O que fazer quando um sistema Linux não me deixa logar por causa de "auditd: backlog limit exceeded"?

Publicado por Sysadmin Urbano | Infraestrutura, SysOps e DevOps

Um guia prático para quem vive na linha de frente da operação de sistemas.

Erro "auditd: backlog limit exceeded" no Linux

Ao tentar iniciar ou acessar um sistema Linux, especialmente em ambientes como Oracle Linux, RHEL ou CentOS, você pode se deparar com a seguinte mensagem:

auditd: backlog limit exceeded

Esse erro pode impedir o sistema de inicializar corretamente ou bloquear o login em modo gráfico ou console.

🧠 O que significa esse erro?

O auditd é o daemon responsável pelo sistema de auditoria do Linux. Ele monitora e registra eventos importantes para segurança e conformidade.

Quando muitos eventos acontecem em sequência e o sistema não consegue processar todos, o backlog (fila de eventos) estoura o limite definido — e o kernel considera isso uma falha de segurança.

🛠️ Soluções temporárias

• Reinicie o sistema e entre no modo de emergência ou rescue.
• Edite o GRUB temporariamente durante o boot:
• Pressione e na entrada do GRUB.
• Adicione o seguinte ao final da linha linux:

  audit=0

• Pressione Ctrl + X ou F10 para iniciar com essa opção.
• Isso desativa o audit temporariamente e pode permitir o login.

⚙️ Correção permanente

Se for seguro desabilitar o auditd no seu caso, você pode editar a configuração do GRUB:

1. Abra o arquivo /etc/default/grub como root.
2. Adicione audit=0 à variável GRUB_CMDLINE_LINUX
3. Atualize o GRUB com:

   grub2-mkconfig -o /boot/grub2/grub.cfg

   (ou equivalente na sua distro)
4. Reinicie o sistema.

📌 Alternativas

• Aumentar o limite de backlog com:

  audit_backlog_limit=8192

  no GRUB
• Corrigir travamentos causados por excesso de logs ou configurações excessivas do auditd

---

“Em sistemas auditáveis, o silêncio também pode ser interpretado como falha.”

IPv6 em Datacenters – Parte 3

Publicado por Sysadmin Urbano | Infraestrutura, SysOps e DevOps

Um guia prático para quem vive na linha de frente da operação de sistemas.

IPv6 em Datacenters – Parte 3: Alta Disponibilidade, Failover e Continuidade

Adotar IPv6 em um ambiente corporativo não significa apenas substituir endereços. Significa repensar a forma como tratamos a disponibilidade de serviços. Nessa terceira parte, exploramos o uso do IPv6 em estruturas de alta disponibilidade (HA), focando em clusters, balanceadores, firewalls e testes de failover — sempre com um olhar técnico e prático.

🌐 Balanceadores e IPs flutuantes

Diferente do IPv4, no IPv6 não há NAT tradicional. Assim, o uso de endereços IPs globais diretos demanda novos cuidados.

• Utilize VRRPv3 com ferramentas como keepalived, que suporta endereços IPv6 nativamente.
• IP flutuante pode ser definido em /128 para vincular a apenas um nó por vez.

vrrp_instance VI_1 {
  state MASTER
  interface eth0
  virtual_router_id 50
  priority 100
  advert_int 1
  virtual_ipaddress {
    2001:db8::100/128
  }
}

🧱 HAProxy e NGINX com IPv6

Ambos suportam IPv6 diretamente e podem atuar como ponto único de entrada para clusters:

• bind [::]:443 ssl para escutar em IPv6;
• Backends podem ser definidos por IP ou DNS com registros AAAA;
• Para failover ativo/passivo, combine com keepalived ou Pacemaker.

🔁 Clusters com IPv6

Banco de Dados (PostgreSQL, MariaDB)

• Ambos suportam IPv6 nativamente;
• Em postgresql.conf, use listen_addresses = '*' e valide que o sistema escuta em IPv6.
• Utilize VIPs via Pacemaker para failover entre nós.

Servidores Web ou Aplicações

• Usar DNS com TTL baixo para atualização rápida em falhas;
• Considere IPv6-only para redes internas e dual-stack na borda.

🔐 Firewalls e segurança no failover

• As regras devem permitir tráfego de anúncios de VRRPv3 (protocol 112);
• Se usar nftables, crie conjuntos para os IPs flutuantes;
• Evite regras fixas por interface: use por endereço, garantindo portabilidade entre nós.

🧪 Testes e observabilidade

• Simule falhas desligando serviços e valide failover do VIP;
• Use tcpdump -i eth0 ip6 and vrrp para analisar pacotes de failover;
• Prometheus com blackbox_exporter permite pingar endpoints IPv6 e medir latência.

📌 Dica prática

Use scripts automáticos (Ansible, Bash) para verificar se o IP flutuante foi realocado após falha. Uma simples checagem com ip -6 addr já mostra a transição.

🔚 Conclusão

Alta disponibilidade com IPv6 é um passo além da adaptação de endereços. Envolve um novo entendimento da conectividade direta, da ausência de NAT e da transparência de rede. Com testes adequados e validação, seu datacenter pode ter um ambiente resiliente, moderno e alinhado com o futuro da internet.

IPv6 em Datacenters – Parte 2

Publicado por Sysadmin Urbano | Infraestrutura, SysOps e DevOps

Um guia prático para quem vive na linha de frente da operação de sistemas.

IPv6 em Datacenters – Parte 2: Integração com Monitoramento, Automação e Segurança

Após estruturar a arquitetura de endereçamento com IPv6 em um datacenter, o próximo passo é integrar esse ecossistema com as ferramentas de gestão, automação e segurança já utilizadas no ambiente. Essa etapa é essencial para garantir visibilidade, controle e estabilidade operacional.

📊 Integração com ferramentas de monitoramento

Zabbix

• O Zabbix suporta IPv6 nativamente, tanto para agentes quanto servidores.
• No zabbix_agentd.conf, use ListenIP=:: para aceitar conexões IPv6.
• No frontend, cadastre os hosts com IPs IPv6 diretamente ou use DNS AAAA.

# Exemplo de item com IPv6
zabbix_get -s fd00:abcd::1001 -k system.uptime

Prometheus

• Configure os targets com IPs IPv6 dentro de colchetes: [fd00::2001]:9100
• Certifique-se de que os node_exporters estão escutando em [::]:9100

Grafana e InfluxDB

• Suporte total a conexões em IPv6 se as ferramentas forem configuradas para escutar em [::]
• Use proxies reversos (como Nginx) para centralizar acessos IPv6/IPv4.

⚙️ Automação com Ansible e Shell

• Adicione hosts em IPv6 no inventário: [meus_servers]
[fd00::1001]
• Use o parâmetro ansible_ssh_extra_args='-6' para forçar IPv6.
• Evite dependência de DNS se usar endereços diretos.

[web_ipv6]
fd00:abcd::10 ansible_user=admin ansible_ssh_extra_args='-6'

🛡️ Segurança e firewalls para IPv6

• Use nftables ou ip6tables separadamente do IPv4.
• Habilite ICMPv6 essencial para funcionamento correto da rede (RA, ND).
• Crie regras por prefixo e não apenas por IP direto, ex: fd00::/8
• Bloqueie endereços de escopo global para tráfego interno não autorizado.

🔐 Validações e auditoria

• ping6 e traceroute6 para diagnóstico de latência e roteamento
• nmap -6 para varredura de portas e validação de exposição de serviços
• Ferramentas como tcpdump -i eth0 ip6 são vitais para depuração

📌 Dica importante

Evite misturar stacks duplas mal configuradas (dual-stack desbalanceado) em serviços críticos. Priorize ambientes 100% IPv6 ou 100% IPv4 onde for possível.

🧭 Conclusão

Integrar IPv6 não é apenas configurar IPs. Envolve ajustar toda a cadeia de operações — do monitoramento à automação, da segurança à validação. Com isso, o datacenter se torna mais escalável, moderno e pronto para o futuro.

IPv6 para Datacenters - parte 1

Publicado por Sysadmin Urbano | Infraestrutura, SysOps e DevOps

Um guia prático para quem vive na linha de frente da operação de sistemas.

Implementação Completa de IPv6 para Datacenters

No universo moderno de redes, o suporte ao IPv6 deixou de ser uma opção e passou a ser uma necessidade real para ambientes de datacenter, especialmente com a escassez de IPv4 e o crescimento de ambientes escaláveis em cloud e bare metal.

📌 Divisão lógica: Pública e Privada

Ao contrário do IPv4, o IPv6 não possui faixas NAT privadas clássicas. Mas é possível utilizar as faixas fd00::/8 para simular redes internas privadas (ULA – Unique Local Address).

• Rede pública: usada para frontend, acesso externo, APIs abertas.
• Rede ULA (fd00): usada para comunicação entre bancos de dados, aplicações, serviços internos e recursivos (como DNS).

🔧 Configuração típica de componentes internos

• Servidores e VMs: Defina endereços ULA por interface, ex: fd00:abcd:1234::10
• Bancos de Dados: Vincule ao IP ULA e restrinja conexões com bind-address ou listen_address
• DNS Recursivo (ex: Unbound): Use somente ULA como origem permitida e configure escopo local
• Hypervisores e switches virtuais: Separe VLANs ou bridges por finalidade (pública / interna)
• Firewalls: Permita ICMPv6 e controle com precisão os escopos de IP

🧪 Exemplo de configuração prática

# Interface interna
iface eth1 inet6 static
  address fd00:abcd:1234::1
  netmask 64

# Exemplo de configuração no Postgres
listen_addresses = 'fd00:abcd:1234::10'

🛡️ Segurança e performance

• Utilize ip6tables ou nftables com políticas explícitas.
• Monitore tráfego com tcpdump -i eth0 ip6 ou iftop.
• Prefira endereços estáticos para facilitar debugging e regras claras.

📐 Diagramas e hierarquia

Uma estrutura bem pensada facilita a escalabilidade e troubleshooting. Exemplo:

• Hypervisor: fd00:1000::1
• VM Web: fd00:1000::10
• DB: fd00:1000::20
• DNS interno: fd00:1000::53

✅ Validação da estrutura

• Ping ULA entre serviços: ping6 fd00:abcd:1234::10
• Valide com traceroute6, nmap -6, e testes de aplicação
• Documente rotas e relacionamentos lógicos (topologias simples ajudam muito)

📌 Conclusão

O uso de IPv6 vai além da camada de acesso externo. Integrá-lo de forma completa no ambiente interno — com camadas de segurança e isolamento — é o próximo passo na evolução de um datacenter moderno.

IPv6 pode parecer complexo no início, mas ao entender seus conceitos fundamentais, ele se torna um aliado poderoso em ambientes escaláveis e limpos.