user149408's questions

Meu ISP entrega IPTV por uma VLAN dedicada na linha WAN. Na configuração mais simples (como usada pelo roteador fornecido pelo provedor), essa VLAN na interface externa é apenas terminada e conectada por meio de algumas das interfaces Ethernet internas – a rede IPTV é totalmente comutada e o roteador não faz nenhum roteamento real nessa rede (ele nem mesmo tem um endereço IP vinculado a essa rede).

Como passar um fio do roteador para minha TV é difícil, tenho um par de pontes wifi. Uma se conecta à porta IPTV no roteador, a outra ao set-top box. Ambas têm hardware idêntico, uma sendo configurada como ponto de acesso, a outra como cliente, pareadas via WPS Push Button Connect.

Então a configuração “antiga” agora é:

ISP ----- Router ----- WiFi bridge 1 · · · WiFi bridge 2 ----- IPTV receiver
                \
                 ----- Switch ----- AP (old) · · · Smartphone
                             \
                               ----- PC

----- LAN link    ===== LAN trunk link    · · · WiFi link

O roteador é meu, configurado do zero. Isso exigiu alguma experimentação, veja Configurando o pfSense para IPTV entregue via VLAN separada no link WAN . Até agora, essa configuração funcionou.

Agora eu gostaria de configurar um ponto de acesso MikroTik (baseado em RouterOS) que pode servir múltiplos wifis e também substituirá a ponte wifi do lado do roteador. Eu reconfigurei a interface do roteador para a ponte wifi como uma interface trunk, com minha LAN doméstica e a rede IPTV em diferentes VLANs, e também configurei a primeira interface Ethernet no AP MikroTik da mesma forma. No lado wireless eu tenho dois wifis virtuais configurados, cada um em ponte para a respectiva VLAN. Eu então associei a ponte wifi do lado do receptor com o SSID IPTV no novo AP.

Então a “nova” configuração é:

ISP ----- Router ===== MikroTik AP · · · WiFi bridge 2 ----- IPTV receiver
                \                    ·
                 ----- Switch        · · Smartphone
                             \
                               ----- PC

----- LAN link    ===== LAN trunk link    · · · WiFi link

Posso usar o wifi da LAN doméstica com meu PC e smartphone, mas o receptor IPTV não pega nenhum stream de TV. Uma captura de pacote na interface IPTV wifi do MikroTik mostra algum tráfego que é claramente tráfego IPTV do ISP (como consultas de associação IGMP), então pelo menos sei que estou conectado à rede certa.

Pela minha experiência com o roteador, suspeito que o AP MikroTik pode estar causando problemas semelhantes, descartando certos pacotes como inválidos em vez de encaminhá-los, embora os pacotes em questão sejam necessários para que os multicasts IP funcionem.

A interface da ponte tem algumas opções relacionadas ao IGMP, mas não sei se são relevantes ou como configurá-las para que tudo passe. Alguém tem alguma ideia?

Estou configurando um MikroTik cAP, para ser configurado como um ponto de acesso multitenant. A interface LAN é uma interface de tronco VLAN. Para cada locatário, bem como para a LAN de gerenciamento, estou configurando uma ponte dedicada. As portas na ponte são uma VLAN em ether1 e uma interface sem fio virtual para cada banda de frequência. Apenas a ponte para a LAN de gerenciamento tem um endereço IP configurado, as outras não, então o cAP não pode ser acessado via IP das redes de locatários. (O servidor MAC também está desligado.)

Após configurar a rede de gerenciamento e um locatário, vejo tráfego de transmissão daquele locatário na lista de conexões IP ( /ip firewall connection print, ou o equivalente no WebFig). Isso me parece como se o sistema estivesse passando-os para sua própria pilha de protocolo IP – o que eu quero evitar, para minimizar a superfície de ataque.

Como configuro uma ponte para apenas passar tráfego, sem nunca passá-lo para a pilha IP local?

Eu usei dphys-swapfile com o caminho padrão /var/swape um arquivo de troca de 2048M.

Porém, como /var/swapestá em um cartão SD, eu queria mover o arquivo de troca para um disco magnético. Então executei sudo dphys-swapfile swapoff, editei o caminho e executei:

sudo dphys-swapfile setup
sudo dphys-swapfile swapon

Este último falhou com:

swapon: /srv/file/swap: swapon failed: Invalid argument

sudo journalctl -xeme dá:

kernel: swapon: swapfile has holes

Só para ter certeza, tentei o seguinte, sem sucesso:

• Exclua o novo arquivo de troca e recrie-o comsudo dphys-swapfile setup
• Copie o arquivo de troca antigo para o novo local
• sudo dd if=/dev/zero of=/srv/file/swap bs=1024 count=2097152 status=progress(zere todo o arquivo de troca, bs * countsendo igual ao tamanho do arquivo de troca – desta vez o erro que recebi foi que o arquivo de troca tinha um cabeçalho inválido
• ddo arquivo de troca antigo sobre o zerado – novamente resultou em uma reclamação sobre falhas no arquivo

A única diferença entre o caminho antigo e o novo para o arquivo de troca é que o caminho antigo está em um sistema de arquivos ext4 enquanto o novo está em btrfs. (Além do caminho antigo estar em um cartão SD e o novo estar em um disco magnético, embora eu duvide que isso faça alguma diferença.)

Por alguma razão, o arquivo de troca no ext4 parece ter sido criado sem falhas ou dphys-swapfileaceita falhas no ext4. Como posso obter o mesmo resultado no btrfs? (Ou estou tendo um problema diferente do que penso?)

O sistema operacional é Raspbian Linux 9 (eu sei, é antigo), dphys-swapfile é a versão 20100506-3.

Depois de atualizar para o Thunderbird 102 (de qualquer versão anterior nos repositórios do Ubuntu 20.04), não consigo mais me conectar ao servidor CalDAV que executo. Thunderbird recusa o certificado, alegando que pertence a um site diferente.

O FQDN pelo qual me conecto ao servidor corresponde ao nome comum do certificado e o certificado não expirou – verifiquei essas duas coisas.

O certificado foi emitido por uma CA privada, cujo certificado eu adicionei à loja muito antes da atualização. Consegui me conectar ao servidor antes da atualização.

Mesmo definir uma exceção de segurança não funciona: toda vez que atualizo, recebo o mesmo erro de certificado.

Meu smartphone não tem problemas para se conectar ao mesmo servidor com DAVx⁵.

Se eu tentar me conectar ao servidor com o Firefox 105.0, recebo um erro semelhante ( SSL_ERROR_BAD_CERT_DOMAIN), mas posso me conectar após adicionar uma exceção de segurança. (Como o Firefox compartilha algum código com o Thunderbird, eles também podem compartilhar certos bugs ou comportamentos inesperados.)

O certificado não especifica nenhuma finalidade para o uso da chave - vi que alguns outros aplicativos começaram a rejeitar certificados por causa disso, então estou me perguntando se esse poderia ser o problema (nesse caso, a mensagem de erro seria enganosa).

Alguma ideia?

Eu executo o BIND no OPNsense como o servidor escravo para uma zona DNS interna.

Percebo que, se o master dessa zona cair, o slave deixará de atender a solicitação dessa zona (respondendo com SRVFAIL) após a primeira tentativa de atualização com falha.

A razão de design por trás disso é provavelmente evitar fornecer dados obsoletos do escravo se o mestre não puder ser alcançado. (Afinal, o mestre ainda pode estar bem e é apenas a conexão de rede do escravo que falhou.) No entanto, isso é uma má notícia para a resiliência se o servidor mestre estiver inativo e não puder ser ativado a tempo.

Existe uma configuração para dizer ao BIND para sempre fornecer as últimas informações conhecidas para uma zona escrava, independentemente de quanto tempo o servidor mestre esteja inacessível, mesmo com o risco de retornar dados obsoletos?

Em caso afirmativo, isso é de alguma forma acessível a partir da GUI da web do OPNsense (ou seja, não há suporte sem suporte sob o capô)?

Eu uso o LibreOffice e, como escrevo em vários idiomas, gostaria de ter um dicionário por idioma em vez de um para todos (por exemplo, as grafias em francês serão sinalizadas em um texto em italiano e vice-versa).

Para isso, criei um dicionário por idioma (e atribuí a ele o idioma apropriado) e removi o dicionário “padrão” (válido para todos os idiomas). No entanto, o dicionário padrão continua sendo recriado sempre que executo uma verificação ortográfica. Como resultado, tenho que selecionar um dicionário para cada palavra que adiciono, e toda a verificação ortográfica parece um pouco complicada (aleatoriamente me pede para continuar depois de adicionar uma palavra, ou se quero continuar do começo no meio do documento e outras coisas irritantes que não foram feitas antes de eu adicionar um dicionário por idioma).

Desativar o dicionário padrão não ajudou, pois parece se reativar. O que da?

Meu banco de dados PostgreSQL parece ter sofrido corrupção após um desligamento não limpo e agora não consigo descobrir como tirá-lo do modo de recuperação. Como o banco de dados não recebe atualizações muito frequentes, o último backup noturno válido conhecido deve ter uma cópia atual dos dados.

Corrida

sudo -u postgres pg_restore /path/to/backup.post

apenas despeja uma longa lista de comandos SQL no console, mas nada mais acontece.

Suspeitando de corrupção de dados, simplesmente movi o arquivo inteiro data_directory(conforme referenciado em /etc/postgresql/9.6/main/postgresql.conf) para um caminho diferente. Agora estou querendo saber como recriar uma versão “virgem” do diretório de dados onde posso restaurar o backup. Eu recriei o caminho e configurei seu dono para postgres:postgres, mas tentar reiniciar o PostgreSQL, re-executar pg_restoreou até mesmo dpkg_reconfigurenão funcionar – o diretório ainda está vazio.

Qual é o procedimento correto para descartar um PostgreSQL corrompido data_directory, substituí-lo por um novo e restaurar o último backup válido conhecido?

O SO é Raspbian 9.

Estou usando o pfSense como um roteador de Internet. Até agora não usei o adaptador wifi (está presente, mas desativado). Eu uso apenas uma das portas Ethernet para a interface interna. Para wifi eu tenho um ponto de acesso separado.

Agora eu gostaria de usar o adaptador wifi embutido na minha caixa pfSense. (Estou ciente de que é desencorajado, mas acredito que nenhum dos argumentos contra isso seja relevante para o meu caso de uso.)

Resumo do que tenho em mente:

• Configure o adaptador wifi como um ponto de acesso, mas sem configuração de IP própria – CONCLUÍDO
• Configure uma ponte para ambas as interfaces internas (eth e wifi) e crie uma nova interface para ela – CONCLUÍDO
• Defina os ajustes do sistema para filtrar o tráfego da ponte na ponte, não nas interfaces de membro - CONCLUÍDO
• Mova (ou copie) a configuração e as regras de IP da interface eth interna para a ponte
• Adicione uma regra para a ponte para que o tráfego possa passar entre eth e wifi

Fiquei preso na quarta etapa: quando tento atribuir um endereço IP da minha sub-rede à ponte, recebo um erro porque o endereço ou intervalo se sobrepõe ao da interface eth - que pretendo remover, mas não até Eu tenho a interface da ponte ativa e funcionando.

Como posso mover a configuração de IP (e possivelmente também as regras) para uma interface de ponte de um de seus membros? (Além disso, há a regra antibloqueio automática, que não pode ser editada: como posso dizer ao pfSense que isso deve ir na ponte, não em uma de suas interfaces de membro?)

TL; DR: Eu gostaria de conectar um cliente wifi que suporta apenas WPS a um pfSense rodando no modo de ponto de acesso. Isso é possível, e como?

Estou no processo de substituir meu roteador fornecido pelo ISP pelo pfSense. Eu tenho tudo para funcionar, incluindo roteamento de Internet e IPTV.

Um dos meus receptores de IPTV está em uma sala sem fiação LAN. Isso foi resolvido por um par de pontes wifi (Arris VAP2400/VAP2404, instruções aqui ), uma conectada ao roteador e a outra ao dispositivo IPTV.

Esses dispositivos atuam essencialmente como um par de ponto de acesso wifi e cliente. Fora da caixa, cada dispositivo é um ponto de acesso; ele pode ser transformado em um cliente conectando-se a outro ponto de acesso via WPS. (Eles têm um endereço IP, o que indica que pode haver algum tipo de configurador web com opções adicionais, mas estou especificamente interessado na parte WPS.)

Como o pfSense é executado em um computador de placa única ALIX com wifi embutido, estou querendo saber se posso abandonar o WAP2400 upstream e conectar o downstream diretamente ao pfSense como cliente. (Isso pode exigir que a interface wifi tenha a configuração de LAN correta para IPTV, o que está além do escopo desta pergunta - estou interessado apenas em fazer a associação wifi funcionar.) No entanto, não encontrei nenhuma configuração relacionada ao WPS em a interface gráfica do pfSense.

O pfSense suporta clientes WPS? Em caso afirmativo, quais são as etapas para associar um cliente WPS? (O dispositivo não possui um botão WPS de hardware, portanto, essa funcionalidade deve estar disponível no software.)

Estou tentando configurar o pfSense como meu roteador de Internet principal, substituindo o roteador do provedor.

A conectividade básica com a Internet funciona como deveria: configurar a interface externa como um cliente DHCP, configurar um servidor DHCP para os clientes internos, configurar NAT – tudo bem.

No entanto, eu também gostaria de usar IPTV sobre o dispositivo. Meu ISP entrega IPTV usando uma VLAN separada na linha WAN. (O tráfego da Internet usa a VLAN nativa, portanto, não é necessário mexer nas VLANs aqui.)

O roteador ISP é configurado da seguinte forma:

• Uma ponte cujos membros são as portas internas para conectar o receptor IPTV e a terminação da VLAN IPTV na interface WAN
• A ponte tem um endereço IP vinculado a ela. É um endereço estático RFC1918, aparentemente sem gateway padrão configurado nessa interface.
• Além disso, o dispositivo executa um proxy IGMP que tem a ponte como suas interfaces upstream e as interfaces LAN (mesmo aquelas não destinadas a IPTV) como interfaces downstream. O Fast Leave está habilitado, o IGMP versão 2 é forçado no upstream e no downstream e os grupos multicast são ignorados para um endereço IP específico. Embora eu ache estranho que o upstream esteja configurado para ser a ponte inteira, não apenas a interface VLAN - pode ter a ver com o roteador suportando outras conexões de uplink também (estou em fibra óptica com o ONT conectado via Ethernet, aparentemente o dispositivo também suporta ATM sobre Ethernet, bem como ADSL).

O que eu fiz no pfSense:

• Em Interfaces > VLANs, adicione uma nova interface ( WANIPTV) com a interface WAN como seu pai e o ID de VLAN apropriado.
• Em Interfaces > Bridges, crie uma ponte com a WANIPTVinterface e uma interface física não utilizada como seus membros. A ponte chama-se BRIDGE0.
• Em Interfaces > Atribuições, atribuído BRIDGE0como interface própria ( IPTVBRIDGE) e habilitado, comsem configuração de IPa mesma configuração de IP do roteador fornecido pelo provedor (endereço RFC1918, sem gateway).
• Em System > Advanced > Tunables, defina net.link.bridge.pfil_memberpara 0 e net.link.bridge.pfil_bridgepara 1. Pois net.link.bridge.pfil_onlyipdeixei o padrão de 0 para permitir o tráfego não IP.
• Em Firewall > Regras, adicionei uma regra de passagem para a IPTVBRIDGEinterface, combinando IPv4+IPv6, com todo o resto definido como QUALQUER.
• Em Serviços > Proxy IGMP, habilitei o IGMP, adicionado IPTVBRIDGEcomo interface upstream e a porta física para o receptor como downstream. Não tenho ideia do que preciso inserir para Redes nas interfaces; Acabei de adicionar 0.0.0.0/1 e 128.0.0.0/1 para ambos.
• Em seguida, adicionei qualquer regra de filtro para as interfaces envolvidas ( WANIPTV, IPTVBRIDGEe a interface física para o receptor).

Com essas configurações, consegui obter uma imagem por um curto período executando o receptor no roteador ISP e conectando o cabo WAN e o receptor IPTV ao meu pfSense. Depois de algum tempo, porém, a imagem congelou e, quando reiniciei o receptor, ele relatou que não havia conexão de rede disponível.

Como posso descobrir quais redes devo configurar para o proxy IGMP? Ou o problema está em outro lugar?

Estou usando um Linksys BEFSR41 como roteador de rede doméstica. E sim, eu sei que o dispositivo é antigo - esta é uma configuração temporária e o roteador será substituído por um dispositivo que eu preciso atualmente em outro lugar. Até então, não quero investir muito nisso, e ainda tenho um BEFSR41 sobressalente.

De vez em quando, o roteador perde sua conexão com a Internet. Os dispositivos na rede interna ainda podem se comunicar uns com os outros, mas nenhum recurso da Internet pode ser alcançado e ping 8.8.8.8não produzirá uma resposta. Ligar e desligar o roteador restaurará a operação normal por um tempo, até a próxima vez que a conexão cair e o ciclo recomeçar. O tempo entre falhas parece variar e pode ser tão curto quanto cerca de uma hora.

Uplink é uma conexão Ethernet padrão. A configuração de IP é obtida via DHCP; sem PPPoE ou similar.

Nas últimas vezes que isso aconteceu, verifiquei a GUI do administrador da web e descobri que o roteador havia perdido sua configuração de IP externa (o endereço IP era 0.0.0.0, e o DNS definido para seu próprio endereço IP interno). A tentativa de renovar a concessão de DHCP, com ou sem liberá-la primeiro, não teve efeito.

Lembro-me de ter tido problemas semelhantes com este roteador antes, em uma rede diferente - o que indica que o problema é com o roteador, não com o ISP. Uma pesquisa na web me diz que no auge deste dispositivo, muitas pessoas estavam tendo esse problema, mas a maioria deles não parecia ter o conhecimento técnico para descobrir o problema.

A versão do firmware é 2.00.1, Sep 11 2006, que parece ser a última para este dispositivo. Além disso, como isso parece ser um hardware Linksys um tanto exótico, sem suporte para DD-WRT, o firmware provavelmente é muito diferente da maioria dos outros modelos Linksys.

Até que eu possa substituir o roteador, existe alguma maneira de corrigir isso?

Faça a seguinte configuração:

• Eu corro uma rede privada atrás de um roteador NAT
• Os sistemas na rede privada podem se conectar a qualquer recurso na Internet e, portanto, precisam de resolução de nome DNS para qualquer recurso da Internet
• Eu possuo um domínio (digamos, example.com) que possui recursos na Internet e um servidor de nomes gerenciado pelo provedor.
• O provedor gerencia recursos públicos e pode atualizar os registros DNS para refletir as alterações. Ou seja, o MXpara example.compode apontar para um servidor diferente amanhã, ou o endereço IP para www.example.compode mudar durante a noite, sem que eu seja notificado.
• Desejo usar o mesmo domínio para recursos em minha rede interna; os recursos internos estão em um subdomínio (por exemplo fileserver.internal.example.com, ). No entanto, não quero expor esses registros DNS à Internet.

O último item significa que preciso executar meu próprio servidor DNS internamente e fazer com que ele responda às consultas da minha zona. No entanto, preciso garantir que as consultas de quaisquer recursos públicos sejam respondidas pelos servidores DNS do provedor.

Até agora, tenho usado o recurso DNS Forwarder no pfSense, que faz exatamente o que preciso. Posso adicionar registros para sistemas internos (ou até mesmo fazer com que o servidor DHCP os insira automaticamente para qualquer concessão que conceda), que serão retornados se o servidor DNS receber uma solicitação para qualquer um deles. Quaisquer outras solicitações serão encaminhadas para o respectivo servidor de nomes externo.

Agora estou tentando fazer o mesmo com um servidor Linux, possivelmente usando BIND. Estou imaginando uma configuração como a seguinte:

• Configure o BIND para operar em modo recursivo/cache, como faria um DNS de ISP.
• Configure-o para ser o servidor de nomes autoritativo para internal.example.com.
• Configure RRs para sistemas internos na internal.example.comzona.

Isso funcionaria como pretendido, já que ninguém no mundo exterior conhece a internal.example.comzona? O BIND dá preferência a qualquer zona para a qual seja autoritário (em vez de tentar localizá-lo consultando primeiro a zona raiz) ou pode ser configurado para fazer isso?

Eu uso o Citrix Receiver para conectar-me a aplicativos remotos de uma máquina Windows. A máquina Windows usa um layout de teclado personalizado (derivado de um layout diferente do inglês) que não está disponível no servidor. Isso faz com que o servidor volte para o layout dos EUA, que é uma correspondência ruim - eu preferiria o layout não inglês do qual o personalizado é derivado.

Certa vez, encontrei uma configuração de registro que impõe esse tipo de mapeamento no Citrix Receiver (algo do tipo “quando o ID do layout local for a0000407, use 00000407em vez” ou “sempre use 00000407, independentemente das configurações do cliente”), mas não consigo mais encontrar isto

Observação: o acesso é feito por meio de um gateway NetScaler e portal da web, não tenho certeza se as configurações locais do APPSRV.INI entram em vigor nesse cenário.

Onde posso fazer essa configuração?