loggn.de - Mac OSX, Linux und manchmal auch Windows » Debian

Linux – e2fsck (fsck.ext3) – verschlüsseltes Device (loop-aes)

Nico — Thu, 06 May 2010 06:45:57 +0000

Gestern ist mir beim Mounten meines Raids folgende Warnung in der /var/log/messages meines Arch Linux Servers aufgefallen:

EXT3-fs warning: maximal mount count reached, running e2fsck is recommended

Das Device /dev/md0 ist mit Loop-AES verschlüsselt.

Um das Filesystem mit e2fsck (fsck.ext3) zu überprüfen muss das Device entschlüsselt sein aber nicht gemountet. (ACHTUNG! Niemals e2fsck auf eine eingebundene Partition anwenden!)

Um unser Journaling-Dateisystem, welches mit Loop-AES verschlüsselt ist, zu überprüfen, gehen wir wie folgt vor:

Dateisystem aushängen

umount /media/raid

Device entschlüsseln, ohne es einzuhängen

losetup -e AES256 /dev/loop0 /dev/md0

Dateisystem überprüfen, auch wenn das Dateisystem sauber erscheint

e2fsck -f /dev/loop0

Device wieder verschlüsseln bzw. trennen

losetup -d /dev/loop0

Jetzt können wir unser verschlüsseltes Dateisystem wieder ganz normal, ohne das in der /var/log/messages die Warnung erscheint, mounten.

Linux – Shell-Befehlsübersicht für Linux Einsteiger

Nico — Tue, 09 Mar 2010 15:58:57 +0000

Janek hat auf seinem Blog 321tux.de eine Shell-Befehlsübersicht für Linux Einsteiger veröffentlicht. So eine klasse Übersicht hätte ich vor 21 Monaten gebraucht. – Dankeschön

Linux – IPTables – Beispielkonfiguration (DNS, HTTP, FTP, PING, SSH, SAMBA & NFS)

Nico — Tue, 02 Mar 2010 07:28:40 +0000

Aufgrund von Problemen mit dem Suspend-To-Ram (pm-suspend), teste ich zur Zeit einige Linux-Distributionen. Sollte sich jemand von euch mit pm-suspend oder s2ram auskennen kann dieser mich gerne kontaktieren. Nach der Installation von CentOS bin ich wieder einmal über IPTables gestolpert. Noch nie habe ich mich näher mit diesen IP-Tabellen beschäftigt – das hat sich jetzt geändert.

Was sind IPTables:

Mit Hilfe von iptables wird Netfilter, der IP-Paketfilter des Linuxkernels konfiguriert.
Ist der Paketfilter des Kernel aktiv (d.h. sind mit iptabels erstellte Filterregeln konfiguriert), so werden alle IP-Datenpakete geprüft. Ankommende Pakete werden geprüft, bevor sie an die Zielanwendung geleitet werden, ausgehende Pakete werden geprüft, bevor sie den Rechner verlassen. Agiert der Rechner als Router (z.B. in einem Netzwerk), so werden die Pakete während der Weiterleitung geprüft. Außerdem besteht auch die Möglichkeit der Paketmanipulation. Die Art der Prüfung lässt sich mit Hilfe von iptables sehr detailliert vorgeben.

Quelle: iptables2 im uu-wiki

Ich möchte hier jetzt eigentlich nicht weiter über die Grundlagen oder Funktionsweiße von IPTables schreiben. Stattdessen möchte ich euch meine Beispielkonfiguration veröffentlichen, bei der eigentlich jeder die Funktion dieser Konfiguration erkennen sollte. Wenn nicht, dann stehen ja kleine Erklärungen obendrüber.

/etc/sysconfig/iptables oder /etc/iptables/iptables.rules je nach Distribution

##########################################################
# Firewall configuration written by NH from www.loggn.de #
##########################################################
*filter
############################
# alles blocken (Paranoid) #
############################
:INPUT REJECT [0:0]
:FORWARD REJECT [0:0]
:OUTPUT REJECT [0:0]
########################################################################
# eingehende & ausgehende Paket für existierende Verbindungen zulassen #
########################################################################
-A INPUT -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -o eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
############################
# loopback Device zulassen #
############################
-A INPUT -i lo -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
##########################
# Ping zulassen (in/out) #
##########################
-A INPUT -p icmp --icmp-type 8 -s 0/0 -d 192.168.137.100 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
-A OUTPUT -p icmp --icmp-type 8 -s 192.168.137.100 -d 0/0 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
##################################
# DNS, FTP & HTTP zulassen (out) #
##################################
-A OUTPUT -p udp --sport 1024:65535 --dport 53 -j ACCEPT
-A OUTPUT -p tcp --sport 1024:65535 -m multiport --dports 20,21 -j ACCEPT
-A OUTPUT -p tcp --sport 1024:65535 -m multiport --dports 80,443 -j ACCEPT
#####################
# SSH zulassen (in) #
#####################
-A INPUT -p tcp -s 192.168.137.0/24 -d 192.168.137.100 --sport 513:65535 --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
#######################
# SAMBA zulassen (in) #
#######################
-A INPUT -p udp -s 192.168.137.0/24 -d 192.168.137.100 -m multiport --dports 137,138 -j ACCEPT
-A INPUT -p tcp -s 192.168.137.0/24 -d 192.168.137.100 -m multiport --dports 139,445 -j ACCEPT
-A INPUT -p udp -s 192.168.137.0/24 -d 192.168.137.255 --dport 137 -j ACCEPT
####################################################################
# NFS zulassen (in)                                                #
# PORT Konfiguration je nach System unterschiedlich                #
# http://www.ecorak.net/linux/howtos/nfs.php                       #
# http://www.sns.ias.edu/~jns/wp/2006/01/18/iptables-nfs/          #
# http://www.tiwoc.de/blog/archives/3-NIS-NFS-versus-iptables.html #
####################################################################
-A INPUT -p tcp -s 192.168.137.0/24 -d 192.168.137.100 -m multiport --dports 111,2049 -j ACCEPT
-A INPUT -p udp -s 192.168.137.0/24 -d 192.168.137.100 -m multiport --dports 111,2049 -j ACCEPT
-A INPUT -p tcp -s 192.168.137.0/24 -d 192.168.137.100 --dport 4000:4003 -j ACCEPT
-A INPUT -p udp -s 192.168.137.0/24 -d 192.168.137.100 --dport 4000:4003 -j ACCEPT
################
# LOG REJECTED #
################
#-A INPUT -j LOG --log-prefix "Rejected "
#-A OUTPUT -j LOG --log-prefix "Rejected "
########
# ENDE #
########
COMMIT

Quellen:
SSH Regel
NFS Regel
LOG Regel
PING Regel
SAMBA Regel
DNS, FTP & HTTP Regeln

SERVER4YOU und der letzte Artikel im ubuntuusers Planeten

Nico — Sat, 06 Feb 2010 22:09:16 +0000

Nein, ich möchte weiterhin im Planeten aktiv sein. Ich meine mit “dem letzten Artikel im ubuntuusers Planeten” meinen Artikel über XBMC PVR (VDR Plugin) mit VDPAU Unterstützung. Dieser Artikel hat meinen Apache2 maßlos überlastet, natürlich durch die vielen Besucher aus dem Planeten.

[Sat Feb 06 21:49:05 2010] [error] server reached MaxClients setting, consider raising the MaxClients setting
[Sat Feb 06 21:49:12 2010] [error] server reached MaxClients setting, consider raising the MaxClients setting
[Sat Feb 06 21:52:10 2010] [error] server reached MaxClients setting, consider raising the MaxClients setting
[Sat Feb 06 21:56:52 2010] [error] server reached MaxClients setting, consider raising the MaxClients setting
[Sat Feb 06 22:21:10 2010] [error] server reached MaxClients setting, consider raising the MaxClients setting

Mein Blog war über 2 Stunden nicht erreichbar und der SERVER4YOU Support unfähig. *entschuldigt* Ich habe nun selbst das MaxClients Limit von 10 in der /etc/apache2/apache2.conf nach oben gestellt. Juuhuuuu und er rennt wieder!

Tja, zu früh gefreut, …

[Sat Feb 06 22:44:59 2010] [error] (12)Cannot allocate memory: fork: Unable to fork new process
[Sat Feb 06 22:46:56 2010] [error] (12)Cannot allocate memory: fork: Unable to fork new process
[Sat Feb 06 22:47:06 2010] [error] (12)Cannot allocate memory: fork: Unable to fork new process
[Sat Feb 06 22:47:16 2010] [error] (12)Cannot allocate memory: fork: Unable to fork new process
[Sat Feb 06 22:47:26 2010] [error] (12)Cannot allocate memory: fork: Unable to fork new process

root@blob:~# free -m
              total       used       free     shared    buffers     cached
Mem:           768        137        630       0          0          0
-/+ buffers/cache:        137        630
Swap:            0          0          0

… ich habe mit meinen vServer einen garantierten Arbeitsspeicher von 768MB die der Kleine scheinbar nicht nutzen darf. Das nächste Ticket ist auf dem Weg zu SERVER4YOU!

PS: Vorerst sollte der Blog einigermaßen Stabil laufen. Sorry

UPDATE: Die Ausgabe von free stimmt bei virtuallisierten Maschinen nicht immer. Darum soll ich /proc/user_beancounters verwenden.

Version: 2.5
       uid  resource       held         maxheld        barrier      limit         failcnt
    147040: kmemsize       10662413     15545375       15523666     17076032      3142

UPDATE2: Ich habe mit Thomas von everflux Kontakt aufgenommen, mal schauen ob wir da was drehen können. *bin gespannt*

UPDATE3: Der Umzug von SERVER4YOU zur Hetzner Online AG ist im vollem Gange.

WordPress – Upload – Die Datei ist zu groß

Nico — Fri, 05 Feb 2010 11:16:47 +0000

Gestern Abend hatte ich beim Datei-Upload ins WordPress ein Problem.

Fehlermeldung:
Die Datei ist zu groß. Die maximale Dateigröße für deinen Server beträgt 2M.

Dieses Problem lässt sich sehr einfach beheben. Wir editieren die php.ini auf unserem Webserver…

vi /etc/php5/apache2/php.ini

…und suchen nach dem Eintrag upload_max_filesize.

; Maximum allowed size for uploaded files.
upload_max_filesize = 2M

Diesen Eintrag können wir unseren Ansprüchen anpassen. Jetzt starten wir nur noch den Apache2-Server neu, Fertig!

/etc/init.d/apache2 restart

Instant-Messaging über die Konsole (AIM, ICQ, Yahoo!, Jabber und MSN)

Nico — Thu, 28 Jan 2010 15:16:37 +0000

Chris von campino2k.de hat einen interessanten Artikel über “Out-Of-My-Way-Messaging mit irssi, bitlbee und screen” geschrieben.

Erklärung: Irssi ist ein freier IRC-Client auf Kommandozeilenbasis, dieser Client verbindet sich mit dem IRC-Server BitlBee. BitlBee ist ein Instant-Messaging Client. Anders als herkömmliche Clients ist BitlBee jedoch ein Netzwerk-Gateway (Server), der sich dem Benutzer als IRC-Server ausgibt und die Protokolle AIM, ICQ, Yahoo! Messenger, Jabber und MSN kennt. Diese 2 Programme werden in einer Screen-Session gestartet und bleiben auch beim disconnect der SSH-Session verbunden. Bei einem reconnect kann man sich problemlos auf die im Hintergrund laufende Screen-Session aufschalten und die laufenden Programme weiter nutzen.

Link: Out-Of-My-Way-Messaging mit irssi, bitlbee und screen

Ubuntu/Debian – Kernel: 2.6.32.3 – Loop-AES selber kompilieren

Nico — Wed, 13 Jan 2010 19:45:42 +0000

Nach meinem Kernelupdate auf Version 2.6.32.3 wollte ich ganz normal, wie in der alten HowTo beschrieben, loop-AES kompilieren. Jedoch lief bereits das Kompilieren von util-linux-2.12r auf Fehler.

cc -c -O2 -fomit-frame-pointer -I../lib -Wall -Wmissing-prototypes -Wstrict-prototypes -DNCH=1   -D_FILE_OFFSET_BITS=64 -DSBINDIR=\"/sbin\" -DUSRSBINDIR=\"/usr/sbin\" -DLOGDIR=\"/var/log\" -DVARPATH=\"/var\" -DLOCALEDIR=\"/usr/share/locale\" -O2 fsck.cramfs.c -o fsck.cramfs.o
fsck.cramfs.c:79:22: error: asm/page.h: No such file or directory
fsck.cramfs.c: In function ‘romfs_read’:
fsck.cramfs.c:144: warning: ignoring return value of ‘read’, declared with attribute warn_unused_result
fsck.cramfs.c: In function ‘do_symlink’:
fsck.cramfs.c:274: warning: ignoring return value of ‘symlink’, declared with attribute warn_unused_result
fsck.cramfs.c: In function ‘do_uncompress’:
fsck.cramfs.c:361: warning: ignoring return value of ‘write’, declared with attribute warn_unused_result
fsck.cramfs.c: In function ‘main’:
fsck.cramfs.c:532: warning: ignoring return value of ‘read’, declared with attribute warn_unused_result
make[1]: *** [fsck.cramfs.o] Fehler 1
make[1]: Verlasse Verzeichnis '/usr/src/util-linux-2.12r/disk-utils'
make: *** [all] Fehler 1

Um dieses Problem schnellstmöglich zu umgehen habe ich mich für die util-linux Alternative util-linux-ng entschieden. Kurz und knapp nochmal die veränderte HowTo:

Zuerst installieren wir uns ein wenig Kernelzubehör.

aptitude install linux-headers-`uname -r` make gcc bzip2

Jetzt holen wir uns die Source von util-linux-ng und loop-AES

cd /usr/src
wget ftp://ftp.kernel.org/pub/linux/utils/util-linux-ng/v2.16/util-linux-ng-2.16.1.tar.gz
tar xvfz util-linux-ng-2.16.1.tar.gz
wget http://loop-aes.sourceforge.net/loop-AES-latest.tar.bz2
tar xvfj loop-AES-latest.tar.bz2

Nun kompilieren wir util-linux-ng…

cd util-linux-2.12r patch -p1

…und nun loop-AES.

cd ../../loop-AES-v3.2h
make
rm /lib/modules/`uname -r`/kernel/drivers/block/loop.*
rm /lib/modules/`uname -r`/kernel/drivers/block/cryptoloop.*

reboot

cd /usr/src/loop-AES-v3.2h
make tests

Mehr Informationen findet ihr hier:
Ubuntu/Debian – Loop-AES einrichten (alt)
Ubuntu/Debian – Loop-AES selber kompilieren (neuer)

Debian vs. Ubuntu Server – Suspend to RAM

Nico — Wed, 16 Dec 2009 16:00:50 +0000

In den meisten Fällen ist der Ruhezustand und der Bereitsschaftsmodus unter Ubuntu kein Problem mehr. Mit der Linux-Distribution Debian habe ich festgestellt, dass es mit bestimmter Hardware hin und wieder zu Problemen kommt. Das kann daran liegen, dass bei Ubuntu die Pakete wesentlich aktueller gehalten werden.

Server-Hardware:

Board: MSI P45D3 Platinum
CPU: Intel Pentium Dual-Core E2220
RAM: G.Skill DIMM 2GB PC3-10667U
GPU: ASUS Extreme N6200LE TC256
DVB-S2: TechnoTrend S2-3200 HDTV-S2
SYS-HDD: OCZ Throttle eSATA Flash Drive 8GB
DATA-HDDs: Samsung SpinPoint F1 1000GB (HD103UJ)

Die letzten 6 Tage habe ich mich mit dem Bereitschaftsmodus (Suspend to RAM) unter Debian Lenny (ohne X-Server) beschäftigt. Nachdem ich alle erdenklichen Wiki-Einträge, Foren-Threads und Blog-Artikel über dieses Thema gelesen habe, alle möglichen Kommandos inkl. Optionen ausprobiert habe, bin ich zu dem Fazit gekommen > “Was für ein Sch***!”.

Problem: In meinem Fall ist das System beim pm-suspend problemlos in den Bereitschaftsmodus gefahren. Auch die Logdatei /var/log/pm-suspend.log wurde geschrieben, keinerlei Fehlermeldungen. Nach dem Aufwachen sollte jedoch genau in diese Logdatei auch wieder geloggt werden, das geschah nicht. Ein Ping kam circa 5-10 Sekunden nach dem Aufwachen am System an, danach ist es eingefroren. Nach über 30 Minuten warten wachte das System nicht mehr auf. Da keine Logdatei geschrieben wurde ging ich Anfangs davon aus, dass es am eSATA-Stick bzw. dem Kernelmodul liegt. Mittlerweile konnte ich aber den eSATA-Stick, die DVB-S2 Karte, das RAID und die GPU durch Hardwaretausch ausschließen, auch ein neuer Kernel brachte kein Erfolg.

Mit meinem Media-PC unter Ubuntu 9.10 gibt es keinerlei Probleme mit dem Bereitschaftsmodus. Aus diesem Grund wollte ich einen letzten Test mit dem Ubuntu Server durchführen. Dort funktionierte, nach der Installation einiger Pakete, der Bereitschaftsmodus Out-of-the-Box!

Lösung: Vorausgesetzt Ubuntu Server 9.10 ist installiert!

Mit der Installation von pm-utils wird die noch zusätzlich benötigte Software installiert.

aptitude install pm-utils

Bevor das System das erste Mal in den Bereitschaftsmodus gefahren wird, muss es neu gestartet werden.

reboot

Nach dem Neustart kann der Computer problemlos mit…

pm-suspend

…in den Bereitschaftsmodus gefahren werden.

EDIT: Wenn man einen Server ohne Monitor nutzt kann die Datei 99Video aus dem Verzeichniss /usr/lib/pm-utils/sleep.d gelöscht oder verschoben werden.

Links:
pm-utils
Schlafmodi

Ubuntu/Debian – Loop-AES selber kompilieren

Nico — Sat, 12 Dec 2009 17:26:00 +0000

In einem älteren Artikel haben wir uns die veraltete loop-aes-source aus dem Debian-Repository beschafft. Diesmal werden wir uns die aktuellste Source vom Entwickler direkt holen und diese auf unserem Debian Lenny selbst kompilieren.

UPDATE: …funktioniert auch mit Ubuntu!

ACHTUNG: Wichtig ist das, dass Modul loop vorhanden ist. Bei manchen Distributionen ist loop direkt im Kernel kompiliert (CONFIG_BLK_DEV_LOOP=y) oder garnicht (CONFIG_BLK_DEV_LOOP=n), es muss aber als Modul vorhanden sein (CONFIG_BLK_DEV_LOOP=m) damit loop-AES dieses anpassen kann. Zum Kernel kompilieren kann mein Artikel oder die Ubuntuusers Wiki zu Rat gezogen werden.

Zuerst installieren wir uns ein wenig Kernelzubehör.

aptitude install linux-headers-`uname -r` make gcc bzip2

Jetzt holen wir uns die Source von util-linux und loop-AES.

cd /usr/src
wget http://www.kernel.org/pub/linux/utils/util-linux/util-linux-2.12r.tar.gz
tar xvfz util-linux-2.12r.tar.gz
wget http://loop-aes.sourceforge.net/loop-AES-latest.tar.bz2
tar xvfj loop-AES-latest.tar.bz2

Nun kompilieren wir util-linux…

cd util-linux-2.12r patch -p1

…und nun loop-AES.

cd ../../loop-AES-v3.2h
make
rm /lib/modules/`uname -r`/kernel/drivers/block/loop.*
rm /lib/modules/`uname -r`/kernel/drivers/block/cryptoloop.*

reboot

cd /usr/src/loop-AES-v3.2h
make tests

Fertig, nun können wir unser verschlüsseltes Device mounten oder ein neues erstellen. Dazu gibt es am Ende des Artikels “Debian – Loop-AES einrichten” mehr Informationen.

Debian – sichere VNC/RDP Alternative – NX-Server

Nico — Mon, 07 Dec 2009 09:15:08 +0000

Die Lösung lautet NX Server, NX geht in Richtung Terminalserver und stellt eine Desktopumgebung (GNOME, KDE, etc.) bereit. Eigentlich könnte man auch einen VNC-Server verwenden, aber dieser ist standardmäßig nicht verschlüsselt, jede Tasteneingabe, jedes Passwort kann mit gesnifft werden. Es wäre möglich diese Verbindung über eine SSH-Connection zu tunneln, aber warum schwierig wenn es auch einfach geht.

Zuerst beschaffen wir uns die NX Pakete, in meinem Fall für die Architektur i386.

wget http://64.34.161.181/download/3.4.0/Linux/nxclient_3.4.0-5_i386.deb
wget http://64.34.161.181/download/3.4.0/Linux/nxnode_3.4.0-6_i386.deb
wget http://64.34.161.181/download/3.4.0/Linux/FE/nxserver_3.4.0-8_i386.deb

Jetzt installieren wir die soeben heruntergeladenen Pakete.

dpkg -i nx*.deb

Nun kann der NX-Server gestartet werden, das war einfach!

/etc/init.d/nxserver start

Der Client zum Verbinden auf den NX-Server ist für Windows, Linux & Mac OSX verfügbar.

Diesen NX-Server nutze ich für meine Debian VM, die mit VirtualBox ohne GUI erstellt wurde. Eingerichtet wurde die Virtuelle Maschine per RDP über VBoxHeadless, dauerhaft sollte natürlich kein RDP-Server auf dem Wirtsystem laufen. …darum NX!