NethServer Documentation

Versión 7 Final

Nethesis

21 de diciembre de 2018
 Índice general

1. Notas de lanzamiento 7 3
1.1. Notas de lanzamiento 7 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3

2. Instalación 9
2.1. Tipos de instalación . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9
2.2. Accediendo al administrador del servidor . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13
2.3. Suscripción a NethServer . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15

3. Configuración 17
3.1. Centro de software . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17
3.2. Sistema base . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19
3.3. Usuarios y grupos . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24
3.4. DNS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33
3.5. Servidor DHCP y PXE . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 34
3.6. Política de TLS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35

4. Módulos 39
4.1. Copia de seguridad . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 39
4.2. Correo electrónico . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 52
4.3. Webmail . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 62
4.4. WebTop 5 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 63
4.5. POP3 proxy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 90
4.6. Conector POP3 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 91
4.7. Chat . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 92
4.8. Team chat (Mattermost) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 93
4.9. UPS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 95
4.10. Servidor de fax . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 96
4.11. Firewall y gateway / Cortafuego y Puerta de enlace . . . . . . . . . . . . . . . . . . . . . . . . . . . 98
4.12. Proxy web . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 105
4.13. Filtro de contenido web . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 108
4.14. IPS (Suricata) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 110
4.15. Proxy inverso . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 113
4.16. Hosts virtuales . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 114
4.17. Carpetas compartidas . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 115
4.18. Monitor de ancho de banda . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 117
4.19. Estadísticas (collectd) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 118
4.20. VPN . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 118

I
 4.21. Nextcloud . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 121
4.22. FTP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 123
4.23. Phone Home . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 124
4.24. SNMP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 124
4.25. Punto de Acceso (Dedalo) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 124
4.26. FreePBX . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 126
4.27. HotSync . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 127
4.28. Virtual machines . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 130
4.29. Fail2ban . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 130
4.30. Rspamd . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 133
4.31. Email module transition to Rspamd . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 136

5. Módulos NethForge 139

5.1. SOGo . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 139

6. Mejores prácticas 147

6.1. Software de terceros . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 147

7. Apéndice 149
7.1. Migración del servidor NethService/SME . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 149
7.2. Actualizar desde NethServer 6 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 152
7.3. Documentación de la licencia . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 158
7.4. List of NethServer 7 ISO releases . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 159
7.5. Chat . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 160
7.6. Windows file server . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 160
7.7. Reverse proxy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 160
7.8. SOGo Groupware . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 161
7.9. TLS policy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 161

8. Índices 163

II
 NethServer Documentation, Versión 7 Final

See also

Web
Comunidad
Wiki
Manual de Desarrollador

Índice general 1
NethServer Documentation, Versión 7 Final

2 Índice general
 CAPÍTULO 1

Notas de lanzamiento 7

1.1 Notas de lanzamiento 7

NethServer versión 7
ISO release 7.6.1810 «final» replaces any previous ISO 7.6.1810
This release is based on CentOS 7 (1810)
CentOS 7 will receive security updates until 2024-06-30
List of NethServer 7 ISO releases
List of changes
List of known bugs
Discusiones sobre posibles errores

1.1.1 Major changes on 2018-12-17

ISO release 7.6.1810 «final» replaces any previous ISO 7.5.1804

PHP 5.6 from SCL has reached end-of-life and is thus deprecated. See PHP 5.6 SCL
Default TLS policy is 2018-10-01
Default systems log retention has been increased to 52 weeks
The Zeroconf network protocol is now disabled by default
By default, Evebox events are retained for 30 days. The new default is applied to upgraded systems as a bug fix
NDPI module has been updated to version 2.4 which no longer recognize some old protocols. See NDPI 2.4 for
the list of removed protocols
SMTP server can be directly accessed from trusted networks
PPPoE connections use rp-pppoe plugin by default to improve network speed

3
NethServer Documentation, Versión 7 Final

For repositories that support GPG metadata signature, YUM runs now an integrity check
(repo_gpgcheck=1) for additional security. This new default setting is applied automatically unless a
.repo file was changed locally. In that case an .rpmnew file is created instead of overwriting the local
changes. Rename the .rpmnew to .repo to apply the new defaults. This is the list of files to be checked:
• /etc/nethserver/yum-update.d/[Link]
• /etc/[Link].d/[Link]
• /etc/[Link].d/[Link]

1.1.2 Major changes on 2018-06-11

ISO release 7.5.1804 «final» replaces any previous ISO 7.5.1804 «rc» and «beta»
The Correo electrónico module is now based on Rspamd
MX DNS record override for LAN hosts has been removed. Removed postfix/MxRecordStatus prop
Host name aliases are converted into hosts DB records. See Additional host name aliases
/etc/fstab is no longer an expanded template. See Requirements and User home directories for details
Default permissions for Carpetas compartidas is Grant full control to the creator
Default Política de TLS is 2018-03-30
Default Server Manager session idle timeout is 60 minutes, session life time is 8 hours
Quality of Service (QoS) implementation now uses FireQOS, current configuration is automatically migrated.
See Conformación del tráfico
The menu entry Automatic updates in Server Manager was removed. Automatic updates are now configured
from Software center > Configure. From the same panel it is possible to select the Software updates origin. See
Actualizaciones de software
The NethServer subscription module is available by default in new installations. Run the following command to
update the base module set on existing installations: yum update @nethserver-iso
The WebVirtMgr project is no longer maintained and the corresponding module has been removed along with
nethserver-libvirt package. See Virtual machines chapter for details on how to use virtualization

1.1.3 Major changes on 2017-10-26

ISO release 7.4.1708 «final» replaces the old ISOs 7.4.1708 «beta1» and 7.3.1611 «update 1»
The local AD account provider applies updates to the Samba DC instance automatically (#5356) Latest Samba
DC version is 4.6.8
The Software center page warns when a new upstream release is available (#5355)
Added FreePBX 14 module
Squid has been patched for a smoother web navigation experience when using SSL transparent proxy
Ntopng 3 replaces Bandwidthd, the Server Manager has a new «top talkers» page which tracks hosts network
usage
Suricata can be configured with multiple categories rules
EveBox can report traffic anomalies detected by Suricata
Nextcloud 12.0.3

4 Capítulo 1. Notas de lanzamiento 7

 NethServer Documentation, Versión 7 Final

Web antivirus based on ICAP instead of ECAP

Web filters: ufdbGuard updated to 1.33.4, small UI improvements on web
Diagtools: added speedtest
ufdbGuard updated to release 1.33.4
WebTop4 has been removed

1.1.4 Major changes on 2017-07-31

ISO release 7.3.1611 «update 1» replaces the previous ISO 7.3.1611 «Final»
Configuration backup page enhancement
Accounts provider page enhancement
Migration from sme8 and upgrade from ns6 procedures
OpenvPN: improve net2net tunnels
WebTop 5.0.7
Backup data: basic WebDAV support for backups and storage stats
UI tweaks for IPSec tunnels
Web proxy: support divert and priority rules
NextCloud 12
Network diagnostic tools page

1.1.5 Major changes on 2017-01-30

ISO release 7.3.1611 «Final» replaces the previous ISO 7.3.1611 «RC4»
Instalador: nuevo método de instalación manual
Proveedores de cuentas: el grupo «administradores» ha sido sustituido por el grupo «administradores de domi-
nio» (Acceso al Administrador del servidor)
Servidor de correo: corrige la expansión del pseudónimo para grupos
Servidor de correo: habilita el buzón de correo compartido del usuario de forma predeterminada (Buzón de
correo compartido del usuario)
Servidor de correo: el seudónimo específico por dominio ahora sustituye a los genéricos
Servidor de correo: el seudónimo específico por dominio ahora sustituye a los genéricos
Filtro Web: fijar perfiles basados en grupos
Firewall: Selecciona correcciones según condiciones de tiempo
IPS: actualiza la configuración para la última liberación preferida

1.1. Notas de lanzamiento 7 5

NethServer Documentation, Versión 7 Final

1.1.6 Deprecated features and packages

PHP 5.6 SCL

PHP 5.6 from the SCL repository has reached end-of-life (EOL)12 .
To avoid problems with existing legacy applications, the PHP 5.6 SCL packages from CentOS 7.5.1804 will be still
available from NethServer repositories during the 7.6.1810 lifetime.

Advertencia: PHP 5.6 SCL packages will not receive any security update. Very limited support will be provided
as best-effort

The nethserver-rh-php56-php-fpm package will be removed from the next NethServer release.
Developers are invited to update their modules, replacing nethserver-rh-php56-php-fpm with
nethserver-rh-php71-php-fpm as soon as possible.

NDPI 2.4

The following protocols have been removed:

tds
winmx
imesh
http_app_veohtv
quake
meebo
skyfile_prepaid
skyfile_rudics
skyfile_postpaid
socks4
timmeu
torcedor
tim
simet
opensignal
99taxi
easytaxi
globotv
timsomdechamada
timmenu
1 Red Hat Software Collections Product Life Cycle – [Link]
2 PHP supported versions – [Link]

6 Capítulo 1. Notas de lanzamiento 7

 NethServer Documentation, Versión 7 Final

timportasabertas
timrecarga
timbeta
Rules using the above protocols, will be automatically disabled.

1.1.7 Actualizando NethServer 6 a NethServer 7

Es posible actualizar completa la versión anterior de NethServer a 7, mediante una estrategia de respaldo/recuperación.
Vea Actualizar desde NethServer 6 para más detalles.

Acceso al Administrador del servidor

If you want to grant Server Manager access to other users than root, please add the users to the «domain admins»
group and execute:

config delete admins

/etc/e-smith/events/actions/initialize-default-databases

Buzón de correo compartido del usuario

Si desea habilitar el buzón de correo compartido de usuario, ejecute:

config setprop dovecot SharedMailboxesStatus enabled

signal-event nethserver-mail-server-update

Paquetes descontinuados

Los siguientes paquetes estaban disponibles en la versión anterior 6 y se han eliminado en 7:

nethserver-collectd-web: reemplazado por nethserver-cgp
nethserver-password: integrado en nethserver-sssd
nethserver-faxweb2: vea la discusión faxweb2 vs avantfax.
nethserver-fetchmail: reemplazado por getmail
nethserver-ocsinventory, nethserver-adagios: debido a problemas de compatibilidad con Nagios, estos módulos
se mantendrán sólo en la liberación NethServer 6
nethserver-ipsec: Los túneles IPSec ahora están implementados en nethserver-ipsec-tunnels. La función L2TP
está caída.
nethserver-webvirtmgr

References

1.1. Notas de lanzamiento 7 7

NethServer Documentation, Versión 7 Final

8 Capítulo 1. Notas de lanzamiento 7

 CAPÍTULO 2

Instalación

2.1 Tipos de instalación

2.1.1 Requerimientos mínimos

Los requisitos mínimos son:

64 bit CPU (x86_64)
1 GB de RAM
10 GB de espacio en disco

Consejo: Recomendamos utilizar al menos 2 discos para configurar un RAID 1. El software RAID garantizará la
integridad de los datos en caso de fallo del disco.

Compatibilidad de hardware

NethServer es compatible con cualquier hardware certificado por Red Hat® Enterprise Linux® (RHEL®), que apa-
rezca en [Link]

2.1.2 Tipos de instalación

NethServer admite dos modos de instalación. En resumen:

Instalación desde ISO
Descargar la imagen ISO
Preparar un DVD o una memoria USB
Seguir el asistente

9
NethServer Documentation, Versión 7 Final

Instalación desde YUM

Instalar CentOS Minimal
Configurar la red
Instalar desde la red

2.1.3 Instalación desde ISO

Advertencia: ¡La instalación ISO borrará todos los datos existentes en los discos duros!

Creación de medios

Descargar el archivo ISO desde el sitio oficial [Link]. El archivo ISO descargado se puede utilizar para
crear un medio de arranque tal como DVD o memoria USB.

Memoria USB

En una máquina Linux, abra el shell y ejecute:

dd if=[Link] of=/dev/sdc

Donde [Link] es el nombre de archivo de la ISO descargada y /dev/sdc es el dispositivo de destino correspon-
diente a la llave USB y no a una partición (como /dev/sdc1).
En una máquina Windows, asegúrese de formatear la unidad USB y luego desmontarla. Utilice una de las siguientes
herramientas para escribir la memoria USB:
Etcher
Win32 Disk Imager
Rawrite32
dd for Windows

DVD

La creación de un DVD de arranque es diferente de escribir archivos en memoria USB, y requiere el uso de una función
dedicada (por ejemplo, escribir o quemar imagen ISO). Las instrucciones sobre cómo crear un DVD de arranque de la
ISO están fácilmente disponibles en Internet o en la documentación de su sistema operativo.

Modos de instalación

Encienda la máquina utilizando el soporte recién respaldado. Si la máquina no se inicia desde el DVD o la memoria
USB, consulte la documentación del BIOS de la placa base. Un problema típico es cómo se configura la prioridad del
dispositivo de arranque. El primer dispositivo de arranque debe ser el lector de DVD o memoria USB.
Al iniciar un menú se mostrarán diferentes tipos de instalación:
NethServer instalación interactiva

10 Capítulo 2. Instalación
 NethServer Documentation, Versión 7 Final

Requiere sólo ajustes de teclado y zona horaria. De forma predeterminada, intenta configurar las interfaces
de red con DHCP y los dos primeros discos disponibles con RAID-1.
Otros métodos de instalación NethServer
Instalación desatendida – Se aplica un conjunto de parámetros por defecto al sistema sin intervención humana.
Instalación manual – Esto es lo contrario de desatendida. No se aplican valores predeterminados: red, almace-
namiento, zona horaria, teclado . . . todos los ajustes deben proporcionarse explícitamente.
Standard CentOS installation
Utilice el procedimiento de instalación estándar de CentOS. A continuación, puede configurar NethServer
siguiendo la sección Instalar en CentOS.
Herramientas
Inicie el sistema en el modo rescate (recuperación), ejecute una prueba de memoria o inicie la herramienta
de detección de hardware.
Arranque desde una unidad local
Intente iniciar un sistema que ya esté instalado en el disco duro.
Al final del proceso de instalación, se le pedirá que reinicie la máquina. Asegúrese de retirar el soporte de instalación
antes de reiniciar.

Parámetros de arranque opcionales

En el menú de arranque, puede agregar parámetros adicionales pulsando TAB y editando la línea de comandos del
kernel. Esto puede ser útil en modo desatendido.
Para deshabilitar la raid, simplemente añada esta opción a la línea de comandos:

raid=none

Si necesita seleccionar los discos duros de instalación, utilice:

disks=sdx,sdy

Para activar el cifrado del sistema de archivos, utilice:

fspassword=s3cr3t

Al activar esta opción, todos los datos escritos en el disco se cifrarán mediante cifrado simétrico. En caso de robo, un
atacante no podrá leer los datos sin la clave de cifrado.

Nota: ¡Tendrá que introducir la contraseña de cifrado en cada arranque del sistema!

Otras opciones disponibles (modo desatendido solamente):

keyboard`, la disposición del teclado, por defecto es ``keyboard=us
timezone, por defecto es timezone=UTC

2.1. Tipos de instalación 11

NethServer Documentation, Versión 7 Final

Configuración IP de fallo

Si no se asigna ninguna dirección IP por DHCP o por otros medios, durante la primera inicialización del sistema se
aplica la siguiente configuración IP a la primera interfaz de red
IP [Link]
Máscara de red [Link]

Contraseña del administrador del sistema

Se recomienda encarecidamente elegir una contraseña segura para el usuario root. Una buena contraseña:
Tiene al menos 8 caracteres
contiene letras mayúsculas y minúsculas
contiene símbolos y números
La contraseña predeterminada en el modo desatendido es Nethesis,1234.

Idioma del sistema

El idioma por defecto en la instalación de NethServer es English (United States). Puedes instalar más idiomas al
sistema más tarde. Ver :ref:‘Next steps ‘.

Modos interactivo y manual

El modo interactivo le permite realizar algunas elecciones sencillas en la configuración del sistema.
Las opciones requeridas son:
Idioma
Diseño del teclado
Contraseña de root
Todas las demás opciones se ajustan a un valor razonable de acuerdo con el hardware actual (consulte la sección Modo
desatendido para obtener detalles), pero puede editar cualquier configuración de instalación disponible.
Por otro lado, el modo manual inicia el instalador sin ninguna configuración predeterminada. También se deben
configurar las secciones de red y almacenamiento.

Advertencia: En la sección Red > General, sólo las interfaces marcadas como Conectarse automáticamente a esta
red cuando está disponible están habilitadas al arrancar en el sistema instalado. Para más información, consulte
Guía de instalación de RHEL 7.

Known issues

When installing on machines with UEFI firmware, Anaconda could fail on automatic partitioning. To work
around the problem, switch to Manual installation, or Standard CentOS installation then follow Instalar en
CentOS. In case of installation with software RAID, make sure to manually create UEFI partitions on all boot
disks.

12 Capítulo 2. Instalación
 NethServer Documentation, Versión 7 Final

Modo desatendido

El modo desatendido no requiere intervención humana. Después de la instalación, se reinicia el sistema y se aplica la
siguiente configuración:
Disposición del teclado: us
Zona horaria: UTC
Contraseña predeterminada de‘‘root‘‘: Nethesis,1234
DHCP habilitado en todas las interfaces de red; Si no se recibe una concesión DHCP, se aplica la opción
:ref:‘Configuración IP alternativa <fallback-ip-configuration>
Si hay dos o más discos, se creará un RAID 1 en los dos primeros discos y se crearán volúmenes LVM en él
Las particiones swap y root se asignan automáticamente; 1GB está asignado a boot

2.1.4 Instalar en CentOS

Es posible instalar NethServer En una nueva instalación mínima de CentOS utilizando un par de comandos para
descargar los paquetes de software adicionales. Este método de instalación está diseñado para servidores privados
virtuales (VPS) donde CentOS viene ya instalado por el proveedor de VPS.
Habilitar repositorios de software NethServer con este comando:

yum install -y [Link]

Para instalar el sistema base, ejecute:

nethserver-install

Alternativamente, para instalar el sistema base and módulos adicionales, pase el nombre del módulo como parámetro
al script de instalación. Ejemplo:

nethserver-install nethserver-mail nethserver-nextcloud

2.1.5 Próximos pasos

Al final del procedimiento de instalación, acceda por el administrador del servidor a: ref:Instalar software adicional
<package_manager-section>.

2.2 Accediendo al administrador del servidor

NethServer puede ser configurado mediante la interfaz web de Server Manager. Necesitas un navegador web como
Mozilla Firefox o Google Chrome para acceder a la interfaz web mediante la dirección (URL) [Link]
c.d:980 o [Link] donde abcd y Server_name son respectivamente la dirección IP y el
nombre del servidor configurados durante la instalación.
Si el módulo del servidor web está instalado, también puede acceder a la interfaz web utilizando esta dirección
[Link]
El Administrador del Servidor utiliza certificados SSL autofirmados. Debe aceptarlos explícitamente la primera vez
que acceda al servidor. La conexión es segura y encriptada.

2.2. Accediendo al administrador del servidor 13

NethServer Documentation, Versión 7 Final

2.2.1 Iniciar sesión

The login page allows selecting an alternative language among those already installed on the system. After logging in,
go to the Centro de software page to install additional languages.
The login page will give you a trusted access to the web interface. Log in as root and type the password chosen during
NethServer installation.

Nota: The unattended install procedure sets the root password to the default Nethesis,1234.

2.2.2 First configuration wizard

The first time root logs in, the First configuration wizard procedure is displayed.
If the root password is still at the default value, a password change is required.
It is possible to restore a configuration backup. Refer to Recuperación de desastres for more information.
Otherwise the wizard procedure helps on setting up:
Host name
Date and time zone
SSH port
Smarthost configuration
Usage statistics

2.2.3 Change the current password

You can change the root password from the web interface by going to the root@[Link] label on the upper
right corner of the screen and clicking on Profile.

2.2.4 Logout

Terminate the current Server Manager session by going to the root@[Link] label on the upper right corner
of the screen and by clicking on Logout.

2.2.5 Session timeouts

By default (starting from NethServer 7.5.1804), a Server Manager session terminates after 60 minutes of inactivity
(idle timeout) and expires 8 hours after the login (session life time).
The following shell command sets 2 hours of idle timeout, and 16 hours of maximum session life time. Time is
expressed in seconds:
config setprop httpd-admin MaxSessionIdleTime 7200 MaxSessionLifeTime 57600

To disable the timeouts

config setprop httpd-admin MaxSessionIdleTime '' MaxSessionLifeTime ''

The new timeout values will affect new sessions. They do not change any active session.

14 Capítulo 2. Instalación
 NethServer Documentation, Versión 7 Final

2.3 Suscripción a NethServer

A NethServer installation can be registered to a public or private Dartagnan1 instance, getting access to monitoring
portal and stable update repositories.

Consejo: The NethServer Subscription by Nethesis2 enables access to a public ready-to-use Dartagnan instance,
along with immediate professional support services for your NethServer deployments. Detailed info available at https:
//[Link]

Activating a subscription will enable the stable YUM repositories, but will disable any other repositories you may
have added. You can re-enable any other repositories by creating a «template-custom» for /etc/nethserver/
[Link].
The subscription provider may not accept support requests for the contents of custom repositories.

2.3.1 Registering the system

1. Accede a la página Subscription desde el Panel de Control

2. Haz clic en Subscribe
3. Inicia sesión o regístrate en [Link] para obtener un código de registro
4. Copia y pega el código en el campo Registration token
5. Haz clic en el botón Register now
At the end, the subscription plan name and validity are reported inside the page. Monitoring and access to stable
repositories are automatically enabled.

2.3.2 Removing a subscription

When the subscription expires, or at the end of a trial period, use the following command to revert any modification to
repositories and access the community ones:

config setprop subscription Secret '' SystemId ''

signal-event software-repos-save

Refer to Actualizaciones de software for more information about the community updates origin.

1 Documentación Dartagnan: [Link]

2 Web oficial de Nethesis: [Link]

2.3. Suscripción a NethServer 15

NethServer Documentation, Versión 7 Final

16 Capítulo 2. Instalación
 CAPÍTULO 3

Configuración

3.1 Centro de software

NethServer is highly modular: at the end of the installation a bare minimum set of features like network configuration
and log viewer is installed. The Software center page allows the administrator to select and install additional modules,
and also list and update the already installed software packages.
A module is usually constituted by multiple packages. It extends the system functionality. For instance a module can
transform NethServer into an Email server, or a Web proxy.
A software package is an atomic unit of software. It is published by a public software repository. NethServer packages
are files in the RPM1 file format. Thus within this context the terms package and RPM can be used as synonyms.

3.1.1 Actualizaciones de software

A NethServer 7 system receives updates from different software projects:

the NethServer project itself2
the CentOS project3
the EPEL repository4
Each project releases software updates according to its specific rules and development cycle, but all of them prefer
software stability over bleeding edge features.
Refer to the Community forum5 and Notas de lanzamiento 7 for more information about NethServer updates.
Updates released by the CentOS project are immediately available on NethServer directly from the CentOS mirrors.
More info about CentOS updates:
1 RPM Package Manager – [Link]
2 NethServer – [Link]
3 CentOS – Community ENTerprise Operating System [Link]
4 EPEL – Extra Packages for Enterprise Linux [Link]
5 NethServer community forum – [Link]

17
NethServer Documentation, Versión 7 Final

[Link]
[Link]
[Link]
[Link]
Updates released by EPEL are available only if the unlocked software updates origin is selected, as explained below.

Consejo: Even if the above projects strive for software stability, care is necessary to check if the updates fit well to-
gether. Every time the system is going to be updated, create a backup of the data and review the updates changelog
to understand what is going to happen. If possible, test the updates in a non-production system. For any doubt ask the
NethServer community forum!5

Every day an automated scheduled task checks if a new distribution release of CentOS is available; when this
happens it sends an email notification message to the system administrator and changes the Software updates origin.
The system administrator can temporarily change the software updates origin from Software center > Configure. The
available choices are:
Unlocked (default)
The Software center considers updates from all available software repositories. It ensures every installed
package is at its latest version.
The «unlocked» origin is automatically selected by the system upgrade procedure that can be started only
by the system administrator.
Locked
The Software center prevents to install the updates coming from a CentOS release different than the cu-
rrent system version. For example, it prevents to install updates from CentOS 7.6 if NethServer version is
7.5. Packages from other repositories which are generically compatible with «7» (like EPEL) are consi-
dered only when new modules are installed; once they have been installed they are never updated.
The «locked» origin is automatically selected when a new CentOS distribution release is available. When
also the NethServer project releases a new version, the Software center asks to start the system upgrade.
The upgrade procedure switches to the «unlocked» origin at the end.

Advertencia: When yum is run from the command line and the software origin is «locked», EPEL
and other repositories which are generically compatible with «7» are enabled

Manual update procedure

When updates are available, a warning message appears in the Software center page.
Updates for the installed software are listed under the Updates tab. Further details about them are available under
Updates CHANGELOG.
To start the system update click the Download and install button.

Consejo: Regularly update the installed software to fix bugs, security issues and receive new features

18 Capítulo 3. Configuración
 NethServer Documentation, Versión 7 Final

Automatic update procedure

It is possible to perform some automatic actions when new software updates are available.
Download and (optionally) install the updates
Send an email to the system administrator (root) and to an additional list of recipients
The updates availability is checked by a task that runs at a random time overnight.

Consejo: If the notification email is not delivered or is marked as spam, it is possible to configure a smarthost

3.1.2 Modules installation

The Available tab lists all of the modules that can be installed. This list can be filtered by category. See also Idiomas
adicionales.
To install a module, check the corresponding box and click on Add. Some modules suggest optional packages that
can be installed also at a later time.
Once a module has been installed, it is listed under the Installed tab.
Para instalar paquetes opcionales en un momento posterior, seleccione la pestaña Instalado y pulse el botón Editar
en una entrada en la lista.
To remove a module, go to the Installed tab and push the corresponding Remove button.

Advertencia: ¡Al quitar un módulo también se podrían quitar otros módulos! Lea cuidadosamente la lista de
paquetes afectados para evitar la eliminación de las funciones necesarias.

Lista de paquetes instalados

La lista completa de los paquetes RPM instalados está disponible en Instalado > Paquetes.
La sección Software instalado muestra todos los paquetes ya instalados en el sistema con la versión completa del
paquete.

Idiomas adicionales

El Administrador de servidores permite seleccionar el idioma de la interfaz en la pantalla de inicio de sesión. Sólo se
muestran los idiomas instalados.
En la pestaña Disponible, seleccione la categoría Idiomas e instale los idiomas que desee.

References

3.2 Sistema base

Este capítulo describe todos los módulos disponibles al final de la instalación. Todos los módulos fuera de esta sección
deben instalarse desde la página Centro de software, incluyendo Copia de seguridad.

3.2. Sistema base 19

NethServer Documentation, Versión 7 Final

3.2.1 Dashboard

La página Dashboard es la página de destino después de un inicio de sesión satisfactorio. La página mostrará el estado
y la configuración del sistema.

Analizador de disco

Esta herramienta se utiliza para visualizar el uso del disco en un simple y agradable gráfico en el que puedes interactuar,
hacer clic y hacer doble clic para navegar en el árbol de directorios.
Después de la instalación, vaya a la pestaña Dashboard, y luego Uso del disco, y haga clic en Actualizar para indexar
el directorio raíz y mostrar el gráfico. Este proceso puede tomar varios minutos dependiendo del espacio en disco
ocupado.
Las carpetas conocidas son:
Carpetas compartidas: /var/lib/nethserver/ibay
Directorios de los usuarios: /var/lib/nethserver/home
Correo: /var/lib/nethserver/vmail
Faxes: /var/lib/nethserver/fax
Bases de datos MySQL: /var/lib/mysql

3.2.2 Red

La página Red configura cómo el servidor está conectado a la red local (LAN) y/o a otras redes (es decir, Internet).
Si el servidor tiene funcionalidad de firewall y gateway, manejará redes adicionales con funciones especiales como
DMZ (Zona desmilitarizada) y la red de invitados.
NethServer soporta un número ilimitado de interfaces de red. Cualquier red administrada por el sistema debe seguir
estas reglas:
Las redes deben estar físicamente separadas (no se pueden conectar múltiples redes al mismo conmuta-
dor/concentrador)
Las redes deben estar lógicamente separadas: cada red debe tener direcciones diferentes
Las redes privadas, como las LAN, deben seguir la convención de la dirección del documento RFC1918 Ver
Dirección para redes privadas (RFC1918)
Cada interfaz de red tiene un rol específico que determina su comportamiento. Todos los roles se identifican por
colores. Cada función corresponde a una zona conocida con reglas especiales de tráfico de red:
verde: red local (función/zona verde). Los hosts de esta red pueden acceder a cualquier otra red configurada
azul: red de invitados (función/zona azul). Los hosts de esta red pueden acceder a redes naranjas y rojas, pero
no pueden acceder a la red verde
naranja: red DMZ (función/zona naranja). Los hosts de esta red pueden acceder a la red roja, pero no pueden
acceder a redes azules y verdes
roja: red pública (funcion/zona roja). Los hosts de esta red sólo pueden acceder al servidor en sí
Consulte Política para obtener más información sobre las funciones y las reglas de firewall.

20 Capítulo 3. Configuración
 NethServer Documentation, Versión 7 Final

Nota: El servidor debe tener al menos una interfaz de red. Cuando el servidor tiene sólo una interfaz, esta interfaz
debe tener rol verde.

Si el servidor está instalado en un VPS público (Virtual Private Server), debe estar configurado con una interfaz verde.
Todos los servicios críticos deben cerrarse mediante el panel Servicios de red.

Alias IP

Utilice alias IP para asignar más direcciones IP a la misma NIC.

El uso más común es con una interfaz roja: cuando el ISP proporciona un grupo de direcciones IP públicas (dentro de
la misma subred), puede agregar algunas (o todas) a la misma interfaz en rojo y administrarlas individualmente (por
ejemplo, en la configuración de reenvío de puertos).
La sección IP de alias se puede encontrar en el menú desplegable de la interfaz de red relacionada.

Nota: Los Alias de las IP en la interfaz PPPoE podrían no funcionar correctamente, debido a las diferentes imple-
mentaciones del servicio realizado por los proveedores de Internet.

Interfaces lógicas

En la página Red pulse el botón Nueva interfaz para crear una interfaz lógica. Las interfaces lógicas soportadas son:
balanceo: organiza dos o más interfaces de red (proporciona equilibrio de carga y tolerancia a fallos)
puente: conecta dos redes diferentes (a menudo se utiliza para puentear VPN y máquina virtual)
VLAN (Virtual Local Area Network): crea dos o más redes separadas lógicamente utilizando una sola interfaz
PPPoE (Point-to-Point Protocol over Etherne): conéctese a Internet a través de un módem DSL
Los balances le permiten agregar ancho de banda o tolerar errores de enlace. Los balances se pueden configurar en
varios modos.
Modos que proporcionan equilibrio de carga y tolerancia a fallos:
Balance Round Robin (recomendado)
Balance XOR
802.3ad (LACP): requiere soporte a nivel de controlador y un conmutador con IEEE 802.3ad Modo de agrega-
ción de vínculo dinámico habilitado
Balance TLB: requiere soporte a nivel de driver
Balance ALB
Modos que proporcionan tolerancia a fallos solamente:
Copia de seguridad activa (recomendado)
Política de difusión
Un puente tiene la función de conectar los diferentes segmentos de la red, por ejemplo, permitiendo máquinas virtua-
les, o un cliente conectado a través de una VPN, para acceder a la red local (verde).
Cuando no es posible separar físicamente dos redes diferentes, puede utilizar una VLAN etiquetada. El tráfico de las
dos redes se puede transmitir en el mismo cable, pero se manejará como si fuera enviado y recibido en tarjetas de red
separadas. El uso de VLAN, requiere switches configurados correctamente.

3.2. Sistema base 21

NethServer Documentation, Versión 7 Final

Advertencia: La interfaz lógica PPPoE debe asignarse al rol rojo, por lo que se requiere la funcionalidad de la
pasarela o gateway. Véase Firewall y gateway / Cortafuego y Puerta de enlace para más detalles.

Dirección para redes privadas (RFC1918)

Las redes privadas TCP/IP que no estén conectadas directamente a Internet deben utilizar direcciones especiales se-
leccionadas por la Autoridad de Números Asignados de Internet (IANA).

Red privada Máscara de subred Intervalo de direcciones IP

[Link] [Link] [Link] - [Link]
[Link] [Link] [Link] - [Link]
[Link] [Link] [Link] - [Link]

3.2.3 Servicios de red

Un servicio de red es un servicio que se ejecuta en el propio firewall.

Cada servicio tiene una lista de puertos «abiertos» en los que responde a las conexiones. Se pueden aceptar conexiones
desde zonas seleccionadas. Puede configurarse un control más detallado del acceso a los servicios de red desde la
página de reglas del firewall.

3.2.4 Redes de confianza

Las redes de confianza son redes especiales (locales, VPN o remotas) que pueden acceder a los servicios de un servidor
especial.
Por ejemplo, los hosts dentro de redes de confianza pueden acceder a:
Administrador del servidor
Carpetas compartidas (SAMBA)
Si la red remota es accesible mediante un router, recuerde agregar una ruta estática dentro de la página Rutas estáticas.

3.2.5 Rutas estáticas

Esta página permite crear rutas estáticas especiales que usará la puerta de enlace especificada. Estas rutas se utilizan
generalmente para conectar la red privada.
Recuerde agregar la red a Redes de confianza, si desea permitir que los hosts remotos tengan acceso a los servicios
locales.

3.2.6 Organización contactos

Los campos de la página Organización contactos se utilizan como valores predeterminados para las cuentas de usuario.
El nombre y la dirección de la organización también se muestran en la pantalla de inicio de sesión del Administrador
del servidor.

22 Capítulo 3. Configuración
 NethServer Documentation, Versión 7 Final

3.2.7 Certificado del servidor

La página del Certificado del servidor muestra los certificados X.509 actualmente instalados y el predeterminado
proporcionado por los servicios del sistema para las comunicaciones cifradas TLS/SSL.
NethServer checks the certificates validity and sends an email to the root user if a certificate is near to expire.
El botón: guilabel: Establecer predeterminado permite elegir el certificado por defecto. Cuando se elige un nuevo cer-
tificado, todos los servicios que utilizan TLS/SSL se reinician y los clientes de red deben aceptar el nuevo certificado.
When NethServer is installed a default RSA self-signed certificate is generated. It should be edited by inserting proper
values before configuring the network clients to use it. When the self-signed certificate is due to expire a new one is
automatically generated from the same RSA key and with the same attributes.
The Server certificate page also allows:
uploading an existing certificate and private RSA/ECC key. Optionally a certificate chain file can be specified,
too. All files must be PEM-encoded.
solicitar un nuevo certificado de Let’s Encrypt1 . Esto es posible si se cumplen los siguientes requisitos:
1. El servidor debe ser accesible desde el exterior en el puerto 80. Asegúrese de que su puerto 80 está abierto
a la Internet pública (puede consultar con sitios como2 );
2. Los dominios que desea que el certificado de debe ser los nombres de dominio público asociado a la IP
pública del servidor propio. Asegúrese de que tiene un nombre DNS público que apunta a su servidor
(puede consultar con sitios como3 ).
Wildcard certificates (i.e. *.[Link]) are not supported.
The Notification email will be used by Let’s Encrypt to send notifications about the certificate.
The Let’s Encrypt certificate is automatically renewd 30 days before expiration date.

Nota: Para evitar problemas al importar el certificado en Internet Explorer, el campo Nombre Común (CN) debe
coincidir con el FQDN de servidor.

Deshabilitar Let’s Encrypt

El certificado Let’s Encrypt se puede deshabilitar siguiendo estos pasos:

1. Access the Server certificate page, set as default the self-signed certificate or an uploaded one
2. Abre el shell y ejecuta los siguientes comandos:

rm -rf /etc/letsencrypt/*
config setprop pki LetsEncryptDomains ''

3.2.8 Apagar

La máquina donde NethServer está instalado puede reiniciarse o detenerse desde la página Apagar. Seleccione una
opción (reiniciar o detener) y, a continuación, haga clic en el botón Enviar.
Utilice siempre este módulo para evitar un apagado incorrecto que pueda causar daños en los datos.
1 Sitio web Let’s Encrypt [Link]
2 Sitio web [Link]
3 Sitio web [Link]

3.2. Sistema base 23

NethServer Documentation, Versión 7 Final

3.2.9 Visor de registro

Todos los servicios guardarán las operaciones dentro de los archivos llamados logs. El análisis de log es la herramienta
principal para encontrar y resolver problemas. Para analizar los archivos de registro, haga clic en Visor de registro.
Este módulo permite:
Iniciar la búsqueda en todos los registros del servidor
Mostrar un solo registro
Seguir el contenido de un registro en tiempo real

3.2.10 Fecha y hora

Después de la instalación, asegúrese de que el servidor esté configurado con la zona horaria correcta. El reloj de la
máquina puede configurarse manual o automáticamente utilizando servidores públicos NTP (de preferencia).
El reloj de la máquina es muy importante en muchos protocolos. Para evitar problemas, todos los hosts en LAN se
pueden configurar para utilizar el servidor como servidor NTP.

3.2.11 Ayuda en línea

Todos los paquetes dentro del Administrador del servidor contienen una ayuda en línea. La ayuda en línea explica
cómo funciona el módulo y todas las opciones disponibles.
Estas páginas de ayuda están disponibles en todos los idiomas del Administrador de servidores.
Puede encontrar una lista de todas las páginas de ayuda en línea disponibles en la dirección:

[Link]

Ejemplo
Si el servidor tiene la dirección «[Link]», y desea ver todas las páginas de ayuda en inglés, use esta dirección:

[Link]

3.3 Usuarios y grupos

3.3.1 Proveedores de cuentas

NethServer soporta autenticación y autorización contra un proveedor de cuentas local o remoto

Los tipos de proveedores compatibles son:
OpenLDAP local corriendo en el propio NethServer
Servidor LDAP remoto con esquema RFC2307
Controlador local de Active Directory de Samba 4
Active Directory remoto (Microsoft y Samba)
El usuario root puede configurar cualquier tipo de proveedor de cuentas desde la página Accounts provider.
Tenga precaución con la siguiente regla sobre el proveedor de cuentas:

24 Capítulo 3. Configuración
 NethServer Documentation, Versión 7 Final

Una vez que NethServer ha estado vinculado a un proveedor de cuentas, el FQDN no se puede cambiar
más
Proveedores remotos Luego de que NethServer ha sido unido a un proveedor de cuentas remoto la pagina de Usua-
rios y grupos muestra las cuentas del dominio en modo solo-lectura.
Proveedores locales Después de instalar un proveedor local (ya sea Samba 4 o OpenLDAP), el administrador puede
crear, modificar y eliminar los usuarios y grupos.

Advertencia: Por favor, elige correctamente el proveedor de cuentas, ya que, ésa opción, podría ser irreversible.
Además, el sistema podría rechazar cualquier cambio en el FQDN después de que el proveedor de cuentas se haya
configurado.

Elegir el proveedor de cuenta correcto

Aparate de elegir entre un proveedor de cuentas local o uno remoto, el administrador tiene que decidir qué tipo de
backend necesita en base a sus necesidades.
El módulo Servidor de archivos de NethServer, que habilita la página Carpetas compartidas, sólo puede autenticar
clientes SMB/CIFS si NethServer está enlazado a un dominio de Active Directory. Los proveedores LDAP permiten
el acceso a Carpetas compartidas sólo en modo invitado. Véase: ref:shared_folders-section.
Por otro lado, el proveedor local de OpenLDAP es más fácil de instalar y configurar.
Al final, si no se requiere el soporte para el protocolo de intercambio de archivos SMB, un proveedor LDAP es la
mejor opción.

Instalación del proveedor local de OpenLDAP

Para instalar y configurar un proveedor de cuentas local OpenLDAP, visita Accounts provider > LDAP > Install locally.
El sistema necesita una conexión a Internet estable para descargar paquetes adicionales durante la instalación.
Al finalizar la instalación, el paquete es configurado automáticamente y el administrador podrá administrar los User
and groups.
Consulta la sección Cuenta de administrador para más detalles sobre los usuarios y grupos administrativos.

Instalación del proveedor local de Active Directory de Samba

Durante el proceso de instalación de Samba Active Directory como proveedor de cuentas local, el sistema necesitará
un direccíon IP adicional y una conexión a Internet estable.
El IP adicional se asigna a un contenedor Linux que ejecuta las funciones de controlador de dominio de Active
Directory y debe ser accesible desde la LAN (red verde).
Por lo tanto, la dirección IP adicional debe satisfacer tres condiciones:
1. La dirección IP tiene que ser libre; no debe ser utilizada por ninguna otra máquina
2. La dirección IP debe estar en el mismo rango de subred de una red verde
3. La red verde debe ser montada sobre una interfaz puente donde un contenedor Linux puede unir la interfaz
virtual. El proceso de instalación podría crear esa interfaz puente automáticamente si ésta no existe
Para instalar un proveedor local de cuentas AD, ve a la página Accounts provider > Active Directory > Create a new
domain.

3.3. Usuarios y grupos 25

NethServer Documentation, Versión 7 Final

El nombre DNS domain name define el sufijo DNS del nuevo dominio. NethServer actúa como un servidor DNS
autoritario de ese dominio. Ver también DNS and AD domain.
The NetBIOS domain name (also known as «domain short name», «NT domain name») is the alternative Active
Directory domain identifier, compatible with older clients. See also Network access.
The Domain Controller IP address field must be filled with the additional IP address explained above.
When all fields are filled, press the Create domain button.

Advertencia: The Active Directory DNS domain name and NetBIOS domain name values cannot be changed once
that the domain has been created

El procedimiento de configuración de Active Directory puede requerir algún tiempo para ejecutarse. Crea el chroot
del Contenedor de Linux, descargando paquetes adicionales.
Al final del procedimiento de configuración de Active Directory, el host NethServer se configura automáticamente
para unirse al dominio de Active Directory. Vaya a la página Usuario y grupos para ver las cuentas por defecto.
The previously assigned IP address can be changed from Accounts provider > Change IP.

Advertencia: Changing the Domain Controller IP address can cause problems to Active Directory clients. If they
use an external DNS server, update it to use the new IP address.

Después de instalar Samba Active Directory, la página Usuarios y grupos tiene dos entradas predeterminadas; ambas
están desactivadas: administrador y admin. «Administrador» es la cuenta privilegiada de Active Directory predeter-
minada y no es requerida por NethServer; es seguro mantenerlo deshabilitado. «Admin» es definido por NethServer
como la cuenta administrativa predeterminada del sistema. Es miembro del grupo de administradores de dominio de
AD. Véase la sección ref:admin-account-section para más detalles.

DNS and AD domain

An Active Directory domain requires a reserved DNS domain to work. It is a good choice to allocate a subdomain of
the public DNS domain for it. The AD subdomain can be accessible only from LAN (green) networks.
Example:
public (external) domain: [Link]
server FQDN: [Link]
Active Directory (internal LAN only) domain: [Link]
domain controller FQDN (assigned by default): [Link]

Truco: When choosing a domain for Active Directory use an internal domain which is a subdomain of the external
domain1

1 [Link]

aspx#Recommendation

26 Capítulo 3. Configuración
 NethServer Documentation, Versión 7 Final

Instalación en una máquina virtual

Samba Active Directory se ejecuta dentro de un contenedor Linux que utiliza una interfaz de red virtual puenteada
a la interfaz de red del sistema. La interfaz de red virtual debe ser visible dentro de la red física, pero a menudo las
soluciones de virtualización bloquean el tráfico ARP. Como resultado, el contenedor de Active Directory de Samba no
es visible desde hosts en LAN.
Al instalar en un entorno virtual, asegúrese de que la solución de virtualización permite el tráfico en modo promiscuo.

VirtualBox

Para configurar la política de modo promiscuo, seleccione «Permitir todo» en la lista desplegable ubicada en la sección
de configuración de red.

VMWare

Introduzca la sección de configuración de red del modo de virtualización y establezca el conmutador virtual en modo
promiscuo.

KVM

Asegúrese de que la máquina virtual está conectada a un puente real (como br0) y el puente se pone en modo promis-
cuo.
Es posible forzar un puente (es decir br0) en modo promiscuo usando este comando:

ifconfig br0 promisc

Hyper-V

Configure MAC Address Spoofing for Virtual Network Adapters2

Local accounts provider uninstall

Both LDAP and AD local accounts provider can be uninstalled from the Accounts provider > Uninstall page.
When the local accounts provider DB is uninstalled, any user, group and computer account is erased.
A list of users and groups in TSV format is dumped to /var/lib/nethserver/backup/[Link]
and /var/lib/nethserver/backup/[Link]. See also Import and delete accounts from plain-
text files.
Existing files owned by users and groups must be removed manually. This is the list of system directories
containing users and groups data:

/var/lib/nethserver/home
/var/lib/nethserver/vmail
/var/lib/nethserver/ibay

2 [Link]

3.3. Usuarios y grupos 27

NethServer Documentation, Versión 7 Final

Unirse a un dominio de Active Directory existente

Aquí NethServer está enlazado a un proveedor de cuenta de Active Directory remoto. Puede ser proporcionado por
implementaciones de Samba o Microsoft. En este escenario NethServer se convierte en un servidor de confianza de un
dominio de Active Directory existente. Al acceder a un recurso NethServer de una estación de trabajo del dominio, las
credenciales de usuario se comprueban contra uno de los controladores de dominio y se concede el acceso al recurso.
Joining an Active Directory domain has the following pre-requisite:
El protocolo Kerberos requiere que la diferencia entre los relojes de los sistemas en la red sea inferior
a 5 minutos. Configure los clientes de red para alinear sus relojes a una fuente de hora común. Para
NethServer Vaya a la página Fecha y hora.
After the prerequisite is fulfilled, proceed to the page Accounts provider > Active Directory > Join a domain.
Enter the DNS domain name of the AD domain. The NetBIOS domain name (domain short name) is probed
automatically.
Fill the AD DNS server field. Usually it is the IP address of an AD domain controller.
Provide the User name and Password of an AD account with the privilege of joining a computer to the domain.
Remember that the default administrator account could be disabled!

Advertencia: Some additional modules, like Nextcloud, WebTop, Roundcube, Ejabberd require read-only access
to AD LDAP services. To be fully operational they require an additional account to perform simple LDAP binds.
Create a dedicated user account in AD, and set a complex non-expiring password for it.

Once NethServer has successfully joined AD, specify the dedicated user account credentials in Accounts provider >
Authentication credentials for LDAP applications.

Vincular a un servidor LDAP remoto

To configure a remote LDAP accounts provider, go to page Accounts provider > LDAP > Bind remotely.
Type the LDAP server IP address in the field Host name or IP. If the LDAP service runs on a non-standard TCP port,
specify it in TCP port.
Then an LDAP rootDSE query is sent to the specified host and a form is filled with returned data. Check the values
are correct then press the Save button to confirm.
If the LDAP server requires authentication, fill in the fields under Authenticated bind. Enable either ldaps:// or
STARTTLS to encrypt the connection.

Truco: If the remote LDAP server is also a NethServer installation and it is in the LAN (green) network, select
Anonymous bind

3.3.2 Usuarios

Una nueva cuenta de usuario permanece bloqueada hasta que una contraseña ha sido configurada. Los usuarios desha-
bilitados tienen denegado el accesos a los servicios del sistema.
Cuando se crea un usuario, los siguientes campos son obligatorios.
Nombre de usuario

28 Capítulo 3. Configuración
 NethServer Documentation, Versión 7 Final

Nombre completo (nombre y apellido)

Un usuario puede ser agregado a uno o mas grupos de la pagina Usuarios o de la pagina Grupos .
Sometimes you need to block user access to services without deleting the account. The safest approach is:
lock the user using the Lock action
(optionally) change the user’s password with a random one

Nota: When a user is deleted, the home directory and its own personal mail box will be also deleted.

Cambio de la contraseña

Si no se configuro una contraseña inicial durante la creación del usuario, la cuenta del usuario es deshabilitada. Para
habilitarla, configure una contraseña utilizando el botón Cambiar contraseña.
Cuando un usuario es habilitado, el usuario puede acceder a la administración del servidor para cambiar su propia
contraseña yendo a la etiqueta user@[Link] en la esquina superior derecha de la pantalla y cliqueando en Perfil.
Si el sistema esta unido a un proveedor de cuentas de Active Directory, los usuario pueden cambiar su contraseña
usando las herramientas de Windows. En este caso ud. no puede configurar contraseñas de menos de 6 caracteres sin
importar las políticas del servidor. Los chequeos preliminares de windows envían la contraseña al servidor donde son
evaluados de acuerdo a políticas configuradas.

Credenciales de servicios

Las credenciales de usuario son usuario y su contraseña. Las credenciales son requeridas para acceder a los servicios
instalados en el sistema.
El nombre de usuario se puede emitir en dos formas: largo (predeterminado) y corto. El formulario largo siempre es
aceptado por los servicios. Depende del servicio aceptar también el formulario corto.
Por ejemplo si el dominio es [Link] y el usuario es goofy:
User long name form goofy@[Link]
User short name form goofy
Para acceder a una carpeta compartida, vea también Network access.

User home directories

User home directories are stored inside /var/lib/nethserver/home directory, in order to simplify the deploy-
ment of a single-growing partition system.
The administrator can still restore the well-known /home path using the bind mount:

echo "/var/lib/nethserver/home /home none defaults,bind 0 0" >> /etc/

˓→fstab

mount -a

3.3. Usuarios y grupos 29

NethServer Documentation, Versión 7 Final

3.3.3 Grupos

A un grupo de usuarios se le puede conceder algún permiso, como autorizar el acceso a través de Carpetas comparti-
das. El permiso concedido se propaga a todos los miembros del grupo.
Se pueden crear dos grupos especiales. Los miembros de estos grupos tienen acceso a los paneles del Administrador
de servidores:
administradores de dominio: los miembros de este grupo tienen los mismos permisos que el usuario root del
Administrador de servidores.
managers: los miembros de este grupo tienen acceso a la sección Administración del Administrador de servido-
res.

3.3.4 Cuenta de administrador

Si se instala un proveedor local de AD o LDAP, se crea automáticamente un usuario admin, miembro del grupo ad-
ministradores del dominio. Esta cuenta permite acceder a todas las páginas de configuración dentro del Administrador
del servidor. El acceso está inicialmente deshabilitado y no tiene acceso desde la consola.

Truco: Para habilitar la cuenta admin, establezca su contraseña.

Cuando se aplica, la cuenta admin tiene privilegios especiales en algunos servicios específicos, como unirse a una
estación de trabajo a un dominio de Active Directory.
La gestión de grupos está disponible desde la línea de comandos a través de los eventos group-create y
group-modify
Si un usuario o grupo con un propósito similar ya está presente en la base de datos del proveedor de cuentas remotas,
pero se denomina de forma diferente, NethServer puede ser configurado para confiar en él con los siguientes comandos:

config setprop admins user customadmin group customadmins

/etc/e-smith/events/actions/system-adjust custom

3.3.5 Gestión de contraseñas

El sistema proporciona la capacidad de establecer restricciones en la contraseña complejidad y expiración.

Las directivas de contraseñas se pueden cambiar desde la interfaz web.

Complejidad

La complejidad de la contraseña es un conjunto de condiciones mínimas para que la misma sea aceptada por el sistema:
Puede elegir entre dos políticas de administración diferentes sobre la complejidad de la contraseña:
none: no hay control específico sobre la contraseña introducida, pero la longitud mínima es de 7 caracteres
strong
La directiva strong requiere que la contraseña cumpla con las siguientes reglas:
Longitud mínima de 7 caracteres
Contiene al menos 1 número
Contiene al menos 1 carácter en mayúscula

30 Capítulo 3. Configuración
 NethServer Documentation, Versión 7 Final

Contiene al menos 1 carácter minúscula

Contiene al menos 1 carácter especial
Al menos 5 caracteres diferentes
No debe estar presente en los diccionarios de palabras comunes
Debe ser diferente del nombre de usuario
No se pueden realizar repeticiones de patrones formados por 3 o más caracteres (por ejemplo, la contraseña
As1.$ AS1. $ No es válida)
Si se instala Samba Active Directory, también el sistema habilitará el historial de contraseñas
La directiva predeterminada es: dfn:strong.

Advertencia: El cambio de las políticas predeterminadas es contraindicado. El uso de contraseñas débiles a

menudo conduce a servidores comprometidos por atacantes externos.

Vencimiento

The password expiration is enabled by default to 6 months from the time when the password is set.

Nota: El sistema se referirá a la fecha del último cambio de contraseña, si la contraseña es mayor de 6 meses, el
servidor enviará un correo electrónico para indicar que la contraseña ha caducado. En este caso, debe cambiar la
contraseña de usuario. Por ejemplo, si el último cambio de contraseña se realizó en enero y la activación de la fecha
límite en octubre, el sistema asumirá que la contraseña cambiada en enero expiró y notifica al usuario.

Efectos de contraseñas caducadas

Después de la expiración de la contraseña, el usuario sigue siendo capaz de leer y enviar mensajes de correo electró-
nico.
Si NethServer tiene un proveedor de cuenta de Active Directory, el usuario no puede tener acceso a carpetas compar-
tidas, impresoras (por Samba) y otros equipos de dominio.

3.3.6 Import and delete accounts from plain-text files

Importar usuarios

Es posible crear cuentas de usuario desde un archivo TSV (Tab Separated Values, valores separados por tabulación)
con el siguiente formato:

username <TAB> fullName <TAB> password <NEWLINE>

Ejemplo:

mario <TAB> Mario Rossi <TAB> 112233 <NEWLINE>

Luego ejecutar:

3.3. Usuarios y grupos 31

NethServer Documentation, Versión 7 Final

/usr/share/doc/nethserver-sssd-<ver>/import_users <youfilename>

Por ejemplo, si el archivo del usuario es /root/[Link], ejecute el siguiente comando:

/usr/share/doc/nethserver-sssd-`rpm --query --qf "%{VERSION}" nethserver-sssd`/

˓→scripts/import_users /root/[Link]

Carácter de separador alternativo:

import_users [Link] ','

Import emails

Es posible crear alias de correo desde un archivo TSV (Tab Separated Values, valores separados por tabulación) con el
siguiente formato:

username <TAB> emailaddress <NEWLINE>

A continuación, puede utilizar el script import_emails. Ver Import and delete accounts from plain-text files para
una invocación del script de ejemplo.

Import groups

La gestión de grupos está disponible desde la línea de comandos a través de los eventos group-create y
group-modify

signal-event group-create group1 user1 user2 user3

signal-event group-modify group1 user1 user3 user4

Delete users

It is possible to delete user accounts from a file with the following format:

user1
user2
...
userN

Ejemplo:

mario <NEWLINE>

Luego ejecutar:

/usr/share/doc/nethserver-sssd-<ver>/scripts/delete_users <youfilename>

Truco: You can also use the same import users file to delete the users.

Por ejemplo, si el archivo del usuario es /root/[Link], ejecute el siguiente comando:

32 Capítulo 3. Configuración
 NethServer Documentation, Versión 7 Final

/usr/share/doc/nethserver-sssd-`rpm --query --qf "%{VERSION}" nethserver-sssd`/

˓→scripts/delete_users /root/[Link]

Carácter de separador alternativo:

delete_users [Link] ','

3.4 DNS

NethServer puede configurarse como servidor DNS (Domain Name System/Sistema de nombres de dominio) dentro
de la red. Un servidor DNS es responsable de la resolución de nombres de dominio (ej. [Link]) a sus
direcciones numéricas correspondientes (por ejemplo, [Link]) y viceversa.
El servidor realiza solicitudes de resolución de nombres DNS en nombre de clientes locales y sólo es accesible desde
la red LAN (verde) y la red de invitados (azul).
Durante una búsqueda de nombres el servidor será:
Busque el nombre entre los hosts configurados localmente
Realizar una consulta en dns externo: las solicitudes se almacenan en el caché para acelerar las consultas poste-
riores

Nota: Debe especificar al menos un servidor DNS externo dentro de la página Red > Servidores DNS.

Si NethServer es también el servidor DHCP en la red, todas las máquinas se configuran para utilizar el propio servidor
para la resolución de nombres.

3.4.1 Hosts

La página Hosts le permite asignar nombres de host a direcciones IP, ya sean locales o remotas.
Por ejemplo, si tiene un servidor web interno, puede asociar el nombre [Link] a la dirección IP del servidor
web. Entonces todos los clientes pueden llegar al sitio web escribiendo el nombre elegido.
Los nombres configurados localmente siempre tienen prioridad sobre los registros DNS de servidores externos. De
hecho, si el proveedor inserta [Link] con una dirección IP correspondiente al servidor web oficial, pero
dentro de NethServer el IP de [Link] está configurado con otra dirección, los hosts dentro de la LAN no
podrán ver el sitio.

3.4.2 Alias

Un alias es un nombre alternativo usado para llegar al servidor local. Por ejemplo, si el servidor se llama
[Link], puede crear un Alias de DNS [Link]. A continuación, el servidor será accesible
desde los clientes de la LAN incluso con el nombre que acaba de definir.
Los alias sólo son válidos para la LAN interna. Si desea que el servidor sea accesible desde el exterior con el mismo
nombre, deberá solicitar al proveedor que asocie la dirección pública del servidor al nombre deseado.

3.4. DNS 33
NethServer Documentation, Versión 7 Final

3.5 Servidor DHCP y PXE

El servidor Dynamic Host Configuration Protocol (DHCP)1 centraliza la gestión de la configuración de red local
para cualquier dispositivo conectado a ella. Cuando un ordenador (o un dispositivo como una impresora, un teléfono
inteligente, etc.) se conecta a la red local, puede solicitar los parámetros de configuración de red mediante el protocolo
DHCP. El servidor DHCP responde, proporcionando el IP, DNS y otros parámetros de red relevantes.

Nota: En la mayoría de los casos, los dispositivos ya están configurados para utilizar el protocolo DHCP al iniciar.

La especificación de Preboot eXecution Environment (PXE) [#PXE] _ permite a un dispositivo de red recuperar el
sistema operativo desde una ubicación de red centralizada mientras se inicia, a través de los protocolos DHCP y TFTP.
Véase Arranque desde la configuración de red para un ejemplo sobre cómo configurar un caso similar.

3.5.1 Configuración DHCP

El servidor DHCP se puede habilitar en todas las interfaces *verde * y *azul * (ver Red). NethServer asignará una
dirección IP libre dentro de la configuración rango DHCP en la página DHCP > Servidor DHCP.
El rango DHCP debe definirse dentro de la red de la interfaz asociada. Por ejemplo, si la interfaz verde tiene IP/netmask
[Link]/[Link] el rango debe ser [Link] - [Link].

Opciones avanzadas

Hay siete opciones avanzadas para DHCP. Puede asignar cero opciones, una opción o las siete opciones.
Para los servidores - DNS, NTP, WINS y TFTP - puede asignar cero, uno o más para cada servidor; si coloca más de
uno, utilice una coma entre cada servidor sin espacio.

3.5.2 Reserva IP del host

El servidor DHCP concede una dirección IP a un dispositivo durante un período de tiempo limitado. Si un dispositivo
requiere tener siempre la misma dirección IP, se le puede otorgar una reserva IP asociada a su dirección MAC.
La página DHCP> IP reservation lista las direcciones IP actualmente asignadas:
Una línea con botón IP reservation identifica un host con un arriendo temporal (color gris);
Una línea con el botón Edit identifica un host con una IP reservada (color negro). Un pequeño icono de dos
flechas junto al nombre del host indica que la concesión DHCP ha caducado: es una condición normal para los
hosts con configuración IP estática, ya que nunca se ponen en contacto con el servidor DHCP.

3.5.3 Arranque desde la configuración de red

Para permitir a los clientes arrancar desde la red, se requieren los siguientes componentes:
El servidor DHCP, como hemos visto en las secciones anteriores
el servidor TFTP2
El software para el cliente, servido a través de TFTP
1 Dynamic Host Configuration Protocol (DHCP) [Link]
2 Protocolo Trivial de transferencia de archivos [Link]

34 Capítulo 3. Configuración
 NethServer Documentation, Versión 7 Final

TFTP es un protocolo de transferencia de archivos muy simple y por lo general se utiliza para la transferencia auto-
matizada de archivos de configuración y arranque.
En NethServer la implementación TFTP viene con el módulo DHCP y está habilitada de forma predeterminada. Para
permitir el acceso a un archivo a través de TFTP, basta con ponerlo en /var/lib/tftpboot.

Nota: Para deshabilitar TFTP, escriba los siguientes comandos en una consola como root:

config setprop dhcp tftp-status disabled

signal-event nethserver-dnsmasq-save

Por ejemplo, ahora configuramos un cliente para iniciar CentOS desde la red. En NethServer, escriba desde la consola
de root:

yum install syslinux

cp /usr/share/syslinux/{pxelinux.0,menu.c32,memdisk,mboot.c32,chain.c32} /var/lib/
˓→tftpboot/

config setprop dnsmasq dhcp-boot pxelinux.0

signal-event nethserver-dnsmasq-save
mkdir /var/lib/tftpboot/[Link]

A continuación, cree el archivo /var/lib/tftpboot/[Link]/default con el siguiente contenido:

default menu.c32
prompt 0
timeout 300

MENU TITLE PXE Menu

LABEL CentOS
kernel CentOS/vmlinuz
append initrd=CentOS/[Link]

Crear un directorio CentOS:

mkdir /var/lib/tftpboot/CentOS

Copie dentro del directorio vmlinuz y [Link]. Estos archivos son públicos y se pueden encontrar en la
imagen ISO, en el directorio /images/pxeboot o descargados desde un espejo de CentOS.
Por último, encienda el host del cliente, seleccionando el arranque PXE (o arranque desde la red) desde la pantalla de
inicio.

Referencias

3.6 Política de TLS

La página TLS policy controla cómo los servicios individuales configuran el protocolo de seguridad de la capa de
transporte (TLS), seleccionando un identificador de política.
If not otherwise stated, the TLS settings of policies are always cumulative: newer policies extend older ones.
Cada implementación de módulo decide cómo implementar un identificador de política específico, ofreciendo una
compensación entre la seguridad y la compatibilidad del cliente. Las políticas más recientes están sesgadas hacia la
seguridad, mientras que las más antiguas ofrecen una mejor compatibilidad con los clientes antiguos.

3.6. Política de TLS 35

NethServer Documentation, Versión 7 Final

Las siguientes secciones describen cada identificador de política.

3.6.1 Policy 2018-10-01

This policy restricts the TLS settings of the default Ejabberd configuration. It applies only to Ejabberd version 18 and
greater.
Ejabberd (XMPP)
Ver [Link] categoría B
Disabled SSLv3 and TLSv1.0
Cipher server priority
ECC certificate
Ciphers suite

ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-ECDSA-
˓→AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES128-

˓→SHA256:EDH+CAMELLIA:EDH+aRSA:EECDH+aRSA+AESGCM:EECDH+aRSA+SHA384:EECDH+aRSA+SHA256:EECDH:+

˓→aNULL:!eNULL:!LOW:!3DES:!MD5:!EXP:!PSK:!DSS:!RC4:!SEED:CAMELLIA256-

˓→SHA:AES256-SHA:CAMELLIA128-SHA:AES128-SHA

3.6.2 Policy 2018-06-21

This policy extends 2018-03-30 by adding the support for ECC certificates to
Apache
Dovecot
OpenSSH
Postfix
Slapd (openldap-servers)
Reference [Link]
Disabled SSLv3 and TLSv1.0
Suite de cifrado

ECDHE:EDH:CAMELLIA:ECDH:RSA:ECDSA:!eNULL:!SSLv2:!RC4:!DES:!EXP:!SEED:!IDEA:!
˓→3DES:!ADH

3.6.3 Política 2018-03-30

The goal of this policy is to harden the cipher set provided by the default upstream policy. It is not compatible with IE
8 XP and Java 6u45 and 7u25 clients. It does not support ECC certificates.
Apache
Ver [Link] categoría B
Suite de cifrado

36 Capítulo 3. Configuración
 NethServer Documentation, Versión 7 Final

EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH

Deshabilitados SSLv2 y SSLv3

Ignore httpd/SSLCipherSuite property settings (see Política de subida predeterminada)
Dovecot
Ver [Link] categoría B
Suite de cifrado

EDH+CAMELLIA:EDH+aRSA:EECDH+aRSA+AESGCM:EECDH+aRSA+SHA384:EECDH+aRSA+SHA256:EECDH:+CAMELLIA2
˓→aNULL:!eNULL:!LOW:!3DES:!MD5:!EXP:!PSK:!DSS:!RC4:!SEED:!ECDSA:CAMELLIA256-

˓→SHA:AES256-SHA:CAMELLIA128-SHA:AES128-SHA

Deshabilitados SSLv2 y SSLv3

OpenSSH
Ver [Link]
Snippet de configuración

Ciphers chacha20-poly1305@[Link],aes256-gcm@[Link],aes128-
˓→gcm@[Link],aes256-ctr,aes128-ctr

MACs hmac-sha2-512-etm@[Link],hmac-sha2-256-etm@[Link],umac-128-
˓→etm@[Link],hmac-sha2-512,hmac-sha2-256,hmac-ripemd160

KexAlgorithms curve25519-sha256@[Link],diffie-hellman-group-exchange-
˓→sha256,diffie-hellman-group14-sha1,diffie-hellman-group-exchange-sha1

Postfix
Ver [Link] categoría B
Use TLS en las conexiones de salida, si el servidor remoto lo admite
Deshabilitar SSLv2 y SSLv3 en los puertos de envío
Suite de cifrado

EDH+CAMELLIA:EDH+aRSA:EECDH+aRSA+AESGCM:EECDH+aRSA+SHA256:EECDH:+CAMELLIA128:+AES128:+SSLv3:
˓→SHA:AES128-SHA

Excluir cifrados

aNULL:eNULL:LOW:3DES:MD5:EXP:PSK:DSS:RC4:SEED:IDEA:ECDSA

3.6.4 Política de subida predeterminada

El objetivo de esta política es mantener la configuración del caudal de subida. Este es el objetivo original desde
NethServer 7.
This policy allows to customize httpd (Apache) with a given cipher list, by issuing the following commands:

config setprop httpd SSLCipherSuite EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH

signal-event nethserver-httpd-update

3.6. Política de TLS 37

NethServer Documentation, Versión 7 Final

38 Capítulo 3. Configuración
 CAPÍTULO 4

Módulos

4.1 Copia de seguridad

Backup is the only way to restore a machine when disasters occur. The system handles two kinds of backups:
copia de seguridad configuración
copia de seguridad datos
Configuration backup contains only system configuration files. The purpose of this kind of backup is to quickly
restore a machine in case of disaster recovery. When the machine is functional, a full data restore can be done even if
the machine is already in production.
Data backup is enabled by installing the «Backup» module and, by default, contains all the data stored in the system
(user’s home directories, shared folders, emails, etc). The single backup runs once a day and can be full or incremental
on a weekly basis. This backup also contains the archive of the configuration backup. More backups can be configured
to save different data at different intervals.

4.1.1 Configuration backup

From page Backup (configuration) the system configuration can be saved, downloaded, uploaded and restored again.
Furthermore, an automated task runs every night at 00.15 and creates a new archive, /var/lib/nethserver/
backup/[Link], if the configuration has changed during the previous 24 hours. Under Backup
(configuration) > Configure page, specify the number of Automatic backups to keep.
The list of installed modules is included in the backup archive. The restore procedure can download and install the
listed modules automatically.

Personalización de la copia de seguridad de la configuración

En la mayoría de los casos no es necesario cambiar la copia de seguridad de la configuración. Pero puede ser útil, por
ejemplo, si tiene una configuración personalizada de httpd. En este caso se puede añadir el archivo que contiene la
personalización de la lista de archivos de copia de seguridad.

39
NethServer Documentation, Versión 7 Final

Inclusion
Si desea agregar un archivo o directorio a la copia de seguridad de la configuración, agregue una línea al archivo
/etc/backup-config.d/[Link].
For example, to backup /etc/httpd/conf.d/[Link] file, add this line:

/etc/httpd/conf.d/[Link]

Do not add big directories or files to the configuration backup.

Exclusion
If you wish to exclude a file or directory from the configuration backup, add a line to the file /etc/
backup-config.d/[Link].

Advertencia: Asegúrese de no dejar líneas vacías dentro de los archivos editados. La sintaxis de la copia de
seguridad de configuración sólo admite rutas de directorio y de archivos simples.

4.1.2 Data backup

NethServer implements 2 types of data backup:

Single backup (primary, default, backward compatible)
Multiple backups (multi-backup, multi-engine)
The data backup can be performed using different engines:
duplicity (default) - [Link]
restic - [Link]
rsync - [Link]
When selecting an engine, the system administrator should carefully evaluate multiple aspects:
Compression: data is compressed on the destination, disk usage can vary in function of compression efficiency
which depends also on the data set
Deduplication: instead of compressing files, data is split into chunks and only a copy of each chunk is kept.
Efficiency depends highly on the data set
Encryption: data saved inside the destination storage is encrypted. Usually data is encrypted before transfer
Size: space used on the destination for each backup, may be smaller or equal than the original data set. When
using engines without encryption support, the destination should always be bigger than the source
Retention: the policy which sets the amount of time in which a given set of data will remain available for restore
Integrity: it’s the engine ability to check if the performed backup is valid in case of restore
Type: a backup can be full, incremental or snapshot based (incremental-forever):
• full: all files are copied to the destination each time
• incremental: compare the data with last full backup and copy only changed or added items. The full backup
and all the intermediate incrementals are needed for the restore process. A full backup is required on a
regular basis.
• snapshot: create a full backup only the first time, then create differential backups. Snapshots can be deleted
and consolidated and only one full backup is needed

40 Capítulo 4. Módulos
 NethServer Documentation, Versión 7 Final

Engine Compression Deduplication Encryption Integrity Type

duplicity Yes No No Yes full / incremental
restic No Yes Yes Yes snapshot
rsync No Partial No No snapshot

Engines

Duplicity

Duplicity is the well-known default engine for NethServer. It has a good compression algorithm which will reduce
storage usage on the destination. Duplicity requires a full backup once a week, when the data set is very big the
process may take more than 24 hours to complete. NethServer doesn’t implement backup encryption if the engine is
Duplicity.
Supported storage backends:
CIFS
NFS
USB
WebDAV (only when used as single backup)

Restic

Restic implements a snapshot-based and always-encrypted backup. It has support for deduplication and can perform
backup on cloud services. Since Restic requires only one full backup, all runs after the first should be fast and could
be scheduled multiple times a day.
Supported storage backends:
CIFS
NFS
USB
WebDAV (only when used as single backup)
SFTP (SSH File Transfer Protocol)
Amazon S3 (or any compatible server like Minio)
Backblaze B2
Restic REST server

Rsync

Time machine-style backup engine using rsync. After the first full backup, it copies only modified or new files using
fast incremental file transfer. On the destination, partial deduplication is obtained using hard links. If the backup
destination directory is full, the oldest backups are automatically deleted to free space.
Supported storage backends:
CIFS

4.1. Copia de seguridad 41

NethServer Documentation, Versión 7 Final

NFS
USB
WebDAV (only when used as single backup)
SFTP (SSH File Transfer Protocol)
Rsync doesn’t support encryption nor compression on the destination. During data transfer, SFTP assures encryption
and data is compressed to minimize bandwidth usage.

Nota: When using rsync engine, make sure the storage backend supports symbolic and hard links. Please note that
NethServer doesn’t support links on Samba shares due to security implications. Also symlinks are not supported on
WebDAV.

Single backup

This is the default system backup which can be configured and restored using the web interface. It can be scheduled
once a day, can include system logs and implements notifications to the system administrator or to an external mail
address.

Storage backends

Single backup can be saved on a destination chosen between:

USB: disco conectado a un puerto USB local (Ver: Data backup)
CIFS: Windows shared folder, it’s available on all NAS (Network Attached Storage). Use access credentials
like: MyBindUser,domain=[Link]
NFS: Carpeta compartida de Linux, está disponible en todas las NAS, generalmente más rápido que CIFS
WebDAV: available on many NAS and remote servers (use a server with a valid SSL certificate as WebDAV
target, otherwise the system will fail mounting the filesystem)

Nota: The destination directory is based on the server host name: in case of FQDN change, the administrator should
take care to copy/move the backup data from the old directory to the new one.

Change backup engine

Duplicity is the default engine for the single backup. You can change it executing one of the commands below.
To use restic:

config setprop backup-data Program restic

To use rsync:

config setprop backup-data Program rsync

To use duplicity:

42 Capítulo 4. Módulos
 NethServer Documentation, Versión 7 Final

config setprop backup-data Program duplicity

The backup will use the selected engine on next run. When the new engine has completed at least one backup, remem-
ber to cleanup the destination by removing data from the old engine.

Multiple backups

The administrator can schedule multiple backups using different engines and destinations. A valid policy could be
creating a weekly backup to a local destination using duplicity, while scheduling a daily backup to a cloud storage
using restic.

Nota: Multiple backups can’t be configured using the server-manager web user interface. All operations should be
performed from command line.

When configuring multiple backups, please bear in mind two golden rules:
always use different destinations for each engine
avoid scheduling concurrent backups, each backup should run when the previous one has been completed
Limitation of multiple backups:
disk usage report is not implemented
WebDAV can’t be used as storage backend
Every backup record is saved inside the backups database. Each record can have 3 different types:
duplicity
restic
rsync
Common properties:
status : enable or disable the backup, can be enabled or disabled
Notify: if set to always, always send a notification with backup status; if set to error, send a notification
only on error; if set to never, never send a notification
NotifyTo: send the notification to given mail address, default is root@localhost
VFSType : set the storage backend
To list all configured backups:

db backups show

Output example:

mybackup=rsync
BackupTime=1 7 * * *
Notify=error
NotifyTo=root@localhost
SMBHost=[Link]
SMBLogin=test
SMBPassword=test
SMBShare=test
(continues on next page)

4.1. Copia de seguridad 43

NethServer Documentation, Versión 7 Final

(proviene de la página anterior)

VFSType=cifs
status=enabled

Schedule

The backup schedule uses the cron syntax saved inside the BackupTime property. Below, some examples.
Every night at 3:

db backups setprop mybackup BackupTime '0 3 * * *'

Every hour, at minute 15:

db backups setprop mybackup BackupTime '15 * * * *'

At 04:05 on every Sunday:

db backups setprop mybackup BackupTime '5 4 * * 0'

For more examples, see:

[Link]
[Link]

Retention policy

Each engine can implement its own retention policy. The policy can be set using the CleanupOlderThan property.
The property takes a number followed by D, M or Y (Days, Months, or Years respectively).
Example: cleanup after 30 days:

db backups setprop mybackup CleanupOlderThan 30D

The retention policy is not supported by the rsync backend.

Storage backends

Multiple backups support different storage backends. Some backends are engine-specific.

CIFS

Samba or Windows share, VFSType is cifs. Supported by all backends.

Properties:
SMBShare: Samba share name
SMBHost: Samba server host name or IP address
SMBLogin: Samba login user
SMBPassword: Samba password for the given user

44 Capítulo 4. Módulos
 NethServer Documentation, Versión 7 Final

USB

USB-attached disk, VFSType is usb. Supported by all backends.

Properties:
USBLabel

NFS

Network File System, VFSType is nfs. Supported by all backends.

Properties:
NFSHost: NFS server host name or IP address
NFSShare: NFS share name

SFTP

SSH File Transfer Protocol, VFSType is sftp. Supported only by restic and rsync.
Properties:
SftpHost: SSH host name or IP address
SftpUser: SSH user
SftpPort: SSH port
SftpDirectory: destination directory, must be writable by the SSH user

S3

Amazon S3 (or compatible), VFSType is s3. Supported only by restic.

Properties:
S3AccessKey: user access key
S3Bucket: bucket (directory) name
S3Host: S3 host, use [Link] for Amazon
S3SecretKey: secret access key
How to setup Amazon S3 access keys: .

B2

Backblaze B2, VFSType is b2. Supported only by restic.

Properties:
B2AccountId: B2 account name
B2AccountKey: B2 account secret key
B2Bucket: B2 bucket (directory)

4.1. Copia de seguridad 45

NethServer Documentation, Versión 7 Final

Rest

Restic REST server, VFSType is rest. Supported only by restic.

Properties:
RestDirectory: destination directory
RestHost: REST server hostname or IP address
RestPort: REST sever port (default for server is 8000)
RestProtocol: REST protocol, can be http or https
RestUser: user for authentication (optional)
RestPassword: password for authentication (optional)

Examples

Rsync backup, every day at 7:15 to a remote server. The SFTP backend requires the password of the remote server to
execute SSH key exchange.

db backups set mybackup1 rsync status enabled BackupTime '15 7 * * *' Notify error
˓→NotifyTo root@localhost \

VFSType sftp SftpHost [Link] SftpUser root SftpPort 22 SftpDirectory /mnt/

˓→mybackup1

echo -e "Nethesis,1234" > /tmp/mybackup1-password; signal-event nethserver-backup-

˓→data-save mybackup1 /tmp/mybackup1-password

Restic backup every day at 3:00 to Amazon S3, no retention limit:

db backups set mybackup1 restic VFSType s3 BackupTime '0 3 * * *' CleanupOlderThan

˓→never Notify error NotifyTo root@localhost status enabled \

S3AccessKey XXXXXXXXXXXXXXXXXXXX S3Bucket restic-demo S3Host [Link]

˓→S3SecretKey xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Prune 0

signal-event nethserver-backup-data-save mybackup1

Duplicity backup every day at 22:00 to CIFS, 10 days retention:

db backups set mybackup1 duplicity VFSType cifs BackupTime '0 22 * * *'

˓→CleanupOlderThan 10D Notify error NotifyTo root@localhost status enabled \

SMBHost [Link] SMBLogin myuser SMBPassword mypassword SMBShare

˓→mybackup

signal-event nethserver-backup-data-save mybackup1

To manually start a backup, execute:

backup-data -b <name>

Where name is the backup name. For the examples above, the name is mybackup1.

Personalización de la copia de seguridad de datos

Si se instala software adicional, el administrador puede editar la lista de archivos y directorios incluidos (o excluidos).

46 Capítulo 4. Módulos
 NethServer Documentation, Versión 7 Final

Single backup

Inclusion
Si desea agregar un archivo o carpeta para copias de seguridad, agregue una línea al archivo /etc/backup-data.
d/[Link].
Por ejemplo, para hacer una copia de seguridad de un software instalado en el directorio /opt, agregue esta línea:

/opt/mysoftware

The same syntax applies to configuration backup. Modifications should be done inside the file /etc/
backup-config.d/[Link].
Exclusion
Si desea excluir un archivo o carpeta de hacer copias de seguridad, agregue una línea al archivo /etc/
backup-data.d/[Link].
Por ejemplo, para excluir todos los directorios llamados Download, agregue esta línea:

**Download**

Para excluir un listado de direcciones llamado test, agrege la siguiente línea:

/var/lib/nethserver/vmail/test/

The same syntax applies to configuration backup. Modifications should be done inside the file /etc/
backup-config.d/[Link].

Multiple backups

All multiple backups read the same configuration of the single backup, but the list of saved and excluded files can be
customized using two special files, where name is the name of the multiple backup:
/etc/backup-data/<name>.include
/etc/backup-data/<name>.exclude
Both files will override the list of included and excluded data set from the single backup. The accepted syntax is the
same as the single backup (see paragraph above).
For example, given a backup named mybackup1 create the following files:
/etc/backup-data/[Link]
/etc/backup-data/[Link]

Example

It’s possible to configure the single backup to save all data and create a multiple backup which includes only the mail
and is scheduled each our.
1. Configure the new mymailbackup:

db backups set mymailbackup restic status enabled BackupTime '0 * * * *' Notify
˓→error NotifyTo root@localhost \

VFSType nfs NFSHost [Link] NFSShare test CleanupOlderThan 1d Prune 0

4.1. Copia de seguridad 47

NethServer Documentation, Versión 7 Final

2. Create a custom include containing only the mail directory:

echo "/var/lib/nethserver/vmail" > /etc/backup-data/[Link]

3. Create an empty custom exclude file:

touch /etc/backup-data/[Link]

4. Apply the configuration:

signal-event nethserver-backup-data-save mymailbackup

Advertencia: Asegúrese de no dejar líneas vacías dentro de los archivos editados.

4.1.3 Selective restore of files

Make sure that backup destination is reachable (for example, the USB disk must be connected).
In the Restore files menu section it is possible to search, select and restore one or more directories from the backup,
navigating the graphical tree with all paths included in the backup.
By default, the latest backup tree is shown. If you want to restore a file from a previous backup, select the backup date
from Backup File selector.
There are two options when restoring:
Restore files in the original path, the current files in the filesystem are overwritten by the restored files from
backup
Restore files in original path but the restored files from backup are moved to a new directory (the files are not
overwritten) in this path:

/complete/path/of/file_YYYY-MM-DD (YYYY-MM-DD is the date of restore)

To use the search field, simply insert at least 3 chars and the searching starts automatically, highlighting the matched
directories.
It is possible to restore the directories by clicking on the Restore button.

Nota: Multiple selection can be done with Ctrl key pressed.

Command line procedure

Todos los archivos relevantes se guardan en el directorio /var/lib/nethserver/

Correos: /var/lib/nethserver/vmail/<user>
Carpetas compartidas: /var/lib/nethserver/ibay/<name>
Página de inicio del usuarios: /var/lib/nethserver/home/<user>

48 Capítulo 4. Módulos
 NethServer Documentation, Versión 7 Final

Single backup

It is possible to list all files inside the last backup using this command:
backup-data-list

The command can take some time depending on the backup size.
Para restaurar un archivo/directorio, utilice el comando:
restore-file <position> <file>

Ejemplo, restaure la cuenta de correo prueba al directorio /tmp:

restore-file /tmp /var/lib/nethserver/vmail/test

Ejemplo, restaure la cuenta del correo prueba a la posición original:

restore-file / /var/lib/nethserver/vmail/test

El sistema puede restaurar una versión anterior de directorio (o archivo).

Ejemplo, restaure la versión de un archivo de hace 15 días:
restore-file -t 15D /tmp "/var/lib/nethserver/ibay/test/myfile"

The -t option allows to specify the number of days (15 in this scenario). When used with snapshot-based engines, the
-t option requires the name of the snapshot to restore.

Multiple backups

To list data inside a multiple backup, use:

backup-data-list -b <name>

To restore all data in the original location, use:

restore-data -b <name>

To restore a file or directory, use:

restore-file -b <name> <position> <path>

Nota: Cuando está utilizando CIFS para tener acceso al recurso compartido y el comando no funciona como se espera,
compruebe que el usuario y la contraseña del recurso compartido de red son correctos. Si el usuario o la contraseña
están equivocados, encontrará los errores NT_STATUS_LOGON_FAILURE en /var/log/messages. Además,
puede utilizar el backup-data-list para comprobar si la copia de seguridad es accesible.

4.1.4 Configuración del disco USB

The best filesystem for USB backup disks is EXT3 or EXT4. FAT filesystem is supported but not recommended, while
NTFS is not supported. EXT3 or EXT4 is mandatory for the rsync engine.
Antes de formatear el disco, adjúntelo al servidor y busque el nombre del dispositivo:

4.1. Copia de seguridad 49

NethServer Documentation, Versión 7 Final

# dmesg | tail -20

Apr 15 16:20:43 mynethserver kernel: usb-storage: device found at 4

Apr 15 16:20:43 mynethserver kernel: usb-storage: waiting for device to settle before
˓→scanning

Apr 15 16:20:48 mynethserver kernel: Vendor: WDC WD32 Model: 00BEVT-00ZCT0 Rev:
Apr 15 16:20:48 mynethserver kernel: Type: Direct-Access ANSI SCSI
˓→revision: 02

Apr 15 16:20:49 mynethserver kernel: SCSI device sdc: 625142448 512-byte hdwr sectors
˓→(320073 MB)

Apr 15 16:20:49 mynethserver kernel: sdc: Write Protect is off

Apr 15 16:20:49 mynethserver kernel: sdc: Mode Sense: 34 00 00 00
Apr 15 16:20:49 mynethserver kernel: sdc: assuming drive cache: write through
Apr 15 16:20:49 mynethserver kernel: SCSI device sdc: 625142448 512-byte hdwr sectors
˓→(320073 MB)

Apr 15 16:20:49 mynethserver kernel: sdc: Write Protect is off

Apr 15 16:20:49 mynethserver kernel: sdc: Mode Sense: 34 00 00 00
Apr 15 16:20:49 mynethserver kernel: sdc: assuming drive cache: write through
Apr 15 16:20:49 mynethserver kernel: sdc: sdc1
Apr 15 16:20:49 mynethserver kernel: sd 7:0:0:0: Attached scsi disk sdc
Apr 15 16:20:49 mynethserver kernel: sd 7:0:0:0: Attached scsi generic sg3 type 0
Apr 15 16:20:49 mynethserver kernel: usb-storage: device scan complete

Otro buen comando podría ser:

lsblk -io KNAME,TYPE,SIZE,MODEL

En este escenario, el disco es accesible como dispositivo sdc.

Crear una partición Linux en todo el disco:
echo "0," | sfdisk /dev/sdc

Create the filesystem on sdc1 partition with a label named backup. The filesystem should be tuned on the backup
engine used: rsync and restic require a lot of inodes, where duplicity performs better on file systems optimized
for large files.
For duplicity use:
mke2fs -v -T largefile4 -j /dev/sdc1 -L backup

For rsync and restic use:

mkfs.ext4 -v /dev/sdc1 -L backup -E lazy_itable_init

Desconecte y vuelva a conectar el disco USB:

Puede simularlo con el siguiente comando:
blockdev --rereadpt /dev/sdc

Ahora la etiqueta backup aparecerá en la página Copia de seguridad (datos).

4.1.5 Recuperación de desastres

The system is restored in two phases: configuration first, then data. Right after configuration restore, the system is
ready to be used if the proper packages are installed. You can install additional packages before or after the restore.
For example, if the mail-server is installed, the system can send and receive mails.

50 Capítulo 4. Módulos
 NethServer Documentation, Versión 7 Final

Otras configuraciones restauradas:

Usuarios y grupos
Certificados SSL

Nota: La contraseña de root/admin no se ha restaurado.

Pasos a ejecutar:
1. Install the new machine. If possible, enable a network connection at boot (refer to Modos interactivo y manual
section) to automatically re-install the required modules
2. Access the Server Manager and follow the First configuration wizard procedure
3. At step Restore configuration, upload the configuration archive. The option Download modules automatically
should be enabled.
4. Si un mensaje de advertencia lo requiere, reconfigure la asignación de roles de red. Ver Restaurar funciones de
red a continuación.
5. Verificar que el sistema es funcional
6. Restore data backup executing on the console

restore-data

Please note that the disaster recovery should be always performed from a local media (eg. NFS or USB) to speed up
the process.

Restaurar funciones de red

Si la configuración de roles apunta a una placa de red ausente, las páginas Dashboard, Copia de seguridad (configu-
ración) > Restaurar y Red muestran una advertencia. Esto podría suceder en los siguientes casos:
La copia de seguridad de la configuración se ha restaurado en un nuevo hardware
Una o más tarjetas de red han sido sustituidas
Los discos del sistema se mueven a una nueva máquina
La advertencia sugiere una página que muestra una lista de placas de red instaladas en el sistema, resaltando las que
no tienen asignadas un rol rol. A estas últimas, se les puede restaurar el rol desde el menú desplegable.
Por ejemplo, si una placa de red de rol «naranja» ha sido reemplazada; en el menú desplegable aparecerá listado un
elemento «naranja» cerca de la placa de red.
Lo mismo se aplica si la tarjeta antigua era un componente de una interfaz lógica, como un puente o enlace.
Escogiendo un elemento del menú desplegable, el rol antiguo se transfiere a la nueva interfaz física.
Haga clic en el botón Submit para aplicar los cambios.

Advertencia: Elija cuidadosamente la nueva asignación de interfaces: ¡cometer un error aquí podría conducir a
tener un sistema aislado de la red!

If the missing role is green an automatic procedure attempts to fix the configuration at boot-time, to ensure a minimal
network connectivity and login again on the Server Manager.

4.1. Copia de seguridad 51

NethServer Documentation, Versión 7 Final

4.2 Correo electrónico

El módulo de correo electrónico se divide en tres partes principales:

Servidor SMTP para enviar y recibir1
Servidor IMAP y POP3 para leer el correo electrónico2 , y el lenguaje Sieve para organizarlo3
Anti-spam filter, anti-virus and attachments blocker4
Los beneficios son
autonomía completa en la gestión del correo electrónico
evitar problemas por el Proveedor de Servicios de Internet
capacidad de seguimiento de la ruta de los mensajes con el fin de detectar errores
análisis antivirus y antispam optimizados
Consulte también los siguientes temas relacionados:
Cómo funciona el correo electrónico5
Registro MX DNS6
Simple Mail Transfer Protocol (SMTP)7
DKIM signature8

Nota: Since NethServer 7.5.1804 new Correo electrónico, Conector POP3 and POP3 proxy installations are based
on the Rspamd filter engine. Previous NethServer installations are automatically upgraded to Rspamd as described in
Email module transition to Rspamd

4.2.1 Dominios

NethServer puede manejar un número ilimitado de dominios de correo, configurable desde la página Correo electró-
nico > Dominios. Para cada dominio hay dos alternativas:
Entregar mensajes a buzones locales, de acuerdo con el formato Maildir9 .
Retransmitir mensajes a otro servidor de correo.

Nota: Si se elimina un dominio, el correo electrónico no se eliminará; Se conserva cualquier mensaje recibido.

NethServer permite almacenar una copia oculta de todos los mensajes dirigidos a un dominio particular: estos serán
entregados al destinatario final y también a una dirección de correo electrónico personalizada. La copia oculta se activa
mediante la casilla de verificación Enviar siempre una copia (Cco).

1 Postfix mail server [Link]

2 Dovecot Secure IMAP server [Link]
3 Lenguaje de filtrado de correo [Link]
4 Rspamd – Fast, free and open-source spam filtering system. [Link]
5 Correo electrónico, [Link]
6 El registro MX DNS, [Link]
7 SMTP, [Link]
8 Domain Keys Identified Mail (DKIM) is an email authentication method designed to detect email spoofing – Wikipedia
9 El formato Maildir, [Link]

52 Capítulo 4. Módulos
 NethServer Documentation, Versión 7 Final

Advertencia: En algunos países, habilitar la opción Enviar siempre una copia (Cco) puede estar en contra de las
leyes de privacidad.

Si no se puede establecer el destinatario final (p.e. si en destinatario no existe), el mensaje normalmente se rechaza.
A veces (p.e. cuando migramos un dominio de correo), enviar el mensaje a un buzón general puede ser útil. Este
comportamiento se puede lograr mediante :guilabel: aceptar la opción de destinatarios desconocidos.

Append a legal notice

Advertencia: Since NethServer 7.5.1804 this feature is shipped in a separate, optional package:
nethserver-mail2-disclaimer. It is considered deprecated because the alterMIME10 project which pro-
vides the actual implementation is no longer developed and can stop working at any time.

If the optional nethserver-mail2-disclaimer package was installed from the Software center, NethServer
can automatically append a legal notice to sent messages. This text is also known as «disclaimer» and it can be used
to meet some legal requirements.
El texto de la renuncia puede contener el código Markdown11 para dar formato al texto.
Please note signature and disclaimer are very different concepts.
In general, the disclaimer is a fixed text and should be attached (not added) to messages by the mail server. This
technique helps in maintaining the integrity of the message in case of digital signature.
Ejemplo de renuncia:

This email and any files transmitted with it are confidential and
intended solely for the use of the individual or entity to whom they
are addressed. If you have received this email in error please
notify the system manager. This message contains confidential
information and is intended only for the individual named.

The signature should be inserted inside the message text only by the mail client (MUA): Outlook, Thunderbird, etc.
Usually it is a user-defined text containing information such as sender addresses and phone numbers.
Ejemplo de firma:

John Smith
President | My Mighty Company | Middle Earth
555-555-5555 | john@[Link] | [Link]

DKIM signature

DomainKeys Identified Mail (DKIM)8 provides a way to validate the sending MTA, which adds a cryptographic
signature to the outbound message MIME headers.
To enable the DKIM signature for a mail domain, enable Email > Domains > Sign outbound messages with Domain-
Keys Identified Mail (DKIM).
The DKIM signature headers are added only to messages sent through TCP ports 587 (submission) and 465 (smtps).
10 alterMIME is a small program which is used to alter your mime-encoded mailpack – [Link]
11 La sintaxis de formato de texto plano Markdown, [Link]

4.2. Correo electrónico 53

NethServer Documentation, Versión 7 Final

To work effectively, the public DNS must be configured properly. Refer to the instructions of your DNS provider to
run the following steps:
1. Add a TXT record to your public DNS service provider with key «default._domainKey»
2. Copy and paste the given key text in the DNS record data (RDATA) section

4.2.2 Correos electrónicos

Cada usuario tiene un buzón personal y cualquier nombre de usuario en el formulario <username>@<domain> es
también una dirección de correo electrónico válida para entregar mensajes en él.
La lista de buzones aparece en la página Direcciones de correo electrónico > Buzones de usuario. El botón Editar per-
mite deshabilitar el Acceso a servicios de correo electrónico (IMAP, POP3, SMTP/AUTH) para un usuario específico.
Los mensajes enviados al buzón de ese usuario pueden ser reenviados a una dirección de correo electrónico externa.

Advertencia: Si el sistema está enlazado a proveedor de cuenta remota y una cuenta de usuario se elimina
remotamente, el buzón asociado debe borrarse manualmente. El prefijo de la ruta del sistema de archivos es /
var/lib/nethserver/vmail/.

Los buzones se pueden compartir entre grupos de usuarios. La página Direcciones de correo electrónico > Buzones
compartidos permite crear un nuevo buzón compartido y definir uno o más grupos propietarios. Los buzones de correo
compartidos también pueden ser creados por cualquier cliente IMAP que soporte la extensión de protocolo ACL IMAP
(RFC 4314).
El sistema permite la creación de un número ilimitado de direcciones de correo electrónico adicionales, desde la página
Direcciones de correo electrónico > Alias de correo. Cada alias de correo está asociado a uno o más destinos. Un
destino puede ser de los siguientes tipos:
buzón del usuario,
buzón compartido,
dirección de correo electrónico externa.
Un alias de correo puede enlazarse a cualquier dominio de correo o ser específico de un dominio de correo. Por
ejemplo:
Primer dominio: [Link]
Segundo dominio: [Link]
La dirección de correo electrónico info es válida para ambos dominios: info@[Link], in-
fo@[Link]
Dirección de correo electrónico goofy válido sólo para un dominio: goofy@[Link]
A veces una compañía prohíbe las comunicaciones de fuera de la organización usando direcciones de correo electróni-
co personales. La opción Sólo red local bloquea la posibilidad de una dirección para recibir correo electrónico desde el
exterior. Sin embargo, la dirección «sólo de red local» se puede utilizar para intercambiar mensajes con otras cuentas
del sistema.

4.2.3 Configuración del buzón

La página Correo electrónico > Buzones controla qué protocolos están disponibles para acceder a un buzón de usuario:
IMAP12 (recomendado)
12 IMAP [Link]

54 Capítulo 4. Módulos
 NethServer Documentation, Versión 7 Final

POP313 (obsoleto)
Por razones de seguridad, todos los protocolos requieren el cifrado STARTTLS de forma predeterminada. El comando
Permitir conexiones sin cifrar, desactiva este requisito importante y permite pasar contraseñas y contenido de correo
de texto claro en la red.

Advertencia: ¡No permita conexiones no cifradas en entornos de producción!

Desde la misma página, el espacio en disco” de cada buzón se puede limitar a un valor predeterminado de :dfn:‘cuota.
Si la cuota de buzón está habilitada, la página Dashboard > Cuota de correo” resume el uso de cuota para cada usua-
rio. Este resumen se actualiza cuando un usuario inicia sesión o se envía un mensaje. La cuota se puede personalizar
para un usuario específico en :guilabel:‘Direcciones de correo electrónico > Buzones de usuario > Editar > Cuota
de buzón personalizado.
Los mensajes marcados como spam (ver Filtro) se pueden mover automáticamente a la carpeta Basura activando
la opción Mueve a la carpeta «Basura». Los mensajes de spam se eliminan automáticamente después de que haya
transcurrido el período de espera. El período de espera de spam se puede personalizar para un usuario específico en
Direcciones de correo electrónico > Buzones de usuario > Editar > Personalizar retención de mensajes de spam.
The root user can impersonate another user, gaining full rights to any mailbox contents and folder permissions. The
Root can log in as another user option controls this empowerment, known also as master user in Dovecot2 .
Cuando Root puede iniciar sesión como otro usuario está habilitado, las siguientes credenciales son aceptadas por el
servidor IMAP:
Nombre de usuario con el sufijo ‘‘ *root‘‘ añadido
Contraseña de root
Por ejemplo, para acceder como john con la contraseña root secr3t, utilice las siguientes credenciales:
Nombre de usuario: john*root
Contraseña: secr3t

4.2.4 Mensajes

Desde la página Correo electrónico > Mensajes, el cursor Máximo tamaño del mensajes de cola ajusta el tamaño
máximo de los mensajes que atraviesan el sistema. Si se excede este límite, un mensaje no puede entrar en el sistema
en absoluto y se rechaza.
Una vez que un mensaje entra en NethServer, se mantiene en una cola, esperando la entrega final o la retransmisión.
Cuando NethServer retransmite un mensaje a un servidor remoto, pueden producirse errores. Por ejemplo,
La conexión de red falla, o
El otro servidor está inactivo o está sobrecargado.
Estos y otros errores son temporales: en tales casos, NethServer intenta volver a conectar el host remoto a intervalos
regulares hasta que se alcance un límite. El control deslizante Vida del mensaje de cola cambia este límite. De forma
predeterminada, se establece en 4 días.
Mientras los mensajes están en la cola, el administrador puede solicitar un intento inmediato de retransmisión de
mensajes, pulsando el botón Intento de envío desde la página Correo electrónico > Gestión de colas. De lo contrario,
el administrador puede eliminar de forma selectiva los mensajes en cola o vaciarla con el botón Borrar todo.
13 POP3 [Link]

4.2. Correo electrónico 55

NethServer Documentation, Versión 7 Final

Para mantener una copia oculta de cualquier mensaje que atraviese el servidor de correo, active la casilla de verifi-
cación Enviar siempre una copia (Cco). Esta característica es diferente de la misma casilla de verificación en Correo
electrónico > Dominio, ya que no diferencia entre dominios de correo y captura también cualquier mensaje saliente.

Advertencia: En algunos países, habilitar la opción Enviar siempre una copia (Cco) puede estar en contra de las
leyes de privacidad.

4.2.5 Smarthost

La página Email > Smarthost configura todos los mensajes salientes para ser dirigidos a través de un servidor SMTP
especial, técnicamente llamado smarthost. Un smarthost acepta reenviar los mensajes bajo algunas restricciones. Puede
comprobar:
La dirección IP del cliente,
Las credenciales SMTP AUTH del cliente.

Nota: Por lo general, no se recomiendan envíos a través de smarthost. Puede ser utilizado sólo si el servidor está
temporalmente en la lista negra14 , o el acceso SMTP normal está restringido por el ISP.

4.2.6 Filtro

Todos los mensajes de correo electrónico en tránsito están sujetos a una lista de comprobaciones que se pueden activar
selectivamente en la página: Correo electrónico > Filtro
Bloque de archivos adjuntos
Anti-virus
Anti-spam

Bloque de archivos adjuntos

El sistema puede inspeccionar los archivos adjuntos de correo, denegando el acceso a mensajes que contengan formatos
de archivo prohibidos. El servidor puede comprobar las siguientes clases de datos adjuntos:
ejecutables (eg. exe, msi)
archivos (eg. zip, [Link], docx)
Lista de formato de archivo personalizado
El sistema reconoce los tipos de archivo mirando su contenido, independientemente del nombre del archivo adjunto.
Por lo tanto, es posible que el archivo MS Word (docx) y OpenOffice (odt) estén bloqueados porque en realidad
también son archivos zip.

Anti-virus

El componente antivirus detecta mensajes de correo electrónico que contienen virus. Los mensajes infectados se
descartan. La base de datos de firmas de virus se actualiza periódicamente.
14 DNSBL [Link]

56 Capítulo 4. Módulos
 NethServer Documentation, Versión 7 Final

Anti-spam

The anti-spam component4 analyzes emails by detecting and classifying spam15 messages using heuristic criteria,
predetermined rules and statistical evaluations on the content of messages.
The filter can also check if sender server is listed in one or more blacklists (DNSBL14 ). A score is associated to each
rule.
Total spam score collected at the end of the analysis allows the server to decide what to do with a message, according
to three thresholds that can be adjusted under Email > Filter > Anti spam.
1. If the spam score is above Greylist threshold the message is temporarily rejected. The greylisting16 technique
assumes that a spammer is in hurry and is likely to give up, whilst a SMTP-compliant MTA will attempt to
deliver the deferred message again.
2. If the spam score is above Spam threshold the message is marked as spam by adding the special header
X-Spam: Yes for specific treatments, then it is delivered like other messages. As an alternative, the Add a
prefix to spam messages subject option makes the spam flag visible on the subject of the message, by prefixing
the given string to the Subject header.
3. If the spam score is above Deny message spam threshold the message is rejected.
Los filtros estadísticos, llamados Bayesian17 , son reglas especiales que evolucionan y se adaptan rápidamente al aná-
lisis de mensajes marcados como spam o ham.
The statistical filters can then be trained with any IMAP client by simply moving a message in and out of the Junk
folder. As a prerequisite, the Junk folder must be enabled from Email > Mailboxes page by checking Move to «Junk»
folder» option.
Al poner un mensaje en la carpeta de correo basura, los filtros aprenden que es spam y asignará una puntuación
más alta a mensajes similares.
Por el contrario, al sacar un mensaje de la carpeta de correo basura, los filtros aprenden que este es ham: la
próxima vez se le asignará una puntuación menor.
By default, all users can train the filters using this technique. If a group called spamtrainers exists, only users in
this group will be allowed to train the filters.
El ajuste del filtro bayesian se aplica a todos los usuarios del sistema, no solo al usuario que marcó un correo electrónico
como spam o ham.
Es importante entender cómo funcionan realmente las pruebas Bayesian:
No marca específicamente los mensajes como spam si contienen un asunto específico o la dirección del remi-
tente. Solo está recopilando características específicas del mensaje.
Un mensaje solo puede marcarse una vez. Si el mismo mensaje se marca varias veces, no afectará nada ya que
las pruebas dinámicas ya han sido ajustadas por ese mensaje.
Las pruebas bayesian no están activas hasta que haya recibido suficiente información. Esto incluye un
mínimo de 200 spams Y 200 hams (falsos positivos).

Nota: It is a good habit to frequently check the Junk folder in order not to lose email wrongly recognized as spam.

Si el sistema no reconoce el spam correctamente incluso después del entrenamiento, las listas blancas y listas negras
pueden ayudar. Esas son listas de direcciones de correo electrónico o dominios respectivamente siempre permitidos y
siempre bloqueados para enviar o recibir mensajes.
15 SPAM [Link]
16 Greylisting is a method of defending e-mail users against spam. A mail transfer agent (MTA) using greylisting will «temporarily reject» any
email from a sender it does not recognize – Wikipedia
17 Filtrado Bayesiano [Link]

4.2. Correo electrónico 57

NethServer Documentation, Versión 7 Final

La sección Reglas por correo electrónico permite crear tres tipos de reglas:
Bloquear de: cualquier mensaje del remitente especificado está bloqueado
Permitir de: se acepta cualquier mensaje del remitente especificado
Permitir a: se acepta cualquier mensaje al destinatario especificado
It’s possible to create an “Allow” or “Block” rule even for a complete email domain, not just for a single email address
: you just need to specify the desired domain (e.g. : [Link]).

Nota: Las verificaciones de antivirus se aplican a pesar de la configuración de lista blanca.

Rspamd web interface

The anti-spam component is implemented by Rspamd4 which provides its administrative web interface at

[Link]

For more information on Rspamd, please read the Rspamd page.

Quarantine (beta)

NethServer scans all incomaing email messages before they are delivered to the user mailbox. The messages that are
identified as spam will be sent to a specific user mailbox. The purpose of this feature is to verify the email before
deleting it. If enabled, a mail notification is also sent to the postmaster (root alias) for each quarantined email.

Nota: The quarantined messages can be accessed using a web mail or an IMAP account

Advertencia: The mailbox used for quarantine, must be able to accept spam. It should be a local shared mailbox or
a user mailbox. If an external account is used, make sure the account exists on the remote server. Please make sure
the quarantine mailbox has been created only for this specific purpose, otherwise the mailbox will be overloaded
with unwanted spam.

Quarantine is provided by an optional module named nethserver-mail-quarantine. Once it has been insta-
lled from the Software center you must manually set its database properties.
The properties are under the rspamd key (configuration database):

rspamd=service
...
QuarantineAccount=spam@[Link]
QuarantineStatus=enabled
SpamNotificationStatus=disabled

QuarantineAccount: The user or the shared mailbox where to send all spam messages (spam check is
automatically disabled on this account). You must create it manually. You could send it to an external mailbox
but then make sure to disable the spam check on the remote server
QuarantineStatus: Enable the quarantine, spam are no more rejected: enabled/disabled. Disabled by de-
fault

58 Capítulo 4. Módulos
 NethServer Documentation, Versión 7 Final

SpamNotificationStatus: Enable the email notification when email are quarantined: enabled/disabled.
Disabled by default
For example, the following commands enable the quarantine and the mail notification to root:

config setprop rspamd QuarantineAccount spam@[Link] QuarantineStatus enabled

˓→SpamNotificationStatus enabled

signal-event nethserver-mail-quarantine-save

4.2.7 Configuración del cliente

El servidor admite clientes de correo electrónico estándar que cumplan con los siguientes puertos IANA:
imap/143
pop3/110
smtp/587
sieve/4190
La autenticación requiere el comando STARTTLS y admite las siguientes variantes:
LOGIN
PLAIN
GSSAPI (Sólo si NethServer está vinculado a Samba/Microsoft Active Directory)
También los siguientes puertos habilitados para SSL están disponibles para software heredado que aún no admite
STARTTLS:
imaps/993
pop3s/995
smtps/465

Advertencia: The standard SMTP port 25 is reserved for mail transfers between MTA servers. Mail user agents
(MUA) must use the submission port.

4.2.8 Políticas especiales de acceso SMTP

La configuración predeterminada de NethServer requiere que todos los clientes utilicen el puerto de envío (587) con
cifrado y autenticación habilitados para enviar correo a través del servidor SMTP.
Para facilitar la configuración de los entornos heredados, la página Correo electrónico > Acceso SMTP permite realizar
algunas excepciones en la directiva de acceso SMTP predeterminada.

Advertencia: ¡No cambie la política predeterminada en nuevos entornos!

For instance, there are some devices (printers, scanners, . . . ) that do not support SMTP authentication, encryption or
port settings. Those can be enabled to send email messages by listing their IP address in Allow relay from IP addresses
text area.
Además, bajo Opciones avanzadas hay otras opciones:

4.2. Correo electrónico 59

NethServer Documentation, Versión 7 Final

La opción Permitir la retransmisión desde redes de confianza permite a cualquier cliente de las redes de con-
fianza enviar mensajes de correo electrónico sin ninguna restricción.
La opción Habilitar la autenticación en el puerto 25 permite a los clientes SMTP autenticados enviar mensajes
de correo electrónico también en el puerto 25.

4.2.9 HELO personalizada

El primer paso de una sesión SMTP es el intercambio de comando HELO (o EHLO). Este comando toma un nombre
de servidor válido como parámetro requerido (RFC 1123).
NethServer y otros servidores de correo intentan reducir el spam al no aceptar dominios HELO que no estén registrados
en un DNS público.
Al hablar con otro servidor de correo, NethServer utiliza su nombre de host completo (FQDN) como el valor para el
comando HELO. Si el FQDN no está registrado en el DNS público, el HELO se puede fijar estableciendo un apoyo
especial. Por ejemplo, asumiendo que «[Link]» es el registro DNS registrado públicamente, escriba los
siguientes comandos:

config setprop postfix HeloHost [Link]

signal-event nethserver-mail-common-save

Esta configuración también es valiosa si el servidor de correo está utilizando un servicio DNS dinámico gratuito.

4.2.10 Correo eliminado de Outlook

A diferencia de casi cualquier cliente IMAP, Outlook no mueve los mensajes eliminados a la papelera, pero simple-
mente los marca como «eliminados».
It’s possibile to automatically move messages inside the trash folder using the following commands:

config setprop dovecot DeletedToTrash enabled

signal-event nethserver-mail-server-save

También debe cambiar la configuración de Outlook para ocultar mensajes eliminados de la carpeta Bandeja de entrada.
Esta configuración está disponible en el menú de opciones.

4.2.11 Registro

Cada operación del servidor de correo se guarda en los siguientes archivos de registro:
/var/log/maillog registra todas las transacciones de correo
/var/log/imap contiene las operaciones de inicio de sesión y cierre de sesión de los usuarios
Una transacción registrada en el archivo maillog normalmente implica diferentes componentes del servidor de
correo. Cada línea contiene respectivamente
La marca de tiempo,
El nombre de host,
El nombre del componente y el ID de proceso de la instancia de componente
Un mensaje de texto que detalla la operación

60 Capítulo 4. Módulos
 NethServer Documentation, Versión 7 Final

NethServer configuration uses Rspamd as milter. It runs an Rspamd proxy worker in «self-scan» mode19 .
The key to track the whole SMTP transaction, including Rspamd decisions is the message ID header, or the Postfix
Queue ID (QID). Both are available from the message source. The Message-ID header is generated by the sender,
whilst the QID is assigned by the receiving MTA. For instance

Received: from [Link] ([Link] [[Link]])

by [Link] (Postfix) with ESMTP id A785B308622AB
for <jsmith@[Link]>; Tue, 15 May 2018 02:05:02 +0200 (CEST)
...
Message-ID: <5afa242e.hP5p/mry+fTNNjms%no-reply@[Link]>
User-Agent: Heirloom mailx 12.5 7/5/10

Here A785B308622AB is the QID, whilst 5afa242e.hP5p/mry+fTNNjms %no-reply@[Link] is

the Message ID.
Both strings can be used with the grep command to find relevant log lines in /var/log/maillog* (note the
ending «*» to search also in archived log files). For instance

grep -F 'A785B308622AB' /var/log/maillog*

Yields

/var/log/maillog:May 15 02:05:02 mail postfix/smtpd[25846]: A785B308622AB: client=my.

˓→[Link][[Link]]

/var/log/maillog:May 15 02:05:02 mail postfix/cleanup[25849]: A785B308622AB: message-

˓→id=<5afa242e.hP5p/mry+fTNNjms%no-reply@[Link]>

/var/log/maillog:May 15 02:05:02 mail rspamd[27538]: <8ae27d>; proxy; rspamd_message_

˓→parse: loaded message; id: <5afa242e.hP5p/mry+fTNNjms%no-reply@[Link]>; queue-

˓→id: <A785B308622AB>; size: 2348; checksum: <b1035f4fb07162ba88053d9e38df9c93>

/var/log/maillog:May 15 02:05:03 mail rspamd[27538]: <8ae27d>; proxy; rspamd_task_

˓→write_log: id: <5afa242e.hP5p/mry+fTNNjms%no-reply@[Link]>, qid:

˓→<A785B308622AB>, ip: [Link], from: <no-reply@[Link]>, (default: F (no

˓→action): [-0.64/20.00] [BAYES_HAM(-3.00){100.00%;},AUTH_NA(1.00){},MID_CONTAINS_

˓→FROM(1.00){},MX_INVALID(0.50){},MIME_GOOD(-0.10){text/plain;},IP_SCORE(-0.04){ip:

˓→(0.22), ipnet: [Link]/20(0.18), asn: 14061(0.23), country: US(-0.81);},ASN(0.

˓→00){asn:14061, ipnet:[Link]/20, country:US;},DMARC_NA(0.00){[Link];},

˓→FROM_EQ_ENVFROM(0.00){},FROM_NO_DN(0.00){},NEURAL_HAM(-0.00){-0.656;0;},RCPT_COUNT_

˓→ONE(0.00){1;},RCVD_COUNT_TWO(0.00){2;},RCVD_NO_TLS_LAST(0.00){},R_DKIM_NA(0.00){},R_

˓→SPF_NA(0.00){},TO_DN_NONE(0.00){},TO_DOM_EQ_FROM_DOM(0.00){},TO_MATCH_ENVRCPT_ALL(0.

˓→00){}]), len: 2348, time: 750.636ms real, 5.680ms virtual, dns req: 47, digest:

˓→<b1035f4fb07162ba88053d9e38df9c93>, rcpts: <jsmith@[Link]>, mime_rcpts:

˓→<jsmith@[Link]>

/var/log/maillog:May 15 02:05:03 mail postfix/qmgr[27757]: A785B308622AB: from=<no-

˓→reply@[Link]>, size=2597, nrcpt=1 (queue active)

/var/log/maillog:May 15 02:05:03 mail postfix/lmtp[25854]: A785B308622AB: to=

˓→<vmail+jsmith@[Link]>, orig_to=<jsmith@[Link]>, relay=mail.

˓→[Link][/var/run/dovecot/lmtp], delay=0.82, delays=0.8/0.01/0.01/0.01,

˓→dsn=2.0.0, status=sent (250 2.0.0 <vmail+jsmith@[Link]> gK8pHS8k+lr/

˓→ZAAAJc5BcA Saved)

/var/log/maillog:May 15 02:05:03 mail postfix/qmgr[27757]: A785B308622AB: removed

19 [Link]

4.2. Correo electrónico 61

NethServer Documentation, Versión 7 Final

Referencias

4.3 Webmail

El cliente predeterminado webmail es Roundcube. Las principales características de Roundcube son:

Simple y rápido
Libreta de direcciones integradas adaptado con LDAP interno
Soporte para mensajes HTML
Soporte para carpetas compartidas
Plugins
El webmail está disponible en las siguientes URL:
[Link]
[Link]
Por ejemplo, dado un servidor con dirección IP [Link] * y nombre *[Link], las direcciones válidas
son:
[Link]
[Link]
[Link]
[Link]

Nota: Si NethServer es unido a un proveedor de cuentas Active Directory remoto, se necesita una cuenta AD dedicada
para que el módulo esté completamente operativo. Ver Unirse a un dominio de Active Directory existente.

4.3.1 Plugins

Roundcube soporta muchos complementos que ya están incluidos en la instalación.

Los complementos habilitados por defecto son:
Administrar filtros: gestionar filtros para el correo entrante
Marcar como basura: marque los mensajes seleccionados como basura y muévalos a la carpeta de correo no
deseado configurada
Complementos recomendados:
Notificador de nuevo correo
Emoticonos
Soporte VCard
Los complementos se pueden agregar o eliminar editando la lista separada por comas dentro de la propiedad
Plugins. Por ejemplo, para habilitar «notificación de correo», «marcar como basura» y «administrar filtrado», eje-
cute desde la línea de comandos:

config setprop roundcubemail PluginsList managesieve,markasjunk,newmail_notifier

signal-event nethserver-roundcubemail-update

62 Capítulo 4. Módulos
 NethServer Documentation, Versión 7 Final

Se puede encontrar una lista de complementos agrupados dentro del directorio /usr/share/roundcubemail/
plugins. Para obtener la lista, ejecute:

ls /usr/share/roundcubemail/plugins

4.3.2 Acceso

Con la configuración predeterminada webmail es accesible mediante HTTPS desde cualquier red.
Si desea restringir el acceso sólo a redes verdes y de confianza, ejecute:

config setprop roundcubemail access private

signal-event nethserver-roundcubemail-update

Si desea abrir el acceso desde cualquier red:

config setprop roundcubemail access public

signal-event nethserver-roundcubemail-update

4.3.3 Quitar

Si desea eliminar Roundcube, ejecute el siguiente comando en la consola del servidor.

yum autoremove nethserver-roundcubemail

4.4 WebTop 5

WebTop es un groupware completo que implementa el protocolo ActiveSync.

El acceso a la interfaz web es: [Link]

Nota: If NethServer is bound to a remote Active Directory account provider a dedicated user account in AD is required
by the module to be fully operational! See Unirse a un dominio de Active Directory existente.

4.4.1 Autenticación

Always use the full user name format <user>@<domain> for login to the web application and Active Sync.
Ejemplo
Nombre del servidor: [Link]
Dominio de correo alternativo: [Link]
Usuario: goofy
Nombre de usuario: goofy@[Link]

Nota: El protocolo Active Sync sólo se admite en dispositivos Android e iOS. Outlook no es compatible. La sincro-
nización de correo no es compatible actualmente.

4.4. WebTop 5 63
NethServer Documentation, Versión 7 Final

Usuario administrador

After installation, WebTop will be accessible using the administrator user. The administrator user can change global
settings and login as any other user, however, it’s not a system user and can’t access any other service like Mail,
Calendar, etc.
Las credenciales predeterminadas son:
Usuario: admin
Contraseña: admin
La contraseña del usuario administrador debe cambiarse desde dentro de la interfaz WebTop.

Advertencia: Remember to change the admin password after installation!

Para comprobar el correo de la cuenta de administrador de usuario del sistema, utilice el siguiente inicio de sesión:
admin@<domain> donde <domain> es la parte del dominio del servidor FQDN.
Ejemplo
Nombre del servidor: [Link]
Usuario: admin
Nombre de usuario: admin@[Link]

Change admin password

Access WebTop using the admin user, then open user settings by clicking on the menu in the top-right corner.

_static/[Link]

Go to Settings then click on guilabel:Change password.

If you want to reset the admin password from command line, use the following commands:

curl -s [Link] -o webtop-set-admin-password

bash webtop-set-admin-password <newpassword>

Remember to replace <newpassword> with your actual new password, example:

bash webtop-set-admin-password VeryInsecurePass

4.4.2 Two factor authentication (2FA)

WebTop support two factor authentication. The user can choose between:
Google Authenticator: the code will be generated using Google Authenticator app ([Link]
accounts/answer/1066447?co=[Link]%3DAndroid)
Secondary mail: the access code will be sent to selected mail address

64 Capítulo 4. Módulos
 NethServer Documentation, Versión 7 Final

To enable 2FA:
Click on the menu button on the top-right corner and select the Settings icon
Then select Security and click on the Activate button.

_static/[Link]

4.4.3 Synchronization with ActiveSync (EAS)

Mobile devices can be synchronized using ActiveSync. ActiveSync can be used only for contacts and calendars.

Nota: To synchronize e-mails you should configure an IMAP account.

Apple iOS

Access your iOS device, navigate to Settings and add an Exchange account following the official guide: [Link]
[Link]/en-us/HT201729
Fill the required fields with:
E-mail: add your mail address, eg: goofy@[Link]
Server: add your server public name, eg: [Link]
Domain: leave blank
User name: enter your full user name, eg: goofy@[Link]
Password: enter your password
Finally, disable Mail synchronization and create an IMAP account: [Link]

Nota: iOS devices require a valid SSL certificate on the server. See Certificado del servidor

Google Android

Access your Android device, navigate to Settings, then select Add account -> Exchange (or «Company» for older
releases).
Fill the required fields with:
User name: enter your full user name, eg: goofy@[Link]
Password: enter your password
Then select Manual configuration and change the name of the Server field accordingly to your server public name.
Finally, if you have a self-signed certificate on your server, make sure to select SSL/TLS (accept all certificates) option.
Finally, disable Mail synchronization and create an IMAP account.

4.4. WebTop 5 65
NethServer Documentation, Versión 7 Final

Nota: On some Android releases (notably Samsung), the User name and Domain must be entered in the same line.
In this case, leave blank the field before the backslash character (), and enter the user name in the following format:
\goofy@[Link]

Multiple calendars and contacts

Calendars and address books shared by others with the user can be synchronized using the ActiveSync protocol.
Shared resources are displayed with the owner’s name and category (the number in square brackets is the internal id).
Private events are not synchronized.
Mobile devices based on Apple iOS fully support folders / categories for calendar, contacts and activities (called
reminders), including original colors.
Mobile devices based on Android support only calendars and contacts (activities are not supported), but using the
Google Calendar application all items will have the same colour.
Installing and using the CloudCal application, you can change the colors associated with each calendar, including
shared ones.
On Android devices, contacts from shared phone books are merged with the personal phone book and displayed in a
single view. Contacts can be modified and changes will be saved it the original source.

Nota: In order to receive data via EAS on mobile devices, it is necessary to verify that the shared resources (Calendars
and Contacts) have synchronization enabled (Full or Read only):

_static/webtop-multiple_sync.png

It is possible to enable or disable the synchronization for each shared resource (calendars and contacts). The user can
customize every resource sharing with him by deciding the type of synchronization.
To do so, just right click on the shared resource → Customize → Devices sync.:

_static/webtop-sync_shared_eas.png

The default setting is “Not active”.

4.4.4 Synchronization with CalDAV and CardDAV

Calendars and address books can be synchronized also through CalDAV and CardDAV protocols.
To synchronize a calendar, pick up its URL link right-clicking on the calendar and selecting Links to this calendar,
then use it to configure your third-party client.

66 Capítulo 4. Módulos
 NethServer Documentation, Versión 7 Final

To synchronize an address book, pick up its URL link right-clicking on the address book and selecting Links to this
addressbook, then use it to configure your third-party client.
To authenticate, provide your credentials in the following form:
User name: enter your full user name (i.e. goofy@[Link])
Password: enter your password
Some third-party clients allow to simplify the configuration through the autodiscovery feature that automatically dis-
covers the synchronizable resources, as in the case of mobile devices clients (i.e. Android or iOS devices).

Nota: If you are using clients that do not support autodiscovery, you need to use the full URL: https://
<server_name>/webtop-dav/[Link]
If you are using clients that support autodiscovery use URL: [Link]

Google Android

A good, free, Android third-party client is Opensync.

install the suggested app from the market;
add a new account clicking on + key and select Login with URL and username method;
insert the URL ([Link] complete username (i.e. goofy@[Link]) and password;
click on the new profile and select the resources you want to synchronize.

Apple iOS

CalDAV/CardDAV support is built-in on iOS, so to configure it:

go to Settings -> Account and Password -> Add account;
select Other -> Add CalDAV or CardDAV account;
insert the server name (i.e. [Link]), complete username (i.e. goofy@[Link]) and password.
By default the syncronization URL uses the server principal name (FQDN), if you need to change it:

config setprop webtop DavServerUrl [Link]

signal-event nethserver-webtop5-update

Desktop clients

Thunderbird
To use CalDAV and CardDAV on Thunderbird you need third-party add-ons like Cardbook (for contacts) and Lightning
(for calendars).
Cardbook add-on works fine, with easy setup and autodiscovery support.
Lightning add-on doesn’t support autodiscovery: any calendar must be manually added.
Outlook
open source Outlook CalDav Synchronizer client works fine, supporting both CardDAV and CalDAV.

4.4. WebTop 5 67
NethServer Documentation, Versión 7 Final

Advertencia: Webtop is a clientless groupware: its functionalities are fully available only using the web inter-
face!
The use of CalDAV/CardDAV through third-party clients cannot be considered a web interface alternative.

4.4.5 Sharing email folders or the entire account

It is possible to share a single folder or the entire account with all the subfolders included. Select the folder to share ->
right click -> «Manage sharing»:

_static/webtop-sharing_mail_folder_1.png

select the user to share the resource (1).

select if you want to share your identity with the user and possibly even if you force your signature (2).
choose the level of permissions associated with this share (3).
if you need to change the permission levels more granularly, select «Advanced» (4).
finally, choose whether to apply sharing only to the folder from which you started, or only to the branch of
subfolders or to the entire account (5).

_static/webtop-sharing_mail_folder_2.png

Nota: If you also select «Force signature», when this identity is used, the user signature from which the shared mail
was received will be automatically inserted.

In this case, however, it is necessary that the personalized signature of the User from which it originates has been
associated to the Email address and not to the User.

4.4.6 Sharing calendars and contacts

Sharing Calendar

You can share each personal calendar individually. Select the calendar to share -> right click -> «Sharing and permis-
sions»:

68 Capítulo 4. Módulos
 NethServer Documentation, Versión 7 Final

_static/webtop-sharing_cal_1.png

Select the recipient user of the share (or Group) and enable permissions for both the folder and the individual items:

_static/webtop-sharing_cal_2.png

Sharing Contacts

In the same way, you can always share your contacts by selecting the directory you want to share -> right click ->
«Sharing and permissions». Select the recipient user of the share (or Group), and enable permissions for both the
folder and the individual items.

4.4.7 Mail tags

You can tag each message with different colored labels. Just select a message, right-click and select Tag.
You can edit existing tags or add new ones selecting Manage tags.
Tags can be used to filter messages using the filter top bar.

4.4.8 Mail inline preview

By default, the mail page will display a preview of the content of latest received messages.
This feature can be enabled or disabled from the Settings menu, under the Mail tab, the check box is named Show
quick preview on message row.

_static/[Link]

4.4.9 Mail archiving

Archiving is useful for keeping your inbox folder organized by manually moving messages.

Nota: Mail archiving is not a backup.

The system automatically creates a new special Archives folder

4.4. WebTop 5 69
NethServer Documentation, Versión 7 Final

_static/webtop-archive_archive1.png

If the Archives folder does not appear immediately upon login, it will appear at the first archiving.
There are three archiving criteria in Settings -> Mail -> Archiving
Single folder: a single root for all archived emails
Per year: a root for each year
By year / month: a root for each year and month

_static/webtop-archive_archive2.png

To maintain the original structure of the folders is possible to activate Keep folder structure

_static/webtop-archive_archive3.png

The archiving operation is accessible from the contextual menu (right click). Click on Archive

_static/webtop-archive_archive4.png

The system will process archiving according to the last settings chosen.

4.4.10 Subscription of IMAP folders

On WebTop, by default, all IMAP folders on the server are automatically subscribed and therefore visible since the
first login.
If you want to hide from the view some folders, which is equivalent to removing the subscription, you can do so by
simply clicking the right mouse button on the folder to hide and select from the interactive menu the item «Hide from
the list».
For example, if you want to hide the subfolder «folder1» from this list, just right-click on it and select «Hide from the
list»:

70 Capítulo 4. Módulos
 NethServer Documentation, Versión 7 Final

_static/webtop-sub_imap_folder1.png

It is possible to manage the visibility of hidden folders by selecting the «Manage visibility» function:

_static/webtop-sub_imap_folder2.png

For example, if you want to restore the subscription of the «folder1» just hidden, just select it from the list of hidden
folders and click on the icon on the left:

_static/webtop-sub_imap_folder3.png

4.4.11 Export events (CSV)

To export calendars events in CSV (Comma Separated Value) format, click on the icon on top right corner.

_static/webtop-export_calendar_csv.png

Finally, select a time interval and click on Next to export into a CSV file.

4.4.12 Nextcloud integration

Nota: Before proceeding, verify that the «Nextcloud» module has been installed from Software Center

By default, Nextcloud integration is disabled for all users. To enable it, use the administration panel which can be
accessed using the webtop admin password
For example, if you want to activate the service for all webtop users, proceed as follows:
1. access the administrative panel and select «Groups»:

4.4. WebTop 5 71
NethServer Documentation, Versión 7 Final

_static/webtop-admin_panel_groups.png

2. modify the properties of the «users» group by double clicking and select the button related to the Authorizations:

_static/webtop-admin_panel_permission.png

3. add to existing authorizations those relating to both the STORE_CLOUD and STORE_OTHER resources by
selecting the items as shown below:

_static/webtop-admin_panel_nextcloud_auth_1.png

_static/webtop-admin_panel_nextcloud_auth_2.png

so get this:

_static/webtop-admin_panel_nextcloud_auth_3.png

4. save and close.

At this point from any user it will be possible to insert the Nextcloud resource (local or remote) in your personal Cloud.
To do this, simply select the Cloud button and add a new «Nextcloud» resource by right clicking on «My resources»
and then «Add resource» in this way:

_static/webtop-nextcloud_1.png

A precompiled wizard will open:

72 Capítulo 4. Módulos
 NethServer Documentation, Versión 7 Final

_static/webtop-nextcloud_2.png

Nota: Remember to fill in the User name and Password fields related to access to the Nextcloud resource, otherwise
it will not be possible to use the public link to the shared files

Proceed with the Next button until the Wizard is complete.

4.4.13 Use the personal Cloud to send and receive documents

Cloud module allows you to send and receive documents throug web links.

Nota: The server must be reachable in HTTP on port 80

How to create a link to send a document

To create the link, select the button at the top right:

_static/webtop-doc_cloud1.png

Follow the wizard to generate the link, use field date to set the deadline.

_static/webtop-doc_cloud2.png

you can create a password to protect it:

_static/webtop-doc_cloud3.png

The link will be generated and will be inserted in the new mail:

4.4. WebTop 5 73
NethServer Documentation, Versión 7 Final

_static/webtop-doc_cloud4.png

_static/webtop-doc_cloud5.png

Downloading the file, generates a notification to the sender:

_static/webtop-doc_cloud6.png

Request for a document

To create the request, insert the subject of the email than select the button at the top right:

_static/webtop-doc_cloud7.png

Follow the wizard. You can set both an expiration date and a password. The link will be automatically inserted into the
message:

_static/webtop-doc_cloud8.png

A request email will be sent to upload the document to the Cloud:

_static/webtop-doc_cloud9.png

The sender will receive a notification for each file that will be uploaded:

74 Capítulo 4. Módulos
 NethServer Documentation, Versión 7 Final

_static/webtop-doc_cloud10.png

To download the files just access your personal Cloud → Uploads → Folder with date and name:

_static/webtop-doc_cloud11.png

4.4.14 Chat integration

Web chat integration installation is disabled by default for all users.

To enable chat integration:
1. Install «Instant messaging»» module from Software Center.
2. Access WebTop as admin user then enable the web chat authorization:
Access the Administration menu, then Domains → NethServer → Groups → Users → Authorizations
Add (+) → Services → [Link] (WebTop) → Resource → WEBCHAT → Action → AC-
CESS
Click OK then save and close

4.4.15 Audio and video WebRTC calls with chat (Beta)

Advertencia: This feature is currently released in Beta. When the final version will be released it is likely that the
configurations previously made will be reset.

Configuration is currently only possible via the WebTop administration panel. The settings to be inserted are docu-
mented here In addition to the WebRTC settings, it is also necessary to add the XMPP BOSH public URL as shown
here
From web interface by accessing the administration panel -> Properties (system) -> Add -> select
[Link] (WebTop) and enter the data in the Key and Value fields according to the key to be confi-
gured:
[Link] : defines the list of ICE servers as JSON arrays
[Link] : specifies the XMPP URL that can be accessed via the BOSH protocol
For the key field [Link] as «Value» insert the content in json format that shows the values of these
variables:
url : URL ice server
username : server username (optional)

4.4. WebTop 5 75
NethServer Documentation, Versión 7 Final

credential : server password (optional)

For example:

[
{
'url': 'stun:[Link]'
}, {
'url': 'stun:[Link]'
}, {
'url': 'turn:[Link]?transport=tcp',
'username': 'my_turn_username',
'credential': 'my_turn_password'
}
]

For the key field [Link] as «Value» enter this type of URL: [Link]
http-bind
With these configurations, every user authorized to use the WEBCHAT service can perform audio and video calls
with other users that are available on the same chat server through the buttons available on the chat window.

Nota: If the buttons are grayed out, the requirements for activating the call are not satisfied. For example: XMPP
BOSH URL unreachable or ICE server unreachable.

4.4.16 Send SMS from contacts

It is possible to send SMS messages to a contact that has the mobile number in the addressbook. To activate sending
SMS, first you need to choose one of the two supported providers: SMSHOSTING or TWILIO.
Once registered to the service of the chosen provider, retrieve the API keys (AUTH_KEY and AUTH_SECRET) to be
inserted in the WebTop configuration db. The settings to configure are those shown here .
It is possible to do this from web interface by accessing the administration panel -> Properties (system) -> Add ->
select [Link] (WebTop) and enter the data in the Key and Value fields according to the key to be
configured:
[Link] = smshosting or twilio
[Link] = API AUTH_KEY
[Link] = API AUTH_SECRET
[Link] = (default optional)
The [Link] key is optional and is used to specify the default sender when sending SMS. It is possible to
indicate a number (max 16 characters) or a text (max 11 characters).

Nota: Each user always has the possibility to overwrite the sender by customizing it as desired through its settings
panel: WebTop -> Switchboard VOIP and SMS -> SMS Hosting service configured -> Default sender

To send SMS from the addressbook, right-click on a contact that has the mobile field filled in -> Send SMS

76 Capítulo 4. Módulos
 NethServer Documentation, Versión 7 Final

4.4.17 Custom link buttons in launcher (Beta)

Advertencia: This feature is currently released in Beta. When the final version will be released it is likely that the
configurations previously made will be reset.

Configuration is currently only possible via the WebTop administration panel -> Properties (system) -> Add -> select
[Link] (WebTop) and enter the data in the Key and Value fields according to the key to be configured:
[Link] : json array of link objects
In the «Value» field, enter the content in json format that shows the values of these variables:
href : URL opened in a new browser tab
text : descriptive text that appears with mouseover
icon : icon image URL (to avoid scaling problems, use vector images)
For example:

[
{
'href': '[Link]
'text': 'Google',
'icon': '[Link]
˓→svg'

}, {
'href': '[Link]
'text': 'The link text',
'icon': '[Link]
}
]

Advertencia: The URL of the icon from which to retrieve the vector image must always be publicly reachable by
the browser with which you connect.

If you can not retrieve an Internet link of the icon image, you can copy the image locally on the server in two different
ways:
1. copying the file (for example [Link]) directly into the /var/www/html/ directory of the server and
using this type of URL for the “icon” field of the Json file:

'icon': '[Link]

2. uploading the icon file to the public cloud of WebTop (where images are uploaded for mailcards) via the admi-
nistration panel -> Cloud -> :guilabel:‘Public Images‘and insert a URL of this type for the “icon” field of the
Json file:

'icon': '[Link]

Nota: The configured custom link buttons will be shown to all users at the next login.

4.4. WebTop 5 77
NethServer Documentation, Versión 7 Final

4.4.18 Browser notifications

With WebTop, the desktop notification mode integrated with the browser was introduced.
To activate it, simply access the general settings of your user:

_static/webtop-desktop_notifications.png

It is possible to enable desktop notification in two modes:

Always: notifications will always be shown, even with the browser open
Auto (in background only): notifications will be shown only when the browser is in the background
Once the mode is selected, a browser consent request will appear at the top left:

_static/webtop-chrome_notifications.png

If you need to enable this consent later on a different browser just click on the appropriate button:

_static/webtop-button_desktop_notifications.png

4.4.19 Mailcards of user and domain

One of the main features of managing signatures on WebTop is the opportunity to integrate images or custom fields
profiled per user.
To use the images you need to upload them to the public cloud through the WebTop admin user like this:

_static/webtop-public_images.png

You can use the Upload button to load an image which is at the bottom or simply via a drag & drop.

Nota: Remember that the public images inserted in the signature are actually connected with a public link. To be
visible to email recipients, the server must be reachable remotely on port 80 (http) and its FQDN name must be
publicly resolvable.

78 Capítulo 4. Módulos
 NethServer Documentation, Versión 7 Final

Alternatively, you can configure a global setting to turn images automatically into inline attachments instead of public
internet links
It is possible to do this from web interface by accessing the administration panel -> Properties (system) -> Add -> select
[Link] (Mail) and enter the data in the Key and Value fields according to the key to be configured:
[Link] = true (default = flase)
To change your signature, each user can access the Settings → Mail → Editing → Edit User mailcard:

_static/webtop-edit_mailcard.png

The public image just uploaded will be able to recall it in the HTML editor of the mailcard with this button:

_static/webtop-public_signature.png

Nota: The personal mailcard can be associated with the user or his email: by associating it by email it will also be
possible to share the mailcard to other users with whom the identity is shared.

By accessing the settings from the WebTop administrator panel you can also set a general domain mailcard that will
be automatically set for all users who have not configured their personal mailcard:

_static/webtop-domain_mailcard.png

Furthermore, it will also be possible to modify personal information:

_static/webtop-personal_information.png

that can be used within the parameterized fields within the domain mailcard editor:

_static/webtop-domain_mailcard.png

4.4. WebTop 5 79
NethServer Documentation, Versión 7 Final

In this way it is possible to create a single mailcard that will be automatically customized for every user who does not
use his own mailcard.

4.4.20 Configure multiple mailcards for a single user

It is possible to configure multiple mailcards (HTML signatures) for each individual user.
Access the Settings → Mail → Identities and create multiple identities:

_static/webtop-sig_sig1.png

To edit every single signature select Settings → Mail → Identities then select each individual signature and click on
the edit mailcard button

_static/webtop-sig_sig2.png

_static/webtop-sig_sig3.png

When finished, close the window and click YES:

_static/webtop-sig_sig4.png

to use multiple mailcards, create a new email, and choose the signature:

_static/webtop-sig_sig5.png

4.4.21 Manage identities

In settings → mail → identities click Add and fill in the fields

80 Capítulo 4. Módulos
 NethServer Documentation, Versión 7 Final

_static/webtop_manageident1.png

It is possible to associate the new identity with a folder in your account or of a shared account
Local account:

_static/webtop_manageident2.png

Shared account:

_static/webtop_manageident3.png

Otherwise the sent mails will always end up in the «Sent Items» folder of your personal account.

4.4.22 Subscribing remote resources

WebTop supports subscription to remote calendars and contacts (directory) using cardDAV, calDav and iCal.

Remote calendars

An Internet Calendar can be added and synchronized. To do so just click the right button on personal calendars, Add
Internet Calendar. Two types of remote calendars are supported: Webcal (ics format) and CalDAV.

Nota: Synchronization of Webcal calendars (ics) is always done by downloading every event on the remote resource
every time, while only the differences are synchronized with the CalDAV mode

Example of Google Cal remote calendar (Webcal only - ICS)

1. Take the public access ICS link from your Google calendar: Calendar options -> Settings and sharing -> Secret
address in iCal format
2. On WebTop, add an Internet calendar of type Webcal and paste the copied URL without entering the authenti-
cation credentials in step 1 of the wizard.
3. The wizard will connect to the calendar, giving the possibility to change the name and color, and then perform
the first synchronization.

4.4. WebTop 5 81
NethServer Documentation, Versión 7 Final

Nota: The first synchronization may fail due to Google’s security settings. If you receive a notification that warns you
about accessing your resources you need to allow them to be used confirming that it is a legitimate attempt.

Remote contacts (directory)

Example of Google CardDAV remote address book

1) On Webtop, configure a new Internet address book, right-click on Personal Categories -> Add Internet ad-
dress book and enter a URL of this type in step 1 of the wizard: [Link]
XXXXXXXXXX@[Link]/lists/default/ (replace the X your gmail account)
2. Enter the authentication credentials (as user name use the full address of gmail):

_static/webtop-remote_phonebook.png

3. The wizard in the following steps will connect to the phonebook, giving the possibility to change the name and
color, and then perform the first synchronization.

Nota: To be able to complete the synchronization it is necessary to enable on your account Google, in the security
settings, the use of apps considered less secure (here a guide on how to do: [Link]
answer/6010255?hl=it).

Synchronization of remote resources can be performed manually or automatically.

Automatic synchronization

To synchronize automatically you can choose between three time intervals: 15, 30 and 60 minutes. The choice of
the time interval can be made in the creation phase or later by changing the options. To do this, right-click on the
phonebook (or on the calendar), Edit Category, Internet Addressbook (or Internet Calendar):

_static/webtop-sync_automatic.png

Manual synchronization

To update a remote address book, for example, click on it with the right mouse button and then select the item «Syn-
chronize»:

82 Capítulo 4. Módulos
 NethServer Documentation, Versión 7 Final

_static/webtop-sync_google.png

For CardDav address books, as well as for remote CalDAV calendars, you can select whether to perform a full syn-
chronization or only for changes. To do this, right-click on the phonebook (or on the calendar), Edit Category:

_static/webtop-edit_sync_google.png

Select the desired mode next to the synchronization button:

_static/webtop-edit_sync_google2.png

4.4.23 User settings management

Most user settings can be directly managed by the user itself via the settings menu. Locked settings require adminis-
tration privileges.
The administrator can impersonate users, to check the correctness and functionalities of the account, through a specific
login:
User name: admin!<username>
Password: <WebTop admin password>
While impersonating you receive similar user privileges, allowing you to control exactly what the user can see. Full
administration of user settings is available directly in the administration interface, by right clicking on a user: the
settings menu will open the full user settings panel, with all options unlocked.
It is also possible to make a massive change of the email domain of the selected users: select the users (Click + CTRL
for multiple selection) to which you want to apply this change then right-click on Bulk update email domain.

4.4.24 SMTP setting

The default configuration for sending mail to the SMTP server is anonymous and without encryption on port 587. It is
possible to enable authenticated sending in this way:
config setprop webtop SmtpAuth enabled

to enable encryption also:

config setprop webtop SmtpStarttls enabled

To apply the new settings launch this event which will also restart the application:

4.4. WebTop 5 83
NethServer Documentation, Versión 7 Final

signal-event nethserver-webtop5-update

4.4.25 Changing the logo

To modify and customize the initial logo that appears on the login page of WebTop, you must upload the custom image
file on the public images of the admin user and rename it with «[Link]».
Proceed as follows:
1. log in with the WebTop user admin
2. select the cloud service and public images:

_static/webtop-public_images.png

3. upload the image (via the Upload button at the bottom left or simply dragging with a drag & drop)
4. rename the loaded image so that its name is «[Link]» (use right click -> Rename):

_static/webtop-login_page.png

5. the next login will show the new logo on the login page

4.4.26 Change the public URL

By default, the public WebTop URL is configured with the FQDN name set in the server-manager.
If you want to change URL from this: [Link] to: [Link]
[Link]/webtop
execute these commands

config setprop webtop PublicUrl [Link]

signal-event nethserver-webtop5-update

4.4.27 Change default limit «Maximum file size»

There are hard-coded configured limits related to the maximum file size:
Maximum file size for chat uploads (internal default = 10 MB)
Maximum file size single message attachment (internal default = 10 MB)
Maximum file size for cloud internal uploads (internal default = 500 MB)
Maximum file size for cloud public uploads (internal default = 100 MB)

84 Capítulo 4. Módulos
 NethServer Documentation, Versión 7 Final

To change these default values for all users, the following keys can be added via the admin interface: Properties
(system) -> Add
Maximum file size for chat uploads
Service: [Link]
Key: [Link]
Maximum file size for single message attachment
Service: [Link]
Key: [Link]
Maximum file size for cloud internal uploads
Service: [Link]
Key: [Link]
Maximum file size for cloud public uploads
Service: [Link]
Key: [Link]

Nota: The value must be expressed in Bytes (Example 10MB = 10485760)

4.4.28 Importing contacts and calendars

WebTop supports importing contacts and calendars from various file formats.

Contacts

Supported contacts format:

CSV - Comma Separated values (*.txt, *.csv)
Excel (.*xls, *.xlsx)
VCard (*.vcf, *.vcard)
LDIF (*.ldif)
To import contacts:
1. Right click on the target phone book, then select Import contacts

_static/webtop-import_contacts1.png

2. Select the import format and make sure that fields on the file match the ones available on WebTop

4.4. WebTop 5 85
NethServer Documentation, Versión 7 Final

_static/webtop-import_contacts2.png

If you are importing a phone book exported from Outlook, make sure to set Text qualifier to " value.

_static/webtop-import_contacts3.png

Calendars

Supported calendar format: iCalendar (*.ics, *.ical, *.icalendar)

To import events:
1. Right click on the target calendar, then select Import events

_static/webtop-import_calendars1.png

2. Select the import format

_static/webtop-import_calendars2.png

3. Then choose if you want to delete all existings events and import new ones, or just append imported data to
existing calendar events

_static/webtop-import_calendars3.png

4.4.29 Importing from Outlook PST

You can import email, calendars and address books from an Outlook PST archive.
Before using the followings scripts, you will need to install the libpst package:

86 Capítulo 4. Módulos
 NethServer Documentation, Versión 7 Final

yum install libpst -y

Also make sure the PHP timezone corresponds to the server timezone:

config getprop php DateTimezone

PHP time zone can be updated using the following command:

config setprop php DateTimezone Europe/Rome

signal-event nethserver-php-update

Mail

Initial script to import mail messages: /usr/share/webtop/doc/[Link]

To start the import, run the script specifying the PST file and the system user:

/usr/share/webtop/doc/[Link] <[Link]> <user>

Example:

# /usr/share/webtop/doc/[Link] [Link] goofy

Do you wish to import email? [Y]es/[N]o:

All mail messages will be imported. Contacts and calendars will be saved inside a temporary file and the script will
output further commands to import contacts and calendars.
Example:

Events Folder found: Outlook/Calendar/calendar

pst2webtop_cal.php goody '/tmp/tmp.Szorhi5nUJ/Outlook/Calendar/calendar' <foldername>

...

log created: /tmp/[Link]

All commands are saved also in the reported log.

Contacts

Script for contacts import: /usr/share/webtop/doc/pst2webtop_card.php.

The script will use files generated from mail import phase:

/usr/share/webtop/doc/pst2webtop_card.php <user> <file_to_import> <phonebook_category>

Ejemplo
Let us assume that the [Link] script has generated following output from mail import:

Contacts Folder found: Personal folders/Contacts/contacts

Import to webtop:
./pst2webtop_card.php foo '/tmp/tmp.0vPbWYf8Uo/Personal folders/Contacts/contacts'
˓→<foldername>

To import the default address book (WebTop) of foo user:

4.4. WebTop 5 87
NethServer Documentation, Versión 7 Final

/usr/share/webtop/doc/pst2webtop_card.php foo '/tmp/tmp.0vPbWYf8Uo/Personal folders/

˓→Contacts/contacts' WebTop

Calendars

Script for calendars import: /usr/share/webtop/doc/pst2webtop_cal.php

The script will use files generated from mail import phase:

/usr/share/webtop/doc/pst2webtop_cal.php <user> <file_to_import> <foldername>

Ejemplo
Let us assume that the [Link] script has generated following output from mail import:

Events Folder found: Personal folders/Calendar/calendar

Import to webtop:
./pst2webtop_cal.php foo '/tmp/tmp.0vPbWYf8Uo/Personal folders/Calendar/calendar'
˓→<foldername>

To import the default calendar (WebTop) of foo user:

/usr/share/webtop/doc/pst2webtop_cal.php foo '/tmp/tmp.0vPbWYf8Uo/Personal folders/

˓→Calendar/calendar' WebTop

Known limitations:
only the first occurrence of recurrent events will be imported
Outlook reminders will be ignored

Nota: The script will import all events using the timezone selected by the user inside WebTop, if set. Otherwise
system timezone will be used.

4.4.30 Troubleshooting

After login a «mail account authentication error» is displayed

If an entire mail account is shared among different users, a Dovecot connection limit can be reached. This is the
displayed error:

_static/webtop-dovecot_error.png

In /var/log/imap there are lines like the following:

xxxxxx dovecot: imap-login: Maximum number of connections from user+IP exceeded (mail_
˓→max_userip_connections=12): user=<mail@[Link]>, method=PLAIN, rip=[Link],

˓→lip=[Link], secured, session=<zz/8iz1M1AB/AAAB>

88 Capítulo 4. Módulos
 NethServer Documentation, Versión 7 Final

To list active IMAP connections per user, execute:

doveadm who

To fix the problem, just raise the limit (eg. 50 connections for each user/IP):

config setprop dovecot MaxUserConnectionsPerIp 50

signal-event nethserver-mail-server-update

At the end, logout and login again in WebTop.

Blank page after login

You can access WebTop using system admin user (NethServer Administrator) using the full login name, eg:
admin@[Link].
If the login fails, mostly when upgrading from WebTop 4, it means that the admin user doesn’t have a mail address.
To fix the problem, execute the following command:

curl -s [Link] | bash -x

Synchronized events have different time

Sometimes calendar events created on mobile devices and synchronized via EAS, are shown with a wrong time, for
example with a difference of 1 or 2 hours.
The problem is due to the PHP time zone which can be different from the system time zone.
With this command you can see the current time zone set for PHP:

config getprop php DateTimezone

Output example:

# config getprop php DateTimezone

UTC

If the Time Zone is not the desired one, you can changed it using these commands:

config setprop php DateTimezone "Europe/Rome"

signal-event nethserver-php-update

To apply the changes, execute:

signal-event nethserver-httpd-update
signal-event nethserver-webtop5-update

List of PHP supported time zones: [Link]

Delete automatically suggested email addresses

When compiling the recipient of a mail, some automatically saved email addresses are suggested. If you need to delete
someone because it is wrong, move with the arrow keys until you select the one you want to delete (without clicking
on it), then delete it with Shift + Canc

4.4. WebTop 5 89
NethServer Documentation, Versión 7 Final

4.4.31 WebTop vs SOGo

WebTop and SOGo can be installed on the same machine, although it is discouraged to keep such setup on the long
run.
ActiveSync is enabled by default on SOGo and WebTop, but if both packages are installed, SOGo will take precedence.
Para deshabilitar ActiveSync en SOGo:

config setprop sogod ActiveSync disabled

signal-event nethserver-sogo-update

Para deshabilitar ActiveSync en WebTop:

config setprop webtop ActiveSync disabled

signal-event nethserver-webtop5-update

Todos los filtros de correo entrantes configurados dentro de SOGo, deben ser recreados manualmente dentro de la
interfaz WebTop. Esto también se aplica si el usuario está cambiando de WebTop a SOGo.

4.4.32 Google integration

Users can add their own Google Drive accounts inside WebTop. Before proceeding, the administrator must create a
pair of API access credentials.

API de Google

Acceder a [Link] y crear un nuevo proyecto

Cree nuevas credenciales seleccionando el tipo «OAuth 2.0 clientID» y recuerde compilar la sección «Pantalla
de consentimiento de OAuth»
Inserte nuevas credenciales (Client ID y Client Secret) dentro de la configuración de WebTop
It is possible to do this from web interface by accessing the administration panel -> Properties (system) -> Add ->
select [Link] (WebTop) and enter the data in the Key and Value fields according to the key to be
configured:
[Link] = (Google API client_ID)
[Link] = (Google API client_secret)

4.5 POP3 proxy

Nota: Since NethServer 7.5.1804 new Correo electrónico, Conector POP3 and POP3 proxy installations are based
on the Rspamd filter engine. Previous NethServer installations are automatically upgraded to Rspamd as described in
Email module transition to Rspamd

A user on the LAN can configure an email client in order to connect to an external POP3 server and download mail
messages. Please note that fetched mail could contain viruses that may infect computer on the network.
The POP3 proxy intercepts connection to external servers on port 110, then it scans all incoming email, in order to
block viruses and tag spam. The process is absolutely transparent to mail clients. The user will believe that they are

90 Capítulo 4. Módulos
 NethServer Documentation, Versión 7 Final

connected directly to the provider’s POP3 server, but the proxy will intercept all traffic and handle the connection to
the server.
It’s possible to selectively activate the following controls:
antivirus: los mensajes que contienen virus son rechazados y se envía un correo electrónico de notificación al
usuario
spam: los mensajes serán marcados con las puntuaciones anti-spam apropiadas

4.5.1 POP3s

El proxy también puede interceptar conexiones POP3 en el puerto 995. El proxy establecerá una conexión segura con
el servidor externo, pero el intercambio de datos con el cliente LAN estará en texto claro.

Nota: Mail clients must be configured to connect to port 995 and will have to turn off encryption.

4.6 Conector POP3

Nota: Since NethServer 7.5.1804 new Correo electrónico, Conector POP3 and POP3 proxy installations are based
on the Rspamd filter engine. Previous NethServer installations are automatically upgraded to Rspamd as described in
Email module transition to Rspamd

The POP3 connector page allows configuring a list of mail accounts that will be checked regularly. Messages coming
from the remote accounts will be delivered to local users.
It is not recommended to use the POP3 connector as the primary method for managing email. Mail delivery can be
affected by disk space and connectivity problems of the provider’s server. Also, the spam filter will be less effective
due to the original email envelope information becoming lost.
POP3/IMAP accounts are configured from POP3 connector > Accounts page. Each account can be specified:
the email address (as unique account identifier)
the protocol (IMAP/POP3/IMAP with SSL/POP3 with SSL)
the remote server address
the account credentials
the local user account where to deliver messages
if a message has to be deleted from the remote server after delivery
anti-spam and anti-virus checks

Nota: It is allowed to associate more than one external accounts to a local one. Deleting an account will not delete
already delivered messages.

After the account configuration has been completed, the account is automatically checked for new mail.

4.6. Conector POP3 91

NethServer Documentation, Versión 7 Final

The underneath implementation is based on Getmail1 . After fetching mail messages from the POP3/IMAP provider
Getmail applies all required filters (SPAM and virus) prior to delivering the mail locally. All messages are filtered
according to the configured rules.
All operations are logged in /var/log/maillog.

Advertencia: If an account was selected for delivery and has been subsequently deleted the configuration becomes
inconsistent. If this should happen then existing account configuration in POP3 connector page must be disabled
or deleted.

Referencias

4.7 Chat

El servicio: index:chat utiliza el protocolo estándar: index:Jabber/XMPP y soporta TLS en puertos estándar (5222 o
5223).
Las características principales son:
Messaging between users of the system
Administración del servidor de Chat
Mensajes de difusión
Grupo de chat
Mensajes sin conexión
Transferencia de archivos a través de LAN
S2S
Message archiving
Todos los usuarios del sistema pueden acceder al chat usando sus propias credenciales.

Nota: Si NethServer es unido a un proveedor de cuentas Active Directory remoto, se necesita una cuenta AD dedicada
para que el módulo esté completamente operativo. Ver Unirse a un dominio de Active Directory existente.

4.7.1 Server to server (S2S)

The XMPP system is federated by nature. If S2S is enabled, users with accounts on one server can communicate
with users on remote servers. S2S allows for servers communicating seamlessly with each other, forming a global
“federated” IM network.
For this purpose, the SRV DNS record must be configured for your domain ([Link]
XMPP_SRV_records) and the server must have a valid SSL/TLS certificate.
1 Getmail is a remote-mail retrieval utility [Link]

92 Capítulo 4. Módulos
 NethServer Documentation, Versión 7 Final

4.7.2 Cliente

Los clientes Jabber están disponibles para todas las plataformas de escritorio y móviles.
Algunos clientes comunes:
Pidgin está disponible para Windows y Linux
Adium para Mac OS X
BeejibelIM para Android e iOS, Xabber sólo para Android
Cuando configure el cliente, asegúrese de que TLS (o SSL) esté habilitado. Introduzca el nombre de usuario y el
dominio de la máquina.
Si NethServer Es también el servidor DNS de la red, el cliente debe buscar automáticamente la dirección del servidor
a través de los registros DNS especiales preconfigurados. De lo contrario, especifique la dirección del servidor en las
opciones avanzadas.
With TLS capabilities, strictly configured servers or clients could reject connections with your Ejabberd server if the
SSL/TLS certificate doesn’t match the domain name. Also, the certificate should contain two sub-domains pubsub.*
and conference.*. This certificate can be obtained for free with Let’s Encrypt (see Certificado del servidor).

4.7.3 Administradores

Todos los usuarios dentro del grupo jabberadmins son considerados administradores del servidor de chat.
Los administradores pueden:
Enviar mensajes de difusión
Compruebe el estatus de los usuarios conectados
El grupo jabberadmins es configurable desde la página Grupos.

4.7.4 Message Archive Management

Message Archive Management (mod_mam) implements Message Archive Management as described in XEP-0313.
When enabled, all messages will be stored inside the server and compatible XMPP clients can use it to store their chat
history on the server.
The database can store a maximum of 2GB of messages, archived messages can be purged automatically. To configure
message retention policy, set Clean messages older than X days option.

Nota: If enabled, this module will store every message sent between users. This behavior will affect the privacy of
your users.

4.8 Team chat (Mattermost)

The team chat module installs Mattermost Team Edition platform inside NethServer.
Mattermost is an Open Source, private cloud Slack-alternative. Check out the excellent official documentation: https:
//[Link]/.

4.8. Team chat (Mattermost) 93

NethServer Documentation, Versión 7 Final

4.8.1 Configuration

Mattermost installation needs a dedicated virtual host, an FQDN like [Link].

Before proceeding with the configuration, make sure to create the corresponding DNS record. If NethServer act as the
DNS server of your LAN, please refer to DNS.
If your server is using a Let’s Encrypt certificate as default, make also sure to have a corresponding public DNS record.
See Certificado del servidor for more info.
How to configure:
1. Access Team chat page inside the Server Manager
2. Check Enable Mattermost Team Edition, then enter a valid FQDN inside Virtual host name field (eg. chat.
[Link])
3. Open the entered host name inside the browser, eg: [Link] At first access, a
wizard will create the administrator user
The following features are enabled by default:
mail notifications
push notifications for mobile apps
redirect from HTTP to HTTPS

4.8.2 Authentication

Mattermost authentication is not integrated with any Account Provider. The Mattermost administrator should take care
of users and teams creation.

Nota: The administrator should always use Mattermost wizard to create the admin user, then send team invitation link
to each user.

Importing users

If the system administrator still needs bulk user creation, he/she can rely on mattermost-bulk-user-create
command.
The command will:
create a default team named as the Company from Organización contactos
read all users from local or remote Account Providers and create them inside Mattermost
Please note that:
users disabled in the Server Manager or already existing in Mattermost will be skipped
a random password will be generated for each user
the first imported user will be set as administrator if no admin has been already created
Invocation example:

94 Capítulo 4. Módulos
 NethServer Documentation, Versión 7 Final

mattermost-bulk-user-create

...
Creating default team: example (Example Org) ... OK
Skipping locked user: 'goofy'
Skipping locked user: 'admin'
Creating user: 'pluto' with password '6aW221o7' ... OK
...

Nota: Users are not automatically synced inside Mattermost. Each time a user is created or removed, remember to
execute mattermost-bulk-user-create command or manually create the user using Mattermost administra-
tion web interface.

Forcing a common default password

It’s possible to set a default password for each new Mattermost user, just append the default password to command
invocation.
Example:

mattermost-bulk-user-create Password,1234

4.9 UPS

NethServer soporta la gestión de UPS (Uninterruptible Power Supply - Fuente de Poder Ininterrumpible) conectado al
sistema.
El servidor se puede configurar de dos maneras:
maestro: UPS está conectado directamente al servidor, el servidor acepta conexiones de esclavos
esclavo: El UPS está conectado a otro servidor accesible a través de la red

Nota: Debe consultar la lista de modelos compatibles antes de comprar. Vía Administración > Centro de software
instale el paquete UPS. En Configuración aparece la nueva entrada UPS donde se puede encontrar el modelo soportado
escribiendo en el campo Buscar controlador para el modelo.

En modo maestro, el UPS puede conectarse al servidor:

en un puerto serial
en un puerto USB
con un adaptador USB a serial
En modo esclavo, deberá proporcionar la dirección IP del servidor maestro
La configuración predeterminada proporciona un apagado controlado en caso de ausencia de alimentación.

4.9. UPS 95
NethServer Documentation, Versión 7 Final

4.9.1 Dispositivo personalizado

Si el UPS está conectado a un puerto que no aparece en la interfaz web, puede configurar un dispositivo personalizado
con los siguientes comandos:

config setprop ups Device <your_device>

signal-event nethserver-nut-save

4.9.2 Estadísticas del UPS

Si el módulo estadístico (collectd) está instalado y funcionando, el módulo recopilará automáticamente datos estadís-
ticos sobre el estado del UPS.

4.10 Servidor de fax

El servidor de fax le permite enviar y recibir faxes a través de un módem conectado directamente a un puerto de
servidor o a través de modem virtual.
La interfaz web le permite configurar:
Código de área y número de fax
Remitente (TSI)
Un módem físico con parámetros de línea telefónica y cómo enviar / recibir faxes
Uno o más Módems virtuales
Notificaciones por correo electrónico para los faxes enviados y recibidos, con el documento adjunto en varios
formatos (PDF, PostScript, TIFF)
Imprimir faxes recibidos
Impresora Virtual Samba
Informe diario de los faxes enviados
Envío de faxes por correo electrónico

4.10.1 Modem

Aunque HylaFAX admite un gran número de marcas y modelos, recomendamos el uso de un módem externo en serie
o USB.
Si se bloquea un módem interno, debe reiniciar todo el servidor, mientras que un módem externo se puede desactivar
por separado. Además, la mayoría de los módems internos del mercado pertenece a la llamada familia de winmodem,
módems «de software» que necesitan un controlador, usualmente disponible sólo en Windows.
También tenga en cuenta que muchos módems externos USB también son winmodem.
Debe preferir los módems en Clase 1 o 1.0, especialmente si se basan en chips Rockwell/Conexant o Lucent/Agere.
El sistema también admite módems en las clases 2, 2.0 y 2.1.

96 Capítulo 4. Módulos
 NethServer Documentation, Versión 7 Final

4.10.2 Cliente

Recomendamos utilizar el cliente de fax YajHFC ([Link] que se conecta directamente al servidor y
permite:
El uso de una libreta de direcciones LDAP
capacidad de seleccionar el módem para enviar
Ver el estado de los módems

Autenticación

El sistema admite dos métodos de autenticación para enviar faxes:

Basado en host: utiliza la dirección IP del equipo que envía la solicitud
PAM: utiliza nombre de usuario y contraseña, los usuarios deben pertenecer al grupo faxmaster. El grupo fax-
master debe ser creado explícitamente.
Asegúrese también de habilitar la opción Ver faxes de clientes.

4.10.3 Impresora virtual Samba

Si la opción SambaFax está habilitada, el servidor creará una impresora virtual llamada «sambafax» disponible para
la red local.
Cada cliente debe configurar la impresora mediante el controlador Apple LaserWriter 16/600 PS.
Los documentos enviados deben cumplir los siguientes requisitos previos:
Debe contener exactamente la cadena «Numero Fax:», que contiene el número de fax, por ejemplo:

Numero Fax: 12345678

La cadena puede estar presente en cualquier posición del documento, pero en una sola línea
La cadena debe escribirse en fuentes sin mapa de bits (por ejemplo, Truetype)
Los faxes se enviarán mediante el ID de usuario que envía. Esta información se mostrará en la cola de faxes.

4.10.4 Mail2Fax

Advertencia: To enable this function, make sure that Email module is installed.

Todos los correos electrónicos enviados a la red local en sendfax@<domainname> serán transformados en un fax
y enviados al destinatario.
El <domainname> debe coincidir con un dominio de correo local configurado para la entrega local.
El correo electrónico debe cumplir con este formato:
El número del destinatario debe especificarse en el objeto (o asunto)
El correo electrónico debe estar en formato de texto sin formato
Puede contener archivos adjuntos como PDF o PS que se convertirán y enviarán con su fax

4.10. Servidor de fax 97

NethServer Documentation, Versión 7 Final

Nota: This service is enabled only for clients that send mails from the green network.

4.10.5 Módems virtuales

Los módems virtuales son módems de software conectados a un PBX (Asterisk usualmente) utilizando una extensión
IAX.
La configuración de los módems virtuales consta de dos partes:
1. Creación de la extensión IAX dentro de la PBX
2. Configuración del módem virtual

4.11 Firewall y gateway / Cortafuego y Puerta de enlace

NethServer Puede actuar como: index:cortafuego y puerta de enlace dentro de la red donde está instalado. Todo el
tráfico entre computadoras de la red local e Internet pasa a través del servidor que decide cómo enrutar paquetes y qué
reglas aplicar.
Principales características:
Configuración de red avanzada (puente, enlaces, alias, etc.)
Soporte multi WAN (hasta 15)
Gestión de reglas de firewall
Conformación del tráfico (QoS)
Reenvío de puertos
Reglas de enrutamiento para desviar tráfico en una WAN específica
Sistema de prevención de intrusiones (IPS, Intrusion Prevention System)
Inspección profunda de paquetes (DPI, Deep Packet Inspection)
Los modos de firewall y gateway sólo están habilitados si:
El paquete nethserver-firewall-base está instalado
Al menos hay una interfaz de red configurada con rol rojo

4.11.1 Política

Cada interfaz se identifica con un color que indica su función dentro del sistema. Véase red-sección.
Cuando un paquete de red pasa a través de una zona de cortafuegos, el sistema evalúa una lista de reglas para decidir
si el tráfico debe ser bloqueado o permitido. Políticas son las reglas predeterminadas que se aplicarán cuando el tráfico
de red no coincide con los criterios existentes.
El cortafuego implementa dos políticas predeterminadas editables desde la página Reglas de firewall -> :guilabel:‘
Configurar‘:
Allowed: all traffic from green to red is allowed
Bloqueado: todo el tráfico de la red verde a la red roja está bloqueado. Se debe permitir tráfico específico con
reglas personalizadas.

98 Capítulo 4. Módulos
 NethServer Documentation, Versión 7 Final

Las políticas de firewall permiten el tráfico entre zonas según este esquema:

GREEN -> BLUE -> ORANGE -> RED

El tráfico se permite de izquierda a derecha, bloqueado de derecha a izquierda.

Puede crear reglas entre zonas para cambiar las políticas predeterminadas de la página Reglas de firewall.

Nota: El tráfico desde la red local al servidor en el puerto SSH (predeterminado 22) y el puerto del Administrador del
servidor (predeterminado 980) es siempre permitido.

4.11.2 Reglas

Las Reglas se aplican a todo el tráfico que pasa a través del cortafuego. Cuando un paquete de red se desplaza de una
zona a otra, el sistema busca entre las reglas configuradas. Si el paquete coincide con una regla, se aplica la regla.

Nota: El orden de la regla es muy importante. El sistema siempre aplica la primera regla que coincide.

Una regla consta de cuatro partes principales:

Acción
Fuente
Destino
Servicio
Condición de tiempo
Las acciones disponibles son:
ACCEPT: acepta el tráfico de red
REJECT: bloquea el tráfico y notifica al host remitente
DROP: bloquea el tráfico, los paquetes se eliminan y no se envía ninguna notificación al host del remitente
ROUTE: enruta el tráfico al proveedor de WAN especificado. Véase Multi WAN.
Priority: mark the traffic as high/low priority. See Conformación del tráfico.

Nota: El cortafuego no generará reglas para las zonas azul y naranja, si al menos una interfaz roja está configurada.

REJECT vs DROP

Como regla general, debe utilizar: index: REJECT cuando desea informar al host de origen de que el puerto al que
está intentando acceder está cerrado. Por lo general, las reglas en el lado de LAN pueden usar REJECT.
Para conexiones desde Internet, se recomienda utilizar: index:DROP, con el fin de minimizar la divulgación de infor-
mación a cualquier atacante.

4.11. Firewall y gateway / Cortafuego y Puerta de enlace 99

NethServer Documentation, Versión 7 Final

Registro

Cuando una regla coincide con el tráfico en curso, es posible registrar el evento en un archivo de registro marcando la
opción de la interfaz web. El registro de firewall se guarda en /var/log/[Link].

Inspección profunda de paquetes (DPI, Deep Packet Inspection)

Deep Packet Inspection (DPI)1 is an advanced packet filtering technique.

When the DPI module is active, new items for the Service field are available in the Edit rule form. Those items are
labeled DPI protocol, among the usual network service and service object items.
The DPI module uses the nDPI library which can identify around 250 types of network traffic split in network protocols
(eg. OpenVPN, DNS) and web applications (eg. Netflix, Spotify).
Firewall rules using DPI services are generated inside the mangle table, for this reason such rules have some limita-
tions:
reject action is not supported, use drop to block traffic
any and firewall can’t be used as source or destination
route to provider X action is not supported: the identification of the protocol often begins after the connection
has been already established, so routing decision can’t be changed
Even if DPI can identify traffic to/from specific web sites such as Facebook, it is better suited to block or shape
protocols like VPN, FTP, etc. Web site access should be regulated using Proxy web.
Note that some DPI protocols (such as Amazon) can match large CDNs, so please do not block such protocols using
DPI rules unless you want to prevent access to thousands of sites.
DPI markers are automatically applied also to the traffic which originates from the firewall itself, like HTTP traffic
from the web proxy.
The complete list of DPI protocols, along with counters for matched traffic, is available inside the DPI page under the
Status category on the left menu.

Ejemplos

A continuación hay algunos ejemplos de reglas.

Bloquear todo el tráfico de DNS de la LAN a Internet:
Acción: REJECT
Fuente: verde
Destino: rojo
Servicio: DNS (puerto UDP 53)
Permitir que la red de invitados tenga acceso a todos los servicios que escuchan en Servidor1
Acción: ACCEPT
Fuente: azul
Destino: Servidor1
Servicio: -
1 Inspección profunda de paquete, Deep Packet Inspection [Link]

100 Capítulo 4. Módulos

 NethServer Documentation, Versión 7 Final

4.11.3 Multi WAN

El término WAN (Wide Area Network) se refiere a una red pública fuera del servidor, generalmente conectada a
Internet. Un proveedor es la empresa que realmente gestiona el enlace WAN.
El sistema admite hasta 15 conexiones WAN. Si el servidor tiene dos o más tarjetas rojas configuradas, es necesario
rellenar correctamente los campos Enlace ponderado, Ancho de banda entrante y :guilabel: Ancho de banda saliente
desde la página Red .
Cada proveedor representa una conexión WAN y está asociado con un adaptador de red. Cada proveedor define un
peso: mientras mayor es el peso, mayor es la prioridad de la tarjeta de red asociada con el proveedor.
El sistema puede utilizar conexiones WAN en dos modos (botón Configurar en la página Multi WAN):
Balance: todos los proveedores se utilizan simultáneamente según su peso
Activar copia de seguridad: los proveedores se utilizan uno a uno al vuelo con el que tiene el peso más alto. Si
el proveedor que está utilizando pierde su conexión, todo el tráfico se desviará al proveedor siguiente.
Para determinar el estado de un proveedor, el sistema envía un paquete ICMP (ping) a intervalos regulares. Si el
número de paquetes perdidos excede un determinado umbral, el proveedor está deshabilitado.
El administrador puede configurar la sensibilidad de la supervisión mediante los siguientes parámetros:
Porcentaje de paquetes perdidos
Número de paquetes perdidos consecutivos
Intervalo en segundos entre paquetes enviados
La página Reglas de firewall permite enrutar paquetes de red a un proveedor de WAN determinado, si se cumplen
algunos criterios. Véase Reglas.

Ejemplo

Dados dos proveedores configurados:

Proveedor1: interfaz de red eth1, peso 100
Proveedor2: interfaz de red eth0, peso 50
Si se selecciona el modo equilibrado, el servidor encaminará un número doble de conexiones en Proveedor1 sobre
Proveedor2.
Si se selecciona el modo de copia de seguridad activa, el servidor enrutará todas las conexiones en Proveedor1; Sólo
si Proveedor1 se vuelve inasequible las conexiones se redirigirán a Proveedor2.

4.11.4 Reenviar puerto

El cortafuego bloquea las solicitudes de las redes públicas a las privadas. Por ejemplo, si el servidor web se ejecuta
dentro de la LAN, sólo los equipos de la red local pueden acceder al servicio en la zona verde. Cualquier solicitud
hecha por un usuario fuera de la red local está bloqueada.
Para permitir que cualquier usuario externo acceda al servidor web, debe crear una remisión de puerto. Una remisión
de puerto es una regla que permite un acceso limitado a los recursos desde fuera de la LAN.
Al configurar el servidor, debe elegir los puertos de escucha. El tráfico de las interfaces rojas se redireccionará a los
puertos seleccionados. En el caso de un servidor web, los puertos de escucha son generalmente el puerto 80 (HTTP) y
443 (HTTPS).
Cuando cree un puerto hacia adelante, debe especificar al menos los siguientes parámetros:

4.11. Firewall y gateway / Cortafuego y Puerta de enlace 101

NethServer Documentation, Versión 7 Final

El puerto fuente
El puerto de destino, que puede ser diferente del puerto de origen
La dirección del host interno al que se debe redirigir el tráfico
It’s possible to specify a port range using a colon as separator in the source port field (eg: 1000:2000), in this
case the field destination port must be left void

Ejemplo

Dado el siguiente escenario:

Servidor interno con IP [Link], denominado Servidor1
Servidor Web escuchando en el puerto 80 en Servidor1
Servidor SSH escuchando en el puerto 22 en Servidor1
Other services in the port range between 5000 and 6000 on Server1
Si desea que el servidor web esté disponible directamente desde redes públicas, debe crear una regla como esta:
puerto de origen: 80
puerto de destino: 80
Dirección del host: [Link]
Todo el tráfico entrante en las interfaces rojas del firewall en el puerto 80, será redirigido al puerto 80 en Servidor1.
En caso de que quiera hacer accesible desde fuera del servidor SSH en el puerto 2222, tendrá que crear un puerto hacia
adelante de esta manera:
puerto de origen: 2222
puerto de destino: 22
Dirección del host: [Link]
Todo el tráfico entrante en las interfaces rojas del firewall en el puerto 2222, será redirigido al puerto 22 en Servidor1.
In case you want to make accessible from outside the server on the whole port range between 5000 and 6000, you will
have to create a port forward like this:
Puerto de origen: 5000:6000
puerto de destino:
Dirección del host: [Link]
All incoming traffic on firewall’s red interfaces on port range between 5000 and 6000 will be redirected to same ports
on Server1.

Limitar el acceso

Puede restringir el acceso al puerto sólo desde algunas direcciones IP o redes utilizando el campo Permitir sólo de.
Esta configuración es útil cuando los servicios deben estar disponibles sólo de IP o redes de confianza. Algunos valores
posibles:
[Link]: habilitar el puerto hacia adelante para el tráfico procedente de la IP [Link]
[Link],[Link]: habilitar el puerto hacia adelante para el tráfico procedente de las IPs [Link] y
[Link]

102 Capítulo 4. Módulos

 NethServer Documentation, Versión 7 Final

[Link]/24: habilita el reenvío del puerto sólo para el tráfico procedente de la red [Link]/24
![Link]: habilita el reenvío de puertos para todas las IP excepto [Link]
[Link]/24![Link],[Link]: habilita el reenvío de puertos para la red
[Link]/24, excepto los hosts [Link] y [Link]

4.11.5 sNAT 1:1

NAT uno a uno es una forma de hacer que los sistemas detrás de un cortafuegos y configurado con direcciones IP
privadas parecieran tener direcciones IP públicas.
Si tiene un montón de direcciones IP públicas y si desea asociar una de ellas a un host de red específico, NAT 1:1 es el
camino.
Esta característica sólo se aplica al tráfico hacia internet desde un host específico
No afecta de ningún modo al tráfico específico desde internet hacia el alias IP, pero, si necesitas enrutar tráfico hacia
un host específico de la red interna, utiliza el reenvío de puertos, como de siempre.
Si necesitas enrutar todo el tráfico hacia el host de la red interna (no recomendado), utiliza un reenvío de puertos con
protocolos TCP/UDP y puerto de entrada 1:65535

Ejemplo

En nuestra red tenemos un host llamado example_host con IP [Link]. También hemos asociado una
dirección IP pública [Link] como un alias de la interfaz eth0 (ROJA).
Queremos mapear nuestro host interno (example_host - [Link]) con IP pública [Link].
En el panel NAT 1:1, elegimos para el IP‘‘[Link]‘‘ (campo de sólo lectura) el host específico
(example_host) del cuadro combinado. Hemos configurado correctamente el NAT de uno a uno para nuestro
host.

4.11.6 Conformación del tráfico

La Modulación del tráfico permite aplicar reglas de prioridad sobre el tráfico de red a través del cortafuego. De esta
forma es posible optimizar la transmisión, comprobar la latencia y afinar el ancho de banda disponible.
To enable traffic shaping it is necessary to know the exact amount of available download and upload bandwidth. Access
the Network page and carefully set bandwidth values.
If download and upload bandwidth are not set for a red interface, traffic shaping rules will not be enabled for that
interface.

Nota: Be sure to specify an accurate estimate of the bandwidth on network interfaces. To pick an appropriate setting,
please do not trust the nominal value, but use online tools to test the real provider speed.
In case of congestion by the provider, there is nothing to do in order to improve performance.

Configuration of traffic shaping is composed by 2 steps:

creation of traffic shaping classes
assignment of network traffic to a specific class

4.11. Firewall y gateway / Cortafuego y Puerta de enlace 103

NethServer Documentation, Versión 7 Final

Classes

Traffic shaping is achieved by controlling how bandwidth is allocated to classes.

Each class can have a reserved rate. A reserved rate is the bandwidth a class will get only when it needs it. The spare
bandwidth is the sum of not committed bandwidth, plus the committed bandwidth of a class but not currently used by
the class itself.
Each class can have also a maximum rate. If set, the class can exceed its committed rate, up to the maximum rate. A
class will exceed its committed rate only if there is spare bandwidth available.
Traffic shaping classes can be defined under Traffic shaping page. When creating a new class, fill the following fields:
Class name: a representative name
Min download ( %): minimum reserved download bandwidth, if empty no download reservation will be created
Max download ( %): maximum allowed download bandwidth, if empty no upper limit will be set
Min upload ( %): minimum reserved upload bandwidth, if empty no upload reservation will be created
Max upload ( %): maximum allowed download bandwidth, if empty no upper limit will be created
Description: optional description for the class
The system provides two pre-configured classes:
high: generic high priority traffic, can be assigned to something like SSH
low: low priority traffic, can be assigned to something like peer to peer file exchange
The system always tries to prevent traffic starvation under high network load.
Classes will get spare bandwidth proportionally to their committed rate. So if class A has 1Mbit committed rate and
class B has 2Mbit committed rate, class B will get twice the spare bandwidth of class A. In all cases all spare bandwidth
will be given to them.
For more info, see2 .

4.11.7 Objetos del cortafuego

Los Objetos del cortafuego son representaciones de componentes de red y son útiles para simplificar la creación de
reglas.
Hay 6 tipos de objetos, 5 de ellos representan fuentes y destinos:
Host: representa los ordenadores locales y remotos. Ejemplo: web_server, pc_boss
Grupos de hosts: representación de grupos homogéneos de ordenadores. Los hosts de un grupo siempre deben
ser accesibles utilizando la misma interfaz. Ejemplo: servidores, pc_secretaria
Redes CIDR: Puede expresar una red CIDR para simplificar las reglas del firewall.
Ejemplo 1 : los últimos 14 direcciones IP de la red se asignan a servidores ([Link]/28).
Ejemplo 2 : tiene varias interfaces verdes pero desea crear reglas de firewall sólo para una verde
([Link]/24).
Zone: representing networks of hosts, they must be expressed in CIDR notation. Their usage is for defining a
part of a network with different firewall rules from those of the nominal interface. They are used for very specific
needs.
2 FireQOS tutorial: [Link]

104 Capítulo 4. Módulos

 NethServer Documentation, Versión 7 Final

Nota: De forma predeterminada, todos los hosts pertenecientes a una zona no pueden realizar ningún tipo de tráfico.
Es necesario crear todas las reglas en el cortafuegos para obtener el comportamiento deseado.

Condiciones de tiempo: se pueden asociar a las reglas de firewall para limitar su eficacia a un período de tiempo
determinado.
El último tipo de objeto se utiliza para especificar el tipo de tráfico:
Servicios: un servicio de escucha en un host con al menos un puerto y protocolo. Ejemplo: ssh, https
Al crear reglas, puede utilizar los registros definidos en DNS y Servidor DHCP y PXE como objetos host. Además,
cada interfaz de red con un rol asociado se lista automáticamente entre las zonas disponibles.

Nota: Las reglas que tienen condiciones de tiempo se aplican sólo para nuevas conexiones. Ejemplo: si está bloquean-
do conexiones HTTP de 09:00 a 18:00, las conexiones establecidas antes de las 09:00 serán permitidas hasta que se
cierre. Cualquier nueva conexión después de las 09:00 será eliminada.

4.11.8 Enlace IP/MAC

Cuando el sistema actúa como servidor DHCP, el cortafuego puede utilizar la lista de reservas de DHCP para verificar
estrictamente todo el tráfico generado desde los hosts dentro de las redes locales. Cuando Enlace IP/MAC está habili-
tado, el administrador elegirá qué política se aplicará a los hosts sin una reserva de DHCP. El uso común es permitir
el tráfico solamente desde los anfitriones conocidos y bloquear todo el otro tráfico. En este caso, los hosts sin reserva
no podrán acceder al cortafuego ni a la red externa.
Para habilitar el tráfico sólo desde hosts bien conocidos, siga estos pasos:
1. Crear una reserva DHCP para un host
2. Vaya a la página Reglas firewall y seleccione Configurar en el menú de botones
3. Seleccione Validación MAC (enlace IP/MAC)
4. Elija Bloquear tráfico como directiva para aplicar a hosts no registrados

Nota: Recuerde crear al menos una reserva DHCP antes de habilitar el enlace IP/MAC, de lo contrario ningún host
será capaz de administrar el servidor utilizando la interfaz web o SSH.

4.12 Proxy web

El proxy web es un servidor que se encuentra entre las PCs de LAN y los sitios de Internet. Los clientes hacen
peticiones al proxy que se comunica con sitios externos y luego envían la respuesta al cliente.
Las ventajas de un proxy web son:
capacidad de filtrar contenido
reducir el uso del ancho de banda mediante el almacenamiento en caché de las páginas que visita
El proxy sólo se puede activar en zonas verdes y azules. Los modos admitidos son:
Manual: todos los clientes deben configurarse manualmente
Los usuarios autenticados deben ingresar un nombre de usuario y una contraseña para navegar

4.12. Proxy web 105

NethServer Documentation, Versión 7 Final

Transparente: todos los clientes se ven obligados automáticamente a usar el proxy para las conexiones HTTP
SSL transparente: todos los clientes se obligan automáticamente a utilizar el proxy para las conexiones HTTP y
HTTPS

4.12.1 Authenticated mode

Before enabling the web proxy in authenticated mode, please make sure to configure a local or remote account provider.
When Samba Active Directory is installed, or the server is joined to a remote Active Directory, Windows machines
can use integrated authentication with Kerberos. All Windows clients must access the proxy server using the FQDN.
All other clients can use basic authentication mechanism.

Nota: NTLM authentications is deprecated and it’s not supported.

4.12.2 Configuración del cliente

El proxy está siempre escuchando en el puerto 3128. Cuando se utilizan modos manuales o autenticados, todos los
clientes deben estar configurados explícitamente para usar el proxy. El panel de configuración es accesible desde la
configuración del navegador. Por cierto, la mayoría de los clientes serán configurados automáticamente usando el
protocolo WPAD. En este caso, es útil habilitar la opción Bloquear puertos HTTP y HTTPS para evitar el bypass de
proxy.
Si el proxy está instalado en modo transparente, todo el tráfico web procedente de clientes se desvía a través del proxy.
No se requiere configuración en los clientes individuales.

Nota: Para que el archivo WPAD sea accesible desde la red de invitados, agregue la dirección de la red azul dentro
del campo Permitir hosts para el servicio httpd desde la página :guilabel:‘ Servicios de red‘.

4.12.3 Proxy SSL

In transparent SSL mode, the proxy implements the so-called «peek and splice» behavior: it establishes the SSL
connection with remote sites and checks the validity of certificates without decrypting the traffic. Then the server can
filter requested URLs using the web filter and return back the response to the client.

Nota: There is no need to install any certificate into the clients, just enabling the SSL proxy is enough.

4.12.4 Bypass

En algunos casos, puede ser necesario garantizar que el tráfico procedente de una dirección IP específica o destinado
a algunos sitios no se enrute a través del proxy HTTP / HTTPS.
El proxy le permite crear:
bypass by domains
bypass by source
bypass by destination

106 Capítulo 4. Módulos

 NethServer Documentation, Versión 7 Final

Bypass by domains

Bypass by domains can be configured from Domains without proxy section. All domains listed inside this page can be
directly accessed from LAN clients. No antivirus or content filtering is applied to these domains.
Every domain listed will be expanded also for its own sub-domains. For example, adding [Link] will bypass
also [Link], [Link], etc.

Nota: All LAN clients must use the server itself as DNS, either directly or as a forwarder.

Bypass by source and destinations

A source bypass allows direct access to any HTTP/HTTPS sites from selected hosts, host groups, IP ranges and
network CIDR. Source bypasses are configurable from Hosts without proxy section.
A destination bypass allows direct access from any LAN clients to HTTP/HTTPS sites hosted on specific hosts, host
groups or network CIDR. Destination bypasses are configurable from Sites without proxy section.
These bypass rules are also configured inside the WPAD file.

4.12.5 Priority and divert rules

Firewall rules for routing traffic to a specific provider, or decrease/increase priority, are applied only to network traffic
which traverse the gateway. These rules don’t apply if the traffic goes through the proxy because the traffic is generated
from the gateway itself.
In a scenario where the web proxy is enabled in transparent mode and the firewall contains a rule to lower the priority
for a given host, the rule applies only to non-HTTP services like SSH.
The Rules tab allows the creation of priority and divert rules also for the traffic intercepted by the proxy.
The web interface allow the creation of rules for HTTP/S traffic to:
raise the priority of an host or network
lower the priority of an host or network
divert the source to a specific provider with automatic fail over if the provider fails
force the source to a specific provider without automatic fail over

4.12.6 Reporte

Install nethserver-lightsquid package to generate web proxy stats.

LightSquid is a lite and fast log analyzer for Squid proxy, it parses logs and generates new HTML report every day,
summarizing browsing habits of the proxy’s users. Lightsquid web interface can be found at the Applications tab inside
the Dashboard.

4.12.7 Cache

En la pestaña Cache hay un formulario para configurar los parámetros del caché:
El caché puede ser activado o desactivado (desactivado por defecto)
Tamaño de caché de disco: valor máximo de caché de squid en disco (en MB)

4.12. Proxy web 107

NethServer Documentation, Versión 7 Final

Tamaño mínimo de objeto: se puede dejar en 0 para almacenar en caché todo, pero puede ser elevado si no se
desean objetos pequeños en la caché (en kB)
Tamaño máximo del objeto: los objetos mayores que este valor no se guardarán en el disco. Si la velocidad es
más deseable que ahorrar ancho de banda, esto debería establecerse en un valor bajo (en kB)
The button Empty cache also works if squid is disabled, it might be useful to free space on disk.

Sitios sin caché

En algún momento el proxy no puede manejar correctamente algunos sitios mal diseñados. Para excluir uno o varios
dominios de la caché, utilice la propiedad NoCache.
Ejemplo:

config setprop squid NoCache [Link],[Link]

signal-event nethserver-squid-save

4.12.8 Puertos seguros

Los puertos seguros son una lista de puertos accesibles mediante el proxy. Si un puerto no está dentro de la lista de
puertos seguros, el proxy se negará a ponerse en contacto con el servidor. Por ejemplo, dado un servicio HTTP que se
ejecuta en el puerto 1234, no se puede acceder al servidor mediante el proxy.
La propiedad SafePorts es una lista de puertos separados por comas. Los puertos listados se agregarán a la lista
predeterminada de puertos seguros.
[Link]. Acceda a puertos adicionales 446 y 1234:

config setprop squid SafePorts 446,1234

signal-event nethserver-squid-save

4.12.9 Logs

Squid logs are kept for 5 weeks in compressed format, to control disk space usage. Web proxy logs are verbose to help
troubleshoot problems. Web browsing activities are logged in aggregate and readable format by Lightsquid.
In environments where logs need to be preserved for more than 5 weeks, you could manually edit the logrotate confi-
guration /etc/logrotate.d/squid. Finally, remember to add /etc/logrotate.d/squid to the configu-
ration backup using the custom include.

echo '/etc/logrotate.d/squid' >> /etc/backup-config.d/[Link]

4.13 Filtro de contenido web

El filtro de contenido analiza todo el tráfico web y bloquea sitios web seleccionados o sitios que contienen virus. Los
sitios prohibidos se seleccionan de una lista de categorías, que a su vez deben ser descargadas desde fuentes externas
y almacenadas en el sistema.
El sistema permite crear un número infinito de perfiles. Un perfil se compone de tres partes:
Quién: el cliente asociado con el perfil. Puede ser un usuario, un grupo de usuarios, un host, un grupo de hosts,
una zona o una función de interfaz (como verde, azul, etc.).

108 Capítulo 4. Módulos

 NethServer Documentation, Versión 7 Final

Qué: qué sitios pueden ser explorados por el cliente perfilado. Es un filtro creado dentro de la sección Filtros.
Cuando: el filtro siempre se puede activar o validar sólo durante cierto período de tiempo. Los intervalos de
tiempo se pueden crear dentro de la sección Tiempos.
Este es el orden recomendado para la configuración del filtro de contenido:
1. Seleccione una lista de categorías de la página Listas negras e inicie la descarga
2. Crear una o más condiciones de tiempo (opcional)
3. Crear categorías personalizadas (opcional)
4. Cree un filtro nuevo o modifique el predeterminado
5. Cree un nuevo perfil asociado a un usuario u host, luego seleccione un filtro y un marco de tiempo (si está
habilitado)
Si no hay coincidencias de perfiles, el sistema proporciona un perfil predeterminado que se aplica a todos los clientes.

4.13.1 Filtros

Un filtro puede:
Bloquear el acceso a categorías de sitios
Bloquear el acceso a los sitios a los que se accede mediante la dirección IP (recomendado)
Filtrar URL con expresiones regulares
Bloquear archivos con extensiones específicas
Habilitar lista negra y lista blanca global
Un filtro puede funcionar en dos modos diferentes:
Permitir todo: permitir el acceso a todos los sitios, excepto los explícitamente bloqueados
Bloquear todos: bloquea el acceso a todos los sitios, excepto los explícitamente permitidos

Nota: La lista de categorías se mostrará sólo después de la descarga de la lista seleccionada de la página Blacklist.

Bloquando Google Translate

Los servicios de traducción en línea, como Google Translate, se pueden utilizar para evitar el filtro de contenido porque
las páginas visitadas a través del traductor siempre se refieren a un dominio de Google a pesar de tener contenido de
servidores externos.
Es posible bloquear todas las solicitudes a Google translate, creando una URL bloqueada dentro de la página General.
El contenido de la URL bloqueada debe ser: [Link].

4.13.2 Antivirus

La navegación web se puede verificar por contenido malicioso, pero sólo para el protocolo HTTP de texto claro. Si el
proxy está configurado en modo transparente SSL (Proxy SSL), el contenido descargado a través de HTTPS no será
escaneado.

4.13. Filtro de contenido web 109

NethServer Documentation, Versión 7 Final

4.13.3 Solución de problemas

Si no se bloquea una página incorrecta, compruebe:

El cliente está navegando usando el proxy
El cliente no tiene un bypass configurado dentro la sección Hosts sin proxy
El cliente no está navegando por un sitio con un bypass configurado dentro de la sección Sitios sin proxy
El cliente está realmente asociado con un perfil no permitido para visitar la página
El cliente está navegando dentro de un marco de tiempo cuando el filtro es permisivo

4.14 IPS (Suricata)

Suricata is a IPS (Intrusion Prevention System), a system for the network intrusion analysis. The software analyzes all
traffic on the firewall searching for known attacks and anomalies.
Cuando se detecta un ataque o una anomalía, el sistema puede decidir si bloquea el tráfico o simplemente guarda el
evento en un registro (/var/log/suricata/[Link]).
Suricata can be configured using sets of rules organized in uniform categories. Each category can be set to:
Enable: traffic matching rules from this categories will be reported
Block: traffic matching rules from this categories will be dropped
Disable: rules from this categories are ignored

Nota: The use of an IPS impacts on all traffic passing on the firewall. Make sure you fully understand all the implica-
tions before enabling it. In particular, pay attention to blocking rules that may stop updates to the system itself.

4.14.1 Rule categories

Suricata is configured to use free rules from [Link]

Rules are divided into categories listed below.
Activex Attacks and vulnerabilities(CVE, etc.) regarding ActiveX.
Attack Response Responses indicative of intrusion—LMHost file download, certain banners, Metasploit Meterpreter
kill command detected, etc. These are designed to catch the results of a successful attack. Things like «id=root»,
or error messages that indicate a compromise may have happened.
Botcc (Bot Command and Control) These are autogenerated from several sources of known and confirmed active
Botnet and other Command and Control hosts. Updated daily, primary data source is [Link]. Bot
command and control block rules generated from [Link], as well as spyeyetracker, palevotracker, and
zeustracker. Port grouped rules offer higher fidelity with destination port modified in rule.
Botcc Portgrouped Same as above, but grouped by destination port.
Chat Identification of traffic related to numerous chat clients, irc, and possible check-in activity.
CIArmy Collective Intelligence generated IP rules for blocking based upon [Link].
1 Categories documentation source: proofpoint - ETPro Category Descriptions

110 Capítulo 4. Módulos

 NethServer Documentation, Versión 7 Final

Compromised This is a list of known compromised hosts, confirmed and updated daily as well. This set varied from
a hundred to several hunderd rules depending on the data sources. This is a compilation of several private but
highly reliable data sources. Warming: Snort does not handle IP matches well load-wise. If your sensor is already
pushed to the limits this set will add significant load. We recommend staying with just the botcc rules in a high
load case.
Current Events Category for active and short lived campaigns. This category covers exploit kits and malware that
will be aged and removed quickly due to the short lived nature of the threat. High profile items that we don’t
expect to be there long—fraud campaigns related to disasters for instance. These are rules that we don’t intend
to keep in the ruleset for long, or that need to be tested before they are considered for inclusion. Most often these
will be simple sigs for the Storm binary URL of the day, sigs to catch CLSID’s of newly found vulnerable apps
where we don’t have any detail on the exploit, etc.
Decoder-events Suricata specific. These rules log normalization events related to decoding.
Deleted Rules removed from the rule set.
DNS Rules for attacks and vulnerabilities regarding DNS. Also category for abuse of the service for things such as
tunneling.
DOS Denial of Service attempt detection. Intended to catch inbound DOS activity, and outbound indications.
Drop Rules to block spamhaus “drop” listed networks. IP based. This is a daily updated list of the Spamhaus DROP
(Don’t Route or Peer) list. Primarily known professional spammers. More info at [Link]
Dshield IP based rules for Dshield Identified attackers. Daily updated list of the DShield top attackers list. Also very
reliable. More information can be found at [Link]
Exploit Exploits that are not covered in specific service category. Rules to detect direct exploits. Generally if you’re
looking for a windows exploit, Veritas, etc, they’ll be here. Things like SQL injection and the like, whie they are
exploits, have their own category.
Files Example rules for using the file handling and extraction functionality in Suricata.
FTP Rules for attacks, exploits, and vulnerabilities regarding FTP. Also includes basic none malicious FTP activity
for logging purposes, such as login, etc.
Games Rules for the Identification of gaming traffic and attacks against those games. World of Warcraft, Starcraft,
and other popular online games have sigs here. We don’t intend to label these things evil, just that they’re not
appropriate for all environments.
HTTP-Events Rules to log HTTP protocol specific events, typically normal operation.
Info General rules to track suspicious host network traffic.
Inappropriate Rules for the identification of pornography related activity. Includes Porn, Kiddy porn, sites you
shouldn’t visit at work, etc. Warning: These are generally quite Regex heavy and thus high load and frequent
false positives. Only run these if you’re really interested.
Malware Malware and Spyware related, no clear criminal intent. The threshold for inclusion in this set is typically
some form of tracking that stops short of obvious criminal activity. This set was originally intended to be just
spyware. That’s enough to several rule categories really. The line between spyware and outright malicious bad
stuff has blurred to much since we originally started this set. There is more than just spyware in here, but rest
assured nothing in here is something you want running on your net or PC. There are URL hooks for known
update schemed, User-Agent strings of known malware, and a load of others.
Misc. Miscellaneous rules for those rules not covered in other categories.
Mobile Malware Specific to mobile platforms: Malware and Spyware related, no clear criminal intent.
Netbios Rules for the identification, as well as attacks, exploits and vulnerabilities regarding Netbios. Also included
are rules detecting basic activity of the protocol for logging purposes.

4.14. IPS (Suricata) 111

NethServer Documentation, Versión 7 Final

P2P Rules for the identification of Peer-to-Peer traffic and attacks against. Including torrents, edonkey, Bittorrent,
Gnutella, Limewire, etc. We’re not labeling these things malicious, just not appropriate for all networks and
environments.
Policy Application Identification category. Includes signatures for applications like DropBox and Google Apps, etc.
Also covers off port protocols, basic DLP such as credit card numbers and social security numbers. Included in
this set are rules for things that are often disallowed by company or organizational policy. Myspace, Ebay, etc.
SCADA Signatures for SCADA attacks, exploits and vulnerabilities, as well as protocol detection.
SCAN Things to detect reconnaissance and probing. Nessus, Nikto, portscanning, etc. Early warning stuff.
Shellcode Remote Shellcode detection. Remote shellcode is used when an attacker wants to target a vulnerable pro-
cess running on another machine on a local network or intranet. If successfully executed, the shellcode can
provide the attacker access to the target machine across the network. Remote shellcodes normally use standard
TCP/IP socket connections to allow the attacker access to the shell on the target machine. Such shellcode can
be categorised based on how this connection is set up: if the shellcode can establish this connection, it is called
a «reverse shell» or a connect-back shellcode because the shellcode connects back to the attacker’s machine.
SMTP Rules for attacks, exploits, and vulnerabilities regarding SMTP. Also included are rules detecting basic activity
of the protocol for logging purposes.
SMTP-events Rules that will log SMTP operations.
SNMP Rules for attacks, exploits, and vulnerabilities regarding SNMP. Also included are rules detecting basic activity
of the protocol for logging purposes.
SQL Rules for attacks, exploits, and vulnerabilities regarding SQL. Also included are rules detecting basic activity of
the protocol for logging purposes.
Stream-events Rules for matching TCP stream engine events.
TELNET Rules for attacks and vulnerabilities regarding the TELNET service. Also included are rules detecting basic
activity of the protocol for logging purposes.
TFTP Rules for attacks and vulnerabilities regarding the TFTP service. Also included are rules detecting basic activity
of the protocol for logging purposes.
TLS-Events Rules for matching on TLS events and anomal
TOR IP Based rules for the identification of traffic to and from TOR exit nodes.
Trojan Malicious software that has clear criminal intent. Rules here detect malicious software that is in transit, active,
infecting, attacking, updating, and whatever else we can detect on the wire. This is also a highly important ruleset
to run if you have to choose.
User Agents User agent identification and detection.
VOIP Rules for attacks and vulnerabilities regarding the VOIP environment. SIP, h.323, RTP, etc.
Web Client Web client side attacks and vulnerabilities.
Web Server Rules for attacks and vulnerabilities against web servers.
Web Specific Apps Rules for very specific web applications.
WORM Traffic indicative of network based worm activity.

4.14.2 EveBox

EveBox is a web based alert and event management tool for events generated by the Suricata.
It can be accessed from the Server Manager under the Applications page.

112 Capítulo 4. Módulos

 NethServer Documentation, Versión 7 Final

4.15 Proxy inverso

La característica proxy inverso es útil cuando se desea acceder a sitios internos desde la red externa.

4.15.1 Path and virtual host rules

A web client request can be forwarded to another web server transparently, according to two types of matching rules:
Requests matching an URL path, like [Link]
Requests matching a virtual host name, like [Link]
The typical scenario for a URL path rule is the following:
NethServer es el cortafuegos de su LAN
You have a domain [Link]
You would like [Link] to forward to the internal server (internal IP:
[Link])
In this scenario, create a new record under Reverse proxy > Paths page. Set the Name of the item to mysite and the
Target URL to [Link]
Si sólo se permiten las conexiones cifradas, habilite Requiere conexión cifrada SSL.
Sólo se puede permitir que los clientes de determinadas redes se conecten, especificando una lista separada por comas
de las redes CIDR bajo el campo Acceso desde las redes CIDR.
A virtual host name rule can be forward HTTP requests to another web server, and is defined in the Reverse proxy >
Virtual hosts page. For instance:
NethServer es el cortafuegos de su LAN
You have a domain [Link]
You would like [Link] to be forwarded to the internal web server 192.
168.2.101, port 9000.
In this scenario, set the Name of a new virtual host item to [Link] and the Target URL to
[Link]
Refer also to the UI description of Reverse Proxy for additional information about advanced features, like Forward
HTTP «Host» header to target and :guilabel‘Accept invalid SSL certificate from target‘.

4.15.2 Configuración manual

Si la página Proxy inverso no es suficiente, siempre se puede configurar Apache manualmente, mediante la creación
de un nuevo archivo dentro del directorio /etc/httpd/conf.d/.
Ejemplo
Crear archivo /etc/httpd/conf.d/[Link] con este contenido:

<VirtualHost *:443>
SSLEngine On
SSLProxyEngine On
ProxyPass /owa [Link]
ProxyPassReverse /owa [Link]
</VirtualHost>
(continues on next page)

4.15. Proxy inverso 113

NethServer Documentation, Versión 7 Final

(proviene de la página anterior)

<VirtualHost *:80>
ServerName [Link]
ProxyPreserveHost On
ProxyPass / [Link]
ProxyPassReverse / [Link]
</VirtualHost>

Please refer to official Apache documentation for more information: [Link]

[Link]

4.16 Hosts virtuales

Los host virtuales te permiten alojar múltiples nombres de dominio en un único servidor. En NethServer, desde la
página Virtual hosts, se pueden configurar sitios web como nombres virtuales de dominio de Apache.

4.16.1 Nombres de host virtuales (FQDN)

Es la lista de Nombres de Dominio Completamente Calificados - FQDN por sus siglas en inglés - que están asociados
al host virtual. Los valores deben separarse con una «,» (coma). Para acceder al host virtual, también se necesita un
registro DNS. Si está activado en «Acciones adicionales», se crea automáticamente un alias para el servidor en «DNS
> Alias del servidor», pero sólo es útil para los clientes que utilizan el servidor como DNS.

4.16.2 Configuración de una aplicación web

Cuando se crea un nuevo host virtual, también se crea la carpeta /var/lib/nethserver/vhost/NAME. Si el acceso FTP está
habilitado, es posible cargar archivos a esta carpeta usando un cliente FTP y un nombre de host virtual como nombre
de usuario.

Advertencia: El acceso FTP está desactivado de forma predeterminada, también es necesario habilitarlo desde la
página de configuración FTP

La contraseña de autenticación HTTP debe ser diferente a la de FTP, ya que se utiliza FTP para cargar contenido en el
host virtual y HTTP para leer contenido.

4.16.3 Permisos de Apache

Los archivos subidos por FTP son propiedad del grupo «apache». Si necesita permitir acceso de escritura o ejecución
de apache, puede cambiar permisos de grupo utilizando el cliente FTP

Advertencia: Si un host virtual contiene código ejecutable, como scripts PHP, los permisos de usuario y las
implicaciones de seguridad deben evaluarse cuidadosamente.

114 Capítulo 4. Módulos

 NethServer Documentation, Versión 7 Final

4.17 Carpetas compartidas

A shared folder is a place where files can be accessed by a group of people using Samba (SMB/CIFS).
To create, edit and delete a shared folder go to the Shared folders page.

4.17.1 Requirements

Shared folders use ACL (Access Control List) to provide flexible permission on files and directories.
To enable ACL, the filesystem must be mounted with the acl option. The acl option is already enabled on XFS, the
default CentOS filesystem, and usually even on Ext3 and Ext4 filesystems.

Enabling ACL

On Ext2/3/4 filesystems, use tune2fs command to check if acl option is already enabled:
tune2fs -l /dev/sdXY | grep "Default mount options:"

Where sdXY is the name of your partition, the output should look like this:
Default mount options: user_xattr acl

If the acl option is not enabled, add the option inside the /etc/fstab:
/dev/mapper/VolGroup-lv_root / ext4 defaults,acl 0

Or use tune2fs to enable as default mount option:

tune2fs -o acl /dev/sdXY

4.17.2 Authorizations

If Active directory is selected as account provider, a shared folder is owned by a group of users (Owning group). Each
member of the group is allowed to read the folder contents. Optionally the group can be entitled to modify the folder
contents and the read permission can be extended to everyone accessing the system. This simple permission model is
based on the traditional UNIX file system permissions.
Access privileges can be refined further with the ACL tab, allowing individual users and other groups to gain read and
write permissions.
ACLs can also be set on individual files and directories from a Windows client, if the user has enough permissions –
see section Change resource permissions from Windows clients for details.

Advertencia: Some ACLs settings supported by Windows clients cannot be translated to POSIX ACLs supported
by NethServer, thus they will be lost when they are applied

At any time, the Reset permissions button propagates the shared folder UNIX permissions and POSIX ACLs to its
contents.
Si Guest access está habilitado, las credenciales de autenticación proporcionadas se consideran válidas.
If an LDAP account provider is selected or there is no account provider at all, any access to shared folders is considered
as Guest access so that everyone is allowed to read and write its content.

4.17. Carpetas compartidas 115

NethServer Documentation, Versión 7 Final

4.17.3 Network access

SMB/CIFS is a widely adopted protocol that allows to share files across a computer network. The shared folder name
becomes the SMB «share name».
Por ejemplo, las direcciones de red SMB de la carpeta documentos podrían ser
\\[Link]\docs
\\MYSERVER\docs

Advertencia: Authenticated access to shared folders is available with an Active Directory accounts provider.
LDAP provider allows guest access only.

When accessing a SMB share, some user interfaces provide a single user name field. In that case, specify the user
short name prefixed with the NetBIOS domain name. For instance, if the NetBIOS domain name is «DOMAIN»
and the user name is «[Link]», the domain-prefixed user name to access a SMB share is:
DOMAIN\[Link]

On the contrary, some applications provide separate input fields for the NetBIOS domain name and the user name; in
that case fill in the input fields individually.

4.17.4 Network recycle bin

If the option Network recycle bin is enabled, removed files are actually moved into a special «wastebasket» directory.
The Keep copies of files with the same name keeps distinct file names inside the wastebasket directory, preventing
overwrites.

4.17.5 Hide a shared folder

Si Navegable está habilitado, la carpeta compartida aparece públicamente. Esto no afecta al permiso para usar este
recurso.

4.17.6 Home share

Each NethServer user has a personal shared folder that is mapped to his Unix home directory. The SMB share name
correspond to the user short name. For example:
user short name [Link]
server name MYSERVER
server address [Link]
The SMB network address is:
\\MYSERVER\[Link]
\\[Link]\[Link]

Provide John’s credentials as explained in Network access.

Truco: The Unix home directory is created the first time the user accesses it by either SMB or SFTP/SSH protocol.

116 Capítulo 4. Módulos

 NethServer Documentation, Versión 7 Final

4.17.7 Change resource permissions from Windows clients

When an user connects to a shared folder with a Windows client, he can change permissions on individual files and
directories. Permissions are expressed by Access Control Lists (ACLs).

Advertencia: Some ACLs settings supported by Windows clients cannot be translated to POSIX ACLs imple-
mented by NethServer, thus they will be lost when they are applied

Only the owner of a resource (being it either file or directory) has full control over it (read, write, change permissions).
The permission to delete a resource is granted to users with write permissions on the parent directory. The only
exception to this rule is described in the Administrative access section.
When a new resource is created, the owner can be defined by one of the following rules:
the owner is the user that creates the resource
the owner is inherited from the parent directory
To enforce one of those rules, go to Windows file server page and select the corresponding radio button under When a
new file or directory is created in a shared folder section.

Advertencia: The Owning group setting of a shared folder does not affect the owner of a resource. See also the
Authorizations section above

4.17.8 Administrative access

The Windows file server page allows to grant special privileges to members of the Domain Admins group:
extend the owner permission by enabling the Grant full control on shared folders to Domain Admins group
checkbox
access other users” home directories by enabling the Grant full control on home directories to Domain Admins
group (home$ share) checkbox. To access home directories connect to the hidden share home$. For instance,
the SMB network address is:

\\MYSERVER\home$
\\[Link]\home$

4.18 Monitor de ancho de banda

4.18.1 ntopng

ntopng es una potente herramienta que le permite analizar el tráfico de red en tiempo real. Le permite evaluar el ancho
de banda utilizado por los hosts individuales e identificar los protocolos de red más utilizados.
Habilitar ntopng Al habilitar ntopng, se analizará todo el tráfico que pasa a través de las interfaces de red. Puede
causar una ralentización de la red y un aumento en la carga del sistema.
Puerto El puerto donde ver la interfaz web ntopng.
Contraseña para el usuario “admin” Contraseña del usuario administrador. Esta contraseña no está relacionada con
la clave de administrador de NethServer .

4.18. Monitor de ancho de banda 117

NethServer Documentation, Versión 7 Final

Interfaces Interfaces en las que ntopng escuchará.

4.19 Estadísticas (collectd)

Collectd es un demonio que recopila el rendimiento del sistema estadísticas periódicamente y los almacena en archivos
RRD. Las estadísticas se mostrarán dentro de una interfaz web llamada
Panel de gráficos Collectd (CGP), paquete nethserver-cgp
La interfaz web se puede acceder desde Gráficos.
Después de la instalación, el sistema reunirá las siguientes estadísticas:
uso de CPU
carga del sistema
número de procesos
Uso de la memoria RAM
uso de memoria virtual (swap)
tiempo de actividad del sistema
uso del espacio en disco
operaciones de lectura y escritura de disco
interfaces de red
latencia de la red
Para cada comprobación, la interfaz web mostrará un gráfico que contiene el último valor recopilado y también valores
mínimos, máximos y medios.

4.19.1 Latencia de conexion

El complemento ping mide la latencia de la red. A intervalos regulares, envía un ping al DNS configurado arriba. Si el
módulo WAN múltiple está configurado, también se comprueba cualquier proveedor habilitado.
Los hosts adicionales podrían ser monitoreados (es decir, un servidor web) usando una lista de hosts separados por
comas dentro de la propiedad PingHosts.
Ejemplo:

config setprop collectd PingHosts [Link],[Link]

signal-event nethserver-collectd-update

4.20 VPN

Una VPN (Virtual Private Network, Red Privada Virtual) le permite establecer una conexión segura y encriptada entre
dos o más sistemas usando una red pública, como la Internet.
El sistema admite dos tipos de VPN:
1. roadwarrior: o modo guerrero, conecta un cliente remoto a la red interna
2. net2net o tunel: conecta dos redes remotas

118 Capítulo 4. Módulos

 NethServer Documentation, Versión 7 Final

4.20.1 OpenVPN

OpenVPN le permite crear fácilmente conexiones VPN, que trae con numerosas ventajas, incluyendo:
Disponibilidad de clientes para varios sistemas operativos: Windows, Linux, Apple, Android, iOS
Múltiple NAT traversal, no necesita una IP estática dedicada en el firewall
Alta estabilidad
Configuración sencilla

Roadwarrior / guerrero

El servidor OpenVPN en modo roadwarrior - o modo guerrero - permite la conexión de varios clientes.
Los métodos de autenticación admitidos son:
Usuario y contraseña del sistema
Certificado
Usuario del sistema, contraseña y certificado
El servidor puede funcionar en dos modos: enrutado o puenteado. Usted debe elegir el modo puente solo si el túnel
debe llevar tráfico no-IP.
Para permitir que un cliente establezca una VPN:
1. Crear una nueva cuenta: se recomienda utilizar una cuenta VPN dedicada con certificado, evitando la necesidad
de crear un usuario del sistema.
Por otro lado, es obligatorio elegir una cuenta de sistema si desea utilizar la autenticación con nombre de usuario
y contraseña.
2. Descargue el archivo que contiene la configuración y los certificados.
3. Importe el archivo en el cliente e inicie la VPN.

Túnel (net2net)

When creating an OpenVPN net2net connection, a server will have the master role. All other servers are considered as
slaves (clients).
A client can be connected to another NethServer or any other firewall which uses OpenVPN.
All tunnels use OpenVPN routed mode, but there are two kind of topologies: subnet and p2p (Point to Point)
Topology: subnet
This is the recommended topology. In subnet topology, the server will accept connections and will act as DHCP server
for every connected clients.
In this scenario
the server will authenticate clients using TLS certificates
the server can push local routes to remote clients
the client will be able to authenticate with TLS certificates or user name and password

4.20. VPN 119

NethServer Documentation, Versión 7 Final

Topology: P2P
In p2p topology, the administrator must configure one server for each client.
In this scenario:
the only supported authentication method is the PSK (Pre-Shared Key). Please make sure to exchange the PSK
using a secure channel (like SSH or HTTPS)
the administrator must select an IP for both end points
routes to remote networks must be configured on each end point
To configure a tunnel, proceed as follow:
1. Access the tunnel server and open the OpenVPN tunnels page, move to Tunnel servers tab and click on Create
new button
2. Insert all required fields, but please note:
Public IPs and/or public FQDN, it’s a list of public IP addresses or host names which will be used by
clients to connect to the server over the public Internet
Local networks, it’s a list of local networks which will be accessible from the remote server. If topology is
set to p2p, the same list will be reported inside the client Remote networks field
Remote networks, it’s a list of networks behind the remote server which will be accessible from hosts in
the local network
3. After the configuration is saved, click on the Download action and select Client configuration
4. Access the tunnel client, open the OpenVPN tunnels page, move to Tunnel clients tab, click on Upload button

Advanced features

The web interface allows the configuration of advanced features like:

on the client, multiple addresses can be specified inside the Remote hosts field for redundancy; the OpenVPN
client will try to connect to each host in the given order
WAN priority: if the client has multiple WAN (red interfaces), the option allows to select the order in which the
WAN will be used to connect to the remote server
protocol: please bear in mind that OpenVPN is designed to operate optimally over UDP, but TCP capability is
provided for situations where UDP cannot be used
cipher: the cryptographic algorithm used to encrypt all the traffic. If not explicitly selected, the server and client
will try to negotiate the best cipher available on both sides
LZO compression: enabled by default, can be disabled when using legacy servers or clients

Legacy mode

Tunnels can still be created also using Roadwarriors accounts.

Pasos a realizar en el servidor maestro:
Habilitar servidor roadwarrior
Cree una cuenta VPN solo para cada esclavo
Durante la creación de la cuenta, recuerde especificar la red remota configurada detrás del esclavo

120 Capítulo 4. Módulos

 NethServer Documentation, Versión 7 Final

Pasos a realizar en el esclavo:

Crear un cliente desde la página: guilabel: Cliente, especificando los datos de conexión al servidor maestro.
Copie y pegue el contenido de los certificados descargados desde la página de configuración principal.

4.20.2 IPsec

IPsec (IP Security) protocol is the “de facto” standard in VPN tunnels, it’s tipically used to create net to net tunnels
and it’s supported from all manufacturers. You can use this protocol to create VPN tunnels between a NethServer and
a device from another manufacturer as well as VPN tunnels between 2 NethServer.

Nota: IPSec is not designed to connect single hosts but for net2net configuration, this implies two gateways on both
ends (at least one red and one green interface).

Túnel (net2net)

IPsec is extremely reliable and compatible with many devices. In fact, it is an obvious choice when you need to create
net2net connections between firewalls of different manufacturers.
Unlike OpenVPN configuration, in an IPsec tunnel, firewalls are considered peers.
If you are creating a tunnel between two NethServer, given the firewalls A and B:
1. Configure the server A and specify the remote address and LAN of server B. If the Remote IP field is set to the
special value %any, the server waits for connections from the other endpoint.
2. Configure the second firewall B by mirroring the configuration from A inside the remote section. The special
value %any is allowed in one side only!
If an endpoint is behind a NAT, the values for Local identifier and Remote identifier fields must be set to custom unique
names prepended with @. Common names are the geographic locations of the servers, such as the state or city name.

4.21 Nextcloud

Nextcloud proporciona acceso universal a sus archivos a través de la web, su computadora o sus dispositivos móviles
dondequiera que se encuentre. También proporciona una plataforma para ver y sincronizar fácilmente sus contactos,
calendarios y marcadores en todos sus dispositivos y permite la edición básica directamente en la web.
Características principales:
preconfigurar Nextcloud con MariaDB y credencial de acceso predeterminada
Integración con usuarios y grupos del sistema NethServer
Datos de copia de seguridad automática con la herramienta nethserver-backup-data
customize https access url (custom virtual host)

4.21.1 Instalación

La instalación se puede culminar a través de la interfaz web de NethServer. Después de la instalación:

abrir la url [Link]

4.21. Nextcloud 121

NethServer Documentation, Versión 7 Final

use admin/Nethesis,1234 como credenciales por defecto

cambiar la contraseña por defecto
Todos los usuarios configurados dentro de cualquier proveedor de usuarios (ver Usuarios y grupos) pueden acceder
automáticamente a la instalación de NextCloud. Después de la instalación, se agrega un nuevo widget de aplicación al
panel de interfaz web NethServer.

Nota: Nextcloud update/upgrade procedure disables the apps to avoid incompatibility problems. Server logs keep
track of which apps were disabled. After a successful update/upgrade procedure you can use the Applications page to
update and re-enable the apps.

Nota: Nextcloud version 13 uses new PHP 7.1 (nethserver-rh-php71-php-fpm) while older version uses PHP 5.6
(nethserver-rh-php56-php-fpm). You can remove php56 version (if there are no dependency problems) with the com-
mand «yum remove nethserver-rh-php56-php-fpm».

Lista de usuarios

Todos los usuarios se enumeran dentro del panel del administrador de NextCloud usando un identificador único que
contiene letras y números. Esto se debe a que el sistema asegura que no hay nombres de usuario internos duplicados
como se informó en la sección Nombre de usuario interno de Official NextCloud documentation.

Nota: Si NethServer es unido a un proveedor de cuentas Directorio Activo remoto, se necesita una cuenta AD dedicada
para que el módulo esté completamente operativo. Ver Unirse a un dominio de Active Directory existente.

4.21.2 Custom Virtual Host

To customize the Nextcloud web url:

config setprop nextcloud VirtualHost [Link]

config setprop nextcloud TrustedDomains [Link]
signal-event nethserver-nextcloud-update

If you use let’s encrypt remember to add the domain name to the proper list.

4.21.3 Dominios confiables

Los dominios de confianza son una lista de dominios en los que los usuarios pueden iniciar sesión. Los dominios de
confianza predeterminados son:
nombre de dominio
dirección ip
Para añadir uno nuevo use:

config setprop nextcloud TrustedDomains [Link]

signal-event nethserver-nextcloud-update

Para agregar más de uno, concatene los nombres con una coma.

122 Capítulo 4. Módulos

 NethServer Documentation, Versión 7 Final

4.22 FTP

Nota: El protocolo FTP es inseguro: la contraseña se envía en texto claro.

El servidor FTP permite transferir archivos entre cliente y servidor.

Un usuario FTP puede ser virtual o un sistema de usuarios. Los usuarios virtuales sólo pueden acceder al servidor
FTP. Esta es la configuración recomendada. La interfaz web sólo permite la configuración de usuarios virtuales.
Al acceder al servidor FTP, un usuario puede explorar todo el sistema de archivos según sus propios privilegios. Para
evitar la divulgación de información, el usuario FTP puede configurarse en una jaula mediante la opción chroot: el
usuario no podrá salir del directorio de la jaula.
Este comportamiento puede ser útil en caso de que una carpeta compartida se utilice como parte de un simple aloja-
miento web. Inserte la ruta de la carpeta compartida dentro del campo personalizado. Por ejemplo, dada una carpeta
compartida llamada mysite, rellene el campo con:

/var/lib/nethserver/ibay/mywebsite

El usuario FTP virtual sólo podrá acceder al directorio especificado.

4.22.1 Usuarios del sistema

Advertencia: Esta configuración es sumamente desalentadora

Después de habilitar los usuarios del sistema, todos los usuarios virtuales se desactivarán. Toda la configuración debe
hacerse utilizando la línea de comandos.
Habilitar usuarios del sistema:

config setprop vsftpd UserType system

signal-event nethserver-vsftpd-save

Dado un nombre de usuario goofy, primero asegúrese de que el usuario tiene acceso a shell remoto. A continuación,
habilite el acceso FTP:

db accounts setprop goofy FTPAccess enabled

signal-event user-modify goofy
signal-event nethserver-vsftpd-save

Para deshabilitar un usuario ya habilitado:

db accounts setprop goofy FTPAccess disabled

signal-event nethserver-vsftpd-save

Si no se deshabilita explícitamente, todos los usuarios del sistema son chrooted. Para deshabilitar un chroot por un
usuario del sistema:

db accounts setprop goofy FTPChroot disabled

signal-event nethserver-vsftpd-save

4.22. FTP 123

NethServer Documentation, Versión 7 Final

4.23 Phone Home

Durante el primer asistente de configuración, puede optar por no contribuir a las estadísticas de uso. Phone home
se utiliza para rastrear todas las instalaciones de NethServer en todo el mundo. Cada vez que se instala un nuevo
NethServer, esta herramienta envía algunos detalles de instalación a un servidor central. La información se almacena
en una base de datos y se utiliza para mostrar marcadores agradables en una vista de Google Map con el número de
instalación agrupada por país y versión.

4.23.1 Visión de conjunto

La herramienta está activada de forma predeterminada.

Para deshabilitarlo más adelante, ejecute: config setprop phone-home status disabled
Si phone home está habilitado, los datos enviados son:
UUID: guardado en /var/lib/yum/uuid
RELEASE: desde /sbin/e-smith/config getprop sysconfig Version
Todos los datos se utilizan para rellenar el mapa.

4.24 SNMP

The SNMP (Simple Network Management Protocol) protocol allows to manage and monitor devices connected to the
network. The SNMP server can reply to specific queries about current system status.
El servidor está deshabilitado de manera predeterminada
To enable it, you should set three main options:
el nombre de la comunidad SNMP
El nombre de la ubicación donde se encuentra el servidor
the name and email address of system administrator
The implementation is based on the Net-SNMP project. Please refer to the official project page for more information:
[Link]

Referencias

4.25 Punto de Acceso (Dedalo)

La meta principal del punto e acceso es proveedr conectividad via wi-fi a usuarios casuales. Los usuarios son enviados
a un portal captivo donde ellos puede acceder a la red autenticandose via redes sociales, sms o email. El servicio de
punto de acceso permite la regulacion, contabilidad y costeado del acceso a internet en lugares publicos, como puntos
de internet, hoteles, y ferias.
Caracteristicas principales:
Aislacion de redes entre la red corporativa y la de clientes.
Los invitados pueden autenticarse ellos mismos usando redes sociales (Facebook, Instagram, Linkedin) asi como
sms o login con email.

124 Capítulo 4. Módulos

 NethServer Documentation, Versión 7 Final

servicio pago basado en vales

Administrador del punto de acceso con diferentes tipo de permisos (Administrador, cliente, escritorio)
Limite de ancho de banda por usuario.
exportacion de lista de cuenta y reporte de conecciones (no implementado aun)

4.25.1 Como funciona?

La implementacion esta basada en 2 componentes:

un punto de acceso remoto con una Web grafica corriendo en un servidor en la nube que le permite:
• crear una instancia de punto de acceso: usualmente cada instancia se refiere a un lugar especifico ( Cafe,
Hotel Ritz, Bar, etc)
• editar la pagina del portal captivo
• Elegir que tipo de registro de usuarios usar
• ver sesiones de usuario logueados
una parte de cliente (dedalo) instalado en NethServer fisicamente conectado a los puntos de acceso de la red:
Asigna direcciones IP a los clientes de la red Wi-Fi y los redirige al portal capito para autenticacion.
Para informacion mas detallado por favor refierase a [Link] .

4.25.2 Como instalarlo

instalar los componentes del servidor: [Link] Este procedimiento usa

Vagrant para para proveer una instalacion de aplicacion (droplet) en Digital Ocean. Si usd. prefiere utilizar otro
proveedor de nube, edite el archivo Vagrant de acuerdo a sus necesidades.
configure el servidor de modo de hacer posible loguearse a: [Link]
instale los componentes de cliente en su NethServer: [Link]
por favor recuerde que la instalacion requiere al menos 3 interfaces ethernet:
• 1 para la red normal de clientes, marcada con el rol verde (ud la necesita aunque no se use, puede ser una
VLAN)
• 1 (o mas) para la coneccion a internet, marcada con el rol rojo
• 1 para el dedalo ,marcada con el rol punto de acceso

4.25.3 Configuracion

Interface de administracion de punto de acceso

ir al Administrador del punto de acceso

ir a la seccion de Managers y cree un nuevo Manager de tipo Reseller o Customer. Mas informacion acerca
de los Roles se puede encontrar aqui: [Link]
Salga del sistema y vuelva a ingresar con la nueva cuenta de administrador creada.
vaya a la seccion Hotspot y cree una nueva instancia de Punto de Acceso
haga click en el nombre del punto de acceso y configure el portal captivo

4.25. Punto de Acceso (Dedalo) 125

NethServer Documentation, Versión 7 Final

Unidad de punto de Acceso en NethServer

vaya a la seccion Hotspot Unit en NethServer

edite los parametros en la pagina de Hotspot unit registration:
• Host name : Nombre publico del punto de Acceso
• User name : usuario de una cuenta que este funcionando (revendedor o cliente)
• Password : contraseña
Luego de elegir una interface ethernet donde estara activo el punto de acceso.
Si ud. tiene activado un proxy web una opcion especifica de la configuracion del punto de acceso le habilitara a uds a
reenviar todo el trafico del punto de acceso (protocolos http y https) al servidor proxy web para propositos de registro
(Este atento de las implicaciones de privacidad).
conectar una un punto de acceso a la interface de punto de acceso.

Configuracion del punto de acceso

The Access Point (AP) must perform the sole function of enabling the connection with the firewall, they should behave
like an ordinary network switch. Follow these recommendations:
configurar el punto de acceso sin autenticacion y sin dhcp
disable any service (security services, etc.) in order to avoid interference with hotspot behavior
if you use more AP configure them with different SSID (eg: 1-SCHOOL / SCHOOL-2 / . . . ) in order to easily
identify any malfunctioning AP
configure the AP with a static IP address on a network segment (rfc-1918) different from the one used by the
hotspot
if possible, enable the «client isolation», to avoid traffic between clients connected to the access point
configure the AP to work on different channels to minimize interference, a good AP allow you to manage the
channels automatically or manually select them
do not use too shoddy products, low quality AP can cause frequent disconnections which impact on the quality
of the overall service, the recommendation is even more important if you are using repeaters
For test purposes only you can also connect a laptop or a pc via ethernet cable to the hotspot interface instead of a
Wi-Fi network. This can be very useful if you are experiencing problems and you want to check if they are caused by
the hotspot service or by the AP network.

Free Mode and Voucher Mode

The free mode (default) allows you to make login by yourself without the need of any code, just click on the desired
social (or sms, email).
The voucher mode force you to create a voucher (basically «a code») and give it to every user, only users with the
voucher will be allowed to make login.

4.26 FreePBX

FreePBX es un GUI (Interfaz Gráfica de Usuario) de código abierto basado en web, que controla y administra Asterisk
(PBX), un servidor de comunicaciones Open Source ([Link]

126 Capítulo 4. Módulos

 NethServer Documentation, Versión 7 Final

4.26.1 Instalación

Puedes instalar FreePBX desde el Centro de Software de NethServer, marcando el módulo llamado «FreePBX».
Todos los datos y configuraciones de FreePBX se guardan en la copia de seguridad de datos y configuración.

4.26.2 Acceso Web

Después de ser instalado, puedes acceder a FreePBX en [Link] desde redes verdes.
También puedes configurar el acceso desde redes rojas desde la página «PBX Access» desde el Panel de Control de
NethServer.

4.26.3 FwConsole

La fwconsole es una herramienta que permite al usuario realizar algunas tareas administrativas de FreePBX (con-
sulte wiki de FreePBX). Para usarlo con |producto| tienes que usarlo junto con scl:

/usr/bin/scl enable rh-php56 "/usr/sbin/fwconsole"

4.26.4 Documentación avanzada

Para más información, puedes leer la documentación de FreePBX en: [Link]

4.27 HotSync

Advertencia: HotSync should be considered a beta release. Please test it on your environment before using in
production.

HotSync aims to reduce downtime in case of failure, syncing your NethServer with another one, that will be manually
activated in case of master server failure.
Normally, when a hardware damage occurs, the time needed to restore service is:
1. fix/buy another server: from 4h to 2 days
2. install OS: 30 minutes
3. restore backup: from 10 minutes to 8 hours
In summary, users are able to start working again with data from the night before failure after a few hours/days. Using
hotsync, time 1 and 3 are 0, 2 is 5 minutes (time to activate spare server). Users are able to start working again in few
minutes, using data from a few minutes before the crash.
By default all data included in backup are synchronized every 15 minutes. MariaDB databases are synchronized too,
unless databases synchronization isn’t disabled. Applications that use PostgreSQL are synchronized (Mattermost,
Webtop5) unless databases synchronization isn’t disabled.

4.27. HotSync 127

NethServer Documentation, Versión 7 Final

4.27.1 Terminology

MASTER is the production system SLAVE is the spare server

SLAVE is switched on, with an IP address different than MASTER
Every 15 minutes, MASTER makes a backup on SLAVE
An email is sent to root (admin if mail server is installed)

4.27.2 Installation

Install nethserver-hotsync on both MASTER and SLAVE, execute from command line:

yum install nethserver-hotsync

4.27.3 Configuration

Master

[root@master]# config setprop rsyncd password <PASSWORD>

[root@master]# config setprop hotsync role master
[root@master]# config setprop hotsync SlaveHost <SLAVE_IP>
[root@master]# signal-event nethserver-hotsync-save

Slave

[root@slave]# config setprop rsyncd password <PASSWORD>

[root@slave]# config setprop hotsync role slave
[root@slave]# config setprop hotsync MasterHost <MASTER_IP>
[root@slave]# signal-event nethserver-hotsync-save

The <PASSWORD> must be the same on master and slave.

If mysql or postgresql are installed, they will be synchronized by default. To disable databases sync

[root@master]# config setprop hotsync databases disabled

[root@master]# signal-event nethserver-hotsync-save

Enabling/Disabling

Hotsync is enabled by default. To disable it:

[root@slave]# config setprop hotsync status disabled

[root@slave]# signal-event nethserver-hotsync-save

and to re-enable it:

[root@slave]# config setprop hotsync status enabled

[root@slave]# signal-event nethserver-hotsync-save

128 Capítulo 4. Módulos

 NethServer Documentation, Versión 7 Final

4.27.4 Restore: put SLAVE in production

The following procedure puts the SLAVE in production when the master has crashed.
1. switch off MASTER
2. if the SLAVE machine must run as network gateway, connect it to the router/modem with a network cable
3. on SLAVE, if you are connected through an ssh console, launch the screen command, to make your session
survive to network outages:

[root@slave]# screen

4. on SLAVE launch the following command, and read carefully its output

[root@slave]# hotsync-promote

5. go to Server Manager, in page Network and reassign roles to network interfaces as required
6. launch the command

[root@slave]# /sbin/e-smith/signal-event post-restore-data

7. update the system to the latest packages version

[root@slave]# yum clean all && yum -y update

8. if an USB backup is configured on MASTER, connect the backup HD to SLAVE

4.27.5 Supported packages

nethserver-nextcloud
nethserver-mysql
nethserver-dnsmasq
nethserver-squidguard
nethserver-pulledpork
nethserver-antivirus
nethserver-samba-audit
nethserver-freepbx > 14.0.3
nethserver-webtop5 (z-push state is not synchronized)
nethserver-collectd
nethserver-cups
nethserver-dc
nethserver-letsencrypt
nethserver-nextcloud
nethserver-sssd
nethserver-directory
nethserver-ibays

4.27. HotSync 129

NethServer Documentation, Versión 7 Final

nethserver-mail-server

4.28 Virtual machines

NethServer is capable of running virtual machines using KVM and libvirt, but it doesn’t provide a Web interface for
it.
Virtualization software can be installed and started using the command line, just execute:

yum install --setopt=[Link]=1 @virtualization-hypervisor @virtualization-

˓→tools @virtualization-platform

systemctl enable libvirtd

systemctl start libvirtd

If NethServer is used as DHCP server, the Dnsmasq instance launched by libvirtd will conflict with the default one.
To avoid such conflict, remove default libvirt NAT network:

systemctl stop dnsmasq

systemctl start libvirtd
virsh net-destroy default
virsh net-autostart default --disable
systemctl start dnsmasq

Finally, the system is ready to be managed using Virtual Machine Manager (virt-manager), a Linux desktop user
interface for managing virtual machines through libvirt.
Access virt-manager in your Linux desktop, then create a new connection to your NethServer using SSH protocol.

4.28.1 External resources

For more info see:

Virtual Machine Manager official site
Virtual Machine Manager on RHEL
Introduction to virtualization
KVM/Libvirt FAQ

4.29 Fail2ban

Fail2ban scans log files (e.g. /var/log/apache/error_log) and bans IPs that show the malicious signs – too
many password failures, seeking for exploits, etc. Generally Fail2Ban is then used to update firewall rules to reject the
IP addresses for a specified amount of time, although any arbitrary other action (e.g. sending an email) could also be
configured. Out of the box Fail2Ban comes with filters for various services (Apache, Dovecot, Ssh, Postfix, etc).
Fail2Ban is able to reduce the rate of incorrect authentications attempts however, it cannot eliminate the risk that weak
authentication presents. To improve the security, open the access to service only for secure networks using the firewall.

4.29.1 Installation

Install from the Software Center or use the command line:

130 Capítulo 4. Módulos

 NethServer Documentation, Versión 7 Final

yum install nethserver-fail2ban

4.29.2 Settings

Fail2ban is configurable in the security category of the server-manager. Most of settings can be changed in the Confi-
guration tab, only really advanced settings must be configured by the terminal.

Jails

A jail is enabled and start to protect a service when you install a new module, the relevant jail (if existing) is automa-
tically activated after the package installation.
All jails can be disabled individually in the Jails settings.
Number of attempts Number of matches (i.e. value of the counter) which triggers ban action on the IP.
Time span The counter is set to zero if no match is found within «findtime» seconds.
Ban Time Duration for IP to be banned for.
Recidive jail is perpetual When an IP goes several time in jail, the recidive jail bans it for a much longer time. If
enabled, it is perpetual.

Network

Allow bans on the LAN By default the failed attempts from your Local Network are ignored, except when you
enabled the option.
IP/Network Whitelisting IP listed in the text area will be never banned by fail2ban (one IP per line). Network could
be allowed in the Trusted-Network panel.

Email

Send email notifications Enable to send administrative emails.

Administrators emails List of email addresses of administrators (one address per line).
Notify jail start/stop events Send email notifications when a jail is started or stopped.

4.29.3 Unban IP

IPs are banned when they are found several times in log, during a specific find time. They are stored in a database to
be banned again each time your restart the server or the service. To unban an IP you can use the Unban IP tab in the
status category of the server-manager.

4.29.4 Statistics

The Ban statistics tab is available in the status category of the server-manager, it gives you the total number of bans
per jail as well as the total of all bans.

4.29. Fail2ban 131

NethServer Documentation, Versión 7 Final

4.29.5 Tools

Fail2ban-client

Fail2ban-client is part of the fail2ban rpm, it gives the state of fail2ban and all available jails:

fail2ban-client status

To see a specific jail :

fail2ban-client status sshd

To see which logfiles are monitored for a jail:

fail2ban-client get nginx-http-auth logpath

Fail2ban-listban

Fail2ban-listban counts the IPs currently and totally banned in all activated jails, at the end it shows the IPs which are
still banned by shorewall.

fail2ban-listban

Fail2ban-regex

Fail2ban-regex is a tool which is used to test the regex on you logs, it is a part of fail2ban software. Only one filter is
allowed per jail, but it is possible to specify several actions, on separate lines.
The documentation is readable at the fail2ban project.

fail2ban-regex /var/log/YOUR_LOG /etc/fail2ban/filter.d/YOUR_JAIL.conf --print-all-

˓→matched

You can also test custom regex directly:

fail2ban-regex /var/log/secure '^%(__prefix_line)s(?:error: PAM: )?[aA]uthentication

˓→(?:failure|error) for .* from <HOST>( via \S+)?\s*$'

Fail2ban-unban

Fail2ban-unban is used to unban an IP when the ban must be removed manually.

fail2ban-unban <IP>

You can use also the built-in command with fail2ban-client:

fail2ban-client set <JAIL> unbanip <IP>

4.29.6 Whois

If you desire to query the IP whois database and obtain the origin of the banned IP by email, you could Install the
whois rpm.

132 Capítulo 4. Módulos

 NethServer Documentation, Versión 7 Final

4.30 Rspamd

Rspamd is the new anti-spam engine of NethServer, it replaces SpamAssassin and Amavisd-new.
The official documentation of Rspamd is available at [Link]
You need to install the Email module from the Software center page. The menu where to activate it and modify its
settings is on the Email > Filter page. You can read more in the Email filter section.

4.30.1 Rspamd Web Interface

The anti-spam component is implemented by Rspamd which provides its administrative web interface at

[Link]

The actual URL is listed under the Applications page. By default access is granted to members of the domain
admins group and to the admin user (see also Cuenta de administrador). An additional special login rspamd
can be used to access it. Its credentials are available from Email > Filter > Rspamd user interface (Web URL): just
follow the given link.
The Rspamd web UI:
displays messages and actions counters,
shows the server configuration,
tracks the history of recent messages,
allows training the Bayes filter by submitting a message from the web form.

Status

It is the landing menu, the global statistics are available on the Rspamd service.

Troughput

The graphics are displayed in this menu to explain the activity of the anti-spam software. You can adjust the time scale
(hourly, daily, weekly, montly) and modify some other settings to refine the graphics

Configuration

The Configuration > Lists menu is useful to edit lists of allowed IP/Domain/mime for the modules, you will find:
SURBL
mime list types
SPF_DKIM
DMARC
DKIM
SPF
When you want to create an exception list in a module, you could give the path /var/lib/rspamd/, the list will
be editable by the Rspamd web interface.

4.30. Rspamd 133

NethServer Documentation, Versión 7 Final

Symbols

Rspamd use a concept of symbols which will increase or decrease the spam score when the rule has matched. The
symbol weight is modifiable, negative score are for good email, positive are for spam.

Find the matching symbols

The convenient way is to use the History > History menu.

Modify a symbol weight

An easier way to change the symbol weight is to use the Rspamd WebUI: Symbols > Symbols and rules. A search box
is available, you could use it to display the symbol and modify its weight.
Symbol score for spam is in red (positive score)
Symbol score for ham is in green (negative score)
If you want to remove the custom settings, you could edit the file /var/lib/rspamd/rspamd_dynamic or
remove them in the Rspamd Web Interface: Configuration > Lists > rspamd_dynamic
You could redefine manually the scores defined in /etc/rspamd/scores.d/*_group.conf where they are
placed by a symbol’s group. Like for the modules, you could overwrite the setting in /etc/rspamd/local.d/
*_group.conf or /etc/rspamd/override.d/*_group.conf.
Priority order

scores.d/*_group.conf < local.d/*_group.conf < override.d/*_group.conf

Learning

The purpose of the Learning Menu is to train the Bayes filter, you could use directly the source of the email in the
relevant text area to make learn to rspamd if the email is a spam or a ham.

Scan

The Scan menu can be used to scan directly an email and check its score and the matching symbols.

History

The Rspamd web Interface could be used to display the action done and the spam score against an email, see History
> History
You could display a list of symbols by clicking on the email field, it will help you to understand the action done (reject,
add_header, no_action, rewrite_subject, greylist) and gather useful informations like:
the sender
the recipient
the subject
the full score

134 Capítulo 4. Módulos

 NethServer Documentation, Versión 7 Final

4.30.2 Modules

Rspamd comes with a modular approach, all modules are not enabled by default and are customisable by the system
administrator. The default settings are in the file /etc/rspamd/modules.d/MODULE_NAME.conf, relevant to
the module name.
For a particular need, you can look the documentation with the list of modules.

Disable a module

You must disable a module only with a good reason. For example the ip_score module could give a high spam score
due to the IP of the email sender, if it is blacklisted.
In that example we could disable the module but many modules (like ip_score) implement a white list to do not check
an ip or a domain against the spam filter.
Create a file (relevant to the module name) /etc/rspamd/override.d/MODULE_NAME.conf with

enabled = false;

Restart Rspamd

systemctl restart rspamd

Modify the settings of a module

All the default settings of a module are in /etc/rspamd/modules.d/MODULE_NAME.conf, NethServer uses

/etc/rspamd/local.d/MODULE_NAME.conf to modify these parameters. Therefore the prefered way is to
use /etc/rspamd/override.d/MODULE_NAME.conf to either change the Rspamd and NethServer default
settings. The override file uses the new parameter with a high preference, all former settings are kept.
Priority order:

modules.d/MODULE_NAME.conf < local.d/MODULE_NAME.conf < override.d/MODULE_NAME.conf

In that example we want to implement a list of IP to allow them in the ip_score module.
Create a file /etc/rspamd/override.d/ip_score.conf with

whitelist = "[Link]

Restart rspamd

systemctl restart rspamd

The whitelist is editable in the rspamd UI at Configuration > Lists > ip_score_whitelist

Nota: The folder /var/lib/rspamd is owned by Rspamd, all files here are modifiable by the software

4.30.3 Frequently asked questions

The official Rspamd FAQ could have the answer to your questions. Please see [Link]

4.30. Rspamd 135

NethServer Documentation, Versión 7 Final

4.31 Email module transition to Rspamd

Since NethServer 7.5.1804 new Correo electrónico, Conector POP3 and POP3 proxy installations are based on the
Rspamd1 filter engine.
Previous NethServer installations are automatically upgraded to Rspamd as described by this section.
New configuration features, specific to the Rspamd-based implementation, are documented in Correo electróni-
co. Here is a brief list:
• DKIM signature
• Rspamd web UI
• Greylist threshold3

4.31.1 Feature changes

Append a legal notice

The Email > Domains > Append a legal note to sent messages (also known as «Disclaimer») feature was split in a
separate, optional package: nethserver-mail2-disclaimer. New installations should avoid it, as it relies on
an old package4 that can be removed in future releases.

Block port 25

The block of port 25 can prevent abuse/misuse by LAN machines. If the system is acting as the LAN network gateway,
the administrator can create a firewall rule inside the Reglas page.

Additional host name aliases

The following host name aliases were automatically registered in the local DNS service, if the postfix/
MxRecordStatus was enabled:
smtp.<domain>
imap.<domain>
pop.<domain>
pop3.<domain>
When upgraded from an old Email module based on Amavisd, the postfix/MxRecordStatus is removed and
those aliases are pushed as self records in the hosts DB. They can be edited from DNS > Server alias page.

MX record for LAN clients

The new Email module implementation based on Rspamd does not push the MX record override for LAN hosts any
more. Ensure the LAN mail user agents are configured to use SMTP/AUTH or are listed in Email > SMTP access >
Allow relay from IP addresses before upgrading.
1Rspamd – Fast, free and open-source spam filtering system. [Link]
3Greylisting is a method of defending e-mail users against spam. A mail transfer agent (MTA) using greylisting will «temporarily reject» any
email from a sender it does not recognize – Wikipedia
4 alterMIME is a small program which is used to alter your mime-encoded mailpack – [Link]

136 Capítulo 4. Módulos

 NethServer Documentation, Versión 7 Final

4.31.2 Upgrade procedures

Manual upgrade procedures are no longer needed: upgrade occurs automatically.

After the upgrade the old anti-spam engine services provided by amavisd and spamassassin are stopped and their
packages can be removed.
To clean up the old anti-spam rpms type

yum remove amavisd-new spamassassin

References

4.31. Email module transition to Rspamd 137

NethServer Documentation, Versión 7 Final

138 Capítulo 4. Módulos

 CAPÍTULO 5

Módulos NethForge

5.1 SOGo

Nota: This package is not supported in NethServer Enterprise

SOGo is a fully supported and trusted groupware server with a focus on scalability and open standards. SOGo is
released under the GNU GPL/LGPL v2 and above. SOGo provides a rich AJAX-based Web interface and supports
multiple native clients through the use of standard protocols such as CalDAV, CardDAV and GroupDAV, as well as
Microsoft ActiveSync. SOGo is the missing component of your infrastructure; it sits in the middle of your servers
to offer your users a uniform and complete interface to access their information. It has been deployed in production
environments where thousands of users are involved.

Nota: SOGo provides EAS (Exchange ActiveSync) support, but not EWS (Exchange Web Service). Outlook 2013,
2016 for Windows works well with EAS. Mainstream mobile devices (iOS, Android, BlackBerry 10) work well with
EAS, they can sync mails, calendars, contacts, tasks. Apple [Link], and Outlook for Mac support EWS. But not
EAS. Clients work very well with POP3/IMAP account, caldav/carddav account

Advertencia: nethserver-sogo doesn’t integrate OpenChange and Samba4 for native MAPI support, so
SOGo groupware doesn’t provide full support for Microsoft Outlook clients, Mac OS X [Link] and all iOS
devices, don’t try to add your mail account as an Exchange account in these mail clients. You have to add account
as POP3/IMAP account, caldav/carddav account instead.

5.1.1 Installation

Nota: You need first to set an account provider which can be local (nethserver-directory for openldap or nethserver-dc
for Samba AD) or remote (whatever openldap or samba AD choice). You cannot mix your choice by openldap and

139
NethServer Documentation, Versión 7 Final

Samba AD, preferably if you plan to host samba shares with user authentication, you need samba AD (nethserver-dc)

Then install from the Software Center or use the command line:

yum install nethserver-sogo

5.1.2 Official documentation

Please read official documentation: your solution is in this book.

5.1.3 Usage

The URL of the groupware is [Link] You can use the “username or username@domain.
com for login.

5.1.4 Esmith database

You can modify the available properties of SOGo:

sogod=service
ActiveSync=enabled
AdminUsers=admin
BackupTime=30 0
Certificate=
Dav=enabled
DraftsFolder=Drafts
IMAPLoginFieldName=userPrincipalName
MailAuxiliaryUserAccountsEnabled=YES
Notifications=Appointment,EMail #'Folder'/'ACLs'/'Appointment'
SOGoInternalSyncInterval=10
SOGoMaximumPingInterval=10
SOGoMaximumSyncInterval=30
SOGoMaximumSyncResponseSize=2048
SOGoMaximumSyncWindowSize=100
SentFolder=Sent
SxVMemLimit=512
TrashFolder=Trash
VirtualHost=
WOWatchDogRequestTimeout=10
WOWorkersCount=10
status=enabled

Properties:
AdminUsers: Parameter used to set which usernames require administrative privileges over all the users tables.
BackupTime: Time to launch the backup, by default (“30 0”)each day at 00h30, you can change it if you set a
cron compatible value * *
DraftsFolder: name of draft folder, default is ‘Drafts’
IMAPLoginFieldName: adjust the imap login field to your good trusted value in your ldap (see https:
//[Link]/t/sogo-and-ad-brainstorming/8024/31)
SentFolder: name of the sent folder, default is ‘Sent’

140 Capítulo 5. Módulos NethForge

 NethServer Documentation, Versión 7 Final

TrashFolder: name of the trash folder, default is ‘Trash’

WOWorkersCount: The amount of instances of SOGo that will be spawned to handle multiple requests simulta-
neously
MailAuxiliaryUserAccountsEnabled: Parameter used to activate the auxiliary IMAP accounts in SOGo. When
set to YES, users can add other IMAP accounts that will be visible from the SOGo Webmail interface.
Notifications: enabled notifications. The value is a comma separated list. Default value is “Appointment, EMail”
Notes
Terms highlighted in bold are documented in SOGo installation and configuration guide.
AdminUsers comma separated list of accounts allowed to bypass SOGo ACLs. See SOGoSuperUsernames
key
Notifications comma separated list of values (no spaces between commas). Known item names are ACLs,
Folders, Appointments. See SOGoSendEMailNotifications
{Drafts,Sent,Trash}Folder See respective SOGoFolderName parameters
VirtualHosts SOGo is reachable from the default host name plus the host (FQDN) listed here. The host key
is generated/removed in hosts DB, with type=self automatically.

5.1.5 Access SOGo on an exclusive hostname

To make SOGo accessible with an exclusive DNS hostname:

In “DNS and DHCP” UI module (Hosts), create the DNS host name as a server alias (i.e. [Link])
Add the host name to sogod/VirtualHost prop list:

config setprop sogod VirtualHost [Link]

signal-event nethserver-sogo-update

Same rule applies if SOGo must be accessible using server IP address. For example:

config setprop sogod VirtualHost [Link]

signal-event nethserver-sogo-update

If the VirtualHost prop is set, requests to the root (i.e. [Link]) are redirected to the (mandatory) /SOGo
subfolder ([Link]/SOGo).
It is also possible to use a custom certificate for this virtualhost:

config setprop sogod Certificate [Link]

signal-event nethserver-sogo-update

5.1.6 Maximum IMAP command

Maximum IMAP command line length in kilo bytes. Some clients generate very long command lines with huge
mailboxes, so you may need to raise this if you get «Too long argument» or «IMAP command line too large» errors
often.
Set by default to 2048KB:

config setprop dovecot ImapMaxLineLenght 2048

signal-event nethserver-sogo-update

5.1. SOGo 141

NethServer Documentation, Versión 7 Final

5.1.7 ActiveSync

According to this WebTop vs SOGo, WebTop and SOGo can be installed on the same machine, although it is discoura-
ged to keep such setup on the long run.
ActiveSync is enabled by default on SOGo and WebTop. At installation of SOGo, Webtop-ActiveSync is disabled and
SOGo will take precedence.
SOGo-ActiveSync can be disabled in the server-manager at the SOGo-panel or with:
config setprop sogod ActiveSync disabled
signal-event nethserver-sogo-update

To enable ActiveSync on WebTop:

config setprop webtop ActiveSync enabled
signal-event nethserver-webtop5-update

To enable ActiveSync on SOGo again:

config setprop sogod ActiveSync enabled
signal-event nethserver-sogo-update

5.1.8 Backup

Each night (by default) a cron run to backup user data (filter rules, specific settings, events, contacts) and save it to
/var/lib/sogo/backups you can restore the data with a tool sogo-restore-user, for example:
sogo-restore-user /var/lib/sogo/backups/sogo-2017-12-10_0030/ stephane

or for all users

sogo-restore-user /var/lib/sogo/backups/sogo-2017-12-10_0030/ -A

if you want to change the time of your backup for example (in this example, run at 4h01 AM):
config setprop sogod BackupTime '1 4'
signal-event nethserver-sogo-update

5.1.9 Fine tuning

Adjust Setting

SOGo must be tuned following the number of users, some settings can be tested.

Nota: Keep in mind to set one worker per user for the activesync connection.

100 users, 10 EAS devices:

config setprop sogod WOWorkersCount 15
config setprop sogod SOGoMaximumPingInterval 3540
config setprop sogod SOGoMaximumSyncInterval 3540
config setprop sogod SOGoInternalSyncInterval 30
signal-event nethserver-sogo-update

142 Capítulo 5. Módulos NethForge

 NethServer Documentation, Versión 7 Final

100 users, 20 EAS devices:

config setprop sogod WOWorkersCount 25

config setprop sogod SOGoMaximumPingInterval 3540
config setprop sogod SOGoMaximumSyncInterval 3540
config setprop sogod SOGoInternalSyncInterval 40
signal-event nethserver-sogo-update

1000 users, 100 EAS devices:

config setprop sogod WOWorkersCount 120

config setprop sogod SOGoMaximumPingInterval 3540
config setprop sogod SOGoMaximumSyncInterval 3540
config setprop sogod SOGoInternalSyncInterval 60
signal-event nethserver-sogo-update

Increase sogod log verbosity

Read the SOGo FAQ for other debugging features.

SOGo floods /var/log/messages

You can see this log noise in /var/log/message:

Dec 4 12:36:01 ns7ad1 systemd: Created slice User Slice of sogo.

Dec 4 12:36:01 ns7ad1 systemd: Starting User Slice of sogo.
Dec 4 12:36:01 ns7ad1 systemd: Started Session 163 of user sogo.
Dec 4 12:36:01 ns7ad1 systemd: Starting Session 163 of user sogo.
Dec 4 12:36:01 ns7ad1 systemd: Removed slice User Slice of sogo.
Dec 4 12:36:01 ns7ad1 systemd: Stopping User Slice of sogo.

These messages are normal and expected – they will be seen any time a user logs in. To suppress these log entries in
/var/log/messages, create a discard filter with rsyslog, e.g., run the following command:

echo 'if $programname == "systemd" and ($msg contains "Starting Session" or $msg
˓→contains "Started Session" or $msg contains "Created slice" or $msg contains

˓→"Starting User" or $msg contains "Removed slice User" or $msg contains "Stopping

˓→User") then stop' > /etc/rsyslog.d/[Link]

and restart rsyslog

systemctl restart rsyslog

this solution comes from RedHat solution

5.1.10 Clients

Android

Currently you have 2 ways to integrate your Android device with Sogo.

5.1. SOGo 143

NethServer Documentation, Versión 7 Final

Integration via Caldav /Cardav/imap

Nota: The drawback is that you need to set all settings (Url/Username/Password) in each application.

Email
Imaps(over ssl) is a good choice, you can use the K9-mail software to retrieve your email or the default email applica-
tion
Contacts and calendars
There are various working clients, including DAVdroid (open-source) and CalDAV-Sync/CardDav-Sync. Advantages
Full integration into Android, so that almost all calendar and contacts apps can access synchronized data.

Integration via ExchangeActiveSync

Nota: The advantage is that you set the Url/Username/Password only in one location

Step-by-step configuration

Open the account menu, choose add an exchange account

Fill your full email address and password in Account Setup page:
If it asks you to choose Account Type, please choose Exchange:
In detailed account setup page, fill up the form with your server address and email account credential
• DomainUsername: your full email address
• Password: password of your email account
• Server: your server name or IP address
• Port: 443

Nota: Please also check Use secure connection (SSL) and Accept all SSL certificates

In Account Settings page, you can choose Push. it’s all up to you.
Choose a name for your Exchange account.
Click Next to finish account setup. That’s all.

Mozilla Thunderbird and Lightning

Alternatively, you can access SOGo with a GroupDAV and a CalDAV client. A typical well-integrated setup is to
use Mozilla Thunderbird and Mozilla Lightning along with Inverse’s SOGo Connector plug in to synchronize your
address books and the Inverse’s SOGo Integrator plug in to provide a complete integration of the features of SOGo into
Thunderbird and Lightning. Refer to the documentation of Thunderbird to configure an initial IMAP account pointing
to your SOGo server and using the user name and password mentioned above.

144 Capítulo 5. Módulos NethForge

 NethServer Documentation, Versión 7 Final

With the SOGo Integrator plug in, your calendars and address books will be automatically discovered when you login
in Thunderbird. This plug in can also propagate specific extensions and default user settings among your site. However,
be aware that in order to use the SOGo Integrator plug in, you will need to repackage it with specific modifications.
Please refer to the documentation published online.
If you only use the SOGo Connector plug in, you can still easily access your data.
To access your personal address book:
Choose Go > Address Book.
Choose File > New > Remote Address Book.
Enter a significant name for your calendar in the Name field.
Type the following URL in the URL field: [Link]
Click on OK.
To access your personal calendar:
Choose Go > Calendar.
Choose Calendar > New Calendar.
Select On the Network and click on Continue.
Select CalDAV.
Type the following URL in the URL field: [Link]
Click on Continue.

Windows Mobile

The following steps are required to configure Microsoft Exchange ActiveSync on a Windows Phone:
Locate the Settings options from within your application menu.
Select Email + Accounts.
Select Add an Account.
Select the option for Advanced Setup.
Enter your full email address and password for your account. Then press the sign in button.
Select Exchange ActiveSync.
Ensure your email address remains correct.
Leave the Domain field blank.
Enter the address for Server (domain name or IP)
Select the sign in button.
You might need to accept all certificats, if you are not able to sync
Once connected, you will see a new icon within your settings menu with the name of your new email account.

5.1. SOGo 145

NethServer Documentation, Versión 7 Final

Outlook

You can use it with

IMAP + commercial plugin as cfos or outlookdav for calendars/contacts
ActiveSync since Outlook 2013
There is no support for Openchange/OutlookMAPI.

5.1.11 Nightly build

SOGo is built by the community, if you look to the last version, then you must use the nightly built. This version is not
considered as stable, but bugs are fixed quicker than in stable version. You are the QA testers :)

NethServer 7 - SOGo 3

Execute:

sudo rpm --import '[Link]

sudo rpm -ivh [Link]
sudo cat >/etc/[Link].d/[Link] <<EOF
[sogo3]
name=SOGo Repository
baseurl=[Link]
gpgcheck=1
EOF

Then to install:

yum install nethserver-sogo --enablerepo=sogo3

5.1.12 Issues

Please raise issues on [Link].

5.1.13 Sources

Source are available [Link]

Developer manual on github.

146 Capítulo 5. Módulos NethForge

 CAPÍTULO 6

Mejores prácticas

6.1 Software de terceros

Puede instalar cualquier certificado CentOS/RHEL software de terceros en NethServer.

Si el software es de 32 bits solamente, debe instalar las bibliotecas de compatibilidad antes de instalar el software. Las
bibliotecas relevantes deben ser:
glibc
glib
libstdc++
zlib
Por ejemplo, para instalar los paquetes mencionados anteriormente:

yum install glibc.i686 libgcc.i686 glib2.i686 libstdc++.i686 zlib.i686

6.1.1 Instalación

Si el software es un paquete RPM, utilice yum para instalarlo: el sistema se encargará de resolver todas las dependen-
cias necesarias.
En caso de que una instalación de yum no sea posible, el mejor directorio de destino para software adicional está en
/opt. Por ejemplo, dado un software llamado mysoftware, instálelo en /opt/mysoftware.

6.1.2 Copia de seguridad

El directorio que contiene datos relevantes debe incluirse dentro de la copia de seguridad añadiendo una línea a /
etc/backup-data.d/[Link]. Véase Personalización de la copia de seguridad de datos.

147
NethServer Documentation, Versión 7 Final

6.1.3 Firewall

Si el software necesita algunos puertos abiertos en el firewall, cree un nuevo servicio llamado
fw_<softwarename>.
Por ejemplo, dado el software mysoftware que necesita los puertos 3344 y 5566 en LAN, utilice los siguientes coman-
dos:

config set fw_mysoftware service status enabled TCPPorts 3344,5566 access green
signal-event firewall-adjust
signal-event runlevel-adjust

6.1.4 Inicio y detención

NethServer utiliza el destino multiusuario estándar para systemd.

El software instalado con yum ya debería estar configurado para iniciarse al arrancar. Para comprobar la configuración,
ejecute el comando systemctl. Este mostrará una lista de servicios con su propio estado.
Para habilitar un servicio en boot:

systemctl enable mysoftware

Para deshabilitar un servicio en boot:

systemctl disable mysoftware

148 Capítulo 6. Mejores prácticas

 CAPÍTULO 7

Apéndice

7.1 Migración del servidor NethService/SME

Migration is the process to convert a SME Server/NethService machine (source) into a NethServer (destination). It
can be achieved from a backup or using rsync.

Nota: No se migra ninguna plantilla personalizada durante el proceso de migración. Compruebe los archivos de la
plantilla nueva antes de copiar cualquier fragmento personalizado de la copia de seguridad antigua.

Advertencia: Antes de ejecutar el procedimiento de migración, lea atentamente todas las secciones de este capí-
tulo.

7.1.1 Proveedor de cuentas

Debe configurar un proveedor de cuentas antes de iniciar el procedimiento de migración.

Si el sistema de origen se unió a un dominio de Active Directory (la función de servidor Samba era ADS),
configure un proveedor de cuentas remoto de Active Directory.
Si el sistema de origen era un Primary Domain Controller de NT (el rol del servidor de Samba era PDC), instale
un proveedor de cuentas Active Directory local.
Si el acceso a carpetas compartidas en el sistema de destino requiere autenticación de usuario, instale un pro-
veedor de cuentas Active Directory local.
En cualquier otro caso, instale un proveedor de cuentas LDAP local.
If you choose a local Active Directory accounts provider, remember to fully configure and start the DC before executing
the migration-import event. See Proveedores de cuentas.
Furthermore, the following accounts are ignored by the migration procedure because they are already provided by
Active Directory:

149
NethServer Documentation, Versión 7 Final

administrator
guest
krbtgt

7.1.2 Correo electrónico

Before running NethServer in production, some considerations about the network and existing mail client configura-
tions are required: what ports are in use, if SMTPAUTH and TLS are enabled. Refer to email_clients and Políticas
especiales de acceso SMTP sections for more information.
En una migración de servidor de correo, el servidor de correo de origen podría estar en producción incluso después
de que se haya realizado la copia de seguridad y los mensajes de correo electrónico continúan siendo entregados hasta
que se borran permanentemente.
Un script de ayuda basado en rsync es proporcionado por el paquete nethserver-mail-server. Se ejecuta en
el host de destino y sincroniza los buzones de destino con el host de origen:

Usage:
/usr/share/doc/nethserver-mail-server-<VERSION>/sync_maildirs.sh [-h] [-n] [-p] -
˓→s IPADDR

-h help message
-n dry run
-p PORT ssh port on source host (default 22)
-s IPADDR rsync from source host IPADDR
-t TYPE source type: sme8 (default), ns6

El host de origen en IPADDR debe ser accesible por el usuario root, a través de ssh con autenticación de clave
pública.

7.1.3 Apache

La configuración de la suite de cifrado SSL no se migra automáticamente porque el sistema de origen utiliza un
conjunto de cifrado débil de forma predeterminada. Para migrarlo manualmente, ejecute los siguientes comandos:

MIGRATION_PATH=/var/lib/migration
config setprop httpd SSLCipherSuite $(db $MIGRATION_PATH/home/e-smith/db/
˓→configuration getprop modSSL CipherSuite)

signal-event nethserver-httpd-update

7.1.4 Ibays

El concepto ibay ha sido reemplazado por Carpetas compartidas. Los protocolos soportados para acceder a Carpetas
compartidas son:
SFTP, proporcionado por el demonio sshd
Protocolo de intercambio de archivos SMB, típico de las redes de Windows, implementado por Samba

Advertencia: Read carefully the Carpetas compartidas section in the Actualizar desde NethServer 6 chapter,
because the connection credentials may change when migrating to NethServer 7.

150 Capítulo 7. Apéndice

 NethServer Documentation, Versión 7 Final

A partir de |product |version|, las carpetas compartidas no están configuradas para el acceso HTTP. Después del
evento migration-import, los ibays antiguos podrían migrarse de acuerdo con las siguientes reglas empíricas:
1. Si el ibay era un host virtual, instale el módulo «Servidor web» desde la página Centro de software. Copie el
contenido ibay en el directorio raíz del host virtual. Refiérase a Hosts virtuales.
2. Si el acceso ibay estaba restringido con una contraseña secreta (por ejemplo, para compartir contenido con un
grupo de personas a través de Internet), la página Hosts virtuales todavía ofrece la misma característica. También
el módulo Nextcloud podría ser un buen sustituto.
3. Si el contenido ibay era accesible con una URL como [Link] el procedimiento más
sencillo para mantenerlo funcionando es trasladarlo a la raíz del documento Apache:

mv -iv /var/lib/nethserver/ibay/ibayname /var/www/html/ibayname

chmod -c -R o+rX /var/www/html/ibayname
db accounts delete ibayname
signal-event nethserver-samba-update

After migration, ibays will retain a backward compatibile profile. To take advantage of new features, including Samba
Audit, the ibay configuration must be switched to the new profile. From command line execute:

db accounts setprop ibay_name SmbProfileType default

signal-event ibay-mody ibay_name

Where ibay_name is the name of the ibay to configure.

7.1.5 Migration from backup

1. En el host de origen, cree un archivo de copia de seguridad completo y muévalo al host de destino.
2. En el host de destino, instale todos los paquetes que cubran las mismas características del origen.
3. Descargar el archivo de copia de seguridad completo en algún directorio; Por ejemplo, cree el directorio /var/
lib/migration.
4. En el host de destino, señale el evento migration-import:

signal-event migration-import /var/lib/migration

Este paso requerirá algún tiempo.

5. Compruebe si hay algún mensaje de error en /var/log/messages:

grep -E '(FAIL|ERROR)' /var/log/messages

7.1.6 Migration with rsync

The process is much faster than migrating from a backup.

Before starting make sure to have:
a running NethService/SME installation, we will call it original server or source server
a running NethServer 7 installation with at least the same disk space of the source server, we will call it destina-
tion server
a working network connection between the two severs
Please also make sure the source server allows root login via SSH key and password.

7.1. Migración del servidor NethService/SME 151

NethServer Documentation, Versión 7 Final

Sync files

The synchronization script copies all data using rsync over SSH. Files are saved inside /var/lib/migration
directory. If the destination server doesn’t have any SSH keys, the script will also create a pair of RSA keys and copy
the public key to the source server. All directories excluded from the backup data will not be synced.
On the target machine, execute the following command:

screen rsync-migrate <source_server_name> [ssh_port]

Where
source_server_name is the host name or IP of the original server
ssh_port is the SSH port of the original server (default is 22)
Example:

screen rsync-migrate [Link] 2222

When asked, insert the root password of the source server, make a coffee and wait patiently.
The script will not perform any action on the source machine and can be invoked multiple times.

Sync and migrate

If called with -m option, rsync-migrate will execute a final synchronization and upgrade the target machine.
Before executing the final migration, install all packages that cover the same features of the source.
Example:

screen rsync-migrate -m [Link] 2222

The script will:

stop every service on the source machine (except for SSH)
execute the pre-backup event on the source machine
sync all remaining data
execute the migration-import event on the destination machine
At the end, check for any error message in /var/log/messages:

grep -E '(FAIL|ERROR)' /var/log/messages

7.2 Actualizar desde NethServer 6

The upgrade from NethServer 6 to NethServer 7 can be achieved from a backup (see also Recuperación de desastres )
or using rsync.

Advertencia: Before running the upgrade procedure, read carefully all the sections of this chapter. Please also
read Paquetes descontinuados.

152 Capítulo 7. Apéndice

 NethServer Documentation, Versión 7 Final

Nota: During the whole upgrade process, all network services will be inaccessible.

7.2.1 Proveedor de cuentas

Hay diferentes escenarios de actualización, dependiendo de cómo se configuró la máquina de origen.

Si el sistema fuente era un Controlador de Dominio Primario de NT (la función de servidor Samba era Primary
Domain Controller – PDC) o un servidor de archivos independiente (rol era Workstation – WS), refiérase a :ref
:pdc-upgrade-section.
Si el sistema de origen estaba unido a un dominio de Active Directory (la función de servidor Samba era miembro
de Active Directory – ADS), consulte Actualización de miembros de Active Directory.
En cualquier otro caso, el servidor LDAP se actualiza automáticamente al proveedor de cuentas LDAP local,
preservando usuarios, contraseñas y grupos existentes.

Actualización de Controlador de Dominio Principal y estación de trabajo

After the restore procedure, go to Accounts provider page and select the Upgrade to Active Directory procedure. The
button will be available only if network configuration has already been fixed accordingly to the new hardware.
The following accounts are ignored by the upgrade procedure because they are already provided by Samba Active
Directory:
administrator
guest
krbtgt
Una dirección IP adicional, libre de la red verde es requerida por el contenedor de Linux para ejecutar el proveedor
local de cuentas de Active Directory.
Por ejemplo:
server IP (green): [Link]
IP adicional libre en red verde:: [Link]
Asegúrese de que hay una conexión a Internet:

# curl -I [Link]
HTTP/1.1 200 OK

Para obtener más información sobre el proveedor local de cuentas de Active Directory, consulte Instalación del pro-
veedor local de Active Directory de Samba.
Shared folder connections may require further adjustment.

Advertencia: Read carefully the Carpetas compartidas section, because the connection credentials may change
when upgrading to NethServer 7.

The upgrade procedure preserves user, group and computer accounts.

7.2. Actualizar desde NethServer 6 153

NethServer Documentation, Versión 7 Final

Advertencia: Users not enabled for Samba in NethServer 6 will be migrated as locked users. To enable these
locked users, the administrator will have to set a new password.

Actualización de miembros de Active Directory

After restoring the configuration, join the server to the existing Active Directory domain from the web interface. For
more information see Unirse a un dominio de Active Directory existente.
At the end, proceed with data restore.

Advertencia: ¡Los alias de correo del servidor AD no se importan automáticamente!

7.2.2 Carpetas compartidas

Las carpetas compartidas se han dividido en dos paquetes:

«Shared folders» page configures only Samba SMB shares; it provides data access using CIFS/SMB protocol
and can be used to share files among Windows and Linux workstations
El panel «Virtual hosts» proporciona acceso HTTP y FTP, ha sido diseñado para alojar sitios web y aplicaciones
web

SMB access

In NethServer 7 the SMB security model is based on Active Directory. As consequence when upgrading (or migrating)
a file server in Primary Domain Controller (PDC) or Standalone Workstation (WS) role the following rule apply:
When connecting to a shared folder, the NetBIOS domain name must be either prefixed to the user name
(i.e. MYDOMAIN\username), or inserted in the specific form field.
The upgrade procedure enables the deprecated1 NTLM authentication method to preserve backward compatibility
with legacy network clients, like printers and scanners.

Advertencia: Fix the legacy SMB clients configuration, then disable NTLM authentication.
Edit /var/lib/machines/nsdc/etc/samba/[Link]
Remove the ntlm auth = yes line
Restart the samba DC with systemctl -M nsdc restart samba

HTTP access

Cada carpeta compartida con acceso a la web configurada en NethServer 6 se puede migrar a un host virtual directa-
mente desde la interfaz web seleccionando la acción Migrar a host virtual. Después de la migración, los datos dentro
del nuevo host virtual serán accesibles usando sólo protocolos FTP y HTTP.
See also Hosts virtuales for more information about Virtual hosts page.
1 Badlock vulnerability [Link]

154 Capítulo 7. Apéndice

 NethServer Documentation, Versión 7 Final

7.2.3 Mail server

All mailboxes options like SPAM retention and quota, along with ACLs, user shared mailboxes and subscriptions are
preserved.
Mailboxes associated to groups with Deliver the message into a shared folder option enabled, will be converted to
public shared mailboxes. The public shared folder will be automatically subscribed by all group members, but all
messages will be marked as unread.

7.2.4 TLS policy

In NethServer 7 the services configuration can adhere to Política de TLS. Before upgrading, the network clients must
be checked against the available policy identifiers.

Advertencia: An old network client can fail to connect if its TLS ciphers are considered invalid

The policy identifier selected by the upgrade procedure depends on the NethServer version and is documented in Notas
de lanzamiento 7.

7.2.5 Let’s Encrypt

Let’s Encrypt certificates are restored during the process, but will not be automatically renewed.
After the upgrade process has been completed, access the web interface and reconfigure Let’s Encrypt from the Server
certificate page.

7.2.6 Owncloud y Nextcloud

En NethServer 7, Owncloud ha sido sustituido oficialmente por Nextcloud.

However Owncloud 7 is still available to avoid service disruption after the upgrade.

Nota: In case of upgrade from local LDAP to Samba AD, user data inside Owncloud will not be accessible either
from the web interface or desktop/mobile clients. In such case, install and migrate to Nextcloud after the upgrade to
Samba Active Directory has been completed.

From Nextcloud 13, the migration from Owncloud to Nextcloud is not supported anymore.
Users should replace Owncloud clients with Nextcloud ones2 , then make sure to set the new application URL:
[Link]

7.2.7 Perl libraries

In NethServer 7, perl library NethServer::Directory has been replaced by NethServer::Password. Plea-

se update your custom scripts accordingly.
Example of old code:
2 Nextcloud clients download [Link]

7.2. Actualizar desde NethServer 6 155

NethServer Documentation, Versión 7 Final

use NethServer::Directory;
NethServer::Directory::getUserPassword('myservice', 0);

New code:
use NethServer::Password;
my $password = NethServer::Password::store('myservice');

Documentation available via perldoc command:

perldoc NethServer::Password

7.2.8 Upgrade from backup

1. Asegúrese de tener una copia de seguridad actualizada de la instalación original.

2. Install NethServer 7 and complete the initial steps using the first configuration wizard. The new machine must
have the same hostname of the old one, to access the backup set correctly. Install and configure the backup
module.
3. Restore the configuration backup using the web interface. The network configuration is restored, too! If any
error occurs, check the /var/log/messages log file for further information:
grep -E '(FAIL|ERROR)' /var/log/messages

4. If needed, go to Network page and fix the network configuration accordingly to the new hardware. If the machine
was joined to an existing Active Directory domain, read Actualización de miembros de Active Directory.
5. Complete el procedimiento de restauración con el siguiente comando:
restore-data

6. Check the restore logs:

/var/log/[Link]
/var/log/messages

7. Each file under /etc/e-smith/templates-custom/ must be manually checked for compatibility with
version 7.

Advertencia: Do not reboot the machine before executing the restore-data procedure.

7.2.9 Upgrade with rsync

The process is much faster than a traditional backup and restore, also it minimizes the downtime for the users.
Before starting make sure to have:
a running NethServer 6 installation, we will call it original server or source server
a running NethServer 7 installation with at least the same disk space of the source server, and latest updates
installed; we will call it destination server
a working network connection between the two severs
Please also make sure the source server allows root login via SSH key and password.

156 Capítulo 7. Apéndice

 NethServer Documentation, Versión 7 Final

Sync files

The synchronization script copies all data using rsync over SSH. If the destination server doesn’t have any SSH keys,
the script will also a pair of RSA keys and copy the public key to the source server. All directories excluded from the
backup data will not be synced.
On the target machine, execute the following command:

screen rsync-upgrade <source_server_name> [ssh_port]

Where
source_server_name is the host name or IP of the original server
ssh_port is the SSH port of the original server (default is 22)
Example:

screen rsync-upgrade [Link] 2222

When asked, insert the root password of the source server, make a coffee and wait patiently.
The script will not perform any action on the source machine and can be invoked multiple times.

Sync and upgrade

If called with -u option, rsync-upgrade will execute a final synchronization and upgrade the target machine.
Example:

screen rsync-upgrade -u [Link] 2222

The script will:

close access to every network service on the source machine (except for SSH and httpd-admin)
execute pre-backup-config and pre-backup-data event on the source machine
sync all remaining data
execute restore-config on the destination machine
If rsync-upgrade terminates without loosing the network connection,
1. Disconnect the original ns6 from network, to avoid IP conflict with the destination server
2. Access the server manager UI and fix the network configuration from the Network page
Otherwise, if during rsync-upgrade the network connection is lost, it is likely that the source and destination
servers have an IP conflict:
1. Disconnect the original ns6 from network,
2. From a ns7 root console run the command:

systemctl restart network

3. Then grab the screen device:

screen -r -D

At the end of rsync-upgrade run the following steps:

7.2. Actualizar desde NethServer 6 157

NethServer Documentation, Versión 7 Final

1. Si el sistema fuente era un Controlador de Dominio Primario de NT (la función de servidor Samba era Primary
Domain Controller – PDC) o un servidor de archivos independiente (rol era Workstation – WS), refiérase a :ref
:pdc-upgrade-section.
2. Si el sistema de origen estaba unido a un dominio de Active Directory (la función de servidor Samba era miembro
de Active Directory – ADS), consulte Actualización de miembros de Active Directory.
3. Go back to the CLI and call the post-restore-data event on the destination machine:

signal-event post-restore-data

4. Check the restore logs for any ERROR or FAIL message:

/var/log/[Link]
/var/log/messages

5. Each file under /etc/e-smith/templates-custom/ must be manually checked for compatibility with
version 7.

Advertencia: Do not reboot the machine before executing the post-restore-data event.

7.3 Documentación de la licencia

Esta documentación se distribuye bajo los términos de la licencia Creative Commons - Attribution-

NonCommercial-ShareAlike 4.0 Internacional (CC BY-NC-SA 4.0). Usted es libre de:

Compartir - copiar y redistribuir el material en cualquier medio o formato
Adaptar - combinar, transformar y construir sobre el material
El licenciante no puede revocar estas libertades siempre y cuando siga los términos de la licencia.
Bajo los siguientes términos:
Atribución - Debe dar un crédito apropiado, proporcionar un enlace a la licencia e indicar si se realizaron
cambios. Puede hacerlo de cualquier manera razonable, pero no de ninguna manera que sugiera que el licenciante
lo respalda o su uso.
No comercial - No puede utilizar el material con fines comerciales.
Compartir igual - Si combinas, transformas o construyes el material, debes distribuir tus contribuciones bajo
la misma licencia que el original.
No hay restricciones adicionales - No puede aplicar términos legales o medidas tecnológicas que restrinjan legalmente
a otros de hacer cualquier cosa que la licencia permita.
Este es un resumen legible (y no un sustituto) de la licencia completa disponible en: [Link]
licenses/by-nc-sa/4.0/
La documentación de la arquitectura es del proyecto SME Server y se autoriza bajo la licencia GNU de documentación
libre 1.3 ([Link] Consulte la documentación original en [Link]

158 Capítulo 7. Apéndice

 NethServer Documentation, Versión 7 Final

7.4 List of NethServer 7 ISO releases

Each subsection corresponds to an upstream ISO release. See also the ISO releases on Developer’s manual.

7.4.1 7.6.1810

2018-12-17 final
2018-12-10 beta2

7.4.2 7.5.1804

2018-06-11 final
2018-05-31 rc
2018-05-21 beta

7.4.3 7.4.1708

2017-10-26 final - GA 2017-10-30

2017-09-21 beta1

7.4.4 7.3.1611

2017-07-31 update 1
2017-01-30 final - GA 2017-02-08
2017-01-18 rc4
2016-12-16 rc3

7.4.5 7.2.1511

2016-11-09 rc2
2016-10-18 rc1
2016-09-02 beta2
2016-07-12 beta1
2016-05-23 alpha3
2016-02-12 alpha2

7.4. List of NethServer 7 ISO releases 159

NethServer Documentation, Versión 7 Final

7.5 Chat

The chat service uses the standard protocol Jabber/XMPP. See also Chat.
Administration web Interface The Jaber server comes with a web administrative interface for members of the jab-
beradmins group.
Federation (S2S) XMPP allows for servers communicating seamlessly with each other, forming a global “federated”
IM network.
File transfer maximum speed Limit in Byte/second the maximum file transfer.
File transfer normal speed Limit in Byte/second the normal file transfer.

7.6 Windows file server

See also Carpetas compartidas

Workgroup/NetBIOS domain name The value can be changed only with LDAP accounts provider and defines the
Windows workgroup name visible from Network neighborhood panel in Windows systems. With Active Direc-
tory accounts provider the value is determined by the joined domain
When a new file or directory is created in a shared folder Decide who owns a newly created file or directory: eit-
her the resource creator or the current owner of the directory containing the new resource (also known as parent
directory)
Grant full control on home directories to Domain Admins group (home$ share) Allow members of Domain
Admins group to connect the hidden home$ share and grant them administrative access to any home folder
inside of it
Grant full control on shared folders to Domain Admins group Allow members of Domain Admins group to
connect any shared folder and grant them administrative access on its content

7.7 Reverse proxy

This page configures certain paths and virtual host names under Apache to be served by forwarding the original web
request to another URL. See also Proxy inverso.

7.7.1 Create / Edit

Name The URL path name or the virtual host name (an host FQDN). A path name will match URLs like http:/
/somehost/<path name>/..., whilst a virtual host name will match an URL like [Link]
host name>/.... Matching URLs are forwarded to the Target URL.
Access from CIDR networks Restrict the access from the given list of CIDR networks. Elements must be separated
with a «,» (comma).
SSL/TLS certificate Select a certificate that is compatible with the virtual host name.
Require SSL encrypted connection If enabled, the URL path or virtual host name can be accessed only with an
SSL/TLS connection.
Target URL The URL where the original request is forwarded. An URL has the form <scheme>://
<hostname>:<port>/<path>.

160 Capítulo 7. Apéndice

 NethServer Documentation, Versión 7 Final

Accept invalid SSL certificate from target If the Target URL has the https scheme, accept its certificate even if it
is not valid.
Forward HTTP «Host» header to target When enabled, this option will pass the HTTP «Host» header line from
the incoming request to the proxied host, instead of the «hostname» specified in the Target URL field.

7.7.2 Delete

Removes the selected entry.

7.8 SOGo Groupware

See also SOGo.

Enable CalDAV and CardDAV CalDAV allow users to access and share calendar data on a server. CardDAV allows
users to access and share contact data on a server.
Enable Microsoft ActiveSync ActiveSync is a mobile data (email, calendar, task, contact) synchronization app de-
veloped by Microsoft.
Allow Users to add other IMAP accounts Allow users to add other IMAP accounts that will be visible from the
SOGo Webmail interface.
Administrators List of users with administrative privileges over all the user datas.
Notifications Several different types of notifications(email-based) are available. Activate them according your needs.
Make SOGO reachable only from this domain(FQDN) SOGo is per default accessible from all server’s virtual-
hosts, If you specify a domain name here, SOGo will be usable only from this domaine name.
Number of workers This is the amount of instances of SOGo that will be spawned to handle multiple requests si-
multaneously. You should have at least one worker per activesync device connected.
Maximum time in second Parameter used to set the maximum amount of time, in seconds, SOGo will wait before
doing an internal check for data changes (add, delete, and update).

7.9 TLS policy

Enforced security level Configures the system services as described in the Política de TLS section

7.8. SOGo Groupware 161

NethServer Documentation, Versión 7 Final

162 Capítulo 7. Apéndice

 CAPÍTULO 8

Índices

Índice general

163
NethServer Documentation, Versión 7 Final

164 Capítulo 8. Índices

 Índice

A installation, 13
account Certificate
service, 28 SSL, 22
active directory change IP
change IP, 26 active directory, 26
default accounts, 26 chat, 160
ActiveSync, 65 Collectd, 118
alert, 112 compatibility
Alias de DNS, 33 hardware, 9
alias: DHCP, 33 contraseña, 30
alias: HELO copia de seguridad configuración, 39
EHLO, 60 copia de seguridad datos, 39
alias: PXE, 33 custom
alias: Trivial File Transfer Protocol quota, email, 55
TFTP, 35 spam retention, email, 55
always send a copy
email, 52, 55 D
Android device, 65 Dashboard, 20
anti-spam, véase antispam default accounts
email, 56 active directory, 26
anti-virus, véase antivirus delivery
email, 56 email, 52
archivos, 56 DHCP, 33
Asterisk, 126 disclaimer
attachment email, 53
email, 56 DNS, 33
ayuda en línea, 24 DNSBL, 57
domain
B email, 52
Backup, 39 DPI, 100
balanceo, 21 Duplicity, 41
bcc Dynamic Host Configuration Protocol, 33
email, 52, 55
blacklist E
email, 57 ejecutables, 56
email
C always send a copy, 52, 55
CalDAV and CardDAV protocols, 66 anti-spam, 56
CentOS anti-virus, 56

165
NethServer Documentation, Versión 7 Final

attachment, 56 HELO
bcc, 52, 55 email, 60
blacklist, 57 hidden copy
custom quota, 55 email, 52, 55
custom spam retention, 55 HTTP, 114
delivery, 52
disclaimer, 53 I
domain, 52 imap
filter, 56 port, 136
HELO, 60 imaps
hidden copy, 52, 55 port, 136
legal note, 53 impersonate, 83
local network only, 54 installation, 9
master user, 55 CentOS, 13
message queue, 55 ISO, 10
migration, 150 USB, 13
private internal, 54 VPS, 13
relay, 52 installed
retries, 55 packages, 19
signature, 53 RPM, 19
size, 55 interface
smarthost, 56 role, 20
spam retention, 55 internal
spam training, 57 email private, 54
whitelist, 57 Intrusion Prevention System, 110
email address, 54 iOS device, 65
encryption IPsec, 121
file system, 11 ISO
Enlace IP/MAC, 105 installation, 10
enrutado, 119
esclavo, 95 J
estadísticas, 118 Jabber, 160
estado, 20
EveBox, 112 L
latencia de la red, 118
F legal note
fax, 96 email, 53
file system local network only
encryption, 11 email, 54
filter log, 24
email, 56
filtro de contenido, 108 M
FreePBX, 126 maestro, 95
FTP, 123 mailbox
shared, 54
G user, 54
Getmail master user
software, 91 email, 55
Google Translate, 109 message queue
email, 55
H migration, 149
hardware email, 150
compatibility, 9 modem virtual, 96
requirements, 9 Modulación del tráfico, 103

166 Índice
 NethServer Documentation, Versión 7 Final

N requirements
NAT 1:1, 103 hardware, 9
net2net, 118 Restic, 41
Network, 20 retries
Nextcloud, 121 email, 55
roadwarrior, 118
O role, 20
Objetos del cortafuego, 104 interface, 20
Outlook, 86 Roundcube, 62
RPM
P installed, 19
rsync, 41
p2p topology, 120
rutas estáticas, 22
packages
installed, 19
password, 29
S
password expiration, 31 S2S, 92
peso, 101 score
ping, 118 spam, 56
políticas, 99 Server Manager, 13
pop3 service
port, 136 account, 28
pop3s servicio de red, 22
port, 136 shared
port mailbox, 54
imap, 136 shared folder, 114
imaps, 136 signature
pop3, 136 email, 53
pop3s, 136 size
smtp, 136 email, 55
smtps, 136 Slack, 93
PPPoE, 21 smarthost
Preboot eXecution Environment, 33 email, 56
private smtp
internal, email, 54 port, 136
proxy inverso, 113 smtps
proxy web, 105 port, 136
pseudonym, 54 SNMP, 124
PST, 86 software
puente, 21 Getmail, 91
puenteado, 119 software de terceros, 147
puerta de enlace, 98 spam, 56
PXE, 33 score, 56
spam retention
Q email, 55
email custom, 55
quota
spam training
email custom, 55
email, 57
R SSL
Certificate, 22
registro de firewall, 100
strong, 30
Reglas, 99
subnet topology, 119
relay
Suricata, 110
email, 52
remisión de puerto, 101

Índice 167
NethServer Documentation, Versión 7 Final

T
team chat, 93
TFTP, 35
time conditions, 105
Time machine-style, 41
trusted networks, 22
tunel, 118
two factor authentication, 64

U
upgrade, 152
UPS, 95
USB
installation, 13
user
mailbox, 54
uso del disco, 20

V
virtual hosts, 114
virtual machines, 130
VLAN, 21
VPN, 118
VPS
installation, 13

W
WAN, 101
WAN priority, 120
web interface, 13
web proxy stats, 107
webmail, 62
whitelist
email, 57

X
XMPP, 92, 160

Z
zone, 20, 104

168 Índice