loggn.de - Mac OSX, Linux und manchmal auch Windows » Debian

Linux – Shell-Befehlsübersicht für Linux Einsteiger

Nico — Tue, 09 Mar 2010 15:58:57 +0000

Janek hat auf seinem Blog 321tux.de eine Shell-Befehlsübersicht für Linux Einsteiger veröffentlicht. So eine klasse Übersicht hätte ich vor 21 Monaten gebraucht. – Dankeschön

Linux – IPTables – Beispielkonfiguration (DNS, HTTP, FTP, PING, SSH, SAMBA & NFS)

Nico — Tue, 02 Mar 2010 07:28:40 +0000

Aufgrund von Problemen mit dem Suspend-To-Ram (pm-suspend), teste ich zur Zeit einige Linux-Distributionen. Sollte sich jemand von euch mit pm-suspend oder s2ram auskennen kann dieser mich gerne kontaktieren. Nach der Installation von CentOS bin ich wieder einmal über IPTables gestolpert. Noch nie habe ich mich näher mit diesen IP-Tabellen beschäftigt – das hat sich jetzt geändert.

Was sind IPTables:

Mit Hilfe von iptables wird Netfilter, der IP-Paketfilter des Linuxkernels konfiguriert.
Ist der Paketfilter des Kernel aktiv (d.h. sind mit iptabels erstellte Filterregeln konfiguriert), so werden alle IP-Datenpakete geprüft. Ankommende Pakete werden geprüft, bevor sie an die Zielanwendung geleitet werden, ausgehende Pakete werden geprüft, bevor sie den Rechner verlassen. Agiert der Rechner als Router (z.B. in einem Netzwerk), so werden die Pakete während der Weiterleitung geprüft. Außerdem besteht auch die Möglichkeit der Paketmanipulation. Die Art der Prüfung lässt sich mit Hilfe von iptables sehr detailliert vorgeben.

Quelle: iptables2 im uu-wiki

Ich möchte hier jetzt eigentlich nicht weiter über die Grundlagen oder Funktionsweiße von IPTables schreiben. Stattdessen möchte ich euch meine Beispielkonfiguration veröffentlichen, bei der eigentlich jeder die Funktion dieser Konfiguration erkennen sollte. Wenn nicht, dann stehen ja kleine Erklärungen obendrüber.

/etc/sysconfig/iptables oder /etc/iptables/iptables.rules je nach Distribution

##########################################################
# Firewall configuration written by NH from www.loggn.de #
##########################################################
*filter
############################
# alles blocken (Paranoid) #
############################
:INPUT REJECT [0:0]
:FORWARD REJECT [0:0]
:OUTPUT REJECT [0:0]
########################################################################
# eingehende & ausgehende Paket für existierende Verbindungen zulassen #
########################################################################
-A INPUT -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -o eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
############################
# loopback Device zulassen #
############################
-A INPUT -i lo -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
##########################
# Ping zulassen (in/out) #
##########################
-A INPUT -p icmp --icmp-type 8 -s 0/0 -d 192.168.137.100 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
-A OUTPUT -p icmp --icmp-type 8 -s 192.168.137.100 -d 0/0 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
##################################
# DNS, FTP & HTTP zulassen (out) #
##################################
-A OUTPUT -p udp --sport 1024:65535 --dport 53 -j ACCEPT
-A OUTPUT -p tcp --sport 1024:65535 -m multiport --dports 20,21 -j ACCEPT
-A OUTPUT -p tcp --sport 1024:65535 -m multiport --dports 80,443 -j ACCEPT
#####################
# SSH zulassen (in) #
#####################
-A INPUT -p tcp -s 192.168.137.0/24 -d 192.168.137.100 --sport 513:65535 --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
#######################
# SAMBA zulassen (in) #
#######################
-A INPUT -p udp -s 192.168.137.0/24 -d 192.168.137.100 -m multiport --dports 137,138 -j ACCEPT
-A INPUT -p tcp -s 192.168.137.0/24 -d 192.168.137.100 -m multiport --dports 139,445 -j ACCEPT
-A INPUT -p udp -s 192.168.137.0/24 -d 192.168.137.255 --dport 137 -j ACCEPT
####################################################################
# NFS zulassen (in)                                                #
# PORT Konfiguration je nach System unterschiedlich                #
# http://www.ecorak.net/linux/howtos/nfs.php                       #
# http://www.sns.ias.edu/~jns/wp/2006/01/18/iptables-nfs/          #
# http://www.tiwoc.de/blog/archives/3-NIS-NFS-versus-iptables.html #
####################################################################
-A INPUT -p tcp -s 192.168.137.0/24 -d 192.168.137.100 -m multiport --dports 111,2049 -j ACCEPT
-A INPUT -p udp -s 192.168.137.0/24 -d 192.168.137.100 -m multiport --dports 111,2049 -j ACCEPT
-A INPUT -p tcp -s 192.168.137.0/24 -d 192.168.137.100 --dport 4000:4003 -j ACCEPT
-A INPUT -p udp -s 192.168.137.0/24 -d 192.168.137.100 --dport 4000:4003 -j ACCEPT
################
# LOG REJECTED #
################
#-A INPUT -j LOG --log-prefix "Rejected "
#-A OUTPUT -j LOG --log-prefix "Rejected "
########
# ENDE #
########
COMMIT

Quellen:
SSH Regel
NFS Regel
LOG Regel
PING Regel
SAMBA Regel
DNS, FTP & HTTP Regeln

WordPress – Upload – Die Datei ist zu groß

Nico — Fri, 05 Feb 2010 11:16:47 +0000

Gestern Abend hatte ich beim Datei-Upload ins WordPress ein Problem.

Fehlermeldung:
Die Datei ist zu groß. Die maximale Dateigröße für deinen Server beträgt 2M.

Dieses Problem lässt sich sehr einfach beheben. Wir editieren die php.ini auf unserem Webserver…

vi /etc/php5/apache2/php.ini

…und suchen nach dem Eintrag upload_max_filesize.

; Maximum allowed size for uploaded files.
upload_max_filesize = 2M

Diesen Eintrag können wir unseren Ansprüchen anpassen. Jetzt starten wir nur noch den Apache2-Server neu, Fertig!

/etc/init.d/apache2 restart

Instant-Messaging über die Konsole (AIM, ICQ, Yahoo!, Jabber und MSN)

Nico — Thu, 28 Jan 2010 15:16:37 +0000

Chris von campino2k.de hat einen interessanten Artikel über “Out-Of-My-Way-Messaging mit irssi, bitlbee und screen” geschrieben.

Erklärung: Irssi ist ein freier IRC-Client auf Kommandozeilenbasis, dieser Client verbindet sich mit dem IRC-Server BitlBee. BitlBee ist ein Instant-Messaging Client. Anders als herkömmliche Clients ist BitlBee jedoch ein Netzwerk-Gateway (Server), der sich dem Benutzer als IRC-Server ausgibt und die Protokolle AIM, ICQ, Yahoo! Messenger, Jabber und MSN kennt. Diese 2 Programme werden in einer Screen-Session gestartet und bleiben auch beim disconnect der SSH-Session verbunden. Bei einem reconnect kann man sich problemlos auf die im Hintergrund laufende Screen-Session aufschalten und die laufenden Programme weiter nutzen.

Link: Out-Of-My-Way-Messaging mit irssi, bitlbee und screen

Ubuntu/Debian – Kernel: 2.6.32.3 – Loop-AES selber kompilieren

Nico — Wed, 13 Jan 2010 19:45:42 +0000

Nach meinem Kernelupdate auf Version 2.6.32.3 wollte ich ganz normal, wie in der alten HowTo beschrieben, loop-AES kompilieren. Jedoch lief bereits das Kompilieren von util-linux-2.12r auf Fehler.

cc -c -O2 -fomit-frame-pointer -I../lib -Wall -Wmissing-prototypes -Wstrict-prototypes -DNCH=1   -D_FILE_OFFSET_BITS=64 -DSBINDIR=\"/sbin\" -DUSRSBINDIR=\"/usr/sbin\" -DLOGDIR=\"/var/log\" -DVARPATH=\"/var\" -DLOCALEDIR=\"/usr/share/locale\" -O2 fsck.cramfs.c -o fsck.cramfs.o
fsck.cramfs.c:79:22: error: asm/page.h: No such file or directory
fsck.cramfs.c: In function ‘romfs_read’:
fsck.cramfs.c:144: warning: ignoring return value of ‘read’, declared with attribute warn_unused_result
fsck.cramfs.c: In function ‘do_symlink’:
fsck.cramfs.c:274: warning: ignoring return value of ‘symlink’, declared with attribute warn_unused_result
fsck.cramfs.c: In function ‘do_uncompress’:
fsck.cramfs.c:361: warning: ignoring return value of ‘write’, declared with attribute warn_unused_result
fsck.cramfs.c: In function ‘main’:
fsck.cramfs.c:532: warning: ignoring return value of ‘read’, declared with attribute warn_unused_result
make[1]: *** [fsck.cramfs.o] Fehler 1
make[1]: Verlasse Verzeichnis '/usr/src/util-linux-2.12r/disk-utils'
make: *** [all] Fehler 1

Um dieses Problem schnellstmöglich zu umgehen habe ich mich für die util-linux Alternative util-linux-ng entschieden. Kurz und knapp nochmal die veränderte HowTo:

Zuerst installieren wir uns ein wenig Kernelzubehör.

aptitude install linux-headers-`uname -r` make gcc bzip2

Jetzt holen wir uns die Source von util-linux-ng und loop-AES

cd /usr/src
wget ftp://ftp.kernel.org/pub/linux/utils/util-linux-ng/v2.16/util-linux-ng-2.16.1.tar.gz
tar xvfz util-linux-ng-2.16.1.tar.gz
wget http://loop-aes.sourceforge.net/loop-AES-latest.tar.bz2
tar xvfj loop-AES-latest.tar.bz2

Nun kompilieren wir util-linux-ng…

cd util-linux-2.12r patch -p1

…und nun loop-AES.

cd ../../loop-AES-v3.2h
make
rm /lib/modules/`uname -r`/kernel/drivers/block/loop.*
rm /lib/modules/`uname -r`/kernel/drivers/block/cryptoloop.*

reboot

cd /usr/src/loop-AES-v3.2h
make tests

Mehr Informationen findet ihr hier:
Ubuntu/Debian – Loop-AES einrichten (alt)
Ubuntu/Debian – Loop-AES selber kompilieren (neuer)

Linux unser

Nico — Thu, 31 Dec 2009 10:47:56 +0000

Als ich heute Mittag meine RSS Feeds auf Neuigkeiten überprüft habe, bin ich über Roman Hanhart seinen Blog ubuntublog.ch gestolpert. Der aktuelle Artikel Linux unser hat mich sehr belustigt.

Darum jetzt auch noch auf loggn.de:

Linux unser in der Freiheit,
gelobt werde deine Offenheit.
Deine Vorteile mögen kommen.
Deine Absicht geschehe,
wie auf PCs so auf Servern.
Unsere tägliche Lust an der Konsole gib uns heute.
Und vergib uns unsere Unfreiheit,
wie auch wir vergeben der Verschlossenheit.
Und führe uns nicht in Versuchung,
sondern erlöse uns vom verschlossenem Wissen.
Denn dein ist die Offenheit und die Kreativität und der Nutzen in Ewigkeit.
sudo

Link: Vater unser

Ubuntu – Green IT – Suspend to RAM – Flexibler Ladenschluss

Nico — Wed, 16 Dec 2009 16:22:33 +0000

Tausende von Servern laufen ohne irgendeine Aktivität 24 Stunden am Tag, 7 Tage die Woche und 365 Tage im Jahr. Aber wenn kein Client im Netzwerk aktiv ist muss in den meisten Netzwerken auch kein Server mehr aktiv sein. In meinem Fall läuft der Server auch 24 Stunden am Tag, obwohl dieser auch nur laufen müsste wenn ein anderen Client im Netzwerk aktiv ist. Mein System (NAS, Backup, VDR-Stream und Virtualisierung) hat eine Leistungsaufnahme von 140 W, das entspricht 3,4 kWh am Tag, 100,8 kWh im Monat. Bei 20 Cent pro Kilowattstunde ergibt das umgerechnet 20,16 € im Monat.

Da kommt der c’t-Artikel in der 25. Ausgabe 09 auf Seite 190 gerade richtig.

Flexibler Ladenschluss
Wake on LAN und Schlaf bei Bedarf für Server und NAS
Linux-Server laufen meist den ganzen Tag, was reichlich Strom vergeudet. Ein Skript legt sie immer dann schlafen, wenn niemand mehr im LAN ist, der ihre Dienste braucht.

Der Autor Reik Kaps hat einen sehr interessanten Artikel geschrieben, das aktuelle Skript kann von einem Mercurial-Repository bei Intuxication heruntergeladen werden. (server-sleepd)

Kurz und knapp meine Zusammenfassung

ACHTUNG! – Debian vs. Ubuntu Server – Suspend to RAM

Zuerst installieren wir benötigte Software.

aptitude install ethtool mercurial

Danach aktivieren wir Wake On Lan (pre-down ethtool -s eth0 wol g) in der /etc/network/interfaces,…

vi /etc/network/interfaces

# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).
# The loopback network interface
   auto lo
   iface lo inet loopback
# The primary network interface
   allow-hotplug eth0
   iface eth0 inet static
   address 192.168.0.100
   netmask 255.255.255.0
   gateway 192.168.0.1
   dns-nameservers 192.168.0.1
   pre-down ethtool -s eth0 wol g

…mit diesem Befehl testen wir welche Schlafmodien unser System unterstützt.

echo; for i in --suspend --hibernate --suspend-hybrid; do pm-is-supported $i && echo "$(echo $i | tr [:lower:] [:upper:] | tr -d -) is supported"; done; echo

Nun zum Skript, ich bevorzuge lieber den Namen “sleepmed” an Stelle von “server-sleepd”,…

cd /usr/src
hg clone http://mercurial.intuxication.org/hg/server-sleepd
cp /usr/src/server-sleepd/server-sleepd /etc/init.d/sleepmed

Jetzt passen wir das Skript noch an, es müssen die jeweiligen IPs der Clients und die gewünschte Aktion festgelegt werden.

vi /etc/init.d/sleepmed

Ein paar Codeschnipsel als Beispiel.

# Liste der zu testenden Adressen
# nicht zu überprüfende lassen
# sich auskommentieren
HOSTS=`grep -v ^# <> Router
#192.168.0.100 >> ...das NAS selber!
192.168.0.100
192.168.0.101
192.168.0.102
192.168.0.200
!`

# shutdown- oder sleep-Befehl samt Parameter
# *BITTE anpassen* /bin/true ist zum testen gedacht!
#
# CMD="/sbin/shutdown -h"
# CMD="/sbin/halt"
# CMD="/usr/sbin/pm-suspend"
# CMD="/usr/sbin/pm-powersave"
CMD="/usr/sbin/pm-suspend"

Das Skript kann dann mit folgenden Optionen gefüttert werden.

/etc/init.d/sleepmed run      #Starte Skript im Vordergrund
/etc/init.d/sleepmed start    #Start als Daemon
/etc/init.d/sleepmed stop     #Stopt den Daemon
/etc/init.d/sleepmed restart  #Neustart des Daemons
/etc/init.d/sleepmed status   #Statusabfrage

Ab jetzt wird fleißig Geld gespart.

Links:
pm-utils
Schlafmodi
server-sleepd
Flexibler Ladenschluss c’t-Artikel

Update:
Nach dem Suspend to RAM kann das System per Magic Packet (Wake On Lan), von einem beliebigen Client im Netzwerk, wieder aufgeweckt werden.
Linux: wakeonlan 12:23:45:67:89:0a
Windows: Wake.exe 12-23-45-67-89-0a xxx.xxx.xxx.255

Debian vs. Ubuntu Server – Suspend to RAM

Nico — Wed, 16 Dec 2009 16:00:50 +0000

In den meisten Fällen ist der Ruhezustand und der Bereitsschaftsmodus unter Ubuntu kein Problem mehr. Mit der Linux-Distribution Debian habe ich festgestellt, dass es mit bestimmter Hardware hin und wieder zu Problemen kommt. Das kann daran liegen, dass bei Ubuntu die Pakete wesentlich aktueller gehalten werden.

Server-Hardware:

Board: MSI P45D3 Platinum
CPU: Intel Pentium Dual-Core E2220
RAM: G.Skill DIMM 2GB PC3-10667U
GPU: ASUS Extreme N6200LE TC256
DVB-S2: TechnoTrend S2-3200 HDTV-S2
SYS-HDD: OCZ Throttle eSATA Flash Drive 8GB
DATA-HDDs: Samsung SpinPoint F1 1000GB (HD103UJ)

Die letzten 6 Tage habe ich mich mit dem Bereitschaftsmodus (Suspend to RAM) unter Debian Lenny (ohne X-Server) beschäftigt. Nachdem ich alle erdenklichen Wiki-Einträge, Foren-Threads und Blog-Artikel über dieses Thema gelesen habe, alle möglichen Kommandos inkl. Optionen ausprobiert habe, bin ich zu dem Fazit gekommen > “Was für ein Sch***!”.

Problem: In meinem Fall ist das System beim pm-suspend problemlos in den Bereitschaftsmodus gefahren. Auch die Logdatei /var/log/pm-suspend.log wurde geschrieben, keinerlei Fehlermeldungen. Nach dem Aufwachen sollte jedoch genau in diese Logdatei auch wieder geloggt werden, das geschah nicht. Ein Ping kam circa 5-10 Sekunden nach dem Aufwachen am System an, danach ist es eingefroren. Nach über 30 Minuten warten wachte das System nicht mehr auf. Da keine Logdatei geschrieben wurde ging ich Anfangs davon aus, dass es am eSATA-Stick bzw. dem Kernelmodul liegt. Mittlerweile konnte ich aber den eSATA-Stick, die DVB-S2 Karte, das RAID und die GPU durch Hardwaretausch ausschließen, auch ein neuer Kernel brachte kein Erfolg.

Mit meinem Media-PC unter Ubuntu 9.10 gibt es keinerlei Probleme mit dem Bereitschaftsmodus. Aus diesem Grund wollte ich einen letzten Test mit dem Ubuntu Server durchführen. Dort funktionierte, nach der Installation einiger Pakete, der Bereitschaftsmodus Out-of-the-Box!

Lösung: Vorausgesetzt Ubuntu Server 9.10 ist installiert!

Mit der Installation von pm-utils wird die noch zusätzlich benötigte Software installiert.

aptitude install pm-utils

Bevor das System das erste Mal in den Bereitschaftsmodus gefahren wird, muss es neu gestartet werden.

reboot

Nach dem Neustart kann der Computer problemlos mit…

pm-suspend

…in den Bereitschaftsmodus gefahren werden.

EDIT: Wenn man einen Server ohne Monitor nutzt kann die Datei 99Video aus dem Verzeichniss /usr/lib/pm-utils/sleep.d gelöscht oder verschoben werden.

Links:
pm-utils
Schlafmodi

Ubuntu/Debian – Loop-AES selber kompilieren

Nico — Sat, 12 Dec 2009 17:26:00 +0000

In einem älteren Artikel haben wir uns die veraltete loop-aes-source aus dem Debian-Repository beschafft. Diesmal werden wir uns die aktuellste Source vom Entwickler direkt holen und diese auf unserem Debian Lenny selbst kompilieren.

UPDATE: …funktioniert auch mit Ubuntu!

ACHTUNG: Wichtig ist das, dass Modul loop vorhanden ist. Bei manchen Distributionen ist loop direkt im Kernel kompiliert (CONFIG_BLK_DEV_LOOP=y) oder garnicht (CONFIG_BLK_DEV_LOOP=n), es muss aber als Modul vorhanden sein (CONFIG_BLK_DEV_LOOP=m) damit loop-AES dieses anpassen kann. Zum Kernel kompilieren kann mein Artikel oder die Ubuntuusers Wiki zu Rat gezogen werden.

Zuerst installieren wir uns ein wenig Kernelzubehör.

aptitude install linux-headers-`uname -r` make gcc bzip2

Jetzt holen wir uns die Source von util-linux und loop-AES.

cd /usr/src
wget http://www.kernel.org/pub/linux/utils/util-linux/util-linux-2.12r.tar.gz
tar xvfz util-linux-2.12r.tar.gz
wget http://loop-aes.sourceforge.net/loop-AES-latest.tar.bz2
tar xvfj loop-AES-latest.tar.bz2

Nun kompilieren wir util-linux…

cd util-linux-2.12r patch -p1

…und nun loop-AES.

cd ../../loop-AES-v3.2h
make
rm /lib/modules/`uname -r`/kernel/drivers/block/loop.*
rm /lib/modules/`uname -r`/kernel/drivers/block/cryptoloop.*

reboot

cd /usr/src/loop-AES-v3.2h
make tests

Fertig, nun können wir unser verschlüsseltes Device mounten oder ein neues erstellen. Dazu gibt es am Ende des Artikels “Debian – Loop-AES einrichten” mehr Informationen.

Debian – sichere VNC/RDP Alternative – NX-Server

Nico — Mon, 07 Dec 2009 09:15:08 +0000

Die Lösung lautet NX Server, NX geht in Richtung Terminalserver und stellt eine Desktopumgebung (GNOME, KDE, etc.) bereit. Eigentlich könnte man auch einen VNC-Server verwenden, aber dieser ist standardmäßig nicht verschlüsselt, jede Tasteneingabe, jedes Passwort kann mit gesnifft werden. Es wäre möglich diese Verbindung über eine SSH-Connection zu tunneln, aber warum schwierig wenn es auch einfach geht.

Zuerst beschaffen wir uns die NX Pakete, in meinem Fall für die Architektur i386.

wget http://64.34.161.181/download/3.4.0/Linux/nxclient_3.4.0-5_i386.deb
wget http://64.34.161.181/download/3.4.0/Linux/nxnode_3.4.0-6_i386.deb
wget http://64.34.161.181/download/3.4.0/Linux/FE/nxserver_3.4.0-8_i386.deb

Jetzt installieren wir die soeben heruntergeladenen Pakete.

dpkg -i nx*.deb

Nun kann der NX-Server gestartet werden, das war einfach!

/etc/init.d/nxserver start

Der Client zum Verbinden auf den NX-Server ist für Windows, Linux & Mac OSX verfügbar.

Diesen NX-Server nutze ich für meine Debian VM, die mit VirtualBox ohne GUI erstellt wurde. Eingerichtet wurde die Virtuelle Maschine per RDP über VBoxHeadless, dauerhaft sollte natürlich kein RDP-Server auf dem Wirtsystem laufen. …darum NX!