisamos configurar o serviço SSHD para permitir conexão com root, pois o Proxmox vai precisar acessar o Debian. Para isso altere o arquivo '''/etc/ssh/sshd_config''' o parâmetro abaixo:<br /> PermitRootLogin yes<br /> Reinicie o serviço:<br /> # systemctl restart sshd<br /> No Debian vamos instalar o pacote '''corosync-qnetd''':<br /> # apt install corosync-qnetd<br /> Nos dois servidores Proxmox, no nosso exemplo PVE01 e PVE02 instalaremos o pacote '''corosync-qdevice''':<br /> # apt install corosync-qdevice<br /> Agora vá para o shell do seu '''Proxmox principal''', no meu caso o '''PVE01''' e adicione o Debian ao Cluster com o seguinte comando: <br /> # pvecm qdevice setup 192.168.1.3<br /> Com o comando '''pvecm status''' podemos ver como está o quorum e se tudo ocorreu bem, verá que agora temos 3 votos no lugar de 2 e um '''Qdevice''' no membership:<br /> [[Arquivo:Qdevice.png|nenhum|miniaturadaimagem|748x748px]]<br /> Agora em se tratando de Cluster, você tem o mínimo de votantes para o bom funcionamento e usando uma máquina simples com Debian.<br /> <br /> == Adicionando um CEPH monitor e OSD ==<br /> Agora precisamos tornar nosso '''CEPH''' saudável também e para isso vamos instalar os pacotes do CEPH do Proxmox no Debian. O CEPH precisa ser da mesma versão usada no Cluster Proxmox. Para os meus testes utilizei um '''Cluster Proxmox 9''' no '''PVE01''' e '''PVE02''' que utiliza o '''CEPH Squid 19.2'''. Então vamos adicionar o repositório:<br /> # echo &quot;deb &lt;nowiki&gt;http://download.proxmox.com/debian/ceph-squid&lt;/nowiki&gt; trixie no-subscription&quot; &gt; /etc/apt/sources.list.d/ceph.list<br /> # wget &lt;nowiki&gt;https://enterprise.proxmox.com/debian/proxmox-release-trixie.gpg&lt;/nowiki&gt; -O /etc/apt/trusted.gpg.d/proxmox-release-trixie.gpg<br /> Instalando os pacotes do CEPH:<br /> # apt update<br /> # apt install ceph ceph-common<br /> Antes de prosseguir adicione no '''/etc/hosts''' do Debian:<br /> 192.168.2.1 node1<br /> 192.168.2.2 node2<br /> 192.168.2.3 nodeq<br /> Estou chamando nosso '''Quorum Device''' com o hostname '''nodeq'''.<br /> <br /> Agora precisaremos executar algumas tarefas no nosso '''PVE01''':<br /> # ceph mon getmap -o /tmp/monmap<br /> <br /> # monmaptool \<br /> --add nodeq 192.168.2.3:6789 \<br /> /tmp/monmap<br /> Vamos checar se adicionamos o '''nodeq''' ao '''monmap''' com o comando: '''monmaptool --print /tmp/monmap'''<br /> [[Arquivo:Monmap.png|nenhum|miniaturadaimagem|677x677px]]<br /> Vamos gerar o '''keyring''' para usarmos no Debian:<br /> # ceph auth get mon. -o /tmp/ceph.mon.keyring<br /> Agora precisamos copiar todos os arquivos necessários do '''PVE01''' para o nosso Debian:<br /> # scp /tmp/monmap root@192.168.2.3:/etc/ceph/<br /> # scp /tmp/ceph.mon.keyring root@192.168.2.3:/etc/ceph/<br /> # scp /etc/pve/ceph.conf root@192.168.2.3:/etc/ceph/<br /> # scp /etc/pve/priv/ceph.client.admin.keyring root@192.168.2.3:/etc/ceph/<br /> <br /> # scp /var/lib/ceph/bootstrap-osd/ceph.keyring \<br /> root@192.168.2.3:/var/lib/ceph/bootstrap-osd/<br /> '''Atenção''' '''agora''' pois vamos no nosso Debian alterar o arquivo '''/etc/ceph/ceph.conf'''. Primeiro modifique o parâmetro abaixo para incluir o IP '''192.168.2.3''':<br /> mon_host = 192.168.2.1 192.168.2.2 192.168.2.3<br /> Modifique os dois parâmetros abaixo e deixe eles iguais a estes:&lt;pre&gt;<br /> [client]<br /> keyring = /etc/ceph/$cluster.$name.keyring<br /> <br /> [client.crash]<br /> keyring = /etc/ceph/$cluster.$name.keyring<br /> &lt;/pre&gt;Adicione no final deste mesmo arquivo a configuração abaixo:&lt;pre&gt;<br /> [mon.nodeq]<br /> public_addr = 192.168.2.3<br /> &lt;/pre&gt;Ainda no '''Debian''' execute os comandos abaixo para prepararmos o ambiente pro '''CEPH''':<br /> # mkdir -p /var/lib/ceph/mon/ceph-nodeq<br /> # chown ceph:ceph /var/lib/ceph/mon/ceph-nodeq<br /> # chmod 750 /var/lib/ceph/mon/ceph-nodeq<br /> Vamos criar o monitor:<br /> # ceph-mon --mkfs \<br /> -i nodeq \<br /> --monmap /etc/ceph/monmap \<br /> --keyring /etc/ceph/ceph.mon.keyring<br /> <br /> # chown -R ceph: /var/lib/ceph/mon/ceph-nodeq<br /> # chown -R ceph: /etc/ceph/<br /> # chmod 640 /etc/ceph/ceph.mon.keyring<br /> # chmod 640 /etc/ceph/monmap<br /> Este é o momento crucial para que tenhamos mais um monitor no nosso CEPH do Proxmox:<br /> # systemctl enable ceph-mon@nodeq<br /> # systemctl start ceph-mon@nodeq<br /> Precisamos checar se o serviço subiu com o comando: '''systemctl status ceph-mon@nodeq'''<br /> <br /> Se aparecer algo assim então parabéns, até aqui foi tudo OK:<br /> [[Arquivo:Nodeq ceph.png|nenhum|miniaturadaimagem|806x806px]]Volte no Proxmox PVE01 e altere o '''/etc/pve/ceph.conf''' modificando para:<br /> mon_host = 192.168.2.1 192.168.2.2 192.168.2.3<br /> E adicionando no final do arquivo:<br /> [mon.nodeq]<br /> public_addr = 192.168.2.3<br /> Agora ativamos, ainda no '''Proxmox PVE01''', o '''msgr2''':<br /> # ceph mon enable-msgr2<br /> No Debian reinicie o serviço:<br /> # systemctl restart ceph-mon@nodeq<br /> No '''Proxmox''' em '''CEPH''' verá um novo Monitor adicionado:<br /> [[Arquivo:Mon ceph.png|nenhum|miniaturadaimagem|598x598px]]<br /> <br /> == Adicionando o OSD no Debian ==<br /> Agora vamos aos procedimentos para usarmos aquele SSD como OSD no CEPH. Vamos supor que o '''SSD livre''' seja o '''/dev/sdb''':<br /> # apt install gdisk<br /> <br /> # wipefs -a /dev/sdb<br /> # sgdisk --zap<br /> <br /> Feito isso só precisamos criar o volume CEPH com o comando:<br /> # ceph-volume lvm create --data /dev/sdb<br /> Se tudo foi bem, nesse momento verá o '''OSD''' no seu '''Cluster Proxmox''':<br /> [[Arquivo:Osd img.png|nenhum|miniaturadaimagem|1234x1234px]]<br /> Olhando a saúde do nosso Cluster veremos:<br /> [[Arquivo:Resultado ceph.png|nenhum|miniaturadaimagem|1235x1235px]]<br /> <br /> == Conclusão ==<br /> Aqui vemos em funcionamento um '''Cluster Proxmox + HA''' com 2 nós apenas e uma máquina Debian servindo como apoio no funcionamento e segurança do Cluster.<br /> <br /> Gostou do artigo? Compartilhe!<br /> <br /> Autor: [[Sobre mim|Marcelo Gondim]]<br /> [[Categoria:Artigos Técnicos]]</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Debian_Cluster_CEPH&diff=1133 Debian Cluster CEPH 2026-04-08T23:33:14Z <p>Gondim: </p> <hr /> <div>== Introdução ==<br /> Este artigo tem como foco explicar como adicionar um Debian GNU/Linux em um Proxmox Cluster + HA com 2 nodes. Como muitos sabem, um '''Cluster''' deve ser composto de no '''mínimo 3 nodes''' para que possa dar segurança, existir '''quorum''' e quando usamos '''CEPH''' também precisamos de pelo menos 3 nodes com '''OSDs''' para termos uma estabilidade e segurança no sistema. O problema é quando se quer fazer isso com apenas 2 servidores Proxmox. Comprar um terceiro servidor às vezes ainda não está nos planos mas você tem uma máquina parada, onde você pode adicionar 2 SSDs e com 4G de ram você pode adicionar ela no '''Cluster''' para servir de quorum e de disco '''CEPH'''. Dessa maneira você consegue com 2 servidores '''Proxmox''' e uma máquina que chamei de '''Quorum Device''', colocar em produção um Cluster com HA funcional.<br /> <br /> == Diagrama ==<br /> O diagrama abaixo será o ambiente de exemplo mas não falaremos de como construir um Cluster + HA com Proxmox. Nesse caso você precisará ter os 2 servidores já instalados e configurados em '''Cluster''' com '''CEPH'''. Aqui vamos apenas mostrar como adicionar um Debian GNU/Linux nesse Cluster e no CEPH.<br /> [[Arquivo:Diagrama cluster ceph.png|nenhum|miniaturadaimagem|522x522px]]<br /> <br /> == Pré-requisitos ==<br /> <br /> * Debian GNU/Linux 13 (Trixie).<br /> * Uma máquina com 4G ou 8G de ram.<br /> * 1 SSD para instalar o sistema.<br /> * 1 SSD para servir de '''OSD''' no '''CEPH'''.<br /> *3 interfaces de rede. Uma para o acesso, outra para o '''Cluster''' e outra para o '''CEPH'''. <br /> <br /> == Configurando o Qdevice no Debian ==<br /> Uma vez instalado o Debian, precisamos configurar as 3 interfaces para a comunicação com seu Cluster Proxmox. Por exemplo:<br /> <br /> * ens18 - IP 10.254.254.27/24 GW 10.254.254.1 (essa seria a interface com acesso à Internet para instalar os programas).<br /> * ens19 - IP 192.168.1.3/24 (interface que deve se comunicar com a rede do Cluster, com os IPs dos nodes 192.168.1.1 e 192.168.1.2.<br /> * ens20 - IP 192.168.2.3/24 (interface que se comunica com a rede CEPH, com os IPs 192.168.2.1 e 192.168.2.2.<br /> <br /> Precisamos configurar o serviço SSHD para permitir conexão com root, pois o Proxmox vai precisar acessar o Debian. Para isso altere o arquivo '''/etc/ssh/sshd_config''' o parâmetro abaixo:<br /> PermitRootLogin yes<br /> Reinicie o serviço:<br /> # systemctl restart sshd<br /> No Debian vamos instalar o pacote '''corosync-qnetd''':<br /> # apt install corosync-qnetd<br /> Nos dois servidores Proxmox, no nosso exemplo PVE01 e PVE02 instalaremos o pacote '''corosync-qdevice''':<br /> # apt install corosync-qdevice<br /> Agora vá para o shell do seu '''Proxmox principal''', no meu caso o '''PVE01''' e adicione o Debian ao Cluster com o seguinte comando: <br /> # pvecm qdevice setup 192.168.1.3<br /> Com o comando '''pvecm status''' podemos ver como está o quorum e se tudo ocorreu bem, verá que agora temos 3 votos no lugar de 2 e um '''Qdevice''' no membership:<br /> [[Arquivo:Qdevice.png|nenhum|miniaturadaimagem|748x748px]]<br /> Agora em se tratando de Cluster, você tem o mínimo de votantes para o bom funcionamento e usando uma máquina simples com Debian.<br /> <br /> == Adicionando um CEPH monitor e OSD ==<br /> Agora precisamos tornar nosso '''CEPH''' saudável também e para isso vamos instalar os pacotes do CEPH do Proxmox no Debian. O CEPH precisa ser da mesma versão usada no Cluster Proxmox. Para os meus testes utilizei um '''Cluster Proxmox 9''' no '''PVE01''' e '''PVE02''' que utiliza o '''CEPH Squid 19.2'''. Então vamos adicionar o repositório:<br /> # echo &quot;deb &lt;nowiki&gt;http://download.proxmox.com/debian/ceph-squid&lt;/nowiki&gt; trixie no-subscription&quot; &gt; /etc/apt/sources.list.d/ceph.list<br /> # wget &lt;nowiki&gt;https://enterprise.proxmox.com/debian/proxmox-release-trixie.gpg&lt;/nowiki&gt; -O /etc/apt/trusted.gpg.d/proxmox-release-trixie.gpg<br /> Instalando os pacotes do CEPH:<br /> # apt update<br /> # apt install ceph ceph-common<br /> Antes de prosseguir adicione no '''/etc/hosts''' do Debian:<br /> 192.168.2.1 node1<br /> 192.168.2.2 node2<br /> 192.168.2.3 nodeq<br /> Estou chamando nosso '''Quorum Device''' com o hostname '''nodeq'''.<br /> <br /> Agora precisaremos executar algumas tarefas no nosso '''PVE01''':<br /> # ceph mon getmap -o /tmp/monmap<br /> <br /> # monmaptool \<br /> --add nodeq 192.168.2.3:6789 \<br /> /tmp/monmap<br /> Vamos checar se adicionamos o '''nodeq''' ao '''monmap''' com o comando: '''monmaptool --print /tmp/monmap'''<br /> [[Arquivo:Monmap.png|nenhum|miniaturadaimagem|677x677px]]<br /> Vamos gerar o '''keyring''' para usarmos no Debian:<br /> # ceph auth get mon. -o /tmp/ceph.mon.keyring<br /> Agora precisamos copiar todos os arquivos necessários do '''PVE01''' para o nosso Debian:<br /> # scp /tmp/monmap root@192.168.2.3:/etc/ceph/<br /> # scp /tmp/ceph.mon.keyring root@192.168.2.3:/etc/ceph/<br /> # scp /etc/pve/ceph.conf root@192.168.2.3:/etc/ceph/<br /> # scp /etc/pve/priv/ceph.client.admin.keyring root@192.168.2.3:/etc/ceph/<br /> <br /> # scp /var/lib/ceph/bootstrap-osd/ceph.keyring \<br /> root@192.168.2.3:/var/lib/ceph/bootstrap-osd/<br /> '''Atenção''' '''agora''' pois vamos no nosso Debian alterar o arquivo '''/etc/ceph/ceph.conf'''. Primeiro modifique o parâmetro abaixo para incluir o IP '''192.168.2.3''':<br /> mon_host = 192.168.2.1 192.168.2.2 192.168.2.3<br /> Modifique os dois parâmetros abaixo e deixe eles iguais a estes:&lt;pre&gt;<br /> [client]<br /> keyring = /etc/ceph/$cluster.$name.keyring<br /> <br /> [client.crash]<br /> keyring = /etc/ceph/$cluster.$name.keyring<br /> &lt;/pre&gt;Adicione no final deste mesmo arquivo a configuração abaixo:&lt;pre&gt;<br /> [mon.nodeq]<br /> public_addr = 192.168.2.3<br /> &lt;/pre&gt;Ainda no '''Debian''' execute os comandos abaixo para prepararmos o ambiente pro '''CEPH''':<br /> # mkdir -p /var/lib/ceph/mon/ceph-nodeq<br /> # chown ceph:ceph /var/lib/ceph/mon/ceph-nodeq<br /> # chmod 750 /var/lib/ceph/mon/ceph-nodeq<br /> Vamos criar o monitor:<br /> # ceph-mon --mkfs \<br /> -i nodeq \<br /> --monmap /etc/ceph/monmap \<br /> --keyring /etc/ceph/ceph.mon.keyring<br /> <br /> # chown -R ceph: /var/lib/ceph/mon/ceph-nodeq<br /> # chown -R ceph: /etc/ceph/<br /> # chmod 640 /etc/ceph/ceph.mon.keyring<br /> # chmod 640 /etc/ceph/monmap<br /> Este é o momento crucial para que tenhamos mais um monitor no nosso CEPH do Proxmox:<br /> # systemctl enable ceph-mon@nodeq<br /> # systemctl start ceph-mon@nodeq<br /> Precisamos checar se o serviço subiu com o comando: '''systemctl status ceph-mon@nodeq'''<br /> <br /> Se aparecer algo assim então parabéns, até aqui foi tudo OK:<br /> [[Arquivo:Nodeq ceph.png|nenhum|miniaturadaimagem|806x806px]]Volte no Proxmox PVE01 e altere o '''/etc/pve/ceph.conf''' modificando para:<br /> mon_host = 192.168.2.1 192.168.2.2 192.168.2.3<br /> E adicionando no final do arquivo:<br /> [mon.nodeq]<br /> public_addr = 192.168.2.3<br /> Agora ativamos, ainda no '''Proxmox PVE01''', o '''msgr2''':<br /> # ceph mon enable-msgr2<br /> No Debian reinicie o serviço:<br /> # systemctl restart ceph-mon@nodeq<br /> No '''Proxmox''' em '''CEPH''' verá um novo Monitor adicionado:<br /> [[Arquivo:Mon ceph.png|nenhum|miniaturadaimagem|598x598px]]<br /> <br /> == Adicionando o OSD no Debian ==<br /> Agora vamos aos procedimentos para usarmos aquele SSD como OSD no CEPH. Vamos supor que o '''SSD livre''' seja o '''/dev/sdb''':<br /> # apt install parted<br /> <br /> # parted /dev/sdb --script mklabel gpt<br /> <br /> # parted /dev/sdb --script \<br /> mkpart primary 0% 100%<br /> Feito isso só precisamos criar o volume CEPH com o comando:<br /> # ceph-volume lvm create --data /dev/sdb1<br /> Se tudo foi bem, nesse momento verá o '''OSD''' no seu '''Cluster Proxmox''':<br /> [[Arquivo:Osd img.png|nenhum|miniaturadaimagem|1234x1234px]]<br /> Olhando a saúde do nosso Cluster veremos:<br /> [[Arquivo:Resultado ceph.png|nenhum|miniaturadaimagem|1235x1235px]]<br /> <br /> == Conclusão ==<br /> Aqui vemos em funcionamento um '''Cluster Proxmox + HA''' com 2 nós apenas e uma máquina Debian servindo como apoio no funcionamento e segurança do Cluster.<br /> <br /> Gostou do artigo? Compartilhe!<br /> <br /> Autor: [[Sobre mim|Marcelo Gondim]]<br /> [[Categoria:Artigos Técnicos]]</div> Gondim https://wiki.ispup.com.br/w/index.php?title=P%C3%A1gina_principal&diff=1132 Página principal 2026-04-08T23:27:53Z <p>Gondim: </p> <hr /> <div>[[Arquivo:Pascal.png|esquerda|semmoldura|554x554px]]<br /> <br /> = Bem vindo à Wiki ISPUP! =<br /> Durante 29 anos trabalhando como '''sysadmin''' em ambientes '''Unix Like''' e com Redes em Provedores de Internet, acabei guardando algum conhecimento e essa Wiki é uma forma de disponibilizar para a comunidade, uma fonte de consulta de soluções para diversos problemas que encontrei ao longo da minha vida como profissional. Espero que te ajude assim como sempre me ajudou. Tenho muita documentação para postar aqui e por isso irei revisar e disponibilizar aos poucos. Vamos dar um UP! no seu ISP?<br /> <br /> Aqui veremos assuntos relacionados a '''Servidores GNU/Linux''', '''Telecom''', '''Serviços de Redes''', '''Segurança da Informação''' e '''Boas Práticas'''. Os artigos e documentações serão voltados paras as comunidades '''ISP (Internet Service Provider)''', '''ITP (Internet Transit Provider)''' e '''Debian'''. <br /> &lt;br&gt;&lt;br&gt;<br /> Enquanto for &quot;'''pequeno'''&quot;, precisa pensar como um &quot;'''grande'''&quot;: precisa pensar nas boas práticas, se estruturar para o futuro e aí quando crescer e ficar &quot;'''grande'''&quot;, precisará pensar como um &quot;'''pequeno'''&quot;, para continuar melhorando a sua agilidade nos processos, na qualidade do atendimento e nos serviços entregues aos seus clientes. <br /> <br /> As boas práticas trazem: '''segurança''', '''credibilidade''', '''estabilidade''' e '''qualidade'''.<br /> <br /> '''&quot;UNIX is very simple, it just needs a genius to understand its simplicity.&quot;''' Dennis Ritchie.&lt;br&gt;<br /> &lt;br&gt;<br /> &lt;br&gt;<br /> &lt;br&gt;<br /> &lt;br&gt;<br /> <br /> == Índice ==<br /> * [[Artigos Tecnicos|Artigos Técnicos]]<br /> * [[Servicos de Redes e Servidores|Serviços de Redes e Servidores]]<br /> * [[Dicas Tecnicas|Dicas Técnicas]]<br /> * [[Links Uteis|Links úteis]]<br /> * [[Sobre mim]]<br /> <br /> == Destaques ==<br /> [[Debian Cluster CEPH]]<br /> <br /> [[Autenticacao TOTP Radius Tacacs Debian|Autenticação TOTP + Radius/Tacacs no Debian]]<br /> <br /> [[SSH SERVER 2FA|SSH Server com Autenticação 2FA]]<br /> <br /> [[Certificado TLS com ACME-DNS e DNS-01]]<br /> <br /> [[RPKI|RPKI (Resource Public Key Infrastructure)]]<br /> <br /> [[Recomendacao Mitigacao DDoS|Recomendações sobre Mitigação DDoS]]<br /> <br /> [[DNS Recursivo Anycast HyperLocal|DNS Recursivo Anycast com Hyperlocal]]<br /> <br /> [[Static Loop|Static Loop - um erro que pode matar seu ISP/ITP]]<br /> <br /> [[Portas Amplificacao DDoS|Portas de Amplificação DDoS e Botnets]]<br /> <br /> [[Servidor Logs CGNAT|Servidor de logs CGNAT]]<br /> <br /> [[Template Servidor Debian|Template de Servidor Debian GNU/Linux]]<br /> <br /> [[Policy Based Routing|Policy Based Routing (PBR)]]<br /> <br /> [[Compilando Bash|Compilando Shell Scripts com o SHC]]<br /> <br /> [[PHPIPAM|DCIM/IPAM com phpIPAM]]<br /> <br /> [[MSMTP com OAuth2|MSMTP com OAuth2 no Debian 12]]<br /> <br /> [[Geolocalizacao|Geolocalização e a Internet]]<br /> <br /> [[Arquivo:Debian powered.png|miniaturadaimagem|83x83px]]</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Debian_Cluster_CEPH&diff=1131 Debian Cluster CEPH 2026-04-08T23:26:01Z <p>Gondim: </p> <hr /> <div>== Introdução ==<br /> Este artigo tem como foco explicar como adicionar um Debian GNU/Linux em um Proxmox Cluster + HA com 2 nodes. Como muitos sabem, um '''Cluster''' deve ser composto de no '''mínimo 3 nodes''' para que possa dar segurança, existir '''quorum''' e quando usamos '''CEPH''' também precisamos de pelo menos 3 '''OSDs''' para termos uma estabilidade e segurança no sistema. O problema é quando se quer fazer isso com apenas 2 servidores Proxmox. Comprar um terceiro servidor às vezes ainda não está nos planos mas você tem uma máquina parada, onde você pode adicionar 2 SSDs e com 4G de ram você pode adicionar ela no '''Cluster''' para servir de quorum e de disco '''CEPH'''. Dessa maneira você consegue com 2 servidores '''Proxmox''' e uma máquina que chamei de '''Quorum Device''', colocar em produção um Cluster com HA funcional.<br /> <br /> == Diagrama ==<br /> O diagrama abaixo será o ambiente de exemplo mas não falaremos de como construir um Cluster + HA com Proxmox. Nesse caso você precisará ter os 2 servidores já instalados e configurados em '''Cluster''' com '''CEPH'''. Aqui vamos apenas mostrar como adicionar um Debian GNU/Linux nesse Cluster e no CEPH.<br /> [[Arquivo:Diagrama cluster ceph.png|nenhum|miniaturadaimagem|522x522px]]<br /> <br /> == Pré-requisitos ==<br /> <br /> * Debian GNU/Linux 13 (Trixie).<br /> * Uma máquina com 4G ou 8G de ram.<br /> * 1 SSD para instalar o sistema.<br /> * 1 SSD para servir de '''OSD''' no '''CEPH'''.<br /> *3 interfaces de rede. Uma para o acesso, outra para o '''Cluster''' e outra para o '''CEPH'''. <br /> <br /> == Configurando o Qdevice no Debian ==<br /> Uma vez instalado o Debian, precisamos configurar as 3 interfaces para a comunicação com seu Cluster Proxmox. Por exemplo:<br /> <br /> * ens18 - IP 10.254.254.27/24 GW 10.254.254.1 (essa seria a interface com acesso à Internet para instalar os programas).<br /> * ens19 - IP 192.168.1.3/24 (interface que deve se comunicar com a rede do Cluster, com os IPs dos nodes 192.168.1.1 e 192.168.1.2.<br /> * ens20 - IP 192.168.2.3/24 (interface que se comunica com a rede CEPH, com os IPs 192.168.2.1 e 192.168.2.2.<br /> <br /> Precisamos configurar o serviço SSHD para permitir conexão com root, pois o Proxmox vai precisar acessar o Debian. Para isso altere o arquivo '''/etc/ssh/sshd_config''' o parâmetro abaixo:<br /> PermitRootLogin yes<br /> Reinicie o serviço:<br /> # systemctl restart sshd<br /> No Debian vamos instalar o pacote '''corosync-qnetd''':<br /> # apt install corosync-qnetd<br /> Nos dois servidores Proxmox, no nosso exemplo PVE01 e PVE02 instalaremos o pacote '''corosync-qdevice''':<br /> # apt install corosync-qdevice<br /> Agora vá para o shell do seu '''Proxmox principal''', no meu caso o '''PVE01''' e adicione o Debian ao Cluster com o seguinte comando: <br /> # pvecm qdevice setup 192.168.1.3<br /> Com o comando '''pvecm status''' podemos ver como está o quorum e se tudo ocorreu bem, verá que agora temos 3 votos no lugar de 2 e um '''Qdevice''' no membership:<br /> [[Arquivo:Qdevice.png|nenhum|miniaturadaimagem|748x748px]]<br /> Agora em se tratando de Cluster, você tem o mínimo de votantes para o bom funcionamento e usando uma máquina simples com Debian.<br /> <br /> == Adicionando um CEPH monitor e OSD ==<br /> Agora precisamos tornar nosso '''CEPH''' saudável também e para isso vamos instalar os pacotes do CEPH do Proxmox no Debian. O CEPH precisa ser da mesma versão usada no Cluster Proxmox. Para os meus testes utilizei um '''Cluster Proxmox 9''' no '''PVE01''' e '''PVE02''' que utiliza o '''CEPH Squid 19.2'''. Então vamos adicionar o repositório:<br /> # echo &quot;deb &lt;nowiki&gt;http://download.proxmox.com/debian/ceph-squid&lt;/nowiki&gt; trixie no-subscription&quot; &gt; /etc/apt/sources.list.d/ceph.list<br /> # wget &lt;nowiki&gt;https://enterprise.proxmox.com/debian/proxmox-release-trixie.gpg&lt;/nowiki&gt; -O /etc/apt/trusted.gpg.d/proxmox-release-trixie.gpg<br /> Instalando os pacotes do CEPH:<br /> # apt update<br /> # apt install ceph ceph-common<br /> Antes de prosseguir adicione no '''/etc/hosts''' do Debian:<br /> 192.168.2.1 node1<br /> 192.168.2.2 node2<br /> 192.168.2.3 nodeq<br /> Estou chamando nosso '''Quorum Device''' com o hostname '''nodeq'''.<br /> <br /> Agora precisaremos executar algumas tarefas no nosso '''PVE01''':<br /> # ceph mon getmap -o /tmp/monmap<br /> <br /> # monmaptool \<br /> --add nodeq 192.168.2.3:6789 \<br /> /tmp/monmap<br /> Vamos checar se adicionamos o '''nodeq''' ao '''monmap''' com o comando: '''monmaptool --print /tmp/monmap'''<br /> [[Arquivo:Monmap.png|nenhum|miniaturadaimagem|677x677px]]<br /> Vamos gerar o '''keyring''' para usarmos no Debian:<br /> # ceph auth get mon. -o /tmp/ceph.mon.keyring<br /> Agora precisamos copiar todos os arquivos necessários do '''PVE01''' para o nosso Debian:<br /> # scp /tmp/monmap root@192.168.2.3:/etc/ceph/<br /> # scp /tmp/ceph.mon.keyring root@192.168.2.3:/etc/ceph/<br /> # scp /etc/pve/ceph.conf root@192.168.2.3:/etc/ceph/<br /> # scp /etc/pve/priv/ceph.client.admin.keyring root@192.168.2.3:/etc/ceph/<br /> <br /> # scp /var/lib/ceph/bootstrap-osd/ceph.keyring \<br /> root@192.168.2.3:/var/lib/ceph/bootstrap-osd/<br /> '''Atenção''' '''agora''' pois vamos no nosso Debian alterar o arquivo '''/etc/ceph/ceph.conf'''. Primeiro modifique o parâmetro abaixo para incluir o IP '''192.168.2.3''':<br /> mon_host = 192.168.2.1 192.168.2.2 192.168.2.3<br /> Modifique os dois parâmetros abaixo e deixe eles iguais a estes:&lt;pre&gt;<br /> [client]<br /> keyring = /etc/ceph/$cluster.$name.keyring<br /> <br /> [client.crash]<br /> keyring = /etc/ceph/$cluster.$name.keyring<br /> &lt;/pre&gt;Adicione no final deste mesmo arquivo a configuração abaixo:&lt;pre&gt;<br /> [mon.nodeq]<br /> public_addr = 192.168.2.3<br /> &lt;/pre&gt;Ainda no '''Debian''' execute os comandos abaixo para prepararmos o ambiente pro '''CEPH''':<br /> # mkdir -p /var/lib/ceph/mon/ceph-nodeq<br /> # chown ceph:ceph /var/lib/ceph/mon/ceph-nodeq<br /> # chmod 750 /var/lib/ceph/mon/ceph-nodeq<br /> Vamos criar o monitor:<br /> # ceph-mon --mkfs \<br /> -i nodeq \<br /> --monmap /etc/ceph/monmap \<br /> --keyring /etc/ceph/ceph.mon.keyring<br /> <br /> # chown -R ceph: /var/lib/ceph/mon/ceph-nodeq<br /> # chown -R ceph: /etc/ceph/<br /> # chmod 640 /etc/ceph/ceph.mon.keyring<br /> # chmod 640 /etc/ceph/monmap<br /> Este é o momento crucial para que tenhamos mais um monitor no nosso CEPH do Proxmox:<br /> # systemctl enable ceph-mon@nodeq<br /> # systemctl start ceph-mon@nodeq<br /> Precisamos checar se o serviço subiu com o comando: '''systemctl status ceph-mon@nodeq'''<br /> <br /> Se aparecer algo assim então parabéns, até aqui foi tudo OK:<br /> [[Arquivo:Nodeq ceph.png|nenhum|miniaturadaimagem|806x806px]]Volte no Proxmox PVE01 e altere o '''/etc/pve/ceph.conf''' modificando para:<br /> mon_host = 192.168.2.1 192.168.2.2 192.168.2.3<br /> E adicionando no final do arquivo:<br /> [mon.nodeq]<br /> public_addr = 192.168.2.3<br /> Agora ativamos, ainda no '''Proxmox PVE01''', o '''msgr2''':<br /> # ceph mon enable-msgr2<br /> No Debian reinicie o serviço:<br /> # systemctl restart ceph-mon@nodeq<br /> No '''Proxmox''' em '''CEPH''' verá um novo Monitor adicionado:<br /> [[Arquivo:Mon ceph.png|nenhum|miniaturadaimagem|598x598px]]<br /> <br /> == Adicionando o OSD no Debian ==<br /> Agora vamos aos procedimentos para usarmos aquele SSD como OSD no CEPH. Vamos supor que o '''SSD livre''' seja o '''/dev/sdb''':<br /> # apt install parted<br /> <br /> # parted /dev/sdb --script mklabel gpt<br /> <br /> # parted /dev/sdb --script \<br /> mkpart primary 0% 100%<br /> Feito isso só precisamos criar o volume CEPH com o comando:<br /> # ceph-volume lvm create --data /dev/sdb1<br /> Se tudo foi bem, nesse momento verá o '''OSD''' no seu '''Cluster Proxmox''':<br /> [[Arquivo:Osd img.png|nenhum|miniaturadaimagem|1234x1234px]]<br /> Olhando a saúde do nosso Cluster veremos:<br /> [[Arquivo:Resultado ceph.png|nenhum|miniaturadaimagem|1235x1235px]]<br /> <br /> == Conclusão ==<br /> Aqui vemos em funcionamento um '''Cluster Proxmox + HA''' com 2 nós apenas e uma máquina Debian servindo como apoio no funcionamento e segurança do Cluster.<br /> <br /> Gostou do artigo? Compartilhe!<br /> <br /> Autor: [[Sobre mim|Marcelo Gondim]]<br /> [[Categoria:Artigos Técnicos]]</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Arquivo:Resultado_ceph.png&diff=1130 Arquivo:Resultado ceph.png 2026-04-08T23:20:57Z <p>Gondim: </p> <hr /> <div>resultado_ceph</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Arquivo:Osd_img.png&diff=1129 Arquivo:Osd img.png 2026-04-08T23:18:52Z <p>Gondim: </p> <hr /> <div>osd_img</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Arquivo:Mon_ceph.png&diff=1128 Arquivo:Mon ceph.png 2026-04-08T23:11:34Z <p>Gondim: </p> <hr /> <div>mon_ceph</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Debian_Cluster_CEPH&diff=1127 Debian Cluster CEPH 2026-04-08T23:03:43Z <p>Gondim: </p> <hr /> <div>== Introdução ==<br /> Este artigo tem como foco explicar como adicionar um Debian GNU/Linux em um Proxmox Cluster + HA com 2 nodes. Como muitos sabem, um '''Cluster''' deve ser composto de no '''mínimo 3 nodes''' para que possa dar segurança, existir '''quorum''' e quando usamos '''CEPH''' também precisamos de pelo menos 3 '''OSDs''' para termos uma estabilidade e segurança no sistema. O problema é quando se quer fazer isso com apenas 2 servidores Proxmox. Comprar um terceiro servidor às vezes ainda não está nos planos mas você tem uma máquina parada, onde você pode adicionar 2 SSDs e com 4G de ram você pode adicionar ela no '''Cluster''' para servir de quorum e de disco '''CEPH'''. Dessa maneira você consegue com 2 servidores '''Proxmox''' e uma máquina que chamei de '''Quorum Device''', colocar em produção um Cluster com HA funcional.<br /> <br /> == Diagrama ==<br /> O diagrama abaixo será o ambiente de exemplo mas não falaremos de como construir um Cluster + HA com Proxmox. Nesse caso você precisará ter os 2 servidores já instalados e configurados em '''Cluster''' com '''CEPH'''. Aqui vamos apenas mostrar como adicionar um Debian GNU/Linux nesse Cluster e no CEPH.<br /> [[Arquivo:Diagrama cluster ceph.png|nenhum|miniaturadaimagem|522x522px]]<br /> <br /> == Pré-requisitos ==<br /> <br /> * Debian GNU/Linux 13 (Trixie).<br /> * Uma máquina com 4G ou 8G de ram.<br /> * 1 SSD para instalar o sistema.<br /> * 1 SSD para servir de '''OSD''' no '''CEPH'''.<br /> *3 interfaces de rede. Uma para o acesso, outra para o '''Cluster''' e outra para o '''CEPH'''. <br /> <br /> == Configurando o Qdevice no Debian ==<br /> Uma vez instalado o Debian, precisamos configurar as 3 interfaces para a comunicação com seu Cluster Proxmox. Por exemplo:<br /> <br /> * ens18 - IP 10.254.254.27/24 GW 10.254.254.1 (essa seria a interface com acesso à Internet para instalar os programas).<br /> * ens19 - IP 192.168.1.3/24 (interface que deve se comunicar com a rede do Cluster, com os IPs dos nodes 192.168.1.1 e 192.168.1.2.<br /> * ens20 - IP 192.168.2.3/24 (interface que se comunica com a rede CEPH, com os IPs 192.168.2.1 e 192.168.2.2.<br /> <br /> Precisamos configurar o serviço SSHD para permitir conexão com root, pois o Proxmox vai precisar acessar o Debian. Para isso altere o arquivo '''/etc/ssh/sshd_config''' o parâmetro abaixo:<br /> PermitRootLogin yes<br /> Reinicie o serviço:<br /> # systemctl restart sshd<br /> No Debian vamos instalar o pacote '''corosync-qnetd''':<br /> # apt install corosync-qnetd<br /> Nos dois servidores Proxmox, no nosso exemplo PVE01 e PVE02 instalaremos o pacote '''corosync-qdevice''':<br /> # apt install corosync-qdevice<br /> Agora vá para o shell do seu '''Proxmox principal''', no meu caso o '''PVE01''' e adicione o Debian ao Cluster com o seguinte comando: <br /> # pvecm qdevice setup 192.168.1.3<br /> Com o comando '''pvecm status''' podemos ver como está o quorum e se tudo ocorreu bem, verá que agora temos 3 votos no lugar de 2 e um '''Qdevice''' no membership:<br /> [[Arquivo:Qdevice.png|nenhum|miniaturadaimagem|748x748px]]<br /> Agora em se tratando de Cluster, você tem o mínimo de votantes para o bom funcionamento e usando uma máquina simples com Debian.<br /> <br /> == Adicionando um CEPH monitor e OSD ==<br /> Agora precisamos tornar nosso '''CEPH''' saudável também e para isso vamos instalar os pacotes do CEPH do Proxmox no Debian. O CEPH precisa ser da mesma versão usada no Cluster Proxmox. Para os meus testes utilizei um '''Cluster Proxmox 9''' no '''PVE01''' e '''PVE02''' que utiliza o '''CEPH Squid 19.2'''. Então vamos adicionar o repositório:<br /> # echo &quot;deb &lt;nowiki&gt;http://download.proxmox.com/debian/ceph-squid&lt;/nowiki&gt; trixie no-subscription&quot; &gt; /etc/apt/sources.list.d/ceph.list<br /> # wget &lt;nowiki&gt;https://enterprise.proxmox.com/debian/proxmox-release-trixie.gpg&lt;/nowiki&gt; -O /etc/apt/trusted.gpg.d/proxmox-release-trixie.gpg<br /> Instalando os pacotes do CEPH:<br /> # apt update<br /> # apt install ceph ceph-common<br /> Antes de prosseguir adicione no '''/etc/hosts''' do Debian:<br /> 192.168.2.1 node1<br /> 192.168.2.2 node2<br /> 192.168.2.3 nodeq<br /> Estou chamando nosso '''Quorum Device''' com o hostname '''nodeq'''.<br /> <br /> Agora precisaremos executar algumas tarefas no nosso '''PVE01''':<br /> # ceph mon getmap -o /tmp/monmap<br /> <br /> # monmaptool \<br /> --add nodeq 192.168.2.3:6789 \<br /> /tmp/monmap<br /> Vamos checar se adicionamos o '''nodeq''' ao '''monmap''' com o comando: '''monmaptool --print /tmp/monmap'''<br /> [[Arquivo:Monmap.png|nenhum|miniaturadaimagem|677x677px]]<br /> Vamos gerar o '''keyring''' para usarmos no Debian:<br /> # ceph auth get mon. -o /tmp/ceph.mon.keyring<br /> Agora precisamos copiar todos os arquivos necessários do '''PVE01''' para o nosso Debian:<br /> # scp /tmp/monmap root@192.168.2.3:/etc/ceph/<br /> # scp /tmp/ceph.mon.keyring root@192.168.2.3:/etc/ceph/<br /> # scp /etc/pve/ceph.conf root@192.168.2.3:/etc/ceph/<br /> # scp /etc/pve/priv/ceph.client.admin.keyring root@192.168.2.3:/etc/ceph/<br /> <br /> # scp /var/lib/ceph/bootstrap-osd/ceph.keyring \<br /> root@192.168.2.3:/var/lib/ceph/bootstrap-osd/<br /> '''Atenção''' '''agora''' pois vamos no nosso Debian alterar o arquivo '''/etc/ceph/ceph.conf'''. Primeiro modifique o parâmetro abaixo para incluir o IP '''192.168.2.3''':<br /> mon_host = 192.168.2.1 192.168.2.2 192.168.2.3<br /> Modifique os dois parâmetros abaixo e deixe eles iguais a estes:&lt;pre&gt;<br /> [client]<br /> keyring = /etc/ceph/$cluster.$name.keyring<br /> <br /> [client.crash]<br /> keyring = /etc/ceph/$cluster.$name.keyring<br /> &lt;/pre&gt;Adicione no final deste mesmo arquivo a configuração abaixo:&lt;pre&gt;<br /> [mon.nodeq]<br /> public_addr = 192.168.2.3<br /> &lt;/pre&gt;Ainda no '''Debian''' execute os comandos abaixo para prepararmos o ambiente pro '''CEPH''':<br /> # mkdir -p /var/lib/ceph/mon/ceph-nodeq<br /> # chown ceph:ceph /var/lib/ceph/mon/ceph-nodeq<br /> # chmod 750 /var/lib/ceph/mon/ceph-nodeq<br /> Vamos criar o monitor:<br /> # ceph-mon --mkfs \<br /> -i nodeq \<br /> --monmap /etc/ceph/monmap \<br /> --keyring /etc/ceph/ceph.mon.keyring<br /> <br /> # chown -R ceph: /var/lib/ceph/mon/ceph-nodeq<br /> # chown -R ceph: /etc/ceph/<br /> # chmod 640 /etc/ceph/ceph.mon.keyring<br /> # chmod 640 /etc/ceph/monmap<br /> Este é o momento crucial para que tenhamos mais um monitor no nosso CEPH do Proxmox:<br /> # systemctl enable ceph-mon@nodeq<br /> # systemctl start ceph-mon@nodeq<br /> Precisamos checar se o serviço subiu com o comando: '''systemctl status ceph-mon@nodeq'''<br /> <br /> Se aparecer algo assim então parabéns, até aqui foi tudo OK:<br /> [[Arquivo:Nodeq ceph.png|nenhum|miniaturadaimagem|806x806px]]</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Arquivo:Nodeq_ceph.png&diff=1126 Arquivo:Nodeq ceph.png 2026-04-08T23:03:18Z <p>Gondim: </p> <hr /> <div>nodeq_ceph</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Arquivo:Monmap.png&diff=1125 Arquivo:Monmap.png 2026-04-08T22:46:47Z <p>Gondim: </p> <hr /> <div>monmap</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Debian_Cluster_CEPH&diff=1124 Debian Cluster CEPH 2026-04-08T22:43:49Z <p>Gondim: </p> <hr /> <div>== Introdução ==<br /> Este artigo tem como foco explicar como adicionar um Debian GNU/Linux em um Proxmox Cluster + HA com 2 nodes. Como muitos sabem, um '''Cluster''' deve ser composto de no '''mínimo 3 nodes''' para que possa dar segurança, existir '''quorum''' e quando usamos '''CEPH''' também precisamos de pelo menos 3 '''OSDs''' para termos uma estabilidade e segurança no sistema. O problema é quando se quer fazer isso com apenas 2 servidores Proxmox. Comprar um terceiro servidor às vezes ainda não está nos planos mas você tem uma máquina parada, onde você pode adicionar 2 SSDs e com 4G de ram você pode adicionar ela no '''Cluster''' para servir de quorum e de disco '''CEPH'''. Dessa maneira você consegue com 2 servidores '''Proxmox''' e uma máquina que chamei de '''Quorum Device''', colocar em produção um Cluster com HA funcional.<br /> <br /> == Diagrama ==<br /> O diagrama abaixo será o ambiente de exemplo mas não falaremos de como construir um Cluster + HA com Proxmox. Nesse caso você precisará ter os 2 servidores já instalados e configurados em '''Cluster''' com '''CEPH'''. Aqui vamos apenas mostrar como adicionar um Debian GNU/Linux nesse Cluster e no CEPH.<br /> [[Arquivo:Diagrama cluster ceph.png|nenhum|miniaturadaimagem|522x522px]]<br /> <br /> == Pré-requisitos ==<br /> <br /> * Debian GNU/Linux 13 (Trixie).<br /> * Uma máquina com 4G ou 8G de ram.<br /> * 1 SSD para instalar o sistema.<br /> * 1 SSD para servir de '''OSD''' no '''CEPH'''.<br /> *3 interfaces de rede. Uma para o acesso, outra para o '''Cluster''' e outra para o '''CEPH'''. <br /> <br /> == Configurando o Qdevice no Debian ==<br /> Uma vez instalado o Debian, precisamos configurar as 3 interfaces para a comunicação com seu Cluster Proxmox. Por exemplo:<br /> <br /> * ens18 - IP 10.254.254.27/24 GW 10.254.254.1 (essa seria a interface com acesso à Internet para instalar os programas).<br /> * ens19 - IP 192.168.1.3/24 (interface que deve se comunicar com a rede do Cluster, com os IPs dos nodes 192.168.1.1 e 192.168.1.2.<br /> * ens20 - IP 192.168.2.3/24 (interface que se comunica com a rede CEPH, com os IPs 192.168.2.1 e 192.168.2.2.<br /> <br /> Precisamos configurar o serviço SSHD para permitir conexão com root, pois o Proxmox vai precisar acessar o Debian. Para isso altere o arquivo '''/etc/ssh/sshd_config''' o parâmetro abaixo:<br /> PermitRootLogin yes<br /> Reinicie o serviço:<br /> # systemctl restart sshd<br /> No Debian vamos instalar o pacote '''corosync-qnetd''':<br /> # apt install corosync-qnetd<br /> Nos dois servidores Proxmox, no nosso exemplo PVE01 e PVE02 instalaremos o pacote '''corosync-qdevice''':<br /> # apt install corosync-qdevice<br /> Agora vá para o shell do seu '''Proxmox principal''', no meu caso o '''PVE01''' e adicione o Debian ao Cluster com o seguinte comando: <br /> # pvecm qdevice setup 192.168.1.3<br /> Com o comando '''pvecm status''' podemos ver como está o quorum e se tudo ocorreu bem, verá que agora temos 3 votos no lugar de 2 e um '''Qdevice''' no membership:<br /> [[Arquivo:Qdevice.png|nenhum|miniaturadaimagem|748x748px]]<br /> Agora em se tratando de Cluster, você tem o mínimo de votantes para o bom funcionamento e usando uma máquina simples com Debian.<br /> <br /> == Adicionando um CEPH monitor e OSD ==<br /> Agora precisamos tornar nosso '''CEPH''' saudável também e para isso vamos instalar os pacotes do CEPH do Proxmox no Debian. O CEPH precisa ser da mesma versão usada no Cluster Proxmox. Para os meus testes utilizei um '''Cluster Proxmox 9''' no '''PVE01''' e '''PVE02''' que utiliza o '''CEPH Squid 19.2'''. Então vamos adicionar o repositório:<br /> # echo &quot;deb &lt;nowiki&gt;http://download.proxmox.com/debian/ceph-squid&lt;/nowiki&gt; trixie no-subscription&quot; &gt; /etc/apt/sources.list.d/ceph.list<br /> # wget &lt;nowiki&gt;https://enterprise.proxmox.com/debian/proxmox-release-trixie.gpg&lt;/nowiki&gt; -O /etc/apt/trusted.gpg.d/proxmox-release-trixie.gpg<br /> Instalando os pacotes do CEPH:<br /> # apt update<br /> # apt install ceph ceph-common<br /> Antes de prosseguir adicione no '''/etc/hosts''' do Debian:<br /> 192.168.2.1 node1<br /> 192.168.2.2 node2<br /> 192.168.2.3 nodeq<br /> Estou chamando nosso '''Quorum Device''' com o hostname '''nodeq'''.<br /> <br /> Agora precisaremos executar algumas tarefas no nosso '''PVE01''':<br /> # ceph mon getmap -o /tmp/monmap<br /> <br /> # monmaptool \<br /> --add nodeq 192.168.2.3:6789 \<br /> /tmp/monmap</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Debian_Cluster_CEPH&diff=1123 Debian Cluster CEPH 2026-04-08T22:32:54Z <p>Gondim: </p> <hr /> <div>== Introdução ==<br /> Este artigo tem como foco explicar como adicionar um Debian GNU/Linux em um Proxmox Cluster + HA com 2 nodes. Como muitos sabem, um '''Cluster''' deve ser composto de no '''mínimo 3 nodes''' para que possa dar segurança, existir '''quorum''' e quando usamos '''CEPH''' também precisamos de pelo menos 3 '''OSDs''' para termos uma estabilidade e segurança no sistema. O problema é quando se quer fazer isso com apenas 2 servidores Proxmox. Comprar um terceiro servidor às vezes ainda não está nos planos mas você tem uma máquina parada, onde você pode adicionar 2 SSDs e com 4G de ram você pode adicionar ela no '''Cluster''' para servir de quorum e de disco '''CEPH'''. Dessa maneira você consegue com 2 servidores '''Proxmox''' e uma máquina que chamei de '''Quorum Device''', colocar em produção um Cluster com HA funcional.<br /> <br /> == Diagrama ==<br /> O diagrama abaixo será o ambiente de exemplo mas não falaremos de como construir um Cluster + HA com Proxmox. Nesse caso você precisará ter os 2 servidores já instalados e configurados em '''Cluster''' com '''CEPH'''. Aqui vamos apenas mostrar como adicionar um Debian GNU/Linux nesse Cluster e no CEPH.<br /> [[Arquivo:Diagrama cluster ceph.png|nenhum|miniaturadaimagem|522x522px]]<br /> <br /> == Pré-requisitos ==<br /> <br /> * Debian GNU/Linux 13 (Trixie).<br /> * Uma máquina com 4G ou 8G de ram.<br /> * 1 SSD para instalar o sistema.<br /> * 1 SSD para servir de '''OSD''' no '''CEPH'''.<br /> *3 interfaces de rede. Uma para o acesso, outra para o '''Cluster''' e outra para o '''CEPH'''. <br /> <br /> == Configurando o Qdevice no Debian ==<br /> Uma vez instalado o Debian, precisamos configurar as 3 interfaces para a comunicação com seu Cluster Proxmox. Por exemplo:<br /> <br /> * ens18 - IP 10.254.254.27/24 GW 10.254.254.1 (essa seria a interface com acesso à Internet para instalar os programas).<br /> * ens19 - IP 192.168.1.3/24 (interface que deve se comunicar com a rede do Cluster, com os IPs dos nodes 192.168.1.1 e 192.168.1.2.<br /> * ens20 - IP 192.168.2.3/24 (interface que se comunica com a rede CEPH, com os IPs 192.168.2.1 e 192.168.2.2.<br /> <br /> Precisamos configurar o serviço SSHD para permitir conexão com root, pois o Proxmox vai precisar acessar o Debian. Para isso altere o arquivo '''/etc/ssh/sshd_config''' o parâmetro abaixo:<br /> PermitRootLogin yes<br /> Reinicie o serviço:<br /> # systemctl restart sshd<br /> No Debian vamos instalar o pacote '''corosync-qnetd''':<br /> # apt install corosync-qnetd<br /> Nos dois servidores Proxmox, no nosso exemplo PVE01 e PVE02 instalaremos o pacote '''corosync-qdevice''':<br /> # apt install corosync-qdevice<br /> Agora vá para o shell do seu '''Proxmox principal''', no meu caso o '''PVE01''' e adicione o Debian ao Cluster com o seguinte comando: <br /> # pvecm qdevice setup 192.168.1.3<br /> Com o comando '''pvecm status''' podemos ver como está o quorum e se tudo ocorreu bem, verá que agora temos 3 votos no lugar de 2 e um '''Qdevice''' no membership:<br /> [[Arquivo:Qdevice.png|nenhum|miniaturadaimagem|748x748px]]<br /> Agora em se tratando de Cluster, você tem o mínimo de votantes para o bom funcionamento e usando uma máquina simples com Debian.<br /> <br /> == Adicionando um CEPH monitor e OSD ==</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Arquivo:Qdevice.png&diff=1122 Arquivo:Qdevice.png 2026-04-08T22:28:18Z <p>Gondim: </p> <hr /> <div>qdevice</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Debian_Cluster_CEPH&diff=1121 Debian Cluster CEPH 2026-04-08T22:21:18Z <p>Gondim: </p> <hr /> <div>== Introdução ==<br /> Este artigo tem como foco explicar como adicionar um Debian GNU/Linux em um Proxmox Cluster + HA com 2 nodes. Como muitos sabem, um '''Cluster''' deve ser composto de no '''mínimo 3 nodes''' para que possa dar segurança, existir '''quorum''' e quando usamos '''CEPH''' também precisamos de pelo menos 3 '''OSDs''' para termos uma estabilidade e segurança no sistema. O problema é quando se quer fazer isso com apenas 2 servidores Proxmox. Comprar um terceiro servidor às vezes ainda não está nos planos mas você tem uma máquina parada, onde você pode adicionar 2 SSDs e com 4G de ram você pode adicionar ela no '''Cluster''' para servir de quorum e de disco '''CEPH'''. Dessa maneira você consegue com 2 servidores '''Proxmox''' e uma máquina que chamei de '''Quorum Device''', colocar em produção um Cluster com HA funcional.<br /> <br /> == Diagrama ==<br /> O diagrama abaixo será o ambiente de exemplo mas não falaremos de como construir um Cluster + HA com Proxmox. Nesse caso você precisará ter os 2 servidores já instalados e configurados em '''Cluster''' com '''CEPH'''. Aqui vamos apenas mostrar como adicionar um Debian GNU/Linux nesse Cluster e no CEPH.<br /> [[Arquivo:Diagrama cluster ceph.png|nenhum|miniaturadaimagem|522x522px]]<br /> <br /> == Pré-requisitos ==<br /> <br /> * Debian GNU/Linux 13 (Trixie).<br /> * Uma máquina com 4G ou 8G de ram.<br /> * 1 SSD para instalar o sistema.<br /> * 1 SSD para servir de '''OSD''' no '''CEPH'''.<br /> *3 interfaces de rede. Uma para o acesso, outra para o '''Cluster''' e outra para o '''CEPH'''. <br /> <br /> == Configurando o Qdevice no Debian ==<br /> Uma vez instalado o Debian, precisamos configurar as 3 interfaces para a comunicação com seu Cluster Proxmox. Por exemplo:<br /> <br /> * ens18 - IP 10.254.254.27/24 GW 10.254.254.1 (essa seria a interface com acesso à Internet para instalar os programas).<br /> * ens19 - IP 192.168.1.3/24 (interface que deve se comunicar com a rede do Cluster, com os IPs dos nodes 192.168.1.1 e 192.168.1.2.<br /> * ens20 - IP 192.168.2.3/24 (interface que se comunica com a rede CEPH, com os IPs 192.168.2.1 e 192.168.2.2.<br /> <br /> Precisamos configurar o serviço SSHD para permitir conexão com root, pois o Proxmox vai precisar acessar o Debian. Para isso altere o arquivo '''/etc/ssh/sshd_config''' o parâmetro abaixo:<br /> PermitRootLogin yes<br /> Reinicie o serviço:<br /> # systemctl restart sshd</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Debian_Cluster_CEPH&diff=1120 Debian Cluster CEPH 2026-04-08T22:06:58Z <p>Gondim: Criou página com &#039;== Introdução == Este artigo tem como foco explicar como adicionar um Debian GNU/Linux em um Proxmox Cluster + HA com 2 nodes. Como muitos sabem, um &#039;&#039;&#039;Cluster&#039;&#039;&#039; deve ser composto de no &#039;&#039;&#039;mínimo 3 nodes&#039;&#039;&#039; para que possa dar segurança, existir &#039;&#039;&#039;quorum&#039;&#039;&#039; e quando usamos &#039;&#039;&#039;CEPH&#039;&#039;&#039; também precisamos de pelo menos 3 &#039;&#039;&#039;OSDs&#039;&#039;&#039; para termos uma estabilidade e segurança no sistema. O problema é quando se quer fazer isso com apenas 2 servidores Proxmox. Comprar um...&#039;</p> <hr /> <div>== Introdução ==<br /> Este artigo tem como foco explicar como adicionar um Debian GNU/Linux em um Proxmox Cluster + HA com 2 nodes. Como muitos sabem, um '''Cluster''' deve ser composto de no '''mínimo 3 nodes''' para que possa dar segurança, existir '''quorum''' e quando usamos '''CEPH''' também precisamos de pelo menos 3 '''OSDs''' para termos uma estabilidade e segurança no sistema. O problema é quando se quer fazer isso com apenas 2 servidores Proxmox. Comprar um terceiro servidor às vezes ainda não está nos planos mas você tem uma máquina parada, onde você pode adicionar 2 SSDs e com 4G de ram você pode adicionar ela no '''Cluster''' para servir de quorum e de disco '''CEPH'''. Dessa maneira você consegue com 2 servidores '''Proxmox''' e uma máquina que chamei de '''Quorum Device''', colocar em produção um Cluster com HA funcional.<br /> <br /> == Diagrama ==<br /> O diagrama abaixo será o ambiente de exemplo mas não falaremos de como construir um Cluster + HA com Proxmox. Nesse caso você precisará ter os 2 servidores já instalados e configurados em '''Cluster''' com '''CEPH'''. Aqui vamos apenas mostrar como adicionar um Debian GNU/Linux nesse Cluster e no CEPH.<br /> [[Arquivo:Diagrama cluster ceph.png|nenhum|miniaturadaimagem|522x522px]]<br /> <br /> == Pré-requisitos ==<br /> <br /> * Debian GNU/Linux 13 (Trixie).<br /> * Uma máquina com 4G ou 8G de ram.<br /> * 1 SSD para instalar o sistema.<br /> * 1 SSD para servir de OSD no CEPH.<br /> *</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Arquivo:Diagrama_cluster_ceph.png&diff=1119 Arquivo:Diagrama cluster ceph.png 2026-04-08T21:58:17Z <p>Gondim: </p> <hr /> <div>diagrama_cluster_ceph</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Sobre_mim&diff=1118 Sobre mim 2026-04-01T20:15:05Z <p>Gondim: </p> <hr /> <div>=== Marcelo Gondim da Cunha ===<br /> [[Arquivo:Gondim paisagem.jpg|esquerda|miniaturadaimagem]]<br /> '''Contribuições e trabalhos:'''<br /> <br /> * Administração de Sistemas Unix-Like desde 1996.<br /> * Consultor na Conectiva S/A - Unidade Rio em 2000.<br /> * Autor do projeto TuxFrw - https://github.com/gondimcodes/tuxfrw e https://github.com/gondimcodes/tuxfrw-nft<br /> * Administração de sistemas BSD pela FreeBSD Brasil em 2010.<br /> * Direção do AS53135 - Nettel Telecomunicações entre 2003 e 2021 atingindo a marca de 41.000 assinantes. Gerando qualidade na entrega de serviços e implantando boas práticas como: <br /> <br /> a) IPv6.<br /> <br /> b) MANRS.<br /> <br /> c) RPKI.<br /> <br /> d) CPEs com firmware baseada na BCOP &lt;nowiki&gt;https://www.m3aawg.org/sites/default/files/lac-bcop-1-m3aawg-v1-portuguese-final.pdf&lt;/nowiki&gt;<br /> <br /> * SOC Specialist na Brasil TecPar (AS262907) de 2022 a 2025. Um milhão de clientes. Responsável pelas estratégias de mitigação anti-DDoS atendendo as Operações de RJ, SP, RS, SC, MT e MS. <br /> <br /> '''Palestras ministradas:'''<br /> <br /> * Semana da Informática UERJ 2002 - TuxFrw.<br /> * CONISLI 2003 - TuxFrw.<br /> * CONISLI 2004 - Fazendo compras com Gentoo Linux - Palestra sobre a distribuição Linux e suas ferramentas fantásticas.<br /> * CONISLI 2004 - OpenVPN - Palestra sobre como criar VPNs seguras com OpenVPN e diferenças entre ele e o IPSec.<br /> * CONISLI 2005 - SPoP (Security Point of Presence) com OpenVPN - Como utilizar túneis encriptados do OpenVPN para acessar a Internet de forma segura, onde quer que esteja.<br /> * SECOMP 2005 UNIFEI - TuxFrw.<br /> <br /> * Debconf19 2019 - [https://debconf19.debconf.org/talks/4-debian-na-vida-de-uma-operadora-de-telecom/ Debian na vida de uma operadora de Telecom], [https://www.youtube.com/watch?v=vQSTslUZy8k&amp;list=PLYUtdmpYPTTJDtwgD8AtxzFJ9t_URhFMK&amp;index=35 vídeo] e [https://salsa.debian.org/debconf-team/public/share/debconf19/raw/master/slides/4-debian-na-vida-de-uma-operadora-de-telecom.pdf?inline=false pdf].<br /> <br /> * [https://www.youtube.com/watch?v=5uOFtkplDts FiqueEmCasaUseDebian - CGNAT com NFTables] e [https://www.youtube.com/watch?v=Wz2IAg6MMlU SysAdmin apps].<br /> <br /> '''Artigos desenvolvidos para a comunidade do Brasil Peering Fórum:'''<br /> <br /> * [https://wiki.brasilpeeringforum.org/w/CGNAT_na_pratica CGNAT na pratica].<br /> * [https://wiki.brasilpeeringforum.org/w/Acesso_via_IPv6_Link-Local Acesso via IPv6 Link-Local].<br /> * [https://wiki.brasilpeeringforum.org/w/MANRS MANRS].<br /> * [https://wiki.brasilpeeringforum.org/w/CGNAT_Bulk_Port_Allocation_com_DPDK CGNAT Bulk Port Allocation com DPDK].<br /> * [https://wiki.brasilpeeringforum.org/w/Servidor_de_Logs Servidor de Logs].<br /> * [https://wiki.brasilpeeringforum.org/w/DNS_Recursivo_Anycast_Hyperlocal DNS Anycast com Hyperlocal].<br /> * [https://wiki.brasilpeeringforum.org/w/Portas_de_Amplifica%C3%A7%C3%A3o_DDoS_e_Botnets Portas de Amplificação DDoS e Botnets]<br /> * [https://wiki.brasilpeeringforum.org/w/Static_Loop_-_um_erro_que_pode_matar_seu_ISP/ITP Static Loop - um erro que pode matar seu ISP/ITP]<br /> * [https://wiki.brasilpeeringforum.org/w/Recomenda%C3%A7%C3%B5es_sobre_Mitiga%C3%A7%C3%A3o_DDoS Recomendações sobre Mitigação DDoS]<br /> * [https://wiki.brasilpeeringforum.org/w/Vazamento_de_prefixos_na_mitiga%C3%A7%C3%A3o_DDoS Vazamento de prefixos na mitigação DDoS]<br /> * [https://wiki.brasilpeeringforum.org/w/Identificando_e_neutralizando_uma_Botnet Identificando e neutralizando uma Botnet]<br /> <br /> '''Tutorial:'''<br /> <br /> * [https://bit.ly/2saumHK Segurança de roteamento: MANRS (Mutually Agreed Norms for Routing Security) - Tutoriais NIC.br em 09/12/2019].<br /> <br /> '''[https://www.manrs.org/about/advisory-group/members/ MANRS Advisory Group Member (2020-2021)]'''.<br /> <br /> [https://www.youtube.com/watch?v=oahQkGx8urY '''Live sobre MANRS com Leonardo Furtado'''].<br /> <br /> Criação da Wiki ISPUP! em 24/12/2022.<br /> <br /> '''Semana de Capacitação 6 do NIC.br 28/04/2023''' - &quot;'''CONCEITOS E IMPLEMENTAÇÃO DE CGNAT&quot;'''. Material [https://semanacap.bcp.nic.br/6-online/ aqui] e vídeo aula [https://www.youtube.com/watch?v=1q7J3NkQVSc aqui].<br /> <br /> '''Semana de Capacitação 10 do NIC.br 01/07/2025''' - &quot;'''Teste para padrões técnicos modernos de Internet e segurança: IPv6, DNSSEC, TLS, HTTPS e HSTS'''&quot;'''.''' Material [https://semanacap.bcp.nic.br/semana-de-capacitacao-online-edicao-10-2025/ aqui] e vídeo aula [https://www.youtube.com/watch?v=55RBnGQhi2o aqui].<br /> <br /> '''IX Fórum Regional Sudeste (Rio de Janeiro) 24/10/2025''' com a palestra &quot;'''Segurança com o pé direito'''&quot; pode ser baixada [https://regional.forum.ix.br/files/apresentacao/arquivo/2307/gondim.pdf aqui].<br /> <br /> '''Fórum BCOP-ICANN Edição Especial DNS 19/12/2025''' com o painel &quot;'''DNS em Ação: Como os provedores estão implantando as Boas Práticas&quot;''' com '''apresentação''' [https://forumbcop.nic.br/files/apresentacao/arquivo/2428/DNS_KINDNS_Reduzido.pdf aqui] e vídeo [https://www.youtube.com/live/GnYK9UOLXr4?t=10257s aqui].<br /> <br /> '''Fórum BCOP Fortaleza''' com a palestra: &quot;'''Recomendações de segurança para provedores&quot;''' com apresentação [https://fortaleza.forumbcop.nic.br/files/apresentacao/arquivo/2487/Marcelo_Gondim_Recomendacoes_seguranca_provedores.pdf aqui] e vídeo [https://youtu.be/Qjgb7P3cG8k?t=9237 aqui]'''.''' Os arquivos anexos de configuração: [https://fortaleza.forumbcop.nic.br/files/apresentacao/arquivo/2489/Marcelo_Gondim_filtros_edge_huawei.pdf filtros_edge_huawei], [https://fortaleza.forumbcop.nic.br/files/apresentacao/arquivo/2490/spoofer.pdf spoofer] e [https://fortaleza.forumbcop.nic.br/files/apresentacao/arquivo/2491/filtros_bng_huawei.pdf filtros_bng_huawei]. <br /> <br /> '''Moeda recebida pelo NIC.br por contribuir com conhecimento palestrando na Semana de Infraestrutura da Internet no Brasil em 2025:'''<br /> [[Arquivo:Moeda1.jpg|nenhum|miniaturadaimagem|407x407px]]<br /> '''Moeda comemorativa de 5 anos recebida pelo NIC.br em 2025 por contribuir com conhecimento para a Semana de Capacitação e Camada 8:'''<br /> [[Arquivo:Moeda2.jpg|nenhum|miniaturadaimagem|407x407px]]<br /> <br /> '''Moeda IX Fórum Fortaleza 2026:'''<br /> [[Arquivo:Frum-bcop-fortaleza-2026 55178462504 o.jpg|esquerda|miniaturadaimagem|470x470px]]<br /> [[Arquivo:Frum-bcop-fortaleza-2026 55178206816 o.jpg|nenhum|miniaturadaimagem|447x447px]]<br /> <br /> <br /> &lt;br&gt;<br /> '''Webinar:'''<br /> <br /> Proteção e Mitigação de ataques DDoS em 10/09/2024 às 20:00 UTC -3. Site da chamada [https://gdg.community.dev/events/details/google-gdg-sinop-presents-webinar-ao-vivo-protecao-e-mitigacao-de-ataques-ddos/ aqui] e o vídeo da live no Youtube [https://www.youtube.com/live/7VIaoDQaLQE aqui].<br /> <br /> '''Podcast:'''<br /> <br /> [https://www.youtube.com/live/x4fxtma4eyQ Segurança de Rede e Infraestrutura para 2025: Preparando os ISPs para o futuro!] <br /> <br /> '''Contatos:'''<br /> <br /> Telegram: '''@Marcelo_Gondim'''<br /> <br /> WhatsApp: +55 (22) 99743-9060<br /> <br /> E-mail: '''gondim at gmail.com'''<br /> <br /> Linkedin: https://www.linkedin.com/in/marcelo-gondim-sysadmin/<br /> <br /> Meu Github: https://github.com/gondimcodes<br /> ==Mini-CV==<br /> '''Marcelo Gondim''' começou sua carreira como desenvolvedor de software em COBOL e Clipper entre 1992 e 1995. Em 1996 foi responsável por desenvolver um sistema concorrente com o RENPAC da Embratel para acesso ao SISCOMEX e implantou a Internet para fins comerciais na empresa DATABRAS. Trabalhou como consultor e instrutor de GNU/Linux na Conectiva S/A em 2000. Em 2003 se tornou consultor de diversos Provedores de Internet na Região dos Lagos - RJ e onde acabou se tornando CTO da Nettel Telecomunicações (AS53135) com 42.000 assinantes. Implantou IPv6 iniciando em 2013 e se tornou participante do MANRS com diversas contribuições com artigos e palestras. Trabalhou como Especialista em Redes e SOC (Security Operations Center) na Brasil TecPar AS262907 entre 2022 e 2025, onde implementou boas práticas, tratamentos de incidentes relacionados ao ASN, desenvolveu as estratégias de Mitigação DDoS e uma Rede de DNS Recursivo Anycast espalhada pelo RS, RJ, SP, SC MT e MS, também certificada KINDNS. Fundador da empresa ISPFocus especializada em Tecnologia da Informação e boas práticas para ISPs.</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Sobre_mim&diff=1117 Sobre mim 2026-04-01T20:14:29Z <p>Gondim: </p> <hr /> <div>=== Marcelo Gondim da Cunha ===<br /> [[Arquivo:Gondim paisagem.jpg|esquerda|miniaturadaimagem]]<br /> '''Contribuições e trabalhos:'''<br /> <br /> * Administração de Sistemas Unix-Like desde 1996.<br /> * Consultor na Conectiva S/A - Unidade Rio em 2000.<br /> * Autor do projeto TuxFrw - https://github.com/gondimcodes/tuxfrw e https://github.com/gondimcodes/tuxfrw-nft<br /> * Administração de sistemas BSD pela FreeBSD Brasil em 2010.<br /> * Direção do AS53135 - Nettel Telecomunicações entre 2003 e 2021 atingindo a marca de 41.000 assinantes. Gerando qualidade na entrega de serviços e implantando boas práticas como: <br /> <br /> a) IPv6.<br /> <br /> b) MANRS.<br /> <br /> c) RPKI.<br /> <br /> d) CPEs com firmware baseada na BCOP &lt;nowiki&gt;https://www.m3aawg.org/sites/default/files/lac-bcop-1-m3aawg-v1-portuguese-final.pdf&lt;/nowiki&gt;<br /> <br /> * SOC Specialist na Brasil TecPar (AS262907) de 2022 a 2025. Um milhão de clientes. Responsável pelas estratégias de mitigação anti-DDoS atendendo as Operações de RJ, SP, RS, SC, MT e MS. <br /> <br /> '''Palestras ministradas:'''<br /> <br /> * Semana da Informática UERJ 2002 - TuxFrw.<br /> * CONISLI 2003 - TuxFrw.<br /> * CONISLI 2004 - Fazendo compras com Gentoo Linux - Palestra sobre a distribuição Linux e suas ferramentas fantásticas.<br /> * CONISLI 2004 - OpenVPN - Palestra sobre como criar VPNs seguras com OpenVPN e diferenças entre ele e o IPSec.<br /> * CONISLI 2005 - SPoP (Security Point of Presence) com OpenVPN - Como utilizar túneis encriptados do OpenVPN para acessar a Internet de forma segura, onde quer que esteja.<br /> * SECOMP 2005 UNIFEI - TuxFrw.<br /> <br /> * Debconf19 2019 - [https://debconf19.debconf.org/talks/4-debian-na-vida-de-uma-operadora-de-telecom/ Debian na vida de uma operadora de Telecom], [https://www.youtube.com/watch?v=vQSTslUZy8k&amp;list=PLYUtdmpYPTTJDtwgD8AtxzFJ9t_URhFMK&amp;index=35 vídeo] e [https://salsa.debian.org/debconf-team/public/share/debconf19/raw/master/slides/4-debian-na-vida-de-uma-operadora-de-telecom.pdf?inline=false pdf].<br /> <br /> * [https://www.youtube.com/watch?v=5uOFtkplDts FiqueEmCasaUseDebian - CGNAT com NFTables] e [https://www.youtube.com/watch?v=Wz2IAg6MMlU SysAdmin apps].<br /> <br /> '''Artigos desenvolvidos para a comunidade do Brasil Peering Fórum:'''<br /> <br /> * [https://wiki.brasilpeeringforum.org/w/CGNAT_na_pratica CGNAT na pratica].<br /> * [https://wiki.brasilpeeringforum.org/w/Acesso_via_IPv6_Link-Local Acesso via IPv6 Link-Local].<br /> * [https://wiki.brasilpeeringforum.org/w/MANRS MANRS].<br /> * [https://wiki.brasilpeeringforum.org/w/CGNAT_Bulk_Port_Allocation_com_DPDK CGNAT Bulk Port Allocation com DPDK].<br /> * [https://wiki.brasilpeeringforum.org/w/Servidor_de_Logs Servidor de Logs].<br /> * [https://wiki.brasilpeeringforum.org/w/DNS_Recursivo_Anycast_Hyperlocal DNS Anycast com Hyperlocal].<br /> * [https://wiki.brasilpeeringforum.org/w/Portas_de_Amplifica%C3%A7%C3%A3o_DDoS_e_Botnets Portas de Amplificação DDoS e Botnets]<br /> * [https://wiki.brasilpeeringforum.org/w/Static_Loop_-_um_erro_que_pode_matar_seu_ISP/ITP Static Loop - um erro que pode matar seu ISP/ITP]<br /> * [https://wiki.brasilpeeringforum.org/w/Recomenda%C3%A7%C3%B5es_sobre_Mitiga%C3%A7%C3%A3o_DDoS Recomendações sobre Mitigação DDoS]<br /> * [https://wiki.brasilpeeringforum.org/w/Vazamento_de_prefixos_na_mitiga%C3%A7%C3%A3o_DDoS Vazamento de prefixos na mitigação DDoS]<br /> * [https://wiki.brasilpeeringforum.org/w/Identificando_e_neutralizando_uma_Botnet Identificando e neutralizando uma Botnet]<br /> <br /> '''Tutorial:'''<br /> <br /> * [https://bit.ly/2saumHK Segurança de roteamento: MANRS (Mutually Agreed Norms for Routing Security) - Tutoriais NIC.br em 09/12/2019].<br /> <br /> '''[https://www.manrs.org/about/advisory-group/members/ MANRS Advisory Group Member (2020-2021)]'''.<br /> <br /> [https://www.youtube.com/watch?v=oahQkGx8urY '''Live sobre MANRS com Leonardo Furtado'''].<br /> <br /> Criação da Wiki ISPUP! em 24/12/2022.<br /> <br /> '''Semana de Capacitação 6 do NIC.br 28/04/2023''' - &quot;'''CONCEITOS E IMPLEMENTAÇÃO DE CGNAT&quot;'''. Material [https://semanacap.bcp.nic.br/6-online/ aqui] e vídeo aula [https://www.youtube.com/watch?v=1q7J3NkQVSc aqui].<br /> <br /> '''Semana de Capacitação 10 do NIC.br 01/07/2025''' - &quot;'''Teste para padrões técnicos modernos de Internet e segurança: IPv6, DNSSEC, TLS, HTTPS e HSTS'''&quot;'''.''' Material [https://semanacap.bcp.nic.br/semana-de-capacitacao-online-edicao-10-2025/ aqui] e vídeo aula [https://www.youtube.com/watch?v=55RBnGQhi2o aqui].<br /> <br /> '''IX Fórum Regional Sudeste (Rio de Janeiro) 24/10/2025''' com a palestra &quot;'''Segurança com o pé direito'''&quot; pode ser baixada [https://regional.forum.ix.br/files/apresentacao/arquivo/2307/gondim.pdf aqui].<br /> <br /> '''Fórum BCOP-ICANN Edição Especial DNS 19/12/2025''' com o painel &quot;'''DNS em Ação: Como os provedores estão implantando as Boas Práticas&quot;''' com '''apresentação''' [https://forumbcop.nic.br/files/apresentacao/arquivo/2428/DNS_KINDNS_Reduzido.pdf aqui] e vídeo [https://www.youtube.com/live/GnYK9UOLXr4?t=10257s aqui].<br /> <br /> '''Fórum BCOP Fortaleza''' com a palestra: &quot;'''Recomendações de segurança para provedores&quot;''' com apresentação [https://fortaleza.forumbcop.nic.br/files/apresentacao/arquivo/2487/Marcelo_Gondim_Recomendacoes_seguranca_provedores.pdf aqui] e vídeo [https://youtu.be/Qjgb7P3cG8k?t=9237 aqui]'''.''' Os arquivos anexos de configuração: [https://fortaleza.forumbcop.nic.br/files/apresentacao/arquivo/2489/Marcelo_Gondim_filtros_edge_huawei.pdf filtros_edge_huawei], [https://fortaleza.forumbcop.nic.br/files/apresentacao/arquivo/2490/spoofer.pdf spoofer] e [https://fortaleza.forumbcop.nic.br/files/apresentacao/arquivo/2491/filtros_bng_huawei.pdf filtros_bng_huawei]. <br /> <br /> '''Moeda recebida pelo NIC.br por contribuir com conhecimento palestrando na Semana de Infraestrutura da Internet no Brasil em 2025:'''<br /> [[Arquivo:Moeda1.jpg|nenhum|miniaturadaimagem|407x407px]]<br /> '''Moeda comemorativa de 5 anos recebida pelo NIC.br em 2025 por contribuir com conhecimento para a Semana de Capacitação e Camada 8:'''<br /> [[Arquivo:Moeda2.jpg|nenhum|miniaturadaimagem|407x407px]]<br /> <br /> '''Moeda IX Fórum Fortaleza 2026:'''<br /> [[Arquivo:Frum-bcop-fortaleza-2026 55178462504 o.jpg|esquerda|miniaturadaimagem|470x470px]]<br /> [[Arquivo:Frum-bcop-fortaleza-2026 55178206816 o.jpg|nenhum|miniaturadaimagem|447x447px]]<br /> <br /> <br /> <br /> '''Webinar:'''<br /> <br /> Proteção e Mitigação de ataques DDoS em 10/09/2024 às 20:00 UTC -3. Site da chamada [https://gdg.community.dev/events/details/google-gdg-sinop-presents-webinar-ao-vivo-protecao-e-mitigacao-de-ataques-ddos/ aqui] e o vídeo da live no Youtube [https://www.youtube.com/live/7VIaoDQaLQE aqui].<br /> <br /> '''Podcast:'''<br /> <br /> [https://www.youtube.com/live/x4fxtma4eyQ Segurança de Rede e Infraestrutura para 2025: Preparando os ISPs para o futuro!] <br /> <br /> '''Contatos:'''<br /> <br /> Telegram: '''@Marcelo_Gondim'''<br /> <br /> WhatsApp: +55 (22) 99743-9060<br /> <br /> E-mail: '''gondim at gmail.com'''<br /> <br /> Linkedin: https://www.linkedin.com/in/marcelo-gondim-sysadmin/<br /> <br /> Meu Github: https://github.com/gondimcodes<br /> ==Mini-CV==<br /> '''Marcelo Gondim''' começou sua carreira como desenvolvedor de software em COBOL e Clipper entre 1992 e 1995. Em 1996 foi responsável por desenvolver um sistema concorrente com o RENPAC da Embratel para acesso ao SISCOMEX e implantou a Internet para fins comerciais na empresa DATABRAS. Trabalhou como consultor e instrutor de GNU/Linux na Conectiva S/A em 2000. Em 2003 se tornou consultor de diversos Provedores de Internet na Região dos Lagos - RJ e onde acabou se tornando CTO da Nettel Telecomunicações (AS53135) com 42.000 assinantes. Implantou IPv6 iniciando em 2013 e se tornou participante do MANRS com diversas contribuições com artigos e palestras. Trabalhou como Especialista em Redes e SOC (Security Operations Center) na Brasil TecPar AS262907 entre 2022 e 2025, onde implementou boas práticas, tratamentos de incidentes relacionados ao ASN, desenvolveu as estratégias de Mitigação DDoS e uma Rede de DNS Recursivo Anycast espalhada pelo RS, RJ, SP, SC MT e MS, também certificada KINDNS. Fundador da empresa ISPFocus especializada em Tecnologia da Informação e boas práticas para ISPs.</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Sobre_mim&diff=1116 Sobre mim 2026-04-01T20:11:27Z <p>Gondim: </p> <hr /> <div>=== Marcelo Gondim da Cunha ===<br /> [[Arquivo:Gondim paisagem.jpg|esquerda|miniaturadaimagem]]<br /> '''Contribuições e trabalhos:'''<br /> <br /> * Administração de Sistemas Unix-Like desde 1996.<br /> * Consultor na Conectiva S/A - Unidade Rio em 2000.<br /> * Autor do projeto TuxFrw - https://github.com/gondimcodes/tuxfrw e https://github.com/gondimcodes/tuxfrw-nft<br /> * Administração de sistemas BSD pela FreeBSD Brasil em 2010.<br /> * Direção do AS53135 - Nettel Telecomunicações entre 2003 e 2021 atingindo a marca de 41.000 assinantes. Gerando qualidade na entrega de serviços e implantando boas práticas como: <br /> <br /> a) IPv6.<br /> <br /> b) MANRS.<br /> <br /> c) RPKI.<br /> <br /> d) CPEs com firmware baseada na BCOP &lt;nowiki&gt;https://www.m3aawg.org/sites/default/files/lac-bcop-1-m3aawg-v1-portuguese-final.pdf&lt;/nowiki&gt;<br /> <br /> * SOC Specialist na Brasil TecPar (AS262907) de 2022 a 2025. Um milhão de clientes. Responsável pelas estratégias de mitigação anti-DDoS atendendo as Operações de RJ, SP, RS, SC, MT e MS. <br /> <br /> '''Palestras ministradas:'''<br /> <br /> * Semana da Informática UERJ 2002 - TuxFrw.<br /> * CONISLI 2003 - TuxFrw.<br /> * CONISLI 2004 - Fazendo compras com Gentoo Linux - Palestra sobre a distribuição Linux e suas ferramentas fantásticas.<br /> * CONISLI 2004 - OpenVPN - Palestra sobre como criar VPNs seguras com OpenVPN e diferenças entre ele e o IPSec.<br /> * CONISLI 2005 - SPoP (Security Point of Presence) com OpenVPN - Como utilizar túneis encriptados do OpenVPN para acessar a Internet de forma segura, onde quer que esteja.<br /> * SECOMP 2005 UNIFEI - TuxFrw.<br /> <br /> * Debconf19 2019 - [https://debconf19.debconf.org/talks/4-debian-na-vida-de-uma-operadora-de-telecom/ Debian na vida de uma operadora de Telecom], [https://www.youtube.com/watch?v=vQSTslUZy8k&amp;list=PLYUtdmpYPTTJDtwgD8AtxzFJ9t_URhFMK&amp;index=35 vídeo] e [https://salsa.debian.org/debconf-team/public/share/debconf19/raw/master/slides/4-debian-na-vida-de-uma-operadora-de-telecom.pdf?inline=false pdf].<br /> <br /> * [https://www.youtube.com/watch?v=5uOFtkplDts FiqueEmCasaUseDebian - CGNAT com NFTables] e [https://www.youtube.com/watch?v=Wz2IAg6MMlU SysAdmin apps].<br /> <br /> '''Artigos desenvolvidos para a comunidade do Brasil Peering Fórum:'''<br /> <br /> * [https://wiki.brasilpeeringforum.org/w/CGNAT_na_pratica CGNAT na pratica].<br /> * [https://wiki.brasilpeeringforum.org/w/Acesso_via_IPv6_Link-Local Acesso via IPv6 Link-Local].<br /> * [https://wiki.brasilpeeringforum.org/w/MANRS MANRS].<br /> * [https://wiki.brasilpeeringforum.org/w/CGNAT_Bulk_Port_Allocation_com_DPDK CGNAT Bulk Port Allocation com DPDK].<br /> * [https://wiki.brasilpeeringforum.org/w/Servidor_de_Logs Servidor de Logs].<br /> * [https://wiki.brasilpeeringforum.org/w/DNS_Recursivo_Anycast_Hyperlocal DNS Anycast com Hyperlocal].<br /> * [https://wiki.brasilpeeringforum.org/w/Portas_de_Amplifica%C3%A7%C3%A3o_DDoS_e_Botnets Portas de Amplificação DDoS e Botnets]<br /> * [https://wiki.brasilpeeringforum.org/w/Static_Loop_-_um_erro_que_pode_matar_seu_ISP/ITP Static Loop - um erro que pode matar seu ISP/ITP]<br /> * [https://wiki.brasilpeeringforum.org/w/Recomenda%C3%A7%C3%B5es_sobre_Mitiga%C3%A7%C3%A3o_DDoS Recomendações sobre Mitigação DDoS]<br /> * [https://wiki.brasilpeeringforum.org/w/Vazamento_de_prefixos_na_mitiga%C3%A7%C3%A3o_DDoS Vazamento de prefixos na mitigação DDoS]<br /> * [https://wiki.brasilpeeringforum.org/w/Identificando_e_neutralizando_uma_Botnet Identificando e neutralizando uma Botnet]<br /> <br /> '''Tutorial:'''<br /> <br /> * [https://bit.ly/2saumHK Segurança de roteamento: MANRS (Mutually Agreed Norms for Routing Security) - Tutoriais NIC.br em 09/12/2019].<br /> <br /> '''[https://www.manrs.org/about/advisory-group/members/ MANRS Advisory Group Member (2020-2021)]'''.<br /> <br /> [https://www.youtube.com/watch?v=oahQkGx8urY '''Live sobre MANRS com Leonardo Furtado'''].<br /> <br /> Criação da Wiki ISPUP! em 24/12/2022.<br /> <br /> '''Semana de Capacitação 6 do NIC.br 28/04/2023''' - &quot;'''CONCEITOS E IMPLEMENTAÇÃO DE CGNAT&quot;'''. Material [https://semanacap.bcp.nic.br/6-online/ aqui] e vídeo aula [https://www.youtube.com/watch?v=1q7J3NkQVSc aqui].<br /> <br /> '''Semana de Capacitação 10 do NIC.br 01/07/2025''' - &quot;'''Teste para padrões técnicos modernos de Internet e segurança: IPv6, DNSSEC, TLS, HTTPS e HSTS'''&quot;'''.''' Material [https://semanacap.bcp.nic.br/semana-de-capacitacao-online-edicao-10-2025/ aqui] e vídeo aula [https://www.youtube.com/watch?v=55RBnGQhi2o aqui].<br /> <br /> '''IX Fórum Regional Sudeste (Rio de Janeiro) 24/10/2025''' com a palestra &quot;'''Segurança com o pé direito'''&quot; pode ser baixada [https://regional.forum.ix.br/files/apresentacao/arquivo/2307/gondim.pdf aqui].<br /> <br /> '''Fórum BCOP-ICANN Edição Especial DNS 19/12/2025''' com o painel &quot;'''DNS em Ação: Como os provedores estão implantando as Boas Práticas&quot;''' com '''apresentação''' [https://forumbcop.nic.br/files/apresentacao/arquivo/2428/DNS_KINDNS_Reduzido.pdf aqui] e vídeo [https://www.youtube.com/live/GnYK9UOLXr4?t=10257s aqui].<br /> <br /> '''Fórum BCOP Fortaleza''' com a palestra: &quot;'''Recomendações de segurança para provedores&quot;''' com apresentação [https://fortaleza.forumbcop.nic.br/files/apresentacao/arquivo/2487/Marcelo_Gondim_Recomendacoes_seguranca_provedores.pdf aqui] e vídeo [https://youtu.be/Qjgb7P3cG8k?t=9237 aqui]'''.''' Os arquivos anexos de configuração: [https://fortaleza.forumbcop.nic.br/files/apresentacao/arquivo/2489/Marcelo_Gondim_filtros_edge_huawei.pdf filtros_edge_huawei], [https://fortaleza.forumbcop.nic.br/files/apresentacao/arquivo/2490/spoofer.pdf spoofer] e [https://fortaleza.forumbcop.nic.br/files/apresentacao/arquivo/2491/filtros_bng_huawei.pdf filtros_bng_huawei]. <br /> <br /> '''Moeda recebida pelo NIC.br por contribuir com conhecimento palestrando na Semana de Infraestrutura da Internet no Brasil em 2025:'''<br /> [[Arquivo:Moeda1.jpg|nenhum|miniaturadaimagem|407x407px]]<br /> '''Moeda comemorativa de 5 anos recebida pelo NIC.br em 2025 por contribuir com conhecimento para a Semana de Capacitação e Camada 8:'''<br /> [[Arquivo:Moeda2.jpg|nenhum|miniaturadaimagem|407x407px]]<br /> <br /> '''Moeda IX Fórum Fortaleza 2026:'''<br /> [[Arquivo:Frum-bcop-fortaleza-2026 55178462504 o.jpg|esquerda|miniaturadaimagem|470x470px]]<br /> [[Arquivo:Frum-bcop-fortaleza-2026 55178206816 o.jpg|nenhum|miniaturadaimagem|447x447px]]<br /> <br /> <br /> '''Webinar:'''<br /> <br /> Proteção e Mitigação de ataques DDoS em 10/09/2024 às 20:00 UTC -3. Site da chamada [https://gdg.community.dev/events/details/google-gdg-sinop-presents-webinar-ao-vivo-protecao-e-mitigacao-de-ataques-ddos/ aqui] e o vídeo da live no Youtube [https://www.youtube.com/live/7VIaoDQaLQE aqui].<br /> <br /> '''Podcast:'''<br /> <br /> [https://www.youtube.com/live/x4fxtma4eyQ Segurança de Rede e Infraestrutura para 2025: Preparando os ISPs para o futuro!] <br /> <br /> '''Contatos:'''<br /> <br /> Telegram: '''@Marcelo_Gondim'''<br /> <br /> WhatsApp: +55 (22) 99743-9060<br /> <br /> E-mail: '''gondim at gmail.com'''<br /> <br /> Linkedin: https://www.linkedin.com/in/marcelo-gondim-sysadmin/<br /> <br /> Meu Github: https://github.com/gondimcodes<br /> ==Mini-CV==<br /> '''Marcelo Gondim''' começou sua carreira como desenvolvedor de software em COBOL e Clipper entre 1992 e 1995. Em 1996 foi responsável por desenvolver um sistema concorrente com o RENPAC da Embratel para acesso ao SISCOMEX e implantou a Internet para fins comerciais na empresa DATABRAS. Trabalhou como consultor e instrutor de GNU/Linux na Conectiva S/A em 2000. Em 2003 se tornou consultor de diversos Provedores de Internet na Região dos Lagos - RJ e onde acabou se tornando CTO da Nettel Telecomunicações (AS53135) com 42.000 assinantes. Implantou IPv6 iniciando em 2013 e se tornou participante do MANRS com diversas contribuições com artigos e palestras. Trabalhou como Especialista em Redes e SOC (Security Operations Center) na Brasil TecPar AS262907 entre 2022 e 2025, onde implementou boas práticas, tratamentos de incidentes relacionados ao ASN, desenvolveu as estratégias de Mitigação DDoS e uma Rede de DNS Recursivo Anycast espalhada pelo RS, RJ, SP, SC MT e MS, também certificada KINDNS. Fundador da empresa ISPFocus especializada em Tecnologia da Informação e boas práticas para ISPs.</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Sobre_mim&diff=1115 Sobre mim 2026-04-01T20:05:11Z <p>Gondim: </p> <hr /> <div>=== Marcelo Gondim da Cunha ===<br /> [[Arquivo:Gondim paisagem.jpg|esquerda|miniaturadaimagem]]<br /> '''Contribuições e trabalhos:'''<br /> <br /> * Administração de Sistemas Unix-Like desde 1996.<br /> * Consultor na Conectiva S/A - Unidade Rio em 2000.<br /> * Autor do projeto TuxFrw - https://github.com/gondimcodes/tuxfrw e https://github.com/gondimcodes/tuxfrw-nft<br /> * Administração de sistemas BSD pela FreeBSD Brasil em 2010.<br /> * Direção do AS53135 - Nettel Telecomunicações entre 2003 e 2021 atingindo a marca de 41.000 assinantes. Gerando qualidade na entrega de serviços e implantando boas práticas como: <br /> <br /> a) IPv6.<br /> <br /> b) MANRS.<br /> <br /> c) RPKI.<br /> <br /> d) CPEs com firmware baseada na BCOP &lt;nowiki&gt;https://www.m3aawg.org/sites/default/files/lac-bcop-1-m3aawg-v1-portuguese-final.pdf&lt;/nowiki&gt;<br /> <br /> * SOC Specialist na Brasil TecPar (AS262907) de 2022 a 2025. Um milhão de clientes. Responsável pelas estratégias de mitigação anti-DDoS atendendo as Operações de RJ, SP, RS, SC, MT e MS. <br /> <br /> '''Palestras ministradas:'''<br /> <br /> * Semana da Informática UERJ 2002 - TuxFrw.<br /> * CONISLI 2003 - TuxFrw.<br /> * CONISLI 2004 - Fazendo compras com Gentoo Linux - Palestra sobre a distribuição Linux e suas ferramentas fantásticas.<br /> * CONISLI 2004 - OpenVPN - Palestra sobre como criar VPNs seguras com OpenVPN e diferenças entre ele e o IPSec.<br /> * CONISLI 2005 - SPoP (Security Point of Presence) com OpenVPN - Como utilizar túneis encriptados do OpenVPN para acessar a Internet de forma segura, onde quer que esteja.<br /> * SECOMP 2005 UNIFEI - TuxFrw.<br /> <br /> * Debconf19 2019 - [https://debconf19.debconf.org/talks/4-debian-na-vida-de-uma-operadora-de-telecom/ Debian na vida de uma operadora de Telecom], [https://www.youtube.com/watch?v=vQSTslUZy8k&amp;list=PLYUtdmpYPTTJDtwgD8AtxzFJ9t_URhFMK&amp;index=35 vídeo] e [https://salsa.debian.org/debconf-team/public/share/debconf19/raw/master/slides/4-debian-na-vida-de-uma-operadora-de-telecom.pdf?inline=false pdf].<br /> <br /> * [https://www.youtube.com/watch?v=5uOFtkplDts FiqueEmCasaUseDebian - CGNAT com NFTables] e [https://www.youtube.com/watch?v=Wz2IAg6MMlU SysAdmin apps].<br /> <br /> '''Artigos desenvolvidos para a comunidade do Brasil Peering Fórum:'''<br /> <br /> * [https://wiki.brasilpeeringforum.org/w/CGNAT_na_pratica CGNAT na pratica].<br /> * [https://wiki.brasilpeeringforum.org/w/Acesso_via_IPv6_Link-Local Acesso via IPv6 Link-Local].<br /> * [https://wiki.brasilpeeringforum.org/w/MANRS MANRS].<br /> * [https://wiki.brasilpeeringforum.org/w/CGNAT_Bulk_Port_Allocation_com_DPDK CGNAT Bulk Port Allocation com DPDK].<br /> * [https://wiki.brasilpeeringforum.org/w/Servidor_de_Logs Servidor de Logs].<br /> * [https://wiki.brasilpeeringforum.org/w/DNS_Recursivo_Anycast_Hyperlocal DNS Anycast com Hyperlocal].<br /> * [https://wiki.brasilpeeringforum.org/w/Portas_de_Amplifica%C3%A7%C3%A3o_DDoS_e_Botnets Portas de Amplificação DDoS e Botnets]<br /> * [https://wiki.brasilpeeringforum.org/w/Static_Loop_-_um_erro_que_pode_matar_seu_ISP/ITP Static Loop - um erro que pode matar seu ISP/ITP]<br /> * [https://wiki.brasilpeeringforum.org/w/Recomenda%C3%A7%C3%B5es_sobre_Mitiga%C3%A7%C3%A3o_DDoS Recomendações sobre Mitigação DDoS]<br /> * [https://wiki.brasilpeeringforum.org/w/Vazamento_de_prefixos_na_mitiga%C3%A7%C3%A3o_DDoS Vazamento de prefixos na mitigação DDoS]<br /> * [https://wiki.brasilpeeringforum.org/w/Identificando_e_neutralizando_uma_Botnet Identificando e neutralizando uma Botnet]<br /> <br /> '''Tutorial:'''<br /> <br /> * [https://bit.ly/2saumHK Segurança de roteamento: MANRS (Mutually Agreed Norms for Routing Security) - Tutoriais NIC.br em 09/12/2019].<br /> <br /> '''[https://www.manrs.org/about/advisory-group/members/ MANRS Advisory Group Member (2020-2021)]'''.<br /> <br /> [https://www.youtube.com/watch?v=oahQkGx8urY '''Live sobre MANRS com Leonardo Furtado'''].<br /> <br /> Criação da Wiki ISPUP! em 24/12/2022.<br /> <br /> '''Semana de Capacitação 6 do NIC.br 28/04/2023''' - &quot;'''CONCEITOS E IMPLEMENTAÇÃO DE CGNAT&quot;'''. Material [https://semanacap.bcp.nic.br/6-online/ aqui] e vídeo aula [https://www.youtube.com/watch?v=1q7J3NkQVSc aqui].<br /> <br /> '''Semana de Capacitação 10 do NIC.br 01/07/2025''' - &quot;'''Teste para padrões técnicos modernos de Internet e segurança: IPv6, DNSSEC, TLS, HTTPS e HSTS'''&quot;'''.''' Material [https://semanacap.bcp.nic.br/semana-de-capacitacao-online-edicao-10-2025/ aqui] e vídeo aula [https://www.youtube.com/watch?v=55RBnGQhi2o aqui].<br /> <br /> '''IX Fórum Regional Sudeste (Rio de Janeiro) 24/10/2025''' com a palestra &quot;'''Segurança com o pé direito'''&quot; pode ser baixada [https://regional.forum.ix.br/files/apresentacao/arquivo/2307/gondim.pdf aqui].<br /> <br /> '''Fórum BCOP-ICANN Edição Especial DNS 19/12/2025''' com o painel &quot;'''DNS em Ação: Como os provedores estão implantando as Boas Práticas&quot;''' com '''apresentação''' [https://forumbcop.nic.br/files/apresentacao/arquivo/2428/DNS_KINDNS_Reduzido.pdf aqui] e vídeo [https://www.youtube.com/live/GnYK9UOLXr4?t=10257s aqui].<br /> <br /> '''Fórum BCOP Fortaleza''' com a palestra: &quot;'''Recomendações de segurança para provedores&quot;''' com apresentação [https://fortaleza.forumbcop.nic.br/files/apresentacao/arquivo/2487/Marcelo_Gondim_Recomendacoes_seguranca_provedores.pdf aqui] e vídeo [https://youtu.be/Qjgb7P3cG8k?t=9237 aqui]'''.''' Os arquivos anexos de configuração: <br /> <br /> '''Moeda recebida pelo NIC.br por contribuir com conhecimento palestrando na Semana de Infraestrutura da Internet no Brasil em 2025:'''<br /> [[Arquivo:Moeda1.jpg|nenhum|miniaturadaimagem|407x407px]]<br /> '''Moeda comemorativa de 5 anos recebida pelo NIC.br em 2025 por contribuir com conhecimento para a Semana de Capacitação e Camada 8:'''<br /> [[Arquivo:Moeda2.jpg|nenhum|miniaturadaimagem|407x407px]]<br /> <br /> '''Moeda IX Fórum Fortaleza 2026:'''<br /> [[Arquivo:Frum-bcop-fortaleza-2026 55178462504 o.jpg|esquerda|miniaturadaimagem|470x470px]]<br /> [[Arquivo:Frum-bcop-fortaleza-2026 55178206816 o.jpg|nenhum|miniaturadaimagem|447x447px]]<br /> <br /> <br /> '''Webinar:'''<br /> <br /> Proteção e Mitigação de ataques DDoS em 10/09/2024 às 20:00 UTC -3. Site da chamada [https://gdg.community.dev/events/details/google-gdg-sinop-presents-webinar-ao-vivo-protecao-e-mitigacao-de-ataques-ddos/ aqui] e o vídeo da live no Youtube [https://www.youtube.com/live/7VIaoDQaLQE aqui].<br /> <br /> '''Podcast:'''<br /> <br /> [https://www.youtube.com/live/x4fxtma4eyQ Segurança de Rede e Infraestrutura para 2025: Preparando os ISPs para o futuro!] <br /> <br /> '''Contatos:'''<br /> <br /> Telegram: '''@Marcelo_Gondim'''<br /> <br /> WhatsApp: +55 (22) 99743-9060<br /> <br /> E-mail: '''gondim at gmail.com'''<br /> <br /> Linkedin: https://www.linkedin.com/in/marcelo-gondim-sysadmin/<br /> <br /> Meu Github: https://github.com/gondimcodes<br /> ==Mini-CV==<br /> '''Marcelo Gondim''' começou sua carreira como desenvolvedor de software em COBOL e Clipper entre 1992 e 1995. Em 1996 foi responsável por desenvolver um sistema concorrente com o RENPAC da Embratel para acesso ao SISCOMEX e implantou a Internet para fins comerciais na empresa DATABRAS. Trabalhou como consultor e instrutor de GNU/Linux na Conectiva S/A em 2000. Em 2003 se tornou consultor de diversos Provedores de Internet na Região dos Lagos - RJ e onde acabou se tornando CTO da Nettel Telecomunicações (AS53135) com 42.000 assinantes. Implantou IPv6 iniciando em 2013 e se tornou participante do MANRS com diversas contribuições com artigos e palestras. Trabalhou como Especialista em Redes e SOC (Security Operations Center) na Brasil TecPar AS262907 entre 2022 e 2025, onde implementou boas práticas, tratamentos de incidentes relacionados ao ASN, desenvolveu as estratégias de Mitigação DDoS e uma Rede de DNS Recursivo Anycast espalhada pelo RS, RJ, SP, SC MT e MS, também certificada KINDNS. Fundador da empresa ISPFocus especializada em Tecnologia da Informação e boas práticas para ISPs.</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Arquivo:Frum-bcop-fortaleza-2026_55178206816_o.jpg&diff=1114 Arquivo:Frum-bcop-fortaleza-2026 55178206816 o.jpg 2026-04-01T19:21:32Z <p>Gondim: </p> <hr /> <div>Frum-bcop-fortaleza-2026 55178206816 o</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Arquivo:Frum-bcop-fortaleza-2026_55178462504_o.jpg&diff=1113 Arquivo:Frum-bcop-fortaleza-2026 55178462504 o.jpg 2026-04-01T19:20:49Z <p>Gondim: </p> <hr /> <div>Frum-bcop-fortaleza-2026 55178462504 o</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Autenticacao_TOTP_Radius_Tacacs_Debian&diff=1112 Autenticacao TOTP Radius Tacacs Debian 2026-02-07T23:23:51Z <p>Gondim: </p> <hr /> <div>[[Arquivo:Ssh_totp_radius_tacacs.png|semmoldura|482x482px]]{{DISPLAYTITLE:Autenticação TOTP + Radius/Tacacs no Debian}}<br /> __TOC__<br /> == Introdução ==<br /> A administração remota de servidores '''GNU/Linux''' é algo que precisamos estar sempre atentos com a segurança. Filtros de pacotes para bloquear e/ou liberar acessos, ajustes para serviços não ficarem expostos sem necessidade, uso de IPs privados quando possível, aplicar atualizações quando disponíveis, monitoramento dos logs e file system são coisas básicas para todo sysadmin. Boa parte destas tarefas necessitam de acesso remoto aos servidores via '''SSH''' e esse serviço precisa ser bem cuidado para que seu servidor não seja comprometido. Outro fator importante é quando administra diversos servidores em uma empresa juntamente com outros sysadmins e em algum momento alguém é desligado da empresa ou entrou de férias. Imagina ter que entrar em cada servidor para remover ou bloquear os acessos. Imagina fazer isso com 100, 500, 1000 VMs. Neste artigo iremos configurar um servidor Debian para autenticar via '''Radius''' ou '''Tacacs+''' e ainda usar 2FA com Google Authenticator. O '''Radius''' e o '''Tacacs+''' darão controle para administração centralizada da autenticação dos usuários e o '''Google Authenticator''' adiciona uma camada de segurança no acesso '''SSH'''.<br /> <br /> == Pré-requisitos ==<br /> Para que nosso ambiente funcione precisaremos:<br /> <br /> * Um servidor '''Radius''' ou '''Tacacs+''' já em produção. Melhor ainda se estiverem em '''HA (High Availability)''', pois como estamos lidando com acessos críticos de equipamentos e servidores, precisamos garantir que em caso de falha no autenticador principal, um secundário assuma essa função e a operação não seja impactada.<br /> * O servidor precisar ter acesso sainte para a '''Internet''', pode ser através de '''NAT'''. Se faz necessário para instalação dos pacotes e download do projeto '''pam_tacplus''' via '''Github''' caso use autenticação via '''Tacacs+.'''<br /> * Os comandos aqui serão executados em um '''Debian 13 (Trixie)''' mas poderão ser adaptados para serem executados em outras '''distribuições GNU/Linux'''.<br /> <br /> == Banner no SSH ==<br /> Primeiramente é interessante comentar que ter um banner informando que o acesso só é permitido para pessoas autorizadas, é uma boa prática. Então aqui vai um exemplo de banner, basta criar o arquivo '''/etc/ssh/banner''' com o conteúdo abaixo e alterado para o nome da sua Organização e adicionar em '''/etc/ssh/sshd_config''' com o parâmetro: '''Banner''' '''/etc/ssh/banner'''. Na sequência só reiniciar o serviço sshd com: '''systemctl restart sshd'''. <br /> *******************************************************************************<br /> * ISPFocus *<br /> * Este acesso e unica e exclusivamente para pessoas autorizadas. *<br /> * Voce esta prestes a acessar uma area Restrita/Privada, podendo conter *<br /> * informacao confidencial e/ou privilegiada. Este acesso sera monitorado. *<br /> * *<br /> * Se voce nao foi autorizado, desde ja fica notificado de abster-se a *<br /> * divulgar, copiar, distribuir, examinar, de qualquer forma, utilizar a *<br /> * informacao contida neste servidor, por ser ilegal, sujeitando o infrator as *<br /> * penas da lei. *<br /> * *<br /> * Precione &lt;Ctrl-D&gt; se voce NAO foi autorizado. *<br /> *******************************************************************************<br /> *******************************************************************************<br /> * ISPFocus *<br /> * This access is solely and exclusively for authorized personnel. *<br /> * You are about to access a Restricted/Private area, which may contain *<br /> * confidential and/or privileged information. This access will be monitored. *<br /> * *<br /> * If you are not authorized, you are hereby notified to refrain from *<br /> * disclosing, copying, distributing, reviewing, or otherwise using the *<br /> * information contained on this server, as it is illegal and will subject *<br /> * the violator to penalties under the law. *<br /> * *<br /> * Press &lt;Ctrl-D&gt; if you are NOT authorized. *<br /> *******************************************************************************<br /> <br /> == Instalando o Google Authenticator no servidor Debian ==<br /> # apt-get install libpam-google-authenticator -y<br /> É necessário que o usuário seja criado localmente no sistema. Exemplo:<br /> # useradd -m -s /bin/bash gondim<br /> Altere em '''/etc/ssh/sshd''' para que esses parâmetros fiquem assim:<br /> KbdInteractiveAuthentication yes<br /> UsePAM yes<br /> PasswordAuthentication yes<br /> Agora vamos gerar os dados para cadastro no '''Google Authenticator''' instalado no smartphone do usuário '''gondim''':<br /> # su - gondim<br /> $ google-authenticator -C -t -d -f -w 3 -Q UTF8 -r 3 -R 30<br /> [[Arquivo:Qrcode.png|nenhum|miniaturadaimagem|916x916px]]<br /> Quando executamos o comando acima, ele gera informações como neste exemplo. Nele temos o '''QR Code''' que facilita a configuração no '''Google Authenticator''', temos a '''secret key''' que também pode ser usado para cadastro e os códigos de emergência para em caso de perda ou roubo do '''smartphone''', o usuário ainda conseguir logar no sistema. <br /> <br /> Seguiremos agora com um exemplo de configuração para autenticação em Servidor Radius.<br /> <br /> == Instalando e configurando o módulo PAM para autenticação em Radius Server ==<br /> # apt install libpam-radius-auth<br /> Edite o arquivo '''/etc/pam_radius_auth.conf''' e deixe configurado nele o apontamento para seu servidor Radius com a secret:<br /> # server[:port] shared_secret timeout (s)<br /> 10.254.254.6 C5or4Zc49z2R 3<br /> Obs.: no seu servidor Radius você precisará liberar em NAS o IP do seu servidor Debian, senão ele não terá autorização para acessar o Radius.<br /> <br /> == Instalando e configurando o módulo PAM para autenticação em Tacacs+ Server ==<br /> Para essa configuração precisaremos do módulo '''pam_tacplus''' só que ele não está mais presente nos pacotes do Debian. Nesse caso baixaremos o código fonte do '''Github''', compilaremos e instalaremos no '''Debian'''.<br /> <br /> Instalando os pacotes que precisaremos:<br /> # apt install git autoconf build-essential libtool automake libpam-dev libssl-dev gnulib<br /> Baixando do repositório do '''Github''':<br /> # cd /usr/local/src<br /> # git clone &lt;nowiki&gt;https://github.com/kravietz/pam_tacplus.git&lt;/nowiki&gt;<br /> Compilando e instalando o '''pam_tacplus''':<br /> # cd pam-tacplus<br /> # gnulib-tool --makefile-name=Makefile.gnulib --libtool --import fcntl crypto/md5 array-list list xlist getrandom realloc-posix explicit_bzero xalloc getopt-gnu<br /> # autoreconf -f -v -i<br /> # ./configure --libdir=/usr/lib/x86_64-linux-gnu<br /> # make<br /> # make install<br /> O módulo usa o serviço PAP no Tacacs+ para autenticação e por isso precisa configurar no seu servidor Tacacs+. Caso esteja usando um servidor Tacacs+ em um GNU/Linux, precisará definir no arquivo de configuração '''tac_plus.conf''' se o '''pap''' usará usuários criados localmente no servidor pelo '''useradd''' ou se usará usuários no próprio arquivo '''tac_plus.conf'''. Abaixo mostro os 2 exemplos:<br /> user = gondim {<br /> member = cgr<br /> pap = file /etc/passwd<br /> }<br /> Neste exemplo acima o usuário foi criado no servidor Tacacs+ com o comando: '''useradd -s /bin/false &lt;user&gt;''' e depois setada a senha com: '''passwd &lt;user&gt;'''.<br /> <br /> OU<br /> user = gondim {<br /> member = cgr<br /> pap = cleartext &lt;senha_forte&gt;<br /> }<br /> Nesse último exemplo você precisará definir a senha do usuário no lugar de '''&lt;senha_forte&gt;'''.<br /> <br /> == Alterando o PAM do Debian GNU/Linux para autenticar usando Google Authenticator e Radius Server ==<br /> Em '''/etc/pam.d/sshd''', comente a linha com '''@include common-auth''' e adicione antes:<br /> auth required pam_radius_auth.so<br /> auth required pam_google_authenticator.so<br /> Nesse momento você poderá testar o '''SSH''' para o seu servidor e verá algo assim:<br /> [[Arquivo:Tela autenticacao2.png|nenhum|miniaturadaimagem|740x740px]]<br /> Primeiro o sistema irá pedir a sua '''senha cadastrada no seu Radius Server''' e depois o seu '''token''' do '''Google Authenticator''' e somente se passar o correto em ambas é que será liberado o acesso.<br /> <br /> Caso necessite que o usuário se torne root utilizando '''sudo''', faça a mesma configuração em '''/etc/pam.d/sudo-i''' e adicione o usuário no '''grupo sudo''' com o comando: '''usermod -aG sudo &lt;user&gt;'''.<br /> <br /> == Alterando o PAM do Debian GNU/Linux para autenticar usando Google Authenticator e Tacacs+ Server ==<br /> Para configurarmos a autenticação usando '''Tacacs+''' e '''Google Authenticator''', faremos a mesma configuração em '''/etc/pam.d/sshd''' e '''/etc/pam.d/sudo-i''' só que um pouco diferente e não esquecer de comentar a linha '''@include common-auth'''.<br /> auth required pam_tacplus.so server=10.254.254.6 secret=&lt;senha_forte&gt;<br /> account required pam_tacplus.so server=10.254.254.6 secret=&lt;senha_forte&gt; service=shell<br /> session required pam_tacplus.so server=10.254.254.6 secret=&lt;senha_forte&gt; service=shell<br /> auth required pam_google_authenticator.so<br /> Acima o parâmetro '''server=''' é o IP do seu servidor '''Tacacs+''' e '''secret=''' é a '''secret key''' utilizada no seu servidor '''Tacacs+'''.<br /> <br /> Gostou deste artigo? Se lhe foi útil compartilhe também com seus colegas este conteúdo. Precisa de configurar um servidor Radius/Tacacs+ para autenticar usuários em seus sistemas e equipamentos? Nos procure em https://ispfocus.net.br ou através do QR Code abaixo.<br /> [[Arquivo:Qrcode ispfocus.png|nenhum|miniaturadaimagem|283x283px]]<br /> [[Categoria:Artigos Técnicos]]</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Autenticacao_TOTP_Radius_Tacacs_Debian&diff=1111 Autenticacao TOTP Radius Tacacs Debian 2026-02-07T16:57:43Z <p>Gondim: </p> <hr /> <div>[[Arquivo:Ssh_totp_radius_tacacs.png|semmoldura|482x482px]]{{DISPLAYTITLE:Autenticação TOTP + Radius/Tacacs no Debian}}<br /> __TOC__<br /> == Introdução ==<br /> A administração remota de servidores '''GNU/Linux''' é algo que precisamos estar sempre atentos com a segurança. Filtros de pacotes para bloquear e/ou liberar acessos, ajustes para serviços não ficarem expostos sem necessidade, uso de IPs privados quando possível, aplicar atualizações quando disponíveis, monitoramento dos logs e file system são coisas básicas para todo sysadmin. Boa parte destas tarefas necessitam de acesso remoto aos servidores via '''SSH''' e esse serviço precisa ser bem cuidado para que seu servidor não seja comprometido. Outro fator importante é quando administra diversos servidores em uma empresa juntamente com outros sysadmins e em algum momento alguém é desligado da empresa ou entrou de férias. Imagina ter que entrar em cada servidor para remover ou bloquear os acessos. Imagina fazer isso com 100, 500, 1000 VMs. Neste artigo iremos configurar um servidor Debian para autenticar via '''Radius''' ou '''Tacacs+''' e ainda usar 2FA com Google Authenticator. O '''Radius''' e o '''Tacacs+''' darão controle para administração centralizada da autenticação dos usuários e o '''Google Authenticator''' adiciona uma camada de segurança no acesso '''SSH'''.<br /> <br /> == Pré-requisitos ==<br /> Para que nosso ambiente funcione precisaremos:<br /> <br /> * Um servidor '''Radius''' ou '''Tacacs+''' já em produção. Melhor ainda se estiverem em '''HA (High Availability)''', pois como estamos lidando com acessos críticos de equipamentos e servidores, precisamos garantir que em caso de falha no autenticador principal, um secundário assuma essa função e a operação não seja impactada.<br /> * O servidor precisar ter acesso sainte para a '''Internet''', pode ser através de '''NAT'''. Se faz necessário para instalação dos pacotes e download do projeto '''pam_tacplus''' via '''Github''' caso use autenticação via '''Tacacs+.'''<br /> * Os comandos aqui serão executados em um '''Debian 13 (Trixie)''' mas poderão ser adaptados para serem executados em outras '''distribuições GNU/Linux'''.<br /> <br /> == Banner no SSH ==<br /> Primeiramente é interessante comentar que ter um banner informando que o acesso só é permitido para pessoas autorizadas, é uma boa prática. Então aqui vai um exemplo de banner, basta criar o arquivo '''/etc/ssh/banner''' com o conteúdo abaixo e alterado para o nome da sua Organização e adicionar em '''/etc/ssh/sshd_config''' com o parâmetro: '''Banner''' '''/etc/ssh/banner'''. Na sequência só reiniciar o serviço sshd com: '''systemctl restart sshd'''. <br /> *******************************************************************************<br /> * ISPFocus *<br /> * Este acesso e unica e exclusivamente para pessoas autorizadas. *<br /> * Voce esta prestes a acessar uma area Restrita/Privada, podendo conter *<br /> * informacao confidencial e/ou privilegiada. Este acesso sera monitorado. *<br /> * *<br /> * Se voce nao foi autorizado, desde ja fica notificado de abster-se a *<br /> * divulgar, copiar, distribuir, examinar, de qualquer forma, utilizar a *<br /> * informacao contida neste servidor, por ser ilegal, sujeitando o infrator as *<br /> * penas da lei. *<br /> * *<br /> * Precione &lt;Ctrl-D&gt; se voce NAO foi autorizado. *<br /> *******************************************************************************<br /> *******************************************************************************<br /> * ISPFocus *<br /> * This access is solely and exclusively for authorized personnel. *<br /> * You are about to access a Restricted/Private area, which may contain *<br /> * confidential and/or privileged information. This access will be monitored. *<br /> * *<br /> * If you are not authorized, you are hereby notified to refrain from *<br /> * disclosing, copying, distributing, reviewing, or otherwise using the *<br /> * information contained on this server, as it is illegal and will subject *<br /> * the violator to penalties under the law. *<br /> * *<br /> * Press &lt;Ctrl-D&gt; if you are NOT authorized. *<br /> *******************************************************************************<br /> <br /> == Instalando o Google Authenticator no servidor Debian ==<br /> # apt-get install libpam-google-authenticator -y<br /> É necessário que o usuário seja criado localmente no sistema. Exemplo:<br /> # useradd -m -s /bin/bash gondim<br /> Altere em '''/etc/ssh/sshd''' para que esses parâmetros fiquem assim:<br /> KbdInteractiveAuthentication yes<br /> UsePAM yes<br /> PasswordAuthentication yes<br /> Agora vamos gerar os dados para cadastro no '''Google Authenticator''' instalado no smartphone do usuário '''gondim''':<br /> # su - gondim<br /> $ google-authenticator -C -t -d -f -w 3 -Q UTF8 -r 3 -R 30<br /> [[Arquivo:Qrcode.png|nenhum|miniaturadaimagem|916x916px]]<br /> Quando executamos o comando acima, ele gera informações como neste exemplo. Nele temos o '''QR Code''' que facilita a configuração no '''Google Authenticator''', temos a '''secret key''' que também pode ser usado para cadastro e os códigos de emergência para em caso de perda ou roubo do '''smartphone''', o usuário ainda conseguir logar no sistema. <br /> <br /> Seguiremos agora com um exemplo de configuração para autenticação em Servidor Radius.<br /> <br /> == Instalando e configurando o módulo PAM para autenticação em Radius Server ==<br /> # apt install libpam-radius-auth<br /> Edite o arquivo '''/etc/pam_radius_auth.conf''' e deixe configurado nele o apontamento para seu servidor Radius com a secret:<br /> # server[:port] shared_secret timeout (s)<br /> 10.254.254.6 C5or4Zc49z2R 3<br /> Obs.: no seu servidor Radius você precisará liberar em NAS o IP do seu servidor Debian, senão ele não terá autorização para acessar o Radius.<br /> <br /> == Instalando e configurando o módulo PAM para autenticação em Tacacs+ Server ==<br /> Para essa configuração precisaremos do módulo '''pam_tacplus''' só que ele não está mais presente nos pacotes do Debian. Nesse caso baixaremos o código fonte do '''Github''', compilaremos e instalaremos no '''Debian'''.<br /> <br /> Instalando os pacotes que precisaremos:<br /> # apt install git autoconf build-essential libtool automake libpam-dev libssl-dev gnulib<br /> Baixando do repositório do '''Github''':<br /> # cd /usr/local/src<br /> # git clone &lt;nowiki&gt;https://github.com/kravietz/pam_tacplus.git&lt;/nowiki&gt;<br /> Compilando e instalando o '''pam_tacplus''':<br /> # cd pam-tacplus<br /> # gnulib-tool --makefile-name=Makefile.gnulib --libtool --import fcntl crypto/md5 array-list list xlist getrandom realloc-posix explicit_bzero xalloc getopt-gnu<br /> # autoreconf -f -v -i<br /> # ./configure --libdir=/usr/lib/x86_64-linux-gnu<br /> # make<br /> # make install<br /> O módulo usa o serviço PAP no Tacacs+ para autenticação e por isso precisa configurar no seu servidor Tacacs+. Caso esteja usando um servidor Tacacs+ em um GNU/Linux, precisará definir no arquivo de configuração '''tac_plus.conf''' se o '''pap''' usará usuários criados localmente no servidor pelo '''useradd''' ou se usará usuários no próprio arquivo '''tac_plus.conf'''. Abaixo mostro os 2 exemplos:<br /> user = gondim {<br /> member = cgr<br /> pap = file /etc/passwd<br /> }<br /> Neste exemplo acima o usuário foi criado no servidor Tacacs+ com o comando: '''useradd -s /bin/false &lt;user&gt;''' e depois setada a senha com: '''passwd &lt;user&gt;'''.<br /> <br /> OU<br /> user = gondim {<br /> member = cgr<br /> pap = cleartext &lt;senha_forte&gt;<br /> }<br /> Nesse último exemplo você precisará definir a senha do usuário no lugar de '''&lt;senha_forte&gt;'''.<br /> <br /> == Alterando o PAM do Debian GNU/Linux para autenticar usando Google Authenticator e Radius Server ==<br /> Em '''/etc/pam.d/sshd''', comente a linha com '''@include common-auth''' e adicione antes:<br /> auth required pam_radius_auth.so<br /> auth required pam_google_authenticator.so<br /> Nesse momento você poderá testar o '''SSH''' para o seu servidor e verá algo assim:<br /> [[Arquivo:Tela autenticacao2.png|nenhum|miniaturadaimagem|740x740px]]<br /> Primeiro o sistema irá pedir a sua '''senha cadastrada no seu Radius Server''' e depois o seu '''token''' do '''Google Authenticator''' e somente se passar o correto em ambas é que será liberado o acesso.<br /> <br /> Caso necessite que o usuário se torne root utilizando '''sudo''', faça a mesma configuração em '''/etc/pam.d/sudo-i''' e adicione o usuário no '''grupo sudo''' com o comando: '''usermod -aG sudo &lt;user&gt;'''.<br /> <br /> == Alterando o PAM do Debian GNU/Linux para autenticar usando Google Authenticator e Tacacs+ Server ==<br /> Para configurarmos a autenticação usando '''Tacacs+''' e '''Google Authenticator''', faremos a mesma configuração em '''/etc/pam.d/sshd''' e '''/etc/pam.d/sudo-i''' só que um pouco diferente e não esquecer de comentar a linha '''@include common-auth'''.<br /> auth required pam_tacplus.so server=10.254.254.6 secret=&lt;senha_forte&gt;<br /> account sufficient pam_tacplus.so server=10.254.254.6 secret=&lt;senha_forte&gt; service=shell<br /> session sufficient pam_tacplus.so server=10.254.254.6 secret=&lt;senha_forte&gt; service=shell<br /> auth required pam_google_authenticator.so<br /> Acima o parâmetro '''server=''' é o IP do seu servidor '''Tacacs+''' e '''secret=''' é a '''secret key''' utilizada no seu servidor '''Tacacs+'''.<br /> <br /> Gostou deste artigo? Se lhe foi útil compartilhe também com seus colegas este conteúdo. Precisa de configurar um servidor Radius/Tacacs+ para autenticar usuários em seus sistemas e equipamentos? Nos procure em https://ispfocus.net.br ou através do QR Code abaixo.<br /> [[Arquivo:Qrcode ispfocus.png|nenhum|miniaturadaimagem|283x283px]]<br /> [[Categoria:Artigos Técnicos]]</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Autenticacao_TOTP_Radius_Tacacs_Debian&diff=1110 Autenticacao TOTP Radius Tacacs Debian 2026-02-07T16:53:21Z <p>Gondim: </p> <hr /> <div>[[Arquivo:Ssh_totp_radius_tacacs.png|semmoldura|482x482px]]{{DISPLAYTITLE:Autenticação TOTP + Radius/Tacacs no Debian}}<br /> __TOC__<br /> == Introdução ==<br /> A administração remota de servidores '''GNU/Linux''' é algo que precisamos estar sempre atentos com a segurança. Filtros de pacotes para bloquear e/ou liberar acessos, ajustes para serviços não ficarem expostos sem necessidade, uso de IPs privados quando possível, aplicar atualizações quando disponíveis, monitoramento dos logs e file system são coisas básicas para todo sysadmin. Boa parte destas tarefas necessitam de acesso remoto aos servidores via '''SSH''' e esse serviço precisa ser bem cuidado para que seu servidor não seja comprometido. Outro fator importante é quando administra diversos servidores em uma empresa juntamente com outros sysadmins e em algum momento alguém é desligado da empresa ou entrou de férias. Imagina ter que entrar em cada servidor para remover ou bloquear os acessos. Imagina fazer isso com 100, 500, 1000 VMs. Neste artigo iremos configurar um servidor Debian para autenticar via '''Radius''' ou '''Tacacs+''' e ainda usar 2FA com Google Authenticator. O '''Radius''' e o '''Tacacs+''' darão controle para administração centralizada da autenticação dos usuários e o '''Google Authenticator''' adiciona uma camada de segurança no acesso '''SSH'''.<br /> <br /> == Pré-requisitos ==<br /> Para que nosso ambiente funcione precisaremos:<br /> <br /> * Um servidor '''Radius''' ou '''Tacacs+''' já em produção. Melhor ainda se estiverem em '''HA (High Availability)''', pois como estamos lidando com acessos críticos de equipamentos e servidores, precisamos garantir que em caso de falha no autenticador principal, um secundário assuma essa função e a operação não seja impactada.<br /> * O servidor precisar ter acesso sainte para a '''Internet''', pode ser através de '''NAT'''. Se faz necessário para instalação dos pacotes e download do projeto '''pam_tacplus''' via '''Github''' caso use autenticação via '''Tacacs+.'''<br /> * Os comandos aqui serão executados em um '''Debian 13 (Trixie)''' mas poderão ser adaptados para serem executados em outras '''distribuições GNU/Linux'''.<br /> <br /> == Banner no SSH ==<br /> Primeiramente é interessante comentar que ter um banner informando que o acesso só é permitido para pessoas autorizadas, é uma boa prática. Então aqui vai um exemplo de banner, basta criar o arquivo '''/etc/ssh/banner''' com o conteúdo abaixo e alterado para o nome da sua Organização e adicionar em '''/etc/ssh/sshd_config''' com o parâmetro: '''Banner''' '''/etc/ssh/banner'''. Na sequência só reiniciar o serviço sshd com: '''systemctl restart sshd'''. <br /> *******************************************************************************<br /> * ISPFocus *<br /> * Este acesso e unica e exclusivamente para pessoas autorizadas. *<br /> * Voce esta prestes a acessar uma area Restrita/Privada, podendo conter *<br /> * informacao confidencial e/ou privilegiada. Este acesso sera monitorado. *<br /> * *<br /> * Se voce nao foi autorizado, desde ja fica notificado de abster-se a *<br /> * divulgar, copiar, distribuir, examinar, de qualquer forma, utilizar a *<br /> * informacao contida neste servidor, por ser ilegal, sujeitando o infrator as *<br /> * penas da lei. *<br /> * *<br /> * Precione &lt;Ctrl-D&gt; se voce NAO foi autorizado. *<br /> *******************************************************************************<br /> *******************************************************************************<br /> * ISPFocus *<br /> * This access is solely and exclusively for authorized personnel. *<br /> * You are about to access a Restricted/Private area, which may contain *<br /> * confidential and/or privileged information. This access will be monitored. *<br /> * *<br /> * If you are not authorized, you are hereby notified to refrain from *<br /> * disclosing, copying, distributing, reviewing, or otherwise using the *<br /> * information contained on this server, as it is illegal and will subject *<br /> * the violator to penalties under the law. *<br /> * *<br /> * Press &lt;Ctrl-D&gt; if you are NOT authorized. *<br /> *******************************************************************************<br /> <br /> == Instalando o Google Authenticator no servidor Debian ==<br /> # apt-get install libpam-google-authenticator -y<br /> É necessário que o usuário seja criado localmente no sistema. Exemplo:<br /> # useradd -m -s /bin/bash gondim<br /> Altere em '''/etc/ssh/sshd''' para que esses parâmetros fiquem assim:<br /> KbdInteractiveAuthentication yes<br /> UsePAM yes<br /> PasswordAuthentication yes<br /> Agora vamos gerar os dados para cadastro no '''Google Authenticator''' instalado no smartphone do usuário '''gondim''':<br /> # su - gondim<br /> $ google-authenticator -C -t -d -f -w 3 -Q UTF8 -r 3 -R 30<br /> [[Arquivo:Qrcode.png|nenhum|miniaturadaimagem|916x916px]]<br /> Quando executamos o comando acima, ele gera informações como neste exemplo. Nele temos o '''QR Code''' que facilita a configuração no '''Google Authenticator''', temos a '''secret key''' que também pode ser usado para cadastro e os códigos de emergência para em caso de perda ou roubo do '''smartphone''', o usuário ainda conseguir logar no sistema. <br /> <br /> Seguiremos agora com um exemplo de configuração para autenticação em Servidor Radius.<br /> <br /> == Instalando e configurando o módulo PAM para autenticação em Radius Server ==<br /> # apt install libpam-radius-auth<br /> Edite o arquivo '''/etc/pam_radius_auth.conf''' e deixe configurado nele o apontamento para seu servidor Radius com a secret:<br /> # server[:port] shared_secret timeout (s)<br /> 10.254.254.6 C5or4Zc49z2R 3<br /> Obs.: no seu servidor Radius você precisará liberar em NAS o IP do seu servidor Debian, senão ele não terá autorização para acessar o Radius.<br /> <br /> == Instalando e configurando o módulo PAM para autenticação em Tacacs+ Server ==<br /> Para essa configuração precisaremos do módulo '''pam_tacplus''' só que ele não está mais presente nos pacotes do Debian. Nesse caso baixaremos o código fonte do '''Github''', compilaremos e instalaremos no '''Debian'''.<br /> <br /> Instalando os pacotes que precisaremos:<br /> # apt install git autoconf build-essential libtool automake libpam-dev libssl-dev gnulib<br /> Baixando do repositório do '''Github''':<br /> # cd /usr/local/src<br /> # git clone &lt;nowiki&gt;https://github.com/kravietz/pam_tacplus.git&lt;/nowiki&gt;<br /> Compilando e instalando o '''pam_tacplus''':<br /> # cd pam-tacplus<br /> # gnulib-tool --makefile-name=Makefile.gnulib --libtool --import fcntl crypto/md5 array-list list xlist getrandom realloc-posix explicit_bzero xalloc getopt-gnu<br /> # autoreconf -f -v -i<br /> # ./configure --libdir=/usr/lib/x86_64-linux-gnu<br /> # make<br /> # make install<br /> O módulo usa o serviço PAP no Tacacs+ para autenticação e por isso precisa configurar no seu servidor Tacacs+. Caso esteja usando um servidor Tacacs+ em um GNU/Linux, precisará definir no arquivo de configuração '''tac_plus.conf''' se o '''pap''' usará usuários criados localmente no servidor pelo '''useradd''' ou se usará usuários no próprio arquivo '''tac_plus.conf'''. Abaixo mostro os 2 exemplos:<br /> user = gondim {<br /> member = cgr<br /> pap = file /etc/passwd<br /> }<br /> Neste exemplo acima o usuário foi criado no servidor Tacacs+ com o comando: '''useradd -s /bin/false &lt;user&gt;''' e depois setada a senha com: '''passwd &lt;user&gt;'''.<br /> <br /> OU<br /> user = gondim {<br /> member = cgr<br /> pap = cleartext &lt;senha_forte&gt;<br /> }<br /> Nesse último exemplo você precisará definir a senha do usuário no lugar de '''&lt;senha_forte&gt;'''.<br /> <br /> == Alterando o PAM do Debian GNU/Linux para autenticar usando Google Authenticator e Radius Server ==<br /> Em '''/etc/pam.d/sshd''', comente a linha com '''@include common-auth''' e adicione antes:<br /> auth required pam_radius_auth.so<br /> auth required pam_google_authenticator.so<br /> Nesse momento você poderá testar o '''SSH''' para o seu servidor e verá algo assim:<br /> [[Arquivo:Tela autenticacao2.png|nenhum|miniaturadaimagem|740x740px]]<br /> Primeiro o sistema irá pedir a sua '''senha cadastrada no seu Radius Server''' e depois o seu '''token''' do '''Google Authenticator''' e somente se passar o correto em ambas é que será liberado o acesso.<br /> <br /> Caso necessite que o usuário se torne root utilizando '''sudo''', faça a mesma configuração em '''/etc/pam.d/sudo-i''' e adicione o usuário no '''grupo sudo''' com o comando: '''usermod -aG sudo &lt;user&gt;'''.<br /> <br /> == Alterando o PAM do Debian GNU/Linux para autenticar usando Google Authenticator e Tacacs+ Server ==<br /> Para configurarmos a autenticação usando '''Tacacs+''' e '''Google Authenticator''', faremos a mesma configuração em '''/etc/pam.d/sshd''' e '''/etc/pam.d/sudo-i''' só que um pouco diferente e não esquecer de comentar a linha '''@include common-auth'''.<br /> auth required pam_tacplus.so server=10.254.254.6 secret=&lt;senha_forte&gt;<br /> auth required pam_google_authenticator.so<br /> account sufficient pam_tacplus.so server=10.254.254.6 secret=&lt;senha_forte&gt; service=shell<br /> session sufficient pam_tacplus.so server=10.254.254.6 secret=&lt;senha_forte&gt; service=shell<br /> Acima o parâmetro '''server=''' é o IP do seu servidor '''Tacacs+''' e '''secret=''' é a '''secret key''' utilizada no seu servidor '''Tacacs+'''.<br /> <br /> Gostou deste artigo? Se lhe foi útil compartilhe também com seus colegas este conteúdo. Precisa de configurar um servidor Radius/Tacacs+ para autenticar usuários em seus sistemas e equipamentos? Nos procure em https://ispfocus.net.br ou através do QR Code abaixo.<br /> [[Arquivo:Qrcode ispfocus.png|nenhum|miniaturadaimagem|283x283px]]<br /> [[Categoria:Artigos Técnicos]]</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Autenticacao_TOTP_Radius_Tacacs_Debian&diff=1109 Autenticacao TOTP Radius Tacacs Debian 2026-02-06T16:14:30Z <p>Gondim: </p> <hr /> <div>[[Arquivo:Ssh_totp_radius_tacacs.png|semmoldura|482x482px]]{{DISPLAYTITLE:Autenticação TOTP + Radius/Tacacs no Debian}}<br /> __TOC__<br /> == Introdução ==<br /> A administração remota de servidores '''GNU/Linux''' é algo que precisamos estar sempre atentos com a segurança. Filtros de pacotes para bloquear e/ou liberar acessos, ajustes para serviços não ficarem expostos sem necessidade, uso de IPs privados quando possível, aplicar atualizações quando disponíveis, monitoramento dos logs e file system são coisas básicas para todo sysadmin. Boa parte destas tarefas necessitam de acesso remoto aos servidores via '''SSH''' e esse serviço precisa ser bem cuidado para que seu servidor não seja comprometido. Outro fator importante é quando administra diversos servidores em uma empresa juntamente com outros sysadmins e em algum momento alguém é desligado da empresa ou entrou de férias. Imagina ter que entrar em cada servidor para remover ou bloquear os acessos. Imagina fazer isso com 100, 500, 1000 VMs. Neste artigo iremos configurar um servidor Debian para autenticar via '''Radius''' ou '''Tacacs+''' e ainda usar 2FA com Google Authenticator. O '''Radius''' e o '''Tacacs+''' darão controle para administração centralizada da autenticação dos usuários e o '''Google Authenticator''' adiciona uma camada de segurança no acesso '''SSH'''.<br /> <br /> == Pré-requisitos ==<br /> Para que nosso ambiente funcione precisaremos:<br /> <br /> * Um servidor '''Radius''' ou '''Tacacs+''' já em produção. Melhor ainda se estiverem em '''HA (High Availability)''', pois como estamos lidando com acessos críticos de equipamentos e servidores, precisamos garantir que em caso de falha no autenticador principal, um secundário assuma essa função e a operação não seja impactada.<br /> * O servidor precisar ter acesso sainte para a '''Internet''', pode ser através de '''NAT'''. Se faz necessário para instalação dos pacotes e download do projeto '''pam_tacplus''' via '''Github''' caso use autenticação via '''Tacacs+.'''<br /> * Os comandos aqui serão executados em um '''Debian 13 (Trixie)''' mas poderão ser adaptados para serem executados em outras '''distribuições GNU/Linux'''.<br /> <br /> == Banner no SSH ==<br /> Primeiramente é interessante comentar que ter um banner informando que o acesso só é permitido para pessoas autorizadas, é uma boa prática. Então aqui vai um exemplo de banner, basta criar o arquivo '''/etc/ssh/banner''' com o conteúdo abaixo e alterado para o nome da sua Organização e adicionar em '''/etc/ssh/sshd_config''' com o parâmetro: '''Banner''' '''/etc/ssh/banner'''. Na sequência só reiniciar o serviço sshd com: '''systemctl restart sshd'''. <br /> *******************************************************************************<br /> * ISPFocus *<br /> * Este acesso e unica e exclusivamente para pessoas autorizadas. *<br /> * Voce esta prestes a acessar uma area Restrita/Privada, podendo conter *<br /> * informacao confidencial e/ou privilegiada. Este acesso sera monitorado. *<br /> * *<br /> * Se voce nao foi autorizado, desde ja fica notificado de abster-se a *<br /> * divulgar, copiar, distribuir, examinar, de qualquer forma, utilizar a *<br /> * informacao contida neste servidor, por ser ilegal, sujeitando o infrator as *<br /> * penas da lei. *<br /> * *<br /> * Precione &lt;Ctrl-D&gt; se voce NAO foi autorizado. *<br /> *******************************************************************************<br /> *******************************************************************************<br /> * ISPFocus *<br /> * This access is solely and exclusively for authorized personnel. *<br /> * You are about to access a Restricted/Private area, which may contain *<br /> * confidential and/or privileged information. This access will be monitored. *<br /> * *<br /> * If you are not authorized, you are hereby notified to refrain from *<br /> * disclosing, copying, distributing, reviewing, or otherwise using the *<br /> * information contained on this server, as it is illegal and will subject *<br /> * the violator to penalties under the law. *<br /> * *<br /> * Press &lt;Ctrl-D&gt; if you are NOT authorized. *<br /> *******************************************************************************<br /> <br /> == Instalando o Google Authenticator no servidor Debian ==<br /> # apt-get install libpam-google-authenticator -y<br /> É necessário que o usuário seja criado localmente no sistema. Exemplo:<br /> # useradd -m -s /bin/bash gondim<br /> Altere em '''/etc/ssh/sshd''' para que esses parâmetros fiquem assim:<br /> KbdInteractiveAuthentication yes<br /> UsePAM yes<br /> PasswordAuthentication yes<br /> Agora vamos gerar os dados para cadastro no '''Google Authenticator''' instalado no smartphone do usuário '''gondim''':<br /> # su - gondim<br /> $ google-authenticator -C -t -d -f -w 3 -Q UTF8 -r 3 -R 30<br /> [[Arquivo:Qrcode.png|nenhum|miniaturadaimagem|916x916px]]<br /> Quando executamos o comando acima, ele gera informações como neste exemplo. Nele temos o '''QR Code''' que facilita a configuração no '''Google Authenticator''', temos a '''secret key''' que também pode ser usado para cadastro e os códigos de emergência para em caso de perda ou roubo do '''smartphone''', o usuário ainda conseguir logar no sistema. <br /> <br /> Seguiremos agora com um exemplo de configuração para autenticação em Servidor Radius.<br /> <br /> == Instalando e configurando o módulo PAM para autenticação em Radius Server ==<br /> # apt install libpam-radius-auth<br /> Edite o arquivo '''/etc/pam_radius_auth.conf''' e deixe configurado nele o apontamento para seu servidor Radius com a secret:<br /> # server[:port] shared_secret timeout (s)<br /> 10.254.254.6 C5or4Zc49z2R 3<br /> Obs.: no seu servidor Radius você precisará liberar em NAS o IP do seu servidor Debian, senão ele não terá autorização para acessar o Radius.<br /> <br /> == Instalando e configurando o módulo PAM para autenticação em Tacacs+ Server ==<br /> Para essa configuração precisaremos do módulo '''pam_tacplus''' só que ele não está mais presente nos pacotes do Debian. Nesse caso baixaremos o código fonte do '''Github''', compilaremos e instalaremos no '''Debian'''.<br /> <br /> Instalando os pacotes que precisaremos:<br /> # apt install git autoconf build-essential libtool automake libpam-dev libssl-dev gnulib<br /> Baixando do repositório do '''Github''':<br /> # cd /usr/local/src<br /> # git clone &lt;nowiki&gt;https://github.com/kravietz/pam_tacplus.git&lt;/nowiki&gt;<br /> Compilando e instalando o '''pam_tacplus''':<br /> # cd pam-tacplus<br /> # gnulib-tool --makefile-name=Makefile.gnulib --libtool --import fcntl crypto/md5 array-list list xlist getrandom realloc-posix explicit_bzero xalloc getopt-gnu<br /> # autoreconf -f -v -i<br /> # ./configure --libdir=/usr/lib/x86_64-linux-gnu<br /> # make<br /> # make install<br /> O módulo usa o serviço PAP no Tacacs+ para autenticação e por isso precisa configurar no seu servidor Tacacs+. Caso esteja usando um servidor Tacacs+ em um GNU/Linux, precisará definir no arquivo de configuração '''tac_plus.conf''' se o '''pap''' usará usuários criados localmente no servidor pelo '''useradd''' ou se usará usuários no próprio arquivo '''tac_plus.conf'''. Abaixo mostro os 2 exemplos:<br /> user = gondim {<br /> member = cgr<br /> pap = file /etc/passwd<br /> }<br /> Neste exemplo acima o usuário foi criado no servidor Tacacs+ com o comando: '''useradd -s /bin/false &lt;user&gt;''' e depois setada a senha com: '''passwd &lt;user&gt;'''.<br /> <br /> OU<br /> user = gondim {<br /> member = cgr<br /> pap = cleartext &lt;senha_forte&gt;<br /> }<br /> Nesse último exemplo você precisará definir a senha do usuário no lugar de '''&lt;senha_forte&gt;'''.<br /> <br /> == Alterando o PAM do Debian GNU/Linux para autenticar usando Google Authenticator e Radius Server ==<br /> Em '''/etc/pam.d/sshd''', comente a linha com '''@include common-auth''' e adicione antes:<br /> auth required pam_radius_auth.so<br /> auth required pam_google_authenticator.so<br /> Nesse momento você poderá testar o '''SSH''' para o seu servidor e verá algo assim:<br /> [[Arquivo:Tela autenticacao2.png|nenhum|miniaturadaimagem|740x740px]]<br /> Primeiro o sistema irá pedir a sua '''senha cadastrada no seu Radius Server''' e depois o seu '''token''' do '''Google Authenticator''' e somente se passar o correto em ambas é que será liberado o acesso.<br /> <br /> Caso necessite que o usuário se torne root utilizando '''sudo''', faça a mesma configuração em '''/etc/pam.d/sudo-i''' e adicione o usuário no '''grupo sudo''' com o comando: '''usermod -aG sudo &lt;user&gt;'''.<br /> <br /> == Alterando o PAM do Debian GNU/Linux para autenticar usando Google Authenticator e Tacacs+ Server ==<br /> Para configurarmos a autenticação usando '''Tacacs+''' e '''Google Authenticator''', faremos a mesma configuração em '''/etc/pam.d/sshd''' e '''/etc/pam.d/sudo-i''' só que um pouco diferente e não esquecer de comentar a linha '''@include common-auth'''.<br /> auth required pam_tacplus.so server=10.254.254.6 secret=&lt;senha_forte&gt;<br /> auth required pam_google_authenticator.so<br /> Acima o parâmetro '''server=''' é o IP do seu servidor '''Tacacs+''' e '''secret=''' é a '''secret key''' utilizada no seu servidor '''Tacacs+'''.<br /> <br /> Gostou deste artigo? Se lhe foi útil compartilhe também com seus colegas este conteúdo. Precisa de configurar um servidor Radius/Tacacs+ para autenticar usuários em seus sistemas e equipamentos? Nos procure em https://ispfocus.net.br ou através do QR Code abaixo.<br /> [[Arquivo:Qrcode ispfocus.png|nenhum|miniaturadaimagem|283x283px]]<br /> [[Categoria:Artigos Técnicos]]</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Autenticacao_TOTP_Radius_Tacacs_Debian&diff=1108 Autenticacao TOTP Radius Tacacs Debian 2026-02-06T16:13:00Z <p>Gondim: </p> <hr /> <div>[[Arquivo:Ssh_totp_radius_tacacs.png|semmoldura|482x482px]]{{DISPLAYTITLE:Autenticação TOTP + Radius/Tacacs no Debian}}<br /> __TOC__<br /> == Introdução ==<br /> A administração remota de servidores '''GNU/Linux''' é algo que precisamos estar sempre atentos com a segurança. Filtros de pacotes para bloquear e/ou liberar acessos, ajustes para serviços não ficarem expostos sem necessidade, uso de IPs privados quando possível, aplicar atualizações quando disponíveis, monitoramento dos logs e file system são coisas básicas para todo sysadmin. Boa parte destas tarefas necessitam de acesso remoto aos servidores via '''SSH''' e esse serviço precisa ser bem cuidado para que seu servidor não seja comprometido. Outro fator importante é quando administra diversos servidores em uma empresa juntamente com outros sysadmins e em algum momento alguém é desligado da empresa ou entrou de férias. Imagina ter que entrar em cada servidor para remover ou bloquear os acessos. Imagina fazer isso com 100, 500, 1000 VMs. Neste artigo iremos configurar um servidor Debian para autenticar via '''Radius''' ou '''Tacacs+''' e ainda usar 2FA com Google Authenticator. O '''Radius''' e o '''Tacacs+''' darão controle para administração centralizada da autenticação dos usuários e o '''Google Authenticator''' adiciona uma camada de segurança no acesso '''SSH'''.<br /> <br /> == Pré-requisitos ==<br /> Para que nosso ambiente funcione precisaremos:<br /> <br /> * Um servidor '''Radius''' ou '''Tacacs+''' já em produção. Melhor ainda se estiverem em '''HA (High Availability)''', pois como estamos lidando com acessos críticos de equipamentos e servidores, precisamos garantir que em caso de falha no autenticador principal, um secundário assuma essa função e a operação não seja impactada.<br /> * O servidor precisar ter acesso sainte para a '''Internet''', pode ser através de '''NAT'''. Se faz necessário para instalação dos pacotes e download do projeto '''pam_tacplus''' via '''Github''' caso use autenticação via '''Tacacs+.'''<br /> * Os comandos aqui serão executados em um '''Debian 13 (Trixie)''' mas poderão ser adaptados para serem executados em outras '''distribuições GNU/Linux'''.<br /> <br /> == Banner no SSH ==<br /> Primeiramente é interessante comentar que ter um banner informando que o acesso só é permitido para pessoas autorizadas, é uma boa prática. Então aqui vai um exemplo de banner, basta criar o arquivo '''/etc/ssh/banner''' com o conteúdo abaixo e alterado para o nome da sua Organização e adicionar em '''/etc/ssh/sshd_config''' com o parâmetro: '''Banner''' '''/etc/ssh/banner'''. Na sequência só reiniciar o serviço sshd com: '''systemctl restart sshd'''. <br /> *******************************************************************************<br /> * ISPFocus *<br /> * Este acesso e unica e exclusivamente para pessoas autorizadas. *<br /> * Voce esta prestes a acessar uma area Restrita/Privada, podendo conter *<br /> * informacao confidencial e/ou privilegiada. Este acesso sera monitorado. *<br /> * *<br /> * Se voce nao foi autorizado, desde ja fica notificado de abster-se a *<br /> * divulgar, copiar, distribuir, examinar, de qualquer forma, utilizar a *<br /> * informacao contida neste servidor, por ser ilegal, sujeitando o infrator as *<br /> * penas da lei. *<br /> * *<br /> * Precione &lt;Ctrl-D&gt; se voce NAO foi autorizado. *<br /> *******************************************************************************<br /> *******************************************************************************<br /> * ISPFocus *<br /> * This access is solely and exclusively for authorized personnel. *<br /> * You are about to access a Restricted/Private area, which may contain *<br /> * confidential and/or privileged information. This access will be monitored. *<br /> * *<br /> * If you are not authorized, you are hereby notified to refrain from *<br /> * disclosing, copying, distributing, reviewing, or otherwise using the *<br /> * information contained on this server, as it is illegal and will subject *<br /> * the violator to penalties under the law. *<br /> * *<br /> * Press &lt;Ctrl-D&gt; if you are NOT authorized. *<br /> *******************************************************************************<br /> <br /> == Instalando o Google Authenticator no servidor Debian ==<br /> # apt-get install libpam-google-authenticator -y<br /> É necessário que o usuário seja criado localmente no sistema. Exemplo:<br /> # useradd -m -s /bin/bash gondim<br /> Altere em '''/etc/ssh/sshd''' para que esses parâmetros fiquem assim:<br /> KbdInteractiveAuthentication yes<br /> UsePAM yes<br /> PasswordAuthentication yes<br /> Agora vamos gerar os dados para cadastro no '''Google Authenticator''' instalado no smartphone do usuário '''gondim''':<br /> # su - gondim<br /> $ google-authenticator -C -t -d -f -w 3 -Q UTF8 -r 3 -R 30<br /> [[Arquivo:Qrcode.png|nenhum|miniaturadaimagem|916x916px]]<br /> Quando executamos o comando acima, ele gera informações como neste exemplo. Nele temos o '''QR Code''' que facilita a configuração no '''Google Authenticator''', temos a '''secret key''' que também pode ser usado para cadastro e os códigos de emergência para em caso de perda ou roubo do '''smartphone''', o usuário ainda conseguir logar no sistema. <br /> <br /> Seguiremos agora com um exemplo de configuração para autenticação em Servidor Radius.<br /> <br /> == Instalando e configurando o módulo PAM para autenticação em Radius Server ==<br /> # apt install libpam-radius-auth<br /> Edite o arquivo '''/etc/pam_radius_auth.conf''' e deixe configurado nele o apontamento para seu servidor Radius com a secret:<br /> # server[:port] shared_secret timeout (s)<br /> 10.254.254.6 C5or4Zc49z2R 3<br /> Obs.: no seu servidor Radius você precisará liberar em NAS o IP do seu servidor Debian, senão ele não terá autorização para acessar o Radius.<br /> <br /> == Instalando e configurando o módulo PAM para autenticação em Tacacs+ Server ==<br /> Para essa configuração precisaremos do módulo '''pam_tacplus''' só que ele não está mais presente nos pacotes do Debian. Nesse caso baixaremos o código fonte do '''Github''', compilaremos e instalaremos no '''Debian'''.<br /> <br /> Instalando os pacotes que precisaremos:<br /> # apt install git autoconf build-essential libtool automake libpam-dev libssl-dev gnulib<br /> Baixando do repositório do '''Github''':<br /> # cd /usr/local/src<br /> # git clone &lt;nowiki&gt;https://github.com/kravietz/pam_tacplus.git&lt;/nowiki&gt;<br /> Compilando e instalando o '''pam_tacplus''':<br /> # cd pam-tacplus<br /> # gnulib-tool --makefile-name=Makefile.gnulib --libtool --import fcntl crypto/md5 array-list list xlist getrandom realloc-posix explicit_bzero xalloc getopt-gnu<br /> # autoreconf -f -v -i<br /> # ./configure --libdir=/usr/lib/x86_64-linux-gnu<br /> # make<br /> # make install<br /> O módulo usa o serviço PAP no Tacacs+ para autenticação e por isso precisa configurar no seu servidor Tacacs+. Caso esteja usando um servidor Tacacs+ em um GNU/Linux, precisará definir no arquivo de configuração '''tac_plus.conf''' se o '''pap''' usará usuários criados localmente no servidor pelo '''useradd''' ou se usará usuários no próprio arquivo '''tac_plus.conf'''. Abaixo mostro os 2 exemplos:<br /> user = gondim {<br /> member = cgr<br /> pap = file /etc/passwd<br /> }<br /> Neste exemplo acima o usuário foi criado no servidor Tacacs+ com o comando: '''useradd -s /bin/false &lt;user&gt;''' e depois setada a senha com: '''passwd &lt;user&gt;'''.<br /> <br /> OU<br /> user = gondim {<br /> member = cgr<br /> pap = cleartext &lt;senha_forte&gt;<br /> }<br /> Nesse último exemplo você precisará definir a senha do usuário no lugar de '''&lt;senha_forte&gt;'''.<br /> <br /> == Alterando o PAM do Debian GNU/Linux para autenticar usando Google Authenticator e Radius Server ==<br /> Em '''/etc/pam.d/sshd''', comente a linha com '''@include common-auth''' e adicione antes:<br /> auth required pam_radius_auth.so<br /> auth required pam_google_authenticator.so<br /> Nesse momento você poderá testar o '''SSH''' para o seu servidor e verá algo assim:<br /> [[Arquivo:Tela autenticacao2.png|nenhum|miniaturadaimagem|740x740px]]<br /> Primeiro o sistema irá pedir seu '''token''' do '''Google Authenticator''' e somente se passar o correto é que será solicitada a '''senha cadastrada no seu Radius Server'''.<br /> <br /> Caso necessite que o usuário se torne root utilizando '''sudo''', faça a mesma configuração em '''/etc/pam.d/sudo-i''' e adicione o usuário no '''grupo sudo''' com o comando: '''usermod -aG sudo &lt;user&gt;'''.<br /> <br /> == Alterando o PAM do Debian GNU/Linux para autenticar usando Google Authenticator e Tacacs+ Server ==<br /> Para configurarmos a autenticação usando '''Tacacs+''' e '''Google Authenticator''', faremos a mesma configuração em '''/etc/pam.d/sshd''' e '''/etc/pam.d/sudo-i''' só que um pouco diferente e não esquecer de comentar a linha '''@include common-auth'''.<br /> auth required pam_tacplus.so server=10.254.254.6 secret=&lt;senha_forte&gt;<br /> auth required pam_google_authenticator.so<br /> Acima o parâmetro '''server=''' é o IP do seu servidor '''Tacacs+''' e '''secret=''' é a '''secret key''' utilizada no seu servidor '''Tacacs+'''.<br /> <br /> Gostou deste artigo? Se lhe foi útil compartilhe também com seus colegas este conteúdo. Precisa de configurar um servidor Radius/Tacacs+ para autenticar usuários em seus sistemas e equipamentos? Nos procure em https://ispfocus.net.br ou através do QR Code abaixo.<br /> [[Arquivo:Qrcode ispfocus.png|nenhum|miniaturadaimagem|283x283px]]<br /> [[Categoria:Artigos Técnicos]]</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Arquivo:Tela_autenticacao2.png&diff=1107 Arquivo:Tela autenticacao2.png 2026-02-06T16:11:55Z <p>Gondim: </p> <hr /> <div></div> Gondim https://wiki.ispup.com.br/w/index.php?title=Autenticacao_TOTP_Radius_Tacacs_Debian&diff=1104 Autenticacao TOTP Radius Tacacs Debian 2026-02-06T15:58:52Z <p>Gondim: </p> <hr /> <div>[[Arquivo:Ssh_totp_radius_tacacs.png|semmoldura|482x482px]]{{DISPLAYTITLE:Autenticação TOTP + Radius/Tacacs no Debian}}<br /> __TOC__<br /> == Introdução ==<br /> A administração remota de servidores '''GNU/Linux''' é algo que precisamos estar sempre atentos com a segurança. Filtros de pacotes para bloquear e/ou liberar acessos, ajustes para serviços não ficarem expostos sem necessidade, uso de IPs privados quando possível, aplicar atualizações quando disponíveis, monitoramento dos logs e file system são coisas básicas para todo sysadmin. Boa parte destas tarefas necessitam de acesso remoto aos servidores via '''SSH''' e esse serviço precisa ser bem cuidado para que seu servidor não seja comprometido. Outro fator importante é quando administra diversos servidores em uma empresa juntamente com outros sysadmins e em algum momento alguém é desligado da empresa ou entrou de férias. Imagina ter que entrar em cada servidor para remover ou bloquear os acessos. Imagina fazer isso com 100, 500, 1000 VMs. Neste artigo iremos configurar um servidor Debian para autenticar via '''Radius''' ou '''Tacacs+''' e ainda usar 2FA com Google Authenticator. O '''Radius''' e o '''Tacacs+''' darão controle para administração centralizada da autenticação dos usuários e o '''Google Authenticator''' adiciona uma camada de segurança no acesso '''SSH'''.<br /> <br /> == Pré-requisitos ==<br /> Para que nosso ambiente funcione precisaremos:<br /> <br /> * Um servidor '''Radius''' ou '''Tacacs+''' já em produção. Melhor ainda se estiverem em '''HA (High Availability)''', pois como estamos lidando com acessos críticos de equipamentos e servidores, precisamos garantir que em caso de falha no autenticador principal, um secundário assuma essa função e a operação não seja impactada.<br /> * O servidor precisar ter acesso sainte para a '''Internet''', pode ser através de '''NAT'''. Se faz necessário para instalação dos pacotes e download do projeto '''pam_tacplus''' via '''Github''' caso use autenticação via '''Tacacs+.'''<br /> * Os comandos aqui serão executados em um '''Debian 13 (Trixie)''' mas poderão ser adaptados para serem executados em outras '''distribuições GNU/Linux'''.<br /> <br /> == Banner no SSH ==<br /> Primeiramente é interessante comentar que ter um banner informando que o acesso só é permitido para pessoas autorizadas, é uma boa prática. Então aqui vai um exemplo de banner, basta criar o arquivo '''/etc/ssh/banner''' com o conteúdo abaixo e alterado para o nome da sua Organização e adicionar em '''/etc/ssh/sshd_config''' com o parâmetro: '''Banner''' '''/etc/ssh/banner'''. Na sequência só reiniciar o serviço sshd com: '''systemctl restart sshd'''. <br /> *******************************************************************************<br /> * ISPFocus *<br /> * Este acesso e unica e exclusivamente para pessoas autorizadas. *<br /> * Voce esta prestes a acessar uma area Restrita/Privada, podendo conter *<br /> * informacao confidencial e/ou privilegiada. Este acesso sera monitorado. *<br /> * *<br /> * Se voce nao foi autorizado, desde ja fica notificado de abster-se a *<br /> * divulgar, copiar, distribuir, examinar, de qualquer forma, utilizar a *<br /> * informacao contida neste servidor, por ser ilegal, sujeitando o infrator as *<br /> * penas da lei. *<br /> * *<br /> * Precione &lt;Ctrl-D&gt; se voce NAO foi autorizado. *<br /> *******************************************************************************<br /> *******************************************************************************<br /> * ISPFocus *<br /> * This access is solely and exclusively for authorized personnel. *<br /> * You are about to access a Restricted/Private area, which may contain *<br /> * confidential and/or privileged information. This access will be monitored. *<br /> * *<br /> * If you are not authorized, you are hereby notified to refrain from *<br /> * disclosing, copying, distributing, reviewing, or otherwise using the *<br /> * information contained on this server, as it is illegal and will subject *<br /> * the violator to penalties under the law. *<br /> * *<br /> * Press &lt;Ctrl-D&gt; if you are NOT authorized. *<br /> *******************************************************************************<br /> <br /> == Instalando o Google Authenticator no servidor Debian ==<br /> # apt-get install libpam-google-authenticator -y<br /> É necessário que o usuário seja criado localmente no sistema. Exemplo:<br /> # useradd -m -s /bin/bash gondim<br /> Altere em '''/etc/ssh/sshd''' para que esses parâmetros fiquem assim:<br /> KbdInteractiveAuthentication yes<br /> UsePAM yes<br /> PasswordAuthentication yes<br /> Agora vamos gerar os dados para cadastro no '''Google Authenticator''' instalado no smartphone do usuário '''gondim''':<br /> # su - gondim<br /> $ google-authenticator -C -t -d -f -w 3 -Q UTF8 -r 3 -R 30<br /> [[Arquivo:Qrcode.png|nenhum|miniaturadaimagem|916x916px]]<br /> Quando executamos o comando acima, ele gera informações como neste exemplo. Nele temos o '''QR Code''' que facilita a configuração no '''Google Authenticator''', temos a '''secret key''' que também pode ser usado para cadastro e os códigos de emergência para em caso de perda ou roubo do '''smartphone''', o usuário ainda conseguir logar no sistema. <br /> <br /> Seguiremos agora com um exemplo de configuração para autenticação em Servidor Radius.<br /> <br /> == Instalando e configurando o módulo PAM para autenticação em Radius Server ==<br /> # apt install libpam-radius-auth<br /> Edite o arquivo '''/etc/pam_radius_auth.conf''' e deixe configurado nele o apontamento para seu servidor Radius com a secret:<br /> # server[:port] shared_secret timeout (s)<br /> 10.254.254.6 C5or4Zc49z2R 3<br /> Obs.: no seu servidor Radius você precisará liberar em NAS o IP do seu servidor Debian, senão ele não terá autorização para acessar o Radius.<br /> <br /> == Instalando e configurando o módulo PAM para autenticação em Tacacs+ Server ==<br /> Para essa configuração precisaremos do módulo '''pam_tacplus''' só que ele não está mais presente nos pacotes do Debian. Nesse caso baixaremos o código fonte do '''Github''', compilaremos e instalaremos no '''Debian'''.<br /> <br /> Instalando os pacotes que precisaremos:<br /> # apt install git autoconf build-essential libtool automake libpam-dev libssl-dev gnulib<br /> Baixando do repositório do '''Github''':<br /> # cd /usr/local/src<br /> # git clone &lt;nowiki&gt;https://github.com/kravietz/pam_tacplus.git&lt;/nowiki&gt;<br /> Compilando e instalando o '''pam_tacplus''':<br /> # cd pam-tacplus<br /> # gnulib-tool --makefile-name=Makefile.gnulib --libtool --import fcntl crypto/md5 array-list list xlist getrandom realloc-posix explicit_bzero xalloc getopt-gnu<br /> # autoreconf -f -v -i<br /> # ./configure --libdir=/usr/lib/x86_64-linux-gnu<br /> # make<br /> # make install<br /> O módulo usa o serviço PAP no Tacacs+ para autenticação e por isso precisa configurar no seu servidor Tacacs+. Caso esteja usando um servidor Tacacs+ em um GNU/Linux, precisará definir no arquivo de configuração '''tac_plus.conf''' se o '''pap''' usará usuários criados localmente no servidor pelo '''useradd''' ou se usará usuários no próprio arquivo '''tac_plus.conf'''. Abaixo mostro os 2 exemplos:<br /> user = gondim {<br /> member = cgr<br /> pap = file /etc/passwd<br /> }<br /> Neste exemplo acima o usuário foi criado no servidor Tacacs+ com o comando: '''useradd -s /bin/false &lt;user&gt;''' e depois setada a senha com: '''passwd &lt;user&gt;'''.<br /> <br /> OU<br /> user = gondim {<br /> member = cgr<br /> pap = cleartext &lt;senha_forte&gt;<br /> }<br /> Nesse último exemplo você precisará definir a senha do usuário no lugar de '''&lt;senha_forte&gt;'''.<br /> <br /> == Alterando o PAM do Debian GNU/Linux para autenticar usando Google Authenticator e Radius Server ==<br /> Em '''/etc/pam.d/sshd''', comente a linha com '''@include common-auth''' e adicione antes:<br /> auth required pam_radius_auth.so<br /> auth required pam_google_authenticator.so<br /> Nesse momento você poderá testar o '''SSH''' para o seu servidor e verá algo assim:<br /> [[Arquivo:Tela autenticacao.png|nenhum|miniaturadaimagem|740x740px]]<br /> Primeiro o sistema irá pedir seu '''token''' do '''Google Authenticator''' e somente se passar o correto é que será solicitada a '''senha cadastrada no seu Radius Server'''.<br /> <br /> Caso necessite que o usuário se torne root utilizando '''sudo''', faça a mesma configuração em '''/etc/pam.d/sudo-i''' e adicione o usuário no '''grupo sudo''' com o comando: '''usermod -aG sudo &lt;user&gt;'''.<br /> <br /> == Alterando o PAM do Debian GNU/Linux para autenticar usando Google Authenticator e Tacacs+ Server ==<br /> Para configurarmos a autenticação usando '''Tacacs+''' e '''Google Authenticator''', faremos a mesma configuração em '''/etc/pam.d/sshd''' e '''/etc/pam.d/sudo-i''' só que um pouco diferente e não esquecer de comentar a linha '''@include common-auth'''.<br /> auth required pam_tacplus.so server=10.254.254.6 secret=&lt;senha_forte&gt;<br /> auth required pam_google_authenticator.so<br /> Acima o parâmetro '''server=''' é o IP do seu servidor '''Tacacs+''' e '''secret=''' é a '''secret key''' utilizada no seu servidor '''Tacacs+'''.<br /> <br /> Gostou deste artigo? Se lhe foi útil compartilhe também com seus colegas este conteúdo. Precisa de configurar um servidor Radius/Tacacs+ para autenticar usuários em seus sistemas e equipamentos? Nos procure em https://ispfocus.net.br ou através do QR Code abaixo.<br /> [[Arquivo:Qrcode ispfocus.png|nenhum|miniaturadaimagem|283x283px]]<br /> [[Categoria:Artigos Técnicos]]</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Autenticacao_TOTP_Radius_Tacacs_Debian&diff=1103 Autenticacao TOTP Radius Tacacs Debian 2026-02-06T15:31:23Z <p>Gondim: </p> <hr /> <div>[[Arquivo:Ssh_totp_radius_tacacs.png|semmoldura|482x482px]]{{DISPLAYTITLE:Autenticação TOTP + Radius/Tacacs no Debian}}<br /> __TOC__<br /> == Introdução ==<br /> A administração remota de servidores '''GNU/Linux''' é algo que precisamos estar sempre atentos com a segurança. Filtros de pacotes para bloquear e/ou liberar acessos, ajustes para serviços não ficarem expostos sem necessidade, uso de IPs privados quando possível, aplicar atualizações quando disponíveis, monitoramento dos logs e file system são coisas básicas para todo sysadmin. Boa parte destas tarefas necessitam de acesso remoto aos servidores via '''SSH''' e esse serviço precisa ser bem cuidado para que seu servidor não seja comprometido. Outro fator importante é quando administra diversos servidores em uma empresa juntamente com outros sysadmins e em algum momento alguém é desligado da empresa ou entrou de férias. Imagina ter que entrar em cada servidor para remover ou bloquear os acessos. Imagina fazer isso com 100, 500, 1000 VMs. Neste artigo iremos configurar um servidor Debian para autenticar via '''Radius''' ou '''Tacacs+''' e ainda usar 2FA com Google Authenticator. O '''Radius''' e o '''Tacacs+''' darão controle para administração centralizada da autenticação dos usuários e o '''Google Authenticator''' adiciona uma camada de segurança no acesso '''SSH'''.<br /> <br /> == Pré-requisitos ==<br /> Para que nosso ambiente funcione precisaremos:<br /> <br /> * Um servidor '''Radius''' ou '''Tacacs+''' já em produção. Melhor ainda se estiverem em '''HA (High Availability)''', pois como estamos lidando com acessos críticos de equipamentos e servidores, precisamos garantir que em caso de falha no autenticador principal, um secundário assuma essa função e a operação não seja impactada.<br /> * O servidor precisar ter acesso sainte para a '''Internet''', pode ser através de '''NAT'''. Se faz necessário para instalação dos pacotes e download do projeto '''pam_tacplus''' via '''Github''' caso use autenticação via '''Tacacs+.'''<br /> * Os comandos aqui serão executados em um '''Debian 13 (Trixie)''' mas poderão ser adaptados para serem executados em outras '''distribuições GNU/Linux'''.<br /> <br /> == Banner no SSH ==<br /> Primeiramente é interessante comentar que ter um banner informando que o acesso só é permitido para pessoas autorizadas, é uma boa prática. Então aqui vai um exemplo de banner, basta criar o arquivo '''/etc/ssh/banner''' com o conteúdo abaixo e alterado para o nome da sua Organização e adicionar em '''/etc/ssh/sshd_config''' com o parâmetro: '''Banner''' '''/etc/ssh/banner'''. Na sequência só reiniciar o serviço sshd com: '''systemctl restart sshd'''. <br /> *******************************************************************************<br /> * ISPFocus *<br /> * Este acesso e unica e exclusivamente para pessoas autorizadas. *<br /> * Voce esta prestes a acessar uma area Restrita/Privada, podendo conter *<br /> * informacao confidencial e/ou privilegiada. Este acesso sera monitorado. *<br /> * *<br /> * Se voce nao foi autorizado, desde ja fica notificado de abster-se a *<br /> * divulgar, copiar, distribuir, examinar, de qualquer forma, utilizar a *<br /> * informacao contida neste servidor, por ser ilegal, sujeitando o infrator as *<br /> * penas da lei. *<br /> * *<br /> * Precione &lt;Ctrl-D&gt; se voce NAO foi autorizado. *<br /> *******************************************************************************<br /> *******************************************************************************<br /> * ISPFocus *<br /> * This access is solely and exclusively for authorized personnel. *<br /> * You are about to access a Restricted/Private area, which may contain *<br /> * confidential and/or privileged information. This access will be monitored. *<br /> * *<br /> * If you are not authorized, you are hereby notified to refrain from *<br /> * disclosing, copying, distributing, reviewing, or otherwise using the *<br /> * information contained on this server, as it is illegal and will subject *<br /> * the violator to penalties under the law. *<br /> * *<br /> * Press &lt;Ctrl-D&gt; if you are NOT authorized. *<br /> *******************************************************************************<br /> <br /> == Instalando o Google Authenticator no servidor Debian ==<br /> # apt-get install libpam-google-authenticator -y<br /> É necessário que o usuário seja criado localmente no sistema. Exemplo:<br /> # useradd -m -s /bin/bash gondim<br /> Altere em '''/etc/ssh/sshd''' para que esses parâmetros fiquem assim:<br /> KbdInteractiveAuthentication yes<br /> UsePAM yes<br /> PasswordAuthentication yes<br /> Agora vamos gerar os dados para cadastro no '''Google Authenticator''' instalado no smartphone do usuário '''gondim''':<br /> # su - gondim<br /> $ google-authenticator -C -t -d -f -w 3 -Q UTF8 -r 3 -R 30<br /> [[Arquivo:Qrcode.png|nenhum|miniaturadaimagem|916x916px]]<br /> Quando executamos o comando acima, ele gera informações como neste exemplo. Nele temos o '''QR Code''' que facilita a configuração no '''Google Authenticator''', temos a '''secret key''' que também pode ser usado para cadastro e os códigos de emergência para em caso de perda ou roubo do '''smartphone''', o usuário ainda conseguir logar no sistema. <br /> <br /> Seguiremos agora com um exemplo de configuração para autenticação em Servidor Radius.<br /> <br /> == Instalando e configurando o módulo PAM para autenticação em Radius Server ==<br /> # apt install libpam-radius-auth<br /> Edite o arquivo '''/etc/pam_radius_auth.conf''' e deixe configurado nele o apontamento para seu servidor Radius com a secret:<br /> # server[:port] shared_secret timeout (s)<br /> 10.254.254.6 C5or4Zc49z2R 3<br /> Obs.: no seu servidor Radius você precisará liberar em NAS o IP do seu servidor Debian, senão ele não terá autorização para acessar o Radius.<br /> <br /> == Instalando e configurando o módulo PAM para autenticação em Tacacs+ Server ==<br /> Para essa configuração precisaremos do módulo '''pam_tacplus''' só que ele não está mais presente nos pacotes do Debian. Nesse caso baixaremos o código fonte do '''Github''', compilaremos e instalaremos no '''Debian'''.<br /> <br /> Instalando os pacotes que precisaremos:<br /> # apt install git autoconf build-essential libtool automake libpam-dev libssl-dev gnulib<br /> Baixando do repositório do '''Github''':<br /> # cd /usr/local/src<br /> # git clone &lt;nowiki&gt;https://github.com/kravietz/pam_tacplus.git&lt;/nowiki&gt;<br /> Compilando e instalando o '''pam_tacplus''':<br /> # cd pam-tacplus<br /> # gnulib-tool --makefile-name=Makefile.gnulib --libtool --import fcntl crypto/md5 array-list list xlist getrandom realloc-posix explicit_bzero xalloc getopt-gnu<br /> # autoreconf -f -v -i<br /> # ./configure --libdir=/usr/lib/x86_64-linux-gnu<br /> # make<br /> # make install<br /> O módulo usa o serviço PAP no Tacacs+ para autenticação e por isso precisa configurar no seu servidor Tacacs+. Caso esteja usando um servidor Tacacs+ em um GNU/Linux, precisará definir no arquivo de configuração '''tac_plus.conf''' se o '''pap''' usará usuários criados localmente no servidor pelo '''useradd''' ou se usará usuários no próprio arquivo '''tac_plus.conf'''. Abaixo mostro os 2 exemplos:<br /> user = gondim {<br /> member = cgr<br /> pap = file /etc/passwd<br /> }<br /> Neste exemplo acima o usuário foi criado no servidor Tacacs+ com o comando: '''useradd -s /bin/false &lt;user&gt;''' e depois setada a senha com: '''passwd &lt;user&gt;'''.<br /> <br /> OU<br /> user = gondim {<br /> member = cgr<br /> pap = cleartext &lt;senha_forte&gt;<br /> }<br /> Nesse último exemplo você precisará definir a senha do usuário no lugar de '''&lt;senha_forte&gt;'''.<br /> <br /> == Alterando o PAM do Debian GNU/Linux para autenticar usando Google Authenticator e Radius Server ==<br /> Em '''/etc/pam.d/sshd''', comente a linha com '''@include common-auth''' e adicione antes:<br /> auth required pam_radius_auth.so<br /> auth required pam_google_authenticator.so<br /> Nesse momento você poderá testar o '''SSH''' para o seu servidor e verá algo assim:<br /> [[Arquivo:Tela autenticacao.png|nenhum|miniaturadaimagem|740x740px]]<br /> Primeiro o sistema irá pedir seu '''token''' do '''Google Authenticator''' e somente se passar o correto é que será solicitada a '''senha cadastrada no seu Radius Server'''.<br /> <br /> Caso necessite que o usuário se torne root utilizando '''sudo''', faça a mesma configuração em '''/etc/pam.d/sudo-i''' e adicione o usuário no '''grupo sudo''' com o comando: '''usermod -aG sudo &lt;user&gt;'''.<br /> <br /> == Alterando o PAM do Debian GNU/Linux para autenticar usando Google Authenticator e Tacacs+ Server ==<br /> Para configurarmos a autenticação usando '''Tacacs+''' e '''Google Authenticator''', faremos a mesma configuração em '''/etc/pam.d/sshd''' e '''/etc/pam.d/sudo-i''' só que um pouco diferente.<br /> auth requisite pam_google_authenticator.so<br /> auth sufficient pam_tacplus.so server=10.254.254.6 secret=&lt;senha_forte&gt;<br /> account sufficient pam_tacplus.so server=10.254.254.6 secret=&lt;senha_forte&gt;<br /> session sufficient pam_tacplus.so server=10.254.254.6 secret=&lt;senha_forte&gt;<br /> Acima o parâmetro '''server=''' é o IP do seu servidor '''Tacacs+''' e '''secret=''' é a '''secret key''' utilizada no seu servidor '''Tacacs+'''.<br /> <br /> Gostou deste artigo? Se lhe foi útil compartilhe também com seus colegas este conteúdo. Precisa de configurar um servidor Radius/Tacacs+ para autenticar usuários em seus sistemas e equipamentos? Nos procure em https://ispfocus.net.br ou através do QR Code abaixo.<br /> [[Arquivo:Qrcode ispfocus.png|nenhum|miniaturadaimagem|283x283px]]<br /> [[Categoria:Artigos Técnicos]]</div> Gondim https://wiki.ispup.com.br/w/index.php?title=P%C3%A1gina_principal&diff=1102 Página principal 2026-02-06T03:38:49Z <p>Gondim: </p> <hr /> <div>[[Arquivo:Pascal.png|esquerda|semmoldura|554x554px]]<br /> <br /> = Bem vindo à Wiki ISPUP! =<br /> Durante 29 anos trabalhando como '''sysadmin''' em ambientes '''Unix Like''' e com Redes em Provedores de Internet, acabei guardando algum conhecimento e essa Wiki é uma forma de disponibilizar para a comunidade, uma fonte de consulta de soluções para diversos problemas que encontrei ao longo da minha vida como profissional. Espero que te ajude assim como sempre me ajudou. Tenho muita documentação para postar aqui e por isso irei revisar e disponibilizar aos poucos. Vamos dar um UP! no seu ISP?<br /> <br /> Aqui veremos assuntos relacionados a '''Servidores GNU/Linux''', '''Telecom''', '''Serviços de Redes''', '''Segurança da Informação''' e '''Boas Práticas'''. Os artigos e documentações serão voltados paras as comunidades '''ISP (Internet Service Provider)''', '''ITP (Internet Transit Provider)''' e '''Debian'''. <br /> &lt;br&gt;&lt;br&gt;<br /> Enquanto for &quot;'''pequeno'''&quot;, precisa pensar como um &quot;'''grande'''&quot;: precisa pensar nas boas práticas, se estruturar para o futuro e aí quando crescer e ficar &quot;'''grande'''&quot;, precisará pensar como um &quot;'''pequeno'''&quot;, para continuar melhorando a sua agilidade nos processos, na qualidade do atendimento e nos serviços entregues aos seus clientes. <br /> <br /> As boas práticas trazem: '''segurança''', '''credibilidade''', '''estabilidade''' e '''qualidade'''.<br /> <br /> '''&quot;UNIX is very simple, it just needs a genius to understand its simplicity.&quot;''' Dennis Ritchie.&lt;br&gt;<br /> &lt;br&gt;<br /> &lt;br&gt;<br /> &lt;br&gt;<br /> &lt;br&gt;<br /> <br /> == Índice ==<br /> * [[Artigos Tecnicos|Artigos Técnicos]]<br /> * [[Servicos de Redes e Servidores|Serviços de Redes e Servidores]]<br /> * [[Dicas Tecnicas|Dicas Técnicas]]<br /> * [[Links Uteis|Links úteis]]<br /> * [[Sobre mim]]<br /> <br /> == Destaques ==<br /> [[Autenticacao TOTP Radius Tacacs Debian|Autenticação TOTP + Radius/Tacacs no Debian]]<br /> <br /> [[SSH SERVER 2FA|SSH Server com Autenticação 2FA]]<br /> <br /> [[Certificado TLS com ACME-DNS e DNS-01]]<br /> <br /> [[RPKI|RPKI (Resource Public Key Infrastructure)]]<br /> <br /> [[Recomendacao Mitigacao DDoS|Recomendações sobre Mitigação DDoS]]<br /> <br /> [[DNS Recursivo Anycast HyperLocal|DNS Recursivo Anycast com Hyperlocal]]<br /> <br /> [[Static Loop|Static Loop - um erro que pode matar seu ISP/ITP]]<br /> <br /> [[Portas Amplificacao DDoS|Portas de Amplificação DDoS e Botnets]]<br /> <br /> [[Servidor Logs CGNAT|Servidor de logs CGNAT]]<br /> <br /> [[Template Servidor Debian|Template de Servidor Debian GNU/Linux]]<br /> <br /> [[Policy Based Routing|Policy Based Routing (PBR)]]<br /> <br /> [[Compilando Bash|Compilando Shell Scripts com o SHC]]<br /> <br /> [[PHPIPAM|DCIM/IPAM com phpIPAM]]<br /> <br /> [[MSMTP com OAuth2|MSMTP com OAuth2 no Debian 12]]<br /> <br /> [[Geolocalizacao|Geolocalização e a Internet]]<br /> <br /> [[Arquivo:Debian powered.png|miniaturadaimagem|83x83px]]</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Autenticacao_TOTP_Radius_Tacacs_Debian&diff=1101 Autenticacao TOTP Radius Tacacs Debian 2026-02-06T03:33:44Z <p>Gondim: </p> <hr /> <div>[[Arquivo:Ssh_totp_radius_tacacs.png|semmoldura|482x482px]]{{DISPLAYTITLE:Autenticação TOTP + Radius/Tacacs no Debian}}<br /> __TOC__<br /> == Introdução ==<br /> A administração remota de servidores '''GNU/Linux''' é algo que precisamos estar sempre atentos com a segurança. Filtros de pacotes para bloquear e/ou liberar acessos, ajustes para serviços não ficarem expostos sem necessidade, uso de IPs privados quando possível, aplicar atualizações quando disponíveis, monitoramento dos logs e file system são coisas básicas para todo sysadmin. Boa parte destas tarefas necessitam de acesso remoto aos servidores via '''SSH''' e esse serviço precisa ser bem cuidado para que seu servidor não seja comprometido. Outro fator importante é quando administra diversos servidores em uma empresa juntamente com outros sysadmins e em algum momento alguém é desligado da empresa ou entrou de férias. Imagina ter que entrar em cada servidor para remover ou bloquear os acessos. Imagina fazer isso com 100, 500, 1000 VMs. Neste artigo iremos configurar um servidor Debian para autenticar via '''Radius''' ou '''Tacacs+''' e ainda usar 2FA com Google Authenticator. O '''Radius''' e o '''Tacacs+''' darão controle para administração centralizada da autenticação dos usuários e o '''Google Authenticator''' adiciona uma camada de segurança no acesso '''SSH'''.<br /> <br /> == Pré-requisitos ==<br /> Para que nosso ambiente funcione precisaremos:<br /> <br /> * Um servidor '''Radius''' ou '''Tacacs+''' já em produção. Melhor ainda se estiverem em '''HA (High Availability)''', pois como estamos lidando com acessos críticos de equipamentos e servidores, precisamos garantir que em caso de falha no autenticador principal, um secundário assuma essa função e a operação não seja impactada.<br /> * O servidor precisar ter acesso sainte para a '''Internet''', pode ser através de '''NAT'''. Se faz necessário para instalação dos pacotes e download do projeto '''pam_tacplus''' via '''Github''' caso use autenticação via '''Tacacs+.'''<br /> * Os comandos aqui serão executados em um '''Debian 13 (Trixie)''' mas poderão ser adaptados para serem executados em outras '''distribuições GNU/Linux'''.<br /> <br /> == Banner no SSH ==<br /> Primeiramente é interessante comentar que ter um banner informando que o acesso só é permitido para pessoas autorizadas, é uma boa prática. Então aqui vai um exemplo de banner, basta criar o arquivo '''/etc/ssh/banner''' com o conteúdo abaixo e alterado para o nome da sua Organização e adicionar em '''/etc/ssh/sshd_config''' com o parâmetro: '''Banner''' '''/etc/ssh/banner'''. Na sequência só reiniciar o serviço sshd com: '''systemctl restart sshd'''. <br /> *******************************************************************************<br /> * ISPFocus *<br /> * Este acesso e unica e exclusivamente para pessoas autorizadas. *<br /> * Voce esta prestes a acessar uma area Restrita/Privada, podendo conter *<br /> * informacao confidencial e/ou privilegiada. Este acesso sera monitorado. *<br /> * *<br /> * Se voce nao foi autorizado, desde ja fica notificado de abster-se a *<br /> * divulgar, copiar, distribuir, examinar, de qualquer forma, utilizar a *<br /> * informacao contida neste servidor, por ser ilegal, sujeitando o infrator as *<br /> * penas da lei. *<br /> * *<br /> * Precione &lt;Ctrl-D&gt; se voce NAO foi autorizado. *<br /> *******************************************************************************<br /> *******************************************************************************<br /> * ISPFocus *<br /> * This access is solely and exclusively for authorized personnel. *<br /> * You are about to access a Restricted/Private area, which may contain *<br /> * confidential and/or privileged information. This access will be monitored. *<br /> * *<br /> * If you are not authorized, you are hereby notified to refrain from *<br /> * disclosing, copying, distributing, reviewing, or otherwise using the *<br /> * information contained on this server, as it is illegal and will subject *<br /> * the violator to penalties under the law. *<br /> * *<br /> * Press &lt;Ctrl-D&gt; if you are NOT authorized. *<br /> *******************************************************************************<br /> <br /> == Instalando o Google Authenticator no servidor Debian ==<br /> # apt-get install libpam-google-authenticator -y<br /> É necessário que o usuário seja criado localmente no sistema. Exemplo:<br /> # useradd -m -s /bin/bash gondim<br /> Altere em '''/etc/ssh/sshd''' para que esses parâmetros fiquem assim:<br /> KbdInteractiveAuthentication yes<br /> UsePAM yes<br /> PasswordAuthentication yes<br /> Agora vamos gerar os dados para cadastro no '''Google Authenticator''' instalado no smartphone do usuário '''gondim''':<br /> # su - gondim<br /> $ google-authenticator -C -t -d -f -w 3 -Q UTF8 -r 3 -R 30<br /> [[Arquivo:Qrcode.png|nenhum|miniaturadaimagem|916x916px]]<br /> Quando executamos o comando acima, ele gera informações como neste exemplo. Nele temos o '''QR Code''' que facilita a configuração no '''Google Authenticator''', temos a '''secret key''' que também pode ser usado para cadastro e os códigos de emergência para em caso de perda ou roubo do '''smartphone''', o usuário ainda conseguir logar no sistema. <br /> <br /> Seguiremos agora com um exemplo de configuração para autenticação em Servidor Radius.<br /> <br /> == Instalando e configurando o módulo PAM para autenticação em Radius Server ==<br /> # apt install libpam-radius-auth<br /> Edite o arquivo '''/etc/pam_radius_auth.conf''' e deixe configurado nele o apontamento para seu servidor Radius com a secret:<br /> # server[:port] shared_secret timeout (s)<br /> 10.254.254.6 C5or4Zc49z2R 3<br /> Obs.: no seu servidor Radius você precisará liberar em NAS o IP do seu servidor Debian, senão ele não terá autorização para acessar o Radius.<br /> <br /> == Instalando e configurando o módulo PAM para autenticação em Tacacs+ Server ==<br /> Para essa configuração precisaremos do módulo '''pam_tacplus''' só que ele não está mais presente nos pacotes do Debian. Nesse caso baixaremos o código fonte do '''Github''', compilaremos e instalaremos no '''Debian'''.<br /> <br /> Instalando os pacotes que precisaremos:<br /> # apt install git autoconf build-essential libtool automake libpam-dev libssl-dev gnulib<br /> Baixando do repositório do '''Github''':<br /> # cd /usr/local/src<br /> # git clone &lt;nowiki&gt;https://github.com/kravietz/pam_tacplus.git&lt;/nowiki&gt;<br /> Compilando e instalando o '''pam_tacplus''':<br /> # cd pam-tacplus<br /> # gnulib-tool --makefile-name=Makefile.gnulib --libtool --import fcntl crypto/md5 array-list list xlist getrandom realloc-posix explicit_bzero xalloc getopt-gnu<br /> # autoreconf -f -v -i<br /> # ./configure --libdir=/usr/lib/x86_64-linux-gnu<br /> # make<br /> # make install<br /> O módulo usa o serviço PAP no Tacacs+ para autenticação e por isso precisa configurar no seu servidor Tacacs+. Caso esteja usando um servidor Tacacs+ em um GNU/Linux, precisará definir no arquivo de configuração '''tac_plus.conf''' se o '''pap''' usará usuários criados localmente no servidor pelo '''useradd''' ou se usará usuários no próprio arquivo '''tac_plus.conf'''. Abaixo mostro os 2 exemplos:<br /> user = gondim {<br /> member = cgr<br /> pap = file /etc/passwd<br /> }<br /> Neste exemplo acima o usuário foi criado no servidor Tacacs+ com o comando: '''useradd -s /bin/false &lt;user&gt;''' e depois setada a senha com: '''passwd &lt;user&gt;'''.<br /> <br /> OU<br /> user = gondim {<br /> member = cgr<br /> pap = cleartext &lt;senha_forte&gt;<br /> }<br /> Nesse último exemplo você precisará definir a senha do usuário no lugar de '''&lt;senha_forte&gt;'''.<br /> <br /> == Alterando o PAM do Debian GNU/Linux para autenticar usando Google Authenticator e Radius Server ==<br /> Em '''/etc/pam.d/sshd''', antes da linha com '''@include common-auth''', adicione:<br /> auth requisite pam_google_authenticator.so<br /> auth sufficient pam_radius_auth.so<br /> Nesse momento você poderá testar o '''SSH''' para o seu servidor e verá algo assim:<br /> [[Arquivo:Tela autenticacao.png|nenhum|miniaturadaimagem|740x740px]]<br /> Primeiro o sistema irá pedir seu '''token''' do '''Google Authenticator''' e somente se passar o correto é que será solicitada a '''senha cadastrada no seu Radius Server'''.<br /> <br /> Caso necessite que o usuário se torne root utilizando '''sudo''', faça a mesma configuração em '''/etc/pam.d/sudo-i''' e adicione o usuário no '''grupo sudo''' com o comando: '''usermod -aG sudo &lt;user&gt;'''.<br /> <br /> == Alterando o PAM do Debian GNU/Linux para autenticar usando Google Authenticator e Tacacs+ Server ==<br /> Para configurarmos a autenticação usando '''Tacacs+''' e '''Google Authenticator''', faremos a mesma configuração em '''/etc/pam.d/sshd''' e '''/etc/pam.d/sudo-i''' só que um pouco diferente.<br /> auth requisite pam_google_authenticator.so<br /> auth sufficient pam_tacplus.so server=10.254.254.6 secret=&lt;senha_forte&gt;<br /> account sufficient pam_tacplus.so server=10.254.254.6 secret=&lt;senha_forte&gt;<br /> session sufficient pam_tacplus.so server=10.254.254.6 secret=&lt;senha_forte&gt;<br /> Acima o parâmetro '''server=''' é o IP do seu servidor '''Tacacs+''' e '''secret=''' é a '''secret key''' utilizada no seu servidor '''Tacacs+'''.<br /> <br /> Gostou deste artigo? Se lhe foi útil compartilhe também com seus colegas este conteúdo. Precisa de configurar um servidor Radius/Tacacs+ para autenticar usuários em seus sistemas e equipamentos? Nos procure em https://ispfocus.net.br ou através do QR Code abaixo.<br /> [[Arquivo:Qrcode ispfocus.png|nenhum|miniaturadaimagem|283x283px]]<br /> [[Categoria:Artigos Técnicos]]</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Arquivo:Qrcode_ispfocus.png&diff=1100 Arquivo:Qrcode ispfocus.png 2026-02-06T03:33:06Z <p>Gondim: </p> <hr /> <div>Qrcode ispfocus</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Autenticacao_TOTP_Radius_Tacacs_Debian&diff=1099 Autenticacao TOTP Radius Tacacs Debian 2026-02-06T03:29:05Z <p>Gondim: </p> <hr /> <div>[[Arquivo:Ssh_totp_radius_tacacs.png|semmoldura|482x482px]]{{DISPLAYTITLE:Autenticação TOTP + Radius/Tacacs no Debian}}<br /> __TOC__<br /> == Introdução ==<br /> A administração remota de servidores '''GNU/Linux''' é algo que precisamos estar sempre atentos com a segurança. Filtros de pacotes para bloquear e/ou liberar acessos, ajustes para serviços não ficarem expostos sem necessidade, uso de IPs privados quando possível, aplicar atualizações quando disponíveis, monitoramento dos logs e file system são coisas básicas para todo sysadmin. Boa parte destas tarefas necessitam de acesso remoto aos servidores via '''SSH''' e esse serviço precisa ser bem cuidado para que seu servidor não seja comprometido. Outro fator importante é quando administra diversos servidores em uma empresa juntamente com outros sysadmins e em algum momento alguém é desligado da empresa ou entrou de férias. Imagina ter que entrar em cada servidor para remover ou bloquear os acessos. Imagina fazer isso com 100, 500, 1000 VMs. Neste artigo iremos configurar um servidor Debian para autenticar via '''Radius''' ou '''Tacacs+''' e ainda usar 2FA com Google Authenticator. O '''Radius''' e o '''Tacacs+''' darão controle para administração centralizada da autenticação dos usuários e o '''Google Authenticator''' adiciona uma camada de segurança no acesso '''SSH'''.<br /> <br /> == Pré-requisitos ==<br /> Para que nosso ambiente funcione precisaremos:<br /> <br /> * Um servidor '''Radius''' ou '''Tacacs+''' já em produção. Melhor ainda se estiverem em '''HA (High Availability)''', pois como estamos lidando com acessos críticos de equipamentos e servidores, precisamos garantir que em caso de falha no autenticador principal, um secundário assuma essa função e a operação não seja impactada.<br /> * O servidor precisar ter acesso sainte para a '''Internet''', pode ser através de '''NAT'''. Se faz necessário para instalação dos pacotes e download do projeto '''pam_tacplus''' via '''Github''' caso use autenticação via '''Tacacs+.'''<br /> * Os comandos aqui serão executados em um '''Debian 13 (Trixie)''' mas poderão ser adaptados para serem executados em outras '''distribuições GNU/Linux'''.<br /> <br /> == Banner no SSH ==<br /> Primeiramente é interessante comentar que ter um banner informando que o acesso só é permitido para pessoas autorizadas, é uma boa prática. Então aqui vai um exemplo de banner, basta criar o arquivo '''/etc/ssh/banner''' com o conteúdo abaixo e alterado para o nome da sua Organização e adicionar em '''/etc/ssh/sshd_config''' com o parâmetro: '''Banner''' '''/etc/ssh/banner'''. Na sequência só reiniciar o serviço sshd com: '''systemctl restart sshd'''. <br /> *******************************************************************************<br /> * ISPFocus *<br /> * Este acesso e unica e exclusivamente para pessoas autorizadas. *<br /> * Voce esta prestes a acessar uma area Restrita/Privada, podendo conter *<br /> * informacao confidencial e/ou privilegiada. Este acesso sera monitorado. *<br /> * *<br /> * Se voce nao foi autorizado, desde ja fica notificado de abster-se a *<br /> * divulgar, copiar, distribuir, examinar, de qualquer forma, utilizar a *<br /> * informacao contida neste servidor, por ser ilegal, sujeitando o infrator as *<br /> * penas da lei. *<br /> * *<br /> * Precione &lt;Ctrl-D&gt; se voce NAO foi autorizado. *<br /> *******************************************************************************<br /> *******************************************************************************<br /> * ISPFocus *<br /> * This access is solely and exclusively for authorized personnel. *<br /> * You are about to access a Restricted/Private area, which may contain *<br /> * confidential and/or privileged information. This access will be monitored. *<br /> * *<br /> * If you are not authorized, you are hereby notified to refrain from *<br /> * disclosing, copying, distributing, reviewing, or otherwise using the *<br /> * information contained on this server, as it is illegal and will subject *<br /> * the violator to penalties under the law. *<br /> * *<br /> * Press &lt;Ctrl-D&gt; if you are NOT authorized. *<br /> *******************************************************************************<br /> <br /> == Instalando o Google Authenticator no servidor Debian ==<br /> # apt-get install libpam-google-authenticator -y<br /> É necessário que o usuário seja criado localmente no sistema. Exemplo:<br /> # useradd -m -s /bin/bash gondim<br /> Altere em '''/etc/ssh/sshd''' para que esses parâmetros fiquem assim:<br /> KbdInteractiveAuthentication yes<br /> UsePAM yes<br /> PasswordAuthentication yes<br /> Agora vamos gerar os dados para cadastro no '''Google Authenticator''' instalado no smartphone do usuário '''gondim''':<br /> # su - gondim<br /> $ google-authenticator -C -t -d -f -w 3 -Q UTF8 -r 3 -R 30<br /> [[Arquivo:Qrcode.png|nenhum|miniaturadaimagem|916x916px]]<br /> Quando executamos o comando acima, ele gera informações como neste exemplo. Nele temos o '''QR Code''' que facilita a configuração no '''Google Authenticator''', temos a '''secret key''' que também pode ser usado para cadastro e os códigos de emergência para em caso de perda ou roubo do '''smartphone''', o usuário ainda conseguir logar no sistema. <br /> <br /> Seguiremos agora com um exemplo de configuração para autenticação em Servidor Radius.<br /> <br /> == Instalando e configurando o módulo PAM para autenticação em Radius Server ==<br /> # apt install libpam-radius-auth<br /> Edite o arquivo '''/etc/pam_radius_auth.conf''' e deixe configurado nele o apontamento para seu servidor Radius com a secret:<br /> # server[:port] shared_secret timeout (s)<br /> 10.254.254.6 C5or4Zc49z2R 3<br /> Obs.: no seu servidor Radius você precisará liberar em NAS o IP do seu servidor Debian, senão ele não terá autorização para acessar o Radius.<br /> <br /> == Instalando e configurando o módulo PAM para autenticação em Tacacs+ Server ==<br /> Para essa configuração precisaremos do módulo '''pam_tacplus''' só que ele não está mais presente nos pacotes do Debian. Nesse caso baixaremos o código fonte do '''Github''', compilaremos e instalaremos no '''Debian'''.<br /> <br /> Instalando os pacotes que precisaremos:<br /> # apt install git autoconf build-essential libtool automake libpam-dev libssl-dev gnulib<br /> Baixando do repositório do '''Github''':<br /> # cd /usr/local/src<br /> # git clone &lt;nowiki&gt;https://github.com/kravietz/pam_tacplus.git&lt;/nowiki&gt;<br /> Compilando e instalando o '''pam_tacplus''':<br /> # cd pam-tacplus<br /> # gnulib-tool --makefile-name=Makefile.gnulib --libtool --import fcntl crypto/md5 array-list list xlist getrandom realloc-posix explicit_bzero xalloc getopt-gnu<br /> # autoreconf -f -v -i<br /> # ./configure --libdir=/usr/lib/x86_64-linux-gnu<br /> # make<br /> # make install<br /> O módulo usa o serviço PAP no Tacacs+ para autenticação e por isso precisa configurar no seu servidor Tacacs+. Caso esteja usando um servidor Tacacs+ em um GNU/Linux, precisará definir no arquivo de configuração '''tac_plus.conf''' se o '''pap''' usará usuários criados localmente no servidor pelo '''useradd''' ou se usará usuários no próprio arquivo '''tac_plus.conf'''. Abaixo mostro os 2 exemplos:<br /> user = gondim {<br /> member = cgr<br /> pap = file /etc/passwd<br /> }<br /> Neste exemplo acima o usuário foi criado no servidor Tacacs+ com o comando: '''useradd -s /bin/false &lt;user&gt;''' e depois setada a senha com: '''passwd &lt;user&gt;'''.<br /> <br /> OU<br /> user = gondim {<br /> member = cgr<br /> pap = cleartext &lt;senha_forte&gt;<br /> }<br /> Nesse último exemplo você precisará definir a senha do usuário no lugar de '''&lt;senha_forte&gt;'''.<br /> <br /> == Alterando o PAM do Debian GNU/Linux para autenticar usando Google Authenticator e Radius Server ==<br /> Em '''/etc/pam.d/sshd''', antes da linha com '''@include common-auth''', adicione:<br /> auth requisite pam_google_authenticator.so<br /> auth sufficient pam_radius_auth.so<br /> Nesse momento você poderá testar o '''SSH''' para o seu servidor e verá algo assim:<br /> [[Arquivo:Tela autenticacao.png|nenhum|miniaturadaimagem|740x740px]]<br /> Primeiro o sistema irá pedir seu '''token''' do '''Google Authenticator''' e somente se passar o correto é que será solicitada a '''senha cadastrada no seu Radius Server'''.<br /> <br /> Caso necessite que o usuário se torne root utilizando '''sudo''', faça a mesma configuração em '''/etc/pam.d/sudo-i''' e adicione o usuário no '''grupo sudo''' com o comando: '''usermod -aG sudo &lt;user&gt;'''.<br /> <br /> == Alterando o PAM do Debian GNU/Linux para autenticar usando Google Authenticator e Tacacs+ Server ==<br /> Para configurarmos a autenticação usando '''Tacacs+''' e '''Google Authenticator''', faremos a mesma configuração em '''/etc/pam.d/sshd''' e '''/etc/pam.d/sudo-i''' só que um pouco diferente.<br /> auth requisite pam_google_authenticator.so<br /> auth sufficient pam_tacplus.so server=10.254.254.6 secret=&lt;senha_forte&gt;<br /> account sufficient pam_tacplus.so server=10.254.254.6 secret=&lt;senha_forte&gt;<br /> session sufficient pam_tacplus.so server=10.254.254.6 secret=&lt;senha_forte&gt;<br /> Acima o parâmetro '''server=''' é o IP do seu servidor '''Tacacs+''' e '''secret=''' é a '''secret key''' utilizada no seu servidor '''Tacacs+'''.</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Autenticacao_TOTP_Radius_Tacacs_Debian&diff=1098 Autenticacao TOTP Radius Tacacs Debian 2026-02-06T03:25:43Z <p>Gondim: </p> <hr /> <div>[[Arquivo:Ssh_totp_radius_tacacs.png|semmoldura|482x482px]]{{DISPLAYTITLE:Autenticação TOTP + Radius/Tacacs no Debian}}<br /> __TOC__<br /> == Introdução ==<br /> A administração remota de servidores '''GNU/Linux''' é algo que precisamos estar sempre atentos com a segurança. Filtros de pacotes para bloquear e/ou liberar acessos, ajustes para serviços não ficarem expostos sem necessidade, uso de IPs privados quando possível, aplicar atualizações quando disponíveis, monitoramento dos logs e file system são coisas básicas para todo sysadmin. Boa parte destas tarefas necessitam de acesso remoto aos servidores via '''SSH''' e esse serviço precisa ser bem cuidado para que seu servidor não seja comprometido. Outro fator importante é quando administra diversos servidores em uma empresa juntamente com outros sysadmins e em algum momento alguém é desligado da empresa ou entrou de férias. Imagina ter que entrar em cada servidor para remover ou bloquear os acessos. Imagina fazer isso com 100, 500, 1000 VMs. Neste artigo iremos configurar um servidor Debian para autenticar via '''Radius''' ou '''Tacacs+''' e ainda usar 2FA com Google Authenticator. O '''Radius''' e o '''Tacacs+''' darão controle para administração centralizada da autenticação dos usuários e o '''Google Authenticator''' adiciona uma camada de segurança no acesso '''SSH'''.<br /> <br /> == Pré-requisitos ==<br /> Para que nosso ambiente funcione precisaremos:<br /> <br /> * Um servidor '''Radius''' ou '''Tacacs+''' já em produção. Melhor ainda se estiverem em '''HA (High Availability)''', pois como estamos lidando com acessos críticos de equipamentos e servidores, precisamos garantir que em caso de falha no autenticador principal, um secundário assuma essa função e a operação não seja impactada.<br /> * O servidor precisar ter acesso sainte para a '''Internet''', pode ser através de '''NAT'''. Se faz necessário para instalação dos pacotes e download do projeto '''pam_tacplus''' via '''Github''' caso use autenticação via '''Tacacs+.'''<br /> * Os comandos aqui serão executados em um '''Debian 13 (Trixie)''' mas poderão ser adaptados para serem executados em outras '''distribuições GNU/Linux'''.<br /> <br /> == Banner no SSH ==<br /> Primeiramente é interessante comentar que ter um banner informando que o acesso só é permitido para pessoas autorizadas, é uma boa prática. Então aqui vai um exemplo de banner, basta criar o arquivo '''/etc/ssh/banner''' com o conteúdo abaixo e alterado para o nome da sua Organização e adicionar em '''/etc/ssh/sshd_config''' com o parâmetro: '''Banner''' '''/etc/ssh/banner'''. Na sequência só reiniciar o serviço sshd com: '''systemctl restart sshd'''. <br /> *******************************************************************************<br /> * ISPFocus *<br /> * Este acesso e unica e exclusivamente para pessoas autorizadas. *<br /> * Voce esta prestes a acessar uma area Restrita/Privada, podendo conter *<br /> * informacao confidencial e/ou privilegiada. Este acesso sera monitorado. *<br /> * *<br /> * Se voce nao foi autorizado, desde ja fica notificado de abster-se a *<br /> * divulgar, copiar, distribuir, examinar, de qualquer forma, utilizar a *<br /> * informacao contida neste servidor, por ser ilegal, sujeitando o infrator as *<br /> * penas da lei. *<br /> * *<br /> * Precione &lt;Ctrl-D&gt; se voce NAO foi autorizado. *<br /> *******************************************************************************<br /> *******************************************************************************<br /> * ISPFocus *<br /> * This access is solely and exclusively for authorized personnel. *<br /> * You are about to access a Restricted/Private area, which may contain *<br /> * confidential and/or privileged information. This access will be monitored. *<br /> * *<br /> * If you are not authorized, you are hereby notified to refrain from *<br /> * disclosing, copying, distributing, reviewing, or otherwise using the *<br /> * information contained on this server, as it is illegal and will subject *<br /> * the violator to penalties under the law. *<br /> * *<br /> * Press &lt;Ctrl-D&gt; if you are NOT authorized. *<br /> *******************************************************************************<br /> <br /> == Instalando o Google Authenticator no servidor Debian ==<br /> # apt-get install libpam-google-authenticator -y<br /> É necessário que o usuário seja criado localmente no sistema. Exemplo:<br /> # useradd -m -s /bin/bash gondim<br /> Altere em '''/etc/ssh/sshd''' para que esses parâmetros fiquem assim:<br /> KbdInteractiveAuthentication yes<br /> UsePAM yes<br /> PasswordAuthentication yes<br /> Agora vamos gerar os dados para cadastro no '''Google Authenticator''' instalado no smartphone do usuário '''gondim''':<br /> # su - gondim<br /> $ google-authenticator -C -t -d -f -w 3 -Q UTF8 -r 3 -R 30<br /> [[Arquivo:Qrcode.png|nenhum|miniaturadaimagem|916x916px]]<br /> Quando executamos o comando acima, ele gera informações como neste exemplo. Nele temos o '''QR Code''' que facilita a configuração no '''Google Authenticator''', temos a '''secret key''' que também pode ser usado para cadastro e os códigos de emergência para em caso de perda ou roubo do '''smartphone''', o usuário ainda conseguir logar no sistema. <br /> <br /> Seguiremos agora com um exemplo de configuração para autenticação em Servidor Radius.<br /> <br /> == Instalando e configurando o módulo PAM para autenticação em Radius Server ==<br /> # apt install libpam-radius-auth<br /> Edite o arquivo '''/etc/pam_radius_auth.conf''' e deixe configurado nele o apontamento para seu servidor Radius com a secret:<br /> # server[:port] shared_secret timeout (s)<br /> 10.254.254.6 C5or4Zc49z2R 3<br /> Obs.: no seu servidor Radius você precisará liberar em NAS o IP do seu servidor Debian, senão ele não terá autorização para acessar o Radius.<br /> <br /> == Instalando e configurando o módulo PAM para autenticação em Tacacs+ Server ==<br /> Para essa configuração precisaremos do módulo '''pam_tacplus''' só que ele não está mais presente nos pacotes do Debian. Nesse caso baixaremos o código fonte do '''Github''', compilaremos e instalaremos no '''Debian'''.<br /> <br /> Instalando os pacotes que precisaremos:<br /> # apt install git autoconf build-essential libtool automake libpam-dev libssl-dev gnulib<br /> Baixando do repositório do '''Github''':<br /> # cd /usr/local/src<br /> # git clone &lt;nowiki&gt;https://github.com/kravietz/pam_tacplus.git&lt;/nowiki&gt;<br /> Compilando e instalando o '''pam_tacplus''':<br /> # cd pam-tacplus<br /> # gnulib-tool --makefile-name=Makefile.gnulib --libtool --import fcntl crypto/md5 array-list list xlist getrandom realloc-posix explicit_bzero xalloc getopt-gnu<br /> # autoreconf -f -v -i<br /> # ./configure --libdir=/usr/lib/x86_64-linux-gnu<br /> # make<br /> # make install<br /> O módulo usa o serviço PAP no Tacacs+ para autenticação e por isso precisa configurar no seu servidor Tacacs+. Caso esteja usando um servidor Tacacs+ em um GNU/Linux, precisará definir no arquivo de configuração '''tac_plus.conf''' se o '''pap''' usará usuários criados localmente no servidor pelo '''useradd''' ou se usará usuários no próprio arquivo '''tac_plus.conf'''. Abaixo mostro os 2 exemplos:<br /> user = gondim {<br /> member = cgr<br /> pap = file /etc/passwd<br /> }<br /> Neste exemplo acima o usuário foi criado no servidor Tacacs+ com o comando: '''useradd -s /bin/false &lt;user&gt;''' e depois setada a senha com: '''passwd &lt;user&gt;'''.<br /> <br /> OU<br /> user = gondim {<br /> member = cgr<br /> pap = cleartext &lt;senha_forte&gt;<br /> }<br /> Nesse último exemplo você precisará definir a senha do usuário no lugar de '''&lt;senha_forte&gt;'''.<br /> <br /> == Alterando o PAM do Debian GNU/Linux para autenticar usando Google Authenticator e Radius Server ==<br /> Em '''/etc/pam.d/sshd''', antes da linha com '''@include common-auth''', adicione:<br /> auth requisite pam_google_authenticator.so<br /> auth sufficient pam_radius_auth.so<br /> Nesse momento você poderá testar o '''SSH''' para o seu servidor e verá algo assim:<br /> [[Arquivo:Tela autenticacao.png|nenhum|miniaturadaimagem|740x740px]]<br /> Primeiro o sistema irá pedir seu '''token''' do '''Google Authenticator''' e somente se passar o correto é que será solicitada a '''senha cadastrada no seu Radius Server'''.<br /> <br /> Caso necessite que o usuário se torne root utilizando '''sudo''', faça a mesma configuração em '''/etc/pam.d/sudo-i''' e adicione o usuário no '''grupo sudo''' com o comando: '''usermod -aG sudo &lt;user&gt;'''.<br /> <br /> == Alterando o PAM do Debian GNU/Linux para autenticar usando Google Authenticator e Tacacs+ Server ==<br /> Para configurarmos a autenticação usando '''Tacacs+''' e '''Google Authenticator''', faremos a mesma configuração em '''/etc/pam.d/sshd''' e '''/etc/pam.d/sudo-i''' só que um pouco diferente.</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Autenticacao_TOTP_Radius_Tacacs_Debian&diff=1097 Autenticacao TOTP Radius Tacacs Debian 2026-02-06T03:21:01Z <p>Gondim: </p> <hr /> <div>[[Arquivo:Ssh_totp_radius_tacacs.png|semmoldura|482x482px]]{{DISPLAYTITLE:Autenticação TOTP + Radius/Tacacs no Debian}}<br /> __TOC__<br /> == Introdução ==<br /> A administração remota de servidores '''GNU/Linux''' é algo que precisamos estar sempre atentos com a segurança. Filtros de pacotes para bloquear e/ou liberar acessos, ajustes para serviços não ficarem expostos sem necessidade, uso de IPs privados quando possível, aplicar atualizações quando disponíveis, monitoramento dos logs e file system são coisas básicas para todo sysadmin. Boa parte destas tarefas necessitam de acesso remoto aos servidores via '''SSH''' e esse serviço precisa ser bem cuidado para que seu servidor não seja comprometido. Outro fator importante é quando administra diversos servidores em uma empresa juntamente com outros sysadmins e em algum momento alguém é desligado da empresa ou entrou de férias. Imagina ter que entrar em cada servidor para remover ou bloquear os acessos. Imagina fazer isso com 100, 500, 1000 VMs. Neste artigo iremos configurar um servidor Debian para autenticar via '''Radius''' ou '''Tacacs+''' e ainda usar 2FA com Google Authenticator. O '''Radius''' e o '''Tacacs+''' darão controle para administração centralizada da autenticação dos usuários e o '''Google Authenticator''' adiciona uma camada de segurança no acesso '''SSH'''.<br /> <br /> == Pré-requisitos ==<br /> Para que nosso ambiente funcione precisaremos:<br /> <br /> * Um servidor '''Radius''' ou '''Tacacs+''' já em produção. Melhor ainda se estiverem em '''HA (High Availability)''', pois como estamos lidando com acessos críticos de equipamentos e servidores, precisamos garantir que em caso de falha no autenticador principal, um secundário assuma essa função e a operação não seja impactada.<br /> * O servidor precisar ter acesso sainte para a '''Internet''', pode ser através de '''NAT'''. Se faz necessário para instalação dos pacotes e download do projeto '''pam_tacplus''' via '''Github''' caso use autenticação via '''Tacacs+.'''<br /> * Os comandos aqui serão executados em um '''Debian 13 (Trixie)''' mas poderão ser adaptados para serem executados em outras '''distribuições GNU/Linux'''.<br /> <br /> == Banner no SSH ==<br /> Primeiramente é interessante comentar que ter um banner informando que o acesso só é permitido para pessoas autorizadas, é uma boa prática. Então aqui vai um exemplo de banner, basta criar o arquivo '''/etc/ssh/banner''' com o conteúdo abaixo e alterado para o nome da sua Organização e adicionar em '''/etc/ssh/sshd_config''' com o parâmetro: '''Banner''' '''/etc/ssh/banner'''. Na sequência só reiniciar o serviço sshd com: '''systemctl restart sshd'''. <br /> *******************************************************************************<br /> * ISPFocus *<br /> * Este acesso e unica e exclusivamente para pessoas autorizadas. *<br /> * Voce esta prestes a acessar uma area Restrita/Privada, podendo conter *<br /> * informacao confidencial e/ou privilegiada. Este acesso sera monitorado. *<br /> * *<br /> * Se voce nao foi autorizado, desde ja fica notificado de abster-se a *<br /> * divulgar, copiar, distribuir, examinar, de qualquer forma, utilizar a *<br /> * informacao contida neste servidor, por ser ilegal, sujeitando o infrator as *<br /> * penas da lei. *<br /> * *<br /> * Precione &lt;Ctrl-D&gt; se voce NAO foi autorizado. *<br /> *******************************************************************************<br /> *******************************************************************************<br /> * ISPFocus *<br /> * This access is solely and exclusively for authorized personnel. *<br /> * You are about to access a Restricted/Private area, which may contain *<br /> * confidential and/or privileged information. This access will be monitored. *<br /> * *<br /> * If you are not authorized, you are hereby notified to refrain from *<br /> * disclosing, copying, distributing, reviewing, or otherwise using the *<br /> * information contained on this server, as it is illegal and will subject *<br /> * the violator to penalties under the law. *<br /> * *<br /> * Press &lt;Ctrl-D&gt; if you are NOT authorized. *<br /> *******************************************************************************<br /> <br /> == Instalando o Google Authenticator no servidor Debian ==<br /> # apt-get install libpam-google-authenticator -y<br /> É necessário que o usuário seja criado localmente no sistema. Exemplo:<br /> # useradd -m -s /bin/bash gondim<br /> Altere em '''/etc/ssh/sshd''' para que esses parâmetros fiquem assim:<br /> KbdInteractiveAuthentication yes<br /> UsePAM yes<br /> PasswordAuthentication yes<br /> Agora vamos gerar os dados para cadastro no '''Google Authenticator''' instalado no smartphone do usuário '''gondim''':<br /> # su - gondim<br /> $ google-authenticator -C -t -d -f -w 3 -Q UTF8 -r 3 -R 30<br /> [[Arquivo:Qrcode.png|nenhum|miniaturadaimagem|916x916px]]<br /> Quando executamos o comando acima, ele gera informações como neste exemplo. Nele temos o '''QR Code''' que facilita a configuração no '''Google Authenticator''', temos a '''secret key''' que também pode ser usado para cadastro e os códigos de emergência para em caso de perda ou roubo do '''smartphone''', o usuário ainda conseguir logar no sistema. <br /> <br /> Seguiremos agora com um exemplo de configuração para autenticação em Servidor Radius.<br /> <br /> == Instalando e configurando o módulo PAM para autenticação em Radius Server ==<br /> # apt install libpam-radius-auth<br /> Edite o arquivo '''/etc/pam_radius_auth.conf''' e deixe configurado nele o apontamento para seu servidor Radius com a secret:<br /> # server[:port] shared_secret timeout (s)<br /> 10.254.254.6 C5or4Zc49z2R 3<br /> Obs.: no seu servidor Radius você precisará liberar em NAS o IP do seu servidor Debian, senão ele não terá autorização para acessar o Radius.<br /> <br /> == Instalando e configurando o módulo PAM para autenticação em Tacacs+ Server ==<br /> Para essa configuração precisaremos do módulo '''pam_tacplus''' só que ele não está mais presente nos pacotes do Debian. Nesse caso baixaremos o código fonte do '''Github''', compilaremos e instalaremos no '''Debian'''.<br /> <br /> Instalando os pacotes que precisaremos:<br /> # apt install git autoconf build-essential libtool automake libpam-dev libssl-dev gnulib<br /> Baixando do repositório do '''Github''':<br /> # cd /usr/local/src<br /> # git clone &lt;nowiki&gt;https://github.com/kravietz/pam_tacplus.git&lt;/nowiki&gt;<br /> Compilando e instalando o '''pam_tacplus''':<br /> # cd pam-tacplus<br /> # gnulib-tool --makefile-name=Makefile.gnulib --libtool --import fcntl crypto/md5 array-list list xlist getrandom realloc-posix explicit_bzero xalloc getopt-gnu<br /> # autoreconf -f -v -i<br /> # ./configure --libdir=/usr/lib/x86_64-linux-gnu<br /> # make<br /> # make install<br /> O módulo usa o serviço PAP no Tacacs+ para autenticação e por isso precisa configurar no seu servidor Tacacs+. Caso esteja usando um servidor Tacacs+ em um GNU/Linux, precisará definir no arquivo de configuração '''tac_plus.conf''' se o '''pap''' usará usuários criados localmente no servidor pelo '''useradd''' ou se usará usuários no próprio arquivo '''tac_plus.conf'''. Abaixo mostro os 2 exemplos:<br /> user = gondim {<br /> member = cgr<br /> pap = file /etc/passwd<br /> }<br /> Neste exemplo acima o usuário foi criado no servidor Tacacs+ com o comando: '''useradd -s /bin/false &lt;user&gt;''' e depois setada a senha com: '''passwd &lt;user&gt;'''.<br /> <br /> OU<br /> user = gondim {<br /> member = cgr<br /> pap = cleartext &lt;senha_forte&gt;<br /> }<br /> Nesse último exemplo você precisará definir a senha do usuário no lugar de '''&lt;senha_forte&gt;'''.<br /> <br /> == Alterando o PAM do Debian GNU/Linux para autenticar usando Google Authenticator e Radius Server ==<br /> Em '''/etc/pam.d/sshd''', antes da linha com '''@include common-auth''', adicione:<br /> auth requisite pam_google_authenticator.so<br /> auth sufficient pam_radius_auth.so<br /> Nesse momento você poderá testar o '''SSH''' para o seu servidor e verá algo assim:<br /> [[Arquivo:Tela autenticacao.png|nenhum|miniaturadaimagem|740x740px]]<br /> Primeiro o sistema irá pedir seu '''token''' do '''Google Authenticator''' e somente se passar o correto é que será solicitada a '''senha cadastrada no seu Radius Server'''.<br /> <br /> == Alterando o PAM do Debian GNU/Linux para autenticar usando Google Authenticator e Tacacs+ Server ==</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Autenticacao_TOTP_Radius_Tacacs_Debian&diff=1096 Autenticacao TOTP Radius Tacacs Debian 2026-02-06T02:53:04Z <p>Gondim: </p> <hr /> <div>[[Arquivo:Ssh_totp_radius_tacacs.png|semmoldura|482x482px]]{{DISPLAYTITLE:Autenticação TOTP + Radius/Tacacs no Debian}}<br /> __TOC__<br /> == Introdução ==<br /> A administração remota de servidores '''GNU/Linux''' é algo que precisamos estar sempre atentos com a segurança. Filtros de pacotes para bloquear e/ou liberar acessos, ajustes para serviços não ficarem expostos sem necessidade, uso de IPs privados quando possível, aplicar atualizações quando disponíveis, monitoramento dos logs e file system são coisas básicas para todo sysadmin. Boa parte destas tarefas necessitam de acesso remoto aos servidores via '''SSH''' e esse serviço precisa ser bem cuidado para que seu servidor não seja comprometido. Outro fator importante é quando administra diversos servidores em uma empresa juntamente com outros sysadmins e em algum momento alguém é desligado da empresa ou entrou de férias. Imagina ter que entrar em cada servidor para remover ou bloquear os acessos. Imagina fazer isso com 100, 500, 1000 VMs. Neste artigo iremos configurar um servidor Debian para autenticar via '''Radius''' ou '''Tacacs+''' e ainda usar 2FA com Google Authenticator. O '''Radius''' e o '''Tacacs+''' darão controle para administração centralizada da autenticação dos usuários e o '''Google Authenticator''' adiciona uma camada de segurança no acesso '''SSH'''.<br /> <br /> == Pré-requisitos ==<br /> Para que nosso ambiente funcione precisaremos:<br /> <br /> * Um servidor '''Radius''' ou '''Tacacs+''' já em produção. Melhor ainda se estiverem em '''HA (High Availability)''', pois como estamos lidando com acessos críticos de equipamentos e servidores, precisamos garantir que em caso de falha no autenticador principal, um secundário assuma essa função e a operação não seja impactada.<br /> * O servidor precisar ter acesso sainte para a '''Internet''', pode ser através de '''NAT'''. Se faz necessário para instalação dos pacotes e download do projeto '''pam_tacplus''' via '''Github''' caso use autenticação via '''Tacacs+.'''<br /> * Os comandos aqui serão executados em um '''Debian 13 (Trixie)''' mas poderão ser adaptados para serem executados em outras '''distribuições GNU/Linux'''.<br /> <br /> == Banner no SSH ==<br /> Primeiramente é interessante comentar que ter um banner informando que o acesso só é permitido para pessoas autorizadas, é uma boa prática. Então aqui vai um exemplo de banner, basta criar o arquivo '''/etc/ssh/banner''' com o conteúdo abaixo e alterado para o nome da sua Organização e adicionar em '''/etc/ssh/sshd_config''' com o parâmetro: '''Banner''' '''/etc/ssh/banner'''. Na sequência só reiniciar o serviço sshd com: '''systemctl restart sshd'''. <br /> *******************************************************************************<br /> * ISPFocus *<br /> * Este acesso e unica e exclusivamente para pessoas autorizadas. *<br /> * Voce esta prestes a acessar uma area Restrita/Privada, podendo conter *<br /> * informacao confidencial e/ou privilegiada. Este acesso sera monitorado. *<br /> * *<br /> * Se voce nao foi autorizado, desde ja fica notificado de abster-se a *<br /> * divulgar, copiar, distribuir, examinar, de qualquer forma, utilizar a *<br /> * informacao contida neste servidor, por ser ilegal, sujeitando o infrator as *<br /> * penas da lei. *<br /> * *<br /> * Precione &lt;Ctrl-D&gt; se voce NAO foi autorizado. *<br /> *******************************************************************************<br /> *******************************************************************************<br /> * ISPFocus *<br /> * This access is solely and exclusively for authorized personnel. *<br /> * You are about to access a Restricted/Private area, which may contain *<br /> * confidential and/or privileged information. This access will be monitored. *<br /> * *<br /> * If you are not authorized, you are hereby notified to refrain from *<br /> * disclosing, copying, distributing, reviewing, or otherwise using the *<br /> * information contained on this server, as it is illegal and will subject *<br /> * the violator to penalties under the law. *<br /> * *<br /> * Press &lt;Ctrl-D&gt; if you are NOT authorized. *<br /> *******************************************************************************<br /> <br /> == Instalando o Google Authenticator no servidor Debian ==<br /> # apt-get install libpam-google-authenticator -y<br /> É necessário que o usuário seja criado localmente no sistema. Exemplo:<br /> # useradd -m -s /bin/bash gondim<br /> Altere em '''/etc/ssh/sshd''' para que esses parâmetros fiquem assim:<br /> KbdInteractiveAuthentication yes<br /> UsePAM yes<br /> PasswordAuthentication yes<br /> Agora vamos gerar os dados para cadastro no '''Google Authenticator''' instalado no smartphone do usuário '''gondim''':<br /> # su - gondim<br /> $ google-authenticator -C -t -d -f -w 3 -Q UTF8 -r 3 -R 30<br /> [[Arquivo:Qrcode.png|nenhum|miniaturadaimagem|916x916px]]<br /> Quando executamos o comando acima, ele gera informações como neste exemplo. Nele temos o '''QR Code''' que facilita a configuração no '''Google Authenticator''', temos a '''secret key''' que também pode ser usado para cadastro e os códigos de emergência para em caso de perda ou roubo do '''smartphone''', o usuário ainda conseguir logar no sistema. <br /> <br /> Seguiremos agora com um exemplo de configuração para autenticação em Servidor Radius.<br /> <br /> == Instalando e configurando o módulo PAM para autenticação em Radius Server ==<br /> # apt install libpam-radius-auth<br /> Edite o arquivo '''/etc/pam_radius_auth.conf''' e deixe configurado nele o apontamento para seu servidor Radius com a secret:<br /> # server[:port] shared_secret timeout (s)<br /> 10.254.254.6 C5or4Zc49z2R 3<br /> Obs.: no seu servidor Radius você precisará liberar em NAS o IP do seu servidor Debian, senão ele não terá autorização para acessar o Radius.<br /> <br /> == Instalando e configurando o módulo PAM para autenticação em Tacacs+ Server ==<br /> Para essa configuração precisaremos do módulo '''pam_tacplus''' só que ele não está mais presente nos pacotes do Debian. Nesse caso baixaremos o código fonte do '''Github''', compilaremos e instalaremos no '''Debian'''.<br /> <br /> Instalando os pacotes que precisaremos:<br /> # apt install git autoconf build-essential libtool automake libpam-dev libssl-dev gnulib<br /> Baixando do repositório do '''Github''':<br /> # cd /usr/local/src<br /> # git clone &lt;nowiki&gt;https://github.com/kravietz/pam_tacplus.git&lt;/nowiki&gt;<br /> Compilando e instalando o '''pam_tacplus''':<br /> # cd pam-tacplus<br /> # gnulib-tool --makefile-name=Makefile.gnulib --libtool --import fcntl crypto/md5 array-list list xlist getrandom realloc-posix explicit_bzero xalloc getopt-gnu<br /> # autoreconf -f -v -i<br /> # ./configure --libdir=/usr/lib/x86_64-linux-gnu<br /> # make<br /> # make install<br /> O módulo usa o serviço PAP no Tacacs+ para autenticação e por isso precisa configurar no seu servidor Tacacs+. Caso esteja usando um servidor Tacacs+ em um GNU/Linux, precisará definir no arquivo de configuração '''tac_plus.conf''' se o '''pap''' usará usuários criados localmente no servidor pelo '''useradd''' ou se usará usuários no próprio arquivo '''tac_plus.conf'''. Abaixo mostro os 2 exemplos:<br /> user = gondim {<br /> member = cgr<br /> pap = file /etc/passwd<br /> }<br /> Neste exemplo acima o usuário foi criado no servidor Tacacs+ com o comando: '''useradd -s /bin/false &lt;user&gt;''' e depois setada a senha com: '''passwd &lt;user&gt;'''.<br /> <br /> OU<br /> user = gondim {<br /> member = cgr<br /> pap = cleartext &lt;senha_forte&gt;<br /> }<br /> Nesse último exemplo você precisará definir a senha do usuário no lugar de '''&lt;senha_forte&gt;'''.<br /> <br /> == Alterando o PAM do Debian GNU/Linux para autenticar usando Google Authenticator e Radius Server ==<br /> Em '''/etc/pam.d/sshd''', antes da linha com '''@include common-auth''', adicione:<br /> auth requisite pam_google_authenticator.so<br /> auth sufficient pam_radius_auth.so<br /> Nesse momento você poderá testar o '''SSH''' para o seu servidor e verá algo assim:<br /> [[Arquivo:Tela autenticacao.png|nenhum|miniaturadaimagem|740x740px]]<br /> Primeiro o sistema irá pedir seu '''token''' do '''Google Authenticator''' e somente se passar o correto é que será solicitada a '''senha cadastrada no seu Radius Server'''.</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Autenticacao_TOTP_Radius_Tacacs_Debian&diff=1094 Autenticacao TOTP Radius Tacacs Debian 2026-02-06T01:59:34Z <p>Gondim: </p> <hr /> <div>[[Arquivo:Ssh_totp_radius_tacacs.png|semmoldura|482x482px]]{{DISPLAYTITLE:Autenticação TOTP + Radius/Tacacs no Debian}}<br /> __TOC__<br /> == Introdução ==<br /> A administração remota de servidores '''GNU/Linux''' é algo que precisamos estar sempre atentos com a segurança. Filtros de pacotes para bloquear e/ou liberar acessos, ajustes para serviços não ficarem expostos sem necessidade, uso de IPs privados quando possível, aplicar atualizações quando disponíveis, monitoramento dos logs e file system são coisas básicas para todo sysadmin. Boa parte destas tarefas necessitam de acesso remoto aos servidores via '''SSH''' e esse serviço precisa ser bem cuidado para que seu servidor não seja comprometido. Outro fator importante é quando administra diversos servidores em uma empresa juntamente com outros sysadmins e em algum momento alguém é desligado da empresa ou entrou de férias. Imagina ter que entrar em cada servidor para remover ou bloquear os acessos. Imagina fazer isso com 100, 500, 1000 VMs. Neste artigo iremos configurar um servidor Debian para autenticar via '''Radius''' ou '''Tacacs+''' e ainda usar 2FA com Google Authenticator. O '''Radius''' e o '''Tacacs+''' darão controle para administração centralizada da autenticação dos usuários e o '''Google Authenticator''' adiciona uma camada de segurança no acesso '''SSH'''.<br /> <br /> == Pré-requisitos ==<br /> Para que nosso ambiente funcione precisaremos:<br /> <br /> * Um servidor '''Radius''' ou '''Tacacs+''' já em produção. Melhor ainda se estiverem em '''HA (High Availability)''', pois como estamos lidando com acessos críticos de equipamentos e servidores, precisamos garantir que em caso de falha no autenticador principal, um secundário assuma essa função e a operação não seja impactada.<br /> * O servidor precisar ter acesso sainte para a '''Internet''', pode ser através de '''NAT'''. Se faz necessário para instalação dos pacotes e download do projeto '''pam_tacplus''' via '''Github''' caso use autenticação via '''Tacacs+.'''<br /> * Os comandos aqui serão executados em um '''Debian 13 (Trixie)''' mas poderão ser adaptados para serem executados em outras '''distribuições GNU/Linux'''.<br /> <br /> == Instalando o Google Authenticator no Debian ==<br /> # apt-get install libpam-google-authenticator -y<br /> É necessário que o usuário seja criado localmente no sistema. Exemplo:<br /> # useradd -m -s /bin/bash gondim<br /> Agora vamos gerar os dados para cadastro no '''Google Authenticator''' instalado no smartphone do usuário '''gondim''':<br /> # su - gondim<br /> $ google-authenticator -C -t -d -f -w 3 -Q UTF8 -r 3 -R 30<br /> [[Arquivo:Qrcode.png|nenhum|miniaturadaimagem|916x916px]]<br /> Quando executamos o comando acima, ele gera informações como neste exemplo. Nele temos o '''QR Code''' que facilita a configuração no '''Google Authenticator''', temos a '''secret key''' que também pode ser usado para cadastro e os códigos de emergência para em caso de perda ou roubo do '''smartphone''', o usuário ainda conseguir logar no sistema. <br /> <br /> Seguiremos agora com um exemplo de configuração para autenticação em Servidor Radius.<br /> <br /> == Instalando e configurando o módulo PAM para autenticação em Radius Server ==<br /> # apt install libpam-radius-auth<br /> Edite o arquivo '''/etc/pam_radius_auth.conf''' e deixe configurado nele o apontamento para seu servidor Radius com a secret:<br /> # server[:port] shared_secret timeout (s)<br /> 10.254.254.6 C5or4Zc49z2R 3<br /> Obs.: no seu servidor Radius você precisará liberar em NAS o IP do seu servidor Debian, senão ele não terá autorização para acessar o Radius.<br /> <br /> == Instalando e configurando o módulo PAM para autenticação em Tacacs+ Server ==</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Arquivo:Qrcode.png&diff=1093 Arquivo:Qrcode.png 2026-02-06T01:42:07Z <p>Gondim: </p> <hr /> <div>qrcode</div> Gondim https://wiki.ispup.com.br/w/index.php?title=Autenticacao_TOTP_Radius_Tacacs_Debian&diff=1092 Autenticacao TOTP Radius Tacacs Debian 2026-02-06T00:37:04Z <p>Gondim: </p> <hr /> <div>[[Arquivo:Ssh_totp_radius_tacacs.png|semmoldura|482x482px]]{{DISPLAYTITLE:Autenticação TOTP + Radius/Tacacs no Debian}}<br /> __TOC__<br /> == Introdução ==<br /> A administração remota de servidores '''GNU/Linux''' é algo que precisamos estar sempre atentos com a segurança. Filtros de pacotes para bloquear e/ou liberar acessos, ajustes para serviços não ficarem expostos sem necessidade, uso de IPs privados quando possível, aplicar atualizações quando disponíveis, monitoramento dos logs e file system são coisas básicas para todo sysadmin. Boa parte destas tarefas necessitam de acesso remoto aos servidores via '''SSH''' e esse serviço precisa ser bem cuidado para que seu servidor não seja comprometido. Outro fator importante é quando administra diversos servidores em uma empresa juntamente com outros sysadmins e em algum momento alguém é desligado da empresa ou entrou de férias. Imagina ter que entrar em cada servidor para remover ou bloquear os acessos. Imagina fazer isso com 100, 500, 1000 VMs. Neste artigo iremos configurar um servidor Debian para autenticar via '''Radius''' ou '''Tacacs+''' e ainda usar 2FA com Google Authenticator. O '''Radius''' e o '''Tacacs+''' darão controle para administração centralizada da autenticação dos usuários e o '''Google Authenticator''' adiciona uma camada de segurança no acesso '''SSH'''.<br /> <br /> == Pré-requisitos ==<br /> Para que nosso ambiente funcione precisaremos:<br /> <br /> * Um servidor '''Radius''' ou '''Tacacs+''' já em produção. Melhor ainda se estiverem em '''HA (High Availability)''', pois como estamos lidando com acessos críticos de equipamentos e servidores, precisamos garantir que em caso de falha no autenticador principal, um secundário assuma essa função e a operação não seja impactada.<br /> * O servidor precisar ter acesso sainte para a '''Internet''', pode ser através de '''NAT'''. Se faz necessário para instalação dos pacotes e download do projeto '''pam_tacplus''' via '''Github''' caso use autenticação via '''Tacacs+.'''<br /> * Os comandos aqui serão executados em um '''Debian 13 (Trixie)''' mas poderão ser adaptados para serem executados em outras '''distribuições GNU/Linux'''.</div> Gondim https://wiki.ispup.com.br/w/index.php?title=SSH_SERVER_2FA&diff=1091 SSH SERVER 2FA 2026-02-06T00:35:08Z <p>Gondim: </p> <hr /> <div>{{DISPLAYTITLE:SSH Server com Autenticação 2FA}}<br /> <br /> [[Arquivo:Criminal-bandit-hacker-scaled-1.jpg|nenhum|miniaturadaimagem|475x475px]]<br /> <br /> == Introdução ==<br /> Recentemente em um treinamento do '''Patrick Brandão''', vimos o quanto o '''SSH''' ('''Secure Shell'''), pode ser usado dentro da segurança de acesso a sistemas. Desde túneis criptográficos, redirecionamentos de portas e até em uso de '''Zero Trust'''. Sabemos o quanto este serviço é importante para nós de Tecnologia da Informação e para Operadores de Redes. Então resolvi escrever esse pequeno artigo de como vocês podem configurar seus servidores GNU/linux para autenticarem '''SSH usando 2FA''' com o '''Google Authenticator'''. Sim não é nada muito utilizado no nosso dia a dia, pois existem formas melhores e mais seguras como '''SSH-CA usando certificados digitais assinados''' e '''autenticação utilizando apenas chaves SSH'''. Mas se ainda assim preferirem uma autenticação utilizando '''usuário e senha''', que vocês então implementem um 2FA no serviço SSH.<br /> <br /> == Ambiente de configuração ==<br /> Como sou um defensor do Debian GNU/Linux, estaremos efetuando as configurações e testes abaixo em um Debian 12 (Bookworm) mas em teoria, pode ser aplicado em outras distribuições GNU/Linux. Para essa configuração precisaremos instalar apenas um pacote chamado '''libpam-google-authenticator'''.<br /> # apt install libpam-google-authenticator<br /> <br /> == Gerando os códigos de recuperação e o QR Code e/ou chave para cadastro manual do token ==<br /> Se logue no usuário para o qual vai querer habilitar o token e rode:<br /> $ google-authenticator <br /> <br /> Do you want authentication tokens to be time-based (y/n) y<br /> [[Arquivo:Qrcode ssh.png|nenhum|miniaturadaimagem|695x695px]]<br /> Ele irá exibir um '''QR Code''' para ser lido com o '''Google Authenticator''' ou se preferir uma '''secret key''' para ser cadastrado manualmente. Nesse momento já temos que ter o '''Google Authenticator''' instalado no nosso '''smartphone'''.<br /> <br /> Abrimos o app no smartphone e pressionamos o '''sinal de +'''. Na sequência escolhemos ler o '''QR Code''' ou inserir a chave que seria aquela '''secret key'''.<br /> [[Arquivo:Qrcode6.png|nenhum|commoldura]]<br /> Após escolhermos o '''QR Code''', irá abrir a câmera do seu '''smartphone'''. Aponte para o QR Code e será configurado o '''token'''.<br /> <br /> Abaixo temos o token sendo gerado.<br /> [[Arquivo:Qrcode7.png|nenhum|commoldura]]<br /> Voltamos para o nosso servidor e agora passamos o token para a aplicação, para efetuarmos a confirmação da configuração:<br /> [[Arquivo:Qrcode3.png|nenhum|miniaturadaimagem|649x649px]]<br /> Após confirmar, serão exibidos os 5 códigos de recuperação de emergência. Eles são importantes para recuperar os acessos caso perca seu smartphone. Cada código de recuperação só poderá ser usado uma única vez.<br /> <br /> Se precisar consultá-los, eles ficam armazenados no home do usuário no arquivo '''.google_authenticator''':<br /> [[Arquivo:Qrcode4.png|nenhum|miniaturadaimagem|651x651px]]<br /> Na sequência ele irá perguntar se deseja proibir uso de múltiplo login, por segurança dizemos que sim. Depois ele pergunta sobre criação de tokens extras para compensar problemas de horários não sincronizados entre o cliente e o servidor. Nesse caso vamos dizer que não, porque é função nossa como sysadmin, configurar ajuste automático de horário no servidor usando '''NTP (Network Time Protocol)'''. Por último aplicamos um '''rate-limit''' no nosso sistema para 3 tentativas a cada 30 segundos. <br /> [[Arquivo:Qrcode5.png|nenhum|miniaturadaimagem|649x649px]]<br /> <br /> == Configurando o sistema de autenticação do SSH para funcionar com o Google Authenticator ==<br /> Em '''/etc/ssh/sshd_config''' vamos modificar o parâmetro abaixo de '''NO''' para '''YES''':<br /> KbdInteractiveAuthentication yes<br /> '''Em versões antigas do openssh-server o parâmetro era este abaixo''': <br /> ChallengeResponseAuthentication yes<br /> Reinicie o serviço SSH:<br /> # systemctl restart sshd<br /> Na sequência edite o arquivo '''/etc/pam.d/sshd''' e adicione no final dele a instrução:&lt;pre&gt;<br /> auth required pam_google_authenticator.so<br /> &lt;/pre&gt;'''Cuidado! Não desconecte do servidor antes de testar se está funcionando ou que tenha acesso via console.'''<br /> <br /> Para testarmos só fazermos um ssh para o servidor e irá acontecer algo como abaixo. Será pedida a senha do usuário e na sequência também '''será pedido o code do token''' gerado pelo '''Google Authenticator'''. Acertando os dois, a sessão é completada.<br /> # ssh gondim@177.XXX.XXX.12 <br /> (gondim@177.XXX.XXX.12) Password: <br /> (gondim@177.XXX.XXX.12) Verification code: <br /> Linux AMA-RR-FLOW-01 6.1.0-37-amd64 #1 SMP PREEMPT_DYNAMIC Debian 6.1.140-1 (2025-05-22) x86_64<br /> <br /> The programs included with the Debian GNU/Linux system are free software;<br /> the exact distribution terms for each program are described in the<br /> individual files in /usr/share/doc/*/copyright.<br /> <br /> Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent<br /> permitted by applicable law.<br /> You have new mail.<br /> Last login: Fri Jul 11 01:40:37 2025 from 177.XXX.XXX.30<br /> gondim@AMA-RR-FLOW-01:~$<br /> Se quiser aplicar o mesmo bloqueio na '''console do servidor''', basta incluir a mesma configuração só que em '''/etc/pam.d/login'''. Mas cuidado para não perder o acesso ao sistema. Não me responsabilizo por problemas gerados por este artigo. :)<br /> [[Categoria:Dicas Técnicas]]</div> Gondim