Documentación de BQN

Cómo actualizar el software

‍

Actualizaciones dentro de la misma versión principal

Para actualizar dentro de la misma versión principal (por ejemplo, de R4.26.1 a R4.27.7), solo es necesario actualizar el paquete bqn (por ejemplo, bqn-R4.27.7.bpkg). La actualización consta de dos pasos: primero se instala y luego se activa. La activación implica una interrupción del tráfico de algunos segundos, por lo que se aconseja llevarla a cabo en momentos de bajo rendimiento.

La instalación se realiza en Administración->Software, haciendo clic en el icono de menú ⁝ y seleccionando Instalar… o seleccionando el botón Instalar nuevo paquete. Aparece un selector de archivos para elegir el paquete, que se transfiere al servidor BQN y se instala.

Un diálogo después de la instalación pregunta si el paquete debe ser activado.

La activación se puede realizar más adelante en Administración->Software haciendo clic en el icono de flecha ↶ del paquete a activar (resaltado en rojo en la imagen de arriba).

Esta operación le obliga a volver a iniciar sesión en el BQN después de unos segundos, tiempo durante el cual se interrumpe el flujo de tráfico.

Se puede seleccionar un paquete para ser utilizado en el próximo reinicio del servidor marcando su casilla de verificación BOOT.

Los paquetes que ya no están en uso (no activos y no seleccionados para el arranque) se pueden eliminar con el icono de la papelera.

‍

Actualizaciones entre versiones principales

Comuníquese con support@bequant.com para obtener instrucciones detalladas antes de realizar una actualización a una nueva versión principal.

‍

Para migrar a una nueva versión principal (por ejemplo, de R3 a R4), los paquetes de la plataforma necesitarán actualizaciones (bqnos, kernel, bqnkernel, linux y gui), además del paquete bqn. Los paquetes de la plataforma requieren un reinicio para activarse. El proceso es el siguiente:

1.       Instale el nuevo bqnos, espere un minuto y reinicie

2.      Instale kernel y bqnkernel (juntos y en este orden), espere un minuto y reinicie

3.      Instale linux, espere un minuto y reinicie

4.      Instale gui y reinicie

5.      Instale bqn y recargue

 El servidor debe colocarse fuera de la ruta del tráfico, ya que los reinicios del servidor implicarán pérdidas de servicio.

Finalmente, la configuración anterior puede requerir la migración a la nueva versión. Como mínimo, tendrá que eliminar los comandos obsoletos que acceden al servidor BQN a través de SSH y ejecutar los comandos:

 
bqnadm@bqn# configure
bqnadm@bqn(config)# clear config undefined
bqnadm@bqn(config)# commit
%WARN: Verify configuration after deleting undefined commands
bqnadm@bqn(config)# end
bqnadm@bqn# exit

‍

Cómo generar un diagnóstico

Si el soporte de Bequant lo solicita, se puede generar un archivo de diagnóstico en Administration->Diagnostic.

El archivo se colocará en la carpeta de descargas del navegador que se esté utilizando.

‍

Cómo hacer una copia de seguridad de la configuración

Puede guardar la configuración del servidor en un archivo local en Administración->Backup->Guardar configuración.

Para cargar una copia de seguridad guardada previamente, vaya a Administración->Backup->Cargar configuración.

Existen tres opciones:

• Cargue una copia de seguridad de otro servidor. El propósito de esta opción es llevar una configuración común a varios servidores, con las mismas políticas y clientes API. Cuando se utiliza esta opción, solo se cargan las secciones genéricas de la configuración. Las partes específicas del servidor (configuración de la interfaz de administración, data wires, licencias y la propia dirección IP API BQN) no se modifican.
• Restaurar una copia de seguridad de este servidor. Esta opción se utiliza para recuperar un estado anterior de la configuración de este servidor. En esta opción, la configuración se reemplaza completamente por la de la copia de seguridad, por lo que es importante que la configuración provenga de este mismo servidor, de lo contrario, el servidor podría quedar inaccesible.
• Fusionar un archivo de configuración con la configuración de este servidor. Esta opción es útil para transferir solo algunas secciones de la configuración, por ejemplo, un conjunto de reglas de política. En esta opción, toda la configuración del archivo se añade a la configuración actual. Solo las secciones de configuración genéricas y, de ellas, solo las estrictamente necesarias deben incluirse en el archivo de fusión, para evitar conflictos. Por ejemplo, una configuración puede tener solo una puerta de enlace predeterminada de administración, por lo que fusionar un archivo que contenga una puerta de enlace predeterminada reemplazará la anterior.

Seleccione la opción de carga y pulse SELECCIONAR ARCHIVO. Seleccione el archivo que desea cargar y pulse Abrir. Un diálogo le informará del resultado de la operación (si es correcto o si se encuentra un error). Si hay un error, no se realiza ninguna modificación en la configuración del servidor (la operación de carga es atómica).

Cómo hacer una copia de seguridad de la información externa

‍

La información introducida a través de APIs externas (REST, RADIUS, integraciones de facturación) no forma parte de la configuración del nodo. Para obtener una copia de seguridad y aplicarla a otro servidor o al mismo, vaya a Administración->Guardar atributos externos.

Especifique un nombre para el archivo de copia de seguridad y pulse GUARDAR.

Para restaurar la información de un archivo de copia de seguridad, vaya a Administración->Cargar atributos externos.

Hay dos opciones:

• Restaurar una copia de seguridad. Esta opción reemplazará cualquier información externa en el servidor BQN por el contenido del archivo de copia de seguridad.
• Fusionar una copia de seguridad. La información del archivo de copia de seguridad se añade a la información externa actual en el servidor BQN. Si una entidad existe tanto en el BQN como en el archivo de copia de seguridad (por ejemplo, un abonado), el contenido de la copia de seguridad anulará el contenido del BQN.

Seleccione una opción de carga y pulse SELECCIONAR ARCHIVO. Seleccione el archivo de copia de seguridad para cargar y pulse Abrir. Un diálogo informará del resultado de la operación (si es OK o si se encuentra un error). Si hay un error, no se realiza ninguna modificación en la configuración del servidor (la operación de carga es atómica).

‍

Monitorización con SNMP

El BQN admite las siguientes alarmas SNMP v2c (trampas):

• CpuLoad: carga excesiva de la CPU del servidor.
• MemoryUsage: uso excesivo de memoria.
• Disk: sistema de archivos lleno o casi lleno.
• Process: algunos procesos obligatorios están caidos.
• Wire: no hay wires configurados o algunos wires están inactivos.
• TrafficFlow: no hay tráfico a través del servidor BQN.
• LicenseUsage: el rendimiento del servidor está por encima de la capacidad de la licencia.
• BillingSync: problema con la sincronización de la facturación.

Estas alarmas están relacionadas con el cuadro de mandos que se muestra en la página de inicio de BQN. Consulte la sección de solución de problemas para obtener más información.

Para configurar el agente SNMP, vaya a Administración->SNMP:

El SNMP de BQN también exporta algunas estadísticas del sistema. Para obtener los archivos MIB de BQN, haga clic aquí.

‍

Capturas de tráfico

El BQN se puede utilizar para obtener capturas de tráfico en formato pcap desde cualquiera de sus interfaces de red. Estas capturas se pueden utilizar para solucionar problemas en el servidor BQN, pero también en cualquier otro lugar de la red, ya que las capturas directas de tráfico son muchas veces difíciles de obtener en otros nodos de la red.

Las capturas de tráfico se indican con un icono de lupa junto al nombre de la interfaz. Está disponible en las siguientes páginas:

• ‍Estado->Interfaces->Estado del enlace
• ‍Estado->Interfaces->Data Wires

Al hacer clic en el icono, se muestra un diálogo con las opciones de captura:

El campo filtro acepta el formato de los filtros tcpdump. Es opcional y, si está vacío, se capturará todo el tráfico. Algunos ejemplos de filtros:

• Tráfico que involucra una dirección IP: host 10.0.0.23
• Tráfico TCP que involucra una dirección IP y un puerto: tcp and host 10.0.0.23 and port 443
• Tráfico UDP que involucra un subconjunto de IP a una dirección de Internet específica: udp y net 10.0.0.0/24 y host 8.8.8.8

Si la red tiene VLAN y/o PPPoE, el interruptor correspondiente debe estar activado para que el filtro funcione. En la captura de pantalla anterior, la red tiene VLAN.

Tamaño máximo del archivo de captura (hasta un máximo de 500 MB). La captura se detendrá cuando se alcance este tamaño.

Tiempo de espera de captura (600 segundos como máximo). La captura se detendrá cuando transcurra este tiempo. También se puede detener antes pulsando el botón CANCELAR,

La captura está limitada por un tamaño máximo y un tiempo de espera (lo que ocurra primero). La razón es proteger el sistema, porque las capturas de tráfico tienen un impacto en el rendimiento.

Para reducir el impacto en el rendimiento del sistema, utilice el tamaño y la duración más pequeños que satisfagan sus necesidades.

Una vez completada la captura, se generará un archivo pcap en la carpeta de descargas del navegador. El archivo puede ser inspeccionado utilizando herramientas de tráfico que soporten el formato pcap, por ejemplo wireshark.

‍

Registros

Para ayudar en la depuración de problemas complejos, la GUI muestra dos tipos de registros:

• Mensajes de registro del SO. Vaya a Administración->Registros->Sistema.
• Mensajes de registro del kernel (salida del comando dmesg). Vaya a Administración->Registro->Kernel.

Es posible solicitar más líneas de registro y exportar las entradas del registro a un archivo local.

‍

Usuarios del sistema

El sistema BQN tiene dos tipos de usuarios:

• Administradores: con acceso sin restricciones a la funcionalidad del nodo, incluyendo cambios de configuración e instalación de software. Por defecto, se crea un usuario llamado bqnadm con perfil de administración.
• Operadores: con acceso solo a la visualización de datos. Por defecto, se crea un usuario llamado bqnop con perfil de operador.

Un administrador puede crear, eliminar o modificar usuarios del sistema en Administration->Users.

Haga clic en el icono de candado para cambiar la contraseña del usuario. Evite utilizar comillas simples (‘) y comillas dobles (“) como parte del valor de la contraseña.

‍

Software Bypass

Es posible hacer que algo de tráfico pase a través del BQN de forma transparente, sin ser procesado por BQN. Dicho tráfico se capturará en una de las interfaces de red y se transmitirá de forma transparente a su interfaz par en el mismo wire. De esa manera, el software BQN no tendrá ningún impacto en dicho tráfico.

Los tipos de tráfico que se pueden configurar para ser omitidos son:

• Tráfico GRE
• Tráfico IP v4
• Tráfico IP v6
• Tráfico MPLS
• Tráfico PPPoE
• Tráfico con algunas etiquetas VLAN específicas.
• Tráfico sin etiqueta VLAN (es decir, sin etiquetar).
• Algunas direcciones IPv4 y/o IPv6 o rangos de direcciones.

Para omitir cierto tráfico, vaya a Configuración->Ajustes de optimización y active el conmutador correspondiente.

Para VLAN y rangos de IP, escriba el valor, presione + para agregarlo y aplique la configuración.

Tenga en cuenta que el tráfico omitido no se beneficiará de las características de BQN: no se optimizará, no se registrarán métricas y no se aplicarán políticas.

‍

Configuración segura

‍

Tiempo de espera de la sesión

Un tiempo de espera configurable desconectará una sesión de la GUI después de un tiempo de inactividad.

Para habilitar el tiempo de espera por inactividad, vaya a Administración->Configuración general y establezca el valor en segundos en Tiempo de espera por inactividad de la GUI y pulse Aplicar.

El tiempo de espera por inactividad se aplicará a las nuevas sesiones.

‍

Contraseñas de usuario seguras

Por defecto, al establecer la contraseña de un usuario, cualquier valor es válido. Es posible reforzar la seguridad del sistema forzando una complejidad mínima a las contraseñas de los usuarios. Para ello, vaya a Administration->General Settings y active el conmutador Strict password and login security.

Cuando el conmutador de contraseña estricta está activado, se aplica la siguiente complejidad mínima de contraseña (y el cambio de contraseña se rechaza si no se cumple):

• Longitud de al menos 8 caracteres.
• Al menos una letra minúscula.
• Al menos una letra mayúscula.
• Al menos un dígito.
• Al menos un carácter especial.
• El nombre de usuario no puede formar parte de la contraseña, ni de forma directa ni inversa. Por ejemplo, si el usuario es bqnadm, las contraseñas Bqnadm6? y Mdanqb6? son rechazadas.

Además, la contraseña debe pasar la prueba de simplicidad de pam_cracklib. Esta prueba rechaza contraseñas deficientes como:

• Palabras del diccionario
• Palíndromos. Ej. Af16-61fA
• Mismos caracteres consecutivos. Ej. …aaa…
• Secuencia monótona demasiado larga. Por ejemplo, …123… o …abc…
• Menos de cinco diferencias con la contraseña anterior.

Además, la cuenta se bloquea durante cinco minutos después de cinco intentos fallidos de inicio de sesión consecutivos. Root está excluido de esta política para evitar ataques de denegación de servicio.

‍

Firewall  de la Interfaz de gestión

Para configurar el firewall de la interfaz de administración, que solo se aplicará a la interfaz de administración (no a las interfaces configuradas en wires), seleccione en el menú lateral Configuration->Interfaces->ManagementFirewall. Esto mostrará los rangos de direcciones IP permitidos para acceder a la interfaz de administración. Por defecto, no se configuran rangos de direcciones IP y todos están permitidos.

Para añadir un rango de direcciones IP permitidas, haga clic en el icono de menú y pulse Añadir rango de direcciones IP…. Una vez que se permite un rango de direcciones IP, el firewall se habilita y se bloquearán todas las conexiones entrantes desde direcciones IP que no formen parte de los rangos de direcciones IP configurados. Por lo tanto, es importante incluir un rango de direcciones IP que cubra la dirección IP desde la que accedemos a la GUI y también la subred de la dirección IP de administración (la GUI las incluirá en la lista sugerida). También deben incluirse otras IP que interactúen con la interfaz de administración, como los clientes RADIUS/REST, un sistema de facturación y el servidor NTP.

Para desactivar el firewall, elimine todas las entradas pulsando el icono de eliminar junto a cada entrada, y una vez que todas las entradas hayan sido eliminadas, haga clic una vez en el botón Apply. Es importante no pulsar Apply antes de que todas las entradas hayan sido eliminadas, porque un Apply prematuro mantendría el firewall activo y podría impedirle acceder al servidor, si la entrada que cubre su IP no está presente.

‍

Ocultar la información de la aplicación por suscriptor a los operadores

Es posible configurar el sistema para que los usuarios con perfil de operador no vean la siguiente información:

• En el panel de suscriptores, los detalles del servicio DPI.
• En el panel de suscriptores, en la tabla de flujo activo, la columna DOMINIO.
• En Estadísticas->Análisis DPI->Volumen por hora por aplicación, el filtro IP/ID de suscriptor.
• En Estadísticas->Análisis DPI->Volumen total por aplicación, el filtro IP/ID de suscriptor.

Para deshabilitar el acceso a esa información, vaya como administrador a Administración->Configuración general y active el switch Ocultar DPI por suscriptor para perfiles de operador.

Ocultar la configuración y las políticas de tarifas a los operadores

Es posible configurar el sistema para que los usuarios con perfil de operador no vean la siguiente información:

• Detalles de la política de tarifas en el panel de control del suscriptor.
• Detalles de la política de tarifas en Estatus->Suscriptores->Métricas QoE.
• Sección de configuración.

Para deshabilitar el acceso a esa información, vaya como administrador a Administración->Configuración general y active el interruptor Ocultar tarifas de configuración y políticas para operadores.

Registro de auditoría

El sistema mantiene un registro de auditoría con un registro de las acciones más relevantes realizadas en el sistema. Los archivos están en /opt/bqn/var/audit y solo pueden ser leídos por el usuario root.

El archivo de auditoría actual se llama audit y los archivos de auditoría antiguos se comprimirán con gzip y se nombrarán con la hora de la época Unix de la rotación (por ejemplo, audit-1688636727.gz). Los archivos antiguos se conservan durante 182 días.

Cada fila de archivo es una entrada de auditoría con los siguientes campos:

• Hora: Fecha y hora del evento, en formato AAAA-mm-ddTHH:MM:SS+UTC-Offset.
• Tipo: Tipo de acción: acceso, configuración, software, sistema, usuarios.
• Autor: Nombre del usuario del sistema que realiza la acción, en los casos en que esté disponible.
• Descripción: Descripción de la acción.

Algunas de las acciones registradas son:

• Acceso al sistema.
• Usuarios creados/eliminados.
• Modificaciones de la contraseña de usuario.
• Cambios de configuración.
• Actualizaciones de software.
• Reinicio o apagado del sistema.
• Cambios de hora local/zona.

‍

Envío de registros del sistema a un servidor syslog

Es posible configurar el BQN para que envíe sus registros del sistema a un servidor syslog externo. El servidor syslog debe ser compatible con el protocolo BSD syslog (IETF RFC 3164) o el protocolo syslog (IETF RFC 5454).

Para realizar la configuración, inicie sesión como root a través de SSH y siga estos pasos:

‍

Cree el siguiente directorio para que los cambios sean persistentes:

mkdir -p /bqn/root/etc/rsyslog.d/

Copie el archivo de configuración original en ese directorio:

cp /etc/rsyslog.d/remote.conf /bqn/root/etc/rsyslog.d/

Edite el archivo de configuración:

vim /bqn/root/etc/rsyslog.d/remote.conf

Si se utiliza el protocolo BSD syslog (IETF RFC 3164), añada esta línea al archivo de configuración:

*.* action(type="omfwd" target="server-ip" port="server-port" protocol="tcp")

Sustituya server-IP por la dirección IP del servidor syslog y server-port por su puerto (p. ej., 514).

‍

Si el formato necesario es el protocolo syslog (IETF RFC 5454):

*.* action(type="omfwd" target="server-ip" port="server-port" protocol="tcp"  template="RSYSLOG_SyslogProtocol23Format")

Reinicie el sistema:

reboot

Y eso es todo, los registros del sistema BQN en /var/log/messages deberían enviarse al servidor syslog.

‍

Si más adelante realiza cambios en el archivo de configuración, deberá reiniciar el servicio rsyslog para que se apliquen los cambios:

systemctl restart rsyslog.service

Compruebe que el servicio está bien solicitando su estado:

bqn:~ # systemctl status rsyslog.service
rsyslog.service - System Logging Service
   Loaded: loaded (/bqn/img/linux/usr/lib/systemd/system/rsyslog.service; enabled)
   Active: active (running) since Thu 2023-10-05 10:37:17 CEST; 1 months 10 days ago
 Main PID: 6992 (rsyslogd)
   CGroup: /system.slice/rsyslog.service
           `-6992 /usr/sbin/rsyslogd -n
. . .

‍

Configuración mediante TLS

Para cifrar la comunicación con el servidor syslog, el BQN necesita el paquete linux-R3.0.13-20231130 o posterior. Transfiera el certificado de la autoridad de certificación del servidor al directorio rsyslog del servidor BQN:

scp ca.pem root@bqn:/bqn/root/etc/rsyslog.d

Edite el archivo de configuración:

vim /bqn/root/etc/rsyslog.d/remote.conf

Añada las siguientes líneas antes de la línea de acción . (el puerto elegido normalmente es 6514, revíselo en la línea de acción):

$DefaultNetstreamDriverCAFile /bqn/root/etc/rsyslog.d/ca.pem
$DefaultNetstreamDriver gtls # use gtls netstream driver
$ActionSendStreamDriverMode 1 # require TLS for the connection
$ActionSendStreamDriverAuthMode anon # server is NOT authenticated

Para aplicar los cambios, reinicie el servicio rsyslog:

systemctl restart rsyslog.service

‍