This content was uploaded by our users and we assume good faith they have the permission to share this book. If you own the copyright to this book and it is wrongfully on our website, we offer a simple DMCA procedure to remove your content from our site. Start by pressing the button below!
<s> oder
167
Eine Hilfe mit den Tastaturkommandos wird angezeigt. Im Text wird um eine voreingestellte Anzahl von Zeilen vorwärts geblättert. In der Regel ist das die Menge Text, die auf einen Bildschirm passt. Stellen Sie eine Zahl voran, wird um die angegebene Anzahl Zeilen vorwärts geblättert. Wie <space> oder mit dem Unterschied, dass die optional vorangestellte Zahl zur neuen Voreinstellung wird. Rückwärts blättern um die voreingestellte Menge Text. Diese ist wie bei space voreingestellt auf die Menge Text, die auf einen Bildschirm passt. Wie mit dem Unterschied, dass die optional vorangestellte Zahl zur neuen Voreinstellung wird. Ohne vorangestellte Zahl wird um eine Zeile vorgeblättert, ansonsten um die angegebene Anzahl von Zeilen. Rückwärts blättern um eine Zeile oder die spezifizierte Anzahl von Zeilen. Defaultmäßig ein halber Bildschirm vorwärts, sonst die angegebene Anzahl von Zeilen. Wie , jedoch rückwärts. Der Text wird um die angegebene Anzahl von Spalten (Zeichen) nach rechts verschoben, ohne Angabe um acht. Der Text wird um die angegebene Anzahl von Spalten nach links verschoben, ohne Angabe um acht. Der Bildschirm wird neu gezeichnet. Es wird zu der Textstelle gesprungen, die der angegebenen Menge des Textes in Prozent entspricht. Wenn Sie 50 und dann
eingeben, gelangen Sie zur Mitte des Textes. Suchen. Nach dem Schrägstrich ist ein regulärer Ausdruck einzugeben und abschließend zu drücken. less sucht nach Zeichenfolgen, die zum RE passen und springt zum ersten Treffer. Wenn Sie mehrmals nach der gleichen Zeichenfolge suchen, setzen Sie die Suche mittels Eingabe von (new) fort. Geben Sie ein, um rückwärts weiter zu suchen. Wie , nur rückwärts. Es wird der voreingestellte Editor mit der Datei geöffnet. Das Kommando funktioniert nur bei Dateien. (save) Der Text wird in eine Datei gespeichert. Das Kommando funktioniert nur bei Datenströmen. (quit) Beendet das Programm less.
Die Pfeiltasten sowie die Tasten <Page Up> und <Page Down> funktionieren ebenfalls erwartungsgemäß. Einige Kommandos stimmen mit denen des Texteditors vi überein. Wer diesen Editor gewohnt ist, findet sich schnell zurecht.
168
2 Linux/UNIX
Manchmal ist es notwendig, less mitzuteilen, welchen Zeichensatz das Programm benutzen soll. Hierzu dient die Umgebungsvariable (siehe Abschnitt 2.7.5 Benannte Variable auf Seite 77) LESSCHARSET. Einige Werte für diese Variable sind: • •
• •
ascii Es werden nur die Zeichen des US-ASCII-Zeichensatzes angezeigt. Die deutschen Umlaute gehören nicht dazu. iso8859 Dieser Zeichensatz entspricht weitgehend dem ASCII-Zeichensatz, enthält jedoch zusätzlich die Sonderzeichen westeuropäischer Sprachen, Dieser Wert ist vorgegeben, falls die Variable LESSCHARSET nicht gesetzt ist. dos MS-DOS Zeichensatz. koi-8r Zeichensatz für die russische Sprache (kyrillische Schrift).
Um den Inhalt russischer (kyrillischer) Textdateien anzuzeigen, die mit dem Zeichensatz koi-8r kodiert sind, ist folgendes Kommando einzugeben, bevor less aufgerufen wird: joe@debian:~$ export LESSCHARSET=koi-8r Ein kyrillischer Font für den Bildschirm muss eingerichtet sein. Ohne Font geht nichts. 2.11.4 Betrachten komprimierter Dateien mit zless Fast alle Textdateien in den Verzeichnissen unterhalb von /usr/share/doc liegen in mittels gzip komprimierter Form vor. Um diese Dateien mit less zu betrachten, sind sie vorher zu dekomprimieren. Einfacher geht es mit dem Kommando zless. Das Kommando dekomprimiert die Datei und zeigt sie an: joe@debian:~$ zless /usr/share/doc/bash/FAQ.gz Neben zless steht auch das Kommando zmore zur Verfügung, welches den Inhalt komprimierter Dateien oder eines komprimierten Datenstroms mit dem Programm more anzeigt. 2.11.5 Anzeigen spezieller Daten mit lessfile und lesspipe Die beiden Programme lessfile und lesspipe erlauben es, auch Dateien mit less zu betrachten, bei denen es sich nicht um Textdateien handelt. Die Programme können von less aufgerufen werden, bevor eine Datei angezeigt wird, und die Datei so umwandeln, dass ihr Inhalt wie gewöhnlicher Text angezeigt wird. Die Programme unterscheiden sich dadurch, dass lesspipe die umgewandelten Daten direkt auf die Standardausgabe gibt, die mit der Standardeingabe von less verbunden ist, während lessfile zunächst die gesamte anzuzeigende Datei umwandelt, das Ergebnis in eine temporäre Datei schreibt und den Inhalt der Datei mit less anzeigt. Die Datei wird bei Beendigung von less gelöscht. Bei der Verwendung von lessfile muss also gelegentlich länger gewartet werden, bis Daten angezeigt werden, während lesspipe sofort Daten zur Verfügung stellt, die aber
2.12 Editoren
169
möglicherweise zu Beginn noch nicht komplett durchsucht werden können, weil sie noch nicht umgewandelt wurden. Beide Programme entscheiden anhand der Endung des Namens einer Datei, wie die betreffenden Daten umzuwandeln sind. Daraus ergibt sich, dass dieses Verfahren nur dann funktioniert, wenn der Inhalt einer Datei angezeigt wird und nicht, wenn von der Standardeingabe gelesen wird. Im zweiten Fall steht kein Dateiname zur Verfügung. Das Programm less erfährt durch die beiden Umgebungsvariablen LESSOPEN und LESSCLOSE davon, welche Programme vor und nach dem Anzeigen einer Datei aufgerufen werden sollen. Die beiden Variablen können mit den Programmen lessfile bzw. lesspipe gesetzt werden. Wenn Sie lessfile benutzen, geben Sie folgendes Kommando ein: joe@debian:~$ eval $(lessfile) Wenn Sie lesspipe benutzen, ist dieses Kommando zu verwenden: joe@debian:~$ eval $(lesspipe) Um diese Einstellung dauerhaft zu verwenden, ist das entsprechende Kommando in der Startdatei der Standardshell anzugeben (siehe Abschnitt 2.7.1 Konfiguration und Startdateien auf Seite 51). Mit dem Aufruf: joe@debian:~$ set | grep LESS ermitteln Sie, ob die beiden Umgebungsvariablen gesetzt sind. Falls ja, kann less den Inhalt sowie die Beschreibung von Debian-Paketen oder von komprimierten Dateien anzeigen. Um beispielsweise den Inhalt des Debian-Archivs grub_0.97-16.1_i386.deb anzuzeigen, ist im Verzeichnis /var/cache/ apt/archives folgendes Kommando einzugeben: joe@debian:~$ less grub_0.97-16.1_i386.deb wobei man vorteilhaft von der Dateinamenergänzung mittels Gebrauch macht.
2.12 Editoren 2.12.1 Grundbegriffe Ein Editor – wörtlich ein Herausgeber – ist im allgemeinen Sinn ein Werkzeug zum Erzeugen und Verarbeiten von Dateien. Zum Erzeugen und Verarbeiten von Textdateien wird ein Texteditor benötigt, ein Texteisen. Andere Editoren bearbeiten Formeln, Grafiken, Musiknoten, Sounddateien oder beliebige binäre Daten. Texteditoren stellen den Inhalt der zu verarbeitenden Textdatei auf dem Bildschirm dar und ermöglichen, durch Editierkommandos Text einzugeben oder den angezeigten Text zu ändern. Es lassen sich zwei Gruppen von Texteditoren unterscheiden:
170
•
•
2 Linux/UNIX
Texteditoren im engeren Sinn nehmen Zeicheneingaben und Editierkommandos entgegen, formatieren den Text aber nicht und stellen auch keinen formatierten Text auf dem Bildschirm dar (von der Zeilenstruktur abgesehen, die man kaum als Format bezeichnen kann). Sie fügen von sich aus keine verdeckten Zeichenketten in den Text ein. In der Systemverwaltung spielen nur diese Editoren eine Rolle. WYSIWYG-Editoren – auch Textprozessoren genannt – kennen Formatieranweisungen und zeigen deren Auswirkungen sofort auf dem Bildschirm an, daher der Name WYSIWYG = What You See Is What You Get, zu Deutsch: Auf dem Bildschirm sieht man, wie der Text später auf Papier aussieht, mehr oder weniger. Textprozessoren sind hauptsächlich in Büros anzutreffen.
Obwohl die Textprozessoren als die intelligenteren Werkzeuge erscheinen, sind ihnen bei anspruchsvollen Aufgaben die einfachen Texteditoren in Verbindung mit Formatier- oder Satzprogrammen überlegen. Unsere Debian-Bücher beispielsweise sind mit Texteditoren erster Art geschrieben und dann mittels des Satzprogramms LATEX formatiert worden. Ferner kann man Texteditoren ebenso wie andere Werkzeuge danach einteilen, ob sie mit einem Textbildschirm auskommen oder eine grafische Oberfläche mitbringen. Ein vergleichsweise einfacher Texteditor mit grafischer Oberfläche ist gedit. Den Emacs gibt es in beiden Geschmacksrichtungen. gvim ist eine vi-Variante mit grafischer Oberfläche. Alle Texteditoren stehen vor dem Problem, das sie über ein- und dieselbe Tastatur sowohl Text wie Editierkommandos empfangen, wobei die wenigen Editiertasten der üblichen PC-Tastatur mit etwas über 100 Tasten bei weitem nicht ausreichen. Es haben sich zwei Lösungen herausgebildet: •
•
Die Editoren der vi-Familie kennen zwei Modi. Im Eingabe- oder Schreibmodus werden alle Eingaben als zu speichernder Text aufgefasst, im Befehls- oder Kommandomodus als Editierkommandos. Die Editoren der Emacs-Familie kennen nur einen Modus (oder keinen) und unterscheiden die Editierkommandos durch besondere Tastenkombinationen vom eingegebenen Text.
Beide Wege haben Vor- und Nachteile sowie ihre Anhänger. Man sollte keinen Glaubenskrieg darum entfachen. Schreiben kann man mit beiden gleichermaßen. Unter Debian GNU/Linux stehen Ihnen verschiedene Texteditoren zur Verfügung, die jedoch nicht alle auf Ihrem Rechner eingerichtet zu sein brauchen. Die Texteditoren nehmen am Alternativen-System von Debian teil, siehe /etc/ alternatives. Das Kommando editor kann Ihren Lieblingseditor aufrufen, unabhängig davon, wie der tatsächlich heißt. Neben den oft gebrauchten Texteditoren gibt es Werkzeuge für besondere Aufgaben wie den Streaming-Editor sed, ein Filter, das einen Text nach mitgegebenen Regeln bearbeitet, oder Hex-Editoren, die eine beliebige Datei byteweise zu editieren gestatten. Auch das Mischen rechts- und linksläufiger Schriften in einem Text ist eine Aufgabe für Spezialisten. In unserem zweiten Debian-Band gehen wir auf einige dieser Editoren ein.
2.12 Editoren
171
2.12.2 Zeichensätze Wenn es um Texte geht, muss man sich zuerst mit dem Problem der Zeichensätze herumschlagen. Das hat nichts mit Linux/UNIX zu tun, sondern gilt für alle Betriebssysteme. Der Rechner kennt nur Bits und Bytes (Oktetts, Gruppen von 8 Bits). Die Bedeutung erhalten die Bits durch die Programme. Ob eine Bitfolge in der Menschenwelt eine Zahl, ein Wort oder einen Schnörkel darstellt, entscheidet die Software. Um mit Texten zu arbeiten, muss zuerst ein Zeichensatz (E: character set, F: jeu de caractères) vereinbart werden. Dieser besteht aus einer anfangs ungeordneten Menge von Zeichen, auch Répertoire oder Zeichenvorrat genannt, die nur besagt, welche Zeichen bekannt sind. Zu dem Zeichenvorrat der europäischen Sprachen gehören: • • • • • •
Kleine und große Buchstaben, auch mit Akzenten (Diakritika) usw., Ziffern, Satzzeichen, Symbole: aus der Mathematik, Euro-Symbol, Klammeraffe (E: commercial at, F: arobace), et-Zeichen, Leerzeichen (Zwischenraum, Space), Tabulator (so genannte Whitespaces, Zeichen, die einen Vorschub erzeugen, aber keine Druckerschwärze verlangen), Steuerzeichen wie Zeilenwechsel (Line Feed), Seitenwechsel (Form Feed), Backspace.
In einem zweiten Schritt wird die Menge geordnet, jedem Zeichen wird eine Position (E: code position, code point, Unicode scalar value) zugewiesen. Nahe liegend ist eine mit null beginnende Nummerierung. Die geordnete Menge ist der Zeichensatz. In der Regel bekommt jedes Zeichen auch noch einen Namen, siehe Tabelle 2.4. Wir wissen aber noch nicht, wie die Zeichen im Rechner und auf dem Bildschirm oder auf Papier dargestellt werden. Auch die Aussprache der Zeichen ist noch zu vereinbaren und nicht einheitlich. Das Zeichen ist vorläufig noch abstrakt. Tab. 2.4: Ausschnitt aus dem Zeichensatz Latin-1 Nummer Zeichen Name Nr. 008 Nr. 055 Nr. 104 Nr. 123 Nr. 220
bs 7 h { Ü
Backspace (Rückschritt) Digit seven (Ziffer sieben) Latin small letter h (lateinischer Kleinbuchstabe h) Left curly bracket (linke geschweifte Klammer) Latin capital letter u with diaresis (lateinischer Großbuchstabe u-Umlaut)
Die Zeichencodierung (E: character encoding) legt fest, wie eine Folge von Zeichen in eine Folge von Bits oder Bytes umzuwandeln ist, und zurück. Der Zeichensatz ist von seiner Codierung zu unterscheiden. Im einfachsten Fall wird die vorzeichenlose, ganzzahlige Positionsnummer als Code für ein Zeichen genommen. Dann
172
2 Linux/UNIX
stellt sich die Frage, wie solche Zahlen im Rechner dargestellt werden. Der häufigste Fall ist eine Darstellung als duale Zahl mit sieben oder acht Bits. Wir kommen so zur Codetafel. In der linken Spalte stehen die Zeichen, in der rechten die Bits oder umgekehrt. Mit diesem Schritt ist die rechnerinterne Darstellung der Zeichen festgelegt, aber noch nicht deren Aussehen auf Schirm oder Papier, die Glyphen. Zu Zeiten, als Bits noch knapp und teuer waren, haben die Nordamerikaner eine Codetafel aufgestellt, in der die ihnen bekannten Buchstaben, Ziffern und Satzzeichen zuzüglich einiger Steueranweisungen wie Zeilen- und Seitenvorschub mit sieben Bits dargestellt werden. Das war Sparsamkeit am falschen Platz, aber schon ein Fortschritt gegenüber dem Fernschreib-Alphabet, das nur fünf Bits oder Löcher auf dem Lochstreifen vorsah. Mit sieben Bits unterscheide ich 27 = 128 Zeichen, nummeriert von 0 bis 127. Diese Codetafel ist unter dem Namen American Standard Code for Information Interchange (ASCII) weit verbreitet und seit 1963 in ISO 646 genormt, gleichzeitig auch als CCITT-Empfehlung V.3. Um Missverständnisse auszuschließen, heißt sie ausführlich 7-bit-US-ASCII. Jeder Rechner kennt sie. Die ersten 32 Zeichen der ASCII-Tafel dienen der Steuerung der Ausgabegeräte, es sind unsichtbare Zeichen. Ein Beispiel für Steuerzeichen ist das ASCII-Zeichen Nr. 12, Form Feed, das einen Drucker zum Einziehen eines Blattes Papier veranlasst. Auf der Tastatur werden sie entweder in Form ihrer Nummer oder mit gleichzeitig gedrückter -Taste erzeugt. Die Ziffern 0 bis 9 tragen die Nummern 48 bis 57, die Großbuchstaben die Nummern 65 bis 90. Die Kleinbuchstaben haben um 32 höhere Nummern als die zugehörigen Großbuchstaben, was das Umrechnen erleichtert. Der Rest sind Satzzeichen. Im Anhang ist die ASCII-Tafel wiedergegeben. Das Kommando: joe@debian:~$ man ascii bringt sie auf den Schirm. Textausgabegeräte wie Bildschirme oder Drucker erhalten vom Rechner die ASCII-Nummer eines Zeichens und setzen diese mittels eingebauter Software in das entsprechende Zeichen um. So wird beispielsweise die ASCII-Nr. 100 in den Buchstaben d umgesetzt. Die Ausgabe der Zahl 100 als Zeichenkette erfordert das Abschicken der ASCII-Nr. 49, 48, 48. Die US-ASCII-Tafel enthält nicht die deutschen Umlaute und andere europäische Absonderlichkeiten. Es gibt einen Ausweg aus dieser Klemme, leider sogar mehrere. Bleibt man bei sieben Bits, muss man einige nicht unbedingt benötigte US-ASCII-Zeichen durch nationale Sonderzeichen ersetzen. Für deutsche Zeichen ist eine Ersetzung gemäß DIN 66003 üblich, siehe Anhang 20.3 German ASCII auf Seite 1059. German ASCII ist als Variante Nr. 21 in ISO 646 registriert. Für Frankreich oder Schweden lautet die Ersetzung anders, siehe die deutsche Wikipedia unter dem Begriff ISO 646. Im Ausgabegerät, das die Umsetzung der ASCII-Nummern in Zeichen vornimmt, liegt eine solche Ersatztafel. Deshalb kann ein entsprechend ausgestatteter Bildschirm oder Drucker dieselbe Textdatei einmal mit amerikanischen ASCIIZeichen ausgeben, ein andermal mit deutschen ASCII-Zeichen. Im ersten Fall erscheinen geschweifte und eckige Klammern, im zweiten stattdessen Umlaute. Wer-
2.12 Editoren
173
den bei Ein- und Ausgabe unterschiedliche Codetafeln verwendet, gibt es Zeichensalat. Andersherum gesagt: Wenn ich einen Text ausgebe, muss ich die Codetafel der Eingabe kennen und verwenden. Spendiert man ein Bit mehr, so lassen sich 28 = 256 Zeichen darstellen. Das ist der bessere Weg. Die Firma IBM hat schon früh bei größeren Anlagen den Extended Binary Coded Decimal Interchange Code (EBCDIC) mit acht Bits verwendet, der nirgends mit ASCII übereinstimmt. Hätte sich diese Codetafel statt ASCII durchgesetzt, wäre uns Europäern einige Mühe erspart geblieben. Eine globale Lösung wäre es aber auch nicht gewesen. Bei ihren PCs schließlich wollte IBM außer nationalen Sonderzeichen auch einige Halbgrafikzeichen wie Mondgesichter, Herzchen, Noten und Linien unterbringen und schuf einen weiteren Zeichensatz namens IBM-PC, der in seinem Kern mit USASCII übereinstimmt, ansonsten aber weder mit EBCDIC noch mit Latin-irgendwas. Die internationale Normen-Organisation ISO hat mehrere 8-bit-Zeichensätze festgelegt, von denen einer unter dem Namen Latin-1 nach ISO-8859-1 Verbreitung gewonnen hat, vor allem in weltweiten Netzdiensten. Seine untere Hälfte ist mit USASCII identisch, die obere enthält die Sonderzeichen west- und mitteleuropäischer Sprachen. Der Aufruf: joe@debian:~$ man iso_8859_1 zeigt die Tafel. Polnische und tschechische Sonderzeichen sind in Latin-2 nach ISO 8859-2 enthalten. Die Zeichensätze Latin-1 bis 4 sind ebenfalls im Standard ECMA-94 beschrieben (ECMA = European Computer Manufacturers Association). Kyrillische Zeichen sind in ISO 8859-5, griechische in ISO 8859-7 festgelegt (logischerweise nicht als Latin-* bezeichnet; Latin-5 ist Türkisch nach ISO 8859-9). ISO 8859-15 oder Latin-9 entspricht Latin-1 zuzüglich des Eurosymbols und weiterer Kleinigkeiten. Die Latin-Zeichensätze enthalten außer dem gewohnten Zwischenraum- oder Leerzeichen (space) ein in Textverarbeitungen oft benötigtes Zeichen für einen Zwischenraum, bei dem kein Zeilenumbruch erfolgen darf (Latin-1 Nr. 160, no-break space). Im Satzsystem LATEX wird hierfür die Tilde verwendet, in HTML die Umschreibung (entity) . Dieses Zeichen kommt beispielsweise zwischen Zahl und Maßeinheit oder innerhalb eines Namens vor. Auch wenn die Ein- und Ausgabegeräte 8-bit-Zeichensätze kennen, ist noch nicht sicher, dass man die Sonderzeichen benutzen darf. Die Programme müssen ebenfalls mitspielen. Der hergebrachte vi-Editor, die curses-Bibliothek für Bildschirmfunktionen und einige Email-Programme verarbeiten nur 7-bit-Zeichen. Erst jüngere Versionen von Linux/UNIX mit Native Language Support unterstützen 8bit-Zeichensätze voll. Textverarbeitende Software, die 8-bit-Zeichensätze verträgt, wird als 8-bit-clean bezeichnet. Bei Textübertragungen zwischen Rechnern (insbesondere Email) ist Misstrauen angebracht. Die Konsequenz heißt in kritischen Fällen Beschränkung auf 7-bit-US-ASCII, das funktioniert immer und überall. Das Problem verliert jedoch an Bedeutung. Wenn wir das Abendland verlassen, stellen wir fest, dass es drei Gruppen von Schriften gibt:
174
• • •
2 Linux/UNIX
alphabetische Schriften (E: alphabetic scripts): Lateinisch, Griechisch, Kyrillisch, Arabisch, Hebräisch, Devanagari mit jeweils wenigen hundert Zeichen, Silbenschriften (E: syllabic scripts): Hiragana, Hangul, Thai, mit jeweils wenigen tausend Zeichen, Begriffsschriften (E: ideographic scripts): Chinesisch, Japanisch, Koreanisch, Vietnamesisch (CJKV), mit etwa 50000 Zeichen im Chinesischen.
Nicht alle Schriften werden – wie wir es gewohnt sind – von links nach rechts geschrieben und gelesen. Texte, die eine Mischung aus rechts- und linksläufigen Schriften enthalten, fordern die Software heraus. Mehrere Einrichtungen bemühen sich, diese Vielfalt unter einen Hut zu bringen: •
•
• • •
die International Standardization Organization (ISO), die Internationale NormenOrganisation mit Sitz in Genf, an der auch das Deutsche Institut für Normung (DIN) beteiligt ist, http://www.iso.org/ bzw. http://www2.din. de/, die International Electrotechnical Commission (IEC), an der die Deutsche Kommission Elektrotechnik Elektronik Informationstechnik im DIN + VDE beteiligt ist, http://www.iec.ch/ bzw. http://www.dke.de/, das Unicode Consortium, ein Zusammenschluss führender Hersteller und Institutionen sowie von Einzelpersonen, http://www.unicode.org/, das World Wide Web Consortium (W3C), zu erreichen unter http://www. w3.org/International/, das Internet in Form einiger Requests For Comments.
Eine große, gemeinsame Richtung ist erkennbar, wenn auch im Einzelnen die unterschiedlichen Bezeichnungen und Zuständigkeiten verwirren. Tab. 2.5: Darstellung des Zeichens A in verschiedenen Standards Standard
dual dez
ASCII (7 bit) 1000001 ISO 8859-1 (8 bit), UTF-8 01000001 UTF-16, UCS-2 (16 bit) 00000000 01000001 UTF-32, UCS-4 (32 bit) 00000000 00000000 00000000 01000001
65 65 65 65
ISO und IEC haben mit der Norm ISO/IEC 10646 einen Zeichensatz (Zeichen, Namen und Positionsnummer) festgelegt, der die Zeichen aller historischen, gegenwärtigen und zukünftigen Schriftsprachen der Erde berücksichtigt. Dieser Zeichensatz heißt Universal Character Set (UCS), ausführlich Universal Multiple Octet Coded Character Set. Unabhängig von der ISO arbeitet das Unicode Consortium seit 1991 an dem gleichen Ziel und hat einen Zeichensatz namens Unicode geschaffen. Glücklicherweise haben beide Einrichtungen zusammengefunden. Im Jahr 2003 erschien Unicode in Version 4, die der Norm ISO/IEC 10646:2003 folgt. Der einheitliche Zeichensatz reicht für mehr als eine Million Zeichen. Die Standards von ISO/IEC
2.12 Editoren
175
und Unicode unterscheiden sich in ergänzenden Abschnitten, die teilweise verschiedene Themen aufgreifen. Geht es nur um den Zeichensatz, bedeuten Unicode, UCS und ISO/IEC 10646 dasselbe. In den untersten 256 Zeichen ist Unicode mit Latin-1 identisch, in den untersten 128 Zeichen folglich mit US-ASCII. Die nächste Frage betrifft die Umsetzung der Zeichen oder ihrer Nummern in Bits und Bytes. Nahe liegt eine Darstellung durch 2 oder 4 Bytes, wobei das höchstwertige Byte zuerst übertragen wird (bigendian), wenn nicht anders bestimmt (UTF = Unicode Transformation Format): •
•
UCS-4 (UTF-32) verwendet eine feste Anzahl von 32 Bits (4 Bytes) und codiert damit bis zu 232 = 4294967296 Zeichen (Positionen). Der Bedarf an Speicherplatz ist maximal. UCS-2 (UTF-16) ist ein Kompromiss, der für die häufigeren Zeichen 2 Bytes (65 536 Positionen) und für die selteneren ein Paar von UCS-2-Codes (4 Bytes) verwendet. Von Java und MS Windows benutzt.
Die Linux/UNIX-Familie bekommt damit ein Problem. In UCS-2- oder UCS-4codierten Zeichenketten treten häufig Nullbytes (00000000) auf, siehe Tabelle 2.5. Diese haben in der Programmiersprache C und damit auch in Linux/UNIX eine besondere Bedeutung: Sie beenden eine Zeichenkette. Außerdem kennen die herkömmlichen Linux/UNIX-Werkzeuge nur Zeichen mit der Länge von einem Byte. Wir brauchen eine andere Codierung des Zeichensatzes. Die Lösung des Linux/UNIX-Problems – ausgedacht von K ENNETH T HOMP SON mit Unterstützung durch ROB P IKE, beide UNIX-Urgestein – besteht in UTF-8, das 1 bis 6 Bytes verwendet und alle UCS-Zeichen codiert. Der Bedarf an Speicherplatz ist minimal, dafür muss mehr gerechnet werden. UTF-8 codiert nach folgender Vorschrift: • •
•
•
• •
Die US-ASCII-Zeichen Nr. 0 bis 127 (hex 00 bis 7F) bleiben, wie sie sind: ein Byte, höchstwertiges Bit null. Alle Zeichen >127 werden als Folgen mehrerer Bytes codiert, wobei in jedem Byte das höchstwertige Bit gesetzt ist. Somit tritt kein ASCII-Byte als Teil eines Zeichens >127 auf. Das erste Byte einer Bytefolge, die ein Zeichen >127 darstellt, beginnt mit so vielen Einsen, wie die Folge Bytes umfasst, gefolgt von einer Null, und liegt damit im Bereich von 192 bis 253 (hex C0 bis FD). Die restlichen Bits tragen zur Codierung der Positionsnummer bei. Die weiteren Bytes der Folge beginnen stets mit 10, die restlichen Bits tragen zur Codierung der Positionsnummer bei. Die Bytes liegen damit im Bereich von 128 bis 191 (hex 80 bis BF). Die Bytes 254 und 255 (hex FE und FF) werden nicht verwendet. Jedes Zeichen wird durch seine kürzest mögliche Bytefolge codiert, die Codierung ist umkehrbar eindeutig.
Die Folgen können bis zu sechs Bytes lang sein; die 65000 häufiger vorkommenden Zeichen erfordern jedoch nur bis zu drei Bytes. UFT-8 ist im Web verbreitet und
176
2 Linux/UNIX
gewinnt in der Linux/UNIX-Welt an Boden. Ein Beispiel: Unser Eszett (ß) hat im Latin-1-Zeichensatz die Nr. 223 und damit auch in UCS oder Unicode. Der Aufruf: joe@debian:~$ unicode -d 223 liefert als Ergebnis: U+00DF LATIN SMALL LETTER SHARP S UTF-8: c3 9f UTF-16BE: 00df Decimal: ß SS (SS) Uppercase: U+00DF Category: Ll (Letter, Lowercase) Bidi: L (Left-to-Right) was Folgendes bedeutet: •
• • •
Das Zeichen mit der hexadezimal ausgedrückten Position U+00DF (dezimal 223) in Unicode trägt den Namen LATIN SMALL LETTER SHARP S, wird in UTF-8 durch hexadezimal c3 9f, in bigendian UTF-16 durch hexadezimal 00df dargestellt. Der zugehörige Großbuchstabe (den es nicht gibt) ist identisch mit dem Kleinbuchstaben. Das Zeichen fällt in die Kategorie der Kleinbuchstaben. Das Zeichen gehört zu den Schriften, die von links nach rechts geschrieben werden.
Probieren Sie obige Eingabe mit den Nr. 167, 188, 216, 555, 1648, 4711 und 12345 aus. Die UTF-8-Darstellung des Eszetts liest sich dual: c3 9f = 11000011 10011111 = 110 00011
10 011111
Von links gelesen ergibt die Anzahl der Einsen bis zur ersten Null die Anzahl der zum Zeichen gehörenden Bytes, hier zwei. Vom ersten Byte sind dann die ab der dritten Eins stehenden Stellen zu nehmen, hier 11. Vom zweiten Byte sind die beiden führenden Bits zu streichen, der Rest ist an die 11 vom ersten Byte anzuhängen, sodass sich 11011111 = 223 dezimal ergibt. Bei solchen Rechnungen ist der Zahlenbasiskonverter gbase aus dem gleichnamigen Debian-Paket hilfreich. Wir haben nun einen globalen Zeichensatz (UCS, Unicode) samt einer Codierung (UTF-8), die ins Konzept von Linux/UNIX passt. Jetzt muss noch die Software mitspielen. Werkzeuge wie cat lesen Bytes ein und geben Bytes aus, ohne auf ihre Bedeutung zu achten. Die brauchen nichts von UTF-8 zu verstehen. Aber überall dort, wo die Länge von Zeichenketten gefragt ist, müssen die Funktionen und Programme jetzt aufpassen. Die alte Gleichheit Byte = Zeichen = Schritt auf dem Bildschirm gilt nicht mehr. Ein Zeichen kann aus mehreren Bytes bestehen und – bei den CJKV-Sprachen – doppelt breit sein. Bestimmte Zeichen wie selbständige Akzente veranlassen keinen Schritt auf dem Bildschirm, haben also die Breite null. Betroffen sind Programme wie ls, wc und die Texteditoren. Da der Benutzer keinen Einfluss auf seine Werkzeuge hat, bleibt nur die Hoffnung, dass die Textwerkzeuge unter Debian GNU/Linux zunehmend UTF-8 beherrschen. Auf der Webseite zum
2.12 Editoren
177
Debian-Paket vim aus etch ist von Unicode die Rede; der aktuelle Emacs murmelt etwas von some Unicode support. Es gibt auch Editoren, die speziell für UTF-8 und bidirektionale Schreibweise entwickelt worden sind, aber das führt hier zu weit. Zusammenfassend noch einmal die drei in der Linux/UNIX-Welt gebräuchlichsten Zeichensätze und Codierungen: • •
•
Alt, bewährt, verbreitet, aber beschränkt in seinen Möglichkeiten: 7-bit-ASCII nach ISO 646, verbreitet, aber nur für das Abendland ausreichend: ISO/IEC 8859 mit 8 Bits, daraus für West- und Mitteleuropa ISO-8859-1, auch Latin-1 oder IBM Codepage 819 genannt. UCS bzw. Unicode mit der Codierung UTF-8, nach ISO/IEC 10646 und Unicode Version 4, ein bis sechs Bytes, zukunftssicher und zunehmend unterstützt.
Wer sich eingehender mit Unicode und UTF-8 beschäftigen möchte, findet einen Einstieg bei: • • • • • •
http://www.unicode.org/Public/ sowie http://www.unicode. org/faq/, RFC 3629 UTF-8, a transformation format of ISO 10646. B RUNO H AIBLE, The Unicode HOWTO (2001), http://www.tldp.org/ HOWTO/Unicode-HOWTO.html, M ARKUS K UHN, UTF-8 and Unicode FAQ for Unix/Linux, http://www.cl. ac.uk/~mgk25/unicode.html, ROMAN C ZYBORRA, Unicode Transformation Formats: UTF-8 & Co., http: //czyborra.com/utf/, A LAN W OOD, Unicode and Multilingual Support in HTML, Fonts, Web Browsers and Other Applications, http://www.alanwood.net/unicode/,
Die Standards gibt es gegen Entgelt bei den jeweiligen Organisationen. Zu Fonts17 , also den Darstellungen der Zeichen auf Bildschirm oder Papier, findet sich bei TLDP ein HOWTO Optimal Use of Fonts on Linux (2007) von AVI A LKALAY und weiteren Autoren. Die hervorragende comp.fonts FAQ von N ORMAN WALSH (1996, http: //nwalsh.com/) ist leider am Verschwinden. 2.12.3 Die vi-Familie Der Standard-Texteditor auf allen Linux/UNIX-Systemen ist der vi (visual editor). Deshalb sind Grundkenntnisse des vi hilfreich, auch wenn Sie zur Arbeit einen anderen Editor bevorzugen. Ein weiterer Vorteil des vi besteht darin, dass er keine grafische Oberfläche braucht. Sie können ihn auch dann benutzen, wenn Sie sich über das Netz auf einem anderen System angemeldet haben oder wenn Sie die Konfiguration Ihrer grafischen Oberfläche reparieren müssen. Der Original-vi steht unter 17
Ein Font ist eine Sammlung von Schriftzeichen, ursprünglich der Inhalt eines Setzkastens, allenfalls noch eine Gemeinde im Kanton Fribourg (http://www.font.ch/). Ein Fonds – französisch auszusprechen – hat etwas mit Geld zu tun. Einen Fond – ebenfalls französischen Ursprungs – gibt es im Auto, auf der Bühne und in der Küche.
178
2 Linux/UNIX
Debian nicht zur Verfügung, dafür aber mehrere vi-ähnliche Editoren wie vim (vi improved) oder nvi (new vi). Diese bieten zusätzliche Eigenschaften, die dem ursprünglichen vi fehlen. Sie verstehen jedoch alle die im Folgenden gezeigten Kommandos. Welche vi-Variante nach Eingabe des Kommandos vi tatsächlich aufgerufen wird, wird mit dem Alternativen-System festgelegt. Unter etch für vi vorgegeben ist /usr/bin/nvi. Im Abschnitt 2.8.8 Verschieben und Umbenennen auf Seite 138 hatten wir ein Unterverzeichnis texte angelegt und eine Textdatei namens GPL-Komm dorthin verschoben. Wir wechseln in das Unterverzeichnis und geben folgendes Kommando ein: joe@debian:~/texte$ vi GPL-Komm Achten Sie auf Groß- und Kleinschreibung und benutzen Sie so bald wie möglich die -Taste zwecks Vervollständigung der Wörter. Dann probieren wir verschiedene Editierkommandos aus. Navigation im Text Sie sehen nun den Inhalt der Datei auf dem Bildschirm. Ähnlich wie bei less sollten Sie in der Lage sein, mit den Tasten <Page Up> und <Page Down> im Text vor- und zurückzublättern. Genauso können Sie die Pfeiltasten verwenden, um die Einfügemarke (den Cursor) im Text zu bewegen und zeilenweise vorwärts und rückwärts zu gehen. Weil die Tasten jedoch nicht überall zu Verfügung stehen oder nicht richtig konfiguriert sind, dienen zur Bewegung des Cursors zusätzlich folgende Kommandos: <j>
Cursor nach links Cursor nach rechts Cursor nach unten Cursor nach oben (null) Cursor zum Zeilenanfang Cursor zum Zeilenende Cursor zur siebten Zeile Cursor zum Textende
Während der Eingabe von Text (im Eingabemodus) können Sie keines der vorstehenden Kommandos zur Navigation im Text benutzen, da die Tasten als normale Texteingabe aufgefasst werden. Um die Eingabe zu beenden und in den Kommandomodus zu wechseln, muss die Taste <esc> betätigt werden. Wenn sich Ihr vi verrückt gebärdet, schauen Sie einmal auf die Caps-Lock-Taste. Die verleiht vielen Tastenkommandos eine völlig andere Bedeutung. Ein Beispiel liefert die viel benutzte Taste <j>. Suchen Genauso wie in less können Sie mit dem vi durch Eingabe der Kommandofolge muster nach bestimmten Textmustern suchen, wobei muster durch
2.12 Editoren
179
die Zeichenfolge ersetzt werden muss, nach der gesucht werden soll. Weiterhin ist es möglich, durch die Kommandofolge nach dem gleichen Text wie bei der vorhergehenden Suche zu suchen. Hierzu kann – wie bei less – auch das Kommando benutzt werden. Das Suchmuster ist ein regulärer Ausdruck, siehe Abschnitt 2.10.1 Reguläre Ausdrücke auf Seite 157. Einfügen Zum Einfügen von Text dienen folgende Kommandos:
<esc>
Einfügen von Text vor dem Cursor (insert) Einfügen von Text hinter dem Cursor (append) Erzeugen einer neuen (leeren) Zeile unterhalb der Zeile, in der sich der Cursor befindet, und Einfügen von Text in diese Zeile (open) Erzeugen einer neuen (leeren) Zeile oberhalb der Zeile, in der sich der Cursor befindet, und Einfügen von Text in diese Zeile (Open) Beenden der Eingabe (Umschalten in Kommandomodus), kann mehrmals hintereinander gegeben werden
Nachdem eines der oben aufgeführten Kommandos benutzt wurde, kann mit der Tastatur Text eingegeben werden. Falsche Eingaben werden mit der Taste (Backspace) rückgängig gemacht. Wenn Sie während der Texteingabe die Taste drücken, wird eine neue Zeile unterhalb der aktuellen Zeile erzeugt, das heißt ein Zeilenwechsel geschrieben. Mit <esc> beenden Sie die Eingabe und gelangen in den Befehlsmodus. Löschen Zum Löschen von Text stehen folgende Kommandos zur Verfügung: <x> <w>
Löschen des Zeichens, auf dem sich der Cursor befindet Löschen des Wortes, auf dessen Anfang sich der Cursor befindet Löschen der Zeile, auf der sich der Cursor befindet
Das Löschen funktioniert selbstverständlich nur im Kommandomodus, andernfalls werden die Buchstaben geschrieben. Verschieben Mit folgenden Kommandos werden Textzeilen verschoben:
(yank) Die Zeile, auf der sich der Cursor befindet, wird in einen Zwischenspeicher kopiert. Falls sich vorher anderer Text im Zwischenspeicher befunden hat, wird dieser überschrieben
180
2 Linux/UNIX
Dasselbe für drei Zeilen (put) Die Zeilen im Zwischenspeicher werden unterhalb der Zeile, auf der sich der Cursor befindet, eingefügt (put) Die Zeilen im Zwischenspeicher werden oberhalb der Zeile, auf der sich der Cursor befindet, eingefügt
Es gibt weitere Möglichkeiten, die von Zwischenspeichern Gebrauch machen. Zurücknehmen von Änderungen Mit dem Kommando (undo) nehmen Sie die jeweils letzte Änderung zurück. Damit ist die gesamte Auswirkung eines Kommandos gemeint. Wird beispielsweise nach Verwendung des Kommandos <x> die Taste gedrückt, so wird das vorher gelöschte Zeichen wieder eingesetzt. Wenn nach der Eingabe von Text beispielsweise durch die Kommandos – insert, Texteingabe – <esc> ausgeführt wird, wird der gerade eingegebene Text gelöscht. Speichern und Verlassen Es ist möglich, den vi zu verlassen, ohne die vorgenommenen Änderungen zu speichern. Außerdem kann die Datei unter einem neuen Namen gespeichert werden, ohne die alte zu überschreiben. Ferner kann man die bearbeitete Datei zwischendurch speichern, ohne den Editor zu verlassen (dringend anzuraten). Und schließlich kann die Datei gesichert und das Programm dann verlassen werden. Um diese Operationen durchzuführen, ist vi in einen speziellen Kommandomodus zu schalten, den ex-Modus18 . Hierzu ist das Kommando einzugeben. Genau wie den Eingabemodus verlassen Sie auch den ex-Modus durch Betätigung der Taste <esc>. Im ex-Modus stehen Ihnen folgende Kommandos zur Verfügung: Speichern. Die Datei wird auf der Festplatte unter dem aktuellen Namen gespeichert. Dabei wird die ursprüngliche Version der Datei überschrieben. Der Editor wird nicht verlassen. w Name Speichern unter. Die Datei wird auf der Festplatte unter dem mit Name angegebenen Dateinamen gespeichert. Hierbei kann auch ein relativer oder absoluter Pfadname angegeben werden. wq Speichern und verlassen. Die Datei wird auf der Festplatte unter dem aktuellen Namen gespeichert. Danach wird vi beendet. q Beenden. Der Editor wird beendet. Falls Änderungen an der bearbeiteten Datei noch nicht gesichert sind, erscheint eine Warnung, und der Editor wird nicht beendet. q! Sofort verlassen. Der Editor wird in jedem Fall beendet. Ungespeicherte Änderungen gehen verloren. w
18
ex ist ein uralter zeilenorientierter Editor. Wie man in /etc/alternatives sieht, verbirgt sich bei Debian hinter ex das Kommando /usr/bin/nex.
2.12 Editoren
181
Die Editoren der vi-Familie beherrschen wesentlich mehr Funktionen als oben dargestellt, aber die lernt man erst bei Bedarf. Die meisten Benutzer kommen mit zwei Dutzend Editierkommandos aus, gelegentliche Benutzer sogar mit nur einem Dutzend. 2.12.4 Die Emacs-Familie Der Emacs gehört nicht zur Grundeinrichtung eines Debian-GNU/Linux-Systems, sondern muss vom Verwalter nachgerüstet werden: debian:~# apt-get install emacs21 Das Paket belegt nach dem Auspacken rund 50 MB auf der Platte. Um den Emacs aufzurufen, gibt man joe@debian:~$ emacs ein, gegebenenfalls mit Dateinamen dahinter. Nach ein paar Sekunden sollte sich ein Fenster öffnen - mit dem Schnellstart ist das bei Emacs so eine Sache, denn üblicherweise ruft man ihn am Anfang einer Sitzung auf und schließt ihn erst wieder, wenn man sich ausloggt. Falls Sie mit einer grafischen Benutzeroberfläche arbeiten, öffnet sich ein Fenster, dessen weitgehend selbsterklärende Menüs und Piktogramme einen schnellen Einstieg erlauben, siehe Abbildung 2.9. Andernfalls öffnet man mit +<x> + (zwei Tastenkombinationen hintereinander) eine Datei, falls nicht schon beim Aufruf von Emacs geschehen. Dann kann man direkt mit dem Schreiben loslegen; emacs kennt keine getrennten Kommando- und Eingabemodi wie vi. Eine neue Zeile beginnt man mit (nach dem Cursor) oder + (davor). Kleine Tippfehler korrigieren wir mittels Pfeiltasten und Backspace oder <del> bzw. <entf>, ganze Zeilen lassen sich mit + löschen und mit + wieder einfügen. Bei größeren Missgeschicken hilft +<x> , welches das letzte Kommando rückgängig macht (undo). Vermissen Sie in Ihrem Text etwas, können Sie mit +<s> eine Suche vorwärts und mit + dasselbe rückwärts beginnen. Schließlich drücken wir +<x> +<s> zum Speichern des Geschriebenen und +<x> +, um Emacs zu beenden. Verlässt man Emacs, ohne vorher zurückzuschreiben, wird man gefragt, ob man nicht doch abspeichern möchte. Falls Sie sich in irgend einem Unterkommando verfangen – was früher oder später vorkommt – befreien Sie sich mit + oder im schlimmsten Fall <esc> <esc> <esc>. Abschließend seien die recht umfangreichen Hilfsfunktionen des Emacs erwähnt: Drückt man + , kann man einen Begriff eingeben, zu dem Emacs dann Hilfe sucht. Dabei werden Sie meistens mehrere Befehle zu sehen bekommen, die Sie eintippen können, wenn Sie vorher ein +<x> eingeben. Nach ein paar Mal wird das zu langweilig, und man fragt Emacs per + <w>, auf welcher Taste der jeweilige Befehl zu finden ist. Wollen Sie noch mehr lernen, zeigt Ihnen + eine Einführung in den Umgang mit Emacs an, bei einer deutschen Installation auf Deutsch.
182
2 Linux/UNIX
Abb. 2.9: Screenshot des Texteditors GNU Emacs mit grafischer Oberfläche, überraschend einfach zu benutzen
Editoren mit Emacs-ähnlichem Verhalten sind jove, XEmacs und Microemacs. Insbesondere jove empfiehlt sich, wenn man nicht gleich voll einsteigen will. Man kann sich an jeden Editor gewöhnen, nur nicht jede Woche an einen anderen.
3 X Window System (X11) und Arbeitsumgebungen
Das X Window System ist die Grundlage für Grafik unter Linux/UNIX. Das System ist leistungsfähig, aber nicht einfach zu durchschauen. Wir lernen einige Begriffe und Konzepte kennen.
3.1 Was ist X11? Das X Window System (kurz X11 oder X, als Release 7 auch X11R7) stellt die einheitliche Grundlage für grafische Benutzeroberflächen und weitere rastergrafische (bitmap-orientierte) Anwendungen unter Linux/UNIX dar. X11 ist nicht auf die Linux/UNIX-Welt beschränkt, aber es stammt von dort und ist dort am stärksten verbreitet. Es war wie UNIX ein großer Wurf und für die Hardware zur Zeit seiner Entstehung fast zu anspruchsvoll. Heute profitieren wir von den Visionen seiner Entwickler. In einem wesentlichen Punkt unterscheidet X11 sich von anderen grafischen Fenstersystemen: Es ist netzfähig (netztransparent). Unter X11 wird ein Netzprotokoll – das X-Protokoll – benutzt, über das Anwendungen (X-Clients) einem XServer1 mitteilen, dass Fenster und andere Grafiken auf dem Bildschirm dargestellt werden sollen. Im Gegenzug teilt der X-Server der Anwendung mit, wenn vom Benutzer Aktionen (Ereignisse, events) wie Mausbewegungen oder Tastenanschläge ausgeführt worden sind. Das X-Protokoll hat nichts mit dem Internet und seinen Protokollen (TCP/IP) zu tun. Durch die Aufteilung in Server und Clients macht es aus Sicht des Benutzers keinen Unterschied, ob eine Anwendung auf demselben Rechner ausgeführt wird, von dem aus sie auch benutzt wird, oder auf einem anderen Rechner, der vielleicht über mehr Rechenleistung oder spezielle Software verfügt. Der lokale Rechner übernimmt dabei lediglich die Darstellung der Fenster und die Weitergabe von Benutzereingaben (Tastatur- und Mausereignissen). Er arbeitet dann als 1
Das Wort Server bezeichnet eine Software, die Dienste für andere Programme erbringt. Oft wird das Wort auch für die Maschine gebraucht, auf der eine derartige Software läuft. Dasselbe gilt für Clients, die von Servern Dienste verlangen.
184
3 X Window System (X11) und Arbeitsumgebungen
X-Terminal, eine Gerätegattung, die es vorübergehend in Hardware gab, bis sie von PCs oder gleichwertigen Rechnern mit X-Servern in Software abgelöst wurde. Auch heute noch lassen sich leistungsschwache, nicht gerade uralte PCs als X-Terminals weiter verwenden, Stichworte Linux Terminal Server Project und Thin Client. Das X Window System wurde am Massachusetts Institute of Technology (MIT) zusammen mit IBM und der heute nicht mehr existierenden Firma Digital Equipment Coporation im Projekt Athena entwickelt. Im Jahr 1987 erschien die Version 11, Release 1 (X11R1). Gleichzeitig wurde am MIT das X Consortium gegründet, um das System zu betreuen. 1993 wurde das X Consortium als selbständige Organisation aus dem MIT ausgegliedert und ein Jahr später das Release 6 (X11R6) veröffentlicht, das bis 2006 aktuell blieb. 1996 schließlich löste sich das X Consortium zu Gunsten der Open Software Foundation auf. Heute wird das System von der X.Org Foundation gepflegt (http://www.x.org/ und http://x.org/). Ende 2005 erschienen die beiden funktionsgleichen, nur unterschiedlich aufgebauten Releases X11R6.9 und X11R7.0. Im Februar 2007 wurde X11R7.2 freigegeben (released). Das System wird unter einer X License im Quellcode veröffentlicht, die keine Lizenzgebühren verlangt. Wer über eine schnelle Netzanbindung und ausreichend Massenspeicher verfügt, kann sich bei X.Org das System herunterladen. Ein deutscher Spiegel ist ftp://gwdg.de/pub/X11/x.org/. Das System besteht im Wesentlichen aus Bibliotheken – zuunterst die Xlib, darauf der X-Toolkit Xt – Fonts, Werkzeugen, Musteranwendungen und Dokumentation. X11 liefert die Grundlage für grafische Anwendungen, lässt aber Einzelheiten – das Look and Feel – offen. Es ist gesichtslos (faceless). Das war eine bewusste Entscheidung, um allen Betriebssystemen die Einbindung eines X-Servers in ihr eigenes Look and Feel zu erlauben. Infolgedessen entwickelten sich zunächst zahlreiche firmengebundene Gestaltungs- und Benutzungskonzepte, sehr zum Leidwesen der Benutzer und zur Freude konkurrierender grafischer Benutzeroberflächen. Mit dem Motif-System aus Gestaltungsregeln und dazu gehörenden Funktionen sowie dem darauf aufsetzenden Common Desktop Environment (CDE) wurde wieder für Einheit in der UNIX-Welt gesorgt. Leider sind Motif und CDE weder kostenfrei noch offen, sodass für Linux eigene Lösungen geschaffen werden mussten. Heute wetteifern in der Linux-Welt zwei grafische Benutzerumgebungen miteinander: das GNU Network Object Model Environment (GNOME), das den GIMP-Toolkit (GTK+) als Funktionsbibliothek verwendet, und das K Desktop Environment (KDE), das auf den Quasar-Toolkit (Qt) der norwegischen Firma Trolltech baut. Beide Umgebungen unterscheiden sich vom Ansatz her deutlich, lassen sich aber so konfigurieren, dass für den Benutzer die Unterschiede fast verschwinden. Ein Programmierer arbeitet nach Möglichkeit mit einer höheren Funktionsbibliothek wie Qt oder GTK+, die auf dem X Toolkit Xt aufsetzen. Die unterste Schicht bildet die Xlib, auf die zurückzugreifen dem Programmieren in Assembler gleicht oder dem Bau eines Hauses, wenn der Bauherr auf einen Wald, eine Tongrube und eine Erzmine angewiesen ist. Die Netzfähigkeit von X11 beruht auf der Trennung von X11-Anwendungen in einen lokal auf dem Arbeitsplatzrechner laufenden X-Server und mehrere irgendwo laufende X-Clients. Der X-Server ist zuständig für die Darstellung auf dem Bild-
3.1 Was ist X11?
185
schirm und für die Entgegennahme von Eingaben (Tastatur, Maus). In der Regel greift er selbst unmittelbar auf die Hardware zu und bringt infolgedessen die entsprechenden Treiber für Tastatur, Maus und Grafikkarte mit. Auf einem Rechner läuft üblicherweise nur ein X-Server, weil es eine wacklige Angelegenheit ist, wenn mehrere Treiber gleichzeitig über ein Stück Hardware herfallen. Ein X-Server kann mehrere Bildschirme, Tastaturen und Mäuse steuern. Die Clients sind so von Eigenheiten der jeweiligen Hardware weitgehend entlastet. Der Server ist auf dem Rechner zuhause, vor dem der Benutzer sitzt. Das läuft der gewohnten Vorstellung von Servern als dicken Maschinen fernab im Netz zuwider, ist aber logisch. Auf der anderen Seite stehen die Anwendungen, die X-Clients, die über das X-Protokoll mit dem X-Server kommunizieren und diesen beispielsweise anweisen, Fenster auf dem Bildschirm zu öffnen, oder von ihm die Mitteilung erhalten, dass der Benutzer eine Taste gedrückt oder die Maus geschubst hat. Natürlich – und das ist bei Einzelsystemen immer der Fall – können sich X-Server und X-Clients auch auf demselben Rechner befinden. Oft laufen sogar einige Clients lokal, andere irgendwo im Netz, nur der Server ist an den Arbeitsplatz des Benutzers gebunden. Weiteres auf den Manualseiten zu Xserver und xset. Aus mehreren Gründen bemühen sich die Entwickler, den Server einfach und schlank zu halten. Er übernimmt nur die unumgänglichen Aufgaben, alles andere wird Clients übertragen. Zu seinen Aufgaben gehören insbesondere nicht die Fensterverwaltung, das Erzeugen von Menüs, Knöpfen, Scrollbars und die Interpretation von Tastatureingaben oder Mausbewegungen. Dafür sind die Anwendungen (Clients) zuständig, allen voran der Fenster-Manager, der in Abschnitt 3.6 FensterManager auf Seite 201 besprochen wird. So gesehen ist der X-Server ein ziemlich dummes Stück Software. Auf PCs ist der freie X-Server XFree86 (http://www.xfree86.org/) verbreitet, der bei Debian in den Paketen xfree86-common und xserver-xfree86 verfügbar ist. Unter etch liegt im Paket xserver-xorg eine jüngere Alternative von X.Org. Neben XFree86 und X.Org gibt es kommerzielle X-Implementierungen, z. B. von der Firma XIGraphics (http://www.xig.com/) oder von der Firma Metrolink (http://www.metrolink.com/). Soll auf einem Rechner ein X-Server eingerichtet werden, so ist dieser in Abhängigkeit von der in dem Rechner vorhandenen Grafikkarte auszuwählen. Für den X-Server und die Grafikkarte muss ein Treiber verfügbar sein, entweder von X.Org oder vom Hersteller der Karte. Spezielle oder frisch auf den Markt gekommene Grafikkarten können problematisch sein. Auch bei besonderen Eingabegeräten, die über Tastatur und Maus/Rollkugel hinausgehen, ist die Zusammenarbeit mit dem X-Server zu klären. Grundsätzlich verfügt X11 über eine Schnittstelle für Server-Erweiterungen (extension). Ein Server kann sich normalerweise nicht selbst aufrufen, eine Schachtelung (nesting) von X-Servern ist nicht zulässig. Braucht man jedoch einen Server inneroder unterhalb eines Servers – beispielsweise zum Untersuchen von Display- oder Fenster-Managern – so leistet Xnest den Dienst, ein Programm, das sich zum tatsächlichen Server wie ein X-Client verhält, zu den in ihm gestarteten Clients wie ein Server. Üblicherweise weist man dem Subserver ein eigenes Display zu, sodass der Aufruf wie folgt aussehen könnte:
186
3 X Window System (X11) und Arbeitsumgebungen
Abb. 3.1: Screenshot des Sub-X-Servers Xnest mit dem vtwm-Fenster-Manager, einer Xclock, einem GNOME-Terminal und einem aus diesem heraus gestarteten Rechenprogramm gbase
joe@debian:~$ Xnest -ac :1 & vorausgesetzt der tatsächliche Server arbeitet mit dem Display Nr. 0. Die Option -ac setzt die Zugangskontrollen (access control) außer Kraft, für den Anfang der einfachste Weg zum Erfolg. Erläuterungen (mehr als im Manual) erhält man mittels: joe@debian:~$ Xnest -help Anschließend startet man in einem Fenster des tatsächlichen Servers einen TerminalEmulator: joe@debian:~$ DISPLAY=:1 gnome-terminal & und kann dann in dem Emulator unter dem Subserver weitere Dinge tun, wobei die Angabe des Displays nicht vergessen werden darf. Warnungen bezüglich fehlender exotischer Fonts sind belanglos. Beenden des Subservers über das Menü links oben oder den x-Button rechts oben. Abbildung 3.1 zeigt ein Beispiel. Die Screenshots der Display-Manager von Abschnitt 3.4 Display-Manager ab Seite 195 wurden mit folgender Kommandozeile vorbereitet: joe@debian:~$ export XNESTSIZE=1300x900; gdmthemetester console circles
3.2 X Font Server (xfs)
187
wobei das Kommando gdmthemetester Xnest voraussetzt. Für viele Aufgaben stehen sowohl dem Verwalter wie dem Anwender drei Gruppen von Werkzeugen zur Auswahl: • • •
ein textbasiertes, nicht grafikfähiges Werkzeug, das geringe Ansprüche stellt, aber nicht unbedingt die Erwartungen eines heutigen Benutzers erfüllt, ein grafikfähiges, auf X11, nicht aber auf bestimmten Grafikbibliotheken (GTK+, Qt . . . ) basierendes Werkzeug, ein grafikfähiges, auf X11 und bestimmten höheren Grafikbibliotheken basierendes Werkzeug, von denen Qt und GTK+ in der Linux-Welt am weitesten verbreitet sind.
Die Qt-Bibliothek (Quasar Toolkit) wird vom K Desktop Environment (KDE) bevorzugt, während der GIMP Toolkit (GTK+) von GNOME verwendet wird. Beispielsweise ist die unter Debian verfügbare Tabellenkalkulation sc (spreadsheet calculator) mit einem Textbildschirm zufrieden, ähnlich wie der Texteditor vi. Die Tabellenkalkulation oleo ist ein X-Client, und gnumeric bzw. kspread sind leistungsfähige Tabellenkalkulationen unter GNOME und KDE. X11 ist ein offener Standard, der auf vielen Betriebssystemen der Linux/UNIXFamilie und weiteren zur Verfügung steht. Daraus ergibt sich der Vorteil, dass Anwendungen, die auf anderen Linux/UNIXen ausgeführt werden, auch von einem Debian-System aus benutzt werden können, eine Netzverbindung zwischen den Rechnern vorausgesetzt. Darüber hinaus sind X-Server für fast alle modernen Betriebssysteme erhältlich, sodass auch von einem MS-Windows-Rechner oder Macintosh aus mit Anwendungen (Clients) gearbeitet werden kann, die auf einem Linux/UNIX-Rechner ausgeführt werden. Beispielsweise kann ein X-Server, der auf einem MS-Windows-Rechner oder einem Macintosh läuft, über ein Netz auf eine Datenbank zugreifen, die auf einem Linux/UNIX-Rechner arbeitet. Dieser Weg besteht zusätzlich zu etwaigen Netzfähigkeiten der Datenbank selbst.
3.2 X Font Server (xfs) X-Server brauchen zur Darstellung von Text Fonts, das heißt Beschreibungen, wie die Textzeichen, die Glyphen2 aussehen. Liegen die Font-Dateien auf der Maschine, auf welcher der X-Server läuft, ist weiter nichts zu unternehmen. Er findet sie im Font Path, siehe die Konfigurationsdatei /etc/X11/XF86Config-4 oder xorg.conf. Hat man mehrere Maschinen im lokalen Netz, müssten auf jeder die Font-Dateien eingerichtet werden, was unnötig Massenspeicherplatz kostet und Pflegeaufwand mit sich bringt. Deshalb reicht es seit X11R5, wenn auf ein oder zwei Maschinen im lokalen Netz die Fonts liegen und ein X-Font-Server 2
Der Buchstabe A oder die Ziffer 7 haben je nach Font oder Schreibgewohnheit unterschiedliche Formen, zu dem abstrakten Zeichen gehören mehrere Glyphen. Umgekehrt können auch zu einem Glyph, beispielsweise H, in verschiedenen Schriften (Lateinisch, Griechisch, Kyrillisch) unterschiedliche abstrakte Zeichen gehören.
188
3 X Window System (X11) und Arbeitsumgebungen
Abb. 3.2: Screenshot des Werkzeugs xfd bei der Anzeige der X11-Cursor
läuft, der alle X-Server per X Font Service Protocol bedient. Der klassische XFont-Server ist im Debian-Paket xfs enthalten, weitere findet man in der Abteilung X Window System software der Paketlisten. Die Konfiguration von xfs liegt in /usr/X11R6/lib/X11/fs/config, die zugehörige Manualseite enthält und erklärt eine Musterkonfiguration. Eine Hilfe zum Umgang mit X-Fonts bietet: joe@debian:~$ man 7x X in den Abschnitten, deren Überschrift das Wort FONT enthält. Mittels: joe@debian:~$ man -k font | less wird eine Übersicht über Kommandos angezeigt, die sich mit Fonts befassen, nicht alle zu X11 gehörig. Ein X-Font-Server bedient mehrere X-Server im lokalen Netz. Umgekehrt kann ein X-Server von mehreren X-Font-Servern Fonts beziehen, und schließlich kann sich ein X-Font-Server an einen Kollegen wenden (Verkettung). Das beinhaltet auch, dass häufig gebrauchte Fonts lokal gespeichert sind (um das Netz zu entlasten) und seltener gebrauchte von einem Font-Server abgerufen werden. Ein Benutzer kann zusätzlich persönliche Fonts (Griechisch, Kyrillisch, Devanagari . . . ) in einem Unterverzeichnis (myfonts) seines Home-Verzeichnisses speichern. Das Unterverzeichnis ist dem Font Path des lokalen X-Servers hinzuzufügen. Für eine alleinstehende X11-Installation oder auf einem X-Font-Server sollten mindestens folgende Pakete eingerichtet sein:
3.2 X Font Server (xfs)
• • • • •
189
xfonts-base grundlegende bitmapped Fonts niedriger Auflösung, xfonts-75dpi bitmapped Fonts für Bildschirme niedriger Auflösung, unter 1024 x 768 Größe, xfonts-100dpi bitmapped Fonts für Bildschirme hoher Auflösung, über 1024 x 768 Größe, xfonts-scalable skalierbare Fonts, xfonts-utils einige erforderliche Werkzeuge, erst ab etch verfügbar.
Weitere Fonts und Kodierungen nach Bedarf. Auf Rechnern, auf denen diese Fonts eingerichtet sind, können sie in der Konfigurationsdatei des X-Servers im Abschnitt Files mit ihrem Pfad eingetragen werden.
Abb. 3.3: Screenshot des X11-Font-Editors xmbdfed
Die Namen der X-Fonts sind länglich und geben Auskunft über mehrere Eigenschaften der Fonts. Zerpflücken wir eine Zeile aus der Datei /etc/X11/fonts/ 100dpi/xfonts-100dpi.alias, die kurze Aliasnamen für einige ausführliche Fontnamen enthält: •
•
lucidasanstyperwriter-24 der Aliasname, wie er in X-Ressourcen verwendet werden kann. Es folgt der ausführliche Name mit Bindestrichen als Trennzeichen zwischen den Teilen. b&h Hersteller (Inhaber des Urheberrechts, Warenzeichens oder Patents) des Fonts, hier C HARLES B IGELOW und K RIS H OLMES, USA.
190
• • • • • • • • • • •
•
3 X Window System (X11) und Arbeitsumgebungen
lucidatypewriter Schriftfamilie, hier eine Schreibmaschinenschrift aus dem Geschlechte Lucida. medium Schriftstärke, hier mittel im Gegensatz zu fett (bold). r Neigung, hier r wie roman im Gegensatz zu i wie italic (kursiv) oder o wie oblique (geneigt, schräg). normal Laufweite, hier normal im Gegensatz zu condensed (eng). sans eine Stilangabe, hier sans für sans serif, ohne Serifen, meist leer gelassen. 34 Gesamtzahl der Pixel je Zeichen. 240 Zeichengröße in zehntel Punkten. 100 horizontale Auflösung in Dots per Inch (dpi). 100 vertikale Auflösung in dpi. m Schrittweite, hier m für monospaced (konstant, dicktengleich), im Gegensatz zu p für proportional oder c für character cell. 200 durchschnittliche Zeichenbreite in zehntel Pixeln. Beispielsweise ist bei gleicher Zeichengröße die New Century Schoolbook breiter als die Times, etwa 10 %. iso8859-1 Organisation oder Norm, die den Zeichensatz definiert, und Zeichensatz, hier ISO 8859-1 (Latin-1), im Gegensatz zu ISO-10646-1 oder adobefontspecific (Cursor-Fonts).
In ausführlichen Fontangaben dürfen Stern und Fragezeichen als Joker mit derselben Bedeutung wie in Dateinamen verwendet werden. Der Aufruf: joe@debian:~$ xfd -fn lucidasans-bolditalic-12 zeigt alle Zeichen des als Argument übergebenen Fonts in Form einer Tafel an. Im Beispiel wurde ein kurzer Aliasname aus /usr/X11R6/lib/X11/fonts/ 100dpi/fonts.alias gewählt. Die von X11 zur Verfügung gestellten Cursor bilden ebenfalls einen Font, den man sich anzeigen lassen kann: joe@debian:~$ xfd -center -fn cursor siehe Abbildung 3.2. Darüber hinaus steht es Anwendungen frei, eigene Cursor zu definieren. Zum Erzeugen oder Ändern von Fonts verwendet man einen Font-Editor wie xmbdfed. Abbildung 3.3 zeigt die beiden Fenster des Werkzeugs, links die Übersicht über den Font, rechts das Arbeitsfenster zum Bearbeiten einzelner Glyphen. Fonts liegen als Rasterfonts (Bitmaps) oder Vektorfonts vor. Rasterfonts werden von Bildschirmen oder Druckern unmittelbar verarbeitet, lassen sich jedoch nicht gut skalieren. Vektorfonts lassen sich gut skalieren, müssen aber zur Wiedergabe im Ausgabegerät oder kurz davor in Bitmaps umgewandelt (gerastert) werden. Das Problem tritt bei jeder Art von Grafik auf. Ferner unterscheidet man Fonts mit fester Zeichenbreite (dicktengleich, monospaced, fixed-width) wie auf alten Schreibmaschinen gebräuchlich – bekannte Vertreter sind Courier und Lucidatypewriter – und Proportionalfonts, in denen jedes Zeichen nur so viel Breite einnimmt, wie es braucht, ein i also weniger als ein M. Bekannte Proportionalfonts oder -fontfamilien sind Times, Helvetica und New
3.2 X Font Server (xfs)
191
Abb. 3.4: Screenshot des GUI-Frontends dfontmgr zum Debian Font Manager (Defoma)
Century Schoolbook. In gewöhnlichem Text sehen Proportionalfonts besser aus, in Tabellen und im Quellcode von Programmen haben Fonts fester Zeichenbreite Vorteile. Es gibt auch speziell für die Bildschirmwiedergabe entwickelte Fonts, in denen jedes Zeichen eine bestimmte Punktmatrix (6x13 oder anders) ausfüllt. Ein X-Server bringt einige Fonts mit, die in Unterverzeichnissen von /usr/ lib/X11/fonts abgelegt sind: • • • • •
100dpi Fonts mit einer Auflösung von 100 Punkten pro Zoll, 75dpi Fonts mit einer Auflösung von 75 Punkten pro Zoll, misc verschiedene Fonts fester Zeichenbreite, Cursor etc., Speedo Outline-Fonts von Bitstream (http://www.bitstream.com/), Type1 Type-1-Fonts, großenteils Symlinks auf Fonts im Verzeichnis /usr/ share/fonts/type1/gsfonts.
Darüber hinaus lassen sich Fonts nachrüsten, teils von Debian, teils aus anderen freien oder kommerziellen Quellen.3 Die beiden wichtigsten Vektorfont-Formate sind True Type (TT), hauptsächlich auf Macintoshs und unter MS Windows zu finden, und das von Adobe stammende PostScript Type 1 Format (PS1), das auch von X11 dargestellt werden kann und daher unter Linux/UNIX verbreitet ist. True Type war die Antwort von Apple und Microsoft auf Adobe. Im Jahr 1996 rauften sich Ad3
Fonts kommen mit vielen Programmen mit. Einen Überblick verschafft locate font.
192
3 X Window System (X11) und Arbeitsumgebungen
obe und Microsoft zusammen und schufen das Open Type Format als einheitliche Verpackung von PostScript- und True-Type-Fonts. X11 hat ursprünglich nichts mit der Druckausgabe zu tun. Die Tatsache, dass ein Font unter X11 verfügbar ist, bedeutet noch nicht, dass er auch auf Papier gedruckt werden kann. Einen gemeinsamen Nenner von X11 und der Druckerwelt stellt das oben erwähnte Type 1 Format dar: Fonts dieses Formates können sowohl vom XServer auf dem Bildschirm dargestellt als auch als Softfonts (in Dateien abgelegte Fonts) in PostScript-Drucker geladen werden. Der Debian Font Manager defoma aus dem gleichnamigen Paket in der Abteilung Administration Utilities stellt ein über X11 hinausreichendes, allgemeines Werkzeug dar, um Fonts zu verwalten und beliebigen Anwendungen verfügbar zu machen. Wer es grafisch liebt, holt sich noch das Paket dfontmgr dazu, ein GUI Frontend zu Defoma, siehe Abbildung 3.4. Wir lernen den Manager genauer in Abschnitt 9.6 Debian Font Manager auf Seite 421 kennen. Ebenfalls unabhängig von X11 sind die Werkzeuge aus dem Debian-Paket fontconfig, beispielsweise: joe@debian:~$ fc-list | less das alle auf dem Rechner eingerichteten Fonts bzw. Fontfamilien auflistet. Heimathafen von Fontconfig ist http://freedesktop.org/. Beide Werkzeuge überschneiden sich in ihren Zielen. Defoma kann Fontconfig als Anwendung versorgen. Auf einer als Font-Server vorgesehenen Maschine richten wir das Paket xfs ein. Beim Suchen in Paketlisten mit dem Suchbegriff xfs stoßen wir auch auf das XFSDateisystem, das mit dem Font-Server nichts gemein hat. Die Konfiguration des Font-Servers liegt im Verzeichnis /etc/X11/fs. Die Datei config ist durch Kommentar ausreichend erklärt. Falls der Font-Server im LAN, also nicht nur lokal, arbeiten soll, ist die Zeile: no-listen = tcp durch ein Doppelkreuz auszukommentieren. Den Katalog, die Pfadliste für Fontdateien, kann man nachprüfen und ergänzen. Die Datei xfs-options wird in einer eigenen Manualseite beschrieben und enthält eine wenig aufregende Option. Der Font-Server wird wie üblich durch ein Start-Stop-Skript in /etc/init.d gestartet. Er lauscht auf Port 7100, siehe /etc/services. Die Verbindung zu Prozessen auf seiner eigenen Maschine läuft über Sockets (man 7 unix). Die Benutzung des Font-Servers hat in diesem Fall den Vorteil, dass hinzukommende Fonts nur an einer Stelle einzutragen sind. Die beiden Werkzeuge mkfontscale und mkfontdir legen im Arbeitsverzeichnis einen Index der Fontdateien an und sollen nach dem Hinzufügen von Fonts von Root in dem betroffenen Verzeichnis mit den Fontdateien in der genannten Reihenfolge aufgerufen werden. Der Font-Server greift auf den Index zu. Auf den Clients im LAN ist in der Konfigurationsdatei /etc/X11/xorg. conf im Abschitt Files eine der folgenden Zeilen hinzuzufügen, zweckmäßig nach etwaigen lokalen Font-Pfaden: FontPath FontPath
"unix/:7100" "tcp/server.beiuns:7100"
# local # remote
3.3 Farben
193
Es dürfen mehrere Server eingetragen werden. Der Aufruf: joe@debian:~$ xfsinfo -server server.beiuns:7100 auf einem beliebigen Rechner im LAN liefert einige Informationen zu dem in der Option benannten X-Font-Server. In ähnlicher Weise listet: joe@debian:~$ fslsfonts -server server.beiuns:7100 | less die vom Font-Server bereit gestellten Fonts auf.
3.3 Farben Farbe ist heute in der Computerey selbstverständlich. X11 bringt ein leistungsfähiges Farbenmanagement mit. Intern stellt X11 Farben durch drei 16-Bit-Werte für Rot, Grün und Blau nach dem RGB-Farbmodell dar. Der Aufruf: joe@debian:~$ showrgb | less zeigt die verfügbaren Zahlentripel in dezimaler Notation (000 bis 255) samt den zugehörigen englischen Bezeichnungen. Beispielsweise bedeutet 0 0 0 naheliegenderweise schwarz, 255 255 255 weiß und 65 105 225 königsblau (royal blue). Die beiden Werkzeuge xcolors und xcolorsel geben zusätzlich Farbmuster aus, siehe Abbildung 3.5. Der Farbmischer xcolmix oder der Farbeditor xcoloredit (nicht bei Debian, sondern bei FreeBSD) erlaubt, eigene Farben anzurühren oder einfach nur mit den drei Grundfarben zu spielen, um sich eine Anschauung von der additiven Farbmischung zu verschaffen. Der Benutzer kann beim Aufruf einer Anwendung die Farben als Option in Worten oder in hexadezimalen Zahlen mitgeben: joe@debian:~$ xclock -background blue joe@debian:~$ xclock -background rgb:0/0/ffff Die Farbnuancen, die tatsächlich auf dem Bildschirm oder auf dem Papier zu sehen sind, hängen von der jeweiligen Hardware ab. Beispielsweise lassen sich manche Bildschirme auf einen wärmeren oder kälteren Farbton einstellen, gekennzeichnet durch eine Farbtemperatur. Man könnte an den RGB-Werten drehen, Erfolg setzt aber Erfahrung voraus. Das X Colour Management System (Xcms) ermöglicht, Farben in einer vom Ausgabegerät unabhängigen Weise zu spezifizieren. Dazu macht es Gebrauch von dem Normfarbsystem der Commission Internationale d’Eclairage (CIE, http: //www.cie.co.at/). Eine Arbeitsgruppe der CIE befasst sich eigens mit der Bildverarbeitung auf EDV-Anlagen. Einführungen in das Farbmanagement findet
194
3 X Window System (X11) und Arbeitsumgebungen
Abb. 3.5: Screenshot des Werkzeugs xcolors, das die X11-Farben anzeigt, Bildschirmausschnitt, auf dem Schirm farbig
man durch Eingabe von cie farbstandard in eine Suchmaschine oder unter anderem auf http://www.heidelberg.com/ im Downloadbereich4 . Die deutsche Wikipedia erläutert unter dem Begriff Lab-Farbraum einige Zusammenhänge. Am X-Server ändert sich durch das Farbmanagement nichts, er empfängt RGBWerte und stellt sie unverändert dar. Die Clients arbeiten mit geräteunabhängigen Xcms-Farbwerten, die von Funktionen aus der Xlib mit Hilfe von individuell anzufertigenden Eichkurven (Kalibrierung) in RGB-Werte umgerechnet werden. Einige Hersteller von Ausgabegeräten liefern Eichtabellen mit. Das Problem besteht nicht nur darin, dass verschiedene Ausgabegeräte Farbangaben verschieden interpretieren, sondern auch darin, dass die Geräte innerhalb des Farbraums nur unterschiedliche Ausschnitte (Gamut) darstellen können. Ein Drucker kann gar nicht alle Farben aufs Papier bringen, die ein Bildschirm wiedergibt, und umgekehrt. Die außerhalb der Schnittmenge liegenden Farben sind dann bestmöglich anzunähern (Gamut Mapping). Und das unter Umständen mehrmals hintereinander in der Kette vom Scanner bis zur Druckmaschine. Früher war Grafikspeicher knapp. Da ein Bild selten alle mit 8, 16 oder 24 Bits benennbaren Farben benötigt, hat man die von einer Anwendung verlangten Farben in einer vergleichsweise kleinen Colormap abgelegt und sich im Grafikspeicher 4
Die Website enthält auch ein nützliches, herunterladbares Glossar zu Begriffen aus dem Druckwesen.
3.4 Display-Manager
195
auf Nummern aus der Colormap bezogen. Wenn auch die Speicherkapazität heute kein Problem mehr ist, so werden Colormaps doch weiterhin verwendet, da sie einen schnellen Wechsel der Farben einer Darstellung durch Austausch der Colormap ermöglichen, was weit weniger Aufwand erfordert, als jedes Pixel neu zu färben. Mittels des Aufrufs: joe@debian:~$ xdpyinfo | less erfährt ein Benutzer allerlei über sein Display und dessen Screens, darunter die Farbtiefe (z. B. depth = 16 planes, das heißt 16 Bit pro Pixel) und die Default Colormap (0x20). Geht es nur um die Eigenschaften eines Fensters, reichen das Kommando: joe@debian:~$ xwininfo und ein Klick in das betroffene Fenster. Genauso arbeitet das Kommando xprop, nur ist das Ergebnis schwieriger zu verstehen. Da eine Colormap an eine Anwendung und diese an ein Fenster gebunden ist, gehört die Verwaltung der Colormaps zu den Aufgaben des Fenster-Managers. Das Werkzeug xstdcmap aus dem Paket xbase-clients erlaubt dem Benutzer, eine eigene Standard-Colormap zu definieren, und sollte aus einem Startskript wie $HOME/.bashrc aufgerufen werden. Eine unnötig große Farbtiefe kostet Speicher und Rechenzeit. Mit 16 Bits lassen sich 65.536 Farben kennzeichnen, das reicht für viele Anwendungen. Ein geübtes menschliches Auge unterscheidet etwa eine Million Farbtöne.
3.4 Display-Manager Bei den Login-, Anmelde- oder Display-Managern, gelegentlich auch als DesktopManager bezeichnet, handelt es sich um Programme, die beim Systemstart aufgerufen werden, bevor sich Benutzer an dem System anmelden. Deshalb gibt es auch keine persönlichen Einstellungen, nur systemweite, im Gegensatz etwa zu der Situation bei den Fenster-Managern. Display-Manager starten den X-Server und stellen mit seiner Hilfe ein Fenster dar, das die Anmeldung an das System erlaubt. Nach erfolgreicher Anmeldung starten sie meist einen Sitzungs-Manager oder einen FensterManager, siehe die nächsten Abschnitte. Ein Display-Manager und die von ihm gestarteten X-Server überleben eine Sitzung und stehen nach deren Ende für die nächste Anmeldung bereit. Beim Einrichten eines zweiten oder dritten Display-Managers wird man gefragt, welcher die Vorgabe sein soll. Sind mehrere Display-Manager auf einer Maschine eingerichtet, legt die Datei /etc/X11/default-display-manager fest, welcher gestartet wird. Dort steht der Pfad zum Manager, beispielsweise /usr/bin/X11/xdm, und zwar genau in der Form, wie er in den Start-Stop-Skripten in /etc/init.d verwendet wird. Voraussetzung ist ferner, dass im Verzeichnis /etc/init.d ein zugehöriges Start-Stop-Skript zu finden und in die Runlevel-Verzeichnisse /etc/rc*.d symbolisch verlinkt ist.
196
3 X Window System (X11) und Arbeitsumgebungen
Ein Display-Manager erübrigt die Anmeldung an der Textkonsole. Das System schaltet nach seinem Start sofort in den grafischen Modus, in dem sich Benutzer anmelden. Andernfalls müsste sich ein Benutzer zuerst auf einer Textkonsole anmelden und dann von Hand oder aus einem Startskript den X-Server starten. Darüber hinaus ermöglicht das X Display Manager Control Protocol (XDMCP) die Verwendung eines Display-Managers, der auf einem anderen Rechner läuft, wodurch auf einem Arbeitsplatzrechner lediglich ein X-Server benötigt wird und die Benutzerauthentifizierung sowie alle Anwendungen inklusive Fenster-Manager auf einem anderen Rechner ausgeführt werden können. Diese Konstellation ist heute selten; sie war in Verbindung mit einfachen X-Terminals an einem zentralen Rechner sinnvoll.
Abb. 3.6: Screenshot eines grafischen Anmeldebildschirms (greeter) des GNOME Display Managers. Will man selbst Themen schreiben, nimmt man zweckmäßig ein vorhandenes Thema als Vorlage und modifiziert die Dateien.
Die Konfiguration der gebräuchlichsten Display-Manager steht in den Verzeichnissen: • • •
/etc/X11/xdm für den X11 Display-Manager xdm, /etc/gdm für den GNOME Display-Manager gdm und /etc/kde3/kdm für den KDE Display-Manager kdm.
Der kdm wurde aus dem xdm entwickelt, während der gdm eine eigenständige Züchtung ist und stärker vom xdm abweicht. Die Textdateien lassen sich mit einem Texteditor ändern, zusätzlich über Menüpunkte wie Anwendungen -> Debian -> Apps
3.4 Display-Manager
197
-> System -> GDM Setup oder vom Schirm des Display-Managers aus über einen Punkt wie Aktionen -> Anmeldemanager konfigurieren. Vor der Anmeldung kann ein gewöhnlicher Benutzer die Sprache und die Sitzungsart (Fenster-Manager) bestimmen, soweit eingerichtet. Sucht er sich einen nicht verfügbaren Fenster-Manager aus, hängt die Anmeldung, und ein Gang zum Reset-Knopf wird fällig. In einer Konfigurationsdatei wie /etc/gdm/gdm.conf geht es vor allem um folgende Einstellungen: • • • • • • • •
Soll der Manager als Dämon leben? Soll Root sich einloggen dürfen oder muss er/sie den Umweg über das Konto eines gewöhnlichen Benutzers wie joe nehmen? Welches Aussehen (Thema, Background, Wallpaper) soll der Anmeldeschirm zeigen? Welche Nachricht soll der Schirm zur Begrüßung zeigen? Soll eine Anmeldung aus der Ferne zugelassen werden (unabhängig von slogin)? Ausführlichkeit der Meldungen zwecks Fehlersuche (Debugging). Einige Möglichkeiten, den Anmeldeschirm für behinderte Benutzer anzupassen (Schriften, Farben, Klänge). Sollen einige Benutzer (nobody) unabhängig von /etc/passwd von einer Anmeldung ausgeschlossen werden?
Die Einstellungen anderer Display-Manager sind im Prinzip ähnlich, nur anders auf die Dateien im Konfigurationsverzeichnis verteilt. Hilfe bieten die Kommentare in den Dateien sowie die Manualseiten zu xdm, kdm und gdm. Das Aussehen des Display-Managers auf dem Bildschirm wird durch so genannte Themen bestimmt. Bei Debian bringt der GNOME Display-Manager mehrere davon mit. Der von gdm zu verwendende Begrüßungsbildschirm wird in der Datei /etc/gdm/gdm.conf festgelegt, mittels gdmsetup oder eines Texteditors zu bearbeiten. Der Benutzer kann auf dem Anmeldebildschirm unter dem Menüpunkt Thema eines auswählen. Weitere wählt der Verwalter unter dem Menüpunkt Anwendungen -> Systemwerkzeuge -> Einrichtung des Anmeldebildschirms -> Begrüßer aus. Schließlich lassen sich von http://art. gnome.org/themes/gdm-greeter/, http://www.gnome-look.org/ oder http://debblue.debian.net/ zahlreiche phantasievolle Begrüßungsbildschirme als Tarball herunterladen und vom Verwalter in /usr/share/gdm/ themes einrichten. Alle Dateien in den Themenverzeichnissen brauchen die Zugriffsrechte 644. Anschließend ist der Anmeldebildschirm neu zu konfigurieren (gdmsetup). Eventuell sind in der Datei /etc/gdm/gdm.conf einige Zeilen zu editieren. Insbesondere darf die Zeile: GraphicalThemes=...... nicht auskommentiert sein. Falls die Schriften zu klein erscheinen, kann man versuchen, die Fontgrößen in der xml-Datei eines Themas anzuheben, beispielsweise von 12 auf 14 oder 16 Punkte. Das Ergebnis lässt sich mit dem Werkzeug gdmthemetester begutachten. Es setzt Xnest voraus, siehe Abschnitt 3.1 Was
198
3 X Window System (X11) und Arbeitsumgebungen
ist X11? auf Seite 183. Ein Shellskript zum zufälligen Wechseln des Begrüßungsbildschirms zeigt Quelle 3.1 . Es setzt voraus, dass sich in dem Themen-Verzeichnis ausschließlich Themen und nicht etwa Tarbälle oder andere Dateien befinden. Das Skript könnte täglich im Namen von Root als Cronjob ausgeführt werden. Auf nicht durchlaufenden Rechnern schreibt man es als Startskript in das Verzeichnis /etc/init.d und ruft es per Symlink in /etc/rc2.d auf, bevor gdm gestartet wird. Ein anderer Weg ist, in der Datei gdm.conf immer dasselbe Thema aufzurufen, das jedoch einen Symlink auf wechselnde Themen darstellt. Hierzu ist in dem Shellskript der sed-Aufruf durch rm und ln -s zu ersetzen, was einfacher zu verstehen ist. Eine Anleitung zum Schreiben eigener Themes findet sich auf http://www.gnome.org/projects/gdm/docs/2.14./gdm.html. Der Austausch des Hintergrundes eines vorhandenen Themas – oft ein jpg-Foto – ist einfach, ansonsten sind XML-Kenntnisse gefragt. #!/bin/bash # Skript, das das gdm-Thema zufaellig wechselt # Backup von gdm.conf anlegen: gdm.conf.original # Verzeichnis themes darf nur Themen enthalten logger -s "Changing GDM-Theme (randomgdmtheme)" if [ ‘/usr/bin/whoami‘ == "root" ]; then DAT=/etc/gdm/gdm.conf DIR=/usr/share/gdm/themes THS=‘/bin/ls -1 "$DIR"‘ N=‘echo $THS | /usr/bin/wc -w‘ ((N=RANDOM%N+1)) /bin/cp $DAT $DAT.old # sed-Aufruf in einer Zeile: /bin/sed s/^GraphicalThemes=.*/GraphicalThemes=‘echo $THS | /usr/bin/cut -d ’ ’ -f $N‘/ $DAT.old > $DAT fi Quelle 3.1 : Shellskript randomgdmtheme.sh zum zufälligen Wechseln der Themen des GNOME Display-Managers. Die Fähigkeit ist mittlerweile im GDM eingebaut.
Der KDE-Display-Manager kdm und der GNOME-Display-Manager gdm gestatten dem Benutzer, vor der Anmeldung unter dem Menüpunkt Menü -> Sitzungsart beziehungsweise Sitzung zwischen verschiedenen Sitzungsarten und FensterManagern zu wählen, eine angenehme Eigenschaft, wenn an einem Terminal wechselnde Benutzer mit unterschiedlichen Vorlieben arbeiten. Voraussetzung ist, dass der gewünschte Fenster-Manager eingerichtet ist. Wenn Sie X11 mit einem Display-Manager starten, erfolgt die Benutzeranmeldung nicht wie früher üblich an der Konsole mit dem Programm login, sondern über den Display-Manager. Der startet keine Shell, sondern eine X-Sitzung, sodass
3.4 Display-Manager
199
Abb. 3.7: Screenshot eines grafischen Anmeldebildschirms (greeter) des GNOME Display Managers, heruntergeladen von www.gnome-look.org/
Umgebungsvariable (siehe Abschnitt 2.7.5 Variable auf Seite 75), die normalerweise durch die Login-Shell gesetzt werden, nicht vorhanden sind. Die Folge ist, dass über Umgebungsvariablen vorgenommene Einstellungen verloren gehen. Allerdings steht hier ein ähnlicher Mechanismus wie bei der Shell zur Verfügung. Während des Starts einer X-Sitzung werden die Anweisungen ausgeführt, die sich in der Datei /etc/environment befinden. In der Datei dürfen alle üblichen ShellAnweisungen vorkommen. Wenn Sie beispielsweise deutsche Spracheinstellungen auch unter X11 verwenden möchten, schreiben Sie folgende Anweisung in die Datei: export LANG="de_DE.UTF-8" Die export-Anweisung ist möglicherweise überflüssig, schadet aber nicht. Wenn ein Display-Manager aktiv ist oder Sie den X-Server von Hand mittels startx gestartet haben, können Sie bei Bedarf weiterhin im Textmodus arbeiten. Durch Betätigen der Tastenkombinationen ++ bis ++ schalten Sie zu einer virtuellen Textkonsole und mittels + zurück zur X11-Konsole. wie in Abschnitt 2.5 Virtuelle Konsolen auf Seite 39 erläutert. Der GNOME Display Manager gdm ermöglicht, aus einer Sitzung heraus durch Anklicken des Menüpunkts Anwendungen -> Debian -> Anwendungen -> System -> GDM flexiserver eine weitere Sitzung zu starten. Die ursprüngliche Sitzung wird gesperrt wie bei längerer Untätigkeit, die Ausgabe auf die achte virtuelle Konsole umgeschaltet und dort ein Anmeldebildschirm gestartet. Mit der Tastenkombination
200
3 X Window System (X11) und Arbeitsumgebungen
++ gelangt man auf die ursprüngliche, gewohnte Konsole mit der Sperre zurück und kann sie entsperren. Sieht man sich die Prozesse an: joe@debian:~$ ps -ef | grep gdm bemerkt man, dass der ursprüngliche gdm ein zweites Kind bekommen hat. Beide Kinder haben jeweils einen X-Server mit unterschiedlicher Displaynummer gestartet. Eine anderer Weg ist das Schachteln (nesting) der X-Server. Startet man aus der Kommandozeile einen weiteren Flexiserver: joe@debian:~$ gdmflexiserver wird dieser zum dritten Kind des ursprünglichen gdm, bekommt die neunte virtuelle Konsole zugewiesen und startet den dritten X-Server auf der Maschine. Beenden der Flexiserver durch Abmelden. Auf diese Weise kann ein Benutzer gleichzeitig unter verschiedenen Konten mit X11-Unterstützung auf einer Maschine angemeldet sein.
3.5 Sitzungs-Manager (Session Manager) Der Display-Manager startet einen Sitzungs-Manager (session manager), dessen Aufgabe es ist, die zu einer Sitzung gehörenden X-Clients aufzurufen. Ein SitzungsManager lebt und stirbt mit der Sitzung. Unter GNOME ist der X-SessionManager in /etc/alternatives auf /usr/bin/gnome-session festgelegt. Der GNOME-Manager arbeitet entweder als Vorgabe die Datei /usr/ share/gnome/default.session ab oder die benutzereigene Datei $HOME/ .gnome2/session. Diese wird beim Beenden einer Sitzung automatisch angelegt, falls der Benutzer im Logout-Fenster die Option Aktuelle Einstellungen speichern anwählt. Die unmittelbar vor dem Abmelden vorliegenden Einstellungen von Arbeitsflächen, Fenstern und Anwendungen werden dann beim nächsten Anmelden wieder hergestellt. Kleinere Pannen kommen vor. Keinesfalls soll man sich darauf verlassen, dass sich Editoren samt editierten Dateien nach dem Anmelden genau in dem Zustand befinden, in dem sie sich vor der Abmeldung befanden. Das heißt, vor dem Abmelden alle Ergebnisse ausdrücklich abspeichern. Da man selten morgens die Arbeit genau dort fortsetzt, wo man sie am Abend zuvor beendet hat, ist es zweckmäßig, vor dem Abspeichern der aktuellen Einstellungen eine stets brauchbare Auswahl von Arbeitsflächen etc. herzustellen. Ich beginne und beschließe zwar oft mein Tagewerk mit dem Lesen der Email, aber nicht immer. Es wäre daher nicht zweckmäßig, ein Emailprogramm wie mutt automatisch starten zu lassen. Dagegen laufen auf meinen beiden letzten Arbeitsflächen immer Terminal-Emulatoren (gnome-terminal). Falls beim Abmelden die Möglichkeit zum Speichern der Sitzung nicht angeboten wird, hilft der Aufruf: joe@debian:~$ gnome-session-save irgendwann, wenn die Sitzung (alle Arbeitsflächen) ihren Wunschzustand aufweist. Nicht alle Anwendungen unterstützen jedoch den Start durch den Session-Manager. Mit GNOME-Terminal gab es keine Probleme, der GNOME Web-Browser Epiphany
3.6 Fenster-Manager (Window Manager)
201
zeigte sich widerborstig. Die Datei $HOME/.gnome2/session darf man getrost löschen, falls man mit ihr unzufrieden ist. Der Sitzungs-Manager schreibt einige Hinweise und Fehlermeldungen in die Datei $HOME/.xsession-errors. Unter GNOME startet in der Default-Sitzung als erstes gnome-smproxy. Der Proxy schiebt sich vor den Sitzungs-Manager, gestattet den Anwendungen sich zu initialisieren und verbindet sie erst bei Bedarf mit dem Sitzungs-Manager. Als zweites Programm erscheint gnome-wm auf der Bildfläche, ein Skript, das den ausgewählten Fenster-Manager startet. Dann folgen weitere Anwendungen, die in der Session-Beschreibung nachzulesen sind. In einer benutzerdefinierten Sitzung werden sofort die zur Sitzung gehörenden Anwendungen gestartet, dann der Proxy. Unter anderen Display- und Sitzungs-Managern lauten die Verzeichnis- und Dateinamen zum Teil anders, der Mechanismus bleibt gleich. X11 selbst bringt den Display-Manager xdm sowie den Session-Manager xsm, Paket xbase-clients, mit. Man kommt sogar ohne Sitzungs-Manager aus, da einige Fenster-Manager einen Teil der Aufgaben zur anfänglichen Gestaltung einer Sitzung beherrschen. SitzungsManager sind eine jüngere Erscheinung in X11. Die Datei $HOME/.xsession ist ein Skript, das weitgehend beliebige Kommandos enthalten darf, die zu Beginn einer Sitzung ausgeführt werden. Die letzte ausführbare Zeile muss jedoch einen Fenster-Manager aufrufen, und zwar im Vordergrund (ohne &). Der Fenster-Manager – siehe nächster Abschnitt – übernimmt dann das Kommando.
3.6 Fenster-Manager (Window Manager) 3.6.1 Fenster Eine weitere Besonderheit von X11 besteht in der Aufgabentrennung zwischen XServer und Fenster-Manager (window manager): Während der X-Server nur für die Darstellung der Fenster und ihrer Inhalte auf dem Bildschirm verantwortlich ist, kümmert sich der Fenster-Manager um das Erscheinungsbild der Fenster. Der Fenster-Manager ist verantwortlich für die Größe und Lage der Fenster, für einheitliche Rahmen und Kontrollleisten (Dekoration, Garnierung), für Fenstern zugeordnete Schaltflächen wie den Knöpfen zum Minimieren und Maximieren, aber auch für das Umschalten von einem Fenster zum nächsten oder für die Verbindung von bestimmten Geräuschen mit Ereignissen. Darüber hinaus bieten Fenster-Manager weitere Möglichkeiten wie die Darstellung von System-Menüs oder einer Taskleiste, über die zwischen Anwendungen hin- und hergeschaltet werden kann. Der X-Server kann diese Aufgaben nicht bewältigen, und in die eigentlichen Anwendungen lassen sie sich auch nicht integrieren, da mehrere Anwendungen gleichzeitig Fenster auf dem Bildschirm geöffnet haben können und sich bei jeder Änderung untereinander verständigen müssten. Ein Fenster-Manager ist die einfachste Lösung und entspricht auch dem Linux/UNIX-Prinzip, dass ein Programm sich um eine Aufgabe kümmern soll, nicht um alles.
202
3 X Window System (X11) und Arbeitsumgebungen
Weil Fenster-Manager ebenfalls X-Anwendungen sind, können sie auf einem anderen Rechner als dem Arbeitsplatzrechner ausgeführt werden. Damit wären dann drei Rechner im Spiel: der X-Server am Arbeitsplatz, der Fenster-Manager im Netz und die Anwendung auf einem weiteren Rechner im Netz. Die Konstellation ist aber ungebräuchlich. Unter einem X-Server kann zu einem Zeitpunkt nur ein Fenster-Manager das Sagen haben. Es ist jedoch möglich, verschiedene Fenster-Manager einzurichten und nach Lust und Laune zwischen diesen zu wechseln, sogar innerhalb einer Sitzung. Aber man gewöhnt sich meist an einen Fenster-Manager und bleibt ihm treu. In Sonderfällen kann man mit X11 auch ohne Fenster-Manager arbeiten. Wenn man immer nur mit einer Anwendung mit einem Fenster zu tun hat und dieses stets dieselbe Lage und Größe aufweist, erübrigt sich die Intelligenz eines Fenster-Managers. Während sich der Bildschirm in mehrere Fenster unterteilen lässt, die jeweils einer Anwendung zugeordnet sind, ist das bei der Tastatur nicht möglich; Es kann zu einem Zeitpunkt immer nur ein Fenster sprich eine Anwendung Eingaben entgegennehmen. Dieses Fenster ist aktiv/aktuell, es hat den Input Fokus. Genauer sagt man, die Eingabe von Tastatur und Maus sei auf das Fenster fokussiert. Üblicherweise nimmt ein Fenster eine andere Rahmenfarbe an, wenn es den Fokus bekommt. Es gibt zwei Wege, einem Fenster den Fokus zuzuweisen (focus policy): •
•
Entweder klickt man mit einer Maustaste in das gewünschte Fenster, das den Fokus bekommt unabhängig davon, wo sich der Cursor anschließend hinbewegt (click-to-type, explicit focus), oder der Fokus folgt stets dem Cursor (pointer focus, real-estate-driven focus).
Vom Fokus zunächst unabhängig und eigens zu konfigurieren ist die Frage, welches Fenster als vorderstes gezeigt wird und damit unverdeckt ist. Oft findet sich die Kombination von explizitem Fokus und automatischem Holen des Fensters mit dem Fokus nach vorn (nach oben auf den Window Stack). Der Motif Window Manager kennt beide Policies; per Default ist er auf expliziten Fokus und automatisches Holen eingestellt. Wollen wir ihn kennen lernen, so muss er vom Verwalter eingerichtet sein. Dann kann ein Benutzer eine Datei $HOME/ .xsession folgenden Inhalts anlegen: xclock & gnome-terminal & epiphany & mwm -xrm "Mwm*keyboardFocusPolicy : pointer" # mwm -xrm "Mwm*keyboardFocusPolicy : explicit" Der Display-Manager führt die Datei aus. Als letztes Programm wird der Motif Window Manager mit einer Option aufgerufen, die seine Policy auf pointer setzt. Damit ist auch das automatische Holen deaktiviert, siehe Manual. Wir erhalten einen Bildschirm, der genau drei Fenster für die drei in .xsession aufgeführten Programme enthält, sonst nichts, siehe Abbildung 3.8. Beenden der Sitzung durch Killen des Fenster-Managers. Bei Problemen weicht man mittels ++ auf eine virtuelle Textkonsole aus. Möchte man die kleinen Annehmlichkeiten eines
3.6 Fenster-Manager (Window Manager)
203
Abb. 3.8: Screenshot eines vom Motif Window Manager verwalteten Bildschirms mit drei Anwendungen, ohne weitere Verzierungen, Der Web-Browser hat den Fokus – ersichtlich an der Rahmenfarbe – und liegt vorn, was nicht notwendig zusammengehört. Die Annehmlichkeiten einer Arbeitsumgebung wie Taskleiste, Menüs oder Rollbalken sind Anwendungen, die eigens vom Session Manager gestartet werden müssen.
Environments wie GNOME oder KDE genießen, so sind die gewünschten Programme in besagte Datei aufzunehmen. Der Fenster-Manager muss als letzter kommen, und zwar ohne et-Zeichen. Bei Debian hat man die Wahl zwischen drei Dutzend Fenster-Managern, die in der Abteilung X Window System software der Paketliste untergebracht sind. Weitere liegen in den Abteilungen KDE und GNOME. Die Wahl des Fenster-Managers hängt stark von den persönlichen Bedürfnissen und vor allem vom Geschmack ab. Wir können deswegen nur empfehlen, einige Fenster-Manager einzurichten und mit ihnen zu spielen, bis man den passenden gefunden hat. Einige Einschränkungen: Wenn Sie die Arbeitsumgebung GNOME verwenden, sollten Sie einen GNOME-kompatiblen Fenster-Manager verwenden. Falls Sie KDE benutzen, brauchen Sie keinen zusätzlichen Fenster-Manager, weil KDE einen eigenen hat. Dies bedeutet nicht, dass Sie KDE Programme nicht auch mit einem fremden Fenster-Manager verwenden können. Im Folgenden finden Sie eine Auswahl verbreiteter Fenster-Manager in alphabetischer Folge: •
afterstep Dieser Fenster-Manager empfindet das Look and Feel des Betriebssystems NeXTStep nach. Es handelt sich um einen besonders hübschen
204
• • • •
• •
• • •
•
•
3 X Window System (X11) und Arbeitsumgebungen
Fenster-Manager, der jedoch viele Farben braucht und deswegen bei einer Farbtiefe von 8 Bit nicht zu empfehlen ist. asclassic Eine ältere Version von afterstep. blackbox Ein einfacher Fenster-Manager, der sich gut für den Einsatz auf Systemen mit knappen Ressourcen eignet. enlightenment Ein hochkonfigurierbarer Fenster-Manager mit aufwendiger Grafik und vielen reizvollen Eigenschaften. GNOME- und KDE-kompatibel. fvwm Der Klassiker unter den Fenster-Managern für Linux, geschrieben 1993 von ROBERT NATION und wegen seines beispielhaften Quellcodes zur Grundlage weiterer Fenster-Manager geworden, http://fvwm.org/. fvwm95 Eine Abart des fvwm im Look and Feel von MS Windows 95, wenns denn sein soll. icewm Ein einfacher, funktionaler Fenster-Manager, der wahlweise im Look and Feel von MS Windows, IBM-OS/2 oder Motif betrieben werden kann. Das Programm hat eine Taskleiste, Uhr, Mailboxanzeige und anderes mehr. icewm-gnome Dieses Paket enthält den Fenster-Manager icewm mit integrierter GNOME-Unterstützung. kwin Der vorgegebene Fenster-Manager aus dem KDE-Projekt. metacity Der per Vorgabe bei der Einrichtung verwendete, leichtgewichtige Fenster-Manager zur GNOME-Desktop-Umgebung, schlicht, einfach in der Handhabung, wenig konfigurierbar. mwm Der Motif Window Manager aus dem Non-free-Bereich von Debian, Paket motif-clients. Ein schwergewichtiger Fenster-Manager, beheimatet im OpenMotif-Projekt (http://www.motifzone.net/). wmaker Auch dieser Fenster-Manager orientiert sich am NeXTStep-Design. Er lässt sich bequem konfigurieren, zeichnet sich durch hohe Geschwindigkeit aus und bietet einige interessante Konzepte.
Normalerweise wird während des Beginns einer Sitzung das Programm x-window-manager aufgerufen. Hierbei handelt es sich um einen symbolischen Link auf den tatsächlich zu startenden Window-Manager. Dieser Link wird mit Hilfe des Alternativen-Systems (siehe Abschnitt 9.1.7 Arbeiten mit Alternativen auf Seite 394) verwaltet. Um aus den eingerichteten Fenster-Managern systemweit einen als Vorgabe festzulegen, gibt der Verwalter folgendes Kommando ein: debian:~# update-alternatives - -config x-window-manager Es erscheint ein Menü, aus dem durch Eingabe einer Zahl der gewünschte FensterManager festgelegt wird. Manche Environments halten sich offenbar nicht an die Vorgabe, sondern bringen eigene Einstellungen mit. Einige Display-Manager ermöglichen die Auswahl des zu startenden Fenster-Managers bei der Anmeldung des Benutzers, wodurch die Voreinstellung überschrieben wird. Die systemweite Vorgabe kann von jedem Benutzer überschrieben werden, indem eine Datei mit dem Namen $HOME/.xsession angelegt wird. Wir haben sie bereits bei der Erläuterung des Fokus kennen gelernt. Diese Datei kann alle möglichen Shell-Kommandos enthalten, also auch benutzt werden, um bestimmte Programme zu starten oder Umgebungsvariablen zu setzen, bevor ein Fenster-Manager
3.6 Fenster-Manager (Window Manager)
205
gestartet wird. Der Fenster-Manager muss das letzte Programm sein, das aus dieser Datei heraus gestartet wird, weil die Sitzung beendet wird, sobald die Abarbeitung der Datei .xsession erledigt ist. Angenommen ein Benutzer möchte ausschließlich mit dem Window-Manager afterstep arbeiten, unabhängig davon, welcher Fenster-Manager als Systemvorgabe eingestellt ist. Außerdem möchte er, dass die Programme xbiff aus dem Paket xbase-clients und xdaliclock aus dem gleichnamigen Paket automatisch gestartet werden, sobald die X-Sitzung eröffnet wird. Dazu legt er folgende Datei .xsession in seinem Home-Verzeichnis an: xbiff & xdaliclock & afterstep Die Programme xbiff und xdaliclock müssen im Hintergrund ausgeführt werden (&-Operator), ansonsten würde die Ausführung der Datei .xsession so lange angehalten werden, bis die Programme beendet wären. Der Fenster-Manager afterstep dagegen muss als letztes Programm und im Vordergrund gestartet werden. Der Manager begleitet die ganze Sitzung. 3.6.2 Menüs Die meisten Fenster-Manager weisen einen Mechanismus auf, mit dem sich Programme starten lassen, ohne dass der Name des zu startenden Programms in einer Kommandozeile eingegeben zu werden braucht. Hierbei handelt es sich um Menüs, die mit dem Startmenü unter MS Windows oder dem Finder bei Macintosh-Systemen vergleichbar sind. Leider sind die Methoden zur Konfiguration solcher Menüs völlig unterschiedlich5 , sodass es eine lästige Aufgabe ist, die Menüs aller eingerichteten Fenster-Manager in Einklang zu halten, also Menüeinträge hinzuzufügen, wenn eine Anwendung eingerichtet wurde, bzw. zu entfernen, wenn ein Programm gelöscht wurde. Um die automatisierte Pflege der Menüs beinahe aller Fenster-Manager kümmern sich die in dem Paket menu enthaltenen Werkzeuge. Sie sollten dieses Paket einrichten, um Anwendungen bequem über Menüs Ihres Fenster-Managers zu erreichen. Die Eingabe: joe@debian:~$ apt-cache showpkg menu listet im Abschnitt Reverse Depends die Kommandos auf, die von dem Paket menu abhängen. Jedes Paket, das Programme enthält, die über Menüs aufrufbar sein sollen, legt dazu im Verzeichnis /usr/lib/menu eine Datei ab, in der beschrieben ist, welcher Einträge den Menüs hinzugefügt werden sollen. Jeder Fenster-Manager und jedes andere Programm, das einen Auswahlmechanismus über Menüs bereitstellt, 5
Das ist der Grund dafür, dass in den Hauptmenüs von GNOME oder KDE ein Punkt Debian auftaucht, der viele Menüeinträge wiederholt. Die inakzeptable Alternative wäre die Beschränkung auf einen Fenster-Manager und ein Menüsystem.
206
3 X Window System (X11) und Arbeitsumgebungen
enthält darüber hinaus ein Werkzeug, das aus den einzelnen Menüinformationen Konfigurationsdateien für den Fenster-Manager oder das entsprechende Programm erzeugt, durch welche die jeweilige Menüstruktur aufgebaut wird. Diese Konfigurationsdateien müssen immer dann neu angelegt werden, wenn ein Paket mit Programmen, die im Menüsystem berücksichtigt werden sollen, eingerichtet oder entfernt wird. Aus diesem Grund rufen die Einrichtungsskripte solcher Pakete nach der Einrichtung oder dem Rauswurf das Programm update-menus auf, das die Menüs aktualisiert. Gelegentlich ist es erwünscht, dem Menüsystem eigene Einträge hinzuzufügen oder vorgegebene Einträge zu überschreiben. Systemverwalter können deshalb im Verzeichnis /etc/menu eigene Menüdefinitionen ablegen, durch die entweder neue Menüs erzeugt oder bestehende Definitionen überschrieben werden. Darüber hinaus können Benutzer ein Unterverzeichnis .menu in ihrem Home-Verzeichnis anlegen und dort ebenfalls Menüdefinitionsdateien ablegen. Jede Definition eines Menüeintrags in einer Menüdefinitionsdatei beginnt mit einem Fragezeichen und der Zeichenkette package, hinter der sich in Klammern der Name des Paketes befindet, zu dem der Menüeintrag gehört. Der Menüeintrag wird nur dann erzeugt, wenn das betreffende Paket auch tatsächlich eingerichtet ist. Für Menüeinträge, die keinem Paket zugeordnet sind, ist ein beliebiger Paketname zu verwenden, der mit der Zeichenfolge local. beginnt. Nach dem Paketname folgt ein Doppelpunkt, und daraufhin können verschiedenen vorgegebenen Variablen Werte zugewiesen werden. Wenn mehr als eine Zeile für einen Eintrag benötigt wird, sind fortzusetzende Zeilen mit einem Backslash abzuschließen. Im Folgenden finden Sie als Beispiel eine Menüdefinition, mit der ein Eintrag für das Programm wine erzeugt wird: ?package(local.wine):needs="x11" \ section="Apps/Editors" \ title="MS Winword" \ command="wine --language de --managed \ /dosC/Programme/MSOffice/Winword/winword.exe" Mit local.wine als Paketbezeichnung wird hier festgelegt, dass es sich um eine lokale Menüdefinition handelt und der Menüeintrag unabhängig von dem Vorhandensein irgendwelcher Pakete erzeugt werden soll. Die einzelnen Variablenbezeichner haben die folgende Bedeutung: •
needs=Voraussetzung Hiermit wird angegeben, welche Voraussetzung erfüllt sein muss, damit das Programm benutzt werden kann. Programme für X11 können beispielsweise nicht ausgeführt werden, wenn kein X-Server zur Verfügung steht. Ebenso können Programme für die Konsole unter X11 nicht direkt, sondern nur in einem Terminalfenster ausgeführt werden. Für Voraussetzung kann Folgendes angegeben werden: x11 – das Programm kann nur unter X11 ausgeführt werden; text – das Programm muss in einem Terminalfenster oder an der Konsole ausgeführt werden; vc – das Programm kann nur an einer virtuellen Konsole, nicht aber in einem Terminalfenster ausgeführt werden.
3.6 Fenster-Manager (Window Manager)
•
•
• •
•
207
section="Menüname[/Untermenü ...]" Die Menüs zum Starten von Anwendungen weisen normalerweise eine baumartige, hierarchische Struktur auf, in der zunächst alle Programme einer Kategorie wie Spiele in einem Menü zusammengefasst werden und sich verschiedene Unterkategorien in Untermenüs befinden wie Denkspiele, Aktionspiele. Hiermit wird der Platz in der Menüstruktur für den betreffenden Menübefehl angegeben. Menüs und Untermenüs sind durch einen Schrägstrich voneinander zu trennen. Beispiel: Games/Action. Informationen zur Menüstruktur finden Sie in der Manualseite zu menufile in Abschnitt 5. icon="Bilddatei" Die Variable definiert, welches Bild (Icon) neben dem betreffenden Menüeintrag angezeigt werden soll. Die Angabe ist optional. Nicht alle Menüs können Bilder anzeigen. Für solche Menüs hat die Variable keine Bedeutung. Icondateien sollten im XPM-Format vorliegen. Das Grafikwerkzeug GIMP beherrscht das Format. title="Titel" Gibt mit Titel die Bezeichnung des Menüeintrags an. longtitle="Beschreibung" Gibt eine Beschreibung des Menüeintrags an. Abhängig vom Fenster-Manager werden die Beschreibungen beispielsweise mit Hilfe der Bubble Help als Sprachblasen angezeigt. command="Kommando" Gibt mit Kommando den Namen des Programms an, das bei Auswahl des zugehörigen Menüpunkts aufgerufen wird. Programmnamen sind mit vollem Pfad- und Dateinamen anzugeben. Optionen werden durch Leerzeichen getrennt hinter dem Programmnamen angefügt.
Um einen Menüeintrag zu löschen, der durch ein Paket erzeugt wurde, wird in /etc/menu oder im Verzeichnis .menu im Home-Verzeichnis des Benutzers eine leere Menüdatei angelegt. Die Datei muss den gleichen Namen tragen wie die Datei im Verzeichnis /usr/lib/menu, durch welche der Eintrag definiert wird. Nachdem eine Menüdefinition hinzugefügt, verändert oder entfernt wurde, ist das Kommando update-menus aufzurufen: debian:~# update-menus Darüber hinaus ist es notwendig, den Fenster-Manager neu zu starten, weil er Menüdefinitionen nur zu Beginn einliest. Wenn Sie die Arbeitsumgebungen KDE oder GNOME verwenden, reicht es, das Panel neu zu starten. Ausloggen und wieder Einloggen geht natürlich auch. Wenn eine Menüdefinition im Verzeichnis .menu eines Benutzers verändert wurde, ist update-menus von dem betreffenden Benutzer aufzurufen. Auch in diesem Fall ist der Fenster-Manager neu zu starten. Mehr Informationen zu Menüdefinitionen finden Sie in der Manualseite zu menufile, zu update-menus sowie allgemein zum Menüsystem in der Dokumentation unterhalb des Verzeichnisses /usr/share/doc/menu.
208
3 X Window System (X11) und Arbeitsumgebungen
3.7 Arbeitsumgebungen (Desktöppe) 3.7.1 Grundbegriffe Arbeitsumgebungen (Desktop environment oder kurz Desktop) sind nicht Bestandteil von X11, sondern bauen darauf auf. Eine Arbeitsumgebung besteht aus Bibliotheken, Daten und Programmen. Weil alle Programme einer Arbeitsumgebung dieselben Bibliotheken verwenden, lassen sie sich ähnlich gebrauchen und bieten ein einheitliches Erscheinungsbild (Look and Feel). Außerdem können verschiedene Anwendungen einer Umgebung miteinander kommunizieren. Zu einer Arbeitsumgebung gehört in der Regel ein Dateimanager, ein Programm, mit dem die Dateien und Verzeichnisse des Systems bildhaft als Icons dargestellt werden und sich mit der Maus oder Rollkugel und über Menüs handhaben lassen. Dazu kommt meist ein Programm, mit dem Anwendungen gestartet werden. Innerhalb einer Arbeitsumgebung ist es oft möglich, eine Datei (beispielsweise Text) aus dem Dateimanager mit der Maus auf eine Anwendung (beispielsweise ein Leseprogramm) zu ziehen und die Datei mit der Anwendung zu öffnen. Dies erscheint manchen Benutzern einfacher als der Weg über Menüs oder Kommandozeilen. Auch ein Fenster-Manager zählt zur Grundausstattung eines Desktops. Eine Übersicht über X11-Desktops findet man auf http://freedesktop.org/wiki/Desktops. Benutzer von Debian GNU/Linux haben die Auswahl unter mehreren Arbeitsumgebungen: •
•
• •
GNU Network Object Model Environment (GNOME), http://www. gnome.org/ und http://www.gnome-ev.de/, Teil des GNU-Projekts, mit einer eigenen Abteilung in der Debian-Paketliste, Paketen aber auch in anderen Abteilungen, verwendet die Grafikbibliothek GTK+, Vorgabe unter etch. K Desktop Environment (KDE), http://www.kde.org/, ebenfalls mit einer eigenen Abteilung in der Debian-Paketliste, Paketen aber auch in anderen Abteilungen, verwendet die Quasar-Toolkit-Grafikbibliothek (Qt), stilistisch etwas lebhafter als GNOME. GNUstep, http://www.gnustep.org/, entstanden aus NeXTSTEP und daher mit Anklängen an die NeXT- und Apple-Welt. Cholesterol Free Desktop Environment (Xfce), http://www.xfe.org/, eine leichtgewichtige, schnelle Arbeitsumgebung, die sich an die Standards von http://www.freedesktop.org/ hält und gut mit Anwendungen aus anderen Umgebungen zusammenarbeitet.
Im Handel erhältlich ist die nicht freie, auf Motif beruhende Arbeitsumgebung Common Desktop Environment (CDE), die auf vielen kommerziellen UNIX-Systemen eingesetzt wird. Dazu kommen proprietäre Arbeitsumgebungen. GNOME ist der Desktop, der bei der Einrichtung des Grundsystems vorgegeben wird, vorausgesetzt, man hat überhaupt die Paketauswahl für einen Desktoprechner markiert. KDE wird aber auch heruntergeladen oder lässt sich nachrüsten. Display-Manager bieten auf dem Anmeldebildschirm unter dem Punkt Sitzung die verfügbaren Arbeitsumgebungen zur Auswahl an. Innerhalb einer Sitzung mit zwei verschiedenen Arbeits-
3.7 Arbeitsumgebungen (Desktöppe)
209
umgebungen zu arbeiten oder die Arbeitsumgebung zu wechseln, ist ungebräuchlich bis unmöglich. Im Gegensatz zu Fenster-Managern können Anwendungen oder Werkzeuge, die zu unterschiedlichen Arbeitsumgebungen gehören, gleichzeitig nebeneinander in einer Sitzung betrieben werden. Voraussetzung ist lediglich, dass die benötigten Komponenten der Umgebungen auf dem System eingerichtet sind. Abbildung 3.9 zeigt den SysV-Init-Editor aus dem KDE-Projekt auf einer GNOME-Arbeitsfläche. Es kommt jedoch vor, dass Anwendungen nicht richtig miteinander kommunizieren, sodass ein Programm einer Arbeitsumgebung beispielsweise nichts damit anfangen kann, wenn mit der Maus ein Objekt aus einem Programm einer anderen Arbeitsumgebung auf dieses Programm gezogen wird. Nach Möglichkeit bleibt man innerhalb einer Sitzung bei einer Arbeitsumgebung. Ausprobieren.
Abb. 3.9: Screenshot des KDE SysV-Init-Editors auf einem GNOME-Desktop
Zum sichtbaren Teil eines Desktops gehören eine Menüleiste mit mehreren Knöpfen, ein Rollbalken (Laufleiste, scrollbar), eine Taskleiste (Schnellstartleiste, Panel) mit Knöpfen zur Auswahl der Arbeitsfläche, eine Uhr, ein Lautstärkeregler und andere Kleinigkeiten mehr. Wer mit beiden Arbeitsumgebungen (und mit CDE unter HP-UX) gearbeitet hat, kommt zu dem Schluss, dass man mit allen leben kann, dass jede Umgebung ihre Stärken hat und sich weiter entwickelt und dass die Gewohnheit eine entscheidende Rolle spielt.
210
3 X Window System (X11) und Arbeitsumgebungen
3.7.2 K Desktop Environment (KDE) Die aktuelle Version der Arbeitsumgebung KDE (Anfang 2007 3.5.6) basiert auf einer Bibliothek (Quasar Toolkit, Qt), bei der es sich um bedingt freie Software handelt. KDE selbst ist ein Open-Source-Projekt, das unter der GPL veröffentlicht ist. Das KDE-Projekt stellt neben dem Quellcode auch Pakete in mehreren Formaten zur Verfügung, allerdings keine Debian-Pakete. Mehr Informationen hierüber auf der Startseite des KDE-Projektes unter http://www.kde.org/. KDE besteht bei Debian aus zahlreichen Paketen, die teilweise zu Metapaketen zusammengefasst sind, um die Einrichtung zu erleichtern. Die wichtigsten sind: • • • •
• • • •
• • • • • • • • • •
kde ein umfangreiches Metapaket, das alle offiziellen Module von KDE umfasst, kde-core Metapaket, das die wichtigsten Module des Desktops umfasst, benötigt kdebase (siehe unten), kde-devel Metapaket mit allen Modulen für KDE-Entwickler, kde-extras Metapaket mit nicht-offiziellen Anwendungen, die auf KDE aufsetzen und für KDE-Benutzer interessant sein können, darunter kile, koffice und noteedit, kde-i18n-de enthält die deutschen internationalisierten Dateien für alle KDEKernanwendungen, entsprechend -fr für die französischen Dateien etc., kdeaccessibility Metapaket mit einigen KDE-Paketen zur Verbesserung der Zugänglichkeit für behinderte Benutzer, kdeadmin Metapaket mit Werkzeugen zur Verwaltung, kdebase Metapaket mit dem Minimum an Modulen zum Arbeiten mit KDE, darunter der Fenster-Manager kwin, der Datei-Manager konqueror und der Terminal-Emulator konsole, benötigt kdebase-bin und kdebase-data (aber darum kümmert sich das Metapaket bei seiner Einrichtung mittels apt), kdegames Metapaket mit Spielen wie kpoker, kdegraphics Metapaket mit grafischen Anwendungen, kdelibs Metapaket mit den wichtigsten Bibliotheken, kdemultimedia Metapaket mit Multimedia-Anwendungen, kdenetwork Metapaket mit Netzanwendungen wie kget, kwifimanager und kopete, kdeutils Metapaket mit Dienstprogrammen wie kcalc, kedit und ksim, kdm Paket mit dem K-Display-Manager, koffice Paket mit allen Teilen von KOffice (Büroanwendungen), koffice-i18n-de deutsche Übersetzungen zu KOffice, konsole Paket mit dem Terminal-Emulator konsole.
In der Regel wird man zuerst einige Metapakete einrichten und nach Bedarf einzelne Pakete nachrüsten. Wer es sich einfach machen will und ausreichend Platz auf der Platte hat, nimmt das Metapaket kde. Wer sparen muss, wählt das Metapaket kdebase, zweckmäßig mit der deutschsprachigen Ergänzung kde-i18n-de. Dokumentation findet sich reichlich auf http://de.kde.org/ und http://docs.kde. org/, wird aber auch mit den Programmen geliefert und ist im jeweiligen Fenster über den Menüpunkt Hilfe erreichbar.
3.7 Arbeitsumgebungen (Desktöppe)
211
Abb. 3.10: Screenshot der Arbeitsumgebung KDE, Erklärung im Text
Die Konfiguration von KDE verteilt sich auf das Verzeichnis /etc/kde3 mit den systemweiten Einstellungen und auf das benutzereigene Verzeichnis $HOME/ .kde sowie eine Datei $HOME/.kderc mit individuellen Wünschen. In Abbildung 3.10 sehen wir einen typischen KDE-Bildschirm, gemalt vom Fenster-Manager kwin. Links oben erkennen wir das Icon eines Mülleimers (ohne Mülltrennung in recyclefähige Bits und Restbits). Auf der Arbeitsfläche liegen die Fenster des Datei- und Web-Browsers Konqueror sowie eines Kalenders. Die Schnellstartleiste am unteren Bildschirmrand wird bei KDE Kontrollleiste genannt und enthält von links nach rechts: •
• • • • •
ein Zahnrad mit einem K; Anklicken zaubert das Hauptmenü hervor, aus dem viele Programme oder Aktionen wie Sitzung sperren oder Abmelden gestartet werden, einen Bleistift auf einem Blatt Papier; Anklicken zeigt die Arbeitsfläche an, ein rot gedecktes Häuschen; Anklicken ruft den Konqueror als Dateimanager des Home-Verzeichnisses auf, eine Weltkugel mit den Resten eines Zahnrads; Anklicken ruft den Konqueror als Web-Browser auf, siehe das große Fenster, einen Briefumschlag neben einem Stück Schweizerkäse; Anklicken startet das Emailprogramm kmail, einen rotweißen Rettungsring, hinter dem die Startseite des KDE-Hilfezentrums steckt,
212
• • •
• •
3 X Window System (X11) und Arbeitsumgebungen
vier durchnummerierte Quadrate, welche die vier per Vorgabe eingerichteten Arbeitsflächen darstellen, kleine iconartige Flächen, die den Fenstern auf der Arbeitsfläche zugeordnet sind, zwei winzige Icons, über die der Klipper – ein Dienstprogramm für die Zwischenablage – und der KOrganizer gestartet werden, in der Annahme, dass ein Normalbenutzer beide Werkzeuge oft benutzt, ganz rechts eine Anzeige der Systemuhr, äußerst rechts einen schmalen Knopf, um die Kontrollleiste vorübergehend verschwinden zu lassen, wenn man den ganzen Bildschirm für eine Anwendung wie eine Tabellenkalkulation oder Grafiken braucht.
Aussehen, Lage und Funktionalität der Kontrollleiste sind weitgehend konfigurierbar. Braucht man mehr als die vier vorgegebenen Arbeitsflächen, rechtsklickt man in die vier Quadrate und wählt den Menüpunkt Virtuelle Arbeitsflächen einrichten. Das Fenster einer Anwendung wie Konqueror besteht ebenfalls aus einer Nutzfläche sowie aus Dekoration: Titelleiste mit einigen Knöpfen links und rechts, Menüleiste, Rollbalken (meist rechts am Rand) und weiteren, anwendungsabhängigen Elementen. Üblicherweise steckt hinter dem linken Knopf der Titelleiste ein Menü, das als untersten Punkt das Beenden der Anwendung und damit Schließen des Fensters enthält. Die rechten Knöpfe der Titelleiste dienen dem Vergrößern des Fensters auf die Größe der Arbeitsfläche und wieder zurück sowie dem Schließen alternativ zu dem eben erwähnten Menüpunkt. Die zu KDE gehörenden Prozesse müssen miteinander reden. Hierfür haben die Entwickler ein eigenes Protokoll namens Desktop Communication Protocol (DCOP) geschaffen, um Ressourcen zu sparen und die Geschwindigkeit zu erhöhen. Informationen dazu finden sich auf http://developer.kde.org/ documentation/. Es setzt auf dem Inter Client Exchange Protocol (ICE) von X11R6 und auf der Qt-Bibliothek auf. Jede Anwendung, die DCOP benutzt, ist ein Client des als Dämon laufenden DCOP-Servers, der als eine Art von Telefonvermittlung zwischen den Prozessen arbeitet. Ein Benutzer der Arbeitsumgebung KDE tut gut daran, alles was dcop im Namen trägt, nicht zu behelligen oder gar zu löschen. Solange alles funktioniert, brauchen sich weder Verwalter noch Benutzer um den Hintergrund der Arbeitsumgebung Gedanken zu machen, Programmierer dagegen, die Anwendungen für die Arbeitsumgebung schreiben, müssen sich mit DCOP befassen. DCOP wird nur von KDE benutzt. So gut es auch sein mag, Einzellösungen sind selten der optimale Weg. Das KDE-Projekt ist deshalb dabei, seine InterprozessKommunikation auf den D-Bus umzustellen, der eine allgemeinere Lösung darstellt. 3.7.3 GNU Network Object Model Environment (GNOME) Die aktuelle Version der Arbeitsumgebung GNOME (Anfang 2007 2.18) beruht auf dem GIMP Toolkit (GTK+), der unter der GPL steht, also im strengen Sinn frei ist. Aus diesem Grund haben sich einige Firmen für GNOME entschieden, da hier keine Lizenzfragen auftauchen. GNOME war später dran als KDE, hat aber aufgeholt.
3.7 Arbeitsumgebungen (Desktöppe)
213
Außer in der Grafikbibliothek unterscheidet sich GNOME von KDE in der Programmiersprache (C statt C++), in der Interprozesskommunikation (CORBA statt DCOP) und in vielen Kleinigkeiten des Look and Feel, die jedoch so weit konfigurierbar sind, dass für einen Benutzer die Unterschiede verschwimmen. Beispielsweise startet per Vorgabe unter KDE ein einfacher Mausklick ein Programm, unter GNOME ein doppelter. Dies lässt sich vom Benutzer unter GNOME über die Menüpunkte Anwendungen -> Systemwerkzeuge -> Konfigurationseditor -> desktop -> gnome -> peripherals -> mouse -> single_click ändern, unter KDE über die Menüpunkte Hauptmenü -> Kontrollzentrum -> Angeschlossene Geräte -> Maus -> Allgemein -> Symbole. Einige Kommandos zum Konfigurieren – falls man grafisch nicht ans Ziel gelangt – tragen Namen der Art /usr/bin/gnome- *, ein Blick darauf lohnt. GNOME möbliert von sich aus den Desktop etwas zurückhaltender als KDE und setzt darauf, dass ein Benutzer die von ihm gewünschten zusätzlichen Möbelstücke nach und nach selbst einrichtet. Falls Sie sich unsicher sind, mit welcher Arbeitsumgebung Sie gerade arbeiten, hilft ein Rechtsklick in die Taskleiste. Im auftauchenden Menü wählt man den Punkt Hilfe. Spätestens dann sollte die Arbeitsumgebung Farbe bekennen. Auch GNOME besteht bei Debian aus zahlreichen Paketen, die teilweise zu Metapaketen zusammengefasst sind, um die Einrichtung zu erleichtern. Zu trennen sind dabei die Anwendungen und Bibliotheken, die GNOME selbst ausmachen, von solchen Programmen, welche die Bibliotheken und Dienste des GNOME-Systems benutzen und seine Funktionalität erweitern. Die wichtigsten sind: • • • • • • • • • • •
gnome ein Metapaket, das alle offiziellen Module von GNOME2 umfasst, gnome-core ein Metapaket, welches das Minimum der Arbeitsumgebung enthält, gnome-desktop-environment ein Metapaket, das die Arbeitsumgebung samt einigen Anwendungen umfasst, gnome2-user-guide Paket mit GNOME2-Dokumentation, gnome-accessibility-themes Paket mit einigen Themes zur Verbesserung der Zugänglichkeit für sehschwache Benutzer, gnome-utils Paket mit Dienstprogrammen, gnome-games, gnome-games-data und gnome-games-extra-data Pakete mit Spielen für GNOME, gnome-media Paket mit Multimedia-Anwendungen, gnome-office Metapaket mit Office-Anwendungen (Büroanwendungen), gnome-terminal Paket mit Terminal-Emulator, gdm und gdm-themes Pakete mit dem GNOME Display Manager,
Die Bezeichnung der Pakete und die Verteilung der Aufgaben unterscheidet sich teilweise von KDE, ansonsten gilt das bereits Gesagte: Man richtet zweckmäßig eines der grundlegenden Metapakete ein und rüstet einzelne Pakete bei Bedarf nach. Dokumentation findet sich reichlich auf http://www.gnome.org/learn/, kommt mit den Paketen mit und ist in den jeweiligen Fenstern über den Menüpunkt Hilfe erreichbar. Die Konfiguration von GNOME verteilt sich auf die Verzeichnisse /etc/ gconf und /etc/gnome mit den systemweiten Einstellungen sowie auf die be-
214
3 X Window System (X11) und Arbeitsumgebungen
Abb. 3.11: Screenshot der Arbeitsumgebung GNOME, kann im Einzelfall abweichen, Erklärung im Text. Bis Sie unser Buch in Händen halten, noch schöner geworden.
nutzereigenen Verzeichnisse $HOME/.gconf und $HOME/.gnome2 mit individuellen Wünschen. Das Verzeichnis $HOME/.gnome2_private hat gegenwärtig noch keine Funktion und ist leer. Das wichtigste Werkzeug für die Konfiguration ist gconftool-2. Die Konfiguration ist ausführlich in Dokumenten auf http://www.gnome.org/learn/ beschrieben, gegliedert in einen User’s Guide, einen System Administration Guide und einen Accessibility Guide. In Abbildung 3.11 sehen wir einen typischen GNOME-Bildschirm, gemalt vom Fenster-Manager metacity. Im Einzelfall weicht der Bildschirm je nach Version und Konfiguration von GNOME von der Darstellung ab. Den oberen Bildrand ziert eine Leiste (Panel), die von links nach rechts folgende Knöpfe enthält: •
•
• • •
den Fußabdruck eines noch kleinen Gnoms samt dem Schriftzug Anwendungen, mittels dessen man ein Menü öffnet, das über Untermenüs den Zugang zu zahlreichen Anwendungen ermöglicht, Aktionen, das sind eine Kommandozeile, ein Dateisuchfenster, ein Menüpunkt zum Aufnehmen von Bildschirmfotos (Screenshots), Sperren des Bildschirms und Abmelden, ein natolivfarbenes Rechteck, das den Datei-Browser Nautilus startet, einen dunkelgrauen Fernseher, der den Terminal-Emulator GNOME-Terminal startet, rechts oben einen Kalender samt Uhr, die auch Sekunden anzeigen kann,
3.7 Arbeitsumgebungen (Desktöppe)
• •
215
weiter rechts ein Lautsprechersymbol für einen einfachen Lautstärkeregler, ganz rechts einen Fensterwähler, der ein Menü anbietet, das alle zur Zeit vorhandenen Fenster – auch auf verschiedenen Arbeitsflächen – anzeigt und auszuwählen gestattet. Bei anderen Konfigurationen findet sich stattdessen ein PanelBenachrichtigungsfeld.
Ein Rechtsklick auf die leere Fläche der Leiste (des Panels) öffnet ein Menü zu seiner Konfiguration. Auf der Arbeitsfläche tummeln sich: •
•
drei Icons für Computer (der Datei-Browser Nautilus), Persönlicher Ordner (nochmals der Nautilus, aber jetzt mit dem Home-Verzeichnis des Benutzers im Visier) und einen Mülleimer, der auch vom Nautilus verwaltet wird, vorn ein Fenster des Web-Browsers Epiphany aus dem Geschlecht der Mozillas, dahinter teilweise verdeckt ein Fenster des Terminal-Emulators GNOMETerminal.
Ein Rechtsklick auf den leeren Teil der Arbeitsfläche öffnet ein Menü zum Starten von GNOME-Terminal, zum Anlegen eines Starters (launcher), das ist ein neues Icon auf der Arbeitsfläche, mit dem ein beliebiges Programm gestartet wird, zum Aufräumen auf der Arbeitsfläche usw. Am unteren Bildrand steht uns eine weitere Leiste (Panel) mit folgenden Knöpfen zu Diensten: • •
• •
ganz links und rechts ein Knopf, der zwischen Anzeigen und Verbergen des Panels umschaltet, ein Knopf aus der Fensterliste, der zu dem teilweise verdeckten Terminalfenster auf der Arbeitsfläche gehört und es erlaubt, dieses zu verbergen (minimieren) oder wieder hervorzuholen, das Gleiche für das Browserfenster, rechts vier Knöpfe zum Umschalten zwischen den vier Arbeitsflächen.
Ein Rechtsklick auf die Leiste öffnet ein Menü zu ihrer Konfiguration, vor allem zwecks Hinzufügen weiterer Knöpfe. Der Menüpunkt Zum Panel hinzufügen öffnet ein Angebot über vorgefertigte Knöpfe für häufig vorkommende Aufgaben. Man kann aber auch Knöpfe nach Aussehen und Bedeutung selbst gestalten, siehe dazu die Hilfe zum Panel. Braucht man zusätzliche Arbeitsflächen, rechtsklickt man auf die Knöpfe zur Auswahl der Arbeitsfläche und wählt aus dem emporschnellenden Menü den Punkt Einstellungen. Wer einen großen Bildschirm sein eigen nennt, wird eher mit mehreren Fenstern auf einer Arbeitsfläche arbeiten. Das Fenster einer Anwendung zeigt oben links das übliche Fenstermenü mit Schließen als wichtigstem Punkt, oben rechts drei Knöpfe zum Minimieren, Maximieren und Schließen sowie je nach Anwendung rechts einen Rollbalken und unten verschiedene Informationen. Ein minimiertes Fenster wird durch Linksklick in die Fensterliste im Panel wieder munter, weshalb die Fensterliste im Panel vertreten sein sollte. Auch bei GNOME müssen die Prozesse einer Sitzung miteinander reden. GNOME hat dafür die Common Object Request Broker Architecture (CORBA, http: //www.corba.org/) gewählt, eine offene, herstellerunabhängige Spezifikation (eine Sprache und zwei Protokolle), wie Anwendungen über ein Netz miteinander
216
3 X Window System (X11) und Arbeitsumgebungen
kommunizieren. Vielleicht ist diese Lösung zukunftsträchtiger als KDEs Alleingang mit DCOP. Der D-Bus wird auch unterstützt.
3.8 Datei-Manager In Abschnitt 2.8 Dateien und Verzeichnisse auf Seite 115 haben wir ein Reihe von Kommandos zur Handhabung von Dateien oder Verzeichnissen kennen gelernt (Dienstprogramme). In einer Arbeitsumgebung werden diese Helfer unter der Oberfläche eines Datei-Managers zusammengefasst: •
• • •
der Midnight Commander aus dem Debian-Paket mc und der Last File Manager aus dem Debian-Paket lfm sind von X11 unabhängige, curses-basierte (nichtgrafische) Datei-Manager, auf X11 basiert der von einer Arbeitsumgebung unabhängige X Northern Captain aus dem Debian-Paket xnc, zur Arbeitsumgebung GNOME gehört der Datei-Manager nautilus, schlicht, aber mit allen nötigen Funktionen, zur Arbeitsumgebung KDE gehört der Datei-Manager und zugleich WebBrowser konqueror.
In Abbildung 3.12 sehen wir einen Screenshot des Datei-Managers Nautilus, der zur Arbeitsumgebung GNOME gehört und bei der vorgegebenen Einrichtung automatisch gestartet wird. Er verwaltet unter anderem die Arbeitsflächen und läuft daher im Hintergrund, auch wenn man ihn nicht ausdrücklich aufgerufen hat. Der KDE Konqueror hingegen hat mit den Arbeitsflächen nichts zu schaffen und wird nur auf Befehl munter. Datei-Manager bieten über das einfache Anzeigen, Umbenennen und Löschen hinaus weitere Funktionen. Beispielsweise lassen sich Dateien oder Verzeichnisse mit der linken Maustaste auf das Icon eines entfernbaren Speichermediums (Floppy, USB-Stöpsel, CD/DVD in einem Brenner) ziehen und dort speichern, entsprechende Zugriffsrechte vorausgesetzt. Man erwarte jedoch nicht, dass dieses Vorgehen sofort und überall ohne weitere Konfiguration funktioniert. Beispielsweise brach der Versuch, in Nautilus ein Projektverzeichnis von der Platte auf einen USB-Stöpsel zu kopieren, ab mit der Fehlermeldung Ungültige Parameter beim Kopieren. Es versteht sich, dass der USB-Stöpsel vorher eingehängt war, andernfalls wäre das Projektverzeichnis in den Einhängepunkt (Mounting Point, ein leeres Verzeichnis wie /media/stick) kopiert worden, was problemlos, aber verdächtig schnell geht. Die Kommandozeile: joe@debian:manuskripte$ cp -dfpru debian /stick dagegen tat ohne Murren das Verlangte. Während Sie in der Kommandozeile die Parameter oder Optionen im Blick haben, dürfen Sie beim Manager erst einmal suchen, wo der Hund begraben liegt. Der Konfigurationseditor (Menüpunkte Anwendungen -> Systemwerkzeuge -> Konfigurationseditor) war dabei ebenso erfolglos wie die händische Suche mit locate, grep und less. Einige Hinweise zum Umgang mit
3.9 Abfolge der Manager beim Systemstart
217
Abb. 3.12: Screenshot des zu GNOME gehörenden Datei-Managers Nautilus. Angezeigt wird das Verzeichnis, in dem sich Bilddateien zum Buch befinden. Die Bildervorschau ist hübsch, frisst aber auch Fläche.
Floppies oder CD/DVDs finden sich in den Sektionen 7.10 und 7.11 der Online-Hilfe von Nautilus.
3.9 Abfolge der Manager beim Systemstart Zur Übersicht noch einmal die verschiedenen an einer Sitzung beteiligten Manager und sonstigen Knechte in der Abfolge ihrer Starts: •
•
•
Nach dem Einschalten des Rechners laufen einige hardwarenahe Vorgänge ab, die in Kapitel 11 Systemstart (Booten) ab Seite 465 erläutert werden. Sobald Kern und Wurzeldateisystem betriebsbereit sind, geht es mit den folgenden Schritten weiter. Vom init-Prozess wird auf Grund des Eintrags in /etc/inittab ein bestimmter Runlevel (meist Nr. 2, Mehrbenutzerbetrieb) als Default Runlevel ausgewählt. Auf Grund des Eintrags in /etc/inittab werden je nach Runlevel bis zu sechs Prozesse /sbin/getty auf den Konsolen /dev/tty* gestartet. Die Bemerkung respawn besagt, dass die Prozesse nach Beendigung sofort wieder erneuert werden. Ein getty-Prozess schreibt den Login-Prompt auf seine
218
•
•
•
•
•
•
3 X Window System (X11) und Arbeitsumgebungen
Konsole, ersetzt sich (exec) bei der Anmeldung durch /bin/login und dieser Prozess bei Erfolg durch eine Login-Shell (Bash). Für Benutzer grafischer Oberflächen sind die Konsolen von geringerer Bedeutung, auf Maschinen ohne X11 (manche Server) sind sie der einzige direkte Zugang. Im Normalbetrieb (nicht bei Notfällen) wird das Skript /etc/init.d/rcS ausgeführt, das die Startskripte in /etc/rcS.d der Reihe nach aufruft. Die Einträge in den Verzeichnissen /etc/rc*.d sind Symlinks auf Skripte in /etc/init.d. In rcS werden das Dateisystem, die Netzanbindung, die Systemuhr und weitere Ressourcen gestartet, die sowohl im Einzel- wie im Mehrbenutzerbetrieb gebraucht werden. Anschließend folgt auf Grund des Eintrags in /etc/inittab das Skript /etc/init.d/rc mit dem jeweiligen Runlevel als Argument. Das Skript ruft aus dem zu dem jeweiligen Runlevel (hier 2) gehörenden Verzeichnis /etc/rc2.d zuerst die Kill-Skripte (K...), dann die Startskripte (S...) der Reihe nach auf. Die Kill-Skripte beenden Dienste, die möglicherweise laufen, in dem gewählten Runlevel aber nicht länger laufen sollen, beispielsweise wenn zwecks Wartung vom Mehrbenutzerbetrieb (Runlevel 2) in den Einbenutzerbetrieb (Runlevel 1) gewechselt wird. Unter den Startskripten befindet sich auf Maschinen mit X11 gegen Ende das Skript /etc/init.d/gdm, das den GNOME Display-Manager /usr/bin/ gdm startet, der in /etc/X11/default-display-manager bei der Konfiguration von X11 eingetragen wurde. Alternativen wären xdm von X11, kdm von KDE oder wdm (WINGs Display Manager, NeXT-ähnlich). Der Display-Manager startet einen X-Server, schreibt den Anmelde-Bildschirm, nimmt die Anmeldung des Benutzers entgegen, prüft sie6 und startet bei Erfolg einen X-Session-Manager wie xsm oder gnome-session als ersten benutzereigenen Prozess. Damit ist die Sitzung eines Benutzers eröffnet. Der DisplayManager verschwindet von der Bildfläche und läuft als Dämon im Hintergrund weiter. Der X-Session-Manager startet die Programme, die der Benutzer in seiner Sitzung bereits laufend vorfinden möchte, insbesondere einen Fenster-Manager, auf Grund der Eintragung in /etc/alternatives beispielsweise /usr/bin/ metacity, und einen Datei-Manager wie Nautilus. Dazu kommen Anwendungen wie ein Web-Browser und ein Terminal-Emulator, alles was beim Abmelden mit einem Klick auf den Menüpunkt Aktuelle Einstellungen speichern festgehalten worden ist. Der Benutzer sieht nun eine seiner Arbeitsflächen, mit Rahmen, Menüs und sonstigem Zierrat, gegebenenfalls mit einer laufenden Anwendung. Nehmen wir an, der Benutzer wähle per Menü oder Icon einen TerminalEmulator wie /usr/bin/X11/xterm, /usr/bin/konsole oder /usr/ bin/gnome-terminal aus. Der Emulator startet dann eine interaktive Bash, mit der man per Kommandozeile reden kann. Diese arbeitet als erstes die systemweite Datei /etc/bash.bashrc ab und dann die benutzereigene Datei $HOME/.bashrc. Entsprechendes gilt für andere grafische Anwendun6
Der heutige GDM delegiert die Prüfung an PAM, siehe Seite 536.
3.10 X-Ressourcen
•
219
gen an Stelle des Terminal-Emulators, beispielsweise für einen Web-Browser wie /usr/bin/epiphany oder den CD-Player /usr/bin/gnome-cd, die systemweit im Verzeichnis /etc und bei Bedarf zusätzlich im HomeVerzeichnis des Benutzers konfiguriert sind. Zum Beenden der Sitzung gibt man in einer Textkonsole das eingebaute ShellKommando exit, worauf sich die Sitzungs-Shell beendet. Der init-Prozess erfährt davon und startet wegen der respawn-Anweisung in /etc/inittab einen neuen getty-Prozess. In einer grafischen Arbeitsumgebung wählt man den Menüpunkt Aktionen -> Abmelden -> Abmelden (GNOME) oder Hauptmenü -> Aktionen/Abmelden -> Aktuelle Sitzung beenden (KDE) und beendet damit den X-Session-Manager. Der Display-Manager schreibt wieder das Anmeldefenster auf den Schirm.
Zum normalen Beenden des Betriebs wird das Kommando /sbin/shutdown aufgerufen, welches das System in den Runlevel 0 (Halt) oder 6 (Warmstart, Reboot) versetzt. Entsprechend den Einträgen in /etc/inittab werden die Skripte aus /etc/rc0.d oder /etc/rc6.d ausgeführt. Dabei handelt es sich vorwiegend um Kill-Skripte, die in sinnvoller Reihenfolge einen Dienst nach dem anderen abschalten. Der erste Kandidat ist der Display-Manager. Ganz zum Schluss wird das Startskript /etc/init.d/halt oder /etc/init.d/reboot abgearbeitet, das nach einigen Vorbereitungen das Kommando halt bzw. reboot aufruft. Die Schritte beim Start eines Rechners werden – von einem anderen Standpunkt aus – auch im From Power Up To Bash Prompt HOWTO (2000) von G REG O’K EEFE und im dritten Kapitel des Unix and Internet Fundamentals HOWTO (2004) von E RIC S. R AYMOND behandelt, beide bei TLDP zu finden. Ferner befassen sich Dokumentationen zum Kern und zu den Bootloadern mit diesbezüglichen Punkten.
3.10 X-Ressourcen Anwendungen, die von X11 Gebrauch machen, benötigen eine Vielzahl von Angaben oder Parametern zur Beschreibung ihrer Grafiken. X11 verfügt daher über eine eigene Methode zur Konfiguration, die man als X-Ressourcen7 bezeichnet. Der X-Server verwaltet dabei eine Hierarchie von Variablen und Werten, mit denen beispielsweise die Hintergrundfarbe von Fenstern, die von einer Anwendung zu verwendenden Schriftarten oder das Erscheinungsbild einer Werkzeugleiste bestimmt werden. Die X-Ressourcen lassen sich als eine mächtige Erweiterung der Optionen üblicher Linux/UNIX-Kommandos auffassen. Zu Beginn einer X11-Sitzung werden die X-Ressourcen in den X-Server geladen. Dies geschieht mit dem Programm xrdb (X Resource Database), üblicherweise aufgerufen vom Display-Manager oder einem X-Startskript wie startx. Dabei werden zunächst die systemweit geltenden X-Ressourcen aus den Dateien im Verzeichnis /etc/X11/Xresources und dann – sofern vorhanden – die Ressourcen7
X11-Ressourcen sind etwas anderes als die in anderem Zusammenhang vorkommenden Hardware- oder Software-Ressourcen.
220
3 X Window System (X11) und Arbeitsumgebungen
Definitionen aus der Datei .Xresources im Home-Verzeichnis des Benutzers geladen. Die Syntax dieser Dateien unterscheidet sich von der anderer Konfigurationsdateien. Kommentare werden hier nicht mit einem Doppelkreuz, sondern mit einem Ausrufungszeichen eingeleitet. Jede Ressourcendefinition besteht aus einer Zeile, in der sich der Name der Ressource gefolgt von einem Doppelpunkt sowie dem Wert der Ressource befindet. Falls für die Spezifikation einer Ressource mehr als eine Zeile benötigt wird, sind fortzusetzende Zeilen mit einem Gegenschrägstrich (Backslash) abzuschließen.
Abb. 3.13: Screenshot des X-Ressourcen-Editors editres mit der Anzeige der RessourcenHierarchie von xedit
Namen von Ressourcen setzen sich aus unterschiedlichen Elementen zusammen, die durch Punkte voneinander getrennt werden. Das erste Element bezeichnet in der Regel den Namen der Anwendung, die nächsten Elemente einzelne Teile des oder der Fenster der betreffenden Anwendung und der letzte Teil ein Merkmal (Attribut) des betreffenden Elements. Dies soll am Beispiel des Terminal-Emulators xterm erläutert werden. Die Fenster des Programms setzen sich aus verschiedenen Widgets (Widget = Window Gadget = geniales Dingsbums des Fensters) zusammen, wobei der Name des Widgets im Hauptfenster von xterm VT100 lautet. Möchte man den Hintergrund des xterm-Fensters in blauer Farbe haben, so ist folgende X-Ressource zu setzen:
3.10 X-Ressourcen
221
XTerm.vt100.background: blue Hierin bezeichnet XTerm die Anwendung, vt100 das Widget, background das Attribut und blue den Wert. Menüs und andere Fenster des Programms benutzen andere Widgets; sie werden durch diese Ressource nicht verändert. Durch den Stern lassen sich alle möglichen Kombinationen auf einmal spezifizieren, ähnlich dem Stern als Joker in Dateinamen, die der Shell übergeben werden. So führt die folgende Anweisung dazu, dass der Hintergrund aller Teile von xterm in Blau dargestellt wird: XTerm*background: blue Um den Hintergrund aller Anwendungen, die mit X-Ressourcen arbeiten, blau darzustellen, ist folgende Anweisung in die Datei .Xresources aufzunehmen: *background: blue Weitere Beispiele sind auf der Manualseite zu X(7) im Abschnitt RESOURCES zu finden. Nicht alle X-Anwendungen verwenden X-Ressourcen; das hängt davon ab, ob sie die zugehörigen Funktionen aus der Xlib und dem XToolkit benutzen. Die voreingestellten Ressourcen für die meisten Programme, die mit X-Ressourcen arbeiten, befinden sich in Dateien im Verzeichnis /usr/X11R6/lib/X11/ app-defaults, mittlerweile ein Symlink auf /etc/X11/app-defaults. Die Namen der Dateien in diesem Verzeichnis entsprechen den Namen der zugehörigen Anwendungen. Sie sollten diese Dateien nicht verändern, sondern als Vorlagen für Einträge in der Datei .Xresources in Ihrem Home-Verzeichnis oder in einer Datei unterhalb von /etc/X11/Xresources verwenden. Mehr über XRessourcen finden Sie in der Manualseite zu X in der Sektion 7. Wie Sie Ressourcen zur Laufzeit von X11 verändern, ist in der Manualseite zu xrdb beschrieben. Damit eine Anwendung Gebrauch von einer veränderten X-Ressource macht, ist sie neu zu starten. Bei vielen X-Anwendungen lassen sich die Ressourcen vorübergehend durch Optionen in der Kommandozeile ändern. Beispielsweise führt folgender Aufruf: joe@debian:~$ xterm -fg blue -bg yellow -fn lucidasans-18 dazu, dass der Terminal-Emulator mit blauer Schrift auf gelbem Hintergrund und dem Font Lucidasans (Alias für die ausführliche Bezeichnung) gestartet wird, was die Verwandtschaft zwischen X-Ressourcen und Kommandooptionen unterstreicht. Die Optionen werden temporär in Ressourcen übersetzt. Mit dem X-Ressourcen-Editor editres kann man sich die zu einer laufenden Anwendung gehörenden Ressourcen anzeigen lassen und sie bei Bedarf dynamisch editieren, sodass man sofort die Auswirkungen erkennt, siehe Abbildung 3.13, die den Ressourcenbaum der Anwendung xedit (ein Texteditor) anzeigt, die Wurzel zur Abwechslung einmal links. Hierzu ruft man den Ressourcen-Editor auf, wählt den Menüpunkt Commands -> Get Tree und bewegt das auftauchende Fadenkreuz in das Fenster der zu untersuchenden X-Anwendung. Das kann auch editres selbst sein. Ähnliche Möglichkeiten bieten die Werkzeuge viewres und appres:
222
3 X Window System (X11) und Arbeitsumgebungen
joe@debian:~$ appres XTerm | less aber editres ist am schönsten und auch am vielseitigsten. .
3.11 Zugriffssteuerung und -Kontrolle X11 ist ein Netzprotokoll. Anwendungen, die X11 benutzen, müssen daher wissen, auf welchem Rechner der X-Server läuft, den sie zur Darstellung verwenden sollen. Dies wird ihnen mit Hilfe der Umgebungsvariablen DISPLAY (siehe Abschnitt 2.7.5 Benannte Variable auf Seite 77) mitgeteilt. Die Variable wird gewöhnlich während des Starts des X-Servers gesetzt, sodass alle nachfolgenden X11-Anwendungen wissen, welchen X-Server sie zu benutzen haben. Der Wert der Variablen DISPLAY setzt sich aus dem Rechnernamen, der Nummer des Displays auf diesem Rechner und der Nummer des Bildschirms, der zu dem betreffenden Display gehört, zusammen. Daraus folgt, dass es auf einem Rechner mehrere Anzeigeeinheiten geben kann. Rechnername und Displaynummer werden durch einen Doppelpunkt voneinander getrennt, während Displaynummer und Bildschirmnummer durch einen einfachen Punkt getrennt werden. Ein Beispiel: DISPLAY=blackmagic:1.0 Damit versuchen X11-Anwendungen, den Rechner mit dem Namen blackmagic zu erreichen und dessen zweites Display sowie dort den ersten Schirm zu verwenden. Displays und Bildschirme werden mit der Zahl 0 beginnend durchnummeriert. Rechnername und Bildschirmnummern sind optional. Wenn kein Rechnername angegeben ist, wird der X-Server auf dem lokalen Rechnern gesucht. Wenn keine Bildschirmnummer angegeben ist, wird der erste Bildschirm benutzt. Normalerweise hat die Variable folgenden Wert: DISPLAY=:0.0 Er bedeutet, X11-Anwendungen auf dem ersten Display des Rechners darzustellen, auf dem die Anwendung selbst ausgeführt wird. Sie können auf Ihrem Rechner auch mehrere X-Server gleichzeitig ausführen, aber nur, wenn jeder X-Server ein eigenes Display verwaltet. Um mit dem Kommando startx eine X-Sitzung auf dem zweiten Display zu starten, wird dieses Kommando eingegeben: joe@debian:~$ startx - - :1 Hier wird dem X-Server mit dem Parameter :1 die Bezeichnung des zu verwendenden Displays angegeben. Auf diese Art lassen sich mehrere X-Server mit unterschiedlichen Farbtiefen nebeneinander betreiben. Mehr dazu in der Manualseite zu Xserver. Alternativ zur Umgebungsvariablen DISPLAY werten die meisten X11Anwendungen die Kommandozeilenoption -display aus, hinter welcher der zu benutzende X-Server in derselben Form angegeben wird wie mit der Umgebungsvariablen. Um das Terminal-Emulationsprogramm xterm zu starten und dessen Ausgabe auf dem ersten Display des Rechners redmagic darzustellen, wird das Programm so aufgerufen:
3.11 Zugriffssteuerung und -Kontrolle
223
joe@debian:~$ xterm -display redmagic:1 Weil es möglich ist, jedem Programm mit Hilfe der Umgebungsvariablen DISPLAY oder einer Kommandozeilenoption mitzuteilen, auf welchem Rechner es seine Ausgaben vornehmen soll, muss sichergestellt werden, dass von den X-Servern nur solche Programme (Clients) akzeptiert werden, die tatsächlich erwünscht sind. Oder fänden Sie es lustig, wenn Ihr Kollege – ein kleiner Scherzbold – ständig Fenster auf Ihrem Bildschirm öffnet und schließt? Ein ungesicherter X-Server auf Ihrem Arbeitsplatz ermöglicht bösen Buben im Internet, sich mit Ihrem Rechner zu verbinden, ohne dass Sie es merken, und: • • • •
Ihren Bildschirm anzuschauen und zu kopieren, Ihre Tastatureingaben mitzulesen (Passwörter), Ihre Tastatureingaben abzufangen, zu verfälschen oder zu simulieren, Ihre Anwendungen fernzusteuern, beispielsweise Ihren Web-Browser, während Sie mit Ihrer Bank plaudern.
Der Zugriff auf den X-Server lässt sich aber vernünftig absichern. Benötigen Sie den direkten Zugriff auf Ihren X-Server über das Netz überhaupt nicht, kommentieren Sie die entsprechenden Zeilen (Portnummern 6000 ff.) in /etc/services aus. Über SSH laufende X11-Verbindungen (siehe unten) sind weiterhin möglich, da diese über den SSH-Port (22) laufen. Das X Window User HOWTO (2002) von H AL B URGISS und das Remote X Apps mini-HOWTO (2001) widmen der Sicherheit eigene Abschnitte. Zur Zugriffskontrolle gibt es mehrere Verfahren, die auf der Manualseite zu Xsecurity vorgestellt werden. Das älteste, hostbasierte und ziemlich unsichere Verfahren ist in der Manualseite zu dem Programm xhost beschrieben. Da vom Gebrauch dieses Programms abzuraten ist, gehen wir nicht darauf ein. Ein neueres und etwas sichereres Verfahren erlaubt die benutzerabhängige Zugriffskontrolle. Es wird als Vorgabe benutzt. Beim Start einer X-Sitzung, also nach der Anmeldung am Display-Manager oder nach Eingabe des Kommandos startx, wird dabei in der Datei .Xauthority im Home-Verzeichnis des Benutzers, der die Sitzung startet, ein Schlüssel (MIT Magic Cookie) abgelegt. Jeder, der im Besitz des Schlüssels ist, darf das Display benutzen. Die Datei .Xauthority sollte deswegen aus Sicherheitsgründen nur für den Besitzer lesbar sein (600). Soll nun einem anderen Benutzer die Möglichkeit eingeräumt werden, das Display zu benutzen, kann der Schlüssel aus der Datei extrahiert werden. Hierzu dient das Kommando xauth. Ihm ist zu diesem Zweck das Schlüsselwort extract, der Name der Datei, in die der Schlüssel geschrieben werden soll, sowie der Name des Displays, zu dem der Schlüssel gehört, zu übergeben. Beispiel: joe@debian:~$ xauth extract mykey :0 Hiermit wird der Schlüssel des aufrufenden Benutzers für das Display :0 in die Datei mykey im Arbeitsverzeichnis geschrieben. Die Datei wird durch das Kommando überschrieben, falls sie bereits existiert. Sie kann nun einem anderen Benutzer übergeben oder auf einen anderen Rechner kopiert werden. Dort lässt sich der in
224
3 X Window System (X11) und Arbeitsumgebungen
ihr enthaltene Schlüssel mit folgendem Kommando in die X11-Schlüsselsammlung aufnehmen: joe@debian:~$ xauth merge mykey Nun kann auch der dortige Benutzer das betreffende Display ansprechen. Dabei ist es unerheblich, ob es sich um einen Benutzer desselben Rechners oder eines anderen Systems handelt. Mehr Informationen zu xauth in seiner Manualseite. Viele Verwalter arbeiten normalerweise mit ihrem gewöhnlichen Benutzerkonto unter X11 und benutzen Kommandos wie su oder sudo, um die Benutzeridentität des Verwalters anzunehmen. Dies ist die empfohlene Arbeitsweise. Sollen nun X11-Programme mit den Rechten des Verwalters ausgeführt werden, ergibt sich das Problem, dass der Verwalter nicht im Besitz des Schlüssels für den X-Server ist und seine Programme den Server nicht benutzen können. Er würde dann die folgende Fehlermeldung erhalten: Xlib: connection to ":0.0" refused by server Xlib: Client is not authorized to connect to Server Error: Can’t open display: :0 Der Schlüssel muss dem Verwalter also übertragen werden, bevor dieser den XServer benutzen kann. Bei Verwendung von su zur Erlangung der Zugriffsrechte kann dies automatisch durch die folgenden Zeilen in der Datei .bashrc im HomeVerzeichnis des Verwalters geschehen: if [ $DISPLAY ] ; then su $USER -c dquxauth extract - $DISPLAY" | xauth merge fi; In der ersten Zeile wird getestet, ob die Variable DISPLAY überhaupt gesetzt ist. Falls dies der Fall ist, wird mit dem Kommando su zurück zur Identität des (gewöhnlichen) Benutzers gewechselt, der das Kommando su aufgerufen hat; sein Name ist weiterhin in der Variablen USER gespeichert. Dann wird der Schlüssel extrahiert, der danach wieder unter der Identität des Verwalters in die X11-Schlüsselsammlung des Verwalters aufgenommen wird. Der beschriebene Mechanismus ist besser als nichts, aber von einer sicheren Verbindung über ein unsicheres Netz weit entfernt. Er reicht in überschaubaren lokalen Netzen aus, nicht im Internet. Hier ist die Verbindung zu verschlüsseln, wozu die Secure Shell (SSH, siehe Abschnitt 16.9.3 Secure Shell auf Seite 789) einen Weg bietet. In der Konfiguration der SSH in den Dateien /etc/ssh/ssh_config und sshd_config ist dazu das X-Forwarding ausdrücklich einzuschalten. Dann kann ein Benutzer mit einem Kommando wie: joe@debian:~$ ssh -f rechner2 xterm auf dem fernen Rechner namens rechner2 einen X-Client namens xterm starten, der seine Ein- und Ausgabe über den lokalen X-Server tätigt. Voraussetzung ist, dass der Benutzer auf dem fernen Rechner über Benutzerrechte verfügt und dass der
3.12 Terminal-Emulatoren (xterm u. a.)
225
Abb. 3.14: Screenshot eines lokalen GNOME Terminals (vorn) und einer in der Ferne laufenden KDE Konsole, die über X11 und SSH mit dem lokalen X-Server verbunden ist
Client dort eingerichtet ist. Will man sich auf dem fernen Rechner unter einem anderen Benutzernamen als auf der lokalen Maschine anmelden, ist der dortige Name mit der Option -l in der Kommandozeile zu übergeben. Abbildung 3.14 zeigt ein Beispiel. Lokal hat der Benutzer wulf auf dem Rechner pcwulf ein GNOME Terminal laufen, in der Ferne als Benutzer hugo auf dem Rechner ibwulf eine KDE Konsole. Eine solche Konstellation unterscheidet sich von einem Remote Login per SSH, das auch ohne X11 möglich ist, beispielsweise zu einem Server, auf dem es kein X11 gibt. Äußerlich ist eine solche Verbindung kaum von einer X11-Verbindung zu unterscheiden, wir ersparen uns daher einen Screenshot. Innerlich erkennt man an den Prozesslisten, was wo läuft. Die Manualseiten zu ssh sowie zu den beiden Konfigurationsdateien enthalten Einzelheiten zu X11 über SSH. Wer oft X11 über SSH benötigt, sollte sich den Secure Display Manager sdm ansehen, als DebianPaket zu haben und auf http://www.lessdisks.net/ zu Hause.
3.12 Terminal-Emulatoren (xterm u. a.) Trotz grafischer Benutzeroberflächen mit Menüs, Buttons, Mausklicks und weiterem Firlefanz braucht man gelegentlich die schlichte, klassische Kommandozeile.
226
3 X Window System (X11) und Arbeitsumgebungen
Man hat auch seine Gewohnheiten. Ehe ich mich durch eine vielstufige Menühierarchie durchklicke, gebe ich lieber ein Kommando ein. Des weiteren sind nicht alle Linux/UNIX-Programme für die Verwendung mit X11 programmiert, insbesondere ältere. Zu den am häufigsten aufgerufenen X11-Clients zählen daher TerminalEmulatoren, die in einem Fenster auf einer Arbeitsfläche einen altmodischen Bildschirm darstellen, hinter dem eine Shell auf Eingaben lauert. Der Fortschritt gegenüber früher besteht darin, dass der Benutzer auf einem physikalischen Bildschirm, der Geld gekostet hat, Strom zieht und Platz einnimmt, mehrere virtuelle Bildschirme erzeugen kann. Die Tastatur lässt sich leider nicht vervielfachen, sondern ist immer nur einem Fenster oder virtuellen Bildschirm zugeordnet. Wir sprachen in Abschnitt 3.6.1 Fenster-Manager auf Seite 201 darüber, als es um den Fokus ging. Hinter den Menüpunkten Aktionen -> Anwendung ausführen (GNOME) oder Aktionen -> Befehl ausführen (KDE) steckt etwas Ähnliches wie ein minimaler Terminal-Emulator, der die Eingabe genau einer Kommandozeile erlaubt und diese einer Shell zur Ausführung übergibt. Wer nur selten eine Kommandozeile benötigt, ist damit vollauf bedient und braucht sich weder mit einer Shell noch mit einem Terminal-Emulator auseinander zu setzen. X11 bringt als Musteranwendung den Terminal-Emulator xterm mit, der ein DEC-VT102- und ein Tektronix-4014-Terminal gleichzeitig mimt, GNOME das gnome-terminal, KDE die konsole. Als Debian-Pakete sind auch der genügsame Emulator xvt, aterm, eterm, der multilinguale kterm und der rxvt erhältlich, mit gewissen Vorzügen gegenüber dem Urahn xterm, alle aus der Abteilung X Window System software. Im Verzeichnis /etc/alternatives wird dem symbolischen Link x-terminal-emulator das Programm /usr/ bin/gnome-terminal.wrapper zugeordnet oder ein anderes. Ein Wrapper ist eine Verpackung um ein Kommando, in diesem Fall ein Perl-Skript, das einige Optionen verarbeitet und sich zum Schluss durch das eigentliche Programm gnome-terminal ersetzt. Die genannten Emulatoren ahmen ein Terminal des Typs DEC VT100 oder dessen Nachfolgern nach, das heißt, sie verwenden dessen Steuersequenzen (Zeichenfolgen, die nicht auf den Bildschirm geschrieben werden, sondern das Terminal konfigurieren oder zu einer Tätigkeit veranlassen). Weil viele Steuersequenzen mit einem Escape-Zeichen beginnen, werden sie auch EscapeSequenzen genannt. Drucker kennen auch Steuersequenzen, aber andere als Terminals. Die Steuersequenzen sind standardisiert in den weitgehend gleichlautenden Normen ECMA-48 Control functions for coded character sets, übernommen in ISO 6429, und ANSI X3.64 Additional Controls for Use with the American National Standard Code for Information Interchange. Die ECMA-Norm steht im Netz zur Verfügung. Unter DOS leistete der Treiber ansi.sys ähnliche Dienste (falls sich jemand daran erinnert). Die Firma Digital Equipment Corporation (DEC) war ein in der UNIXGeschichte bedeutender, inzwischen untergegangener Computerhersteller. Dessen Terminals VT52 (1975), VT100 (1978) und VT102 waren weit verbreitete, serielle, monochrome Textterminals (http://vt100.net/). Das VT220 (1983) war immer noch ein reines Textterminal, jedoch schon mit einem 8-Bit-Zeichensatz. Erst das VT240 beherrschte Grafik. Mit der VT500-Serie von 1993 schließt die
3.12 Terminal-Emulatoren (xterm u. a.)
227
Reihe; 1995 verkaufte DEC das Terminalgeschäft an die Boundless Corporation (http://www.boundless.com/, die heute noch einige VT500-Textterminals im Programm hat.
Abb. 3.15: Screenshot des X11-Terminal-Emulators xterm auf einer GNOME-Arbeitsfläche. Erläuterungen im Text
Sehen wir uns xterm näher an. Seine Bedeutung liegt weniger im unmittelbaren Gebrauch, sondern darin, dass er den Ausgangspunkt für jüngere Emulatoren gebildet hat. Abbildung 3.15 zeigt einen Screenshot des Emulators auf einer GNOMEArbeitsfläche. Wir erkennen eine Titelleiste, weiter keine Verzierungen. Unter KDE sieht die Leiste geringfügig kreativer aus, wie aus Abbildung 3.16 auf Seite 230 ersichtlich. Links in der Titelleiste ist der Knopf für das Fenster-Menü angebracht, dessen Punkte von Minimieren bis Schließen reichen, wie bei anderen Fenstern. Rechts in der Leiste finden wir drei Knöpfe für Minimieren, Maximieren und Schließen als Alternative zu dem eben genannten Menü. So weit ist das Standard für alle Fenster einer Arbeitsfläche. Bewegen wir den Mauscursor in das xterm-Fenster, drücken die -Taste und gleichzeitig die linke Maustaste, erscheint ein spezifisches Menü Main Options mit folgenden den xterm-Prozess betreffenden Punkten: •
Secure Keyboard (Vorgabe: off) schaltet in einen Modus, in dem Tastatureingaben nur an das jeweilige xterm gehen und nicht an weitere Clients, ein etwas
228
•
• •
•
•
• • • • • • •
•
3 X Window System (X11) und Arbeitsumgebungen
erhöhter Schutz bei der Eingabe von Passwörtern, aber kein umfassendes Sicherheitskonzept. Das Fenster kehrt bei Erfolg die Farbe um. Allow SendEvents (Vorgabe: false) erlaubt anwendungsspezifische Tastatur- oder Mauseingaben (events), die via X-Server an andere Anwendungen gesendet werden, unter Umständen eine Sicherheitslücke (unerwünschte Fernsteuerung von X11-Prozessen). Redraw Window Aufforderung, das Fenster neu zu zeichnen, harmlos, Print Window sendet den Textinhalt des Fenster an ein Programm, das in den X-Ressourcen ($HOME/.Xresources) festgelegt ist, siehe Abschnitt 3.10 XRessourcen auf Seite 219. Ist nichts festgelegt, tut sich nichts, insofern harmlos. print-redirect (Vorgabe: off) zum Ein- und Ausschalten eines Druckers, sofern entsprechend konfiguriert. Terminals in Hardware verfügten über einen seriellen Druckeranschluss, daher stammen diese beiden Eigenschaften. 8-Bit Controls ausgegraut, das heißt unwirksam; xterm schickt normalerweise Kontrollsequenzen aus einem Escape-Zeichen, gefolgt von einem siebenbittigen ASCII-Zeichen. Falls ein VT220-Terminal emuliert wird, werden VT220spezifische achtbittige Kontrollzeichen im Bereich 128 bis 159 gesendet. Back Arrow Key (BS/DEL) legt fest, ob die Backspace-Taste ein BackspaceZeichen (ASCII-Nr. 8) oder ein Delete-Zeichen (ASCII-Nr. 127) schickt. Alt/NumLock Modifiers legt fest, wie die - und die -Tasten aufgefasst werden sollen. Meta Sends Escape legt fest, ob -Zeichenpaare in ein Escape-Zeichen gefolgt von dem zweiten Zeichen umgewandelt werden sollen. Delete is DEL legt fest, ob die <del>-Taste ein Delete-Zeichen (ASCII-Nr. 127) oder eine VT220-Escape-Zeichenfolge sendet. Old Function-Keys, Sun Function-Keys legt fest, ob die Funktionstasten entsprechend einem VT- oder einem Sun-Terminal arbeiten sollen. VT220 Keyboard Die Tastatur wird als eine VT220-Tastatur angesehen, einschließlich der Funktionstasten. Send STOP Signal, Send CONT Signal, Send INT Signal, Send HUP Signal, Send TERM Signal, Send KILL Signal schickt das jeweilige Signal an die Prozessgruppe von xterm, was auch einfacher mit dem entsprechenden killKommando oder einem -Zeichenpaar bewirkt werden kann. Quit schickt das SIGHUP-Signal (Nr. 1) an die Prozessgruppe von xterm und beendet damit den Emulator und alle aus ihm gestarteten Prozesse. Geht auch über das Fenstermenü (links oben), den x-Knopf (rechts oben), das Zeichenpaar +, das Kommando kill -1 0 oder das Kommando exit.
Ist man mit der Konfiguration einverstanden, bleibt als wichtigster Punkt das Neuzeichnen des Fensters (Redraw Window). Drücken wir zusammen mit der -Taste die mittlere Maustaste (X11 geht stets von einer dreitastigen Maus aus), erscheint ein Menü VT Options mit folgenden Punkten aus der Konfiguration eines VT102-Terminals: •
Enable Scrollbar richtet einen Rollbalken (Laufleiste) am linken Fensterrand ein. Wenn sich der Mauscursor im Balken aufhält, bewegt ein Linksklick die
3.12 Terminal-Emulatoren (xterm u. a.)
•
• •
• • •
• • •
• •
• • • •
• • • •
229
Zeilenmarke im Balken nach unten, ein Mittelklick auf die Cursorposition und ein Rechtsklick nach oben. Enable Jump Scroll neue Zeilen erscheinen mit der Geschwindigkeit, wie sie der Rechner liefert. Bei Smooth Scroll wird die Geschwindigkeit begrenzt, sodass das Auge folgen kann. Nicht unterstützt, wirkungslos. Enable Reverse Video für den Screenshot aktiviert, um Druckerschwärze zu sparen, kehrt die Farben um. Enable Auto Wraparound schaltet den automatischen Zeilenumbruch bei überlangen Textzeilen ein, andernfalls werden alle überzähligen Zeichen in die letzte Position (rechts) geschrieben. Enable Reverse Wraparound kehrt in dem umgebrochenen Teil einer Zeile die Farben um. Nicht unterstützt, wirkungslos. Enable Auto Linefeed Falls eingeschaltet, wird automatisch jedem Carriage Return (ASCII-Nr. 13) ein Line Feed (ASCII-Nr. 10) hinzugefügt. Enable Application Cursor Keys, Enable Application Keypad falls eingeschaltet, kann eine Anwendung von den jeweiligen Tasten Gebrauch machen, die dann einen anderen Code senden als die entsprechenden Tasten im Haupttastenblock. Scroll to Bottom on Key Press springt bei einer Tasteneingabe in die unterste Zeile, nicht unterstützt. Scroll to Bottom on Tty Output springt bei einer Ausgabe auf den Bildschirm in die unterste Zeile, nicht unterstützt. Allow 80/132 Column Switching schaltet zwischen 80 und 132 Zeichen Fensterbreite hin und her. Uninteressant, da man anders als bei einem VT102 in Hardware mit der Maus das Fenster in die Breite und Länge ziehen kann. Enable Curses Emulation Das VT102 wies einen Fehler namens Curses Bug auf, der hiermit umgangen werden kann. Enable Visual Bell Ersetzt das akustische ASCII-Zeichen Nr. 7 (bel, +) durch ein Zucken (flashing) des Fensterinhalts, falls absolute Ruhe gefordert oder das Gehör des Benutzers geschädigt ist. Enable Pop on Bell falls aktiviert, schiebt die Steuersequenz + das Fenster auf dem Schirm nach vorn. Enable Margin Bell lässt die Glocke ertönen, wenn sich die Texteingabe dem rechten Bildrand auf 8 Zeichen nähert (war bei Schreibmaschinen üblich). Enable Blinking Cursor lässt den Eingabecursor blinken, was stärker auffällt. Enable Alternate Screen Switching erlaubt, zwischen dem normalen und einem alternativen Terminal umzuschalten. Uninteressant, da wir uns beliebig viele Terminals auf dem Bildschirm einrichten können. Enable Active Icon ausgegraut, das heißt unwirksam; Do Soft Reset fordert zu einem vorsichtigen Reset auf, das nur die Scrollbereiche zurücksetzt, ziemlich uninteressant. Do Full Reset fordert zu einem vollen Reset auf, das die Anfangseinstellungen von xterm wiederherstellt und das Fenster putzt, gelegentlich brauchbar. Reset and Clear Saved Lines wie vorstehend, löscht darüber hinaus Zeilen im Puffer (saved lines).
230
• •
•
•
3 X Window System (X11) und Arbeitsumgebungen
Show Tek Window öffnet ein Terminalfenster vom Typ Tektronix 4014, belässt aber den Fokus im ursprünglichen Fenster. Nur für Tektronix-Fans interessant. Switch to Tek Mode wie vorstehend, fokussiert aber die Eingabe auf das Tektronix-Fenster. Zwischen beiden Fenstern lässt sich entsprechend der Fokus Policy wechseln. Hide VT Window wie vorstehend, lässt das VT-Fenster vom Schirm verschwinden. Im Menü TeK Options findet sich ein Punkt zum Hervorzaubern des VTFensters. Show Alternate Screen wechsele auf den zweiten Schirm im Terminalspeicher, uninteressant, siehe oben.
Wer schon einmal ein serielles Terminal konfiguriert oder beschrieben hat – es braucht kein VT102 zu sein – wird sich an Vieles erinnern. Auch ein altes, beim Aufräumen übersehenes Terminal-Handbuch erklärt einige der vorstehenden Begriffe. Die meisten dieser Optionen lässt man am besten in Ruhe, weil sie für ein virtuelles Terminal wenig Sinn ergeben.
Abb. 3.16: Screenshot des Terminal-Emulators xterm auf einer KDE-Arbeitsfläche mit einem in .Xresources gewählten großen Font, hier Lucidasanstypewriter-24. Der Bildschirm ist ein 17-Zöller mit einer Auflösung von 800 x 600 und dürfte für diesen Font größer sein. Mittlerweile sind flache 19-Zöller die Regel.
Drücken wir schließlich zusammen mit der -Taste die rechte Maustaste, erhalten wir ein Menü VT Fonts mit folgenden Punkten:
3.12 Terminal-Emulatoren (xterm u. a.)
• •
231
Default setzt den verwendeten Font auf den Defaultfont. Unreadable, Tiny bis Huge setzen den Font auf durch die Nr. 1 bis 6 in den Ressourcen definierten Fonts. Unreadable ist winzig und – wie der Name besagt – nicht lesbar. Tiny ist kaum besser. Wem Huge noch nicht groß genug ist, der definiert in den Ressourcen einen noch größeren Font. Dazu schreibt er in die Datei $HOME/.Xresources die beiden Zeilen: *fontMenu*font6*Label: Riesig 12x24 *VT100*font6:
• •
•
• •
und startet seine Sitzung erneut. Der Name 12x24 stammt aus der Datei /etc/ X11/fonts/misc/xfonts-base.alias; es kann natürlich auch der Name eines anderen X11-Fonts möglichst mit fester Schrittweite sein. Die Zeichen sind zwar groß, aber etwas mager. Der Font lucidasanstypewriter-24 oder gar lucidasanstypewriter-bold-24 kommt kräftiger. Abbildung 3.16 zeigt den Erfolg. Andere Terminal-Emulatoren werden von der Einstellung nicht beeinflusst, sondern sind eigens zu konfigurieren. Escape Sequence, Selection ausgegraut, das heißt unwirksam; setzt und benennt bestimmte Fonts. Line-Drawing Characters falls eingeschaltet, verwendet xterm seine eigenen Linien in Tabellen und dergleichen, andernfalls werden Linien aus dem jeweiligen Font genommen, soweit vorhanden. Doublesized Characters falls eingeschaltet, bittet der Emulator den Fontserver um einen vergrößerten Font. Wie der Fontserver reagiert, ist eine andere Frage. Halbiert die Anzahl der Zeichen je Zeile. Nicht unterstützt, wirkungslos. True-Type Fonts ausgegraut, das heißt unwirksam, da nicht eingerichtet.. UTF-8 veranlasst xterm, vorübergehend UTF-8 (Unicode Transformation Format 8) für die Ein/Ausgabe zu verwenden. Sinnvoll, falls eine Anwendung UTF8 verwendet und dies nicht der lokalen Einstellung entspricht. Ein geeigneter Font ist Voraussetzung für den ungetrübten Genuss dieser Fähigkeit.
Ein viertes Menü Tek Options steht nur im Tektronix-Fenster zur Verfügung und soll uns nicht interessieren. Die meisten Auswahlen lassen sich auch durch Optionen in der Kommandozeile beim Aufruf von xterm oder durch Einträge in den Dateien .Xdefaults oder .Xresources treffen. Das Kommando resize, in einem xterm-Fenster aufgerufen, gibt die Größe des Fensters in einer Form an, die von einer Shell weiterverarbeitet werden kann. Falls man Probleme mit Kommandos hat, die die Fenstergröße kennen müssen und sich bei Änderungen nicht von sich aus anpassen, sehe man sich die Manualseite zu resize an. Das Werkzeug screen wird in einem Terminalfenster oder sinnvoller auf einer echten oder virtuellen Konsole aufgerufen und erzeugt dort neue VT100-Terminals, zwischen denen man wechseln kann. In jedem Terminal kann ein anderes Programm laufen, als Vorgabe eine Shell. Man kann sich screen wie einen seriellen Multiplexer vorstellen, der aus einem Terminalanschluss mehrere macht und auch gleich noch
232
3 X Window System (X11) und Arbeitsumgebungen
die Terminals dazu liefert. In Situationen, wo man nur eine Verbindung zu einem einzigen Terminal hat, erreicht man so annähernd den Komfort einer Arbeitsumgebung mit mehreren Arbeitsflächen. Beim Arbeiten in einer Arbeitsumgebung wie GNOME oder KDE stehen andere, elegantere Wege zum Wechseln zwischen mehreren Aufgaben zur Verfügung. Es würde zu weit führen, auch die anderen Terminal-Emulatoren ausführlich zu erläutern. In ihrer Funktionalität sind sie ähnlich, in ihrer Benutzung unterscheiden sie sich in einigen Punkten. Die neueren verfügen über eine Menüleiste unterhalb der Titelleiste und vermeiden den Aufruf der Menüs mittels -Taste und Mausklicks. Optionen, die nur bei einem VT102 in Hardware sinnvoll waren, fehlen. Wir wollen uns aber noch eine recht praktische Fähigkeit vom GNOME-Terminal und der KDE Konsole ansehen. Klickt man im GNOME-Terminal auf den Menüpunkt Datei -> Reiter öffnen, so ersetzt sich nach der Auswahl eines Profils das bisherige Terminal durch ein weiteres. Gleichzeitig erscheint unter der Menüleiste eine Leiste mit den Bezeichnungen der beiden Fenster, Registerkarten oder Reiter. Anklicken bringt das jeweilige Terminal nach vorn. Auf diese Weise lassen sich auf einer Arbeitsfläche in einem Fenster mehrere Terminals gleichzeitig öffnen, von denen immer nur eines sichtbar ist. Arbeitet man beispielsweise wegen eines kleinen Bildschirms gern mit maximierten Fenstern und möchte Texte vergleichen, geht das schnell und einfach mit derartigen Reitern. Das Dateimenü unterscheidet logischerweise zwischen Fenster schließen und Reiter schließen. Sieht man sich die Prozesse an, stellt jeder Reiter eine Shell (Bash) als Kindprozess des GNOME-TerminalProzesses dar. Es stecken also mehrere Shells hinter einem Fenster. Die Kavallerie reitet auch für den GNOME-Web-Browser Epiphany. Bei KDE lauten die Menüpunkte Sitzung -> Neues Befehlsfenster beziehungsweise Sitzung -> Sitzung schließen, während Sitzung -> Beenden die Konsole beendet. Ein Blick in die Prozessliste zeigt, dass eine Sitzung eine Shell als Kindprozess der Konsole ist. Die Sitzungen werden per Vorgabe in einer Leiste am unteren Fensterrand aufgelistet.
3.13 Xprint – das X11-Drucksystem Xprint ist ein netzfähiges Drucksystem, welches das X11-Protokoll verwendet, und auf http://xprint.mozdev.org/ beheimatet, einem Projekt bei X.org. Es stellt eine eingeschränkte Alternative zu Drucksystemen wie System-V-Drucken, Berkeley-Drucken oder CUPS dar, die ebenfalls das Drucken im Netz erlauben, aber andere Protokolle benutzen und in Abschnitt 9.7 Drucksysteme auf Seite 422 erläutert sind. Insbesondere arbeitet es mit dem Web-Browser Mozilla zusammen und bereichert diesen um einige Druckoptionen. Bei Debian ist es in die Pakete xprint und xprint-common verpackt. Darüber hinaus ist Xprint die Typenbezeichnung einiger Drucker der Firma Rank-Xerox sowie eines Ausgabemanagementsystems der Firma Océ Software Laboratories Namur S. A., das von Fujitsu-Siemens verwendet wird (http://manuals.fujitsu-siemens.com/dynaweb/). Es scheint auch
3.14 Arbeiten mit X11
233
eine Delphi-Komponente gleichen Namens zur geräteunabhängigen Druckerausgabe zu geben. Jedenfalls ist die Bezeichnung Xprint mehrdeutig; man muss sich vergewissern, was gemeint ist. Der Gedanke hinter Xprint ist, dass Drucker oder Dateien in Druckformaten wie PCL, PostScript oder PDF eine weitere Ausgabemöglichkeit neben dem Bildschirm sind, also für X11 nichts Neues. Einige Parameter sind anders, eine Tastatur gibt es nicht, aber sonst passt alles in das Konzept eines X-Servers. Bis das Drucksystem in X-Server wie XFree86 oder X.org integriert ist, bringt es einen eigenen X11Printserver namens Xprt mit, in den Debian-Paketen enthalten. Es ist schwierig zu erkennen, worin der Vorteil von Xprint gegenüber CUPS liegen soll.
3.14 Arbeiten mit X11 Wir haben bereits darauf hingewiesen, dass das Erscheinungsbild des Desktops und der Fenster in den Zuständigkeitsbereich der Fenster-Manager fällt und von X11 insofern unabhängig ist. Hierzu gehört auch die Frage, wie Programme gestartet werden und welche Funktionen mit Maustasten verbunden sind. Es gibt jedoch einige Eigenschaften von X11, die sich von den grafischen Benutzeroberflächen anderer Betriebssysteme unterscheiden und unabhängig vom jeweiligen Fenster-Manager sind. 3.14.1 Cut and Paste Text kann in fast allen Anwendungen mit der linken Maustaste markiert und im selben oder in einem anderen Fenster mit der mittleren Maustaste eingefügt werden. Das funktioniert auch über die Grenze einer Arbeitsfläche hinweg. Es ist dabei nicht notwendig, zunächst in einem Menü ein Kommando zum Kopieren in die Zwischenablage und hinterher ein Kommando zum Einfügen aus der Zwischenablage zu verwenden. 3.14.2 Rollbalken (Laufleisten, Scrollbars) Ältere X11-Anwendungen sind oft mit Rollbalken (scrollbar, Laufleiste, Leiste am seitlichen Rand eines Fensters, mit dem der Fensterinhalt bewegt werden kann) ausgestattet, die anders benutzt werden, als wir es gewohnt sind. Ein Beispiel für eine solche Anwendung ist der Terminal-Emulator xterm. Bei diesen Anwendungen wird der Fensterinhalt mit der linken Maustaste vorwärts und mit der rechten Maustaste rückwärts bewegt, und zwar unabhängig davon, wo man auf den Rollbalken klickt. Mit der mittleren Maustaste wird der Rollbalken an die Position bewegt, an der sich der Mauscursor befindet.
234
3 X Window System (X11) und Arbeitsumgebungen
3.14.3 Kontextmenüs Mit vielen Fenster-Managern und Anwendungen erreichen Sie Funktionen dadurch, dass Sie mit der Maus auf das Fenster der Anwendung bzw. auf den Bildschirmhintergrund klicken. Manche Funktionen lassen sich nur mit diesem Verfahren erreichen. Es erscheint dann ein Menü, aus dem Kommandos ausgewählt werden. Teilweise müssen solche Menüs festgehalten werden, das heißt, sie werden nur so lange dargestellt, wie die Maustaste gedrückt ist. Andere Menüs bleiben so lange auf dem Bildschirm, bis ein Kommando ausgewählt oder in einen anderen Bereich des Bildschirms geklickt worden ist. Linker, mittlerer und rechter Maustaste sind dabei unterschiedliche Menüs zugeordnet. 3.14.4 Screenshots Zum Erzeugen von Bildschirmabzügen oder -kopien8 (E: screenshot, F: capture d’écran) bringt X11 das Werkzeug xwd (X Window dump, Paket xbase-clients) mit. Darüber hinaus erlauben GNOME und KDE durch Anklicken eines Menüpunktes wie Anwendungen -> Zubehör -> Bildschirmfoto aufnehmen oder eines Knopfes im Panel oder durch Betätigen der Taste , den ganzen Bildschirm oder ein einzelnes Fenster zu kopieren, auch zeitverzögert. Die dahinter stehenden Programme heißen gnome-screenshot aus dem Paket gnome-utils bzw. ksnapshot. Auch das Grafikwerkzeug GIMP verfügt mittels eines Menüpunktes Datei -> Holen -> Screen Shot über die Fähigkeit, ebenso das KommandozeilenWerkzeug imagemagick. Auf einer virtuellen Konsole funktionieren die Verfahren mangels X11 nicht; man hat aber auch selten das Bedürfnis, einen reinen Textbildschirm zu verewigen. Das Speichern von Schnappschüssen aus Videos ist eine andere Baustelle. Für diese Aufgabe bringen Videobetrachter eigene Funktionen mit.
8
Das Wort Bildschirmfoto trifft die Sache nicht, da eben kein Foto des Bildschirms aufgenommen, sondern der Bildschirmspeicher ausgelesen wird.
4 Internet
Das Internet ist heute allgegenwärtig und Voraussetzung für viele Tätigkeiten auf einem Rechner. Wir sehen uns seinen Aufbau und einige zu seinem Verständnis notwendige Begriffe und Konzepte an.
4.1 Entstehung Die Legende berichtet, dass in den sechziger Jahren des vorigen Jahrhunderts die nordamerikanische Firma RAND einen Vorschlag ausbrüten sollte, wie in den USA nach einem atomaren Schlag die Kommunikation der Streitkräfte und der Behörden aufrecht erhalten werden könnte. Zwei Grundsätze kamen dabei heraus: • •
dezentrale Steuerung; keine Zentrale, von der alles abhängt, kein Verlass auf das Funktionieren bestimmter Verbindungen, das heißt eine weitgehend vermaschte Topologie etwa wie ein Straßennetz, in dem bei Unfällen oder Bauarbeiten der Verkehr umgeleitet wird.
Ungefähr zur selben Zeit hatten die Advanced Research Projects Agency (ARPA) und einige nordamerikanische Universitäten Bedarf an Rechenleistung auf Großrechnern, aber wenig Geld. Was lag näher, als die vorhandenen Großrechner über Telefonleitungen zu vernetzen, um sie besser auszunutzen? Aber: die Großrechner waren zueinander völlig inkompatibel, sie redeten nicht miteinander. Also war ein Zwischenglied zwischen Rechner und Netz erforderlich, ein Interface Message Processor oder IMP. Verwirklicht wurde gegen Ende 1969 ein dezentral organisiertes Netz aus vier Knoten in der Universität von Kalifornien in Los Angeles (UCLA), der Universität von Kalifornien in Santa Barbara (UCSB), der Universität von Utah (U) in Salt Lake City und dem Stanford Research Institute (SRI) in Menlo Park, das nach dem Geldgeber ARPANET (Advanced Research Projects Agency Network) genannt wurde. Es verwendete eine paketweise Übertragung der Daten. Die beiden ersten Dienste waren Telnet und FTP. Das Netz wuchs, Email kam hinzu und ließ den Verkehr in die Höhe schnellen, die Protokolle (TCP/IP) wurden ausgearbeitet, andere Netze übernahmen die
236
4 Internet
Protokolle und verbanden sich mit dem ARPANET. Da sich UNIX zur selben Zeit entwickelte und einige Voraussetzungen für ein heterogenes Netz mitbrachte, spielten UNIX-Rechner im ARPANET von Anbeginn eine bedeutende Rolle. England und Norwegen bauten 1973 die ersten europäischen Knoten auf. Im Jahr 1984 (1000 Knoten) schloss sich die National Science Foundation (NSF) an, die in den USA etwa die Rolle spielt wie hierzulande die Deutsche Forschungsgemeinschaft (DFG). Das ARPANET starb 1989 mit 150 000 Knoten. Seine Aufgabe als Mutter des weltweiten Internet war erfüllt. Die beiden RFCs 1122 und 1123 sowie der RFC 1462 = FYI 20 vermitteln eine Übersicht über die Grundgedanken des Internets. Anfang der neunziger Jahre des vorigen Jahrhunderts wurde am CERN in Genf ein Netzdienst entwickelt, der vor allem den Austausch technischer und wissenschaftlicher Dokumente im Forschungszentrum erleichtern sollte. Heraus kam eine Lösung, die wenige Jahre später zu einem weltweiten Netz von Informationsservern führte, dessen Benutzung auch für technisch weniger Interessierte so selbstverständlich geworden ist wie das Lesen von Zeitungen. Die Rede ist vom World Wide Web, kurz Web oder WWW, das viele Benutzer mit dem Internet gleichsetzen, obwohl es nur ein Dienst von vielen im Internet ist. Richtig los ging es 1993, als mit Mosaic ein grafikfähiger Web-Browser zum kostenfreien Herunterladen angeboten wurde und grafikfähige Hardware erschwinglich geworden war. Heute ist das Internet die Wunderwaffe gegen Dummheit, Armut, Pestilenz, Erwerbslosigkeit, Inflation und die Sauregurkenzeit in den Medien. Der RFC (Request For Comments) 1462 alias FYI (For Your Information) 20 What is the Internet? von 1993 sieht das nüchterner. Das Internet ist ein Zusammenschluss vieler regionaler Netze, verbunden durch die TCP/IP-Protokolle, die Sprache des Internets. Eine andere Betrachtungsweise versteht unter dem Internet in erster Linie die Benutzer des Netzverbundes, und eine dritte sieht vorrangig die Informationen, die der Netzverbund bereithält oder übermittelt. Alle drei Definitionen des Internets sind richtig, für sich allein jedoch einseitig und unvollständig. Im Internet gibt es keine zentrale Instanz, die alles bestimmt und regelt. There is no governor anywhere. Das grenzt an Anarchie und funktioniert großartig. Die Protokolle entstehen auf dem Wege von netzweiten Vereinbarungen (Requests For Comments). Niemand ist verpflichtet, sich daran zu halten, aber wer es nicht tut, steht bald einsam da. Nirgendwo sind alle Benutzer, alle Knoten, alle Newsgruppen, alle WWW-Server registriert. Das Wort alle kommt nur einmal im Internet vor: Alle Teilnehmer verwenden die Protokolle der TCP/IP-Suite. Eine gezielte Störung oder Beeinflussung wichtiger Knoten (Verbindungsrechner, Server) des Internet kann zwar größere Benutzergruppen abklemmen, aber niemals das ganze Internet lahmlegen. Da die wichtigen Knoten unterschiedlichen Behörden oder Organisationen unterstehen, ist es unwahrscheinlich, dass sie alle gleichzeitig streiken. Hält man sich vor Augen, wie viele der Selbstverständlichkeiten der heutigen Computerey vor über vierzig Jahren von Wissenschaftlern in Universitäten und Forschungslabors wie Bell entwickelt worden sind, denen Zeit und Geld zum Spinnen und Spielen gegeben wurde, erkennt man, was Grundlagenforschung bedeutet. Zweitens sieht man, wie sich einige Entwicklungen gegenseitig bedingen: ohne die Halb-
4.2 Netzstrukturen
237
leitertechnik wären Rechner und Netze nicht populär geworden, und ohne das Internet gäbe es weder Linux noch das Web. Debian auch nicht.
4.2 Netzstrukturen Was ist ein Netz? Zunächst nicht mehr als ein Wirrwarr von Kabeln und Kisten, die alle irgendwie miteinander verbunden sind. Vermutlich schwirren auch noch ein paar drahtlose Verbindungen durch die Luft. Im Falle des Internets handelt es sich sogar um ein ziemlich ausgedehntes Wirrwarr. Es ist klar, dass es innerhalb eines Netzes eine gewisse Ordnung geben muss, damit die Kommunikation zwischen den Geräten – großenteils, aber nicht nur Rechnern – funktioniert. Die Beteiligten schicken sich Daten in Form von Paketen (E: frame, packet, F: paquet) – wie bei der gelben Post, nicht wie beim althergebrachten Telefon. Das nutzt die Transportwege besser aus. Zur Ergänzung unserer Worte weisen wir auf das Linux Networking HOWTO (1999) bei TLDP und das Linux networking-concepts HOWTO (2001) von PAUL RUSTY RUSSELL bei http://www.netfilter.org/ documentation/HOWTO/ hin. Für ein verregnetes Wochenende reicht The Linux Network Administrator’s Guide (2000, 500 Seiten) von O LAF K IRCH und T ER RY DAWSON , ebenfalls bei TLDP. Ein Skriptum namens Grundlagen Computernetze (2005) von J ÜRGEN P LATE auf http://www.netzmafia.de/skripten/ hilft über ein zweites Wochenende. Sehen wir uns zunächst den Aufbau eines Netzes an. Wir unterscheiden: • • •
die Verkabelung – drahtlose Verbindungen eingeschlossen – die man sehen kann und die bei der Einrichtung viel Mühe macht (Geld kostet), die elektrische Verbindung oder Verschaltung, die unabhängig ist von der Verkabelung, die logische Verbindung, die wiederum unabhängig ist von den beiden anderen.
Es gibt ein inzwischen ausgestorbenes Beispiel für die Unabhängigkeit der drei Verbindungsebenen voneinander, das Arcnet, ein früher Konkurrent des Ethernets. Die Verkabelung war ein Stern, die Rechner waren sternförmig an einen zentralen Hub angeschlossen. Elektrisch waren die Kabel im Hub parallel geschaltet, was auch als Bus bezeichnet wird. Logisch dagegen bildeten die Rechner einen Ring, in dem ein Token kreiste, eine Art von Sprecherlaubnis. Damit haben wir drei Begriffe für Netztopologien genannt: Stern, Bus und Ring. Hinzu kommt das vermaschte Netz, in dem jeder mit jedem verbunden ist. Als Verkabelung lässt sich das nur bei geringen Teilnehmerzahlen verwirklichen. In Reinkultur kommen die vier Netztopologien nur auf kleinem Raum vor. In lokalen Netzen (Local Area Network, LAN) wird heute eine je nach Größe mehrstufige sternförmige Verkabelung bevorzugt, mit Netzkomponenten wie Hubs, Switches oder Access Points im Zentrum. Der Aufwand ist zwar hoch, aber die Ausfallsicherheit auch, insbesondere wenn man die Zentren gut pflegt. Die Verbindungen bestehen aus Kupferkabeln, Lichtwellenleitern (Glasfaserkabel) oder drahtlosen Strecken zwischen zwei Antennen. Im Fall des Ethernets genügen die lokalen Kabel meist einer Spezifikation, die als Category 5 (Cat5) bezeichnet wird, allgemeiner als Twisted Pair. weil jeweils zwei zusammengehörende
238
4 Internet
Adern miteinander verdrillt sind. Früher waren dicke oder dünne Koaxialkabel verbreitet und liegen vielerorts noch herum. Auch bei Lichtwellenleitern gibt es mehrere Typen. Lokale Funkstrecken werden als Wireless Local Area Network (WLAN) nach dem Standard IEEE 802.11 aufgebaut. Kleine drahtlose Netze lassen sich auch mit Bluetooth-Technik nach IEEE 802.15.1 oder mit Ultrabreitbandfunk (Ultra Wide Band, UWB) verwirklichen; die Protokolle sind verabschiedet, auf dem Markt gibt es die erforderlichen Komponenten. Bluetooth ist älter und daher weiter entwickelt als UWB. Es ist jedoch anzumerken, dass Bluetooth und UWB zum Verbinden peripherer Geräte wie Tastatur, Drucker, Kopfhörer/Mikrofon (Headset), Mobiltelefon, GPS-Empfänger oder Stereoanlage mit einem Rechner entwickelt worden sind, nicht zum Vernetzen von Rechnern. Die Reichweite und die Übertragungsgeschwindigkeit aller Verbindungsarten sind beschränkt. Ein selbständiges Gerät im Netz wird allgemein als Knoten (E: node, F: nœud) bezeichnet. Das kann ein Rechner sein, aber auch ein Drucker mit eigenem Netzanschluss, ein VoIP-Telefon oder eines der zahlreichen Netzelemente wie Switches oder Gateways. In manchen Zusammenhängen wird der Begriff eingeschränkt auf adressierbare Geräte oder auf Verbindungspunkte mehrerer Kommunikationswege (Vermittlungspunkte). Auch der Begriff Host bezeichnet einen Knoten im Netz, unter Umständen eingeschränkt auf Rechner. Ein besserer Drucker enthält jedoch einen Rechner mit Prozessor und Speicher, sodass es schwierig ist, Grenzen zu ziehen. Wir übergehen solche Feinheiten. Ein Rechner verfügt über einen auf dem Mainboard integrierten oder als Karte in einen PCI-Slot eingesteckten Netzadapter, heutzutage überwiegend mit einer RJ45-Buchse versehen. Die Adapter unterscheiden sich außer durch Preis und Geschwindigkeitsklasse darin, wie viel Arbeit sie der CPU abnehmen oder aufbürden. Dazu kommen Fähigkeiten wie das Booten vom Netz (PXE = Preboot Execution Environment), Wake-on-LAN (WOL, ferngesteuertes Einschalten des Rechners), ferngesteuerte Verwaltung über das Simple Network Management Protocol (SNMP), Verschlüsselung des Netzverkehrs in Silizium oder Port Trunking, auch Bonding oder Bündelung genannt, das heißt Zusammenschalten mehrerer Adapter zu einem logischen Kanal. Wird es eng im Gehäuse, helfen Karten mit zwei bis vier Ports aus der Klemme. Bei Bedarf schaue man sich http://sourceforge. net/projects/bonding/, den Guide to IP Layer Network Administration with Linux (2003) von M ARTIN A. B ROWN auf http://linux-ip.net/ und das Debian-Paket ifenslave an. Ferner sind das Debian-Paket bridge-utils und das Ethernet Bridge + netfilter Howto (2005) von N ILS R ADTKE auf TLDP von Interesse. Einige weitere HOWTOs zum Thema Bridging sind älteren Datums. Ein Hub (Nabe, Verteiler) ist ein Kästchen, das aus einem Netzanschluss (Port) mehrere macht. Eintreffende Datenpakete werden an alle anderen Anschlüsse geschickt. Die Bedeutung von Hubs ist mit der Verbreitung von Fast Ethernet zurückgegangen. Es spricht aber nichts dagegen, sie als preisgünstige Lösung in kleinen, schwach belasteten Netzen oder Netzabschnitten weiterhin einzusetzen. Ein Switch (Schalter, Weiche) hat die gleichen Anschlüsse wie ein Hub. Er schaltet jedoch kurzzeitig eine Verbindung vom Sender zum Empfänger durch; die anderen Anschlüsse bemerken nichts davon. Das hat Geschwindigkeitsvorteile in höher
4.2 Netzstrukturen
239
belasteten Netzen und verringert die Gefahr des unberechtigten Mithörens. Es gibt aber Tricks (MAC-Flooding), einen Switch dahin zu bringen, dass er sich wie ein Hub verhält. Hat man mehr als etwa 20 Knoten im LAN, sollte man die Mehrkosten für verwaltbare (managebare, manageable) Switches nicht scheuen, die es ermöglichen, die logische Struktur eines Netzes von seiner geografischen zu trennen. Beispielsweise können Teilnehmer in verschiedenen Gebäudeteilen logisch zu einem virtuellen Subnetz (Virtual Local Area Network, VLAN) zusammengefasst werden. Port Trunking, auch Link Aggregation oder NIC Teaming genannt, ist das Zusammenfassen mehrerer Anschlüsse zwecks Erhöhung der Geschwindigkeit oder Ausfallsicherheit, bei Servern oder Gebäudeverbindungen interessant.1 Port Mirroring ist das Versenden der für einen Port bestimmten Datenpakete zusätzlich an einen zweiten Port, meist zwecks Netzanalyse. Verwaltbare Switches verfügen über weitere Fähigkeiten, die das Leben des Netzverwalters bereichern. Große Switches lassen sich über einen besonderen Anschluss (Matrix Port) miteinander koppeln, sodass sie wie ein einziger Switch mit vielen Ports wirken (stackable switch). Soll ein Switch in einem Arbeitszimmer untergebracht werden, ist an das Geräusch eines etwaigen Lüfters zu denken. Ein Media Converter passt unterschiedliche Leitungstypen aneinander an, beispielsweise Lichtwellenleiter (Glasfaser) an Kupferkabel. Braucht man manchmal, kann aber auch durch Einschübe (Module) in Switches oder ähnlichen Netzelementen verwirklicht werden. Ein Router verbindet zwei Netze – wie eine Brücke – achtet aber auf die Empfängeranschrift der Datenpakete und reicht nur Pakete weiter, die für das jeweils andere Netz bestimmt sind. Der Kasten, der das lokale Netz mit dem DSL-Anschluss zum Internet verbindet, erfüllt Routeraufgaben, ebenso der Kasten, der ein Kabelnetz (Ethernet) mit einem Funknetz (WLAN) verbindet. Ein Router kann auch durch einen Rechner mit entsprechender Software verwirklicht werden. Ein Gateway erfüllt die Aufgabe eines Routers und setzt darüber hinaus Protokolle und weitere Dinge um. Ein DSL-Router ist eigentlich ein Gateway und wird auch von einigen Herstellern so genannt. Im täglichen Sprachgebrauch wird zwischen Router und Gateway oft kein Unterschied gemacht, weil die Routingfunktionen im Vordergrund stehen (solange der Rest funktioniert). Eine Firewall (Brandmauer) sieht sich die Datenpakete genau an und lässt sie nur durch – in beiden Richtungen – wenn sie vorgegebenen Regeln entsprechen. Eine Firewall kann ein eigener Rechner, aber auch in ein Gateway oder einen Router integriert sein. Mit ihrer Hilfe wird unerwünschter Datenverkehr ausgefiltert. Auf der Grenze zwischen lokalem Netz und Internet braucht man eine Firewall (oft in das Gateway integriert), aber auch innerhalb großer lokaler Netze wie einem Campusnetz. Firewall-Funktionen können sogar auf einem Arbeitsplatzrechner eingerichtet sein (Personal Firewall), der besonders geschützt werden soll. Diesbezügliche DebianPakete sind in der Abteilung Network der Paketliste zu finden. Eine Firewall ist weder ein Spamfilter für Email noch ein Virenscanner, das sind andere Baustellen. 1
Siehe Guide to IP Layer Network Administration with Linux von M ARTIN A. B ROWN . (2003), unter http://linux-ip.net/.
240
4 Internet
Die deutsche Wikipedia enthält ausführlichere, aber immer noch einführende Artikel zu den vorstehenden Begriffen. Der Verwalter eines komplexen Netzes – was nicht zahlenmäßig groß bedeutet – muss sich eingehender mit der Netztechnik befassen als hier vereinfacht dargestellt. Die technischen Möglichkeiten und die Anforderungen an die Sicherheit sind in der jüngeren Vergangenheit stark gewachsen. Betrachten wir drei Beispiele für lokale Netze mit Internetanbindung. Das minimale Netz besteht aus einem einzigen Rechner, an dessen Parallel- oder USB-Port ein Drucker angeschlossen ist. Von seiner Ethernetkarte führt ein Kabel unmittelbar zum DSL-Modem (Internet-Gateway). In älteren Anlagen geht es stattdessen von einem ISDN- oder Telefonmodem ins Telefonnetz. Da dieser Rechner nach Aufbau der Verbindung zum Internet-Versorger ein weltweit sichtbarer Knoten im bösen Internet ist, muss er sich selbst vor Angriffen schützen. Bei einer DSL-Verbindung ist dringend anzuraten, zwischen DSL-Modem und Rechner ein Gateway mit FirewallFunktionen zu schalten. Das Kästchen übernimmt den Schutz vor vielerlei Angriffen, sodass der Rechner entlastet und einfacher zu konfigurieren ist. Derartige Gateways beinhalten oft einen Switch mit vier Anschlüssen, womit ein Ausbau des lokalen Netzes vorbereitet ist, siehe Abbildung 16.4 auf Seite 756. Eine beliebte Kombination verfügt auch noch über einen WLAN Access Point, erkennbar an der Antenne.
Abb. 4.1: Schema eines LANs, SW = Switch, S = Server, GW = Gateway, FW = Firewall, IN = Internet, A = Arbeitsplatz, D = Drucker, AP = Access Point für WLAN, LT = Laptop mit WLAN-Adapter. Erläuterungen im Text.
In der nächsten Ausbaustufe finden wir mehrere Rechner im lokalen Netz, die sich Drucker und DSL-Anschluss teilen. Vielleicht mischen auch einige Laptops drahtlos mit. Dann brauchen wir im Zentrum einen Hub oder Switch mit entsprechend vielen Anschlüssen. Der Drucker sollte nicht mehr über einen Rechner, sondern unmittelbar über einen eigenen Ethernetanschluss oder einen externen Print-
4.2 Netzstrukturen
241
Server eingebunden sein. Ein ständig laufender Server für verschiedene Dienste ist nicht übertrieben. Die obere Grenze für ein solches unstrukturiertes Netz liegt nicht notwendiger- aber sinnvollerweise bei etwa 20 Teilnehmern. Abbildung 4.1 zeigt schematisch ein solches LAN mit kleinen Erweiterungen. Aus räumlichen Gründen sind nicht alle Teilnehmer direkt mit einem einzigen Switch verbunden, sondern schwerpunktmäßig mit untergeordneten Switchen, die ihrerseits an den zentralen Switch angeschlossen sind. Sowohl die Verkabelung wie auch die zeichnerische Darstellung lassen sich vielfältig variieren.
Abb. 4.2: Ausgabe des Werkzeugs lanmap, das eine Karte der Netzverbindungen eines Rechners zeichnet
Werden es mehr, sollte man das lokale Netz in Subnetze unterteilen. Die Subnetze werden durch Router – gegebenenfalls Rechner mit Routerfunktionen wie in Abbildung 4.3 auf Seite 246 dargestellt – miteinander verknüpft. Hier sind managebare Switches gefragt, um die geografische von der logischen bzw. organisatorischen Struktur zu entkoppeln. Die Subnetze sind durch ein Netz hoher Geschwindigkeit (Gigabit-Ethernet) miteinander verbunden, ein so genanntes Backbone (Rückgrat), wofür je nach Entfernungen Lichtwellenleiter erforderlich sein können. Die Netzverwaltung wird zu einer Aufgabe, die nicht mehr von der Sekretärin nebenbei erledigt werden kann (Betonung auf nebenbei). Nach oben sind der Ausdehnung eines Netzes keine Grenzen gesetzt. Man braucht in großen Netzen wie einem Campusnetz spezialisierte Mitarbeiter für Teilaufgaben der Netzverwaltung, beispielsweise einen Postmaster samt Vertreter für die Email.
242
4 Internet
Ruft man auf einem Rechner das Werkzeug lanmap auf und lässt es eine Zeitlang laufen, zeichnet es eine Karte (png-Datei) der Netzverbindungen des Rechners auf. Startet man in dem Zeitraum einen Broadcast-ping: debian:~# ping -c 2 -b 192.168.1.255 so findet man alle zu dem Zeitpunkt aktiven Teilnehmer des lokalen Netzes auf der Karte. Abbildung 4.2 zeigt eine solche Karte. Im Mittelpunkt sehen wir den Rechner, auf dem lanmap lief. Das Wölkchen (Outside) im Nordosten ist das über ein Gateway verbundene Internet. Die Switche im LAN sehen Sie nicht, weil es einfache Switche ohne IP-Adresse sind. Die Karte ist subjektiv, aus der Sicht des Rechners, und nicht als Übersicht über das LAN geeignet.
4.3 Interfaces, IP-Adressen und Namen 4.3.1 IP-Adressen Ein Rechner muss auf irgendeine Weise an ein Netz angeschlossen werden. Hierzu dient eine Ethernetkarte, eine WLAN-Karte mit Antenne, ein Modem oder eine ISDN-Karte. Einen solchen Anschluss bezeichnet man gemeinhin als Netzkarte, Netzinterface, Netzadapter oder Network Interface Card (NIC). Die Funktion eines Netzadapters kann auch durch ein externes Gerät mit Anschluss an eine serielle oder USB-Schnittstelle verwirklicht werden, bei Ethernet selten, bei Modems oder WLAN-Adaptern häufig. Netzinterfaces passen nicht in das sonst unter Linux/UNIX übliche Konzept der Gerätedateien. Sie haben eine eigene Bezeichnungsweise wie eth0 für die erste Ethernetkarte. Ihre Konfiguration liegt in /etc/network/interfaces. Damit das Betriebssystem mit dem Adapter umgehen kann, bedarf es eines Treibers, beispielsweise für eine Ethernetkarte wie eine 3com 905B-TX oder einen WLAN-USB-Adapter wie den Linksys WUSG54G. Ein Treiber muss sowohl zum Adapter als auch zum Betriebssystem passen, WindowsTreiber nützen uns nichts. Im günstigsten Fall kommt der Treiber mit Debian GNU/Linux mit, in weniger günstigen Fällen muss man sich den Treiber aus dem Netz beschaffen und selbst übersetzen oder einbauen. Hat man Pech, gibt es keinen Treiber. Beim Versenden der Daten muss feststehen, an welchen Rechner die Daten gesendet werden sollen. Ebenso sollte ein Rechner wissen, ob Daten, die er empfängt, für ihn bestimmt sind. Hierzu verwendet man Adressen. Im Internet hat jeder Knoten eine eindeutige Adresse, die es ermöglicht, Daten an diesen Knoten zu senden. Wenn Sie sich mit Ihrem Rechner zuhause in das Internet einwählen, bekommen Sie die Adresse Ihres Rechners in der Regel von Ihrem Internet-Versorger zugewiesen. Genau genommen ist es nicht der Rechner, sondern das Interface (die Karte), dem eine Adresse zugeordnet ist. Es ist durchaus möglich, dass ein Rechner sowohl über eine Ethernetkarte als auch über eine ISDN-Verbindung verfügt. Er hat dann zwei Interfaces und jedes dieser Interfaces eine eigene Adresse. Auch die Kombination von zwei Ethernetkarten oder einer Ethernetkarte und einer WLAN-Karte in einem
4.3 Interfaces, IP-Adressen und Namen
243
Rechner ist nicht selten. Ein Gateway, das Netze verbindet, braucht für jedes Netz ein eigenes Interface. IP-Adressen werden den Knoten: • • •
statisch (dauerhaft) zugewiesen, dynamisch (erst bei Bedarf) von einem DHCP-Server zugewiesen, dynamisch ohne Mitwirkung eines Servers durch Verhandlungen im lokalen Netz zugewiesen (Zeroconf-Netz, Automatic Private IP Addressing, APIPA).
Mischformen sind möglich und erhöhen die Unentbehrlichkeit des Netzverwalters. Die Methode, wie Daten von einem Rechner zu einem anderen übertragen werden, ist abhängig von der Art der Verbindung, die zwischen den Rechnern besteht. In einem Ethernet werden Daten anders übertragen als über eine Telefonleitung oder eine Satellitenverbindung. Große Netze wie das Internet benutzen viele unterschiedliche Verfahren, Daten zu übertragen. Stellen Sie sich vor, Sie haben von zuhause eine Einwahlverbindung über einen Internetversorger aufgebaut und laden eine Datei von einem Rechner in einer nordamerikanischen Universität herunter. Dabei könnte es sein, dass die Daten zunächst über das Ethernet im Fachbereich der Universität, dann über das FDDI-Netz der Universität, weiter über ein ATM-Netz, danach über Satellit, wieder über ein ATM-Netz in Europa zu Ihrem Versorger und schließlich über ein Telefonkabel oder Fernsehkabel zu Ihnen geschickt werden. Im lokalen Netz geht es dann über Ethernet oder WLAN zum Endverbraucher. Trotz der unterschiedlichen Verfahren, die dabei zum Einsatz kommen, werden immer dieselben Daten mit denselben Adressen verschickt. Alle beteiligten Stationen müssen die Adressen verstehen, um die Daten in der richtigen Richtung weiterzuschicken. Das zu diesem Zweck eingesetzte Protokoll ist das Internet Protocol (IP) nach RFC 791. Demzufolge spricht man bei Rechneradressen wie 195.71.9.196 von IP-Adressen im Gegensatz beispielsweise zu MAC-Adressen, die lediglich für den Datentransport im Ethernet von Bedeutung sind. Die MAC-Adressen (Hardware-Adresse, physikalische Adresse, IEEE-Adresse, NIC-Addresse, Media Access Control Address) von Ethernetkarten und einigen Netzkomponenten dienen dem Ansprechen der Hardware auf niederer Ebene und bestehen aus sechs Bytes, die hexadezimal wie 00:02:55:8C:A4:75 geschrieben werden und sich mit dem Kommando ifconfig oder ip addr (DebianPaket iproute, Heimathafen Linux Advanced Routing & Traffic Control, auf http: //lartc.org/) ermitteln lassen. Die ersten drei Bytes – der Organizationally Unique Identifier (OUI) – bezeichnen den Hersteller. Die Umsetzung von Bytes auf Hersteller findet man nebst Erläuterungen unter http://standards.ieee.org/ regauth/oui/index.shtml. Dort sind die drei Bytes ohne die Doppelpunkte in die Suchmaske einzugeben, also 000255. Im Beispiel lautet die Antwort IBM Corporation. Die hinteren drei Bytes sind eine Seriennummer nach Belieben des Herstellers. MAC-Adressen gibt es nur im Ethernet; sie sind der Hardware fest zugeordnet, lassen sich aber per Software vortäuschen. Internet-Adressen (IPv4-Adressen) bestehen aus einer Zahl zwischen 0 und 4294967194, rund 4 Milliarden. In dieser Schreibweise trifft man sie so gut wie nie an. Stattdessen werden sie in Form von vier dezimalen Zahlen zwischen 0 und 255 dargestellt, die durch Punkte getrennt sind, beispielsweise 192.168.0.11.
244
4 Internet
Jeder Zahl entspricht ein Byte. Der Bereich erstreckt sich so von 0.0.0.0 bis 255.255.255.255. In Wirklichkeit sind weniger Adressen verfügbar, weil eine große Anzahl von Adressen für besondere Zwecke reserviert ist (RFC 3330) oder aus technischen Gründen nicht nutzbar ist. Andererseits dürfen bestimmte Adressbereiche mehrfach belegt werden. Aufgrund des Wachstums des Internets hat das dazu geführt, dass Internetadressen knapp geworden sind. Dies ist einer der Gründe dafür, dass ein neues Internet-Protokoll (IPv6) entworfen wurde, das eine größere Anzahl von Adressen bereit stellt. Zur Zeit wird IPv6 erst wenig benutzt. Die Notation mit vier Zahlen wird Dotted Quad Notation genannt. Bei der Internet Assigned Numbers Authority (IANA, http://www.iana. org/) sind Adressbereiche registriert, die von Regional Internet Registries (RIR) weiter vergeben werden. Für Europa und angrenzende Gebiete ist das Réseaux IP Européens Network Coordination Centre (RIPE NCC, http://www.ripe.net/) zuständig, das Adressbereiche an die nationalen Registries verteilt, in Deutschland an DENIC (http://www.denic.de/) für die Top-Level-Domäne de. In Deutschland gibt das DENIC Adresskontingente an die deutschen Internet-Versorger (Internet Service Provider, ISP) weiter, beispielsweise an die Deutsche Telekom oder das Deutsche Forschungsnetz (DFN). Aus einer IP-Adresse kann – wenn überhaupt – nur sehr grob auf den geografischen Standort eines Knotens geschlossen werden. Es gibt eine Reihe von IP-Adressen, an die im Internet keine Daten weitergeleitet werden (die nicht geroutet werden). Solche Adressen eignen sich dafür, in privaten (nicht-öffentlichen) Netzen eingesetzt zu werden, weil ihre Verwendung nicht zu Konflikten führt, wenn sie an anderer Stelle ebenfalls eingesetzt werden. Die Verwendung dieser privaten Adressen wird – im Gegensatz zu allen anderen Adressen – nicht registriert, sie sind nur im privaten LAN bekannt. Folgende IP-Adressbereiche sind für private Zwecke reserviert (RFC 1918): • • •
10.0.0.0 – 10.255.255.255 (2 hoch 24 gleich 16 Millionen Adressen) 172.16.0.0 – 172.31.255.255 (je Netz 2 hoch 16 gleich 65000 Adressen, insgesamt rund 1 Mio.) 192.168.0.0 – 192.168.255.255 (je Netz 2 hoch 8 gleich 256 Adressen, insgesamt rund 65 Ts.)
Wenn Sie ein lokales Netz (Local Area Network einer Universität, Firma, Familie) einrichten, das nur an einer Stelle mit dem Internet verbunden ist, sollten Sie Adressen aus diesen Bereichen verwenden. Deren Verwaltung obliegt Ihnen und interessiert das Internet nicht im geringsten. In kleinen LANs werden meist Adressen aus dem dritten Bereich verwendet, obwohl der erste oder zweite Bereich auch zulässig ist und keine Nachteile mit sich bringt. Nirgendwo im Internet wird über diese privaten Adressbereiche Buch geführt. Als lokaler Netzverwalter brauchen Sie niemand zu fragen oder zu benachrichtigen, wenn Sie private Adressen verwenden. Ein solches internes, isoliertes Netz mit der Technik des Internets wird Intranet genannt. Oft werden in Intranets außer TCP/IP weitere Netzprotokolle wie Appletalk, SMB oder Novell-IPX gefahren. Der Adressbereich 127.0.0.0/8 stellt die Loopback-Adressen dar, die den Rechner selbst bezeichnen (loopback = Schleife). Benutzt wird davon praktisch nur die
4.3 Interfaces, IP-Adressen und Namen
245
Adresse 127.0.0.1, im Prinzip reicht der Bereich aber bis 127.255.255.254. Datenpakete, die ein Rechner an diese Adressen schickt, bleiben innerhalb des Kerns, auszuprobieren mittels: joe@debian:~$ ping 127.0.0.1 oder: joe@debian:~$ ping 127.100.150.200 Der Versuch setzt nur voraus, dass der TCP/IP-Stapel im Kern funktioniert. Es gibt noch einige besonderen Zwecken vorbehaltene Adressbereiche, darunter der Bereich 224.0.0.0 bis 239.255.255.255 für Multicasting (Gruppenruf) nach RFC 1112 oder der Bereich 169.254.0.0/16 für lokale Links in ZeroconfNetzen. Eine Übersicht über reservierte Adressbereiche gibt der RFC 3330 Special Use IPv4 Addresses von 2002. Zum Experimentieren, Testen und in Dokumentationen werden gelegentlich Namen gebraucht, die beim Auftauchen im Internet keinen realen Knoten belästigen. Der RFC 2606 legt hierfür folgende Namen fest: •
•
die Top Level Domains .test für Testzwecke, .example für Beispiele in Texten und .invalid dort, wo man einen Namen sofort als ungültig erkennen soll, die Second Level Domains example.com, example.net und example. org.
Ein ping oder traceroute zu example.com oder www.example.com ist zwar möglich und liefert auch vernünftige Antworten, eine HTTP-Anfrage wird jedoch abgewiesen. Der einfachste und häufigste Fall ist, dass ein Rechner über genau eine Netzkarte verfügt, und dieser genau eine IP-Adresse zugeordnet ist. Es verursacht keinerlei Schwierigkeiten – von Platzproblemen abgesehen – in einen Rechner weitere Netzkarten mit jeweils einer eigenen IP-Adresse einzubauen. Man gewinnt jedoch für den Normalbetrieb nichts damit. Vorzugsweise bei Servern sind mit etwas Aufwand auch raffinierte Kombinationen machbar. Als (Port)Trunking, Bonding, Etherchannel (Cisco) oder Link Aggregation wird das Zusammenfassen mehrerer Ethernetkarten unter einer logischen IP-Adresse zwecks Erhöhung der Bandbreite (load balancing) und Ausfallsicherheit (hot standby) verstanden. Entsprechend leistungsfähige Netzkarten vorausgesetzt, ermöglichen die Debian-Pakete ifenslave-2.4 und ifenslave2.6 das Bonden mehrerer Netzkarten eines Rechners. Will man die Karten mehrerer Rechner zusammenfassen, braucht man verwaltbare Switches. Umgekehrt lassen sich auch mit Hilfe von Werkzeugen aus dem Debian-Paket iproute einer Netzkarte mehrere IP-Adressen zuteilen, aber das ist nichts für den Anfang. Informationen zu solchen Linux-Netz-Themen liefern mehrere HOWTOs bei TLDP sowie http: //linux-net.osdl.org/ und http://wiki.linuxquestions.org/ wiki/Networking.
246
4 Internet
4.3.2 Netze und Subnetze Wenn bisher vom Netz die Rede war, war damit der gesamte Verbund aller Rechner gemeint, die irgendwie miteinander in Verbindung stehen. Vielfach bezeichnet der Begriff jedoch lediglich eine Gruppe von Rechnern, die direkt physikalisch miteinander verbunden (verkabelt) sind. Man spricht hier von einem Subnetz2 . In einem Ethernet beispielsweise können Rechner Daten direkt an alle anderen Rechner schicken, die an dasselbe Ethernet angeschlossen sind. Daten, die an Rechner geschickt werden sollen, die sich in anderen (Sub-)Netzen befinden, müssen hingegen von einem speziellen Gerät von dem einen Netz in ein anderes weitergeleitet werden. Diese weiterleitenden Geräte werden als Router bezeichnet. Ein Router kann ein Gerät für sich sein, das keine anderen Aufgaben beherrscht, eine Kombination mit anderen Netzkomponenten wie ein Router/Switch oder ein Rechner, der mittels Software das Routing durchführt. Verbreitet sind Router zur Verbindung eines lokalen Netzes mit dem Telefonnetz und letztlich einem Internet-Versorger (Internet Service Provider, ISP). Diese Geräte werden besser als Gateways bezeichnet, weil sie über das Routen hinausgehende Aufgaben wahrnehmen. 145.22.100.1 ISP 210.21.3.1
210.21.3.2
210.21.3.3
145.22.100.6 210.21.3.0
210.21.3.250
210.21.4.1
210.21.4.2
210.21.4.3
210.21.4.250
210.21.4.0
Abb. 4.3: Netz mit zwei Subnetzen und Zugang zu einem Internet-Anbieter
2
Tatsächlich können mehrere Subnetze in einem physikalischen Netz vorhanden sein. Außerdem ist es möglich, mehrere physikalische Netze durch Bridges (Brücken) miteinander zu verbinden, sodass sie wie ein Subnetz behandelt werden können.
4.3 Interfaces, IP-Adressen und Namen
247
Abbildung 4.3 verdeutlicht dies. Die Rechner im unteren Teil der Abbildung sind durch ein Ethernet miteinander verbunden. Der Rechner mit der IP-Adresse 210.21.4.1 kann den Rechner mit der IP-Adresse 210.21.4.3 direkt erreichen. Das gleiche gilt für die Rechner im oberen Teil der Abbildung, die ebenfalls durch ein Ethernet miteinander verbunden sind. Der Rechner in der Mitte ist mit beiden Netzen verbunden. Er hat zwei Interfaces (Netzkarten) und demzufolge zwei IP-Adressen (210.21.4.250 und 210.21.3.250). Wenn der Rechner mit der IP-Adresse 210.21.4.2 Daten an den Rechner mit der Adresse 210.21.3.2 senden will, dann kann er dies nicht direkt, sondern sendet die Daten an den Router 210.21.4.250, der sie über sein anderes Interface 210.21.3.250 in das obere Ethernet leitet, von wo sie direkt an den Zielrechner geschickt werden. Hierzu benötigt der Rechner 210.21.4.2 die Information, wohin er Pakete schicken soll, die er nicht selbst (über das Netz, an das er angeschlossen ist) zustellen kann. Diese Information bezeichnet man als Standard-Gateway oder Default-Route. Es muss bei den Rechnern im unteren Teil der Abbildung auf die Adresse 210.21.4.250 zeigen. Wenn die Rechner im oberen Teil der Abbildung in der Lage sein sollen, Daten zu Rechnern im unteren Teil der Abbildung zu schicken, benötigen sie diese Information ebenfalls. Allerdings müssen diese das Standard-Gateway 210.21.3.250 benutzen, weil das Interface 210.21.4.250 nicht mit dem Ethernet verbunden ist, an das diese Rechner angeschlossen sind und deswegen von ihnen nicht erreichbar wäre. Briefe an Adressen in meinem Heimatdorf trage ich selbst aus, Briefe in andere Orte werfe ich in einen Briefkasten der gelben Post, der das Standard-Gateway darstellt. 4.3.3 Netzmasken Alle Rechner müssen wissen, welche Rechner sich in ihrem Netz und welche Rechner sich in anderen Netzen befinden. Hierzu dient die Netzmaske. Eine IP-Adresse besteht aus vier Zahlen zwischen 0 und 255. Sie lässt sich durch vier Bytes darstellen. Mit der Netzmaske wird angegeben, welche Bits in diesen vier Bytes Rechner darstellen, die sich im lokalen Netz befinden, und durch welche Bits Rechner in anderen Netzen angesprochen werden. Ein häufig gebrauchter Wert für die Netzmaske ist 255.255.255.0. Dieser Wert entspricht vier Bytes, in denen alle Bits der ersten drei Bytes gesetzt (gleich 1) sind und die acht Bits im letzten Byte nicht gesetzt (gleich 0) sind. Ein Rechner, der die Information hat, dass in seinem Netz diese Netzmaske verwendet wird, schließt daraus, dass sich alle IP-Adressen, bei denen sich nur die Bits im letzten Byte von denen im letzten Byte der eigenen IP-Adresse unterscheiden, im selben Netz aufhalten, während sich solche IP-Adressen, bei denen sich Bits der ersten drei Bytes von denen in den ersten drei Byte der eigenen IP-Adresse unterscheiden, in anderen Netzen befinden. Daten an diese Rechner müssen über einen Router versendet werden. Anders gesagt: Die Adresse eines Knotens durch logisch-UND mit der Netzmaske verknüpft ergibt die Netzadresse. Alle Knoten mit derselben Netzadresse reden direkt – ohne Router – miteinander. Der Aufruf (mit absolutem Pfad, da das
248
4 Internet
Werkzeug zwar von jedem Benutzer ausgeführt werden darf, aber nicht im üblichen Befehlspfad liegt): joe@debian:~$ /sbin/route liefert als Antwort die Routing-Tabelle des Kerns, beispielsweise: 192.168.2.0 192.168.0.0 default
* * router.beiuns
255.255.255.240 255.255.255.0 0.0.0.0
eth1 eth0 eth0
In der ersten Spalte stehen Netzadressen, hier zwei sowie an letzter Stelle die Bezeichnung default für alle übrigen. Die zweite Spalte nennt den Router. Der Stern bedeutet kein Router, direkt zustellen; in der dritten Zeile steht der Name des Routers (Default-Gateway, das Kästchen, welches das lokale Ethernet mit dem DSL-Modem verbindet und ein selbständiger Knoten ist). In der dritten Spalte – vom Programm Genmask (generality mask) betitelt – folgt die jeweilige Netzmaske. Hier sehen wir in der ersten Zeile eine Netzmaske mit einer anderen Zahl als 0 oder 255. In dualer Schreibweise lautet die Maske 11111111.11111111.11111111.11110000 und bezeichnet somit ein Subnetz mit den Adressen von 192.168.2.0 bis 192.168.2.15, das abzüglich der beiden reservierten Adressen 0 und 15 Raum für 14 Knoten bietet. Der Anschluss an dieses Netz läuft über die zweite Ethernetkarte eth1 im Rechner. Die zweite Zeile ist nichts Besonderes: das Netz 192.168.0.0 umfasst 256 Adressen und gehört zur ersten Ethernetkarte eth0. Alle anderen Adressen sind nicht lokal und laufen über eth0 zum Router router.beiuns. Üblicherweise teilt man Routern die erste oder letzte freie Adresse (1 oder 254) zu, aber das ist nicht zwingend. Mit der entsprechenden Software könnte dieser Rechner als Router zwischen den beiden Netzen 192.168.0.0 und 192.168.2.0 arbeiten. Das 0.0-Netz ist im vorliegenden Fall das normale Arbeitsnetz, das 2.0-Netz ein experimentelles Netz. Ist ein Rechner durch zwei Netzadapter mit demselben Netz verbunden – was möglich, aber selten sinnvoll ist – sehe man sich die Routing-Tabelle des Kerns mittels route an und vergleiche sie mit den eigenen Vorstellungen. Gegebenenfalls sind Routen zu löschen: debian:~# route del default eth2 wobei statt default eine Netzadresse wie 192.168.2.0 stehen kann. Mit demselben Werkzeug lassen sich auch Routen hinzufügen, siehe Manual. Soll das Routing automatisch bei jedem Systemstart geändert werden, schreibt man die Kommandos in ein Startskript, das aufgerufen wird, nachdem die Netzkonfiguration abgeschlossen ist. Die oft anzutreffende Schreibweise 192.168.2.3/28 besagt, dass für den Knoten 192.168.2.3 eine Netzmaske von 28 Bit Länge gilt, also die Maske 255.255.255.240. Ein Knoten mit der Adresse 192.168.2.20/28 befände sich im Netz 192.168.2.16/28 (niedrigste verfügbare Adresse) und hätte dieselbe Netzmaske. Die Broadcast-Adresse dieses Netzes wäre 192.168.2.31 (höchste verfügbare Adresse). Die Schreibweise wird als Classless Inter-Domain Routing (CIDR) Notation bezeichnet, die Zahl nach dem Schrägstrich als Suffix,
4.3 Interfaces, IP-Adressen und Namen
249
und ist im RFC 1519 beschrieben. Bei solchen Betrachtungen sind die Werkzeuge gbase, ipcalc und sipcalc eine Hilfe. In Abbildung 4.3 ist die Netzmaske aller Rechner 255.255.255.0. Wenn vom Rechner 210.21.4.2 ein Paket an den Rechner 210.21.3.2 geschickt werden soll, erkennt der Absender, dass sich Bits im dritten Byte voneinander unterscheiden (4 ungleich 3), und weiß aufgrund der Netzmaske, dass sich der Zielrechner in einem anderen Netz befindet. Er schickt die Pakete deswegen an den Router. Möchte der Rechner 210.21.4.2 jedoch ein Paket an den Rechner mit dem Interface 210.21.4.250 schicken, so erkennt er, dass sich die Bits der ersten drei Bytes nicht unterscheiden und stellt die Pakete direkt zu. 4.3.4 Besondere Adressen Netzadressen Neben den einzelnen Knoten bzw. Interfaces haben auch die Netze selbst eine IPAdresse, und zwar die erste (niedrigste) verfügbare IP-Adresse im Netz. Die in einem Netz verfügbaren Adressen ergeben sich aus der IP-Adresse eines Rechners in diesem Netz kombiniert mit der Netzmaske. Aufgrund der Information, dass ein Rechner die IP-Adresse 210.21.4.3 hat und dass in dem Netz die Netzmaske 255.255.255.0 gilt, wird darauf geschlossen, dass in diesem Netz die IPAdressen 210.21.4.0 bis 210.21.4.255 zur Verfügung stehen. Die Adresse des Netzes ist dann 210.21.4.0. Die Netzadressen sind in der Abbildung 4.3 ebenfalls angegeben. localhost Ein besonderes Netz ist jenes mit der IP-Adresse 127.0.0.0 (Netzmaske 255.0.0.0 oder /8). Es ist für den Verkehr von Datenpaketen bestimmt, die einen Rechner nicht verlassen. Dies kommt vor, wenn zwei Prozesse mit Hilfe von Netzprotokollen miteinander kommunizieren, die beide auf demselben Rechner ausgeführt werden. Ein Beispiel ist ein Web-Browser, der einen Webserver auf derselben Maschine anspricht. Auch für dieses Netz wird ein Interface benötigt. Es handelt sich dabei um das Loopback-Interface, dem die IP-Adressen 127.0.0.1 bis 127.255.255.254 und der Name localhost zugewiesen sind. Ein vernetzter Rechner hat stets mindestens zwei IP-Adressen, nämlich 127.0.0.1 für sein Loopback-Interface und die IP-Adresse des Interfaces, über das er mit dem Netz verbunden ist. Die Adresse 127.0.0.1 – oder eine andere aus dem Bereich 127.0.0.1 bis 127.0.0.254 – und der Name localhost liegen fest, können also nicht frei gewählt werden, und sind in der Rechnerwelt das, was in der Menschenwelt das Pronomen ich bedeutet. Das Loopback-Interface wird wie die anderen in /etc/network/interfaces konfiguriert; die Zuweisung einer Adresse entfällt. Nicht-vernetzte Rechner haben zumindest die IP-Adresse 127.0.0.1, auch dann, wenn sie keine Netzkarte enthalten. Der Verkehr zum Loopback-Interface spielt sich innerhalb des Betriebssystems ab. Testen Sie das Loopback-Interface mittels:
250
4 Internet
joe@debian:~$ ping -c 4 127.0.0.1 Wenn keine Antwort zurückkommt, ist etwas oberfaul. Möglicherweise ist kein TCP/IP-Stapel im Kern eingerichtet. Das Loopback-Interface hat nichts zu tun mit dem Loopback-Device, einem virtuellen Massenspeicher, siehe Abschnitt 13.3 Loopback-Device auf Seite 574. Leider wird das Interface gelegentlich auch als Device bezeichnet. Es gibt den Namen localdomain zur Bezeichnung der lokalen IP-Domäne, aber dieser ist unverbindlich und kann (sollte) in /etc/hosts beliebig anders gesetzt werden. Falls ein lokaler Mail Transfer Agent (sendmail, postfix, exim) läuft, ist dieser auch von einer Änderung des Domänennamens zu unterrichten, sonst hat er Schwierigkeiten beim Zustellen lokaler Mails. Der Name der lokalen Domäne ist noch in mehreren anderen Winkeln des Systems versteckt, was nachträgliche Korrekturen erschwert. Zur lokalen Domäne gehört keine vorgegebene Auswahl von IP-Adressen, wenngleich für lokale Netze aus gutem Grund die drei privaten Bereiche von IP-Adressen empfohlen werden. Das Kommando domainname zeigt den Namen der NIS-Domäne an – sofern eine eingerichtet ist – während hostname -f (full) den vollen Namen des Rechners ausgibt. Broadcast-Adressen Die höchste freie Adresse in einem Netz ist ebenfalls reserviert. Hierbei handelt es sich um die Broadcast-Adresse. Pakete an diese Adresse werden als Broadcast (Rundruf) an alle Knoten in dem betreffenden Netz geleitet. Der Absender schickt ein Datenpaket mit der Broadcast-Adresse ins Netz; vervielfältigt wird das Paket auf den Switchen, genauso wie bei Multicasting. Die Belastung des Absenders bleibt minimal. Durch Broadcasting kann festgestellt werden, welcher Rechner in einem Netz einen bestimmten Dienst zur Verfügung stellt, ohne dass man seine genaue Adresse kennt. In einem Netz mit der Adresse 210.21.4.0 und der Netzmaske 255.255.255.0 ist die Broadcast-Adresse 210.21.4.255. In jedem Netz sind zwei Adressen reserviert, nämlich die Netzadresse, die niederste Adresse (oft 0), und die Broadcast-Adresse, die höchste Adresse (oft 255). Schicken Sie – nach Rücksprache mit Ihrem Netzverwalter – einen Broadcast in Ihr lokales Netz: joe@debian:~$ ping -b -c 4 192.168.0.255 wobei Sie das letzte Argument gegen Ihre Broadcast-Adresse austauschen. Alle aktiven Knoten in Ihrem Netz antworten, sofern das Antworten auf Pings nicht wegkonfiguriert ist. Wir unterscheiden also folgende Adressierungsarten: • • • •
Unicasting Punkt-zu-Punkt- oder Ende-zu-Ende-Verbindung: Ein Knoten schickt ein Datenpaket an genau einen anderen, bestimmten Knoten, Multicasting Gruppenruf: Ein Knoten schickt ein Datenpaket an eine bestimmte Gruppe von Empfängern im lokalen Netz, Broadcasting Rundruf: Ein Knoten schickt ein Datenpaket an alle Knoten im lokalen Netz, Anycasting: Ein Knoten schickt ein Datenpaket an einen beliebigen Empfänger im lokalen Netz. Der schnellste Empfänger antwortet.
4.3 Interfaces, IP-Adressen und Namen
251
Punkt-zu-Punkt-Verbindungen Eine spezielle Form von Netzen sind Punkt-zu-Punkt-Verbindungen (Point-to-Point). Darunter werden direkte Verbindungen zwischen zwei Rechnern verstanden, wie sie bei Einwahlverbindungen zu einem Internet-Versorger vorkommen. Die Netzmaske solcher Verbindungen ist 255.255.255.255, das heißt, dass sich außer den beiden miteinander verbundenen Rechnern kein weiterer Knoten in dem Netz befindet. Alle Stellen (Bits) der Adresse zählen. Aus dem Interface kann es nur zu dem einzigen Gegenüber gehen. 4.3.5 IPv6 Im Internet, das gegenwärtig unter dem Internet Protocol Version 4 läuft, werden die Adressen knapp. Um diesem und einigen anderen Missständen abzuhelfen, wurde die Version 6 des Internet Protocols entwickelt, beschrieben im RFC 2460 und jüngeren. Das neue Protokoll wird bisher wenig verwendet; Linux-Kerne ab 2.6 beherrschen es. Weitere Informationen beispielsweise bei http://playground. sun.com/ipv6/. Die neuen Adressen sind 128 Bit lang statt bisher 32. Sie werden hexadezimal notiert mit Doppelpunkten als Trennzeichen zwischen den acht Blöcken zu je 16 Bit. Die linke Hälfte der Adresse adressiert ein Netz, die rechte einen Knoten im Netz. Die Adresse: 2001:0db8:85a3:08d3:1937:8a2e:0370:7344/64 bezeichnet den Knoten 1937:8a2e:0370:7344 im Netz 2001:0db8:85a3:08d3::/64. Dabei werden Nullen in der rechten Hälfte durch einen Doppelpunkt ersetzt. Der Anhang /64 nennt in dezimaler Notation die Anzahl der Bits der Netzmaske. Da man sich Adressen derartiger Länge kaum noch merken kann, wächst die Bedeutung der Nameserver. Weiteres am einfachsten in der deutschen Wikipedia unter dem Suchbegriff IPv6. Das Pseudo-Interface sit0, das gelegentlich in der Datei /etc/network/ interfaces auftaucht, ist ein Weg, um IPv6-Datagramme über ein IPv4-Netz zu versenden. Mit seiner Hilfe lässt sich zwischen zwei Rechnern eine IPv6-Verbindung aufbauen, obwohl das Netz zwischen ihnen nur IPv4 beherrscht. Stört nicht, falls man es nicht braucht. SIT bedeutet Simple Internet Transition und ist ein Satz von Protokollen und Regeln. Weiteres siehe RFC 1933 und 3056. 4.3.6 Mehr über das Routing In Abbildung 4.3 auf Seite 246 ist eine Point-to-Point-Verbindung zwischen dem Rechner mit den IP-Adressen 210.21.3.3 und 145.22.100.6 auf der einen Seite und einem Internet-Versorger (ISP) mit der IP-Adresse 145.22.100.1 auf der anderen Seite eingetragen. Damit diese Verbindung von allen anderen Rechnern genutzt werden kann, müssen sie über weitere Routing-Informationen verfügen. Rechner im oberen Teil der Abbildung (im Netz 210.21.3.0) müssen wissen, dass Pakete an Rechner im Netz 210.21.4.0 über den Router mit der Adresse
252
4 Internet
210.21.3.250 versendet werden, während Pakete, die an den Internetversorger geschickt werden sollen, über den Router mit dem Interface 210.21.3.3 versendet werden. Man braucht hier zwei Routing-Informationen. Das Betriebssystem verwaltet eine Routing-Tabelle, die beim Versand eines Paketes von oben nach unten durchgesehen wird. Sobald ein Eintrag gefunden wird, der auf den Empfänger des Paketes zutrifft, wird das Paket über die entsprechende Route verschickt. Am Ende der Tabelle befindet sich das Default-Gateway, an den Pakete geschickt werden, für die keine andere Routing-Information vorliegt. Im Beispiel enthält die Routing-Tabelle der Rechner im Netz 210.21.3.0 zunächst die Information, dass Pakete an Rechner im Netz 210.21.4.0 über den Router mit dem Interface 21.21.3.250 verschickt werden sollen. Die DefaultRoute könnte dann auf den Rechner mit dem Interface 210.21.3.3 zeigen, damit alle Pakete, die für keines der beiden Netze 210.21.3.0 und 210.21.4.0 bestimmt sind, über den ISP verschickt werden. Die Routing-Tabelle der Rechner im unteren Teil der Abbildung (im Netz 210.21.4.0) braucht hingegen nicht geändert zu werden. Für diese Rechner reicht weiterhin die Information aus, dass alle Pakete, die im lokalen Netz nicht zugestellt werden können, an den Router mit dem Interface 210.21.4.250 geschickt werden müssen. Der Router hat wie alle Rechner im Netz 210.21.3.0 die Information, dass Datenpakete, die in den lokalen Netzen nicht zugestellt werden können, an den Router mit dem Interface 210.21.3.3 geschickt werden müssen, der sie an den ISP weiterleitet. Mit Routing lässt sich einiges erreichen, was über das einfache Zustellen von Datenpaketen hinaus geht. Wir verweisen auf die bereits erwähnte Website http: //lartc.org/. 4.3.7 Wireless Local Area Network (WLAN) Ein Wireless Local Area Network (WLAN) ist ein örtlich begrenztes Netz, das statt Kabelverbindungen Funk verwendet. Das Verlegen von Kabeln und Steckdosen ist eine teure Angelegenheit. Liegen sie erst einmal, ist ein Kabelnetz billiger, zuverlässiger und schneller als ein Funknetz. Man sollte daher nur dann ein Funknetz einrichten, wenn ein Kabelnetz auf Schwierigkeiten stößt: • • • • • •
auf Sportplätzen, in Schwimmhallen, in Hörsälen, bei Konferenzen, zur Anbindung von Laptops, die beweglich bleiben sollen, als schnell eingerichtete Übergangslösung, als Verbindung zweier benachbarter Gebäude.
Die Grundbegriffe zu einem WLAN lese man in der deutschen Wikipedia unter dem Suchbegriff Wireless LAN nach; wir können aus Platzgründen nicht alles erläutern. Der Standard IEEE 802.11 von 1997 beschreibt ein WLAN mit einer Bruttoübertragungsrate von maximal 2 MBit/s im 2,4-GHz-Band mit einer Reichweite von maximal 150 m. Die Sendeleistung beträgt 100 mW, weniger als die eines Mobiltelefons.
4.3 Interfaces, IP-Adressen und Namen
253
Der Standard ist seither mehrmals ergänzt worden, vor allem mit dem Ziel höherer Übertragungsraten. Gegenwärtig (Anfang 2007) sind 54 MBit/s Stand der Technik, mehr ist möglich. Ein Access Point mit 54 MBit/s kommuniziert auch mit Geräten, die nur 11 MBit/s beherrschen. Die Reichweite hängt stark von den örtlichen Gegebenheiten ab. Bei einer schlechten Verbindung sinkt zunächst die Übertragungsrate bis auf 1 MBit/s ab, dann ist Schluss. Die in Produktbeschreibungen genannten Werte für Übertragungsgeschwindigkeit und Reichweite sind Maximalwerte, die nur unter günstigen Bedingungen (Sichtverbindung) erreicht werden. Man tut gut daran, bei Planungen von bescheideneren Werten auszugehen. Mehrere Teilnehmer am WLAN teilen sich die Übertragungsrate. Die Übertragung lässt sich automatisch verschlüsseln (WEP = Wired Equivalent Privacy, besser: WPA = Wi-Fi Protected Access, noch besser: WPA2), sodass Unbefugte den Datenverkehr nicht auswerten können. Eine Alternative zu WEP und WPA ist IPsec. Das Verschlüsseln schützt nicht nur die eigenen Daten, sondern verhindert auch den Missbrauch des WLANs durch Fremde. Der Betreiber eines WLANs haftet für derartige Missbräuche so wie ein Autofahrer, der seinen Wagen nicht ordentlich abschließt.
Abb. 4.4: Zweimal WLAN-Adapter Netgear WG311. Links die ältere Version mit AtherosChip, rechts die jüngere mit Chip von Texas Instruments. Die Karten benötigen trotz gleicher Typenbezeichnung verschiedene Treiber.
Mittels WLAN lassen sich wenige Rechner miteinander im Ad-hoc-Modus verbinden; häufiger besteht ein WLAN jedoch aus einem zentralen Zugangspunkt (Access Point), um den sich mehrere Rechner mit WLAN-Karten (WLAN-Adapter, WLAN-Interface) im Infrastruktur-Modus scharen. Der Access Point ist an einem Ende mit einem lokalen, drahtgebundenen Ethernet verbunden, am anderen Ende trägt er ein oder zwei Antennen. Es gibt auch DSL-Router, die zugleich als Access Point arbeiten, siehe Abschnitt 16.4 Konfiguration eines DSL-Gateways auf Sei-
254
4 Internet
te 755. Ebenso lässt sich ein Rechner, der über eine Ethernetkarte und eine WLANKarte verfügt, als Access Point einrichten, wobei sein Standort vermutlich nicht optimal für den Funk ist. Access Point und WLAN-Karten sind zugleich Sender und Empfänger. Bei der Einrichtung der Karten stellt sich wie bei jeder HardwareKomponente die Frage nach den Treibern. Bei schnelleren WLAN-Karten ist mit Treiberproblemen zu rechnen. Sogar Karten gleichen Typs können unterschiedliche Chips verwenden und daher unterschiedliche Treiber erfordern, siehe Abbildung 4.4. In unserem Fall heißt das, erst die Verfügbarkeit von Treibern klären, dann die Hardware besichtigen, dann erst kaufen. In manchen Fällen können die DebianPakete ndiswrapper-* weiterhelfen. Der NDIS-Wrapper (NDIS = Network Driver Interface Specification) ist eine Ergänzung des Linux-Kerns, die es erlaubt, MSWindows-Treiber für WLAN-Karten einzusetzen. Der Heimathafen des Projektes ist http://ndiswrapper.sourceforge.net/. Er sollte nicht als Wunderwaffe, sondern als letzte Chance angesehen werden. Da einige WLAN-Karten auf ein Board geklebte PCMCIA-Karten sind, ist möglicherweise auch die PCMCIAUnterstützung im Kern zu aktivieren. Hat man alles beieinander, ist erforderlichenfalls ein neuer Kern oder ein Kernmodul zu kompilieren und einzurichten. Das ist nicht weiter aufregend und in Abschnitt 15.1 Erstellen des Kerns auf Seite 679 beschrieben. Geht alles gut, nehmen Rechner und Access Point mit Vorgabewerten Kontakt auf. Denkbar ist auch, dass man zuerst den Access Point mittels eines Web-Browsers über die Kabelverbindung konfiguriert und anschließend auf jedem Rechner lokal die Karte. Der Access Point ist ein selbständiger Knoten mit eigener IP-Adresse. Wechselnde Funk-Teilnehmer versorgt man zweckmäßig per DHCP mit IP-Adressen, siehe Abschnitt 16.1.4 Dynamische Konfiguration mittels DHCP auf Seite 738. In Abschnitt 16.5 WLAN Access Point auf Seite 761 gehen wir exemplarisch auf die Konfiguration eines Access Points ein. 4.3.8 Namensauflösung und DNS Die Verwendung numerischer IP-Adressen ist nicht gerade menschenfreundlich und wird mit IPv6 noch unbequemer. Den meisten Benutzern fällt es einfacher, sich Namen wie www.filterkurs.de oder www.linux.de zu merken als Nummern wie 81.169.145.75 oder 62.111.65.66. Deswegen ist es möglich, fast überall dort, wo eine IP-Adresse benötigt wird, einen Namen anzugeben (Ausnahme: Nameserver in /etc/resolv.conf). Weil die Kommunikation der Rechner untereinander aber nach wie vor mit IP-Adressen durchgeführt wird, müssen die Namen in Adressen übersetzt werden. Hierzu gibt es verschiedene Möglichkeiten. Die einfachste und älteste besteht darin, auf jedem Rechner eine Datei namens /etc/hosts zu pflegen, in der die Zuordnungen von Adressen und Namen gespeichert sind. In einem Netz mit weniger als hundert Knoten, das sich nur langsam ändert, ist dieser Weg gangbar und in einem vom Internet isolierten Netz der zweckmäßigste. Die Datei enthält Zeilen der Form: IP-Adresse
kanonischer Name
Aliasnamen
4.3 Interfaces, IP-Adressen und Namen
255
Der kanonische Name ist der vollständige, originäre Name eines Knotens, der Taufname sozusagen, oft unverständlich und schwierig zu merken. Die optionalen Aliasnamen sind die Rufnamen, kürzer und leichter zu merken. Die Datei muss Einträge für alle Knoten enthalten, die beim Booten benötigt werden, bevor auf einen DNSServer zugegriffen werden kann. Darüber hinaus darf sie beliebige Einträge enthalten, nur stimmen sollen sie. Üblicherweise trägt man die wichtigsten lokalen Knoten ein, um sie auch bei einem Ausfall von DNS ansprechen zu können. Bei zentraler Pflege ist die zentrale Datei nach jeder Änderung an alle Teilnehmer des lokalen Netzes zu verteilen. Das Debian-Paket dnsmasq enthält eine bessere Lösung, schon für kleine Netze. Auch DHCP ist eine Alternative. Dieses Verfahren ist jedoch bei der Größe des Internets schon lange nicht mehr aufrecht zu erhalten, weswegen es ein Server-Programm (named) gibt, das Rechnernamen entgegen nimmt und IP-Adressen zurückliefert. Rechner, auf denen dieses Programm ausgeführt wird, werden als Domain-Name-System-Server (DNS-Server, kurz Nameserver) bezeichnet. Wenn ein Rechner für die Benutzung von DNS konfiguriert ist, befragt er vor dem Aufbau einer angeforderten Verbindung zunächst den DNS-Server auf Port 53 nach der benötigten IP-Adresse. Er muss dazu die IPAdresse des DNS-Servers kennen, nicht den Namen, naheliegenderweise. Der zuständige DNS-Server wird in der Datei /etc/resolv.conf benannt. Bis zu drei Server dürfen eingetragen werden. Der Betrieb eines eigenen DNS-Servers mit eigenen Daten lohnt sich nur in großen Netzen oder falls wesentliche Teile des lokalen Netzes im Internet zu sehen sind. An DNS-Server werden hohe Sicherheitsanforderungen gestellt, was einen beträchtlichen Aufwand an Hardware, Software und Manpower nach sich zieht. In allen anderen Fällen ist ein DNS-Proxy wie dnsmasq vorzuziehen, der Anfragen weiterreicht und sich Antworten eine Zeit lang merkt. DNS-Rechnernamen bestehen aus Zeichenketten, die durch Punkte voneinander getrennt werden. Dies hängt mit der Verwaltungsstruktur des Internets zusammen. Den letzten Teil eines Namens (.de oder .com) bezeichnet man als Toplevel-Domäne (TLD). Sie ist einer Institution zugeordnet, die berechtigt ist, Namen zu vergeben, die mit dieser Zeichenkette enden. Für die Toplevel-Domain .de ist dies das DENIC (Network Information Center, http://www.denic.de/), das nationale Internet-Standesamt. Die Toplevel-Domäne .test steht für Tests und Spielereien zur Verfügung. Namen wie linux.de oder abklex.de werden als gewöhnliche Domänen bezeichnet. Der Besitzer einer gewöhnlichen Domäne kann dann weitere Namen vergeben, die mit dem Domänennamen enden. So vergibt das DENIC an die Universität Karlsruhe die Domäne uni-karlsruhe.de samt einem Kontingent von IP-Adressen. Das Rechenzentrum der Universität betreibt den Domain-Nameserver für diese Domäne und vergibt Unterdomänen wie mvm.uni-karlsruhe.de samt einem Unterkontingent von IP-Adressen an die Institute. In diesen weist der dortige Netzverwalter den Geräten Namen und Adressen zu – beispielsweise 172.22.132.100 gleich c100.mvm.uni-karlsruhe.de – und meldet seine Entscheidung an das Rechenzentrum als Betreiber des Domain Name Servers und in diesem Fall auch als Betreiber des NAT-Dienstes zurück. In einem LAN mit privaten Adressen sind die Namen nach außen ebenso unsichtbar wie die IP-Adressen. So könnte man den einzigen lokalen Webserver einfach www.beiuns
256
4 Internet
nennen. Wenn Sie ihn nur www nennen, kann das gut gehen, aber manche Browser meinen, das da etwas fehle, und ergänzen den Namen nach eigenem Gutdünken. Für das Internet ist es unerheblich, welche IP-Adressen welchen Namen zugeordnet sind. Die EDV-Abteilung oder das Rechenzentrum hat jedoch an Ordnung und Übersicht ein gewisses Interesse und setzt durch interne Richtlinien der Phantasie Grenzen. Der Besitzer einer Domäne ist verpflichtet, DNS-Server zu betreiben, mit denen die Namen der betreffenden Domäne in IP-Adressen aufgelöst werden. Die vollständigen Namen (c100.mvm.uni-karlsruhe.de) werden als voll qualifizierte Rechnernamen (Fully Qualified Domain Name, FQDN) bezeichnet. Sie ermöglichen, einen Rechner von jedem Ort im Internet aus mit seinem Namen anzusprechen. Im Gegensatz dazu sind die kurzen Rechnernamen (c100 oder c100.mvm) nur innerhalb ihrer Domäne gültig. Einer IP-Adresse dürfen mehrere Namen (Aliasnamen) zugeordnet sein. So trägt der genannte Rechner auch noch den aussagekräftigeren Aliasnamen www.mvm. uni-karlsruhe.de. Das Umgekehrte dagegen – mehrere IP-Adressen für einen Namen – ist nicht ohne Weiteres möglich und fällt unter die Höhere Netzkunde (Lastverteilung, Load Balancing). Das DNS ermöglicht, für eine Domäne einen bestimmten Rechner als Mailempfänger einzutragen. Dazu werden für die Domäne MX-Records mit den Namen der Mailhosts und einer Priorität angelegt. Bei einer Email-Anschrift wie: [email protected] wird durch einen MX-Record im DNS die Domäne mvm.uni-karlsruhe.de auf einen wirklich vorhandenen Rechner in der Universität geleitet und dort per Alias der Empfänger wulf.alex auf einen Benutzernamen. Der Teil der Anschrift links vom Klammeraffen wird als local part bezeichnet, der Teil rechts als domain part. Es gibt nirgends einen Rechner namens mvm.uni-karlsruhe.de oder einen Benutzer namens wulf.alex. Durch die Prioritäten lassen sich mehrere Mailhosts bestimmen, die einspringen, wenn der nächsthöhere Mailhost ausgefallen ist. Genau so läuft es auch bei anderen Internet-Versorgern. Eine Anfrage, die nicht aus der eigenen Datei /etc/hosts beantwortet werden kann, geht an den ersten in der Datei /etc/resolv.conf genannten DNSServer. Dieser kennt alle Knoten seines Netzes, mehr nicht. Soll er einen wildfremden Namen auflösen, wendet er sich an einen übergeordneten Server, der ihm mitteilt, welcher DNS-Server für die Domäne des wildfremden Namens zuständig ist. Das kann in ein paar Stufen bis zu den wenigen DNS-Root-Servern gehen. Diese kennen nicht etwa alle Knoten im Internet, sondern nur die für die Top-LevelDomänen zuständigen DNS-Server. Es bringt gar nichts – höchstens Ärger – einen DNS-Root-Server in /etc/resolv.conf aufzuführen. DNS-Root-Server werden nur in der Konfiguration von DNS-Servern eingetragen. Auch die nationalen DNS-Server haben in /etc/resolv.conf nichts verloren. In diese Datei gehört vor allem der DNS-Server Ihres Internet-Versorgers. Dieser verfügt in der Regel auch über einen Cache, in dem er fremde Domänen betreffende Antworten eine Zeit lang speichert und so mehr weiß als nur die Namen und Adressen seiner Domäne.
4.3 Interfaces, IP-Adressen und Namen
257
Die Kommandos nslookup, host oder dig erlauben die gezielte Abfrage eines DNS-Servers. Es kann nach Namen oder IP-Adressen gefragt werden. host liefert die kürzeste Antwort, dig die längste. Der GResolver ist ein hübsches GUI zu dig. Wird keine Antwort gefunden, melden sich die Programme nach einigen Sekunden mit einer Fehlermeldung zurück. Auskunft über deutsche Domänen (nicht Hostnamen) erteilt das DENIC (http://www.nic.de/) unter dem Punkt Domainabfrage. Fragen Sie einmal nach der Domäne abklex.de. Internetdomänen haben nichts mit dem Domänenkonzept zu tun, das in MSWindows- und IBM-OS/2-Netzen benutzt wird. Sie sind ferner von NIS-Domänen zu trennen. Domäne bedeutet einfach Bereich. 4.3.9 Dynamic Host Configuration Protocol (DHCP) IP-Adressen stehen nicht in unbegrenzter Anzahl zur Verfügung. Man ist daher bemüht, den Adressenverbrauch einzudämmen. Ein Rechner, der nicht eingeschaltet ist, braucht keine IP-Adresse. In manchen Zusammenhängen werden daher IPAdressen erst bei Bedarf vergeben. Diesem Zweck dient das Dynamic Host Configuration Protocol (DHCP) samt den DHCP-Servern, dem von der IANA Port 67 zugeteilt worden ist. Es erübrigt auch die Einstellung der Netzdaten auf jedem einzelnen Knoten und erleichtert die Verwaltung lokaler Netze. Eine seltener werdende Alternative zu DHCP ist das Bootstrap Protocol (BOOTP). Ein DHCP-Client besitzt keine feste (statische) IP-Adresse. Beim Booten sucht er in seinem Netz nach dem DHCP-Server, der ihm für die Dauer der Einschaltzeit eine IP-Adresse aus einem Bereich (Pool) zuweist. Der DHCP-Server muss dann die Aufgabe eines DNS-Servers für die Adressen aus dem Pool übernehmen, da er als Einziger die Verteilung der IP-Adressen kennt. Auch Netzmaske, Default-Gateway, DNS-Server usw. liefert der DHCP-Server, was den Aufwand zur Konfiguration des Clients minimiert. Arbeitsplätze, die keine Dienste im Netz zu Verfügung stellen, können problemlos über DHCP konfiguriert werden. DHCP-Server sind oft in DSLRouter oder WLAN-Access-Points integriert, können aber auch auf irgendeiner Servermaschine im lokalen Netz laufen. Für ein lokales Netz darf immer nur ein DHCPServer zuständig sein, sonst gibt es Streit. Manche DHCP-Server lassen sich in vielfacher Hinsicht konfigurieren, beispielsweise dergestalt, dass sie einer MAC-Adresse (Ethernet-Karte) immer dieselbe IP-Adresse zuweisen, womit wir so etwas wie eine statische IP-Adresse hätten. Das Debian-Paket dnsmasq stellt einen leistungsfähigen DHCP-Server bereit, der gleichzeitig im lokalen Netz die Rolle eines DNS-Proxies (Caching Name Server) übernimmt und Antworten auf DNS-Anfragen zur Wiederverwendung in einem Cache speichert. Er kennt auch die Einträge aus der Datei /etc/hosts seiner eigenen Maschine. Im lokalen Netz ist er dann der einzige DHCP- und erste DNS-Server; ein etwa eingerichteter dhcpd-Dämon ist abzuschalten, ebenso DHCP-Server in Gateways oder Access Points. Es ist durchaus möglich, in einem lokalen Netz einige Knoten mit statischen Adressen zu versehen, andere mit dynamischen per DHCP. Dabei ist nur zu gewährleisten, dass keine Adresse doppelt vergeben wird, was am einfachsten durch eine Trennung der Adressbereiche zu bewerkstelligen ist (1 bis 99 statisch, 101 bis 199 dynamisch oder ähnlich).
258
4 Internet
Beim Einrichten eines Debian-Systems wird stillschweigend ein DHCP-Server gefragt, wogegen nichts einzuwenden ist. Will man den neuen Rechner später auf eine statische Adresse umstellen, ist die Datei /etc/network/interfaces zu editieren, siehe Abschnitt 9.1.1 Umstellen von DHCP auf statische Adressen auf Seite 385. Internet-Versorger vergeben großenteils IP-Adressen nur dynamisch und unterbrechen die Verbindung von Zeit zu Zeit (nach 24 h), womit der lokale DSL-Router eine neue äußere IP-Adresse bekommt. Von außen ist ein solches lokales Netz nicht dauerhaft unter einer bestimmten IP-Adresse zu erreichen. Abhilfe schaffen Nameserver-Dienste wie DynDNS (http://www.dyndns.com/), die über Clients vor Ort laufend über geänderte äußere IP-Adressen informiert werden. Geben Sie an verschiedenen Tagen folgendes Kommando ein: joe@debian:~$ host alexwg.dyndns.org Als Antwort sollten Sie unterschiedliche IP-Adressen erhalten. Der Rückweg, beispielsweise: joe@debian:~$ host 84.163.206.60 führt zu Servern der T-Com. Diese Information wird aber auch nicht benötigt, um obiges LAN zu erreichen (das im Übrigen keine öffentlichen Dienste anbietet). Wollen Sie Ihre aktuelle äußere IP-Adresse erfahren – und zugleich einen Geschwindigkeitstest Ihrer Verbindung durchführen lassen – dann gehen Sie auf die Website http://www.wieistmeineip.de/. Ihre IP-Adresse sollte aber auch Ihr DSLGateway rausrücken.
4.4 Dienste, Ports und Protokolle Nachdem geklärt ist, wie ein IP-Datenpaket von einem Rechner zu einem anderen kommt, stellt sich die Frage, wie ein Rechner weiß, was er mit den eintrudelnden Datenpaketen anfangen soll. Hierzu gibt es die Ports. Man kann sich Ports als Unteradressen vorstellen, die einen bestimmten Absender oder Empfänger auf einem Rechner bezeichnen – vergleichbar den Raumnummern in einem großen Gebäude, den Durchwahlnummern einer Telefonanlage oder der Angabe zu Händen von . . . bei einem Schreiben an eine Firma. Ein Programm, das Daten empfangen oder versenden will, muss sich vom Betriebssystem einen Port zuweisen lassen. Es kann einen bestimmten Port verlangen, der möglicherweise schon besetzt ist. Ports werden intern durch Nummern dargestellt. Auf dem System ist in /etc/services eine Tabelle vorhanden, die vielen Portnummern einen Dienst und ein Transportprotokoll zuweist, hier ein Ausschnitt: ftp-data ftp ssh ssh
20/tcp 21/tcp 22/tcp 22/udp
# SSH Remote Login Protocol
4.4 Dienste, Ports und Protokolle
telnet smtp finger www www
23/tcp 25/tcp 79/tcp 80/tcp 80/udp
259
mail http
# WorldWideWeb HTTP # HyperText Transfer Protocol
Zur Erklärung siehe man services. Per Konvention lässt sich ein WebserverProgramm den Port mit der Nummer 80 zuweisen (er trägt den Namen WWW) und beobachtet diesen Port. Ein Web-Browser kennt die Konvention. Wenn der Browser Daten von einem Webserver anfordert, sendet er dazu Datenpakete an den Port 80 auf dem Server. Dort angekommen, werden sie an das Webserver-Programm weitergeleitet, weil das Betriebssystem weiß, dass Port 80 dem Webserver gehört. Der Server entscheidet dann, was er mit dem Paket tut und schickt gegebenenfalls eine Antwort zurück. Dazu nutzt er den Umstand, dass jedes Paket die Absender-Adresse sowie den Absender-Port enthält. Aus dem Anfrage-Paket kann der Server ablesen, von welchem Rechner und von welchem Port auf diesem Rechner die Anfrage kam, und seine Antwort dorthin zurücksenden. Auf einem Rechner kann zu einem Zeitpunkt ein Port immer nur einem Programm gehören. Ist eine Zeile in /etc/services auskommentiert – löschen sollte man sie nicht – so weiß ein Client auf der betroffenen Maschine nicht, an welchen Port er sich wenden soll, und ein Server nicht, auf welchem Port er lauschen soll. Da die meisten Server ihre Konfiguration nur beim Start lesen, macht sich das Auskommentieren erst beim nächsten Start bemerkbar. Einfach auszuprobieren mit dem Paar telnet und telnetd, wobei zu beachten ist, dass der telnetd als Knecht des inetd läuft. Das Verlegen von Diensten auf andere Portnummern ist möglich, aber ein schlechter Einfall. Tab. 4.1: Portnummerbereiche, vergleiche /etc/services Nummern 0 – 1023 1024 – 49151 49152 – 65535 32768 – 61000
Bezeichnung Well known/reserved ports, fest vergeben, Root vorbehalten Registered ports, zum Teil nicht belegt Private/Dynamic ports, zur beliebigen Verwendung von Debian lokal vorübergehend vergebene Ports
Programme, die bestimmte Dienste zur Verfügung stellen, werden als ServerProgramme bezeichnet. Sie unterscheiden sich von anderen Programmen, die das Netz benutzen, dadurch, dass sie zwar einen Port öffnen, aber von sich aus keine Daten über diesen Port versenden. Vielmehr warten sie darauf, dass auf dem entsprechenden Port Datenpakete eintreffen, die sie beantworten. Es ist deshalb wichtig, dass solche Programme immer denselben Port benutzen und dass die Nummer des Ports den Programmen bekannt ist, die auf das Server-Programm zugreifen. ServerProgramme werden auch als Dämonen bezeichnet, weil sie im Hintergrund ständig einen Port beobachten. Clientprogramme, also Programme, welche die Dienste eine
260
4 Internet
Servers nutzen, benötigen hingegen keine feste Portnummer. Sie lassen sich einfach irgendeine freie Nummer vom Betriebssystem zuweisen und senden über den zugewiesenen Port Datenpakete an den Server. Da Absenderadresse und -Port in den IP-Paketen enthalten sind, braucht das Serverprogramm die Portnummer des Clients nicht von vornherein zu kennen, sondern entnimmt sie den eingehenden Anfragen. Nicht benötigte Dienste soll man stilllegen, indem man die zugehörige Zeile in der Datei /etc/services auskommentiert und die zugehörigen Symlinks in den Verzeichnissen /etc/rc*.d löscht. Bei manchen Diensten reicht es, eine entsprechende Option in einer Datei im Verzeichnis /etc/default zu setzen; das Vorgehen ist nicht einheitlich geregelt. Erfolgskontrolle mittels ps. Aus diesem Grund kann auf einem Port immer nur genau ein Server-Programm ausgeführt werden, beispielsweise nur ein Webserver, der den Port 80 verwendet. Ein zweiter Webserver auf derselben Maschine muss einen anderen Port verwenden, Port 8000 oder 8080 sieht man gelegentlich. Im Gegensatz dazu können beliebig viele Clientprogramme vom gleichen Typ benutzt werden, weil diese unterschiedliche Ports verwenden. So könnten auf einem Rechner gleichzeitig die Benutzerinnen eva und heike mit dem Browser opera arbeiten, wobei Evas Programm vielleicht den Port 4470 benutzt und Heikes opera mit Port 4786 arbeitet. Beide Browser sprechen jedoch den Port 80 auf Webservern an, wenn im URL nicht anders verlangt. Eine Übersicht über momentan bestehende TCP-Verbindungen eines Rechners liefert der Aufruf: joe@debian:~$ netstat --tcp mit der zusätzlichen Option --numeric ohne Umsetzung der Nummern in Namen. Ein Ergebnis sieht so aus: Aktive Internetverbindungen (ohne Server) Proto Local Address Foreign Address State tcp pcwulf.beiuns:45063 server1.be:font-service VERB tcp pcwulf.beiuns:48707 ftp.de.debian.org:ftp VERB beziehungsweise: Aktive Internetverbindungen (ohne Server) Proto Local Address Foreign Address tcp 192.168.1.41:45063 192.168.1.1:7100 tcp 192.168.1.41:48707 141.76.2.4:21
State VERB VERB
Wir sehen, dass der Rechner pcwulf eine Verbindung von seinem Port 45063 zu dem Port 7100 (X-Font-Service) des Rechners server1 im selben LAN unterhält, ferner eine Verbindung von seinem Port 48707 zum Port 21 (FTP) eines Debian-Servers im Internet. Wenn sich die Zielrechner (Foreign Address) nicht an die Portnummern in /etc/services hielten, wäre es unmöglich, einen bestimmten Dienst anzusprechen. Die Portnummern des Absenders dagegen sind weitgehend beliebig und wechseln mit jeder Verbindung. Portnummern unterhalb von 1024 sind so genannte sichere Nummern und gelten als bekannt und zuverlässig. Ein Client kann sich darauf verlassen, dass hinter
4.4 Dienste, Ports und Protokolle
261
einem Port mit einer derartigen Nummer ein von der Internet Assigned Numbers Authority (IANA, http://www.iana.org/) bzw. heute der Internet Corporation for Assigned Names and Numbers (ICANN, http://www.icann.org/) zugewiesener Dienst läuft. Was dagegen unter den höheren Portnummern läuft, ist fraglich. Das Vorhandensein einer Portnummer samt zugehörigem Service in der Datei /etc/services bedeutet noch nicht, dass der Dienst auch zur Verfügung steht. Wenn der Dämon nicht läuft, hilft auch die Portnummer nichts. Umgekehrt bedeutet das Fehlen einer Portnummer, dass der Rechner Datenpakete an diese Portnummer nicht einordnen kann und deshalb verwirft. Man darf und soll daher Portnummern für nicht eingerichtete Dienste auskommentieren. Wenn ein Debian-Rechner vorübergehend eine Nummer für einen lokalen Port benötigt, wählt er sie aus einem Bereich, den man mittels: joe@debian:~$ cat /proc/sys/net/ipv4/ip_local_port_range erfährt. Auf Englisch und auf FTP bezogen findet man eine gute Erklärung der Vergabe der Portnummern bei http://www.ncftpd.com/ncftpd/doc/. Mit dem Konzept der Ports eng verbunden sind die Protokolle. Ein Web-Browser, der einen Webserver anspricht, erwartet, dass dieser seine Anfragen auf eine bestimmte Weise beantwortet. Ein Email-Programm, das Mails von einem Server abholt, kommuniziert anders mit dem Mail-Server. Einige im Internet benutzte Protokolle sind das Hypertext-Transfer-Protocol (HTTP), das von Web-Browsern und -servern benutzt wird, das File Transfer Protocol (FTP), das zum Übertragen von Dateien benutzt wird, oder das Simple Mail Transport Protocol (SMTP), das beim Versand von Email eingesetzt wird. Ein Email-Programm, das Mail an einen anderen Rechner versendet, benutzt gewöhnlich den Port 25 und erwartet, dass auf der Gegenseite ein Server-Programm läuft, das an diesem Port lauscht und SMTP spricht. Es ist unerheblich, welches Programm als Server-Programm eingesetzt wird. Erforderlich ist lediglich, dass es den richtigen Port und das richtige Protokoll verwendet. Auch Protokolle haben Nummern, die in den Köpfen der Datenpakete erscheinen und nichts mit den Portnummern der Dienste gemein haben. Die Zuordnung von Protokoll und Nummer steht in der Datei /etc/protocols, hier ein Ausschnitt: ip icmp tcp egp udp ipv6 ax.25 pim l2tp
0 1 6 8 17 41 93 103 115
IP ICMP TCP EGP UDP IPv6 AX.25 PIM L2TP
# # # # # # # # #
internet protocol internet control message protocol transmission control protocol exterior gateway protocol user datagram protocol Internet Protocol, version 6 AX.25 frames Protocol Independent Multicast Layer Two Tunneling Protocol
Einzelheiten siehe man protocols. Die hier angesprochenen Protokolle basieren alle auf dem Internet-Protokoll (IP). IP stellt die Transportmöglichkeit für Daten zur Verfügung, die von höheren Protokollen wie HTTP oder FTP genutzt werden. Dabei gibt es unterschiedliche Proto-
262
4 Internet
kollfamilien, bei denen auf IP-basierend bestimmte Formen der Datenübertragung benutzt werden. Die wichtigsten dieser Protokollfamilien sind TCP (Transmission Control Protocol) und UDP (User Datagram Protocol). Viele Dienste des Internets bauen auf TCP auf. Dieses Protokoll verwendet IP, um eine zuverlässige Verbindung zwischen zwei Rechnern aufzubauen. Man spricht deswegen bei dem InternetProtokoll oft auch von TCP/IP. Ein Dienst, der in der Regel UDP benutzt, ist das Network File System (NFS). Wichtig ist noch zu wissen, dass TCP und UDP zwar beide das Port-Konzept verwenden, TCP-Ports und UDP-Ports jedoch voneinander unabhängig sind. Beispielsweise kann der TCP-Port 514 gleichzeitig von einem anderen Programm benutzt werden als der UDP-Port mit derselben Nummer. In der Datei /etc/services sind daher vielen Portnummern sowohl ein TCP- wie ein UDP-Dienst zugeordnet, die identisch sein können.
4.5 Zugang 4.5.1 Zugangswege Ein Dorf, dessen Wegenetz nicht über eine Straße, eine Fährverbindung oder eine Fluglinie mit der Außenwelt verbunden ist, lebt ziemlich isoliert und ist zumindest in Europa kaum vorstellbar. Genau so verhält es sich mit dem Internet. Ein Rechner oder ein lokales Netz ohne einen Zugang zum Internet ist isoliert und kann keine Daten mit der Außenwelt austauschen. Ihr Rechner oder Ihr lokales Netz braucht einen oder wenige Zugänge zum Internet. Es gibt mehrere Möglichkeiten: •
•
•
ein Telefonanschluss, analog oder digital (ISDN); Mobiltelefon geht auch, aber wegen der Kosten nicht als Dauerlösung, ebenso wenig eine Telefonverbindung über Satellit (Inmarsat, Iridium u. a.), eine Digitale Teilnehmer-Anschlussleitung (Digital Subscriber Line, DSL), die physikalisch meist eine vorhandene Leitung wie das Telefonnetz (KupferDoppeladerleitung) oder das Fernsehkabel (Koaxkabel) benutzt3 , in seltenen Fällen auch das Starkstromnetz, eine ausschließlich dem Datenverkehr dienende Standleitung, nur für Großkunden.
Die Kabel können streckenweise durch Funkverbindungen oder Lichtverbindungen (Laserstrecken) ersetzt werden. Im Ankoppelpunkt wechselt meist die Technik, sodass dort Umwandler (Modems, Konverter, Gateways) erforderlich sind. Wer nicht über ein eigenes Kabelnetz verfügt, mietet Leitungen von einem Versorger. Oft sind Kabelbesitzer (Hardware) und Netzbetreiber (Software und ein bisschen Hardware) verschiedene Firmen. Wir unterscheiden zwischen: •
dem Kabelbesitzer, 3
Die Tendenz geht dahin, für die drei Kommunikationsdienste Telefon, Rundfunk/Fernsehen und Internet nur noch ein Kabel zu verwenden. Das ist technisch sinnvoll, aber die Grenze zwischen drinnen und draußen ist schwieriger zu ziehen.
4.5 Zugang
• •
263
dem Kommunikationsdienstbetreiber (Telefon, DSL), dem Internet-Versorger (Internet Provider).
Alle drei stellen dem Benutzer direkt oder indirekt Rechnungen und können ganz oder teilweise zusammengefasst sein. Als Vierter im Bund tritt gelegentlich ein Anbieter von Inhalten (Content Provider) hinzu. Für den Endverbraucher ist entscheidend, dass irgendein geeignetes Kabel in sein Gebäude führt und ein InternetVersorger über dieses Kabel seine Dienste liefert. 4.5.2 Wählverbindung Die Vernetzung der Rechner über längere Strecken begann im Telefonnetz, weil das bereits vorhanden war. Kennzeichnend für Telefonverbindungen ist, dass der Partner durch Eingabe einer Nummer angewählt wird. Man spricht daher von Wählverbindungen. Ob die Verbindung analog oder digital, leitungs- oder paketvermittelt abläuft, ist nebensächlich. Die Technik kann unterwegs sogar wechseln, ohne dass der Benutzer es merkt. Für die Verbindung eines Rechners mit einem analogen Telefonanschluss brauchen Sie ein Telefonmodem, das die digitalen Signale des Rechners in elektrische analoge Signale umwandelt. In historischen Zeiten legte man den Handapparat des Telefons in einen Akustikkoppler, der an den seriellen Port des Rechners angeschlossen war. Dann flötete der Koppler dem Telefon etwas vor. Ein ISDN-Anschluss arbeitet zwar digital, aber nach anderen Protokollen als ein Rechner, sodass auch hier ein Interface, eine ISDN-Karte erforderlich ist. Modem oder ISDN-Karte werden wie ein Telefonapparat angeschlossen. Der Vorteil von ISDN gegenüber der analogen Technik liegt in der höheren Geschwindigkeit und darin, dass Sie gleichzeitig zwei Verbindungen betreiben können, also telefonieren, während Ihr Rechner Daten aus dem Netz saugt. Der Aufbau von Einwahlverbindungen ins Internet über einen Internet-Versorger funktioniert prinzipiell genau so wie die Einrichtung einer Netzverbindung mit einer Ethernetkarte. Auch hier müssen bestimmte Treiber im Kern vorhanden sein, ein Netzinterface (Telefonmodem, ISDN-Karte) eingerichtet werden und Routen sowie die Namensauflösung konfiguriert werden. Praktisch sieht das allerdings anders aus. Der wesentliche Grund dafür ist, dass es bei einer Einwahlverbindung nicht ausreicht, einem Netzinterface eine IP-Adresse zuzuweisen. Vielmehr muss zunächst eine Telefonnummer gewählt werden, es muss darauf gewartet werden, dass die Gegenstelle abhebt, und schließlich ist es in den meisten Fällen erforderlich, dem Internetversorger einen Benutzernamen und ein Passwort zu schicken, bevor dieser den Verbindungswunsch annimmt. Einwahlverbindungen werden heute meist über das Point-To-Point-Protokoll (PPP nach RFC 1661) betrieben. Die Steuerung von Verbindungen über dieses Protokoll wird unter Linux/UNIX von dem PPP-Dämon (pppd) übernommen. Das Programm kann die Anmeldung (Authentifizierung) an der Gegenstelle vornehmen und mit dieser alle Details des Verbindungsaufbaus sowie der Durchführung aushandeln. Das Programm pppd stellt auch das Netzinterface für eine Verbindung zur Verfügung und konfiguriert dieses automatisch, weswegen es nach dem Verbindungsaufbau nicht mehr manuell mit ifconfig eingerichtet werden muss. Außerdem kann
264
4 Internet
pppd die Standard-Route selbstständig einrichten, sodass auch der Aufruf des Kommandos route bei PPP-gesteuerten Verbindungen nicht notwendig ist. Trotzdem lassen sich beide Kommandos auch mit Einwahlverbindungen verwenden. Bezüglich der Namensauflösung gibt es zwischen PPP-Verbindungen und Ethernet keinen Unterschied. In beiden Fällen wird anhand der Einträge in den Dateien /etc/nsswitch.conf und /etc/resolv.conf entschieden, wie Namen aufzulösen sind und welcher Nameserver zu befragen ist. Ein Problem ergibt sich, wenn abwechselnd verschiedene Internet-Versorger benutzt werden. In der Regel ist es am besten, immer den DNS-Server zu verwenden, den der aktuell benutzte Versorger anbietet, weil zu diesem Server die schnellste Verbindung aufgebaut wird. Aus diesem Grund besteht die Möglichkeit, die mit einem Versorger zu verwendenden DNS-Server während der Konfiguration anzugeben oder sich ihre Adressen während des Verbindungsaufbaus vom Versorger automatisch mitteilen zu lassen. Wenn Sie eine solche Konfiguration wählen, wird die Datei /etc/resolv.conf während des Verbindungsaufbaus gegen eine andere ausgetauscht, welche die entsprechenden Einstellungen für den Versorger enthält, mit dem Sie sich gerade verbunden haben. Nach Beendigung der Verbindung wird die alte Version der Datei wieder an ihren Platz gebracht. Die Konsequenz aus dieser Vorgehensweise ist, dass Eintragungen, die Sie in der Datei vorgenommen haben, nicht wirksam sind, solange die Verbindung zu einem Versorger aktiv ist. Im Gegensatz zu festen Verbindungen, die beim Systemstart eingerichtet werden, werden Einwahlverbindungen gewöhnlich manuell gestartet und beendet. Schließlich sollen Kosten gespart werden und Telefonleitungen nicht dauernd besetzt sein. Ein alternatives Verfahren hierzu ist Dial-On-Demand (Wählen auf Verlangen). Hierbei werden das Netzinterface und die Route eingerichtet, bevor die Einwahlverbindung aufgebaut ist. Für Anwendungen sieht es dann so aus, als wären sie bereits mit dem Netz (Internet) verbunden, obwohl dies gar nicht der Fall ist. Sobald eine Anwendung wie ein Web-Browser Daten über das Interface schickt, wird die Verbindung aufgebaut. Eine manueller Verbindungsaufbau ist nicht mehr notwendig. Sinnvoll ist es, zusammen mit diesem Verfahren einen Timeout-Wert zu konfigurieren, nach dessen Erreichen die Verbindung automatisch abgebaut wird, wenn sie nicht mehr benutzt wird. Wenn Sie Dial-On-Demand verwenden, sollten Sie das Verhalten Ihres Rechners eine Zeit lang genau beobachten. Oft kommt es vor, dass Programme Datenpakete in das Netz schicken, um beispielsweise eine DNS-Anfrage auszuführen, obwohl dies vom Benutzer nicht gewünscht ist, und dadurch einen Verbindungsaufbau auslösen. Eine schlechte Dial-On-Demand-Konfiguration hat schon bei manchem Benutzer zu Kopfschmerzen nach Erhalt der Telefonrechnung geführt. Es gibt auch Schadprogramme, die unaufgefordert teure Verbindungen herstellen (Dialer der bösen Sorte, siehe Wikipedia). Die Art, wie eine Einwahlverbindung konfiguriert wird, hängt davon ab, ob Sie einen herkömmlichen analogen Telefonanschluss mit einem Modem verwenden oder einen ISDN-Anschluss und eine ISDN-Karte. Beide Verfahren sind zwar miteinander verwandt, erfordern aber unterschiedliche Treiber, Software. und Konfigurationen. Der Standardkern enthält bereits alles, was Sie zur Benutzung von Verbindungen
4.5 Zugang
265
mit einem Modem benötigen, außerdem ist auch die Unterstützung für viele ISDNKarten vorbereitet. 4.5.3 Digital Subscriber Line (DSL, ADSL) Die Digitale Teilnehmer-Anschlussleitung – bekannter unter der englischen Bezeichnung Digital Subscriber Line (DSL) – benutzt irgendein geeignetes Kabel, oft die Telefonleitung, und stellt eine schnelle Breitband-Verbindung zum Versorger her, ohne einen Wählvorgang4 . Abgerechnet wird nach Verbindungszeit, übertragener Datenmenge oder pauschal (Flat Rate). Abrechnung nach Verbindungszeit ist in den meisten Fällen ungünstig. Ab einem gewissen Datenaufkommen sind Flat Rates die beste Wahl, zumal sich damit das Beobachten des Budgets erübrigt. Die Bandbreite eines Kabels ist begrenzt. Man kann sie zu gleichen Teilen auf beide Richtungen (Upload, Download) aufteilen und kommt so zur symmetrischen DSL. Die meisten Benutzer saugen jedoch mehr Daten aus dem Netz (Herunterladen, Download) als sie in das Netz pumpen (Hochladen, Upload). Dem kommt eine asymmetrische Aufteilung der Bandbreite mit einer Bevorzugung des Herunterladens entgegen (ADSL). Kleine lokale Netze sind daher meist über einen ADSL-Anschluss mit 1024 kbit/s im Download und 128 kbit/s im Upload angeschlossen oder schneller bei gleichem Verhältnis von Down zu Up. Für Server, die große Datenmengen ins Internet pumpen, ist ADSL ungeeignet. Eine Alternative zu einem lokal betriebenen öffentlichen Webserver ist die Anmietung von Webspace bei einem Versorger. Man erspart sich damit auch einige Sicherheitsrisiken. Wenn nicht eine besondere DSL-Leitung (selten) verwendet wird, ist das erste Gerät vor Ort ein Kästchen, das die auf der Leitung gemeinsam transportierten Dienste (Sprache, Daten, Fernsehen) trennt (Splitter, Breitband-Anschluss-Einheit, BBAE). Im DSL-Zweig folgt ein DSL-Modem (kein Telefonmodem), das die DSLSignale auf Ethernet umsetzt. An die Ethernetbuchse des DSL-Modems könnte man einen Rechner anschließen. Oft will man jedoch ein lokales Netz anbinden, wozu sich am besten ein kleines Gateway (DSL-Router) eignet, das zugleich einige Firewall-Funktionen, einen Switch, einen DHCP-Server, einen Printserver und manchmal einen Access Point (Sender/Empfänger) für ein WLAN mitbringt. Das könnte man zwar auch alles in dem vorgenannten Rechner einrichten, aber ein getrenntes Gateway ist einfacher, übersichtlicher und kostet nicht die Welt. Es gibt auch Gateways mit integriertem DSL-Modem. Die Kombination hat den Vorteil. dass man ein Kästchen weniger herumliegen und mit Strom zu versorgen hat, und den Nachteil, dass sich das Gateway nicht getrennt vom Modem austauschen lässt. Die Gateways verschiedener Hersteller unterscheiden sich in ihren Zusatzfunktionen wie der Firewall oder Telefonfunktionen. Falls Sie wegen der höheren Flexibilität einen Rechner als Gateway vorziehen, sollte dieser nicht mit weiteren Aufgaben überhäuft werden. Das Gateway ist die Haustür Ihres lokalen Netzes zum Internet und damit ein sicherheitskritisches Netzelement. 4
weshalb schädliche Dialer keine Chance haben, sofern nicht ein Nebeneingang über eine Telefonverbindung eingerichtet ist.
266
4 Internet
Im lokalen Netz stellt das Gateway einen Knoten mit eigener Adresse und eigenem Namen dar. Moderne Gateways enthalten einen minimalen Webserver, der sich von einem Web-Browser im LAN ansprechen lässt, um das Gateway zu konfigurieren. Im LAN ist das DSL-Gateway das Default-Gateway, über das alle Pakete verschickt werden, die nicht lokal zugestellt werden. Verfügt das Gateway über mehrere – meist vier – Ethernet-Anschlüsse in das lokale Netz, lassen sich bis zu vier Geräte direkt anschließen. Hat man lokal mehr als vier Knoten, schließt man einen Switch mit 5, 8, 16, 24 oder mehr Anschlüssen an und kann die drei restlichen Buchsen beliebig verwenden, für Server oder weitere Switches. Ein Printserver ermöglicht den Anschluss eines Druckers mit paralleler Schnittstelle an das Netz, ohne über einen Rechner zu gehen. Es gibt aber auch Drucker mit eingebauter Ethernet-Schnittstelle, die irgendwo im lokalen Netz aufgestellt werden können. Es ist durchaus möglich, ein lokales Netz mit mehreren DSL-Gateways an die Außenwelt anzubinden, um den Durchsatz oder die Ausfallsicherheit zu erhöhen. Das erfordert jedoch besondere Überlegungen und Maßnahmen, um die Datenpakete sicher ans Ziel zu bringen. Der einfachste und häufigste Fall ist genau ein Gateway. An Protokollen beherrschen DSL-Gateways TCP/IP, RIP, DHCP, NAT, PPTP, PPPoE, IPSec und L2TP. Das DSL-Gateway verbirgt die Struktur und die Adressen des lokalen Netzes mittels Network Address Translation (NAT), wie in Abschnitt 16.6 Network Address Translation auf Seite 764 beschrieben. Von außen ist nur das Gateway zu sehen. Wenn Sie von einem lokalen Rechner aus eine Anfrage an einen externen Webserver richten, schickt dieser die Antwort an die vom Versorger dynamisch zugewiesene äußere IP-Adresse des Gateways. Auch Portweiterleitung (Port Forwarding) erlauben die meisten DSL-Gateways. Das bedeutet, dass Verbindungen über bestimmte Ports zu einem bestimmten lokalen Rechner von außen gestartet werden können, was normalerweise die Firewall-Funktion des Gateways unterbindet. Beispielsweise kann man den SSH-Port (Nr. 22) für von außen gestartete Verbindungen zu einem bestimmten lokalen Rechner freigeben, auf dem ein SSHDämon auf Port 22 lauscht. Damit könnte man sich von unterwegs mit einem Laptop auf seinem lokalen fest auf dem Schreibtisch verankerten Rechner einloggen. Erfahrungsgemäß klopfen viele dumme Jungs auf diesem Port an, die der SSH-Dämon abwimmeln muss. Es empfiehlt sich daher, den Zugriff von außen auf bestimmte IP-Adressen zu begrenzen. Überhaupt sollte man möglichst wenige möglichst enge Löcher in die Firewall stemmen. Das DSL-Gateway erhält seine äußere IP-Adresse per DHCP vom Versorger. Intern verwenden Sie entweder feste (statische) IP-Adressen oder eigenes DHCP. Auch eine Mischung ist machbar. Zur Konfiguration des DSL-Gateways brauchen Sie die Anmeldedaten (Name, Passwort etc.) beim Versorger. Ferner ist auf den lokalen Rechnern das DSL-Gateway als Default-Gateway (Standard-Route) und eventuell als Nameserver einzutragen. Testen der Verbindungen mit ping. Will man einen der lokalen Rechner mittels Port Forwarding von außen erreichen, erhebt sich das Problem, dass der einzige von außen sichtbare Knoten des internen Netzes, das DSL-Gateway, vom Versorger per DHCP eine dynamische IPAdresse zugewiesen bekommt, die mit jedem Verbindungsaufbau wechselt. Außerdem unterbrechen die meisten Versorger mindestens einmal in 24 Stunden die Ver-
4.6 Netzdienste im Überblick
267
bindung. Selbst wenn das DSL-Gateway die Verbindung sofort wieder aufbaut, hat es danach eine andere IP-Adresse. Das Problem lösen dynamische DNS-Dienste wie http://www.dyndns.org/, in privatem Umfang kostenfrei. Ein solcher Dienst betreibt einen gewöhnlichen DNS-Server, dessen Einträge von in den lokalen Netzen laufenden Clients immer dann aktualisiert werden, wenn sich eine dynamische IPAdresse geändert hat. Der Name – beispielsweise alexwg.dyndns.org – bleibt konstant, die zugehörige IP-Adresse wird nachgeführt. So ist ein Port eines lokalen Rechners über einen unveränderlichen Namen trotz dynamisch vergebener IPAdresse erreichbar.
4.6 Netzdienste im Überblick Das Internet stellt Dienstleistungen zur Verfügung. Einige nimmt der Benutzer ausdrücklich und unmittelbar in Anspruch, andere wirken als Heinzelmännchen im Hintergrund. Die wichtigsten sind: • • •
• • • • • • • • • •
Terminal-Emulationen (das eigene System wird zum Terminal eines fernen Systems, der Benutzer führt einen Dialog): telnet, slogin, Remote Execution (zum Ausführen von Programmen auf einem fernen Host, ohne Dialog): ssh, Dateiübertragung (zum Kopieren von Dateien zwischen dem eigenen und einem fernen System, Dialog eingeschränkt auf die zum Transfer notwendigen Kommandos): FTP, Electronic Mail (zum Senden und Empfangen von Mails zwischen Systemen), Netzgeschwätz (Echtzeit-Dialog mehrerer Benutzer): IRC, Instant Messaging, Nachrichtendienste (Neuigkeiten für alle): Netnews, das World Wide Web (WWW), Voice over IP (Telefonieren über das Internet), Informationshilfen (Wo finde ich was?): Suchmaschinen, Netz-Dateisysteme: NFS, Samba, Nameserver (Übersetzung von Netz-Adressen): DNS, Zeitserver (einheitliche, genaue Zeit im Netz): NTP, Druckerserver (Remote Printing, Drucken auf einem fernen Host): CUPS,
Die Netzdienste arbeiten nach dem Client-Server-Modell: Ein Client bittet nach den Regeln eines Protokolls einen Server um einen Dienst. Der Server leistet den Dienst, indem er eine Antwort über das Netz an den Client schickt. Die Verbindungen oder Protokolle sind zustandslos (stateless) oder zustandsbehaftet (stateful). Bei einer zustandslosen Verbindung beginnt jede Anfrage wieder bei Null, es gibt keine Erinnerung an vorangegangene Anfragen. Ein Beispiel dafür ist das Hypertext Transfer Protocol im Web. Die Verbindung von einem Web-Browser zu einem Webserver ist mit dem Absenden der Webseite beendet5 . Umgekehrt wird bei einer FTP-Verbindung 5
Deshalb ist es im Prinzip unmöglich zuverlässig festzustellen, wie viele Benutzer sich zu einem Zeitpunkt eine Webseite anschauen.
268
4 Internet
zuerst der Anfragende identifiziert, dann werden Daten übermittelt, und schließlich wird die Verbindung beendet. Hier weiß der FTP-Server während der ganzen Zeit, mit wem er redet. Schwierigkeiten ergeben sich, wenn mit einem zustandslosen Protokoll (HTTP) Aufgaben erledigt werden sollen, die für eine gewisse Zeit eine durchgehende Verbindung erfordern (Bestellen von Waren). Das Faszinierende am Netz ist, dass geografische Entfernungen fast keine Rolle spielen. Die Bekannte in Honolulu ist manchmal besser zu erreichen als der Kollege eine Treppe höher. Die Kosten sind – verglichen mit denen der klassischen Kommunikationsmittel – geringer, und einen Rechner braucht man ohnehin. Eine allzu eingehende Beschäftigung mit dem Netz kann allerdings auch – wie übermäßiger Alkoholgenuss – die eigene Leistung gegen Null gehen lassen. Näheres in der deutschen Wikipedia unter dem Lemma Internetabhängigkeit. Aber Vorsicht: die Wikipedia selbst macht süchtig. Wenn Ihnen virtuelles Bier besser schmeckt als reales, wird es ernst. Mit den Netzdiensten von Email bis zum World Wide Web haben die Kommunikationsmöglichkeiten neue Dimensionen erreicht. Während früher – im Zeitalter von Briefpost und Telefon, von Rundfunk und Fernsehen – die Kommunikation zwischen Einzelpersonen entweder langsam oder teuer war und das Ansprechen der Öffentlichkeit erstens eine Einbahnstraße und zweitens mit erheblichem technischen Aufwand verbunden war, kann heute jeder Internet-Teilnehmer jeden anderen erreichen, sei es gezielt einen einzelnen Empfänger oder das ganze Netz. Der kleinste Verein kann sich im Internet darstellen, Sendeleistung oder Auflagenhöhe spielen keine Rolle mehr. Umgekehrt kann sich jeder Teilnehmer Informationen aus dem ganzen Internet zusammensuchen. Ob ich die Bibel auf Schwedisch brauche, Ratschläge der US Coast Guard für Sportbootfahrer suche oder Wetterinformationen aus Neuseeland, ob ich mich über aktuelle Themen wie H5N1 schlau machen möchte, der Rechner mit Internetanschluss liefert das Gewünschte zu jeder Tages- und Nachtzeit. Dass auch viel Spreu unter dem Weizen ist, lässt sich nicht vermeiden. Eine Person ist im Internet präsent – sie besitzt eine Internet-Präsenz – wenn sie dort wenigstens per Email zu erreichen ist. Kommt noch eine persönliche Webseite hinzu, kann sich die Netzgemeinde ein deutlicheres Bild von der Person machen. Präsenzen werden von Versorgern (Firmen, Vereine, Rechenzentren) angeboten. Die Kosten einer für Privatpersonen ausreichenden Präsenz sind inzwischen niedriger als Telefongebühren. Im Netz hat sich eine eigene Subkultur entwickelt, am besten dargestellt im The New Hacker’s Dictionary von E RIC S. R AYMOND oder im berühmten Jargon-File, siehe die deutsche Wikipedia unter dem Begriff Jargon File. Die Benutzer des Netzes sehen sich nicht bloß als Teilnehmer an einer technischen Errungenschaft, sondern als Bürger oder Bewohner des Netzes (netizen, cybernaut). Mit der Zunahme der Internet-Präsenzen verliert das Selbstverständnis der Netizens an Bedeutung. Die Netzdienste sehen wir uns genauer im Abschnitt 16 Netzdienste ab Seite 725 an, weil für den reibungslosen Betrieb viele Einzelheiten zu konfigurieren sind. Clients als die für den Benutzer wichtigen Anwendungen werden auch in unserem zweiten Debian-Buch behandelt.
4.7 Informationssicherheit, Verschlüsselung
269
4.7 Informationssicherheit, Verschlüsselung Das Internet wimmelt von bösen Buben und Mädchen. Selbst in seinem lokalen Netz ist man nicht sicher vor unerwünschten Tätigkeiten böswilliger oder auch nur neugieriger Mitbenutzer. Erfahrungsgemäß stammt ein bedeutender Teil der Angriffe von innen. Das wirft drei Fragen auf: • •
•
Wie kann ich verhindern, dass ein Unbefugter meine Daten auswertet (Vetraulichkeit der Daten)? Wie kann ich mich vergewissern, dass Daten wirklich aus der Quelle stammen, aus der sie zu stammen vorgeben (Authentizität der Daten, Echtheit, Verbindlichkeit)? Bei als echt erwiesenen Daten kann auch der Absender nicht bestreiten, sie verschickt zu haben. Wie kann ich sicherstellen, dass über das Netz erlangte Daten unbeschädigt und unverfälscht sind (Integrität der Daten)?
Die Tatsache, dass Daten ausgetauscht worden sind, wird von den obigen Fragen nicht berührt und kann für sich allein schon interessant sein. Die Antworten auf die drei Fragen liefert die Kryptologie, die in den jüngsten Jahrzehnten zu einer stark mathematisch ausgerichteten Wissenschaft geworden ist. Beim Verschlüsseln wird ein Klartext (E: plain text, F: texte en clair) mit Hilfe eines Schlüssels (E: key, F: clé) nach einem Algorithmus so verändert, dass sich der resultierende Geheimtext (E: cipher text, F: cryptogramme) nur bei Kenntnis des Algorithmus und des Schlüssels in Klartext zurückverwandeln lässt. Beim Klartext braucht es sich weder um Text zu handeln noch muss er sich durch Klarheit auszeichnen. Einem bewährten Prinzip der Kryptologie gemäß ist nur der Schlüssel geheim zu halten, nicht der Algorithmus. Die Algorithmen können auf Wort-, Block-, Zeichen-, Byte- oder Bitebene arbeiten. Sender und Empfänger müssen sich über den Schlüssel verständigen. Das ist kein Problem, wenn sie in einer Person vereinigt sind wie beim Ver- und Entschlüsseln des eigenen Dateisystems. Geht es aber darum, innerhalb eines größeren, weltweit verteilten Personenkreises Nachrichten zu verschlüsseln und die Schlüssel aus Sicherheitsgründen häufig zu wechseln, erfordert die Schlüsselverteilung, die über einen sicheren Kanal erfolgen muss, einen erheblichen Aufwand. Diese Art der Verschlüsselung, bei der zum Ver- und Entschlüsseln derselbe Schlüssel oder ein einfach voneinander ableitbares Paar von Schlüsseln verwendet wird, heißt symmetrisch (E: secret key cipher, F: chiffrement symétrique, chiffrement à clé secrète) und ist seit Jahrtausenden bekannt. Der Schlüssel wird auch als gemeinsames Geheimnis (shared secret/key) bezeichnet. Das Werkzeug crypt verwendet den nicht mehr als sicher geltenden, symmetrisch arbeitenden Data Encryption Standard (DES). In kritischen Anwendungen ist er durch den Advanced Encryption Standard (AES) abgelöst worden, auch als Rijndael-Algorithmus bezeichnet. Das Debian-Paket aespipe enthält ein entsprechendes Werkzeug. Der Aufruf: joe@debian:~$ aespipe < klartext > geheimtext
270
4 Internet
erzeugt nach Eingabe eines Schlüssels von mindestens 20 Zeichen Länge eine verschlüsselte Datei, die mit aespipe -d entschlüsselt wird. Ein anschließender Vergleich des alten Klartextes mit dem entschlüsselten Geheimtext ergibt Übereinstimmung bis auf ein EOF-Zeichen am Ende. Im Jahr 1976 veröffentlichten BAILEY W HITFIELD D IFFIE und M ARTIN E D WARD H ELLMAN ein Verfahren zur Schlüsselverteilung, das auf Sender- und Empfängerseite zwei verschiedene Schlüssel verwendet und daher asymmetrisch (E: public key cipher, F: cryptographie asymétrique) genannt wird. Mittlerweile sind weitere asymmetrische Verfahren entwickelt worden. Sie beruhen darauf, dass sich bestimmte Algorithmen praktisch nicht umkehren lassen. Beispielsweise lassen sich leicht große Zahlen multiplizieren, aber nur schwer in ihre Primfaktoren zerlegen (faktorisieren). Mathematisch bewiesen ist die Unumkehrbarkeit der Algorithmen nicht. Einer der Beteiligten – nennen wir ihn A – erzeugt ein Schlüsselpaar. Einen Schlüssel behält er für sich, den privaten Schlüssel. Den zweiten Schlüssel veröffentlicht er, daher öffentlicher Schlüssel genannt. Nun kann ein beliebiger Benutzer B einen Klartext mit dem öffentlichen Schlüssel verschlüsseln und an A schicken. Einzig A kann den Geheimtext mittels des privaten Schlüssels entschlüsseln. Etwaige Mitleser des Geheimtextes sehen Zeichensalat und wissen nicht mehr, als dass B an A eine verschlüsselte Nachricht geschickt hat. Damit ist die Vertraulichkeit der Daten gesichert. Da die asymmetrischen Algorithmen langsamer arbeiten als die symmetrischen, wendet man meist ein hybrides Vorgehen an. Mittels asymmetrischer Verschlüsselung wird der Schlüssel für eine symmetrische Verschlüsselung ausgetauscht. Das eigentliche Dokument wird symmetrisch verschlüsselt. Nun erzeugt sich B ebenfalls ein Schlüsselpaar und verschlüsselt seine Mitteilung mit seinem privaten Schlüssel. Jedermann – darunter A – kann dann die Mitteilung mittels des öffentlichen Schlüssels von B entschlüsseln, aber sie kann nur von B stammen. Damit ist die Authentizität der Daten gesichert, nicht die Vertraulichkeit. Um beide Ziele zu erreichen, verschlüsselt B seinen Klartext zweimal: zuerst mit dem öffentlichen Schlüssel von A und dann mit seinem eigenen privaten Schlüssel. Bei A läuft die Prozedur rückwärts: zuerst entschlüsselt A den Geheimtext mit dem öffentlichen Schlüssel von B und dann mit seinem privaten Schlüssel. Um die Datenintegrität nachzuweisen, erzeugt der Absender aus dem Klartext eine Prüfzahl (Prüfsumme, E: checksum, F: somme de contrôle), beispielsweise mit der Einweg-Hash-Funktion MD5 (Message Digest Algorithm 5 nach RFC 1321). MD5 gewinnt aus einer Nachricht beliebiger Länge eine Prüfzahl von 128 Bit Länge. Es ist äußerst unwahrscheinlich, dass zwei verschiedene Texte dieselbe Prüfzahl liefern (kollidieren). Die Prüfzahl verschlüsselt der Absender B mit seinem privaten Schlüssel und schickt sie an A. Der entschlüsselt sie mit dem öffentlichen Schlüssel von B und vergleicht sie mit der Prüfzahl, die er selbst nach demselben Verfahren aus dem empfangenen Text nach Entschlüsselung gewonnen hat. Beide Prüfzahlen sollten übereinstimmen, andernfalls ist der Text unterwegs manipuliert worden. Die MD5-Summe der pdf-Datei des vorliegenden Buches (Zwischenstadium) ergab den Wert:
4.7 Informationssicherheit, Verschlüsselung
e7718fa040ff06c0c9e8969aacd9dcc9
271
buch.pdf
Nach Ersetzen eines Kommas durch ein Semikolon betrug die Summe: 4ca6a0c75dff9827797e895763cc59fe
buch.pdf
Hier steckt zwar noch der Einfluss von pdflatex mit drin, aber auch Versuche mit reinen Textdateien zeigen dasselbe Ergebnis: schon kleinste Änderungen führen zu gänzlich verschiedenen Prüfsummen. Einen Weg zurück von der Prüfsumme zur geprüften Datei gibt es nicht, andernfalls hätten wir ein fantastisches Verfahren zum Komprimieren von Dateien. Ebenso wenig kann man an Hand der Prüfzahlen ermitteln, wo der Unterschied liegt. Die GNU Core Utilities enthalten die Werkzeuge cksum, md5sum sowie sha1sum zum Berechnen von Prüfsummen auch nach anderen Algorithmen als MD5. Debian sichert seine Pakete mit MD5. Der Aufruf: joe@debian:~$ debsums -s | less überprüft die lokal eingerichteten Pakete und gibt auf Grund der Option nur Abweichungen aus. Das Werkzeug benötigt einige Minuten. Es berechnet auch die Prüfsummen vom Benutzer geschnürter Pakete. Die damit gewonnene Sicherheit ist nicht hoch, da ein Eindringling zusammen mit einem Paket auch dessen Prüfsumme geändert haben kann oder sogar debsums selbst. Man sollte die Prüfsummen samt debsums von einem zuverlässigen Medium wie CD/DVD lesen. Nun kommt der Schurke C ins Spiel. Er veröffentlicht unter dem Namen von B einen falschen öffentlichen Schlüssel und schickt unter dem Absender B eine beleidigende Mail an A. Daraufhin bekommt der nichtsahnende B Krach mit A und hat es schwer nachzuweisen, dass er nicht der Absender der Digitalinjurie ist. Wir brauchen ein Mittel, das die Echtheit der öffentlichen Schlüssel bezeugt. Das sind die digitalen Zertifikate. Es geht leider nicht einfacher. Eine vertrauenswürdige Stelle (certification authority, CA) überzeugt sich von der Zusammengehörigkeit eines Schlüssels (es geht nur um die öffentlichen) und einer Person oder Körperschaft oder auch eines Servers. Dann stellt sie ein digitales Zertifikat aus, das den Schlüssel, Angaben zum Inhaber, eine Gültigkeitsdauer und Angaben zur Stelle selbst enthält. Das digitale Zertifikat verschlüsselt sie mit ihrem privaten Schlüssel, wodurch die Echtheit des Zertifikats gesichert wird (solange der öffentliche Schlüssel der Stelle vertrauenswürdig ist). Jeder, der Zweifel an einem zertifizierten öffentlichen Schlüssel hat, kann sich das zugehörige Zertifikat ansehen. Ein solches Zertifikat ist einem Personalausweis vergleichbar, in dem das Bürgermeisteramt die Zusammengehörigkeit von Passbild, Daten und Unterschrift bestätigt. Wer ist nun eine vertrauenswürdige Stelle? Es gibt zwei Konzepte. Man kann eine Hierarchie von Zertifizierungsstellen (Trust Center, Zertifizierungsdiensteanbieter, ZDA) aufbauen, an deren oberster Stelle (Wurzel, root) eine über alle Zweifel erhabene Behörde wie die deutsche Bundesnetzagentur (http://www. bundesnetzagentur.de/, Menüpunkt Sachgebiete -> Telekommunikation, mit einem FAQ zur Elektronischen Signatur) steht. Die Zertifizierung entsprechend Pretty Good Privacy (PGP, http://www.pgp.de/ oder GNU Privacy Guard
272
4 Internet
(GnuPG, http://www.gnupg.org/) geht einen anderen Weg. Hier darf jeder Teilnehmer einen Schlüssel, dem er auf Grund verschiedener Kenntnisse vertraut, zertifizieren. So entsteht ein Web of Trust. Ein öffentlicher Schlüssel, an dem viele Zertifikate überwiegend vertrauenswürdiger Mitmenschen kleben, ist mit großer Wahrscheinlichkeit echt. Ein Benutzer kann – um einen Anfang zu machen – seinen öffentlichen Schlüssel selbst zertifizieren, was die Glaubwürdigkeit des Schlüssels natürlich nicht dramatisch erhöht. Auf http://www.rsa.com/ findet sich weiteres Material zur Vertiefung. Ein deutschsprachiges Kryptographie FAQ liegt im Netz, unter anderem auf http://www.iks-jena.de/mitarb/lutz/security/cryptfaq/. Beim DFN (Deutsches Forschungsnetz) ist Material zur Zertifizierung auf http://www.dfn-pca.de/ zu finden. Die deutsche Wikipedia bietet Einträge mit weiterführenden Links zu vielen Begriffen der Kryptologie und Informationssicherheit an. Kryptografie ist nur ein Werkzeug unter mehreren zur Erhöhung der Sicherheit und des Schutzes der Daten. Sicherheit beruht nicht auf einer einzelnen Maßnahme, sondern ist ein Konzept, das mit dem Selbstdatenschutz des einzelnen Benutzers beginnt. Es wäre schon einiges gewonnen, wenn jeder Benutzer im Netz dieselbe Vorsicht walten ließe, die er auf der Straße einem Fremden gegenüber zeigt.
5 Dokumentation und Hilfen
Linux ist ein leistungsfähiges und umfangreiches Betriebssystem, das ein Benutzer nie und ein Verwalter erst nach vielen Jahren auslotet. Zudem ist es ständig in Bewegung. Wir sind daher auf Nachschlagen in Hilfen angewiesen, die es für Linux glücklicherweise in reichem Maß gibt. Hier folgt ein Überblick über die vielfältigen Wege zu weiterführenden Informationen.
5.1 Hilfe-Dateien und -Optionen Neben Betriebssystem und Anwendungen stellt Debian GNU/Linux eine umfangreiche Dokumentation zur Verfügung. Ein Teil der Dokumente ist in den einzelnen Programmpaketen enthalten. Hierzu gehören vor allem Kurzbeschreibungen zur Benutzung der in den Paketen enthaltenen Programme. In anderen Paketen befindet sich ausschließlich Dokumentation. Diese reicht von ausführlichen Beschreibungen bestimmter Pakete bis hin zu ganzen Büchern zum Ausdrucken oder zum Lesen am Bildschirm. In der Debian-Paketliste ist ein großer Teil der Dokumentation samt den Paketen mit den zugehörigen Werkzeugen in der Abteilung Documentation versammelt. Darüber hinaus liegt im Internet mehr Information zu UNIX, Linux, GNU und Debian, als ein Verwalter oder Benutzer zu lesen vermag. Hier spielen nicht nur das World Wide Web (Web, WWW), sondern auch andere Internetdienste wie Netnews oder Mailing-Listen eine Rolle. Die Dokumentation freier Software stützt sich auf unterschiedliche Säulen. Zu den meisten Linux/UNIX-Werkzeugen gibt es eine Handbuch- oder Manualseite, die eine kurze Beschreibung des Einsatzzweckes sowie eine Erläuterung der Optionen und Argumente enthält. Auf manchen Manualseiten finden sich auch ausführlichere Beschreibungen eines Programms, einer Funktion oder einer Konfigurationsdatei. Neben dem Manualsystem sind viele GNU-Programme mit dem GNU-InfoSystem dokumentiert. Diese Dokumentation kann am Bildschirm mit speziellen Programmen gelesen werden; sie lässt sich jedoch auch so aufbereiten, dass aus ihr Handbücher gedruckt werden können.
274
5 Dokumentation und Hilfen
Zu vielen Paketen stehen zusätzliche Dokumente zur Verfügung. Dazu gehören etwa Kurzanleitungen zur Benutzung des Paketes, Notizen des oder der Programmierer der Software oder Anleitungen und Hinweise, die von anderen Personen erstellt wurden. Diese Dokumente befinden sich nach der Einrichtung eines Paketes unterhalb des Verzeichnisses /usr/share/doc in einem Unterverzeichnis, das den gleichen Namen trägt wie das Paket selbst. Bei Paketen, die noch nicht an den File Hierarchy Standard angepasst worden sind, finden Sie die Dokumente unterhalb von /usr/doc. Dort liegen oft auch Hinweise des Debian-Entwicklers, der die betreffende Software an das Debian-System angepasst hat. Schließlich sollten Sie sich bei der Arbeit mit dem System darüber im Klaren sein, dass Sie mit freier Software arbeiten, was bedeutet, dass der Quellcode zu allen Programmen zugänglich ist. Wie Sie den Quellcode zu einem Paket einrichten, ist im Abschnitt 14.1.12 Quellcode auf Seite 656 beschrieben. Oft finden sich in den Dateien des Quellcodes Kommentare und Hinweise, mit denen sich Fragen beantworten lassen und die auch ohne tiefere Programmierkenntnisse verstanden werden können. Viele Linux/UNIX-Werkzeuge geben eine minimale Hilfe zum richtigen Gebrauch (usage) auf den Bildschirm aus, wenn man sie mit einer der Optionen -?, -h oder --help oder in syntaktisch fehlerhafter Weise aufruft. Probieren Sie folgende Kommandos aus: joe@debian:~$ sh -? joe@debian:~$ hostname --help joe@debian:~$ cp Das Verhalten der Programme ist nicht standardisiert und liegt im Belieben des Programmautors. Manchmal ist diese Hilfe nützlicher als die Manualseite.
5.2 Manual (man-Seiten) 5.2.1 Gebrauch Die im Rechner gespeicherten Seiten des Online-Handbuchs (Manual Pages, kurz Man-Pages oder Manual genannt, F: manuel) stellen das klassische Hilfesystem auf Linux/UNIX-Systemen dar. Zu jedem Programm, jeder Funktion und jeder Konfigurationsdatei gibt es einen einheitlich gegliederten, in bestimmter Weise formatierten Text, der sich auf einem Drucker ausgeben oder am Bildschirm anzeigen lässt. Um eine Manualseite anzuzeigen, ist folgendes Kommando einzugeben: man programmname Hierbei ist programmname durch den Namen des Programms, zu dem Informationen benötigt werden, zu ersetzen. Das Programm man ist nebst einigen Hilfswerkzeugen in dem Paket man-db enthalten, das eingerichtet sein muss, um das ManualSystem benutzen zu können. Will man beispielsweise Informationen zu dem Kommando pwd erhalten, gibt man dieses Kommando ein:
5.2 Manual (man-Seiten)
275
joe@debian:~$ man pwd Das Kommando man sucht nach der entsprechenden Seite in vorgegebenen Verzeichnissen, formatiert sie und zeigt sie am Bildschirm an. Hierzu verwendet es ein Hilfsprogramm, einen Pager. Vorgegeben ist das Programm more. Es empfiehlt sich jedoch, das Paket less einzurichten, in dem ein bequem zu benutzender Pager enthalten ist, der nach Einrichten des Paketes automatisch als Vorgabe benutzt wird. In less können Sie sich mit den Pfeiltasten sowie mit den Tasten <Page Up> und <Page Down> im Text bewegen und nach Betätigen der Taste nach Text suchen. Das Programm wird durch Drücken der Taste (quit) verlassen (siehe auch Abschnitt 2.11 Textbetrachter (Pager) auf Seite 164). Schauen Sie sich die Manualseiten zu den Programmen ls, less und man an. Drucken Sie auf keinen Fall das ganze Manual aus; die meisten Seiten braucht man nie. Die Manualseiten stehen grundsätzlich in Englisch zur Verfügung, viele aber auch in weiteren Sprachen. 5.2.2 Abschnitte (Sektionen) Das Manual ist in Abschnitte oder Sektionen eingeteilt. Jeder Abschnitt deckt dabei einen bestimmten Bereich der Software ab. Die Abschnitte sind durchnummeriert und behandeln folgende Themen: 1. Programme, die zur Benutzung durch gewöhnliche Anwender bestimmt sind, wie ls oder cp, 2. Systemaufrufe, die Schnittstellen des Linux-Kerns, für Programmierer. 3. Funktionen aus Bibliotheken, für Programmierer, 4. Gerätedateien (special device files) aus dem Verzeichnis /dev, 5. Dateiformate, viele der Konfigurationsdateien aus dem Verzeichnis /etc, 6. Spiele, 7. sonstige Themen, z. B. Macro-Pakete, Konventionen, 8. Programme und Dateien zur Systemverwaltung, 9. Kernroutinen, Glossar (nicht standardisiert). Die Einteilung hat sich im Lauf der Jahrzehnte geändert und variiert auch zwischen verschiedenen Linux/UNIX-Abfüllungen. Die Manualseiten selbst sind in den Paketen enthalten, in denen sich auch die zugehörigen Programme befinden. Eine große Anzahl allgemeiner Manualseiten, im wesentlichen aus den Abschnitten 3, 5 und 7, befindet sich jedoch im Paket manpages. Die Manualseiten liegen nach ihrer Einrichtung unterhalb des Verzeichnisses /usr/share/man sowie unterhalb /usr/X11R6/man, wenn es sich um Dokumentation zum X Window System (X11) oder zu Programmen für X11 handelt. Manualseiten für lokale Programme werden unterhalb von /usr/local/man abgelegt1 . In diesen Verzeichnissen befinden sich Unterverzeichnisse, die den Abschnitten des Manualsystems entsprechen, sowie weitere Unterverzeichnisse für nicht-englische Sprachen. 1
Ältere Pakete legen Manualseiten auch unterhalb von /usr/man ab.
276
5 Dokumentation und Hilfen
Im Allgemeinen braucht man sich nicht dafür zu interessieren, in welchem Abschnitt sich eine bestimmte Manualseite befindet. In einigen Fällen gibt es jedoch in verschiedenen Abschnitten Manualseiten mit dem gleichen Namen. Ein Beispiel hierfür ist passwd. Mit dem Kommando passwd ändern Benutzer ihre Passwörter auf dem System. Die Manualseite zu diesem Kommando befindet sich im Abschnitt 1. Ferner gibt es die Datei /etc/passwd, in der die Daten zu den Benutzerkonten des Systems gespeichert werden. Zum Aufbau dieser Datei gibt es ebenfalls eine Manualseite, die sich aber in der Sektion 5 befindet. Als Vorgabe werden die Sektionen der Reihenfolge nach durchsucht, die erste passende Seite wird angezeigt. Gibt man das Kommando man passwd ein, wird die Dokumentation zu dem Programm passwd angezeigt. Um eine Seite aus einem anderen Abschnitt auszuwählen, wird dem Programm man die Nummer des entsprechenden Abschnittes mitgeteilt: joe@debian:~$ man 5 passwd Es ist auch möglich, alle Manualseiten, die denselben Namen tragen, hintereinander anzuzeigen. Zu diesem Zweck ist das Programm mit der Option -a aufzurufen. Folgendes Kommando zeigt die beiden passwd-Manualseiten hintereinander an: joe@debian:~$ man -a passwd Oft findet man in Dokumentationstexten Hinweise auf Programme oder Manualseiten in der Form ls(1) oder fopen(3). Damit wird ausgedrückt, dass das Programm ls gemeint ist, das im Abschnitt 1 des Manualsystems dokumentiert ist, bzw. die Standardfunktion fopen aus dem Abschnitt 3. 5.2.3 Aufbau einer Manualseite Alle Manualseiten sind einheitlich aufgebaut, was das Lesen erleichtert. Einzelne Absätze können fehlen oder weiter untergliedert sein. Die Absätze sind: • • • • • • • • • • • • • • •
Name (Name des Kommandos, Zweck) Synopsis, Syntax (Gebrauch) Remarks (Anmerkungen) Description (Beschreibung des Kommandos) Return Value (Rückgabewert nach Programmende) Examples (Beispiele) Hardware Dependencies (hardwareabhängige Eigenheiten) Author (Urheber des Kommandos, manchmal auch der Manualseite) Environment (Umgebungsvariable) Files (vom Kommando betroffene Dateien) See Also (ähnliche oder verwandte Kommandos) Diagnostics (Fehlermeldungen) Bugs (Mängel, soweit bekannt) Caveats, Warnings (Warnungen) International Support (Unterstützung europäischer Absonderlichkeiten)
5.2 Manual (man-Seiten)
277
Am Fuß jeder Manualseite steht das Datum ihrer Veröffentlichung. Der Umfang der Manualseiten variiert von ein paar mageren Zeilen, denen man die Unlust des Schreibers anmerkt, bis hin zu einer Länge, die man in gedruckter Form als Broschüre bezeichnen würde. 5.2.4 Manualseiten in unterschiedlichen Sprachen Die Manualseiten sind zunächst in Englisch abgefasst. Von vielen gibt es aber deutsche und anderssprachige Übersetzungen. Auf dem System können gleichzeitig Manualseiten in verschiedenen Sprachen eingerichtet sein. Welche Sprache benutzt wird, wird durch die Umgebungsvariablen LC_MESSAGES oder LANG des Locale festgelegt, siehe Abschnitt 9.5 Locale auf Seite 418. Wenn einem Benutzer als Vorgabe deutsche Seiten angezeigt werden sollen, setzt man die Umgebungsvariable LANG für diesen Benutzer auf den Wert de_DE: joe@debian:~$ export LANG=de_DE Um die Einstellung dauerhaft wirksam zu machen, ist das Kommando in die Startdateien der Standard-Shell zu schreiben (Abschnitt 2.7.1 Konfiguration und Startdateien auf Seite 51). Die Beschreibung der Kommandos wird dann in deutscher Sprache angezeigt, sofern vorhanden, ansonsten englisch. Will man ausnahmsweise französische Manualseiten lesen, ist das Paket manpages-fr einzurichten und dann: joe@debian:~$ man -L fr ls einzugeben, womit vorübergehend das Locale auf fr statt de oder en gesetzt wird. Steht keine Übersetzung zur Verfügung, erscheint die englische Seite. 5.2.5 Drucken von Manualseiten Manualseiten liegen auf dem System im nroff-Format vor. Das Format lässt sich in eine Reihe anderer Formate umwandeln. Zu diesen gehören PostScript und DVI (Device Independent, Ausgabeformat des Textsatzsystems TEX). Als Vorgabe werden die Manualseiten in ein Format umgewandelt, das zur Darstellung am Bildschirm geeignet ist. Zur Anforderung eines anderen Formats ist die Option -T zu verwenden. Dieser Option ist ohne Leerzeichen der Name der gewünschten Ausgabeformate nachzustellen. Verfügbare Ausgabeformate sind dvi (device independent), latin1 (kein Ausgabeformat, sondern ein Zeichensatz), ps (PostScript), utf8 (kein Ausgabeformat, sondern eine Codierung, heraus kommt PostScript), X75 und X100 (für X11). Um aus der Dokumentation zum Kommando ls ein PostScript-Dokument zu erzeugen, ruft man folgendes Kommando auf: joe@debian:~$ man -Tps ls > ls.ps
278
5 Dokumentation und Hilfen
Das Ergebnis wird in die Datei ls.ps geschrieben. Die Datei lässt sich auf jedem PostScript-fähigen Drucker unmittelbar ausdrucken oder mit gv betrachten. Um die Manualseite zu dem DVI-Betrachter xdvi aus dem Paket tetex-bin in das DVI-Format zu bringen, wird dieses Kommando benutzt: joe@debian:~$ man -Tdvi xdvi > xdvi.dvi Das Ergebnis – die Datei xdvi.dvi – wird unter X11 mit dem Programm xdvi betrachtet: joe@debian:~$ xdvi xdvi.dvi Auch das über Optionen in vielfältiger Weise steuerbare Werkzeug a2ps eignet sich zum Drucken von Manualseiten: joe@debian:~$ a2ps /usr/share/man/man1/ls.1.gz Das Ergebnis ist ein Ausdruck der Manualseite des Kommandos ls mit jeweils 2 Seiten auf einem DIN-A4-Blatt, ausgegeben auf dem Standarddrucker. 5.2.6 Suchen in Manualseiten Auf jeder Manualseite finden sich am Anfang der Name sowie eine Kurzbeschreibung des zugehörigen Kommandos bzw. der zugehörigen Datei oder Funktion. Mit dem Kommando apropos ist es möglich, die Kurzbeschreibungen zu durchsuchen. So liefert folgendes Kommando die Namen und Kurzbeschreibungen aller Manualseiten, in deren Kurzbeschreibungen das Wort directory (Verzeichnis) vorkommt: joe@debian:~$ apropos directory Das Kommando man -k ist gleichbedeutend mit apropos. Die Suchmöglichkeiten von apropos gehen etwas weiter. Das Gegenstück zu dem Kommando apropos ist das Kommando whatis. Dem Kommando wird der Name eines Kommandos, einer Funktion oder einer Datei übergeben, für den eine Manualseite existiert. Der Aufruf: joe@debian:~$ whatis ls liefert die Kurzbeschreibung zu ls: ls (1) - list directory contents Das Kommando man -f ist gleichbedeutend mit whatis. Hat man eine Aufgabe zu lösen und vermutet, dass es ein Werkzeug dafür gibt, kennt aber dessen Namen nicht, wird es schwierig. Die Suche mittels apropos setzt voraus, dass sich die Aufgabe durch ein Wort kennzeichnen lässt, das in den Kurzbeschreibungen auftaucht. Ferner muss die Manualseite eingerichtet sein, was bei einem Werkzeug, das man erst sucht, fraglich ist. Man kann die Manualseite zu einem Werkzeug aufrufen, das in die Richtung der Aufgabe geht, und hoffen, dass unter See also auf ein passendes Werkzeug hingewiesen wird. Die Suche in den Beschreibungen der Debian-Paketlisten hilft manchmal weiter. Man kann in Büchern
5.2 Manual (man-Seiten)
279
wie den Nutshells blättern, die viele Kommandos nach Sachgebieten gruppiert vorstellen. Die Wikipedien sind zwar umfangreich und Linux/UNIX freundlich gesinnt, verfolgen aber andere Ziele. Allgemeine Suchmaschinen wie Metager oder Google liefern bei unspezifischen Fragen viel Ausschuss. 5.2.7 Weitere Programme zur Arbeit mit Manualseiten
Abb. 5.1: Screenshot des Manualbrowsers xman für X11
Neben dem Werkzeug man stehen weitere Programme zur Verfügung, mit denen Manualseiten angezeigt werden. Der Klassiker ist das Programm xman für X11. Das Programm wird über das Debian-Menü oder folgendes Kommando gestartet: joe@debian:~$ xman & Es erscheint ein kleines Fenster mit der Schaltfläche Manual Page. Ein Klick auf die Schaltfläche ruft ein Fenster hervor, in dem mit den Manualseiten gearbeitet werden kann. In diesem Fenster kann im Menü Sections einer der Bereiche des Manualsystems ausgewählt werden, woraufhin die Liste der in dem betreffenden Bereich zur Verfügung stehenden Seiten angezeigt wird. Sobald der Name einer Manualseite mit der linken Maustaste angeklickt wird, wird die zugehörige Seite angezeigt.
280
5 Dokumentation und Hilfen
Wichtige Tastenbefehle bei der Arbeit mit xman sind (vorwärts blättern) und (rückwärts blättern) sowie -, wodurch zur Liste der verfügbaren Seiten zurückgesprungen wird, und -<s>, womit ein Dialog zum Durchsuchen der Seite angezeigt wird. Auch das Werkzeug tkman mit dem Heimathafen http://tkman.sourceforge.net/ zeigt Manualseiten in einem grafischen Fenster an. Zusätzlich versteht es GNU-Info-Seiten.
Abb. 5.2: Screenshot der Startseite von man2html, einem Filter und cgi-Skript zur Umwandlung von Manualseiten in Webseiten, die von einem auf derselben Maschine laufenden Webserver im Netz bereit gestellt werden.
Der Konverter man2html läuft sowohl als eigenständiges Werkzeug (Filter) als auch in Form eines cgi-Skriptes für einen Webserver wie Apache. Auf diese Weise lassen sich die auf einem Webserver in /usr/share/man liegenden Manualseiten als HTML-Dokumente formatieren und übertragen. In einem Web-Browser ruft man einen URL wie http://www.beiuns/cgi-bin/man/man2html auf und erhält die Startseite des Werkzeugs mit der Möglichkeit, den Namen eines Kommandos einzugeben, siehe Abbildung 5.2. Das Werkzeug bietet Inhaltsübersichten und Suchfunktionen einschließlich Volltextsuche an, und das alles in einer ansprechenden Aufmachung. Für das Drucken ist der Web-Browser zuständig; es gab keine Probleme.
5.2 Manual (man-Seiten)
281
Manualseiten in GNOME und KDE
Abb. 5.3: Screenshot des KDE-Hilfezentrums mit der Übersicht zu den Manualseiten
Wenn Sie mit den Arbeitsumgebungen KDE oder GNOME arbeiten, möchten Sie vielleicht die Hilfeprogramme dieser Umgebungen verwenden, um mit Manualseiten zu arbeiten. Das Hilfeprogramm der Arbeitsumgebung GNOME heißt yelp (GNOME Help Browser), das KDE-Hilfeprogramm KHelpCenter oder KDEHilfezentrum. In den jeweiligen Arbeitsumgebungen erreichen Sie yelp über Anwendungen -> Hilfe, das KDE-Hilfezentrum über das Hauptmenü Punkt Hilfe. Unter GNOME ist das KDE-Hilfezentrum unter Anwendungen -> Debian-Menü -> Hilfe verbuddelt, unter KDE die GNOME-Hilfe im Hauptmenü unter Debian -> Hilfe -> yelp. Beide Programme können sowohl Manual-Seiten, Info-Dateien (siehe nächster Abschnitt) als auch die im HTML-Format gehaltenen Hilfeseiten der jeweiligen Arbeitsumgebung anzeigen. Abbildung 5.3 zeigt das KDE-Hilfezentrum bei der Anzeige der Übersicht (Sektionen) des Manuals. Manualseiten in Emacs und Xemacs Nach Eingabe des Kommandos manual-entry in einem der beiden Editoren – etwa durch die Tastenfolge -<x> manual-entry – wird man zur Eingabe des Namens der anzuzeigenden Manualseite aufgefordert. Die Seite wird dann – sofern vorhanden – im Editor angezeigt. Das ist bequem, wenn man ohnehin mit einer der beiden Emacs-Varianten arbeitet. Im Emacs mit grafischer Oberfläche erreicht man das Manual über die Menüpunkte Help -> Manuals -> Read Man Page.
282
5 Dokumentation und Hilfen
5.3 GNU Info-System 5.3.1 Benutzung von info Ein Nachteil des Manualsystems besteht darin, dass es keine brauchbare Methode gibt, mit Verweisen wie in HTML-Dokumenten zu arbeiten. Dies ist einer der Gründe, warum bei der Free Software Foundation das GNU Texinfo-System (kurz: Info) entwickelt wurde. Das Info-System wird von vielen GNU-Programmen wie dem C-Compiler gcc als primäres System zur Dokumentation benutzt, außerhalb von GNU wenig. Das GNU-Projekt bringt eine Übersicht über seine Dokumentation zuzüglich T-Shirts, Kappen, Kaffeepötten und Krawattenklammern auf der Webseite http://www.gnu.org/doc/doc.html. Zum Arbeiten mit Info an der Konsole oder in einem Terminalfenster ist das Programm info bestimmt. Wenn dieses Programm ohne Argument aufgerufen wird, zeigt es das Inhaltsverzeichnis aller auf dem System eingerichteten Info-Dateien an. Alternativ kann man den Namen eines Eintrags im Inhaltsverzeichnis als Argument in der Kommandozeile angeben. Das Programm zeigt dann den entsprechenden Eintrag an. Um die Dokumentation zum Werkzeug gzip anzuzeigen, ist folgendes Kommando aufzurufen: joe@debian:~$ info gzip Wenn info den angeforderten Eintrag nicht findet, sucht es nach einer Manualseite mit dem Namen des gewünschten Eintrags und zeigt diese an. Sie können sich in dem von info angezeigten Text mit den Pfeiltasten sowie mit den Tasten <Page Up> und <Page Down> bewegen. Verweise sind mit einem Stern gekennzeichnet. Um einen Verweis zu benutzen, ist der Cursor auf den entsprechenden Verweis zu bewegen und dann die Taste zu betätigen. Zum Verlassen des Programms benutzen Sie die Taste . Im Folgenden finden Sie eine Übersicht der wichtigsten Tastaturkommandos von info: • • • • • • • • • • • • • • •
<Space> oder <Page Down> eine Seite nach unten, oder <Page Up> eine Seite nach oben, eine Zeile nach unten, eine Zeile nach oben, zum jeweils nächsten Verweis innerhalb der angezeigten Seite springen, den Verweis öffnen, auf dem sich der Cursor befindet, , <e> an den Anfang (begin) bzw. das Ende (end) der angezeigten Seite springen, zur nächsten (next) Einheit derselben Hierarchieebene springen,
zur vorherigen (previous) Einheit derselben Hierarchieebene springen, eine Hierarchieebene nach oben (up) springen, zurück zum zuletzt angezeigten (latest) Text springen, <s> innerhalb des angezeigten Themas suchen (search), das Programm verlassen (quit), die Kommandoübersicht anzeigen, die ausführliche Hilfe (help) zu dem Programm starten.
5.3 GNU Info-System
283
Zu Texinfo selbst existiert eine Einführung im info-Format, die durch Eingabe des folgenden Kommandos angezeigt wird: joe@debian:~$ info info 5.3.2 Drucken und Konvertieren von Info-Dokumenten Die Info-Dokumentation wird im Texinfo-Format erstellt. Texinfo-Dateien lassen sich in andere Formate übersetzen, wozu folgende Werkzeuge dienen: •
•
•
•
texi2dvi Das Programm aus dem Paket texinfo erzeugt aus Texinfo-Dateien Dateien im TEX-Ausgabeformat DVI (Device Independent). Dokumente im DVIFormat lassen sich unter X11 mit dem Programm xdvi am Bildschirm betrachten oder mit dem Programm dvips in PostScript-Dateien umwandeln, die unter anderem mit dem Programm gv am Bildschirm dargestellt werden. Abhängig davon, welches Druckfiltersystem eingerichtet ist, lassen sich DVIund PostScript-Dateien auch direkt ausdrucken. Auf diese Weise lassen sich aus Texinfo-Dokumenten ansprechend gesetzte Handbücher erzeugen. texi2pdf Das Programm erzeugt aus Info-Dateien Dokumente im PDFFormat. Es ist im Paket tetex-bin enthalten. PDF-Dateien lassen sich mit Programmen wie dem Adobe Reader oder xpdf anzeigen und ausdrucken. texi2html Das Programm aus dem Paket tetex-bin erzeugt – wie der Name andeutet – aus Texinfo-Dokumenten Dateien im HTML-Format. Diese Dateien eignen sich für die Betrachtung mit einem Web-Browser oder die Veröffentlichung über einen Webserver. makeinfo Mit diesem Programm werden aus Texinfo-Quellen Info-Dateien erstellt, die mit dem Programm info betrachtet werden. Das Programm ist im Paket texinfo enthalten.
Die Texinfo-Quelldateien sind in den (Binär-)Debian-Paketen nicht enthalten, um Platz zu sparen. Normalerweise werden lediglich die Info-Dateien eingerichtet, damit die Dokumentation mit info oder anderen Programmen betrachtet werden kann, sowie oft zusätzlich die in das HTML-Format konvertierte Dokumentation. Diese befindet sich in einem Unterverzeichnis mit dem Namen html im Dokumentationsverzeichnis des entsprechenden Paketes unter /usr/share/doc. Wenn Sie aus einem Info-Dokument eine PostScript-Datei erzeugen möchten, ist es erforderlich, den Quellcode zu dem Paket zu einzurichten, in dem die entsprechenden Dokumente enthalten sind. Dies geschieht mit dem Programm apt-get (siehe Abschnitt 14.1.12 Quellcode auf Seite 656). Suchen Sie nach Einrichtung des Quellcodes eine Datei mit der Kennung .texi, um den Texinfo-Quellcode zu finden. Dieser wird dann mit den oben genannten Programmen konvertiert. Beispiel: Um die Dokumentation zu dem Programm wget aus dem Paket wget in das PostScript-Format zu konvertieren und auszudrucken, ist zunächst der Quellcode des Paketes einzurichten: joe@debian:~$ apt-get source wget
284
5 Dokumentation und Hilfen
Abb. 5.4: Screenshot des Emacs-Editors mit Anzeige einer GNU-Info-Seite
Danach ist in das durch das Kommando erzeugte Verzeichnis mit dem Quellcode zu wechseln (der tatsächliche Verzeichnisname hängt ab von der aktuellen Version des Paketes) und dort die Texinfo-Dokumentation zu suchen: joe@debian:~$ cd wget-1.8.1 joe@debian:~$ find ./ -name "*.texi" Im Beispiel erfolgt die Ausgabe: ./doc/wget.texi Die Datei doc/wget.texi kann nun in das DVI-Format gebracht werden: joe@debian:~$ texi2dvi doc/wget.texi und daraufhin nach PostScript konvertiert werden. joe@debian:~$ dvips wget.dvi -o Die Option -o bewirkt, dass die Ausgabe von dvips in eine Datei geschrieben und nicht über das Programm lpr ausgedruckt wird. Es entsteht eine PostScript-Datei mit dem Namen wget.ps. Die Datei wird mit dem Programm gv betrachtet: joe@debian:~$ gv wget.ps
5.3 GNU Info-System
285
Die PostScript-Datei sollte sich problemlos ausdrucken lassen, indem dieses Kommando eingegeben wird: joe@debian:~$ lpr wget.ps Für das Drucken gibt es jedoch mehrere Wege, siehe Abschnitt 9.7 Drucksysteme auf Seite 422. 5.3.3 Info und (X)Emacs Eine der bequemstem Methoden, mit Info-Dokumenten zu arbeiten, besteht in der Verwendung der Editoren Emacs oder Xemacs. Wenn Sie einen dieser Editoren unter X11 benutzen, starten Sie den Info-Modus über die Menüpunkte Help -> Manuals -> Browse Manuals with Info. Alternativ kann der Tastenbefehl - benutzt werden. Danach wird das Inhaltsverzeichnis des Info-Systems angezeigt, siehe Abbildung 5.4, in dem Sie sich mit den Pfeiltasten oder der Maus bewegen. Verweise (Links) werden wie bei dem Programm info mit der Taste oder unter X11 mit der mittleren Maustaste geöffnet. Sie verlassen den Info Modus mit dem Kommando -<x> . 5.3.4 Info-Dokumentation in GNOME und KDE Auf die Hilfeprogramme kdehelp und yelp der beiden Arbeitsumgebungen KDE und GNOME wurden bereits im Abschnitt 5.2.7 Manualseiten in GNOME und KDE auf Seite 281 hingewiesen. Beide Programme erlauben auch, die auf dem System vorhandene Dokumentation im Info-Format anzuzeigen, indem man entweder die entsprechenden Hyperlinks in dem jeweiligen System anklickt oder einen URI eingibt, bei dem als Protokolltyp info genannt wird. Leider unterscheidet sich der weitere Aufbau der Info-URIs beider Programme. In kdehelp ist der Name des gewünschten Info-Dokuments in Klammern hinter dem Doppelpunkt anzugeben, dahinter ist optional der gewünschte Abschnitt zu spezifizieren. Beispiel: Um aus der Dokumentation zum Editor emacs (Version 20) den Abschnitt keys anzuzeigen, ist bei kdehelp folgender URI zu verwenden: info:(emacs-e20)Keys In yelp ist nach dem Doppelpunkt der Name des gewünschten Dokuments ohne Klammern anzugeben. Ein bestimmter Abschnitt kann danach hinter einem Doppelkreuz eingegeben werden. Beispiel: Um den Abschnitt Installation aus der InfoDokumentation zum Programm dvips anzuzeigen, ist bei Verwendung von yelp dieser URI einzugeben: info:dvips#Installation Wenn Sie sich unsicher sind, sollten Sie das Verweis-System von Texinfo oder die Suchfunktion der Hilfesysteme nutzen. Das Ergebnis unter etch zeigt Abbildung 5.5. Die Schriftgröße der Information wurde etwas angehoben.
286
5 Dokumentation und Hilfen
Abb. 5.5: Screenshot des GNOME Hilfesystems yelp mit Anzeige einer Texinfoseite zu dvips
5.4 Integrierte Hilfesysteme (dhelp, dwww) Es gibt eine Reihe von Werkzeugen, mit denen die verschiedenen Formate der Dokumentation integriert und unter einer einheitlichen Oberfläche verfügbar gemacht werden. In gewissem Umfang gehören dazu auch die bereits vorgestellten Programme kdehelp und yelp, die in erster Linie zur Darstellung der Hilfe in den Arbeitsumgebungen KDE und GNOME benutzt werden, aber auch der Arbeit mit Infound Manual-Dokumentation dienen. Allerdings kann mit beiden Programmen nicht ohne weiteres auf die paketspezifische und allgemeine Dokumentation unterhalb des Verzeichnisses /usr/share/doc zugegriffen werden. Den Versuch, sämtliche auf dem System verfügbaren Dokumente innerhalb einer Umgebung darzustellen, unternehmen die Pakete dwww und dhelp. Beide Systeme benutzen zur Visualisierung der Dokumentation einen Web-Browser wie Epiphany oder Firefox. Im Fall von dwww muss darüber hinaus ein Web-Server wie Apache auf der Maschine eingerichtet sein. Zu diesem Zweck können Sie das Paket apache verwenden, dessen Einrichtung in Abschnitt 16.14.1 Einrichten des Webservers Apache auf Seite 844 beschrieben ist. Alternativ können Sie auch einen leichteren Server wie boa benutzen. Mit anderen Worten: dwww kann nur auf einer Webserver-Maschine laufen. Das Paket dhelp ist nicht auf die Einrichtung eines Webservers angewiesen,
5.4 Integrierte Hilfesysteme (dhelp, dwww)
287
Abb. 5.6: Startseite des integrierten Hilfesystems dwww
allerdings lässt sich dieses System optimal auch nur zusammen mit einem Webserver benutzen. Durch den Einsatz eines Webservers ergibt sich bei beiden Systemen der Vorteil, dass von allen Rechnern im Netz aus mit einem Web-Browser auf die Dokumentation zugegriffen werden kann. Für die Arbeit mit dhelp wird empfohlen, die Pakete info2www, man2html sowie glimpse einzurichten. Diese Pakete ermöglichen, Man- und Info-Dokumente über einen Webserver zur Verfügung zu stellen. Das Programm glimpse wird benötigt, um die Suchfunktion von dhelp zu benutzen. Auch falls Sie sich für dwww entscheiden, empfiehlt sich die Einrichtung von info2www. Hier wird außerdem die Einrichtung des Debian-Menüsystems aus dem Paket menu angeraten. Sind Webserver und Hilfsprogramme eingerichtet und funktionsfähig, kann mit einem Web-Browser auf die Hilfesysteme zugegriffen werden. Bei der Benutzung von dwww ist dazu der URL http://localhost/dwww/ zu verwenden. Für localhost ist der Name des Web-Servers einzusetzen. Die Startseite von dhelp erreichen Sie unter http://localhost/doc/HTML/. Beide Systeme dürfen gleichzeitig eingerichtet sein. Abbildung 5.6 zeigt die Startseite des Hilfesystems dwww. In beiden Systemen ist es möglich, über ein System von Verweisen (Links) nach bestimmten Themen oder Programmen zu suchen. Ferner steht jeweils eine Schnittstelle zum Info- und zum Manual-System zur Verfügung. Darüber hinaus kann man direkt auf die Verzeichnisse unterhalb von /usr/share/doc beziehungsweise
288
5 Dokumentation und Hilfen
/usr/doc zugreifen. Eine Suchfunktion gestattet in beiden Systemen die Volltextsuche in der auf dem System eingerichteten Dokumentation. Im Fall von dhelp beschränkt sich die Suche auf Dateien im HTML-Format.
5.5 Zusätzliche Dokumentation 5.5.1 Paketspezifische Dokumentationsverzeichnisse In der Abteilung Documentation der Debian-Paketlisten gibt es zahlreiche Pakete, die Dokumentation enthalten, darunter Pakete wie linux-doc-2.6.18 mit Materialien zu einem bestimmten Kern. Das Paket enthält rund 3000 Dateien, die in /usr/share/doc landen. Dokumentation zu einem auf dem Rechner eingerichteten Kern samt Kernmodulen liegt in /usr/src/linux/Documentation. Zu jedem auf dem System eingerichteten Paket findet sich im Verzeichnis /usr/ share/doc oder /usr/doc ein Unterverzeichnis mit dem Namen des betreffenden Paketes. In den Verzeichnissen liegen unterschiedliche Dokumente zu den betreffenden Paketen. In vielen Fällen handelt es sich um Textdokumente. Viele Dateien unterhalb von /usr/share/doc liegen in komprimierter Form vor und können mit dem Kommando zless (siehe Abschnitt 2.11.4 Betrachten komprimierter Dateien auf Seite 168) betrachtet werden, ohne sie vorher eigens zu dekomprimieren. Einige Programme wie das Programm gv zum Betrachten von PostScript-Dateien können ebenfalls direkt mit komprimierten Dateien arbeiten, sodass auch bei diesen Dateitypen das getrennte Dekomprimieren der Dateien entfällt. Neben Dokumenten im Text- oder PostScript-Format befinden sich in vielen Dokumentationsverzeichnissen Dokumente im DVI- oder im HTML-Format. Zu einigen Paketen stehen zusätzliche Informationen in gesonderten Paketen zur Verfügung. Beispiele sind die Pakete bash-doc oder samba-doc. Die Dokumentation zu diesen Paketen hat einen solchen Umfang, dass ein großer Teil in eigene Pakete verschoben wurde. In jedem Verzeichnis unterhalb von /usr/share/doc sollte sich eine Datei mit dem Namen copyright befinden. Dabei handelt es sich um Textdateien mit Informationen darüber, aus welchen Quellen das jeweilige Paket erstellt wurde, wo diese Quellen bezogen werden können und unter welchen Copyright-Bestimmungen das Paket steht. Weiter findet sich in den meisten Dokumentationsverzeichnissen eine Datei mit dem Namen changelog.Debian.gz. In diesen Dateien ist dokumentiert, welche Veränderungen von Debian-Entwicklern an dem Paket vorgenommen wurden. Darüber hinaus ist hier häufig eine Datei mit dem Namen changelog.gz zu finden. Dort ist dokumentiert, welche Veränderungen die eigentlichen Programmierer des Paketes (die Upstream-Autoren) vorgenommen haben. Falls es sich bei Debian-Entwicklern und Upstream-Autoren um dieselben Personen handelt, ist in dem Verzeichnis nur die Datei changelog.gz zu finden. Zu vielen Paketen gibt es im Dokumentationsverzeichnis eine Datei mit dem Namen README.Debian oder ähnlich. Die Dateien enthalten Informationen darüber, wie ein Paket an die Debian-Distribution angepasst worden ist und welche Punkte zu
5.5 Zusätzliche Dokumentation
289
beachten sind. Obwohl die Einrichtung von Debian-Paketen dank der Vorarbeit der Debian-Maintainer weitgehend automatisch abläuft, ist in manchen Fällen (Email, Webserver) ergänzende Handarbeit notwendig. Die Datei README.Debian gibt dazu Hinweise, neben der allgemeinen README-Datei. In den Dokumentationsverzeichnissen zu den einzelnen Paketen befinden sich oft Unterverzeichnisse wie examples mit Beispielen zur Konfiguration oder zur Benutzung. 5.5.2 Bücher, allgemeine Dokumentation, TLDP Rund um Debian, GNU und Linux existiert eine Reihe von Projekten zur Dokumentation des Systems sowie zur Arbeit mit Linux und den GNU-Werkzeugen. Die Projekte haben einige angesehene Bücher hervorgebracht, die frei verfügbar sind und in Form von Debian-Paketen eingerichtet oder aus dem Internet heruntergeladen werden können. Zusätzlich sind die Bücher im Handel erhältlich, denn die Arbeit mit einem Buch ist ab einem gewissen Umfang oft angenehmer als der Umgang mit einer Zettelsammlung oder dem Bildschirm. Elektronische Information ist hingegen leichter aktuell zu halten als gedruckte Werke, weshalb beide Medien ihre Berechtigung haben. Einige Buchempfehlungen finden sich im Anhang. Alle Autoren ringen mit der Fülle des Stoffes und den raschen Änderungen, pflegen ihre Lieblingsthemen und ihren persönlichen Stil. Zu Einzelthemen ist eine unüberschaubare Vielfalt von Büchern auf dem Markt, die man mit Suchmaschinen in den Griff zu bekommen versuchen kann. Und dann kann man auch noch einschlägige Zeitschriften und Magazine lesen. Eine andere Klasse von Dokumenten sind die HOWTOs (HowTos, Wie macht man?). Hierbei handelt es sich um Anleitungen und Erläuterungen zu begrenzten Themen rund um Linux. HOWTOs sind unterteilt in normale HOWTOs und MiniHOWTOs. Mini-HOWTOs sind kürzer, behandeln eng gefasste Themen und enthalten oft nur Kochrezepte. Die großen HOWTOs bieten hingegen neben den reinen Handlungsanweisungen auch Hintergrundwissen. HOWTOs, Guides und einige Bücher werden von The Linux Documentation Project (TLDP oder LDP) erstellt und gepflegt. Das Projekt ist unter der Internetadresse http://www.tldp.org/ zu erreichen. Dort finden Sie die neuesten Versionen zum Online-Lesen und Herunterladen. Eine thematisch geordnete Übersicht über die bei TLDP verfügbaren HOWTOs samt ergänzenden Bemerkungen bietet der HOWTO-Index, selbst ein HOWTO. Damit sollte man beginnen. Von TLDP kann man einen Tarball mit allen dort verfügbaren HOWTOS herunterladen, rund 50 MB groß. Es gibt aber auch HOWTOs außerhalb von TLDP. Viele HOWTOs sind ins Deutsche übersetzt worden. Das deutsche Linux HOWTO Projekt ist unter der Internet-Adresse http: //www.linuxhaven.de/dlhp/ zu erreichen. Alle HOWTOs stehen auch in Form von Debian-Paketen zur Verfügung und brauchen nicht gesondert heruntergeladen zu werden. Auch außerhalb von TLDP finden sich HOWTOs und ähnliche Dokumente. Wir weisen in vielen Abschnitten auf URLs oder Pfade zu den Texten hin, aber unsere Angaben sind bei weitem nicht vollzählig. HOWTOs sind nicht das Evangelium. Viele sind angejahrt, andere noch grün, manche beschreiben ausländische (= nordamerikanische) Verhältnisse, alle beschränken sich auf eine enge
290
5 Dokumentation und Hilfen
Auswahl von Gesichtspunkten, die nicht optimal oder genau auf Ihr Problem zugeschnitten zu sein braucht. Trotzdem gehören sie zusammen mit den FAQs und der Wikipedia zu den ersten Anlaufstellen bei Fragen. Obwohl die HOWTOs in der Linux-Welt eine große Rolle spielen, ist die Bezeichnung nicht auf diese Welt beschränkt. Jedermann kann im Internet ein HOWTO zu einem beliebigen Thema veröffentlichen. Auch sind nicht alle LinuxHOWTOs bei TLDP anzutreffen. Breite Auswahlen von HOWTOs finden Sie unter http://www.howto24.de/, http://www.wikihow.com/, http:// www.ehow.com/ und http://www.traduc.org/. Das Online Troubleshooting HOWTO (2006) von J EAN -P HILIPPE G UÉRARD ist ein Wegweiser zu online verfügbaren Dokumenten aller Art zu GNU/Linux. Neben der allgemeinen GNU/Linux-Dokumentation gibt es Debian-spezifische Dokumente, die in Form von Debian-Paketen zur Verfügung stehen. Aktuellste Informationen zu Debian finden Sie beim Debian-Projekt unter http://www.debian.org/ doc/. Dort sind auch Neuigkeiten (News), die Debian Weekly News und Sicherheitshinweise (Security Advisories) verlinkt. Der Debian-Wiki http://wiki. debian.org/ beantwortet viele Fragen zu Debian. Im Folgenden werden einige installierbare Dokumente aufgelistet. Pakete mit Dokumentation befinden sich in der Unterabteilung Documentation der Paketliste der jeweiligen Distribution. •
doc-linux-text HOWTOs und FAQs (Frequently Asked Questions) des Linux Documentation Projects in Form komprimierter Textdateien. Sie werden unterhalb des Verzeichnisses /usr/share/doc/HOWTO/en-txt eingerichtet und lassen sich mit dem Programm zless lesen. Um den Inhalt des XFree86HOWTOs zu lesen, ist im Verzeichnis /usr/share/doc/HOWTO/en-txt folgendes Kommando einzugeben: joe@debian:~$ zless XFree86-HOWTO.txt.gz
•
•
• •
doc-linux-de Deutsche Übersetzungen der HOWTOs sind in dem Paket im HTML-Format enthalten und werden im Verzeichnis /usr/share/doc/ HOWTO/de-html abgelegt. In einem Web-Browser ist der URL file:// /usr/share/doc/HOWTO/de-html/ zu verwenden, um das Startdokument (Index) des Paketes zu öffnen. doc-debian Das Debian-FAQ-Paket (Dokument mit Antworten auf viele häufig gestellte Fragen bezüglich Debian) in den Formaten HTML, PostScript und DVI sowie einige kleinere Dateien zu Debian. Die Dokumente werden im Verzeichnis /usr/share/doc/debian eingerichtet. Um den Index der FAQs zu lesen, benutzen Sie den URL: file:///usr/share/doc/debian/FAQ/. debian-history HTML-Dateien zur Geschichte des Debian-Projekts im Verzeichnis /usr/share/doc/debian-history/html. debian-guide Nur noch in woody, nicht mehr aktuell. Die PostScript- sowie die HTML-Version des Buches Debian GNU/Linux: Guide to Installation and Usage von J OHN G OERZEN und O SSAMA OTHMAN. Die Dateien werden im Verzeichnis /usr/doc/debian-guide abgelegt.
5.6 Internet
•
• •
•
•
•
• •
291
debian-policy Die verbindlichen Richtlinien für das Erstellen von DebianPaketen und den Aufbau der Distribution; erklärt viele Eigenheiten von Debian. Die Dateien werden im Text-, im SGML- sowie im HTML-Format unterhalb /usr/share/doc/debian-policy eingerichtet. Auch auf http: //www.debian.org/doc/debian-policy/ zu finden. developers-reference Informationen für Debian-Entwickler und solche, die Debian-Entwickler werden wollen. maint-guide Anleitung zum Erstellen von Debian-Paketen. (möglicherweise nicht eingerichtet). Benutzen Sie den URL http://www.debian.org/ doc/maint-guide/, um die Anleitung mit einem Web-Browser zu lesen. jargon Lexikon der Hacker-Sprache im Info-Format, unterhaltsam. Geben Sie das Kommando jargon ein, um die Datei zu lesen, oder jargon begriff, um einen Begriff nachzuschlagen. Suchen Sie in der Paketliste nach jargon; es gibt weitere und aktuellere Pakete zum Thema. asr-manpages Einige nicht ganz ernst gemeinte Manualseiten zu Kommandos wie bosskill, guru oder luser, aus der Newsgruppe alt.sysadmin. recovery. kernel-doc-2.4.27 Dokumentationsdateien aus dem Quellcode des Linux-Kerns Version 2.4.27. Ähnliche Pakete stehen auch für andere Kern-Versionen unter Namen wie linux-doc-2.6.18 zur Verfügung. Wenn Sie den Kernquellcode eingerichtet haben oder einrichten wollen, benötigen Sie das Paket nicht. sysadmin-guide Das Buch The Linux System Administrators Guide (2005) von L ARS W IRZENIUS und anderen im Linux Documentation Project (TLDP). selfhtml Deutschsprachige Anleitung von S TEFAN M ÜNZ zur Erstellung von HTML-Dateien (möglicherweise nicht eingerichtet). Auch direkt von http:// de.selfhtml.org/ zu haben.
5.6 Internet 5.6.1 Wichtige Web-Adressen Die Entwicklung von Debian, Linux und freier Software allgemein ist eng mit dem Internet verknüpft. Es kein Zufall, dass sich auf fast alle Fragen bezüglich dieser Themen im Internet eine Antwort finden lässt. Dazu stehen zum einen Websites und Suchmaschinen zur Verfügung, von denen Informationen bezogen werden können. Zum anderen werden in Newsgroups und über Mailing-Listen Mitteilungen ausgetauscht. Hier können Fragen gestellt werden, auf die man anderweitig keine Antwort findet. Die folgende Sammlung von Web-Adressen stellt eine kleine, subjektive Auswahl brauchbarer Internetseiten zum Thema Debian GNU/Linux dar. Versuchen Sie immer, bis zum Ursprung eines Dokumentes vorzudringen. Kopien werden an vielen Stellen vorgehalten, aber nicht immer aktualisiert, wenn es sich bei der Site nicht um einen automatisierten Spiegel handelt. Wenn Sie Fragen haben, sind die folgenden Seiten und Sites ein guter Ausgangspunkt; einige URLs kennen wir schon:
292
•
•
•
•
• • •
• • • • •
•
5 Dokumentation und Hilfen
Debian Projekt Unter dem bereits genannten URL http://www.debian. org/ findet man die Startseite des Debian-Projekts. Hier liegen alle wichtigen Informationen zu Debian, ein Formular zum Suchen nach Paketen, die Fehlerdatenbank, in der ebenfalls gesucht werden kann, und ein Formular zum Stöbern in den Archiven aller Debian-Mailing-Listen. Dokumentation ist insbesondere beim Debian Documentation Project (DDP) unter http://www.debian. org/doc/ddp vereinigt. Als Einstieg bietet sich das kurze Debian META Manual (2006) an. Deutschsprachige Debian-Sites, die nicht vom Debian-Projekt selbst betrieben werden, sind unter anderem http://www.debianforum.de/, http:// www.debianwiki.de/, http://www.debianhowto.de/ und http: //www.debian-desktop.de/. The Linux Documentation Project Dieses ebenfalls schon genannte Projekt stellt freie Bücher, HOWTOs und Manual-Seiten zu Linux zur Verfügung. Besuchen Sie diese Seite, wenn Sie die neueste Version eines Dokuments benötigen. URL: http://www.tldp.org/. Nicht alle HOWTOs liegen auf TLDP, die Bezeichnung kann jedermann verwenden. Freshmeat Unter der Seite auf http://freshmeat.net/ wird täglich über neu erschienene oder aktualisierte Programme berichtet. Die Website bietet darüber hinaus eine gute Möglichkeit, nach Linux-Anwendungen für einen bestimmten Zweck zu suchen. Slashdot Aktueller Klatsch und Tratsch zu den Themen Hacker, freie Software und Linux ist unter dem URL http://slashdot.org/ zu finden. Linux Today Unter der Adresse http://linuxtoday.com/ finden Sie Verweise auf wichtige Nachrichten zum Thema Linux. Linux.de Die deutschsprachige Linux-Startseite. Hier finden Sie unter anderem eine Liste der Linux-Benutzer-Gruppen (LUGs, Linux User Groups) im deutschsprachigen Raum mit Hinweisen zu Treffpunkten. Ihre örtliche LUG freut sich auf Ihren Besuch. URL: http://www.linux.de/. German Unix User Group (GUUG) Die deutschsprachige Unix-BenutzerGruppe mit Informationen auch für uns, http://www.guug.de/. Linux Online Unter der Adresse http://www.linux.org/ finden Sie viele Verweise zum Thema Linux. Linux.com Die Seite mit dem URL http://linux.com/ bietet Artikel und Informationen für Anfänger und eine große Zahl weiterführender Verweise. LinuxQuestions.org Ein Vertreter von zahlreichen Websites, auf denen Linux diskutiert wird. Internet FAQs Auf der Seite http://www.faqs.org/ finden Sie die Antworten auf häufig gestellte Fragen vieler Internet-Newsgroups nicht nur zum Thema Linux. Außerdem die RFCs. Die UNIX-FAQ (2004, seit 1993) umfasst sieben Teile, wozu noch einige FAQs zu Einzelthem kommen, die Linux-FAQ (2004) sechs. groups.google.com Diese Site archiviert viele Beiträge in Newsgroups und ermöglicht die Suche in alten Artikeln.
5.6 Internet
• • •
293
Linux Kernel Auf http://www.kernel.org/ sind die Linux-KernelArchive zu erreichen. Linuxwiki Auf http://www.linuxwiki.org/ finden Sie einen Wiki zum Thema Linux. Linux Games Auf der Seite http://www.linuxgames.com/ finden Sie Informationen zum Thema Spiele unter Linux.
Die Aufzählung ließe sich beliebig verlängern. Manchmal finden Sie genau das Rezept, das Ihr Problem löst, ein anderes Mal ist der erleuchtende Hinweis in einem Nebensatz eines Postings versteckt. 5.6.2 Requests For Comments (RFCs) Das Internet wird durch Requests for Comments (RFC) beschrieben. Das sind fortlaufend nummerierte Textdokumente, im Netz frei verfügbar, unter anderem auf ftp://ftp.ripe.net/, ftp://ftp.denic.de/ oder http://www. faqs.org/. Der RFC 0001 stammt von 1969, Anfang 2007 näherte sich ihre Anzahl den 5000. Wird ein RFC durch eine neuere Version ersetzt, bekommt er – anders als DIN-Normen – eine neue Nummer. Viele RFCs sind daher technisch überholt. Andere behandeln Themen, die nur einen kleinen Kreis von Fachleuten betreffen. Aber es gibt auch RFCs, die sich an ein breites Publikum wenden, vor allem die Texte, die zugleich For Your Information (FYI) sind. Deren Anzahl liegt bei 40. Der FYI 20 trägt den Titel FYI on What is the Internet und stammt von 1993. Lesenswert sind auch die RFCs, die zugleich Best Current Practice (BCP) heißen. Will man einer das Internet betreffenden Frage auf den Grund gehen, kommt man um die RFCs nicht herum. 5.6.3 Lexika, Glossare Die seit 2001 in mehr als 200 Sprachen erscheinenden Wikipedien sind allgemeine enzyklopädische Lexika im Web, die von ungezählten freiwilligen, unbezahlten Autoren in lockerer Weise zusammengestellt werden. Jeder Leser darf schreiben oder bestehende Einträge ergänzen oder korrigieren. Es gibt keine zentrale Redaktion. Infolgedessen schwankt die Qualität der Beiträge erheblich, auch werden manche Wissensgebiete nur lückenhaft abgedeckt. Die Erfahrung zeigt jedoch, dass das WikiPrinzip funktioniert. Falsche Aussagen sind bei Sachthemen selten; eher ist damit zu rechnen, dass ein Thema unvollständig behandelt wird. Man darf den Beiträgen nicht blind vertrauen, aber Skepsis ist auch gegenüber herkömmlichen Druckerzeugnissen angebracht. Wikipedien haben im Vergleich zu gedruckten Enzyklopädien die Vorteile, aktueller und kaum vom Platz her beschränkt zu sein. Im Jahr 2006 überschritten die englische Wikipedia die Marke von anderthalb Millionen Einträgen, die deutsche 500.000 und die französische 400.000 Einträge: • •
http://en.wikipedia.org/ http://de.wikipedia.org/
294
5 Dokumentation und Hilfen
Abb. 5.7: Screenshot des Anfangs des Debian-Artikels in der englischen Wikipedia
•
http://fr.wikipedia.org/
Nicht nur die Quantität, auch die Qualität der Einträge wächst und erfüllt in manchen Fällen wissenschaftliche Ansprüche. Abbildung 5.7 zeigt einen Screenshot des Anfangs der Seite zum Suchwort Debian aus der englischen Wikipedia, leicht vergrößert. Die Wikipedien bieten eine Maske zur Eingabe von Suchwörtern an, im Screenshot links am Rand. Mit dem Suchbegriff Kategorie:Informatik gelangt man zu einer Übersicht über zugehörige Einträge. Wer sich umfassender über ein Gebiet unterrichten will, geht zu den Portalen, in unserem Fall zu: • • •
http://en.wikipedia.org/wiki/Portal:Information_ technology http://de.wikipedia.org/wiki/Portal:Linux http://fr.wikipedia.org/wiki/Portail:informatique
Die einzelnen Wikipedien sind inhaltlich unabhängig voneinander; Übersetzungen kommen vor. Ein Blick in zwei oder drei Wikipedien trägt manchmal zur Erleuchtung bei, Sprachkenntnisse vorausgesetzt. Das Projekt veröffentlicht auch Lehr- und Wörterbücher. Im Web finden sich zahlreiche kleinere Glossare, Fachlexika und Verzeichnisse, die nicht als Wiki organisiert sind, oft von einschlägigen Firmen oder Organisationen als Dienst am Kunden zur Verfügung gestellt. Exemplarisch seien folgende genannt:
5.6 Internet
• • • • •
295
http://www.abklex.de/abklex/ Abkürzungen aus Informatik und Telekommunikation, entstanden aus einer Liste für den eigenen Bedarf, http://www.babylonia.org.uk/ Deutsch-englisch-französische Wörter aus der Informatik, http://bubl.ac.uk/link/c/computerdictionaries.htm Katalog von Ressourcen im Internet, http://foldoc.org/ Free On-Line Dictionary Of Computing, beim Imperial College, London, http://www-rocq.inria.fr/qui/Philippe.Deschamp/RETIF/ Le RÉTIF: termes informatiques français
5.6.4 Netnews (Newsgroups) und FAQs Manchmal ist die Lösung eines Problems einfach nicht zu finden. In solchen Fällen ist es hilfreich, wenn es Menschen gibt, denen man sein Problem darlegen kann und die bei der Lösung helfen. Zu diesem Zweck stehen im Internet im wesentlichen zwei Dienste zu Gebot, nämlich Netnews und Mailing-Listen. Eine Einführung zu den Netnews – einer Art von Zeitung im Internet – finden Sie in Abschnitt 16.12 Netnews (Usenet) auf Seite 834. Dort ist auch beschrieben, welche Programme (Clients) für die Benutzung von Netnews in Frage kommen. Die Netnews sind in Newsgruppen (Rubriken) unterteilt. Mit Debian befassen sich unter anderem: • • • • • • • • • • • • • • • • •
linux.debian.user.german die lebhafteste Newsgruppe für deutschsprachige Debian-Benutzer, linux.debian.news.german die Debian Weekly News und andere Beiträge für deutschsprachige Benutzer, linux.debian.announce ruhige Gruppe, trotzdem zu gewissen Zeiten im Brennpunkt des Interesses. linux.debian.user für englischsprachige Benutzer, linux.debian.devel für Entwickler, linux.debian.doc Bemerkungen zur Debian-Dokumentation, linux.debian.policy Fragen zur Debian-Policy, linux.debian.beowulf Beowulf-Cluster, linux.debian.announce.security Ankündigungen zu Sicherheitsfragen, Bekanntgabe von Sicherheitsmängeln, linux.debian.laptop Laptops unter Debian, linux.debian.news die Debian Weekly News und andere Beiträge, linux.debian.security Diskussionen über die Sicherheit von Debian, linux.debian.bugs.rc Meldungen kritischer Fehler, linux.debian.kernel der Linux-Kern in Debian-Systemen, linux.user.debian.french für frankophone Benutzer, cz.comp.linux.debian böhmische Dörfer, außer für Tschechen, pl.comp.linux.debian für polnischsprachige Debianfreunde.
Das sind längst nicht alle Gruppen. Einige Webseiten bieten die Möglichkeit, archivierte Beiträge der Netnews zu durchsuchen (http://groups.google.com/).
296
5 Dokumentation und Hilfen
Dieser Weg liefert oft schneller eine Antwort als das Posten einer Frage, die in derselben Newsgruppe bereits beantwortet wurde. 5.6.5 Mailing-Listen Mailing-Listen funktionieren anders als Netnews. Sie lassen sich als Rundschreiben an bestimmte Benutzergruppen auffassen. Man meldet sich an einem Listen-Server in einer Liste an und bekommt dann alle Nachrichten per Email zugesandt, die an die Liste geschickt werden. An einige Mailing-Listen dürfen Sie auch Mails senden, wenn Sie nicht Mitglied der Liste sind, während andere Listen dies nur gestatten, nachdem Sie sich in die Liste eingetragen haben. Der Unterschied zwischen Netnews und Mailing-Listen liegt vor allem in dem Maß an Öffentlichkeit der Mitteilungen. Für den Umgang mit Mailing-Listen gilt prinzipiell das Gleiche wie für Newsgruppen. Sie sollten zunächst immer versuchen, ein Problem selbst zu lösen. Die im Allgemeinen hilfsbereiten Teilnehmer an den Diensten reagieren sauer oder gar nicht auf Fragen, deren Antwort in Manualseiten, FAQs oder HOWTOs etc. leicht zu finden ist. Das Debian-Projekt verwaltet eine große Anzahl von Mailing-Listen zu unterschiedlichen Themen im Zusammenhang mit der Arbeit mit und der Entwicklung von Debian GNU/Linux. Auf der Webseite http://www.debian.org/ MailingLists/ finden Sie allgemeine Informationen, unter http://lists. debian.org/ zu jeder Liste eine Beschreibung. Die Seite kann gleichzeitig dazu benutzt werden, um sich in Listen einzutragen. Die für Debian-Benutzer wichtigste Liste hat den Namen debian-user. In dieser Liste dürfen alle Fragen im Zusammenhang mit der Benutzung von Debian gestellt werden. Als Sprache ist dabei Englisch zu verwenden. Die Liste hat ein sehr hohes Aufkommen. Sie sollten sich dort nur eintragen, wenn Sie bereit sind, täglich auch einmal 200 Mails zu empfangen. Unter dem URL http://lists.debian.org/search.html finden Sie eine Maske zum Suchen im Archiv der Mailing-Listen. Dort lassen sich alte Beiträge lesen. Näheres zur deutschsprachigen Debian-Benutzer-Mailing-Liste steht unter http://lists.debian.org/debian-user-german/. In dieser Liste sind eine Reihe von Debian-Entwicklern und viele weitere Kenner von Debian und Linux eingeschrieben, sodass immer mit kompetenten Antworten gerechnet werden kann, sofern man sich an den sachlich-freundlichen Ton der Liste hält. Die FAQ-Sammlung der Liste ist unter http://www.de.debian.org/ debian-user-german-FAQ/ zu finden, Anfang 2007 letzte Aktualisierung 2004. Sollten alle Fragen zu Debian schon vor langer Zeit beantwortet sein? 5.6.6 Suchmaschinen Das Internet ist mittlerweile so umfangreich geworden, dass man ohne maschinelle Hilfe nur noch einen winzigen Bruchteil der Informationen findet. Selbst die Maschinen entdecken nicht alles, aber ihre Auskünfte bieten einen Einstieg. Die Suchmaschinen grasen regelmäßig Teile des Internets ab und speichern ihre Funde in Datenbanken. Anfragen werden aus den Datenbanken beantwortet, die Antworten sind
5.6 Internet
297
nicht brandaktuell. Neben allgemeinen Suchmaschinen finden sich fachgebundene Maschinen im Netz. Bei manchen Fragen sind auch ausländische (fremdsprachige) Maschinen ergiebiger als die internationalen Platzhirsche, aber schwieriger aufzuspüren. Bei http://www1.ku-eichstaett.de/WWF/Suche/Europa/ europa_l.htm wird Ihnen geholfen. Auch die Suchfibel von S TEFAN K ARZAU NINKAT als Buch oder Website (http://www.suchfibel.de/) ist nützlich.
Abb. 5.8: Screenshot eines Ergebnisses der Metasuchmaschine Metager
Neben den Suchmaschinen mit eigener Datenhaltung gibt es einige MetaSuchmaschinen, die selbst keine Daten sammeln und halten, sondern Anfragen an die erstgenannten, primären Suchmaschinen weiterleiten. Die Benutzung von MetaSuchmaschinen hat mehrere Vorteile: • • •
Eine Anfrage erreicht ein Dutzend und mehr Suchmaschinen. Die Antworten erscheinen in einheitlicher Form. Dubletten werden aussortiert.
Den Betreibern primärer Suchmaschinen sind die Meta-Suchmaschinen eine unwillkommene Konkurrenz. Nicht in jedem Fall ist eine ersprießliche Zusammenarbeit gewährleistet. Einige Maschinen und Metamaschinen: •
Google Eine Suchmaschine, die zum Thema Linux oft etwas (zu viel) findet: http://www.google.de/.
298
• •
• •
5 Dokumentation und Hilfen
Metager Eine Meta-Suchmaschine, entstanden an der Uni Hannover: http: //metager.de/. siehe Abbildung 5.8, Metager2 Ein noch junger Versuch, die Qualität der Ergebnisse weiter zu verbessern, indem die Trefferseiten besucht und ausgewertet werden, was Zeit kostet, aber eine Menge schwacher bis anrüchiger Webseiten aussortiert, http: //www.metager2.de/. Metacrawler Eine bewährte nordamerikanische Metasuchmaschine: http:// www.metacrawler.com/ Yahoo Eine Suchmaschine mit Redaktion (ein Katalog): http://de.yahoo. com/
Bei den Anfragen ist Groß- und Kleinschreibung unerheblich. Logische Verknüpfungen (und - oder) verstehen fast alle Maschinen, Jokerzeichen nicht alle. Die Treffer werden in der Antwort bei seriösen Suchmaschinen nach dem Grad der Übereinstimmung mit der Frage geordnet, bei anderen spielt Geld eine Rolle. Ein Problem für den Benutzer stellt oft die schiere Menge der Treffer dar. Eine kürzlich bei Google veranstaltete Suche nach wulf alex erbrachte über 30.000 Treffer. Was soll man damit anfangen? Manche Antworten überraschen und haben einen Unterhaltungs- oder Bildungswert. Wer denkt bei einer Frage nach Informationen zu Blut an Wiener Blut oder Schlehenblut? 5.6.7 Wenn es nicht an Ihnen liegt: Die Fehlerdatenbank Auch Debian ist nicht fehlerfrei. Es kommt vor, dass Sie auf ein Problem stoßen, dessen Ursache nicht in Unwissenheit oder falschem Gebrauch, sondern in einem Fehler eines Debian-Paketes begründet ist. In einem solchen Fall sollten Sie einen Fehlerbericht an das Debian Bug Tracking System schicken. Unter den URLs http://www.debian.org/Bugs/ oder http: //bugs.debian.org/ finden Sie eine Suchmaske der Fehlerdatenbank, mit deren Hilfe Sie herausfinden können, ob der Fehler schon bekannt ist. Dort stehen auch weitere Informationen, wie eine Fehlermeldung zu erstellen und abzusenden ist. Sie sollten dabei im Hinterkopf behalten, dass Sie den Fehlerbericht an einen unbezahlten und unbezahlbaren Freiwilligen schicken und sich bemühen, alle erforderlichen Informationen zu liefern.
Teil II
Einrichtung
6 Planen der Einrichtung
Vor dem Einrichten eines Debian-GNU/Linux-Systems stehen Überlegungen, was man will und braucht. Das erleichtert die spätere Arbeit, spart Zeit und Mühen und verbessert das Ergebnis.
6.1 Einsatzzweck Debian GNU/Linux wird für ein breites Spektrum von Anwendungen eingesetzt. Dazu gehören Router1 , Dateiserver für kleine und große Netze, Internetserver (Email, Web, FTP, News etc.), Firewalls2 , Rechner zur Programmentwicklung, wissenschaftliche Arbeitsplätze, Büro-Arbeitsplätze, einfache Netzterminals, die sich nur um Einund Ausgabe kümmern und auf einem anderen Rechner rechnen lassen, sowie HeimPCs, die zum Verfassen von Texten und Tabellen, zum Surfen im Web, zur Verwaltung der Briefmarkensammlung oder eines kleinen Vereins, zum Spielen und vielleicht noch zum Brennen von CD/DVDs oder zum Musikhören verwendet werden. Für alle diese Aufgaben gibt es nur ein Debian GNU/Linux. Sie brauchen sich also nicht zwischen einer Home-Edition, einer Ausgabe für Profis, einer Special Edition für Gurus oder einem Bundle für Server zu entscheiden. Die Anpassung an den Einsatzzweck geschieht durch die Auswahl verschiedener Programmpakete; sie lässt sich jederzeit nachträglich durch Hinauswerfen oder Nachrüsten von Debian-Paketen ändern. Die Grundeinrichtung ist für alle Aufgaben gleich. Aus Sicherheitsgründen sollte man nicht viel mehr als die benötigte Software einrichten; ein Compiler oder Debugger hat auf einem Büro-Arbeitsplatz nichts verloren. Den Einsatzzweck eines Rechners vor der Einrichtung festzulegen ist hilfreich, wenn es um die folgenden Fragen geht: • •
Beschaffung der Hardware, Bestimmung der Speichergrößen (Arbeitsspeicher, Massenspeicher), 1
Rechner, die Datenpakete von einem Netz in ein anderes leiten. Systeme, die Datenpakete nach bestimmten Regeln filtern und nur erwünschte Pakete durchlassen. 2
302
• •
6 Planen der Einrichtung
Einteilung (Partitionierung) der Festplatte(n) und Auswahl der zusätzlich zur Grundeinrichtung einzurichtenden Software.
Es ist zweckmäßig, vor den Beschaffungen die folgenden Fragen zumindest grob zu beantworten: • •
•
• • •
•
• •
Soll auf dem Rechner eine grafische Benutzeroberfläche zur Verfügung stehen oder reicht es, den Rechner von einem Textterminal (Konsole) aus zu steuern? Welche Programme sollen auf dem Rechner eingerichtet werden? Also beispielsweise ein Office-Paket, Spiele, wissenschaftliche Anwendungen oder andere. Hierfür muss genügend Prozessorleistung und Speicherplatz vorhanden sein. Welche Datenmenge muss pro Benutzer auf dem Massenspeicher gelagert werden? Dies ist abhängig von der Art der Anwendungen und reicht von einigen Megabyte für einfache Textverarbeitungen bis zu mehreren Gigabyte bei Anwendungen wie dem Brennen von CD/DVDs oder aufwendiger Musik-, Videooder Bildbearbeitung. Filme brauchen extrem viel Platz. Wie sichere ich die Daten (Backup)? Eine oft übersehene Frage, die in Abschnitt 18.3.3 Backup auf Seite 904 erläutert wird. Wie viele Personen werden insgesamt (nicht gleichzeitig) mit dem Rechner arbeiten? Wie viele Personen werden gleichzeitig mit dem Rechner arbeiten (etwa über Terminals oder Internet-Verbindungen)? Mit jedem Benutzer, der ein Programm ausführt, wird zusätzliche Rechenkapazität und zusätzlicher Arbeitsspeicher benötigt. Wie hoch sind die Sicherheitsanforderungen an das System? Ein Rechner, der ständig mit dem Internet oder einem anderen Netz verbunden ist, muss hinsichtlich seiner Sicherheit sorgfältiger konfiguriert werden als ein Heim-PC, der nur gelegentlich und für kurze Zeit mit einem Netz verbunden ist. Wenn von einem Rechner Dienste (Email, Webserver) in einem Netz angeboten werden sollen, erhöhen sich die Sicherheitsanforderungen weiter. Wenn der Rechner als Server dient: Wie viele Benutzer werden gleichzeitig auf ihn zugreifen? Sollen neben Debian GNU/Linux noch ein oder mehrere andere Betriebssysteme auf dem Rechner existieren?
Sehen wir uns drei typische Szenarien an, als erstes einen Arbeitsplatzrechner auf dem Schreibtisch, der vorwiegend für Bürotätigkeiten eingesetzt wird. Dieser braucht durchschnittliche Hardware – Einzelheiten erklären wir in Abschnitt 6.4 Hardware und Schnittstellen auf Seite 306 – eine Arbeitsumgebung mit grafischer Oberfläche und sollte leise sein. Ein Multimedia-Arbeitsplatz dagegen braucht viel und sehr leistungsfähige Hardware, eigentlich von allem das Beste. Das geht ins Geld. Bei Servern steht die Zuverlässigkeit an oberster Stelle, weil unter Umständen ein ganzes Netz mit vielen Arbeitsplätzen vom Funktionieren der Server abhängt. Dazu mehr in Abschnitt 18 Sicherheit ab Seite 897. Die technischen Ansprüche an Server in einem lokalen Netz sind eher gering, sodass oft Hardware, die für einen Arbeitsplatz nicht länger geeignet ist, als Server im Keller noch gute Dienste leistet.
6.1 Einsatzzweck
303
Ausnahmen sind beispielsweise hoch belastete öffentliche Web-Server (Debian, Wikipedia) oder Anwendungsserver (application server), die Rechenleistung anbieten. Das Nachdenken über diese Fragen ist der richtige Moment, ein Heft, eine Kladde anzulegen, in der die Antworten auf obige Fragen und später die Beschreibung der Hardware, die Einzelheiten der Einrichtung und Konfiguration und noch später etwaige Änderungen bleistiftlich auf Papier festgehalten werden. Für kleine Netze (SOHO = Small Office, Home) bis zu etwa einem Dutzend Rechnern reicht ein einfaches Heft von hundert Seiten DIN A4, darüber macht man sich Vordrucke zum Ablegen in Aktenordnern. Selbst in einem kleinen Familiennetz – gemeinsamer Drucker und Internetzugang – fallen so viele Daten an, dass niemand sie zuverlässig im Kopf behalten kann. Und Netze streiken dann am liebsten, wenn der allwissende Verwalter am Nordkap weilt und ein überraschter Vertreter die Karre aus dem Dreck ziehen soll. Als Anregung hier die Punkte, die man zu einem PC notieren könnte: • • • • • • • • • • • • • • • • • • •
Rechneradresse und -namen, Standort, Aufgaben, Hauptbenutzer, Gehäusetyp (Desktop, Laptop, Bigtower, 19-Zoll-Einschub . . . ), Mainboard, BIOS, Zentralprozessor, Taktfrequenz, Chipsatz, Arbeitsspeicher (Typ, Menge), Grafikkarte, Bildschirm (Monitor), Tastatur, Maus oder Rollkugel, Netzkarte, MAC-Adresse, weitere Adapterkarten, Laufwerke (Diskette, CD/DVD . . . ), Stromversorgung (Typ, Leistung), Festplatten (Typ, Partitionierung), Version von Betriebssystem und Kern, Dämonen, Serverdienste, besondere Software, sicherheitsrelevante Merkmale wie Umgang mit personenbezogenen Daten, Speicherung wertvoller Manuskripte, Dienstleistungen für das lokale Netz usw.
Platz lassen für Änderungen oder Ergänzungen. Alle Knoten im lokalen Netz (Router, Access Points, Drucker, verwaltbare Switche, NAS . . . ) bekommen ähnliche Einträge. Die Verkabelung sowie Telefonanlagen fallen möglicherweise auch in den Einzugsbereich der Sammlung. Die Kladde gibt es auch in elektronischer Form – Suchwort Inventory – mit Datenbank und Web-Interface (PHP/MySQL/Apache). Man treibe aber den Aufwand nicht zu hoch – handschriftliche Notizen in chronologischer Folge sind besser als eine Datenbank, die nicht zugänglich ist, weil der Server spinnt. Das in Python geschriebene Werkzeug dconf sammelt Konfigurationsdaten eines Rechners und schreibt sie in eine Datei, die man – komprimiert – auf einem entfernbaren Medium ablegt. Die Sammlung ergänzt die Kladde, ersetzt sie aber nicht. Auch ist es nicht möglich, die Konfigurationsdaten automatisch zurückzuspielen.
304
6 Planen der Einrichtung
Mit Hardware kommt meist Dokumentation in verschiedensten Formaten mit – vom Poster bis zur CD – für deren zuverlässige Ablage ein Weg gefunden und eingehalten werden muss. Für nicht zu umfangreiche Sammlungen haben sich Hängeregistraturen mit Heftern und Mappen bewährt, da kann man auch einmal ein Tütchen mit Schrauben oder ein kurzes Kabel unterbringen. Das sind Kleinigkeiten, die vorbereitet sein sollten, ehe der erste Rechner ins Haus kommt.
6.2 Koexistenz mit anderen Betriebssystemen 6.2.1 Koexistenz neben anderen Betriebssystemen Debian GNU/Linux verträgt sich reibungslos mit anderen Betriebssystemen auf einer Maschine. Trotzdem muss bei Installationen, bei denen Debian nachträglich neben einem vorhandenen Betriebssystem auf dem Rechner eingerichtet werden soll, mit besonderer Sorgfalt vorgegangen werden, damit das alte System nicht beschädigt wird. Das Zusammenleben von GNU/Linux mit anderen Betriebssystemen ist Thema des Windows+BSD+Linux Installation Guide (2004) von S UBHASISH G HOSH bei TLDP. Der Guide wird zur Zeit überarbeitet. Jedes Betriebssystem benötigt einen eigenen Festplattenbereich (Partition), der von anderen Betriebssystemen nicht verändert werden darf. Außerdem verlangt der Startvorgang (Booten) Beachtung. Am einfachsten hat man es, wenn man mit einer leeren Platte beginnt, diese unter Berücksichtigung aller einzurichtenden Betriebssysteme aufteilt und zuerst die anderen Betriebssysteme einrichtet. Wenn schon ein Betriebssystem auf dem Rechner läuft, besteht die einfachste und heute keine hohen Kosten verursachende Vorgehensweise darin, dem Rechner eine weitere Festplatte hinzuzufügen (falls der Platz im Gehäuse ausreicht), die vollständig Debian GNU/Linux gehört. Dies ist nicht immer möglich, weil das System-BIOS älterer Rechner nicht von allen Festplatten ein Betriebssystem laden kann. Hier ist es möglich, das zweite System von einer bestehenden DOS- oder MS-WindowsInstallation aus zu starten. Wenn auf den Einbau einer weiteren Festplatte verzichtet werden muss, stehen immer noch mehrere Wege zur Verfügung: In vielen Fällen kann der einem Betriebssystem zugeordnete Bereich (Partition) verkleinert werden. Dies kann beispielsweise mit dem Debian GNU/Linux beiliegenden DOS-Programm fips.exe oder dem kommerziellen Programm Partition Magic geschehen. fips.exe lässt sich auch per FTP von einem Debian-Server aus dem Verzeichnis /debian/tools holen. In anderen Fällen muss die Festplatte neu aufgeteilt werden. Das Anlegen einer vollständigen Sicherungskopie aller Daten auf der Festplatte ist dringend anzuraten bzw. unausweichlich. Umpartitionieren ist immer eine heikle Angelegenheit. 6.2.2 Koexistenz unter einem Über-Betriebssystem (Xen) Ein anderer Weg zum Betreiben mehrerer Betriebssysteme auf einem Rechner besteht darin, zuerst eine Art von Über-Betriebssystem einzurichten, unter dessen Regie der Rechner in mehrere virtuelle Maschinen (VM) aufgeteilt wird, die jeweils ihr
6.3 Migration von anderen Betriebssystemen
305
eigenes Betriebssystem (Gastsystem) fahren. Es versteht sich, dass die Hardware für diese Aufgabe nicht schwächlich sein darf. Ein Beispiel eines solchen Über-Betriebssystems (Hypervisor) ist das an der Universität Cambridge/UK entwickelte Xen, bei Debian in Form mehrerer Pakete zu haben, die teilweise noch in unstable liegen. Für den Anfang ist das Paket xen-docs-3.0 aus etch am interessantesten, dessen Inhalt in /usr/share/doc/ xen-docs-3.0 landet, darunter ein User’s Manual im Umfang von 60 Seiten. Heimathafen der Software ist http://www.xensource.com/. Das ursprüngliche Projekt zielt in eine etwas andere Richtung (Distributed Servers) und ist unter http://www.xenoservers.net/ zu finden; nicht bei Debian vertreten. Unter günstigen Voraussetzungen ist der von Xen verursachte Overhead gering. Es gibt aber auch noch Probleme, vor allem mit nicht-offener Software.
6.3 Migration von anderen Betriebssystemen Unter Migration – von lateinisch migrare = wandern – versteht man den Übergang von einem Betriebssystem zu einem anderen unter weitgehender Beibehaltung der Hardware, Rettung aller Daten und möglichst geringer Störung des laufenden Betriebs. Das ist eine anspruchsvolle technische, mehr aber noch ein organisatorische Aufgabe. Etwas Psychologie schadet nicht. Teilmigrationen wie die Umstellung: • • • • • • • • •
von Debian GNU/Linux sarge auf etch, von Webseiten von HTML auf XHTML, eines Textprojektes von Word auf LATEX, von einer Datenbank auf eine andere, von einem Email-System (sendmail) auf ein anderes (exim), von der Benutzerverwaltung mittels NIS auf LDAP, von einem Zeichencode (ASCII) auf einen anderen (UTF-8), eines Netzes von Arcnet oder Token Ring auf Ethernet, des Backup-Mediums von Bändern auf CD/DVD
sind unausweichlich und gehören zu den gehobeneren Aufgaben jedes Verwalters. Eine Migration ist immer eine gute Gelegenheit, das Sicherheitskonzept zu verbessern. In einem gewachsenen Netz finden sich auch häufig Altlasten oder Heilige Kühe, die man mit einem Hinweis auf Sachzwänge ehrenvoll verabschieden kann. Das Bundesinnenministerium hat einen Migrationsleitfaden (aktuell 2006) herausgegeben, der unter http://www.kbst.bund.de/, Suchwort migration, in Deutsch oder Englisch im pdf-Format zu finden ist, ausgedruckt rund 500 Seiten. Ausführlich nennt er sich Leitfaden für die Migration der BasissoftwareKomponenten auf Server- und Arbeitsplatzsystemen. Debian GNU/Linux wird lobend erwähnt. Beschränken wir uns auf die technischen Fragen der Migration in kleinen bis mittleren Netzen, so kann man in folgenden Schritten vorgehen:
306
•
• • •
• • • •
•
6 Planen der Einrichtung
Untersuchen, welche Hardware möglicherweise nur unter einem bestimmten Betriebssystem läuft. Sofern es sich um zentrale Komponenten handelt, Austausch gegen vielseitigere Hardware. Untersuchen, welche Netzprotokolle (TCP/IP, SMB/NetBIOS, IPX, Appletalk) gefahren werden und wo es klemmen könnte. Umstellen zentraler Netzdienste wie DNS, DHCP, NTP. Da diese auf InternetProtokollen beruhen, sollten sie unabhängig vom Betriebssystem sein. Umstellen von weiteren Netzdiensten, die nach außen hin ebenfalls unabhängig vom Betriebssystem sind, beispielsweise Web-Server. Eine Webseite ist in HTML geschrieben, ein Web-Server spricht HTTP, ganz gleich, wie sie heißen und wo sie zu Hause sind. Bei dynamisch erzeugten Webseiten muss man genauer hinschauen. Umstellen des Druckdienstes mit Hilfe von CUPS und Samba, die mehrere Welten bedienen. Dies dürfte von den Benutzern bemerkt werden. Umstellen der Dateiserver mit Hilfe von Samba. Sollte von den Benutzern kaum bemerkt werden. Umstellen der Datenbank auf offene Schnittstellen. Umstellen des Anmeldedienstes (der Benutzer-Authentifizierung) mit Hilfe von Samba und OpenLDAP. An- und Abmelden könnte für manche Benutzer sogar eine neue Erfahrung sein. Umstellen der Kommunikation (Email bis Groupware). Da dies in die benutzerseitigen Anwendungsprogramme (Clients) eingreift, kann das zugleich die Umstellung der Arbeitsumgebungen erfordern. Hiervon sind die Benutzer unmittelbar betroffen. Die Akzeptanz wird erleichtert, wenn die Infrastruktur bereits reibungslos funktioniert. Ist eine große Anzahl von Arbeitsplätzen umzustellen, greift man auf Lösungen zum Duplizieren (Klonen) von Dateisystemen zurück.
In wenigen Worten zusammengefasst: zuerst die Hardware, dann das Netz, an dritter Stelle die Backend-Software und zum Schluss die Frontend-Software. Begleitend dazu sind die Verwaltungsdienste zu migrieren. Da hiervon aber nur wenige Mitarbeiter, zumeist mit technischem Verständnis, betroffen sind, ist dieser Punkt weniger kritisch.
6.4 Hardware und Schnittstellen 6.4.1 Allgemeine Hinweise Jeder Rechner soll seine Aufgaben schnell erledigen. Nun sind an der Erledigung stets mehrere Komponenten beteiligt, sodass sich die Gesamtgeschwindigkeit aus mehreren Faktoren ergibt: • • •
Anzahl und Taktfrequenz der Zentralprozessoren (CPU), Vorhandensein von Coprozessoren für spezielle Aufgaben (Grafik, Signalverarbeitung, früher auch für Gleitkommaarithmetik), Auslastung des Arbeitsspeichers (oft zu knapp bemessen),
6.4 Hardware und Schnittstellen
• • • • • •
307
Geschwindigkeit und Auslastung des Massenspeichers, Geschwindigkeit des Systembusses (ISA, PCI, PCI-Express), Geschwindigkeit und Auslastung der Netzanbindung, Eigenintelligenz peripherer Geräte (Drucker, SCSI-, Ethernet- oder ISDNAdapter, Grafikkarten), Konfiguration der Software, Qualität der Software.
Wichtig ist eine runde Abstimmung der Komponenten des Rechners im Hinblick auf seinen Einsatzzweck. Ein Porsche ist auch nicht unter allen Umständen schneller als ein Traktor. Bevor ein kompletter Rechner oder eine Komponente gekauft wird, sollte man prüfen, ob die Hardware von Linux unterstützt wird. Die Palette unterstützter Hardware ist in den letzten Jahren zwar ständig gewachsen, allerdings gibt es immer noch Hardware-Hersteller, die keine Treiber für Linux entwickeln und die Spezifikationen ihrer Hardware nicht offen legen. Eine gut gepflegte und regelmäßig aktualisierte Liste von Hardware, die mit Linux eingesetzt werden kann, stellt das Linux Hardware Compatibility HOWTO von S TEVEN P RITCHARD dar. Es liegt nach der Einrichtung von Debian in der Datei /usr/share/doc/HOWTO/en-txt/ Hardware-HOWTO.txt, falls das Paket doc-linux-text eingerichtet ist, und kann außerdem bei TLDP abgerufen werden, aktuell von Mitte 2005. Eine Aktualisierung wäre kein Luxus, aber wer macht die Arbeit? Die folgenden allgemeinen Hinweise sollten Sie berücksichtigen, wenn Sie Hardware für den Aufbau eines Linux-Systems erwerben: •
•
•
•
Lassen Sie sich von Ihrem Händler bestätigen, dass die gewünschte Komponente mit Linux zusammenarbeitet. Achten Sie darauf, dass alle benötigten Betriebsarten der betreffenden Hardware unterstützt werden. Vereinbaren Sie bei Zweifeln die Möglichkeit der Rückgabe. Fragen Sie andere Benutzer. Verzichten Sie darauf, allerneueste Komponenten zu kaufen, superschnelle Grafikkarten beispielsweise. Solche Geräte sind meist unverhältnismäßig teuer, darüber hinaus werden sie oft selbst für die Betriebssysteme, die die Hersteller offiziell unterstützen, mit halbgaren Treibern ausgeliefert. Es ist deswegen besser, erprobte Komponenten zu kaufen, die sich an bekannte Standards halten. Hingegen stehen die Chancen gut, für alte Hardware noch Linux-Treiber aufzutreiben. Grundsätzlich sollten Sie nur solche Komponenten kaufen, deren Spezifikationen vom Hersteller offen gelegt werden. Black-Box-Hardware wird unter Linux selten oder nur unzureichend unterstützt. Oft lassen sich auf den Internetseiten der Hersteller Hinweise über die Verfügbarkeit der Spezifikationen finden. In Notebooks oder Laptops steckt teilweise spezielle Hardware oder solche, deren Spezifikationen von den Herstellern nicht veröffentlicht werden. Ausführliche Informationen zum Thema Laptops und Linux finden Sie unter http: //www.linux-on-laptops.com/, http://www.de.debian.org/ misc/laptops/ und http://www.tuxmobil.org/. Hinweise zu den
308
•
•
•
•
6 Planen der Einrichtung
mit Laptops eingesetzten PCMCIA3 -Karten finden Sie im PCMCIA-HOWTO beim TLDP. Der Universal Serial Bus (USB), der Nachfolger von serieller und paralleler Schnittstelle, wird von Debian GNU/Linux unterstützt. Sie brauchen für an den USB angeschlossene Geräte USB-Treiber für die jeweilige Geräteklasse. Bei herstellerspezifischen Geräteklassen sind Probleme zu erwarten (WLAN über USB). Siehe auch http://www.linux-usb.org/. WLAN-Adapter unter Linux sind ein finsteres Kapitel, gleich ob sie über PCI oder USB angeschlossen sind. Das Wireless-HOWTO (2002) von RO BERTO A RCOMANO sollte man unbedingt durchblättern, um Fehlkäufe zu vermeiden. Ergiebiger ist http://www.hpl.hp.com/personal/Jean_ Tourrilhes/Linux/. Erschwerend kommt hinzu, dass die Hersteller gelegentlich den Chipsatz eines Kartentyps wechseln, ohne die Typenbezeichnung zu ändern. Damit werden andere Treiber fällig. Erst eine Angabe wie Netgear WG311 v2 Rev. A2 (Version 2, Revision A2) ist eindeutig. Das bekommen Sie jedoch nur heraus, wenn Sie die Karte in der Hand halten. Dann ermitteln Sie auch gleich die Chipbezeichnung zu TI TNETW1130 (aka ACX111) und wissen, dass Sie die Atheros-Treiber der Vorgängerkarte – ebenfalls Typ WG311 – nicht länger einsetzen können. In den Datenblättern findet man so gut wie nie eine Angabe über den Chipsatz. Bei langsamen Karten nach 802.11b (11 MBit/s) sieht die Lage besser aus als bei schnelleren nach 802.11g (54 MBit/s). Sie ist nicht hoffnungslos, aber man hat vermutlich Arbeit, bis der Linux-Rechner im WLAN läuft. Drucker vom unteren Ende der Preisskala verwenden proprietäre Befehle oder Treiber und arbeiten mit offener Software ungern zusammen. Außerdem ist ihre Mechanik nicht so robust wie die höherer Preisklassen. Überlegen Sie, ob Sie Ihr Geld nicht besser in einen wenig gebrauchten Drucker aus einer höheren Preisklasse stecken. Unter http://www.linuxprinting.org/ finden Sie Tipps zum Drucken. Nehmen Sie Abstand von Komponenten, die speziell für MS Windows entwickelt wurde. Solche Komponenten tragen oft Bezeichnungen wie WinModem, WinPrinter, GDI Printer (GDI = Graphics Device Interface, eine Schnittstelle von MS Windows) oder Host-based-Printer. Diese Geräte verfügen über wenig eigene Intelligenz und überlassen Arbeiten wie das Interpretieren des Befehlssatzes eines Druckers dem Betriebssystem und dem Zentralprozessor. Ein einfacher Designed for Windows-Aufkleber ist noch kein Zeichen dafür, dass es sich um solche unbenutzbaren Geräte handelt.
Wenn Sie die Hardware eines gegebenen Rechners per Software untersuchen wollen, stehen Ihnen mehrere Werkzeuge zur Verfügung (einige gehorchen nur Root). Wir 3
PCMCIA steht für Personal Computer Memory Card Interface Association. Es bezeichnet eine Klasse von Geräten, die über die PCMCIA-Schnittstelle mit Rechnern verbunden werden. Die Schnittstelle ist häufig in Laptops zu finden. PCMCIA-Geräte werden auch als PC-Cards bezeichnet, die Schnittstelle als CardBus.
6.4 Hardware und Schnittstellen
309
gehen in Abschnitt 7.1.2 Informationen zur Hardware auf Seite 337 auf die Werkzeuge ein. Die Beschreibung der Hardware ist manchmal mehr Dichtung als Wahrheit. Firmen verschweigen das, was man erfahren will, und Laien wissen nicht, wovon sie reden. Bei Unklarheiten hilft oft ein Blick auf die Anschlüsse. Eine Webcam, die nicht über einen Ethernet-Anschluss verfügt, hat mit dem Web nichts zu tun, sondern muss an einen Rechner angeschlossen werden. Dass der dann die Bilder unter gewissen Voraussetzungen ins Web stellen kann, ist eine andere Geschichte und hat mit der Kamera nichts zu tun. Es gibt aber auch mustergültige Dokumentationen, zunehmend im Netz bei den Herstellern verfügbar. 6.4.2 Hauptprozessor(en) Die benötigte Prozessorleistung ist abhängig von Art und Anzahl der Programme, die gleichzeitig auf dem Rechner ausgeführt werden. Rechenintensive Anwendungen sind unter anderem Spiele, Bild - und Soundverarbeitung, viele wissenschaftliche (mathematische) Anwendungen und die Entwicklung von Programmen, bei der vom Compiler zeitweilig eine hohe Rechenlast erzeugt wird. Auf der anderen Seite verbringen Anwendungen wie Textverarbeitungen oder Tabellenkalkulationen die meiste Zeit damit, auf Eingaben des Benutzers zu warten. Für einen Heim-PC zum Verfassen von Texten und für Internet-Anwendungen wie einem Web-Browser oder einem Email-Programm sind heutige Prozessoren mehr als ausreichend. Positiv bemerkbar macht sich der in den Prozessor eingebaute Cache-Speicher, der die Zugriffszeiten auf regelmäßig benötigte Speicherinhalte verkürzt. Die Bedeutung der Taktfrequenz der CPU wird oft überschätzt. Ein Maß für die Rechenleistung einer CPU ist die Anzahl der pro Zeiteinheit abgearbeiteten Anweisungen, ausgedrückt in Millionen Instruktionen per Sekunde oder MIPS. Nun gibt es unterschiedlich zeithungrige Anweisungen und unterschiedliche Prozessorarchitekturen, sodass die MIPS keinen genauen Vergleich ermöglichen. Andere Maße sind aber auch nicht besser. Wenn es um die Geschwindigkeit eines ganzen Rechners geht – die eigentlich interessierende Größe – werden die Verhältnisse noch undurchsichtiger. Der Linux-Kern sowie einige Treiber brauchen Angaben über die Geschwindigkeit des Prozessors, auf dem sie laufen. L INUS B. T ORVALDS hat zu diesem Zweck das Maß BogoMIPS definiert, das bei jedem Startvorgang eines Rechners ermittelt wird. Für eine Vielzahl von Prozessoren liegen Umrechnungsfaktoren vor, die aus der Taktfrequenz die BogoMIPS bestimmen. Ein Benutzer kann damit überprüfen, ob sein Rechner die zu erwartende Prozessorgeschwindigkeit erreicht oder nicht. Der Aufruf: joe@debian:~$ less /proc/cpuinfo zeigt den Prozessortakt, die BogoMIPS und weitere Prozessoreigenschaften an. Das Werkzeug bogomips4 aus dem Paket sysutils ermittelt ebenfalls die BogoMIPS. 4
Gibts nicht mehr.
310
6 Planen der Einrichtung
Da es im laufenden Betrieb jedoch mit Dämonen und Benutzerprozessen im Wettbewerb steht, stimmen seine Ergebnisse selten mit den beim Booten ermittelten Werten überein. Weiteres siehe im BogoMIPS mini-Howto (2006) beim TLDP oder auf http://www.clifton.nl/. Bei Datei- und Web-Servern, auf denen keine umfangreichen Berechnungen ausgeführt werden, wird meistens auf das Netz oder den Datenzugriff gewartet, sodass auch hier kein besonders schneller Prozessor benötigt wird. Ähnlich sieht es aus bei Routern: Ein Rechner, der einen Internetzugang über eine ISDN-Leitung für ein kleines Netz zur Verfügung stellen soll, ist sogar mit einem alten 486-Prozessor ausreichend bedient. Da es auf erhebliche technische Schwierigkeiten stößt, Prozessoren schneller zu machen, versucht man, mehrere Prozessoren parallel arbeiten zu lassen. Das beginnt mit Intels Hyper-Threading Technology (HTT), bei der in einem Prozessor wichtige Teile (Register usw.) doppelt vorhanden sind, sodass er sich logisch wie zwei Prozessoren darstellt, und geht über Prozessoren mit mehreren vollständigen Kernen bis hin zu Hauptplatinen, auf denen mehrere selbständige Zentralprozessoren arbeiten. Multiprozessorsysteme (Symmetrical Multi Processing, SMP) sind dann sinnvoll, wenn auf dem Rechner viele Benutzer zeitgleich rechenintensive Programme ausführen. Ein einzelnes Programm nutzt mehrere Prozessoren nicht aus. Eine Ausnahme hiervon stellen Programme dar, beispielsweise für mathematische Berechnungen oder zum Rendern von Bildern, die – dahingehend programmiert – mehrere Prozessoren ansprechen. Andererseits ist Linux/UNIX grundsätzlich ein Multi-Tasking-System, bei dem es auch bei nur einem Benutzer immer wieder vorkommt, dass mehrere Prozesse gleichzeitig die CPU haben möchten. Auf einem intensiv genutzten Arbeitsplatzrechner ist HTT oder eine vergleichbare Technologie kein Luxus, eine Hauptplatine mit vier Prozessoren wäre in den meisten Fällen übertrieben. Das Geld steckt man besser in den Arbeitsspeicher. Die Unterstützung von Multiprozessorsystemen war früher im Standard-Kern nicht enthalten. Man musste deswegen nach der Einrichtung einen angepassten Kern erzeugen, siehe Abschnitt 15.1 Anpassung und Erstellung des Betriebssystemkerns auf Seite 679. Aktuelle Kerne schalten selbständig zur Laufzeit zwischen Ein- und Mehrprozessorbetrieb um. Linux für PCs verlangt im Minimum einen Intel-80386-Prozessor oder einen dazu kompatiblen. Moderne Prozessoren dieser Familie weisen einen integrierten mathematischen Coprozessor sowie Multimediaerweiterungen (MMX oder ähnliche) auf. Beides wird von Linux nicht zwingend benötigt. 80286er Prozessoren und deren Vorgänger werden nicht unterstützt, aber die müssen Sie schon in Museen suchen. Falls Sie aus Nostalgie einen älteren Prozessor mit einem UNIX-ähnlichen Betriebssystem in Gang halten wollen, empfiehlt sich Minix (http://www.minix3. org/ und http://www.cs.vu.nl/~ast/minix.html). Das alte Minix läuft sogar auf einem 8088 mit Diskettenlaufwerk, ohne Platte. Das aktuelle Minix3 bietet mehr, setzt aber wie Linux mindestens einen 80386 voraus. Die Taktfrequenzen der Prozessoren sind in der Vergangenheit ständig gestiegen und liegen heute im Bereich von einigen Gigahertz. Damit stoßen sie an physikalische Grenzen, weshalb sich die Entwicklung zur Zeit in Richtung Mehrprozessor-
6.4 Hardware und Schnittstellen
311
Architekturen verlagert. Wie viel Mega- oder Gigahertz braucht man? Im PC, auf dem das Manuskript zu vorliegendem Buch erstellt wurde, arbeitet eine CPU mit 1,3 GHz Taktfrequenz, sein experimenteller Nachbar mit 800 MHz. Der Datei-, Web, Zeit-, DNS/DHCP-, NIS-, Email-, Datenbank-, Font-, Wörterbuch- und CUPSServer im Keller rast mit 400 MHz, woraus die Lebensstationen eines PCs ersichtlich sind. Mehr Hertz braucht man für gehobene Multimedia-Anwendungen und Simulationen in Echtzeit. Mathematische Anwendungen wie die Wettervorhersage oder die Kernphysik beschäftigen ganze Rechnerverbunde. Bei Datenbanken oder Webservern liegt der Engpass eher im I/O-System als im Prozessor. Prozessoren sind gesockelt, selten eingelötet. Die Vielfalt der Sockeltypen (So370, So462, So478, So479, So754, So775, So939, So940, SoA) erfordert Aufmerksamkeit. Die Hauptplatine (E: mainboard, motherboard, F: carte mère) bestimmt den Prozessor oder umgekehrt. Wer sicher gehen will, erwirbt beides zusammen. Heutige Prozessoren benötigen einen eigenen Ventilator, bei dem man nicht sparen sollte. Billige Ventilatoren neigen zu festgehenden Lagern. 6.4.3 Arbeitsspeicher (RAM) Dies ist die Komponente, welche die Gesamtleistung eines Debian GNU/Linux Systems in vielen Fällen am ehesten beeinflusst. Die Bedeutung der Größe des Arbeitsspeichers wird oft unterschätzt. Wenn ein System lahmt, gilt die erste Frage5 dem Arbeitsspeicher. Linux selbst kann zwar auf einem System ab 8 MB RAM ausgeführt werden, Debian GNU/Linux ab 32 MB, moderne grafische Benutzeroberflächen mit integrierten Arbeitsumgebungen wie KDE oder GNOME brauchen jedoch ein Vielfaches davon, und wenn noch ein Office-Paket oder ein anspruchsvoller Web-Browser dazu kommt, sind 256 MB RAM als Minimum anzusehen und 512 MB angemessen. Das Doppelte ist noch kein Luxus. Linux legt in überschüssigem Arbeitsspeicher Puffer an, was die Arbeit beschleunigt. Auch Serversysteme profitieren von reichlich Arbeitsspeicher mehr als von hohem Prozessortakt, da sie Daten, auf die häufig zugegriffen wird, im RAM puffern und die angeforderten Daten schneller zur Verfügung stellen. Bei Systemen, auf denen mehrere Benutzer gleichzeitig Programme ausführen, wird zum Starten der ersten Instanz eines Programms mehr Arbeitsspeicher benötigt als bei den folgenden, da viele Programmbestandteile zwischen den Prozessen geteilt werden. So werden zum Starten eines bekannten Office-Paketes 35 MB Arbeitsspeicher benötigt, wohingegen für jeden weiteren Benutzer nur 15 MB zusätzlich anfallen. Wenig Arbeitsspeicher benötigen Rechner, die als reine Terminals dienen: hier können bei Verwendung des X Window Systems (X11, grafische Oberfläche) 128 MB schon ausreichen. Auch Router oder Druckserver ohne grafische Oberfläche sollten mit 128 MB RAM über ausreichend Hauptspeicher verfügen6 . Als Faustregel lässt sich empfehlen, lieber etwas mehr Arbeitsspeicher zu nehmen und dafür 5
Die zweite Frage gilt der Anzahl der offenen Fenster. Gerade beim Surfen im Web passiert es leicht, dass man unbemerkt Dutzende von Fenstern öffnet, die Speicher fressen. 6 Druckserver, auf denen aufwendige Filterprozesse (Grafiken) laufen, benötigen mehr Arbeitsspeicher.
312
6 Planen der Einrichtung
an anderen Komponenten zu sparen. Oder zumindest das Nachrüsten von Speicher einzuplanen. In der Vergangenheit hat es Probleme mit ungenau arbeitenden Speicherchips gegeben. Zum Teil sind die Probleme unter anderen Betriebssystemen nicht aufgetreten, weil diese geringere Anforderungen an den Speicher stellen. Wenn Ihr Rechner unter MS Windows häufig allgemeine Schutzverletzungen erzeugt hat, kann es sein, dass sich in Ihrem Rechner fehlerhafte Speicherchips befinden, mit denen Sie unter Linux Probleme bekommen. Vorbeugend keine Speicherchips zweiter Wahl kaufen und dafür sorgen, dass es dem Rechner nicht zu warm wird. Auch bei den Speicherriegeln hat sich eine Vielfalt von Sockeln und weiteren Eigenschaften entwickelt, sodass man die Dokumentation seiner Hauptplatine genau lesen muss, um den passenden Speichertyp zu erwischen. 6.4.4 Grafikkarte Wir kommen nun zu den Einsteckkarten, die in entsprechende längliche Sockel (Steckplatz, I/O Bus Slot) auf der Hauptplatine gesteckt werden und großenteils eine Steckverbindung nach außen aufweisen, um Peripheriegeräte anzuschließen. Einige dieser Karten können in die Hauptplatine integriert sein, was preisgünstig ist, Platz spart, Wackelkontakte vermeidet, aber den Nachteil hat, dass man keine Wahl hat. Bestenfalls lässt sich eine integrierte Funktion im BIOS Setup abschalten. Gerade bei Grafikkarten möchte mancher Benutzer etwas Höherwertigeres haben. Die Sockelvielfalt bei den Einsteckkarten ist noch überschaubar: • • • • •
8- oder 16-bittiger ISA-Bus (Industry Standard Architecture), mit 16 Bit auch als AT-Bus bezeichnet, so gut wie ausgestorben, VESA Local Bus (VLB), war nur kurze Zeit um 1993 auf dem Markt, Accelerated Graphics Port (AGP), bei Grafikkarten verbreitet, meist ein Steckplatz auf die Hauptplatine vorhanden, 32-bittiger PCI-Bus (Peripheral Component Interconnect), weit verbreitet, PCI Express (PCIe), der Nachfolger von PCI und AGP, stark im Kommen.
Heutige Grafikkarten benutzen AGP, PCI oder PCIe. Als Ausgang zum Bildschirm verwenden die meisten Karten einen fünfzehnpoligen VGA-Anschluss (Video Graphics Array). Die Technik befindet sich jedoch im Umbruch. Manche Karten verfügen zusätzlich oder ausschließlich über einen digitalen DVI-Anschluss (Digital Visual Interface). Leider findet sich bei DVI-Steckern und -Steckdosen eine gewisse Vielfalt. Bei der Beschaffung neuer Karten und Bildschirme sollte man DVI wählen, das Qualitätsvorteile bietet, weil die Umwandlung des Signals von digital nach analog und wieder nach digital entfällt. Als Nachfolger von DVI ist DisplayPort vorgesehen, aber noch nicht verbreitet. Grafikkarten für Rechner mit grafischer Benutzeroberfläche sollten eine ausreichende Auflösung bei ergonomischen Bildfrequenzen bieten. Für eine Auflösung von 1024x768 Punkten bei 32 Bit Farbtiefe wird ein Grafikspeicher von mindestens 4 MB benötigt, aber das hat jede neuere Karte. Einige Karten zweigen Grafikspeicher vom Arbeitsspeicher ab, wogegen nichts einzuwenden ist. Eigenschaften
6.4 Hardware und Schnittstellen
313
Abb. 6.1: Grafikkarte mit beidseitigem passiven Kühler, kann Platzprobleme bereiten. Tab. 6.1: Seitenverhältnisse von Bildschirmformaten und gängigen Papier- und Fotoformaten Format
Auflösung
Seitenverhältnis
SXGA Letter VGA SVGA XGA UXGA DIN A Kleinbild WSXGA WUXGA WXGA
1280 x 1024 – 640 x 480 800 x 600 1024 x 768 1600 x 1200 – – 1680 x 1050 1920 x 1200 1280 x 768
5:4 11 : 8,5 4:3 4:3 4:3 4:3 1,414 : 1 3:2 16 : 10 16 : 10 16 : 9
S. normiert 1,25 1,29 1,33 1,33 1,33 1,33 1,41 1,50 1,60 1,60 1,78
wie zusätzlicher Speicher oder 3D-Beschleunigung werden nur von speziellen Programmen wie Spielen oder besonderen Grafikprogrammen ausgenutzt. Der Betrieb von zwei Bildschirmen an einer Karte (Dual-Head) verlangt etwas mehr Leistung des Grafikprozessors und Grafikspeicher, ist aber immer noch mit preiswerten Karten machbar. Beim Zweitautor beispielsweise versorgt eine XFX-Karte mit einem Nvidia-GeForce-6200-Chip und 256 MB Speicher zwei Flachbildschirme, aber der verbringt seine Freizeit nicht mit Computerspielen. Bei einem Rechner am Arbeitsplatz ist darauf zu achten, dass das Gebläse auf der Grafikkarte nicht lärmt. Bei nicht
314
6 Planen der Einrichtung
zu hohen Ansprüchen kommt man mit passsiver Kühlung ohne Gebläse aus, absolut ruhig und eine Fehlerquelle weniger im Kasten, siehe Abbildung 6.1. In Servern ohne X11 reichen sogar ziemlich alte VGA-Karten aus und sparen Strom. Zu verschiedenen Auflösungen gehört leider kein einheitliches Seitenverhältnis, siehe Tabelle 6.1. Grafische Benutzeroberflächen basieren unter Linux auf X11, beschrieben in Abschnitt 3 X Window System (X11) und Arbeitsumgebungen ab Seite 183. Der X-Server ist für die Ansteuerung der Grafikhardware zuständig. Unter Debian sarge wird defaultmäßig die freie Implementierung XFree86 benutzt, unter etch der X-Server von X.org. Welche Grafikkarten bzw. Chipsätze von diesen Implementierungen unterstützt werden, lesen Sie unter http://www.xfree86.org/ current/RELNOTES4.html bzw. http://ftp.x.org/pub/X11R7.0/ doc/html/manindex4.html nach. 6.4.5 Festplatte Auch bei Festplatten als dem wichtigsten Massenspeicher hat sich die Verbindung zur Hauptplatine im Lauf der Jahre weiterentwickelt. Wir finden: • • • • • • • •
ST506, mit den Aufzeichnungsverfahren MFM oder RLL, historisch, Advanced Technology Attachment (ATA), ATA with Packet Interface (ATAPI) Integrated Drive Electronics (IDE) Enhanced Integrated Drive Electronics (EIDE) Serial-ATA (S-ATA), für interne oder externe Platten, werden von Linux als SCSI-Platten angesprochen, Universal Serial Bus (USB), für externe Platten, werden von Linux als SCSIPlatten angesprochen, ebenso USB-Stöpsel, Firewire oder IEEE 1394, für externe Platten, Small Computer Systems Interface (SCSI) in mehreren Varianten, heute als Neuanschaffung nur noch für große Server interessant, bei denen Durchsatz alles ist und Geld keine Rolle spielt.
Die Kapazität der Platten ist in den vergangenen 20 Jahren geradezu explodiert, siehe Abbildung 6.2, und wir stehen noch nicht am Ende der Entwicklung. Abbildung 6.2 oder besser noch eine ausgesonderte und geöffnete Platte vor Augen – die mit dem Öffnen rettungslos verloren ist – machen wir uns die Begriffe Kopf, Spur, Zylinder und Sektor/Block klar, die beim Partitionieren vorkommen. Ein Festplattenspeicher enthält mindestens eine, oft mehrere Scheiben auf einer Welle, die im Betrieb mit einigen tausend Umdrehungen je Minute rotiert. Über jede Oberoder Unterseite einer Scheibe gleitet im Abstand von wenigen Mikrometern auf einem Luftpolster ein Schreib/Lesekopf, der an einem schwenkbaren Arm befestigt ist. Die Anzahl der Köpfe entspricht der Anzahl der verfügbaren Scheibenseiten. Auf den Scheibenseiten sind auf der anfangs homogenen Beschichtung konzentrische kreisförmige Magnetspuren angebracht. Übereinander liegende Spuren – die also denselben Durchmesser haben – bilden einen gedachten Zylinder. Ferner sind die Plattenseiten wie eine Torte in Sektoren unterteilt. Die Geometrie einer Platte ist durch eine Angabe wie 4 Köpfe, 615 Zylinder und 17 Sektoren gekennzeichnet
6.4 Hardware und Schnittstellen
315
Abb. 6.2: Links eine Scheibe aus einem Festplattenlaufwerk von 1985, Durchmesser 14 Zoll, Kapazität der Scheibe 10 MB, rechts geöffnete Festplatte mit Scheibendurchmesser 3,5 Zoll, Kapazität im Jahr 2007 bis 750 GB
(das war der klassische Typ 2 oder Seagate ST225 mit rund 20 MB Kapazität aus dem IBM PC XT, siehe http://www.seagate.com/). Moderne Platten nutzen die Tatsache aus, dass die Länge einer Spur in einem Sektor außen größer ist als innen und verkleinern den Winkel des Sektors mit zunehmenden Radius. Man darf dann eigentlich nicht mehr von Sektor im geometrischen Sinn reden, sondern sollte die Kreisbögen als Blöcke (Plattenblöcke) bezeichnen, die durchnummeriert werden und meist 512 Bytes fassen. In Abschnitt 13.2.1 Extended File System Version 2 auf Seite 565 lernen wir logische Blöcke kennen, die aus 2, 4 oder 8 der eben genannten Blöcke bestehen und gelegentlich als Cluster bezeichnet werden. Aber Cluster treten in der Computerey an mehreren Stellen auf; ohne Zusammenhang ist das Wort ebenso schwammig wie das Wort Domäne. Die tatsächliche Plattengeometrie wird meist durch die Plattenelektronik in andere Werte umgesetzt (Logical Block Addressing, LBA), nur die Gesamtzahl der Sektoren oder Plattenblöcke bleibt erhalten. Mit dem Aufruf: debian:~# hdparm -I /dev/hda ermitteln wir die Anzahl der Plattenblöcke (LBAsects) der Platte hinter /dev/hda. Dividieren wir die Gesamtkapazität der Platte durch die Anzahl, erhalten wir Größe eines Plattenblocks (512 oder 1024 Bytes). Krumme Werte kommen nicht vor. Der Aufruf: debian:~# hdparm -tT /dev/hda
316
6 Planen der Einrichtung
veranlasst einen kleinen Lesetest, der Auskunft über den Datendurchsatz gibt. Man beachte aber das Manual zu hdparm, um die Ergebnisse richtig zu verstehen. Während Software das Gigabyte zu 1024 Megabyte rechnet, verwenden Plattenhersteller einen Umrechnungsfaktor von 1000, genauso auch in den anderen Stufen. Genannte Platte kommt bei einer Sektorgröße von 512 Byte einmal zu einer Gesamtkapazität von 21,4 MB, in anderem Zusammenhang zu 20,4 MB. Will man genau ausdrücken, dass man die Stufung nach Zweierpotenzen (1024) meint, gebraucht man die Einheiten KiB, MiB und GiB (Giga binary Byte). EIDE (Enhanced Integrated Drive Electronics), Serial-ATA und SCSI sind die heute gebräuchlichsten Schnittstellen zum Anschluss interner Massenspeicher wie Festplatten oder CD/DVD-Laufwerke. Alle drei werden von Linux unterstützt. SCSI hat auf Datei-Servern einige Vorteile: •
•
•
SCSI-Adapter nehmen dem Hauptprozessor einige Arbeit ab, die dieser bei einem EIDE-System selbst durchführen muss. Hochwertige SCSI-Adapter sind fast schon kleine Rechner. Über einen EIDE-Adapter lassen sich zwei Geräte an den Rechner anschließen. Weil in den meisten Rechnern heute zwei Adapter vorhanden sind, lassen sich insgesamt vier Festplatten oder CD/DVD-Laufwerke mit dieser Schnittstelle verbinden. Mit einem SCSI-Adapter lassen sich hingegen 7 oder 15 Geräte verwenden. Außerdem gibt es Adapter mit mehreren SCSI-Kanälen. Neben Festplatten und CD/DVD-Laufwerken lassen sich an SCSI-Adapter eine Reihe weiterer Geräte wie Scanner, Bandlaufwerke oder Laufwerke für Magneto-Optische Medien anschließen, falls diese eine SCSI-Schnittstelle haben.
Externe Geräte wie Scanner werden zunehmend an USB angeschlossen. Bei internen Platten gewinnt S-ATA an Boden, bei dessen Entwicklung man Erfahrungen mit EIDE und SCSI ausgenutzt hat. Während externe Platten, die über SCSI, eSATA, USB oder Firewire an einen Rechner angeschlossen werden, sich nicht anders verhalten als interne, bezeichnet Network Attached Storage (NAS, LAN-Disk) einen Massenspeicher – meist eine Platte oder einen Plattenverbund – der einen selbständigen Knoten mit eigener IP-Adresse im Netz darstellt. Hier erhebt sich die Frage nach den Protokollen und Zugriffsrechten. Man erkundige sich sorgfältig, bevor man ein solches Gerät in sein lokales Netz aufnimmt. Es gibt Probleme. Ein Ausweg besteht im Einrichten eines einfachen PCs als Dateiserver, erforderlichenfalls mit FTP, NFS und/oder Samba, da hat man alles im Griff. Will man ohnehin weitere Serverdienste im lokalen Netz einrichten wie NTP oder einen DNS-Proxy, bietet sich ein PC an. Sind die lokalen Dienste abgedeckt und geht es nur um zusätzlichen Massenspeicher, kann NAS die Lösung sein, erforderlichenfalls mit RAID 1 oder 5. Es gibt auf dem Markt sowohl fertige NAS-Boxen wie Leerboxen zum Bestücken mit Platten eigener Wahl. Wer einen NAS-Server selbst bauen will, sehe sich FreeNAS bei http://www.freenas.org/ oder Sourceforge, Openfiler bei http: //www.openfiler.com/ oder CryptoBox bei http://cryptobox.org/ an.
6.4 Hardware und Schnittstellen
317
Wie viel Speicherkapazität braucht man? Debian GNU/Linux läuft ab 110 MB zuzüglich Platz für Benutzerdaten. Eine Grundeinrichtung mit allen Standardpaketen verlangt 250 MB. Für einen vernünftigen Arbeitsplatz mit X11 usw. sind einige Gigabyte zu veranschlagen, ein durchschnittlicher Benutzer braucht auch nicht mehr, sodass ein einzelner Arbeitsplatz mit 8 bis 10 GB auskommt. So kleine Platten sind gar nicht mehr im Handel. Ein gutes Preis-Leistungs-Verhältnis bieten gegenwärtig Platten mit 80 bis 300 GB. Der Rechner, auf dem diese Zeilen geschrieben werden, ist mit einer solchen Platte ausgestattet. Sie ist zu 20 % gefüllt. Wer Filme auf seinem Rechner lagert, um damit sein Heimkino zu füttern, kann mehrere hundert GB belegen. Platten am Arbeitsplatz sollten wegen Lärm nicht schneller drehen als 7200/min. Vorteilhaft, aber auch preisgestaltend wirkt sich ein großer Cache in der Platte aus. Wenn eine Platte eingerichtet und das Dateisystem betriebsklar ist, kann man mit dem Programm bonnie++ einige Tests durchführen, die helfen, etwaige Schwachstellen oder Engpässe zu finden: joe@debian:~$ /usr/sbin/bonnie++ -d /tmp Die Tests brauchen und sollen nicht von root durchgeführt zu werden. Das Ergebnis sind einige Zahlenwerte (comma separated values), die im Vergleich mit den Ergebnissen anderer Platten oder Dateisysteme zu verstehen sind. Die Manualseite erläutert die Bedeutung der Zahlen. 6.4.6 Weitere Massenspeicher Neben fest eingebauten Festplatten (daher der Name) verfügen die meisten Rechner über Laufwerke (E: drive, F: derouleur) für entfernbare Massenspeicher: •
•
• • • •
Disketten, heute fast nur noch mit 3,5 Zoll Durchmesser und 1,44 MB Fassungsvermögen (HD = High Density) anzutreffen, früher auch mit anderen Werten von 2 bis 8 Zoll und verschiedenen Schreibdichten (siehe Wikipedia), mit eigener Schnittstelle, im Rückgang begriffen, aber bei manchen Aufgaben noch unentbehrlich. CD- oder DVD-Laufwerke, heute meist mit ATAPI-Schnittstelle, aber auch SCSI kommt vor. Achtung: CD-Laufwerke verarbeiten nur CDs, keine DVDs; DVDLaufwerke kommen mit beiden Typen zurecht. Wird oft vergessen, zumal die Scheiben gleich aussehen. DAT-Bandkassetten, meist mit SCSI-Schnittstelle, eher selten. ZIP/JAZ/LS120/HiFD-Disketten mit Fassungsvermögen über 100 MB, nur noch selten anzutreffen. magneto-optische Medien (MO-Disk), ebenfalls selten geworden. USB-Speichermedien wie Stöpsel, externe Festplatten (die dann eigentlich keine Festplatten mehr sind, sondern Wechselplatten), Speicherkarten (flash card, memory card) in einer Vielzahl von Formaten. Alternativ zur USB-Schnittstelle wird gelegentlich IEEE 1394, auch Firewire genannt, angeboten.
318
6 Planen der Einrichtung
Eine entscheidende Frage ist, ob von dem entfernbaren Medium gebootet werden kann. Das hängt von dem BIOS auf der Hauptplatine ab. Im BIOS-Setup sieht man unter dem Punkt Bootfolge oder Boot order, welche Medien zum Booten in Betracht kommen. Zum Einrichten von Debian GNU/Linux brauchen wir ein entfernbares Medium, das: • • •
vom BIOS als bootfähig angeboten wird, das Einlegen in eines der vorhandenen Laufwerke erlaubt und bei Debian mit einer Abbilddatei zum Start der Einrichtung vertreten ist.
Sonst wird es umständlich. Gängige Einrichtungsmedien sind Disketten, CD/DVDs und USB-Stöpsel. 6.4.7 Datensicherung Zur Datensicherung (Backup, Sicherungskopie) können Datenträger wie ZIP- oder JAZ-Medien, Magneto-Optische Medien (MO-Disks), USB-Stöpsel, verschiedene Floppy- oder Parallelportstreamer sowie DAT-Laufwerke eingesetzt werden. Auch das Brennen von Daten auf CD/DVDs oder das Spiegeln von Plattenbereichen auf andere Platten oder Server ist eine Lösung. Manuell durchzuführende Methoden wie das Kopieren von Daten auf externe Datenträger kommen nur für Einzelbenutzersysteme in Frage, bei denen eine Standardinstallation von Betriebssystem und Anwendungsprogrammen nach einem Datenverlust schnell wiederhergestellt werden kann und nur wenige Daten manuell erneuert werden müssen. Empfehlen lässt sich eine solche Lösung keinesfalls. Festplatten sterben schneller als man denkt, und meistens hat man bei einer solchen Methode wichtige Daten vergessen und verbringt darüber hinaus lange Zeit damit, die mühsam eingerichtete Konfiguration wiederherzustellen. Für eine zusätzliche Sicherung wertvoller Daten (Manuskripte) dagegen ist das manuelle Kopieren auf externe Datenträger (USB-Stöpsel, CD/DVD) sinnvoll, zumal der Datenbesitzer ein lebhaftes Interesse an seinen Schätzen hat und das Sichern nicht vergisst. Bequem und zuverlässig ist das Spiegeln der Festplatte auf eine zweite Platte mittels RAID 1, siehe Abschnitt 6.5.7 Redundant Array of Independent Disks auf Seite 333. Spiegeln auf eine zweite Partition derselben Platte nützt bei einem Plattenausfall nichts, es muss eine zweite Festplatte sein. Der finanzielle Aufwand ist heute erträglich, wenn es sich nicht um Riesenplatten handelt. Auch mit RAID 1 ist – in größeren Zeitabständen – eine Sicherung wertvoller Daten auf entfernbare Datenträger unerlässlich. Für Mehrbenutzersysteme und Server ist eine durchdachte Sicherungsstrategie erforderlich. Die Wahl einer entsprechenden Lösung hängt ab von der Menge der zu sichernden Daten – im Idealfall lässt sich das System ohne manuellen Eingriff komplett sichern – der Geschwindigkeit des Sicherungssystems – wie viel Zeit wird benötigt, um das System zu sichern beziehungsweise wiederherzustellen? – sowie der Zuverlässigkeit der Medien und unter Umständen der Zeit, die benötigt wird, um einzelne Dateien auf den Sicherungsmedien zu finden und sie wiederherzustellen. Bei der Einrichtung professioneller Systeme entscheidet man sich in der Regel für
6.4 Hardware und Schnittstellen
319
eine DAT-basierte Lösung. In kleinen Netzen ist das Sichern auf externe Platten das Einfachste, siehe Abschnitt 18.3.3 Backup auf Seite 904. 6.4.8 Ethernetkarte Eine Netzkarte (Netzadapter) verbindet den Rechner mit einem Netz. Von verschiedenen Netztypen ist Ethernet in mehreren Ausführungen am weitesten verbreitet: •
•
•
•
10 MBit/s – 10Base5 (Thick Ethernet), fingerdickes Koaxialkabel RG11, Bus, zum Anschluss eines Rechners Transceiver und MAU-Kabel mit 15poligem Stecker erforderlich, im Aussterben begriffen. – 10Base2 (Thin Ethernet, Cheapernet), dünnes Koaxialkabel RG58, Bus, Anschluss mittels BNC-Stecker. In kleinen Netzen gerade noch akzeptabel, nicht besonders zuverlässig, im Aussterben begriffen. – 10BaseT, mehradriges Kupferkabel (Kategorie 5 oder höher), Stern mit einem Hub oder Switch im Zentrum, 8poliger Telefonstecker RJ 45, verbreitet. nichts mehr investieren, – 10BaseFL, Lichtwellenleiter (Glasfaser), aufwendig, selten, Angebote von Komponenten dieser Geschwindigkeitsklasse sind als Entsorgungsversuche anzusehen. 100 MBit/s (Fast Ethernet) – 100Base-T, mehradriges Kupferkabel (Kategorie 5 oder höher), Stern mit einem Hub oder häufiger Switch im Zentrum, 8poliger Telefonstecker RJ 45, mit 10BaseT verträglich, sehr verbreitet und für viele Anwendungen ausreichend. – 100Base-FX, Lichtwellenleiter (Glasfaser), für spezielle Fälle wie Verbindung von Switches untereinander (Backbones), aufwendig. In diese Geschwindigkeitsklasse kann man noch investieren. 1000 MBit/s (Gigabit Ethernet) – 1000Base-T, mehradriges Kupferkabel (mindestens Kategorie 5), Stern mit einem Switch im Zentrum, 8poliger Telefonstecker RJ 45, erschwinglich geworden, im Kommen und zukunftssicher. – 1000Base-CX, Twin-Axial-Kabel, selten. – 1000Base-SX und 1000Base-LX, Lichtwellenleiter (Glasfaser), Stern mit einem Switch im Zentrum, aufwendig, für Backbones. Für Multimedia-Anwendungen und Backbones zum Teil erforderlich. 10 GBit/s (10GBase): in Entwicklung, über Glasfaser, kurze Strecken auch über Kupfer, Standardisierung im Fluss.
Heute – anno 2007 – findet man am häufigsten 100Base-T, wobei die Netzkarten und Switches fast immer auch 10BaseT verstehen. Neue Geräte bringen überwiegend Gigabit Ethernet mit. Vor dem Erwerb einer Netzkarte für einen Linux-Rechner sollte man sich vergewissern, dass sie von Linux unterstützt wird, bei gängigen Karten fast immer der Fall. Gebäudeverkabelungen plane man für das Gigabit Ethernet, das in wenigen Jahren zumindest für die Grundverkabelung (Backbone) die Regel sein
320
6 Planen der Einrichtung
wird. Power over Ethernet bedeutet Gleichstromversorgung einiger Netzkomponenten wie Access Points oder Switches über das Ethernetkabel, geht natürlich nur mit Kupfer und ist manchmal praktisch. Wenn Sie Debian GNU/Linux vom Netz einrichten, muss das anfängliche Einrichtungssystem die Netzkarte unterstützen. In seltenen Fällen kommt es zu Treiberproblemen. Einfachste Abhilfe: andere Netzkarte. Ein Rechner darf mehrere Netzadapter enthalten und muss das, wenn er zwischen zwei Netzen routen soll. Bessere Netzadapter weisen eine gewisse Eigenintelligenz auf, entlasten damit die CPU und puffern die Datenströme in eigenen Speichern. An der Nenn-Datenrate ändert das nichts, wohl aber an der tatsächlich unter Last erreichten. Der Durchsatz eines Web-Servers wird jedoch mehr von anderen Komponenten bestimmt (Arbeitsspeicher, PCI-Bus, Platten, Nebenaufgaben), sodass ein einziger Gigabit-Ethernet-Anschluss fast immer ausreicht. Es gibt Ethernet-Karten mit bis zu vier Anschlüssen im Handel, um Steckplätze zu sparen. 6.4.9 Tastatur, Maus, Rollkugel Bei Tastaturen hat sich die Tastatur des IBM PC AT mit 102 bis 105 Tasten durchgesetzt. Bei älteren Tastaturen findet man den fingerdicken fünfpoligen DIN-Stecker, bei gegenwärtigen den schlankeren sechspoligen PS/2-Stecker oder den flachen USB-Stecker. Es gibt auch Funktastaturen, bequem, aber man muss sich um die Batterien kümmern. Multimediatasten funktionieren nur zusammen mit entsprechenden Treibern und Anwendungen, also unter Linux selten. Zur Benutzung des Internets braucht man keine besonderen Tasten. Bei Platzmangel kann man auf den Zahlenblock (keypad) rechts verzichten, die Tasten sind doppelt vorhanden. Der Tastaturadapter ist immer in die Hauptplatine integriert. Äußerlich fallen unterschiedliche Tastenbelegungen auf, in der linken oberen Ecke des Hauptblocks zu erkennen: • • •
deutsche Tastaturen haben dort die Tasten QWERTZ, us-amerikanische Tastaturen haben QWERTY, französische Tastaturen haben AZERTY.
Weitere, weniger auffällige Zeichen wie Umlaute und Satzzeichen liegen ebenfalls auf anderen Tasten oder sind nicht vorhanden. Es gibt auch zweisprachige Tastaturen (deutsch – kyrillisch oder arabisch) und als Labormuster Tasten, deren Beschriftung sich per Software einstellen lässt. Die Tastatur weiß nichts von der Beschriftung der Tasten. Sie schickt Scancodes zum Rechner, und zwar einen Makecode beim Drücken und einen Breakcode beim Loslassen einer Taste. Die Scancodes sind nicht einheitlich, es gibt mehrere Sätze davon. Im Rechner übersetzen Hard- und Software die Scancodes in Keycodes, die mittels einer Tabelle (keymap) in Zeichen, Zeichenketten oder Kommandos weiter übersetzt werden. Auf einer Textkonsole lädt der Aufruf: joe@debian:~$ loadkeys de-latin1 eine deutsche Keymap mit Umlauten etc. X11 nimmt die Übersetzung in eigene Hand. Der Aufruf:
6.4 Hardware und Schnittstellen
321
joe@debian:~$ setxkbmap us lädt eine us-amerikanische Keymap, und zwar in den X-Server, sodass alle Fenster des X-Servers gleichzeitig betroffen sind, nicht aber die virtuellen Textkonsolen oder der X-Server des auf derselben Maschine arbeitenden Nachbarn. Die Tastatureinstellung ist unabhängig vom Locale. Deshalb kann man mit deutschem Locale, aber us-amerikanischer Tastatur arbeiten. Multimedia-Tastaturen enthalten weitere Tasten zur Einstellung der Lautstärke oder dcr Bildhelligkeit usw. Ob das funktioniert, hängt vom Tastaturtreiber ab und ist in der Linux-Welt zumindest fraglich. Man kann versuchen, die Keycodes der Tasten herauszubekommen und dann die Keymap anzupassen. Zeigegeräte (E: pointing device, F: dispositif de pointage) wie Maus (E: mouse, F: souris) oder Rollkugel (E: trackball, F: boule de commande) gehören heute zu jedem Arbeitsplatz, bei Servern ohne Grafik sind sie entbehrlich. X11 braucht eine Maus oder Rollkugel mit drei Tasten. Eine fehlende mittlere Taste kann bei entsprechender Einstellung des X-Servers durch gleichzeitiges Drücken beider Tasten emuliert werden. Manche Zeigegeräte verfügen über ein Rädchen im Tastenfeld, welches das Scrollen des Bildschirms erleichtert, sehr angenehm. Ob das alles funktioniert, ist eine Frage des X-Servers und seiner Konfiguration. Benutzer, die mit Maus und Kugel gearbeitet haben, entscheiden sich meist für die Kugel. Zeigegeräte werden über ähnliche Verbindungen angeschlossen wie die Tastatur, die Buchsen am Rechner dürfen aber nicht vertauscht belegt werden. Für bestimmte Anwendungen haben sich als Alternative zur Maus Freudenknüppel (E: joystick, F: joystick, manche à balai), Touchscreens oder Touchpads etabliert. In der professionellen Verarbeitung grafischer Daten finden Grafiktabletts Verwendung. Alles eine Frage passender Treiber. Als Bauteil auf der Grenze zwischen Mechanik und Elektronik unterliegen Tastaturen und Zeigegeräte dem Verschleiß und der Verschmutzung. Hochwertige Erzeugnisse leben länger. 6.4.10 Drucker Viele Anwendungen unter Linux/UNIX erzeugen zum Drucken eine Ausgabe im PostScript-Format. Hierbei handelt es sich um eine Seitenbeschreibungssprache, die von PostScript-fähigen Druckern direkt verstanden wird. PostScript-Drucker lassen sich deswegen immer mit Debian verwenden. Da diese Drucker jedoch teurer sind als dumme Drucker, kann das Programm Ghostscript (gs) benutzt werden, um PostScript-Daten in ein Format zu übersetzen, das von nicht PostScript-fähigen Druckern verstanden wird. Dieser Vorgang läuft normalerweise automatisch im Hintergrund ab, sodass der Drucker von Anwendungen wie ein PostScript-fähiger Drucker angesprochen werden kann. Ob ein bestimmter nicht-PostScript-fähiger Drucker mit Debian benutzt werden kann, ist deswegen davon abhängig, ob er von dem Programm gs unterstützt wird. Eine Liste der von gs unterstützen Drucker finden Sie im Web unter http://www.cs. wisc.edu/~ghost/doc/printer.htm. Unter der Adresse http://www.
322
6 Planen der Einrichtung
linuxprinting.org/ kann auf eine recht vollständige Datenbank von Druckern und Treibern zugegriffen werden. Hier lässt sich abfragen, wie gut ein bestimmtes Modell unterstützt wird. Das verbreitete pdf-Format wird bisher von wenigen Druckern direkt unterstützt. Die pdf-Leseprogramme enthalten einen Menüpunkt zum Drucken, der die Umwandlung nach PostScript einschließt. Drucker wurden früher überwiegend an die parallele Schnittstelle angeschlossen, vereinzelt an die serielle. Heute läuft die Verbindung meist über USB. In lokalen Netzen ist ein eigener Ethernet-Anschluss des Druckers vorteilhaft und lohnt die Mehrkosten, da dann der Drucker ein unabhängiger Knoten mit eigener IP-Adresse im Netz ist. 6.4.11 Soundkarte und weitere Komponenten Für eine große Anzahl von Soundkarten ist die Unterstützung im Kern bereits enthalten. Daneben besteht die Möglichkeit, kommerzielle Soundkartentreiber oder die vom ALSA-Projekt entwickelten Treiber einzusetzen. Soundkarten haben meist je einen Eingang für Mikrofon und Verstärker (Line) sowie einen Ausgang, an den man Kopfhörer direkt oder Lautsprecher über einen Leistungsverstärker anschließen kann. Aktivboxen sind Lautsprecher mit eingebautem Leistungsverstärker. Je nach Aufwand bietet der Ausgang Stereofonie mit zwei bis acht Lautsprechern. Die Lautsprecherindustrie will auch leben. Linux unterstützt ein großes Spektrum weiterer Hardware. Dazu gehören CDund DVD-Brenner, Scanner, Magneto-Optische-Laufwerke, Speicherkarten, serielle Terminals, Joysticks, Frame-Grabber-Karten, analoge und digitale Radio- und Fernsehempfänger, digitale Kameras, Analog-Digital-Wandler und ISDN-Karten. Sie sollten das Hardware-HOWTO zu Rate ziehen, wenn Sie wissen möchten, ob ein bestimmtes Gerät unterstützt wird. Zusätzlich lassen sich mit Hilfe von Suchmaschinen aus dem Web oder den Netnews aktuelle Informationen ziehen.
6.5 Partitionieren von Festplatten 6.5.1 Warum Partitionen? Festplatten werden in Partitionen unterteilt, wobei hernach in jeder Partition genau ein Dateisystem eingerichtet wird. Jede Partition bekommt – zusätzlich zu dem Eintrag für die ganze Platte wie /dev/hda oder /dev/sda – einen eigenen Eintrag wie /dev/hda5 im Geräteverzeichnis und verhält sich logisch wie ein selbständiger Datenträger. Es ist möglich, wenn auch nicht trivial, Partitionen zu erzeugen, die sich über mehrere Festplatten erstrecken. Umgangssprachlich wird oft nicht zwischen Partition und darin befindlichem Dateisystem unterschieden, es sind aber verschiedene Dinge, die mit verschiedenen Werkzeugen bearbeitet werden. Der Umgang mit Partitionen ist einfacher als es sich zunächst anhört. Haben Sie einen ausgemusterten oder nagelneuen Rechner zum Üben, erleichtert das die
6.5 Partitionieren von Festplatten
323
Eingewöhnung. Sind auf Ihrem Rechner bereits Daten vorhanden, die nicht verloren gehen dürfen, ist eine Sicherungskopie (Backup) unerlässlich. Bei der heutigen Größe von Festplatten hat man mehr Möglichkeiten zum Partitionieren als früher. Gesichtspunkte hierbei sind: • •
• • •
Jedes Betriebssystem braucht seine eigene Partition. Wenn Sie neben Linux auch MS Windows einrichten wollen, sind mindestens zwei Partitionen erforderlich. Trennung der Systemdaten von den Benutzerdaten zwecks Vereinfachung von Backups und Upgrades. Das wird vom Debian Installer als Lösung für den Desktop vorgeschlagen. Verzeichnisse mit Schreiberlaubnis für Benutzer (/home, /tmp) sollten in eigenen Partitionen liegen. Trennung temporärer Daten von längerfristig zu speichernden Daten. Unterschiedliche Anforderungen an die Geschwindigkeit des Datenzugriffs. Unterschiedliche Anforderungen an die Datensicherheit (Integrität und Vertraulichkeit).
Zu viele Partitonen zu haben, birgt den Nachteil, dass unter Umständen eine Partition vollläuft, während auf der Nachbarpartition noch Luft ist. Es gibt zwar Auswege aus dieser Lage mit Hilfe von symbolischen Links, aber das wird schnell unübersichtlich. Das Beste ist eine von Anbeginn zweckgerechte Einteilung. Die Sicherheit kann erfordern, bestimmte Verzeichnisse eines Betriebssystems auf verschiedenen Platten oder sogar auf verschiedenen Rechnern an getrennten Orten zu halten oder zu doppeln (spiegeln). Die Verwendung mehrerer Partitionen ist unter Linux/UNIX schon deswegen zu empfehlen, weil dieses Betriebssystem Inhalte des Arbeitsspeichers auf dafür vorgesehene Partitionen, so genannte Swapbereiche, auslagern kann. Durch dieses Verfahren wird die Größe des Arbeitsspeichers scheinbar erhöht. Es geht bei einem Linux/UNIX praktisch nicht ohne Partitionen. Als Minimum sollte man drei vorsehen (Wurzel, Swap und Home-Verzeichnisse). 6.5.2 Partitionstypen Auf jeder Festplatte, die nach dem Muster des IBM PCs eingerichtet ist, befindet sich in den ersten 512 Bytes (Sektor 0) im Master Boot Record (MBR, auch in Frankreich so genannt) eine Partitionstabelle (E: partition table, F: table de partitions), in der festgehalten ist, wie die betreffende Platte partitioniert ist. Auf PC-Systemen ist hier Platz für vier Partitionen vorgesehen. Diese im MBR eingetragenen Partitionen bezeichnet man als primäre Partitionen. Eine von diesen ist als bootfähig (aktiv, bootable, startable) markiert. Sollen auf einer Festplatte mehr als vier Partitionen zur Verfügung stehen, so können sie nicht alle als primäre Partitionen angelegt werden. Es muss stattdessen eine der primären Partitionen als erweiterte (E: extended, F: étendue) Partition markiert und verwendet werden. Auf jeder Festplatte darf es nur eine erweiterte Partition geben. Wir kommen so auf maximal drei primäre Partitionen und eine erweiterte.
324
6 Planen der Einrichtung
In der erweiterten Partition lassen sich nahezu unbegrenzt viele logische Partitionen anlegen. Tatsächlich ist die Anzahl unter Linux verwendbarer logischer Partitionen auf 12 Partitionen bei SCSI-Festplatten und auf 60 Partitionen bei (E)IDEFestplatten begrenzt. Eine SCSI-Festplatte kann also zur Verwendung mit Linux in nicht mehr als 16 Partitionen (3 primäre, 1 erweiterte und darin 12 logische) und eine (E)IDE-Festplatte in nicht mehr als 64 Partitionen (3 primäre, 1 erweitert und darin 60 logische) aufgeteilt werden. Das reicht fürs Gröbste. Für eine zweite Festplatte (/dev/hdb) geht die Zählung von neuem los. Die Unterscheidung zwischen primären, erweiterten und logischen Partitionen ist eine Krücke, um nicht über 4 primäre Partitionen hinauszukommen. Die Aufteilung einer Festplatte in Partitionen ist in Abbildung 6.3 dargestellt. Die dort gezeigte Festplatte ist in drei primäre Partitionen aufgeteilt. Die dritte primäre wird als erweiterte Partition verwendet, in der sich drei logische Partitionen befinden. Ganz am Anfang im Sektor oder Block 0 – vor den Partitionen – liegt der Master Boot Record. Hier befinden sich die Partitionstabelle mit der Einteilung der Platte in Partitionen, gegebenenfalls der BIOS Parameter Block (BPB), der nichts mit dem System-BIOS zu tun hat, sondern die Platte beschreibt und von einigen Dateisystemen angelegt und benutzt wird, sowie Programmcode, der beim Starten des Rechners ausgeführt wird, um ein Betriebssystem zu laden. Das alles in 512 Bytes. Weiter befindet sich am Anfang jeder primären Partition ein Bootsektor (BS). Er kann Programmcode enthalten, der zum Starten des Betriebssystems auf der jeweiligen Partition notwendig ist.
Abb. 6.3: Aufteilung einer Festplatte in primäre, erweiterte und logische Partitionen. MBR = Master Boot Record, PP = primäre Partition, EP = erweiterte Partition, LP = logische Partition, BS = Boot Sector
6.5.3 Auf welche Partitionen kann installiert werden? Nicht jedes Betriebssystem kann auf jeder Partition eingerichtet werden. Welche Partitionen für welches Betriebssystem in Frage kommt, ist einerseits von dem Betriebssystem selbst, andererseits vom BIOS des Rechners abhängig.
6.5 Partitionieren von Festplatten
325
Linux lässt sich sowohl von primären als auch von logischen Partitionen starten. DOS-basierte Betriebssysteme und MS Windows NT benötigen zumindest eine primäre Partition für sich. Falls solche Betriebssysteme neben Linux auf einer Festplatte eingerichtet werden sollen, ist dies bei der Partitionierung zu berücksichtigen. Darüber hinaus können viele Rechner Betriebssysteme nicht von jeder Festplatte starten. Der Grund dafür besteht darin, dass das BIOS nicht alle Festplatten sieht und deshalb nicht auf sie zugreifen kann. Dabei gilt manchmal, dass bei gemischten Systemen mit sowohl (E)IDE- als auch SCSI-Festplatten nur von den (E)IDE-Festplatten gestartet werden kann. Weiter muss sich bei vielen Rechnern das zu startende Betriebssystem auf den ersten beiden (E)IDE-Festplatten oder auf der SCSI-Festplatte mit der ID (Identifikationsnummer, SCSI-Adresse) 0 befinden. Neuere Rechner zeigen sich hier flexibler. Um herauszufinden, von welchen Festplatten Sie Betriebssysteme starten können, sollten Sie die Dokumentation ihres Rechners befragen oder im BIOS-Setup nachsehen, welche Möglichkeiten zur Verfügung stehen, bei SCSIPlatten auch im BIOS des SCSI-Adapters (siehe Abschnitt 7.4 BIOS-Einstellungen auf Seite 360). Falls es nicht möglich sein sollte, Platz auf einer startfähigen Partition bereitzustellen, können Sie Linux mit einer Diskette oder von DOS (siehe Abschnitt 11.4 Starten von Linux unter DOS mit loadlin auf Seite 486) aus starten. Das wäre allerdings wenig elegant. 6.5.4 Die 1024-Zylinder-Grenze Falls Sie auf Ihrem Rechner nur Linux fahren, ist /dev/hda1 beziehungsweise /dev/sda1 die Bootpartition und liegt am Anfang der Platte. In diesem Fall können Sie den folgenden Abschnitt übergehen. Bei der Adressierung eines Bereiches der Festplatte wird dem BIOS die Nummer eines Zylinders und eines Sektors sowie die Nummer eines Schreib- und Lesekopfes der Festplatte mitgeteilt. Hierbei steht ausreichend Platz zur Verfügung, um 1024 Zylinder mit 63 Sektoren voneinander zu unterscheiden. Da eine Festplatte 16 logische Schreib- und Leseköpfe hat und die Sektorgröße auf Festplatten normalerweise 512 Byte beträgt, ergibt sich eine über diese Methode ansprechbare maximale Gesamtkapazität von: 1024 ∗ 63 ∗ 16 ∗ 512 B = 528482304 B
(6.1)
Dies entspricht 504 MB7 . Bei älteren Computern bedeutet dies, dass vom BIOS aus nur auf Daten zugegriffen werden kann, die innerhalb der ersten 504 MB auf der Festplatte liegen. Modernen Betriebssystemen macht dies nichts aus, da sie zur Kommunikation mit dem Festplattenadapter nicht das BIOS verwenden, sondern eigene Funktionen mitbringen. Allerdings wird zum Starten von Betriebssystemen (Booten) immer noch das BIOS benötigt, da zu diesem frühen Zeitpunkt nichts anderes zur Verfügung steht. Seit ungefähr 1994 wird von fast allen Rechnern der Logical Block Addressing Modus (LBA) verwendet. Hierbei wird die Tatsache ausgenutzt, dass bei der 7
Die ersten Festplatten (IBM, 1956) fassten 5 MB und wogen 1 to.
326
6 Planen der Einrichtung
Adressierung eines Festplattenbereichs Platz für 255 Schreib/Leseköpfe zur Verfügung steht. Das BIOS akzeptiert dann auch Adressen mit einer höheren Kopfnummer als 16 und rechnet sie in die tatsächliche Adresse auf der Festplatte um. Dieser Modus lässt sich bei vielen Rechnern im BIOS-Setup ein- und ausschalten. Er sollte aktiviert sein, wenn Sie eine oder mehrere Festplatte(n), die größer als 504 MB (Megabyte, nicht Gigabyte!) sind, verwenden. Durch den LBA-Modus ergibt sich eine neue Grenze: Aus Sicht von Programmen, die mit dem BIOS kommunizieren, lassen sich nun 1024 Zylinder, 63 Sektoren und 255 Köpfe mit einer Sektorgröße von üblicherweise 512 Byte, also 1024 ∗ 63 ∗ 255 ∗ 512 B = 8422686720 B
(6.2)
gleich 7,844 GB ansprechen. Die Bootpartitionen aller Betriebssysteme müssen also innerhalb dieses Bereiches liegen. Bei SCSI-Festplatten sieht die Situation anders aus: Hier entspricht die Festplattengeometrie, die der SCSI-Adapter an das BIOS weiter gibt, selten der wirklichen Festplattengeometrie, da der SCSI-Adapter ebenfalls umrechnet. Aus diesem Grund lassen sich bei SCSI-Festplatten schon lange Festplattenbereiche oberhalb der 504MB-Grenze ohne einen Konflikt mit der 1024-Zylinder-Grenze ansprechen. Entscheidend ist in jedem Fall, welche Festplattengeometrie das BIOS berichtet. Da Linux im Normalfall mit Hilfe von BIOS-Routinen geladen wird, muss sich die Bootpartition immer unterhalb der Grenze von 1024 Zylindern befinden. Wenn es auf Ihrem System eng ist, sollte eine wenigstens 20 MB große Partition unterhalb der 1024-Zylinder-Grenze angelegt werden, in die alle zum Starten des Systems notwendigen Dateien kommen. Dies sind bei Debian GNU/Linux die Dateien im Verzeichnis /boot. Der Rest des Systems kann dann auf eine Partition oberhalb dieser Grenze oder auf eine zum Booten nicht verwendbare Festplatte gepackt werden. Falls Sie ein DOS-basiertes Betriebssystem verwenden, können Sie das Programm Fips verwenden, um sich die Festplattengeometrie anzeigen zu lassen. Die Aufgabe dieses Programms besteht eigentlich darin, DOS-Partitionen zu verkleinern ohne sie zu löschen, was normalerweise nicht möglich ist. Fips wird in Abschnitt 7.3.2 Umpartitionieren mit Fips auf Seite 350 beschrieben. Die Bootloader LILO, GRUB und das im Debian-Paket mbr enthaltene Programm install-mbr unterstützen eine BIOS-Erweiterung (int 0x13 large disk exentsion, Enhanced Disk Drive Support), mit der Betriebssysteme auch von Festplattenbereichen oberhalb der ersten 1024 Zylinder gestartet werden können. Falls Sie sich sicher sind, dass das BIOS Ihres Rechners diese Erweiterung ebenfalls unterstützt, brauchen Sie auf die 1024-Zylinder-Grenze keine Rücksicht zu nehmen. Es wird immer Grenzen für die Ansprechbarkeit von Speichern geben, wenn sie auch weiter und weiter hinaus geschoben werden. Insofern bleibt das Problem, nur der Zahlenwert wächst.
6.5 Partitionieren von Festplatten
327
6.5.5 Planen der Partitionierung Wie viele Partitionen? Eine Partition pro Betriebssystem ist das Minimum, aber damit hat man keine Freude. Dem einzurichtenden Debian GNU/Linux sollten mindestens drei Partitionen zur Verfügung stehen: 1. Eine Partition für das System, bootfähig, mit dem Wurzel-Dateisystem und allen Systemverzeichnissen- und -dateien, 2. ein Swapbereich zur Verlängerung des Arbeitsspeichers, 3. eine Partition mit den Daten der Benutzer (Homes). Besser und keineswegs schwierig ist eine weiter gehende Partitionierung. Das Einrichtungswerkzeug – der Installer – macht vernünftige Vorschläge.
Abb. 6.4: Screenshot des Partitionierungswerkzeugs cfdisk. Die Platte ist in sechs Partitionen unterteilt: hda1 = / (Wurzel, bootfähig), hda5 = /usr, hda6 = /var, hda7 = Swap, hda8 = /tmp und hda9 = /home.
Zum Partitionieren unabhängig vom Einrichten des Betriebssystems stehen mehrere, ähnlich arbeitende Werkzeuge im Verzeichnis /sbin zur Verfügung, die man auch verwenden kann, um sich die Partitionierung einer Platte anzusehen (ungefährlich). Der Aufruf:
328
6 Planen der Einrichtung
debian:~# fdisk /dev/hda mit der Gerätedatei der interessierenden Platte als Argument öffnet eine Kommandozeile, in der man m (Hilfe), p (print, Anzeige) oder q (quit, Ende) eintippt. Das nächste Werkzeug arbeitet mit curses-Fenstern: debian:~# cfdisk und wird mit den Pfeiltasten oder Zeicheneingaben gesteuert. Einen Sreenshot mit der Partitionstabelle eines Arbeitsplatzrechners zeigt Abbildung 6.4. Das dritte Werkzeug: debian:~# sfdisk -l /dev/hda listet mit der genannten Option die Partitionstabelle auf. Alle drei Werkzeuge sollten bei derselben Platte zu demselben Ergebnis kommen. Sie werden auch zum Anlegen oder Löschen von Partitionen eingesetzt und unterscheiden sich in einigen Optionen und weiter gehenden Fähigkeiten, siehe die Manualseiten. Das Werkzeug gpart (guess partition table) versucht, auch bei beschädigter Partitionstabelle einer Platte deren Partitionierung zu ermitteln: debian:~# gpart /dev/hda Seine Ausgabe dient im Wesentlichen zur Vorbereitung der Reparatur einer Partitionstabelle und trägt zum Verständnis der Partitionierung nicht so viel bei wie die zuerst genannten Werkzeuge. Größe, Lage und Anzahl von Swapbereichen Die Menge des Festplattenplatzes, der dem System zum Auslagern von Inhalten des Arbeitsspeichers, also zum Swappen, bereitgestellt werden sollte, ist abhängig von der Menge tatsächlich vorhandenen Arbeitsspeichers im System sowie der Menge des Arbeitsspeichers, der vom Betriebssystem selbst und von den Anwendungen benötigt wird. Besonders speicherhungrig sind Anwendungen, die große Datenmengen im Speicher halten müssen wie Programme zur Bildbearbeitung. Da der Zugriff auf ausgelagerte Speicherbereiche wesentlich langsamer ist als der Zugriff auf Daten im Arbeitsspeicher, ist Swappen nur ein Notbehelf, der einen Stillstand des Systems verhindert. Das Kommando top zeigt die Auslastung des Swapbereichs an. Als Faustformel gilt, dass Swapbereiche in der zwei- bis dreifachen Größe des Arbeitsspeichers (RAMs) verfügbar sein sollten, bei kleinem Arbeitsspeicher eher mehr. Falls Ihr Rechner einen Arbeitsspeicher von 1 GB enthält, wird die Festplatte auch nicht aus einem alten DOS-Rechner stammen, sodass das Abzweigen von 2 GB Swapbereich nicht schwer fällt. Es gab einmal eine Obergrenze von 2 GB für den einzelnen Swapbereich und eine Maximalzahl von 32 Bereichen. Irgendwo stand zu lesen, dass der 2.6-Kern 128 Bereiche zu je 16 TB verkraftet. Das wären 2 Petabyte. Hat man nur eine Platte, legt man auch nur einen Swapbereich an. Optimal ist es, den Swapbereich ungefähr in der Mitte der Festplatte unterzubringen, da dann die Wege der Schreib- und Leseköpfe im Mittel am kürzesten sind. In Systemen mit
6.5 Partitionieren von Festplatten
329
mehreren Festplatten kann man mehrere Swapbereiche vorsehen. Dabei sollen sich die Swapbereiche auf den schnellsten Platten befinden. Günstig wäre es, wenn diese wenig für andere Zwecke benutzt werden. Es lohnt sich jedoch nicht, eine eigene Platte zum Swappen anzuschaffen; das Geld steckt man besser in mehr RAM. Bootpartition Von der Bootpartition wird Debian GNU/Linux nach dem Einschalten gestartet. Auf ihr brauchen nur die zum Starten notwendigen Dateien zu liegen, die sich bei Debian GNU/Linux in der Regel im Verzeichnis /boot befinden. Diese Dateien reichen nur zum Starten des Systems. Ist Debian GNU/Linux das einzige Betriebssystem auf dem Rechner, erübrigt sich eine besondere Bootpartition; das System startet aus der nachfolgend beschriebenen Rootpartition (Wurzelpartition). Rootpartition Die Root- oder Wurzelpartition ist die Partition, auf die nach dem Start des Betriebssystemkerns als erstes zugegriffen wird. Das Wurzelverzeichnis dieser Partition ist gleichzeitig das Wurzelverzeichnis des gesamten Dateisystems, in dem die Benutzer arbeiten. Auf der Rootpartition befinden sich zumindest die Dateien und Programme, die nach dem Start von Linux automatisch ausgeführt werden. Dazu gehören Konfigurationsprogramme – etwa um das richtige Tastaturlayout einzustellen – oder Programme, mit denen Dienste im Hintergrund gestartet werden (siehe Abschnitt 11.8 Starten von Debian GNU/Linux auf Seite 499). Die Rootpartition enthält darüber hinaus alle Programme, die notwendig sind, um eine Anmeldung des Verwalters am System zu ermöglichen und ihm soviel Funktionalität zur Verfügung zu stellen, dass er das System im Fall eines Fehlers reparieren kann. Es geht um die Verzeichnisse /bin, /boot, /dev, /etc, /initrd, /lib, /proc, /root und /sbin sowie Einhängepunkte (leere Verzeichnisse) für später einzuhängende Dateisysteme. Auf einem durchschnittlichen Arbeitsrechner belegen diese Verzeichnisse um die 100 MB, heute ein Klacks. Trotzdem sollte man bei Platten ab etwa 40 GB Gesamtkapazität etwa 2 GB für die Rootpartition vorsehen. Falls Sie einen zweiten Kern einrichten oder Root in seinem Home-Verzeichnis größere Datenmengen hortet, wird es schnell eng in einer kleinen Rootpartition. Es fehlen noch die Verzeichnisse /home, /tmp, /usr und /var, für die nur Einhängepunkte enthalten sind. Bei einer minimalen Installation – von der wir abraten – beherbergt die Wurzelpartition alle Komponenten des Systems und stellt Platz für Benutzerdaten und zusätzliche Anwendungen Verfügung. Sie sollte mindestens so groß sein, dass auf ihr ein Basissystem ohne X11 eingerichtet werden kann (1 GB). Bei den heutigen Plattengrößen sollte das keine Schwierigkeiten bereiten. Auf Rechnern, die zum Experimentieren dienen, auf denen unter Umständen verschiedene Kerne gleichzeitig eingerichtet sind (die beim Booten ausgewählt werden), braucht man eine deutlich größere Wurzelpartition als auf Rechnern im Bürobetrieb.
330
6 Planen der Einrichtung
Der Vorschlag des Installers ist in diesem Fall zu verbessern. Umgekehrt arbeiten auf Experimentierrechnern selten viele Benutzer, sodass man an der Partition für die Homes sparen kann. Die Homes lassen sich auch am leichtesten auf eine zweite Platte auslagern, bei Bedarf sogar über das Netz auf einen zweiten Rechner. Weitere Partitionen Zusätzliche Dateisysteme werden unter Linux/UNIX in das laufende Rootdateisystem eingehängt. Diesen Vorgang bezeichnet man auch als mounten, siehe Abschnitt 2.9.3 Einhängen von Datenträgern auf Seite 145. Gesichtspunkte beim Anlegen weiterer Partitionen sind: •
• •
•
•
• •
Eine Partition (ein Dateisystem) kann sich nicht ohne weiteres über die Grenze einer Festplatte hinaus erstrecken. Die Verwendung mehrerer Platten bedingt mehrere Partitionen. Unterschiedliche Dateisysteme (DOS, ext2/3, xfs, Reiser etc.) erfordern getrennte Partitionen. Wenn eine Partition vollläuft, lässt sich auf ihr nicht mehr schreiben. Deshalb ist es zweckmäßig, die Home-Verzeichnisse (/home) der Benutzer aus der Rootpartition herauszunehmen. Dasselbe gilt für Systemdateien, deren Größe im Betrieb stark schwankt (/var), sowie für temporäre Dateien (/tmp). Auf Servermaschinen sammelt sich in /var eine ganze Menge an. Auch große zusätzliche Anwendungsprogramme können unerwartet viel Platz belegen (/usr und /opt). Das Ziehen von Sicherungskopien (Backups) ist einfacher, wenn Daten mit ähnlichen Anforderungen zusammen in einem Dateisystem liegen. Beispielsweise ändern sich Benutzerdaten häufig, Systemprogramme selten. Temporäre Daten werden gar nicht gesichert. Aus Sicherheitsgründen möchte man vielleicht eine Partition nur zu bestimmten Zeiten oder nur zum Lesen einhängen. In einer bestehenden Partition wird es eng. Das Einhängen einer weiteren Partition ist der einfachste Weg, um Platz zu schaffen.
Späteres Umpartitionieren ist möglich, aber immer eine heikle Angelegenheit, mit Arbeit und Risiken verbunden. Bei einer durchschnittlichen Linux/UNIX-Installation kommen wir ungefähr zu folgender Einteilung (die Zahlenwerte stammen aus einem Arbeitsrechner des Zweitautors, wobei anzumerken ist, dass Serveranwendungen auf einer anderen Maschine laufen, 80-GB-Platte): • • • • •
Rootpartition (klein bis mittel, /), 8 GB, zu 2 % gefüllt, Anwendungen (groß, /usr, 24 GB, zu 10 % gefüllt, Swapbereich (klein), 2 GB, Home-Verzeichnisse der wenigen Benutzer (groß, /home), 20 GB, zu 12 % gefüllt, veränderliche Systemdateien (mittel, /var), 20 GB, zu 2 % gefüllt,
6.5 Partitionieren von Festplatten
• •
331
temporäre Dateien (mittel, /tmp), 4 GB, zu 1 % gefüllt, erforderlichenfalls zusätzliche Anwendungen (mittel bis groß, nach voraussichtlichem Bedarf, /opt)
Eine kleinere Festplatte hätte gereicht, aber nur ein paar Euro weniger gekostet. Im Folgenden finden Sie ein paar allgemeine Tipps, die Sie bei der Partitionierung beherzigen sollten: •
•
•
• •
•
Bestimmte Betriebssysteme (dazu gehören alle DOS-basierten Betriebssysteme wie MS Windows 95/98) können nur von einer primären Partition auf der ersten Festplatte gestartet werden. Da auf jeder Festplatte nur eine erweiterte Partition existieren kann, sollte man die benötigten primären Partitionen an den Anfang der betreffenden Festplatte legen und dahinter die erweiterte Partition mit den darin enthaltenen logischen Partitionen folgen lassen. Falls nämlich beispielsweise mit einer primären Partition gestartet wird, dann eine erweiterte Partition mit logischen Partitionen folgt, und dahinter wieder eine primäre Partition liegt, so kann auf einer solchen Festplatte nur noch eine einzige primäre Partition eingerichtet werden, da keine zweite erweiterte Partition eingerichtet werden darf und bereits drei primäre Partitionen vergeben wurden. Es muss nicht der gesamte auf einer Platte zur Verfügung stehende Platz partitioniert sein. So kann es bei einer großen Festplatte durchaus sinnvoll sein, nur den tatsächlich benötigten Platz großzügig zu partitionieren und den restlichen Raum zunächst unpartitioniert zu lassen. Zwischen den einzelnen Partitionen sollte kein ungenutzter freier Platz liegen. Viele Festplattenpartitionierungsprogramme verhindern dies von sich aus. Auf Festplatten, von denen kein Betriebssystem gestartet werden soll, das auf eine primäre Partition angewiesen ist, reicht es in der Regel aus, nur eine erweiterte Partition anzulegen, in der nach Bedarf logische Partitionen erzeugt werden. Wenn Linux mit einem anderen Betriebssystem zusammen verwendet wird, das zur Benennung von Partitionen Laufwerksbuchstaben verwendet, sollten freier Platz und die Partitionen für Linux möglichst weit hinten liegen. Falls nämlich eine solche Partition eines Tages wieder für das Betriebssystem mit den Laufwerksbuchstaben sichtbar wird, ordnet es eventuell einigen Partitionen neue Laufwerksbuchstaben zu. Das kann dazu führen, dass dieses Betriebssystem seine eigenen Daten nicht mehr findet und deswegen nicht mehr funktioniert.
Es hilft, sich vor der Einrichtung mit Papier und Bleistift die gewünschte Einteilung grob aufzuzeichnen. 6.5.6 Logical Volumes Logical Volumes (LV) sind eine weitere Abstraktionsebene zwischen Festplatten und Dateisystemen zum Zweck erhöhter Flexibilität. Ihre Einrichtung ist optional. Um in ihren Genuss zu kommen, braucht man den Linux Logical Volume Manager aus den Debian-Paketen lvm-common und lvm2. Die Entscheidung für oder gegen LVs ist vor
332
6 Planen der Einrichtung
Abb. 6.5: Screenshot des Enterprise Volume Management Systems, einem mächtigen Werkzeug zur Verwaltung von Dateisystemen
dem Partitionieren zu treffen, nachträglich geht nichts. Bei der Wurzelpartition und dem Swapbereich sind Schwierigkeiten zu erwarten, weil diese Partitionen vom Kern sehr früh angesprochen werden, wenn noch kein Logical Volume Manager läuft. Außerdem sind Änderungen an diesen beiden Partitionen nicht zu erwarten, sodass LVs hier keinen Vorteil bieten. Gut geeignet dagegen sind LVs für die Homes und ähnliche Verzeichnisse, deren Datenbestand im Lauf der Zeit stark zunimmt. Der Verlust an Zugriffsgeschwindigkeit und die zusätzliche Belastung der CPU sind minimal. Was sind nun die Vorteile? Man kann: • • • •
mehrere Festplatten zu einer einzigen Partition zusammenfassen, im laufenden Betrieb Partitionen anlegen oder ihre Größe ändern, mit LVs RAID-0 (data striping) verwirklichen, nicht besonders reizvoll, siehe nächster Abschnitt über RAID, im laufenden Betrieb ein Dateisystem vorübergehend einfrieren, um eine Sicherungskopie (Backup, Abbild, Snapshot) anzulegen. Der Benutzer merkt davon nichts, weil etwaige schreibende Zugriffe zwischengespeichert und erst nach dem Auftauen ins Dateisystem übertragen werden.
Der Logical Volume Manager (LVM) kümmert sich nur um Partitionen, nicht um Dateisysteme. Diese sind bei Änderungen gesondert anzupassen, wozu sie ausgehängt werden müssen. Das bedeutet eine Betriebsunterbrechung, aber nur eine kurze. Ein Weiterentwicklung ist der LVM2, der vom Device Mapper in neueren
6.5 Partitionieren von Festplatten
333
Kernen Gebrauch macht. Näheres im LVM HOWTO (2006) von A. J. L EWIS bei TLDP. Als Physical Volume (PV) werden ganze Platten, einzelne Partitionen oder auch RAID-Verbünde bezeichnet. Physical Volumes werden zu Volume Groups (VG) zusammengefasst, die das Rohmaterial für Logical Volumes (LV) abgeben. Eine Volume Group enthält mehrere Logical Volumes und gegebenenfalls noch unverbrauchtes Rohmaterial, einen Speicherpool für künftige Erweiterungen. Ein Physical Device (PD) ist eine Festplatte, ein Physical Extent (PE) die kleinste Speichermenge, die gehandelt wird, per Vorgabe 4 MB. Beabsichtigt man Logical Volumes zu verwenden, ist bei der Einrichtung eines Grundsystems entsprechend Speicherplatz frei zu halten. Eine Weiterführung von LVM ist das Enterprise Volume Management System (EVMS), Heimathafen http://evms.sourceforge.net/, bei Debian vertreten durch mehrere Pakete evms. . . . Es ermöglicht eine flexible, einheitliche Verwaltung von Dateisystemen und setzt einen Kern der Version 2.6 voraus. Unter der optionalen grafischen Oberfläche werden Aktionen wie Anlegen, Erweitern, Einhängen und Löschen von Dateisystemen per Menü angeboten, siehe Abbildung 6.5. 6.5.7 Redundant Array of Independent Disks (RAID) Das Verlangen nach größerem Fassungsvermögen, schnellerem Zugriff und höherer Zuverlässigkeit von Festplatten hat zur RAID-Technologie geführt, entwickelt 1987 an der University of California at Berkeley. Statt eine große, schnelle und entsprechend teure Platte einzubauen, die bei einem Defekt alle Daten mit ins Jenseits nimmt, entscheidet man sich für ein Array of Inexpensive/Independent Disks, also einen Verbund von preiswerten, nicht elektrisch synchronisierten Platten und überlässt es Hard- oder Software, daraus eine einzige logische Platte zu formen. RAID-Adapter in Hardware – meist in SCSI-Adaptern vorzufinden – sind einfach zu verwalten, schnell, zuverlässig und können so viel kosten wie ein gehobener PC. Sie lohnen sich in Dateiservern, die viele Arbeitsplätze versorgen, und sind auch für Linux-Systeme erhältlich. Software-RAID unter Linux kostet kein Geld, aber ein paar CPU-Takte. Bei TLDP liegen ein ATA RAID HOWTO (2002) von M UR TY ROMPALLI und ein Software RAID HOWTO (2004) von JAKOB Ø STERGAARD . Suchbegriffe in der Debian-Paketliste sind LVM, RAID, device mapper und multiple devices (MD). Es gibt mehrere RAID-Level für unterschiedliche Ansprüche. RAID 0 verteilt die Daten blockweise auf mindestens zwei Platten und erhöht so die Zugriffsgeschwindigkeit, aber nicht die Zuverlässigkeit, im Gegenteil. Das Fassungsvermögen des Verbundes ist die Summe aus den Einzelwerten. Die Technik wird als data striping bezeichnet und selten eingesetzt. RAID 1 schreibt die Daten gleichzeitig doppelt auf eine Platte und eine Spiegelplatte (disk mirroring, drive duplexing). Eine der Platten darf ausfallen, ohne dass Daten verloren gehen. Der Lesezugriff wird schneller, das Schreiben braucht etwas mehr Zeit, was jedoch infolge Pufferung kaum auffällt. Die Kapazität des Verbundes ist die einer einzelnen Platte, was in großen Dateiservern untragbar ist.
334
6 Planen der Einrichtung
Eine Spiegelung auf eine zweite Partition derselben Platte bringt außer Verzögerungen beim Schreiben nichts. Es müssen zwei Platten sein, nicht nur zwei Partitionen. Es gibt bei Debian auch Software für RAID 1 über TCP/IP, das heißt über das Netz auf zwei Maschinen (Distributed Replicated Block Device, DRBD, http://www.drbd.org/). RAID 2 verwendet ein Plattenpaar mit Data striping auf Bitebene und Spiegelung. Es spielt keine Rolle. Dasselbe gilt für RAID 3, das Data striping auf Byteebene und eine zusätzliche Platte für die Parity Bits benutzt. Bei RAID 4 wird Data striping auf Blockebene wie bei RAID 0 und eine zusätzliche Platte für die Parity Bits wie bei RAID 3 verwendet. Man verliert nur die Kapazität der Parity-Platte. Die Zugriffe erfolgen schnell, eine Platte darf ausfallen, ohne dass Daten verloren gehen. Nachteilige ist, dass bei vielen kurzen Zugriffen die Parity-Platte hoch belastet wird. Deshalb werden unter RAID 5 auch die Parity Bits über alle Platten verteilt. Man gewinnt schnellen Zugriff, Sicherheit gegen Datenverlust infolge Ausfalls einer Platte und zahlt dafür nur mit einem Verlust an Kapazität von etwa 20 % der Summe der Einzelkapazitäten. Dieser Level ist für durchschnittliche Aufgaben – viele Zugriffe mit kleinen Datenmengen – der zweckmäßigste und tatsächlich auch verbreitet. Der Zweitautor hat einmal einen Dateiserver unter Linux aufgesetzt, in dem zwei Platten unter RAID 1 das System und sechs Platten unter RAID 5 die Benutzerdaten enthielten. RAID 6 entspricht RAID 5 mit einer zusätzlichen Fehlerkorrektur, die ein weiteres Laufwerk erfordert, und wird fast nicht eingesetzt. RAID 7 kommt auch vor, aber nicht als originärer Standard des RAID Advisory Boards (hhtp://www. raid-advisory.com/, mit mehr Werbung als Information), sondern als Warenzeichen einer proprietären Lösung. Ebenfalls ohne Erfolg. Die Kombination der Level 0 (Data striping) und 1 (Mirroring) führt auf RAID 0/1 oder 10 mit schnellen Zugriffen bei gleichzeitig hoher Sicherheit unter Verlust der Hälfte der Gesamtkapazität. Dabei spiegeln sich zwei Plattenpaare. Man kann auch aus RAID-0-Verbünden einen RAID-5-Verbund aufbauen und kommt damit auf RAID 50. Im Zusammenhang mit Plattenverbunden ist gelegentlich davon die Rede, dass die Platten hot swappable seien. Sie sind dann im laufenden Betrieb auswechselbar, was normalerweise zu einer Katastrophe führt. Es gibt auch Verbunde, in denen eine Reserveplatte ständig mitläuft und bei Ausfall einer anderen Platte automatisch aktiviert wird, Auch die Verwendung einer Platte in einem RAID-Verbund muss vor der Partitionierung festliegen. Nachträglich lässt sich nur ein RAID-1-Verbund wieder auflösen. Ob man einer gewöhnlichen Platte im Betrieb eine zweite Platte zwecks Spiegelung zugesellen kann, ist fraglich. Ein RAID-Verbund kann ein Physical Volume in einer Volume Group sein.
6.6 Bootmethode
335
6.6 Bootmethode Nach dem Einschalten des Rechners wird das Betriebssystem gestartet. Falls mehrere Betriebssysteme eingerichtet sind, ist zu entscheiden, wie zwischen den Systemen ausgewählt wird. Vom BIOS wird in der im BIOS-Setup eingestellten Reihenfolge auf verschiedenen Medien gesucht – oft in der Folge Floppy - CD/DVD - Harddisk – und im Fall einer Festplatte im Master Boot Record der ersten Platte. Von dort aus verzweigt die Suche nach einem Betriebssystem. Während der Grundeinrichtung besteht zum einen die Möglichkeit, eine Bootdiskette herzustellen, mit der Debian GNU/Linux gestartet werden kann, ohne dass Änderungen an der Startkonfiguration des Rechners notwendig sind. Im BIOS muss dazu in der Bootfolge die Diskette vor der Festplatte kommen. Es wird dann das bisher eingerichtete System gestartet und Debian GNU/Linux über die Bootdiskette. Legt man sie nicht in das Laufwerk, bleibt alles wie gewohnt. Zum anderen kann das Programm lilo (Linux Loader, LILO) oder grub (Grand Unified Bootloader, GRUB) eingerichtet werden, mit dem Linux automatisch von der Festplatte gestartet wird. Dabei gibt es zwei Möglichkeiten, nämlich die Einrichtung von lilo oder grub in den Master-Boot-Record (MBR), wodurch die bisherige Bootkonfiguration überschrieben wird, oder die Ablage in den Bootsektor der Wurzelpartition, wodurch der Start von Linux aus einem bestehenden MBR heraus oder mit einem Bootmanager möglich ist. Mit dieser Konfiguration ist es nicht möglich, Debian GNU/Linux von einer anderen als der ersten Festplatte zu starten. Wird das System auf einer anderen Platte eingerichtet, muss zunächst mit einer Diskette, von CD/DVD oder von DOS aus gestartet werden und lilo oder grub manuell angepasst werden (siehe Abschnitt 11 Systemstart (Booten) ab Seite 465). Neben der Bootkonfiguration, wie sie während der Grundeinrichtung gespeichert wird, bestehen folgende Möglichkeiten, um beim Start des Rechners zwischen verschiedenen Betriebssystemen auszuwählen: •
• •
•
Der Bootloader lilo oder grub wird so konfiguriert, dass er neben Linux auch andere Betriebssysteme starten kann. Nach dem Einschalten des Rechners hat man dann ein paar Sekunden Zeit, zwischen den Betriebssystemen zu wählen. Auf die Weise lassen sich auch verschiedene Versionen des Kerns auf einem Rechner betreiben, siehe Abbildung 11.1 auf Seite 475. Das Startprogramm von MS Windows wird so konfiguriert, dass es auch Linux startet. Außerhalb von Debian GNU/Linux stehen weitere Bootmanager zur Verfügung, die teilweise komfortable Oberflächen zum Auswählen und Starten von Betriebssystemen bieten. Bekannt sind der Bootmanager von IBM OS/2 sowie der zum Programm Partition Magic gehörende Bootmanager. Falls an der Startkonfiguration nichts verändert werden soll und neben Linux ein DOS-basiertes Betriebssystem (nicht MS-Windows NT/2000 oder IBM-OS/2) verwendet wird, kann Debian GNU/Linux von DOS aus gestartet werden. Hierzu wird das Programm loadlin verwendet, das den Linux-Kern von der Festplatte in den Speicher liest und dann die Kontrolle an Linux übergibt.
336
6 Planen der Einrichtung
6.7 Einrichtungsmedium Die letzte Entscheidung vor Einrichten des Systems ist, von wo installiert werden soll. Hier stehen mehrere Möglichkeiten zur Wahl: •
•
•
•
•
Disketten sind kein Weg mehr. Mit zwei Disketten kann man ein minimales Debian-Einrichtungssystem zum Laufen bringen, der Rest muss aus anderen Quellen geschöpft werden. Einrichten von CD/DVDs8 . Der vollständige Satz umfasst gut ein Dutzend CDs, aber nur die ersten sind wichtig. Gegenwärtig werden die CDs durch DVDs abgelöst. Bei den mittlerweile 18.000 Paketen von etch sind CDs eigentlich schon nicht mehr das Medium der Wahl; DVDs dürften noch für einige Jahre ausreichen. Einrichten von CD/DVD und späterer Umstieg auf Aktualisieren von einem Debian-Server über das Netz (DSL) ist kein schlechter Weg und erfordert nur ein paar Änderungen an der Datei /etc/apt/sources.list. Einrichten von Festplatte. Falls der Zielrechner unvernetzt ist und entweder nicht mit einem CD/DVD-Laufwerk ausgestattet ist oder das Laufwerk während der Einrichtung nicht angesprochen werden kann, können die Einrichtungsdaten unter einem anderen Betriebssystem auf die Festplatte kopiert und von dort während der Einrichtung gelesen werden. Einrichten von einem anderen Rechner im lokalen Netz. Im einfachsten Fall hat hier ein Rechner (Server) die Einrichtungs-CD/DVD im Laufwerk, und andere Rechner beziehen die Dateien von diesem. Voraussetzung dafür ist ein NFSoder Samba-Server (siehe Abschnitt 13.9 Verteilte Dateisysteme auf Seite 590), der die Dateien bereitstellt. Einrichten direkt von einem Debian-Server über das Netz. Falls der einzurichtende Rechner über einen schnellen Internetanschluss (DSL) verfügt, kann auf CD/DVDs verzichtet werden. Bei einer Modem-Verbindung ist es in der Regel kostengünstiger, von CD/DVDs zu arbeiten. Eine Liste der offiziellen DebianServer (Spiegel) ist unter http://www.debian.org/mirror/list verfügbar. Alternativ können Sie in Ihrem lokalen Netz einen eigenen FTP- oder HTTP-Server (Debian-Spiegel) einrichten, der die Dateien zur Verfügung stellt. Das lohnt sich, wenn häufig Debian-Rechner einzurichten sind.
8
Falls Sie Schwierigkeiten haben, sich Debian-CD/DVDs zu besorgen, und auf das Internet zugreifen können, suchen Sie mal bei Ebay (elektronischer Markt) nach dem Stichwort debian. Erwerben Sie aber keine historische Distribution. Oder besuchen Sie den Linux-Tag (http://www.linuxtag.org/).
7 Vorbereiten der Einrichtung
Nach dem Planen der Einrichtung eines Rechners kommen die Vorbereitungen, die manchmal lästig sind, aber Zeit, Geld und Nerven sparen. Gut vorbereitet führt die Einrichtung sicher zum Erfolg.
7.1 Zu beschaffende Informationen 7.1.1 Release-bezogene Informationen Die folgenden Abschnitte erläutern, welche Informationen wir während der Einrichtung benötigen und wo wir die Informationen finden. Zusätzlich zu den hier genannten sollten Sie sich die aktuellen Informationen unter http://www.de.debian. org/releases/ durchlesen. Der URL leitet weiter zu release-bezogenen Informationen (stable, testing, unstable) und diese im Fall von stable zu einem prozessorbezogenen umfangreichen Debian GNU/Linux Installation Guide in englischer Sprache, für etch auf x86-Maschinen aktuell von 2007. In den meisten Fällen reicht es, sich das Inhaltsverzeichnis und ausgewählte Abschnitte anzusehen. 7.1.2 Informationen zur Hardware Zunächst unterrichten wir uns über unsere Hardware. Im Normalfall werden die wichtigen Komponenten des Rechners zwar automatisch erkannt, bei einigen Geräten – insbesondere älteren – ist dies jedoch nicht möglich. Und auch Automaten irren. Hardwarekomponenten, die direkt (nicht über eine äußere Schnittstelle) mit dem Rechner verbunden sind, belegen Systemressourcen. Dabei sind folgende Ressourcen zu unterscheiden: •
IO-Adressen IO steht für Input/Output oder Ein-/Ausgabe. IO-Adressen sind Ausschnitte aus dem Adressbereich des Rechners, über die Hardwarekomponenten Daten von anderen Systemkomponenten (in der Regel dem Zentralprozessor)
338
•
•
7 Vorbereiten der Einrichtung
erhalten, beziehungsweise an sie senden. Die IO-Adresse dient als Bezeichner für die Basisadresse des betreffenden Speicherbereichs und wird in hexadezimaler Schreibweise angegeben. Hexadezimalen Zahlen wird das Kürzel 0x vorangestellt, um die Schreibweise von der dezimalen zu unterscheiden1 . Interruptnummern Hardwareinterrupts sind Signale, die von einer Hardwarekomponente an den Zentralprozessor geschickt werden, in der Regel um zu verlangen, dass der Zentralprozessor eine Bedingung behandelt, die in der betreffenden Komponente eingetreten ist. Beispielsweise kann eine parallele Schnittstelle, an die ein Drucker angeschlossen ist, einen Interrupt dann senden, wenn der Drucker alle bereits empfangenen Daten bearbeitet hat und bereit ist, neue Daten anzunehmen. Hierdurch wird dem Betriebssystem erspart, immer wieder nachzuschauen, ob der Drucker bereit ist, Daten zu empfangen. Auf Rechnern der Intel-Architektur stehen 15 Interrupts oder IRQs zur Verfügung, die ursprünglich nur jeweils einer Hardwarekomponente zugeordnet sein durften. Bei heutigen PCI-Geräten ist Interruptsharing möglich, was bedeutet, dass sich zwei oder mehr Komponenten einen Interrupt teilen. DMA-Kanal DMA bedeutet Direct Memory Access oder direkter Speicherzugriff. Hardwarekomponenten wie Festplatte oder Netzadapter können über DMA direkt blockweise in den Arbeitspeicher schreiben oder daraus lesen, ohne den Zentralprozessor zu bemühen. Dies ermöglicht hohe Übertragungsraten von und zu solchen Komponenten und entlastet den Prozessor. Ein DMA-Kanal kann zu einem Zeitpunkt nur an ein Gerät vergeben sein.
Heutzutage braucht sich der Verwalter nur noch selten um diese Fragen zu kümmern; das machen Hard- und Software unter sich aus. Nur falls etwas nicht wie erwartet funktioniert, muss man sich die Adressen und Kanäle näher ansehen. Beim Booten kann man sie als Special boot parameters in der Kommandozeile mitgeben. Die Informationen darüber, welche Systemressourcen von welcher Hardwarekomponente benutzt werden, sollten Sie in den Unterlagen zu Ihrem Rechner bzw. zu den darin eingebauten Komponenten finden. Viele Karten sind dafür geeignet, unterschiedliche Ressourcen zu verwenden. Dabei wurde früher über Jumper2 auf der Karte oder spezielle Software zwischen den zu verwendenden Ressourcen ausgewählt. Jumper sind selten geworden, hatten aber den Vorzug, dass man die Einstellungen mit dem unbewaffneten Auge sehen konnte. Viele neuere Karten (PnP- oder Plug-and-Play-Karten) werden direkt vom BIOS oder vom Betriebssystem konfiguriert. Die Karten teilen dem BIOS oder Betriebssystem über ein Protokoll mit, welche Ressourcen sie verwenden, woraufhin das System die passenden Werte auswählt, mit denen die Geräte dann konfiguriert werden. Das geschieht teilweise nur nach einem Kaltstart, der insofern gründlicher aufräumt als ein Warmstart (Reset). Es gibt kein bequemes Werkzeug, das sämtliche Hardware eines Rechners ermittelt. Dafür ist die moderne Hardware zu vielgestaltig. Am nächsten kommt diesem Wunsch das Red Hat Linux Hardware Probing Tool kudzu: 1
Diese Konvention unterscheidet sich von der unter DOS/MS-Windows gebräuchlichen Konvention, hexadezimalen Zahlen den Buchstaben h nachzustellen. 2 Jumper sind winzige Steckbrücken, die Kontaktstifte miteinander verbinden.
7.1 Zu beschaffende Informationen
339
debian:~# kudzu -p | less listet in einem Textfenster einige Erkenntnisse bezüglich der Hardware auf. Die Option -p beschränkt das Werkzeug auf probing und verhindert etwaige Änderungen der Konfiguration. Das KDE-Infozentrum, aus dem KDE-Hauptmenü unter dem Punkt System -> Infozentrum oder per Kommandozeile als /usr/bin/kinfocenter zu erreichen, aus dem Paket kcontrol, bietet ziemlich umfassende Auskünfte über den Rechner. Der Aufruf: debian:~# hwinfo > hwinfo.log schreibt umfangreiche Informationen in eine Datei. Mittels: debian:~# discover video erfährt man etwas über die als Argument übergebene Gerätegruppe. joe@debian:~$ hdparm -I /dev/hda erzählt Root alles über die Festplatte, die hinter /dev/hda steckt. joe@debian:~$ dmesg | less zeigt die beim Systemstart auf den Schirm geschriebenen Meldungen des Kerns an, aus denen sich Informationen über die Hardware herauslesen lassen. Da die Meldungen aus einem Ringpuffer stammen, werden sie im laufenden Betrieb nach und nach ersetzt. Sie sollten sich in der Datei /var/log/dmesg wiederfinden. Ähnliche Hinweise finden sich auch in den Log-Dateien /var/log/messages und /var/log/syslog. Ansonsten stehen noch einige Spezialwerkzeuge zur Verfügung, teilweise aus dem Verzeichnis /usr/sbin und daher nicht im Befehlspfad gewöhnlicher Benutzer, jedoch von diesen ausführbar: • •
• • • • • • • • •
lshw (list hardware) vermittelt ein umfassendes Bild der Hardware, hardinfo zeigt in einem Fenster Informationen aus dem Verzeichnis /proc und verabschiedete sich regelmäßig nach dem Bruchteil einer Sekunde mit einem Speicherzugriffsfehler. lspci (list pci) aus dem Paket pciutils listet alle Geräte (Karten) am PCI-Bus auf, lsusb (list usb) listet alle über USB angeschlossenen Geräte auf, ähnlich auch usbview, das X11 voraussetzt, lshal listet alle Geräte der Hardware Abstraction Layer (HAL) auf (http: //freedesktop.org/Software/hal), gscanbus untersucht den IEEE-1394-Bus (Firewire), lsscsi (list scsi) listet alle SCSI-Geräte auf (ab Kern 2.6.0 verwendbar), mdetect sucht die Gerätedateien nach Mäusen ab, scanpci klappert den PCI-Bus ab, scsiinfo aus dem Debian-Paket scsitools listet mit der Option -l ebenfalls alle SCSI-Geräte auf, cdrecord -scanbus gibt die meiste Auskunft über den SCSI-Bus sowie die angeschlossenen Geräte und ist eigentlich ein Werkzeug zum Brennen von CDs.
340
•
7 Vorbereiten der Einrichtung
xdpyinfo, xwininfo und xprop zeigen Einstellungen des X-Servers an, der eng mit der Terminal-Hardware verbunden ist.
Man kommt nicht umhin, sich im Zweifelsfall die Hardware und die zugehörige Dokumentation anzusehen. Die mühsam errungenen Erkenntnisse schreibt man in die auf Seite 303 empfohlene Kladde. Wir brauchen sie beim Backen angepasster Kerne, siehe Abschnitt 15.1.5 Durchführen der Konfiguration auf Seite 692, und weiteren Gelegenheiten. Folgenden Informationen sollten vorliegen, bevor wir mit der Einrichtung beginnen: •
• •
•
• •
• •
•
•
Festplattenadapter Handelt es sich um ein (E)IDE oder um ein SCSI-System? Seit geraumer Zeit gibt es weitere Schnittstellen wie Serial-ATA, Firewire oder USB. SCSI Falls SCSI-System: welchen SCSI-Adapter verwendet der Rechner (Hersteller und Chipsatz)? Festplatten An welche Adapter sind die Festplatten angeschlossen? Bei (E)IDEAdaptern sollten wir für jede Festplatte wissen, an den wievielten Adapter sie angeschlossen ist und ob sie dort als Master oder als Slave arbeitet. Falls von dem Adapter (Mainboard) ein Kabel zu einem einzelnen Gerät führt, muss dieses als Master betrieben werden. Sind zwei Geräte angeschlossen, ist eines der Master, das andere der Slave. Bei SCSI-Adaptern sollten wir die SCSI-IDs der Festplatten kennen. Bei vielen Rechnern werden diese Informationen gleich nach dem Einschalten auf dem Bildschirm ausgegeben. CD/DVD-Laufwerke Hier gilt das Gleiche wie bei Festplatten. Alte CDLaufwerke sind manchmal über eine eigene Schnittstelle (weder ATAPI noch SCSI) oder die Soundkarte mit dem Rechner verbunden. Wenn dies so ist, sollten Sie auf ein neueres Modell (und DVD) umsteigen. Ein DVD-Laufwerk liest auch CDs, das Umgekehrte gilt nicht. Arbeitsspeicher (RAM) Menge in MB oder GB. Netzkarte Hersteller, Typ (z. B. Ethernet, etwas anderes ist selten), Chipsatz. Bei WLAN-Adaptern ebenso, dazu die lokal verwendeten Einstellungen wie Kanalnummer, Verschlüsselung usw. Grafikkarte Hersteller, Typ, Chipsatz und Größe des Grafikspeichers. Hoffentlich keine exotische Karte, sonst bekommt der X-Server ein Problem. Bildschirm Röhre oder Flachbildschirm, Frequenzbereich für horizontale und vertikale Frequenzen. Graphikkarten- und Bildschirmdaten werden nur benötigt, falls wir Debian GNU/Linux mit einer grafischen Oberfläche betreiben wollen, was auf Arbeitsplätzen praktisch immer der Fall ist. Schnittstellen Falls IO-Adressen oder Interruptnummern der seriellen oder parallelen Schnittstellen vom Standard abweichen, müssen wir diese unter Umständen kennen, um Geräte wie Maus, Modem oder Drucker betreiben zu können. Maus Hier müssen wir zum einen den Typ der Maus, also das Protokoll, mit dem sich Maus und Rechner unterhalten (meist Microsoft, Logitech oder PS/2), und die Schnittstelle, über welche die Maus mit dem Rechner verbunden ist, kennen.
7.1 Zu beschaffende Informationen
•
• •
341
Modem (falls vorhanden) Typ und Schnittstelle (COM1, COM2 etc). Bei internen Modems zusätzlich Interruptnummer und IO-Adresse. Diese Information ist nur dann notwendig, falls wir die Einrichtung über eine Modem-basierte Netzverbindung durchführen wollen. Unter Umständen benötigen Sie ein Handbuch Ihres Modems mit dem unterstützten Befehlssatz. Modems werden zunehmend von DSL verdrängt. Notebooks Typ des verwendeten PCMCIA-Adapters sowie Informationen darüber, welche PCMCIA-Geräte angeschlossen werden sollen. Drucker Hersteller, Typ und Schnittstelle. Da Drucker unter Debian nicht über druckerspezifische Treiber angesteuert werden, sondern zu druckende Dokumente durch entsprechende Filterprogramme geschickt werden, welche die Dokumente in ein von dem Drucker zu interpretierendes Format umwandeln, sollte man ein Handbuch des Druckers zur Verfügung haben, das Auskunft darüber gibt, welche Formate der betreffende Drucker unterstützt, beziehungsweise mit welchen anderen Druckern er kompatibel ist.
Das liest sich schlimmer als es in der Praxis ist. Ein beträchtlicher Teil der Hardware wird bei der Einrichtung automatisch erkannt. Nur über Grafikkarte und Monitor sollte man wirklich Bescheid wissen. 7.1.3 Informationen zum Netz Je nachdem, ob Ihr Rechner keine Netzverbindung hat, nur gelegentlich mit einem Netz – etwa über eine Einwahlverbindung mit Modem – verbunden ist oder dauerhaft in ein Netz integriert sein soll, brauchen Sie weitere Informationen. Das Netz kann auch später konfiguriert werden. Falls Sie jedoch eine Einrichtung über eine Netzoder Einwahlverbindung planen, müssen Sie die Konfiguration während der Einrichtung durchführen, ziemlich am Anfang. Am bequemsten hat man es in einem lokalen Netz, wenn dort ein DHCP-Server läuft – siehe Abschnitt 4.3.9 Dynamic Host Configuration Protocol auf Seite 257 – der die erforderlichen Angaben liefert. Ein spätere Umstellung auf statische Einträge ist eine Kleinigkeit, siehe Abschnitt 9.1.1 Umstellen von DHCP auf statische Adressen auf Seite 385. Wir unterscheiden folgende Fälle: •
•
Keine Netzverbindung Alleinstehender, einsamer Rechner (selten geworden). In diesem Fall brauchen Sie sich nur einen netten Namen für Ihren Rechner auszudenken. Einwahlverbindung über Modem und PPP Auch in diesem Fall dürfen Sie sich den Namen Ihres Rechners ausdenken. Darüber hinaus brauchen Sie folgende Angaben von ihrem Internetversorger: – Telefonnummer zur Einwahl, – Tonwahl (Regelfall) oder Pulswahl (selten geworden), – Benutzername samt Passwort bei Ihrem Versorger, – Authentifizierungsmethode (PAP, CHAP oder seltener skriptgesteuerte Verfahren),
342
7 Vorbereiten der Einrichtung
–
•
ob Sie von ihrem Versorger dynamisch eine IP-Adresse zugewiesen bekommen (Regelfall) oder statische IP-Adressen vergeben werden. Bei statischen Adressen müssen Sie neben Ihrer eigenen IP-Adresse eventuell auch die IPAdresse der Gegenstelle kennen. – An welche Schnittstelle (com1, com2) ist Ihr Modem angeschlossen? – Maximale Übertragungsrate der Schnittstelle zwischen Rechner und Modem (gewöhnlich 115200 Bit/s). – Ob Ihr Internetprovider Ihnen dynamisch den zu verwendenden DNS-Server zuweist oder Sie Ihr System fest für die Benutzung eines bestimmten DNSServers konfigurieren müssen. Im zweiten Fall benötigen Sie die IP-Adresse des DNS-Servers. Dauerhafter Netzanschluss (DSL oder Standleitung) Wenn Ihr Rechner dauerhaft mit einem Netz verbunden ist – Sie also zur Verbindung ins Internet nicht eine Telefonnummer wählen – sollten Sie die Netzeinstellungen während der Einrichtung des Basissystems vornehmen bzw. von einem DHCP-Server vornehmen lassen. In vielen Netzen wird eines der Protokolle DHCP oder seltener BOOTP zur automatischen Konfiguration der Netzeinstellungen der Rechner benutzt. Beide Verfahren werden von Debian unterstützt. Sie brauchen dann lediglich den frei gewählten oder vom Netzverwalter zugeteilten Namen Ihres Rechners einzugeben. Falls in Ihrem Netz kein BOOTP oder DHCP zur Verfügung steht, benötigen Sie folgende lokale Informationen: – IP-Adresse ihres Rechners wie 192.168.1.14, – die Netzmaske ihres Netzes wie 255.255.255.0, – die IP-Adresse Ihres Netzes wie 192.168.1.0, – die Broadcast-Adresse ihres Netzes, gewöhnlich die gleiche Adresse wie Ihre IP-Adresse, nur dass die letzte Ziffer 255 lautet, also z. B. 192.168.1.255, – falls vorhanden, den Namen Ihrer lokalen Domäne, wie beiuns, – falls vorhanden, die IP-Adresse des lokalen Nameservers (DNS, wie 192.168.1.1), – falls vorhanden, die IP-Adresse des Default-Gateways, auch Standard-Router genannt, wie 192.168.1.254. Das ist die innere Adresse des DSL-Routers.
In einem lokalen, über einen DSL-Router an das Internet angebundenen Netz stammen die lokalen IP-Adressen aus einem der drei privaten Adressbereiche des Internets (10.. . . , 172.16. bis 172.31.. . . oder 192.168.. . . ), in kleinen Netzen meist aus dem letztgenannten. In diesem Fall ist die Netzmaske 255.255.255.0 gebräuchlich, die 254 lokale Knoten erlaubt. Die IP-Adresse des Netzes ergibt sich zwangsläufig aus diesen beiden Angaben als die niedrigste im Netz verfügbare Adresse. Die Broadcast-Adresse ergibt sich ebenso als die höchste im Netz verfügbare Adresse. In einem lokalen Netz kann der Verwalter den Namen der Domäne beliebig wählen, möglichst bezeichnender als localdomain. Wenn kein lokaler Nameserver betrieben wird, sind Nameserver und Default-Gateway identisch, dem gern eine IP-Adresse am unteren oder oberen Ende des Adressbereiches (1 oder 254) zugeteilt wird. Im Beispiel oben sind offenbar Nameserver und Gateway getrennte Knoten. Tatsächlich wird ein lokaler Nameserver (192.168.1.1) betrieben, der seinerseits als über-
7.1 Zu beschaffende Informationen
343
geordneten Nameserver das Gateway (192.168.1.254) eingetragen hat. Das Gateway erfährt die IP-Adresse des äußeren Nameservers meist dynamisch vom Versorger; das ist momentan nicht unser Bier und gehört zur Konfiguration des Gateways, siehe Abschnitt 16.4 Konfiguration eines DSL-Gateways auf Seite 755. Alle Angaben findern wir nach der Einrichtung in den Dateien /etc/network/interfaces und /etc/resolv.conf wieder, die jederzeit editiert werden können. 7.1.4 Datenquellen Zur Einrichtung brauchen wir eine Datenquelle, aus der Debian GNU/Linux sprudelt. Wir unterscheiden zwei Stufen der Einrichtung mit gegebenenfalls verschiedenen Datenquellen: • •
Start der Einrichtung mit einer vergleichsweise geringen Datenmenge (Megabytes), Einrichten der Hauptmenge von Debian GNU/Linux (Gigabytes).
Wenden wir uns zunächst dem Start zu. Abhängig von der Ausgangslage stehen uns mehrere Wege offen: • •
Der Rechner ist neu, leer, bar jeder Intelligenz (vom BIOS abgesehen), und wir müssen daher mit einem bootfähigen Medium beginnen, auf dem Rechner läuft bereits ein Betriebssystem (vermutlich nicht Debian GNU/Linux), und wir wollen Debian zusätzlich einrichten.
Im ersten Fall sagt uns das BIOS des Rechners in seinem Setup, was als Startmedium in Frage kommt. In das Setup gelangen wir, indem wir den Bootvorgang früh unterbrechen, siehe Abschnitt 7.4.2 Starten des BIOS-Setup-Programms auf Seite 361. Dann finden wir unter einem Menüpunkt wie Advanced BIOS Features oder Boot Order eine Möglichkeit, bestimmte Medien in einer bestimmten Reihenfolge als Bootmedium auszuwählen, darunter Floppy, HDD (Hard Disk Drive, Festplatten), CDROM (schließt DVD ein), SCSI, USB (bestimmte Medien, nicht alles, was einen USB-Stecker hat), ZIP . . . . Im BIOS kann auch vorgesehen sein, über das lokale Netz zu booten, was einen entsprechenden Server (PXE) im LAN voraussetzt. Wir ändern noch nichts an der Einstellung und merken uns nur, welche Medien zum Booten angeboten werden. CDROM meint in diesem Zusammenhang ein CD/DVD-Laufwerk mit ATAPI-Schnittstelle. Ein Laufwerk mit SCSI-Schnittstelle fällt unter SCSI, womit das SCSI-BIOS die Zuständigkeit für den Bootvorgang übernimmt. Debian unterstützt als Bootmedien Floppies, CD/DVD, USB-Stöpsel, Festplatten mit einem bereits laufenden Bootloader wie LILO oder GRUB sowie Booten über das Netz von einem Bootserver. Die Schnittmenge des Debian-Angebotes mit den Fähigkeiten unseres BIOS stellt unsere Möglichkeiten dar. Am häufigsten kommen Floppies, ATAPI-CD/DVD oder USB (Platten oder Stöpsel) in die nähere Auswahl. Im zweiten Fall können wir die benötigten Dateien unter dem fremden Betriebssystem herunterladen und etwa erforderliche Medien beschreiben. Wir brauchen nur Platz auf der Platte.
344
7 Vorbereiten der Einrichtung
Dann stellt sich die Frage, mit welchem Medium wir die Einrichtung fortsetzen, das heißt, den Hauptteil, die Gigabytes, von Debian GNU/Linux herüberholen. Geeignet sind CD/DVDs oder das Netz. Im Handel einschließlich elektronischer Auktionen werden CD/DVDs preiswert angeboten. Ausleihen und/oder Kopieren ist ebenfalls möglich und erlaubt. Man verschwende weder Geld noch Zeit an uralte Versionen, aktuell ist ab Ostern 2007 4.0 aka etch, vollständig rund 9 GB auf 2 DVDs. Im Fall des Netzes kann ein Server (Spiegel) im lokalen Netz Debian zur Verfügung stellen – was sich in größeren Netzen lohnt – oder wir greifen auf einen der Debian-Server im Internet zu, was praktisch einen DSL-Anschluss voraussetzt. Modemstrecken sind zu langsam für die Datenmengen. Bei der Einrichtung vom Netz holt man sich nur, was man braucht, nicht die vollen 9 GB. Sobald das Grundsystem läuft, kann man jederzeit nachrüsten. Holt man sich die Daten aus dem Internet, arbeite man unbedingt hinter einer Firewall, weil andernfalls der frisch eingerichtete Rechner in Minutenschnelle von Viren, Würmern, Trojanern und anderem Gesindel überfallen wird. Im Folgenden erläutern wir einige gebräuchliche Kombinationen, nicht alle möglichen. Der Installation Guide soll nicht überflüssig werden. Abhängig davon, welches Verfahren wir wählen, benötigen wir vor der Einrichtung bestimmte Dateien und müssen einige Medien vorbereiten oder beschaffen. Falls Sie mehr als einen Debian-Rechner einzurichten haben und diese nicht grundverschieden sind, weist der Abschnitt 8.4 Fully Automatic Installation auf Seite 382 einen intelligenten und zeitsparenden Weg. Nach der Einrichtung eines Servers im lokalen Netz lassen sich weitere Debian-Rechner mit minimalem Aufwand produzieren.
7.2 Startmedien 7.2.1 Disketten Da es sich bei den Einrichtungsprogrammen um Linux-Programme handelt, muss bereits vor dem Einrichten des endgültigen Systems ein kleines Linux-System auf dem Rechner laufen, das Einrichtungssystem. Dieses kann nicht von der noch leeren Festplatte kommen. Das Einrichtungssystem verwendet deswegen eine Ramdisk. Das ist ein Bereich des Arbeitsspeichers (RAM), der wie eine Festplatte formatiert ist und in dem sich alle zu Beginn des Einrichtens benötigten Dateien befinden. Der vorbereitete Inhalt dieser Ramdisk wird vor dem Start des Einrichtungssystems aus einer Datei in den Speicher geladen, sodass dem Kern ein ähnliches Dateisystem zur Verfügung steht wie hernach beim regulären Start von der Festplatte. Mit dem Einrichtungssystem lässt sich nicht viel mehr anstellen als das Grundsystem einzurichten, was in Abschnitt 8 Einrichten eines Grundsystems ab Seite 367 beschrieben wird. Mit dem Grundsystem kann ein Benutzer dann anfangen zu arbeiten. Das Einrichtungssystem wird von einer Bootdiskette (früher auch als RescueDiskette bezeichnet, aber für Rettungszwecke bevorzugt man heute eine Live-CD wie Knoppix, da ist mehr drauf) geladen, auf der sich der Kern, der Bootloader,
7.2 Startmedien
345
die Startbildschirme und ein Teil der Ramdisk befinden. Nachdem der Kern geladen und gestartet wurde, wird eine zweite Diskette (Rootdiskette) angefordert, auf der sich die restlichen Dateien für das Einrichtungssystem befinden. Der Inhalt dieser Diskette wird ebenfalls in die Ramdisk übertragen. Danach wird die Ramdisk vom Kern eingehängt (gemountet) und das Einrichtungssystem gestartet. Um die benötigten Disketten zu erstellen, stehen Disketten-Abbilddateien (image) auf den Debian-CD/DVDs und -Servern bereit, die mit einem besonderen Programm auf die Disketten übertragen werden. Es werden nur noch 3,5-Zoll-Disketten mit 1,44 MB Kapazität unterstützt. Zu den Disketten kommt man am einfachsten auf einem bereits laufenden Rechner; im Handel werden sie kaum angeboten. Wir holen uns die beiden Disketten-Abbilddateien von einem Debian-Server (Spiegel) (http://www.de.debian.org/, Menüpunkte bzw. Hyperlinks Documentation -> Installation manual -> Installation Manual for Intel x86 -> 4.2.1 Where to Find Installation Images -> debian/dists/etch ... -> floppy/, von http://cdimage.debian.org/ oder direkt von ftp://ftp. de.debian.org/debian/dists/sarge/main/installer-i386/ current/images/floppy/). Ersetzen wir sarge durch etch, gelangen wir zur gegenwärtigen (Anfang 2007) testing-Distribution, die in Bälde zur nächsten stable-Distribution aufrückt und sarge auf das Altenteil schickt. Dem Verzeichnis floppy benachbart liegen die Verzeichnisse cdrom, hd-media und netboot für andere Startmedien. Im Fall von cdrom oder hd-media steht uns ein Unterverzeichnis für die Kernversion 2.6 zur Verfügung. Für den Start von Diskette brauchen wir die Dateien boot.img und root.img. Die Dateien cd-drivers.img und net-drivers.img enthalten Treiber für weniger verbreitete Laufwerke bzw. Netzkarten und werden nur selten benötigt. Aber wenn man schon am Herunterladen ist, kann man sich die beiden Dateien auch noch gönnen. Auf Debian-CD/DVDs liegen die Floppy-Dateien im Verzeichnis install/floppy. Wer über die Scheiben verfügt, davon jedoch nicht booten kann, überträgt die Abbilddateien der Disketten von der CD/DVD, bootet damit und holt den Rest von CD/DVD. Nehmen wir an, die Dateien seien wohlbehalten auf einem Linux/UNIX-Rechner angekommen. Dann übertragen wir sie mittels: joe@debian:~$ dd if=boot.img of=/dev/fd0 bs=1024 conv=sync; sync auf eine nicht eingehängte, sondern nur eingelegte DOS-formatierte, fehlerfreie Diskette. Formatieren eines Datenträgers legt auf diesem ein Dateisystem an oder bereitet das Anlegen vor. Die Fehlerfreiheit ist wichtig und lässt sich beim Formatieren mittels: joe@debian:~$ superformat /dev/fd0 feststellen, da das Werkzeug (Paket fdutils) nach dem Formatieren die Diskette verifiziert (prüft). Bei fehlerhaften Disketten hilft manchmal wiederholtes Formatieren. Vom Eintragen der von superformat ermittelteten Drehzahlabweichung in die Datei /etc/driveprm raten wir ab, weil die Abweichung nicht nur von Lauf-
346
7 Vorbereiten der Einrichtung
werk und Kontroller, sondern auch von der Diskette abhängt. So oft formatiert man heute Disketten nicht mehr, dass es auf die Einsparung einiger Minuten ankäme. Das Werkzeug dd ist ein Disk Dumper3 , der eine Abbilddatei Bit für Bit (raw data) überträgt, ohne Dateistrukturen oder fehlerhafte Sektoren zu beachten. Ein solches blindes Kopieren wird auch dumpen genannt, das Ergebnis Dump. Bei Debian finden sich einige Pakete mit dump im Namen. Das Werkzeug dd versteht sich auf einige Umwandlungen, falls verlangt. Seine Argumente bedeuten: • • • •
if=boot.img input file, Eingabedatei, die heruntergeladene Abbilddatei, of=/dev/fd0 output file, Ausgabedatei, hier die Gerätedatei, die das erste Floppylaufwerk darstellt, bs=1024 block size, hier für Ein- und Ausgabe linuxübliche 1024 Bytes, conv=sync conversion, Umwandlung gemäß dem Schlüsselwort, hier sync, was Auffüllen der Eingabeblöcke bis zur angegebenen Blockgröße bedeutet.
Das Semikolon beendet das Kommando. Es folgt das Kommando sync zum Leeren der Dateisystempuffer. Eine Alternative zu dd ist das bei Debian vertretene Werkzeug cstream, siehe http://www.cons.org/cracauer/. Hat man die Abbilddateien auf einen DOS-Rechner heruntergeladen, verwendet man zum Kopieren statt dd das Werkzeug rawrite (mit einem w), auf einem MSWindows-Rechner das Werkzeug rwwrtwin. Beide Werkzeuge sind im Verzeichnis /tools der Debian-CD/DVDs als zip-Archiv enthalten. Außerdem findet man sie auf ftp://ftp.de.debian.org/debian/tools/. 7.2.2 USB-Stöpsel Wenn das BIOS den Start des Systems von einem USB-Gerät unterstützt, kann man die Einrichtung mit einem USB-Stöpsel beginnen. Erfolg hatten wir, nachdem wir in der Boot-Reihenfolge USB-ZIP an die zweite Stelle nach FDD (Floppy Disk Drive) gesetzt hatten, nicht etwa USB-HDD oder USB-FDD. Offenbar wurde der Stöpsel vom BIOS wie eine IOMEGA-ZIP-Diskette als removable disk angesehen. Im weiteren Betrieb behandelt GNU/Linux USB-Stöpsel wie eine SCSI-Festplatte. Man holt sich wie im vorigen Abschnitt für Floppies beschrieben von einem Debian-Rechner die Datei hd-media/boot.img.gz, rund 8 MB. Dann schreibt man sie mittels: debian:~# zcat boot.img.gz > /dev/sdb1 auf die Gerätedatei, die den eingestöpselten, jedoch nicht eingehängten USB-Stöpsel darstellt, und findet auf diesem hernach zwanzig Dateien von disk.lbl bis syslinux.txt. Etwa vorher vorhandene Daten werden dabei überschrieben. Das 3 dd wird auch als Disk Doubler oder Device to Device gedeutet. Nach einer anderen Quelle soll das Kommando ursprünglich copy and convert geheißen haben. Da die Bezeichnung cc jedoch für den C-Compiler vergeben war, habe man einfach den nächsten Buchstaben im Alphabet genommen. Eine weitere Quelle leitet die Bezeichnung aus der Job Control Language von IBM OS/360 her, woher die verquere Syntax des Kommandos stamme.
7.2 Startmedien
347
reicht zum Booten. Den jeweiligen Namen der Gerätedatei ermittelt man durch Studieren von /var/log/messages. In unserem Rechner befanden sich ein per Treiber zu einem SCSI-Gerät umfunktioniertes ATAPI-DVD-Laufwerk (SCSIBus 0), ein richtiger SCSI-Adapter (SCSI-Bus 1) und der USB-Stöpsel (SCSI-Bus 2, SCSI-ID 0, Logical Unit 0). Um die Einrichtung über das Netz fortzusetzen, holt man sich noch wie im nächsten Abschnitt beschrieben das ISO-Abbild einer minimalen CD/DVD (netinst CD image, debian-40r0-i386-netinst.iso), rund 160 MB, und kopiert es mit einem gewöhnlichen cp-Kommando auf den eingehängten Stöpsel, der ein Fassungsvermögen von 256 MB oder mehr haben muss. Die Datei wird beim Kopieren umbenannt, behält aber ihre Kennung iso. Der Rest von Debian quillt während der Einrichtung aus dem Netz. Bei Schwierigkeiten mit der BIOS-Unterstützung können Sie von der BootDiskette booten und mit dem Stöpsel weitermachen. Aber dann kann man auch gleich bei Disketten bleiben. 7.2.3 Minimale CD/DVD Falls der einzurichtende Rechner von CD/DVD booten kann und mit dem Internet verbunden ist, empfiehlt sich der Start von einer minimalen CD/DVD, die ein Anfangssystem von 125 MB Größe enthält. Wie im vorigen Abschnitt beschrieben holen wir uns die Abbilddatei debian-40r0-i386-netinst.iso und brennen sie auf eine CD. Die Abbilddatei enthält bereits ein ISO-9660-Dateisystem; wir brauchen also nicht vorher ein solches mittels mkisofs zu erzeugen. Auf der CD/DVD liegen im Verzeichnis install unter anderem folgende Dateien: •
•
•
floppy/boot.img Floppy-Boot-Image, erforderlich, weil eine bootfähige CD/DVD vom BIOS zuerst als Floppy angesprochen wird, gemäß El-ToritoSpezifikation, siehe das Bootdisk-HOWTO und die deutsche oder die englische Wikipedia, initrd.gz der Inhalt für die Ramdisk, gepackt, enthält Kernmodule und Anderes; die Bezeichnung ist zu lesen als vom Bootloader initialisierte (gefüllte) Ramdisk, vmlinuz Kern, komprimiert, daher das z am Ende. Das vm am Beginn weist darauf hin, dass der Kern virtuellen Arbeitsspeicher (virtual memory) kennt, war früher nicht selbstverständlich.
Dazu kommen in einem Unterverzeichnis install/2.6 noch einmal die letzten beiden Dateien für einen Kern der Version 2.6, für den man sich zu Beginn des Bootens entscheiden kann. Im Verzeichnis dists/etch/main findet sich der Großteil der Software, die für die weitere Einrichtung über das Netz benötigt wird. Da sich der Verwalter hierbei für eine Auswahl aus der gesamten Distribution entscheidet, halten sich die Übertragungszeiten in Grenzen.
348
7 Vorbereiten der Einrichtung
7.2.4 Vollständige CD/DVD Falls Sie sich einen vollständigen Satz von Debian-CDs (14 Stück) oder -DVDs (2 Stück) beschafft haben und Ihr Rechner von CD/DVD booten kann, brauchen Sie weiter nichts vorzubereiten. Wegen des Umfangs von rund 9 GB für die vollständige Distribution kommt das Herunterladen der Abbilddateien von einem Debian-Server auch bei einem ADSL-Anschluss praktisch nicht in Frage. Bei einer Geschwindigkeit von 1000 kbit/s im Download würde die Übertragung grob gerechnet 20 h beanspruchen. Rechenzentren verfügen über schnellere Leitungen und setzen bei Bedarf einen lokalen Debian-Spiegel auf, der im LAN die Daten schneller als mit DSL-Geschwindigkeit verteilt. In einem Gigabit-Ethernet verringert sich die Übertragungsdauer auf wenige Minuten. Debian bietet auch das Herunterladen mittels BitTorrent an, was jedoch nur die Belastung der Server verringert und an den Zeiten nicht viel bessert. Für den gelegentlichen Nutzer kommt BitTorrent nicht in Betracht. 7.2.5 Start über das Netz (PXE) Ein Rechner kann über das lokale Netz von einem Server booten, siehe Abschnitt 11.6 Booten vom Netz auf Seite 493. Die Möglichkeit ist vor allem für plattenlose (diskless) Arbeitsplätze gedacht, lässt sich aber auch auf einem Rechner mit Massenspeicher nutzen. Das BIOS und die Ethernetkarte des Clients (Arbeitsplatz) müssen mitspielen, im lokalen Netz entsprechende Server laufen. Ein verbreitetes Protokoll ist das Preboot Execution Environment (PXE). Das Booten über das Netz (netboot) darf nicht mit dem Einrichten über das Netz (netinst) verwechselt werden, bei dem nach dem Start der Großteil der Software über das Netz bezogen wird.
7.3 Partitionieren unter einem anderen Betriebssystem 7.3.1 Umpartitionieren oder nicht? Das Partitionieren der Festplatte(n) erfolgt normalerweise während des Einrichtens von Debian GNU/Linux. Im einfachsten Fall ist die Platte leer. Dabei kann es sich auch um eine zweite Platte zusätzlich zur ersten mit einem bereits lauffähigen Betriebssystem handeln. Zumindest muss auf einer Platte, die bereits Daten enthält, noch ausreichend viel freier (nicht partitionierter) Platz übrig sein oder durch Löschen entbehrlicher Partitionen geschaffen werden. Manchmal ist auf dem Rechner bereits ein Betriebssystem vorhanden, das auch nach der Einrichtung von Debian GNU/Linux verwendbar bleiben soll. Viele Betriebssysteme legen bei einer Standardeinrichtung eine einzige große Partition auf jeder Festplatte an. Die Folge ist, dass alle auf solchen Partitionen enthaltenen Daten gelöscht werden, wenn diese Partitionen während der Einrichtung von Debian GNU/Linux gelöscht oder überschrieben werden. Aus diesem Grund ist es notwendig, vor der Einrichtung von Debian GNU/Linux Festplattenplatz freizugeben.
7.3 Partitionieren unter einem anderen Betriebssystem
349
Umpartitionieren von Festplatten ist unter jedem Betriebssystem ein kritischer Vorgang, bei dem mit höchster Sorgfalt vorgegangen werden muss und im Falle eines Fehlers sämtliche Daten einer oder sogar aller Festplatten gelöscht werden können. In jedem Fall soll vor dem Umpartitionieren ein vollständiges Backup des gesamten Systems, wenigstens jedoch aller wichtigen persönlichen Daten und der Konfigurationsdateien angelegt werden. Die Alternative zum Umpartitionieren ist das Hinzufügen einer weiteren Platte, die Debian aufnimmt. Jedes Betriebssystem wird mit einem Programm zum Partitionieren ausgeliefert. Diese Programme tragen meist den Namen fdisk (so unter allen DOS-Varianten inklusive MS Windows). Unter MS Windows NT ist das Programm windisk (Festplattenmanager) für diese Aufgabe verantwortlich. Die Werkzeuge löschen bestehende Partitionen und legen neue an. Es besteht keine Möglichkeit, die Größe bestehender Partitionen zu verändern. Das bedeutet, dass beim Aufteilen einer Partition alle Daten auf der Partition gelöscht werden. Ist nur eine einzige Partition vorhanden wie bei einer standardmäßigen DOS/MS-Windows-Installation, muss vor dem Umpartitionieren der gesamte Festplatteninhalt gesichert und dann die Partition gelöscht werden. Anschließend werden neue, kleinere Partitionen angelegt. Zum Schluss wird das Backup wieder zurückgespielt. Das ist ein zwar sicheres, jedoch mühsames Vorgehen. Im Gegensatz zu normalen Partitionierungsprogrammen kann das auf der Debian-CD/DVD befindliche DOS-Programm fips.exe (Fips) in vielen Situationen die Verkleinerung von Partitionen, die mit einem der DOS-Dateisysteme FAT, VFAT oder FAT32 formatiert sind, übernehmen. Wenn Sie eines der Betriebssysteme DOS, MS Windows 3.1/3.11/95/98 verwenden oder Sie MS Windows NT mit einem solchen Dateisystem ausgestattet haben (unwahrscheinlich), können Sie Partitionen mit diesem Programm verkleinern, um Raum für weitere Partitionen zu erhalten. Die von Fips angelegten temporäre(n) Partition(en) löschen Sie während der Einrichtung von Debian GNU/Linux und legen in dem dadurch frei gewordenen Platz neue Partitionen an. Alternativ zu Fips können verschiedene kommerzielle Werkzeuge wie Partition Magic benutzt werden, um Partitionen zu verkleinern und dadurch Festplattenplatz freizugeben. Für Linux gibt es ein Programm aus dem GNU-Projekt namens parted, Heimathafen http://www.gnu.org/software/parted/, dort auch Dokumentation. Unter Debian GNU/Linux steht es im gleichnamigen Paket aus der Abteilung Administration Utilities zur Verfügung. Der Aufruf: debian:~# parted -interactive /dev/hda öffnet eine parted-Kommandozeile, in die man zunächst harmlose Kommandos wie help, print (Anzeige der Partitionstabelle) oder check (Untersuchen einer nicht eingehängten Partition) eingibt. Andere parted-Kommandos erzeugen oder verändern Partitionen. Ende mit quit.
350
7 Vorbereiten der Einrichtung
7.3.2 Umpartitionieren mit Fips Das Programm Fips ermöglicht, primäre Partitionen aufzuteilen. Damit das Programm sicher funktioniert, müssen folgende Voraussetzungen erfüllt sein: •
•
• • •
•
Es können nur primäre Partitionen verkleinert werden. Nach einer standardmäßigen DOS/MS-Windows-Installation befinden sich auf dem Rechner nur solche Partitionen. Falls Sie mehrere Festplatten oder mehrere primäre Partitionen haben, müssen Sie wissen, welche primäre Partition auf welcher Festplatte verändert werden soll. Die Partition muss mit den Dateisystemen FAT, VFAT oder FAT32 formatiert sein. Die Partition muss defragmentiert sein. Durch die Defragmentierung werden alle Dateien an den Anfang der Partition verschoben. Der Rechner sollte mit einer DOS-Bootdiskette gestartet werden, bevor Fips ausgeführt wird. Dadurch wird sichergestellt, dass keine anderen Programme während der Verkleinerung auf die betroffene Partition zugreifen. Die zu verkleinernde Partition darf nicht von einem Festplattenmanager wie ONTrack oder EZDrive verwaltet werden.
Fips sollte sich auf allen Debian-CD/DVD-Sätzen befinden. Auf den offiziellen CD/DVDs liegt es im Verzeichnis /tools als zip-Archiv. Sie können es auch von http://ftp.debian.org/debian/tools/ herunterladen. Falls Sie kein Programm zum Auspacken von zip-Archiven haben, finden Sie dort auch eine Datei namens unz512x3.exe. Hierbei handelt es sich um ein selbstentpackendes zipArchiv, das die Programme unzip.exe und unzip386.exe enthält, mit denen Sie zip-Archive von der DOS-Kommandozeile aus entpacken können. Fips wird mit einer ausführlichen Dokumentation geliefert. die sich in den Dateien fips.doc sowie fips.faq befindet. Das Umpartitionieren mit Fips verläuft folgendermaßen: •
•
Sichern Sie alle Dateien, die auf keinen Fall verloren gehen dürfen, auf externe Datenträger wie CD/DVD, USB-Stöpsel oder Band, gegebenenfalls über Netz auf einen anderen Rechner. Erstellen Sie eine DOS-Startdiskette. Legen Sie dazu eine leere Diskette in das Diskettenlaufwerk ein und geben Sie das Kommando: C:\> format a: /s
•
•
ein. Wenn Sie ein anderes Betriebssystem verwenden, müssen Sie sich anderweitig eine DOS-Startdiskette besorgen. Auf die Startdiskette kopieren Sie folgenden Dateien aus dem Fips-Verzeichnis oder von der CD/DVD: fips.exe, errors.txt und restorrb.exe. Zusätzlich sollten Sie sich auf diese Diskette weitere DOS-Hilfsprogramme wie scandisk beziehungsweise chkdsk und fdisk kopieren. Untersuchen Sie die zu verkleinernde Partition auf etwaige Fehler im Dateisystem:
7.3 Partitionieren unter einem anderen Betriebssystem
351
–
•
•
•
Bei Verwendung von DOS (ohne MS Windows) ist dazu folgendes Kommando einzugeben: C:\> scandisk Bei älteren DOS-Versionen ist anstelle von scandisk das Kommando chkdsk zu benutzen. – Bei Verwendung von MS Windows klicken Sie im Explorer mit der rechten Maustaste auf das entsprechende Laufwerk im Verzeichnis Arbeitsplatz und wählen Eigenschaften, dann Extras und schließlich Jetzt prüfen. Falls bei der Prüfung Fehler auftreten, die behoben werden konnten, Wiederholen Sie den Vorgang so lange, bis keine Fehler mehr gefunden werden. Wenn dies nicht gelingt, ist mit Ihrer Partition etwas nicht in Ordnung, und Sie sollten Fips zunächst nicht ausführen, sondern dem Fehler auf den Grund gehen. Nun defragmentieren Sie die Partition. Hierzu können Sie das Programm defrag verwenden, das mit einigen DOS-Versionen ausgeliefert wird. Bei Verwendung von MS Windows klicken Sie im Explorer wieder mit der rechten Maustaste auf das Laufwerk, wählen dann Eigenschaften, dann Extras und Jetzt optimieren. Falls Ihnen DOS-Defrag oder MS Windows mitteilt, das Laufwerk sei nicht oder nur wenig fragmentiert, müssen Sie es trotzdem defragmentieren, um sicherzustellen, dass alle Dateien im Anfangsbereich der Partition liegen. Während des Defragmentierens darf kein anderes Programm aktiv sein, damit ausgeschlossen ist, dass während dieses Vorgangs auf die Festplatte geschrieben wird. Nach dem Defragmentieren starten Sie den Rechner von der Bootdiskette. Falls dies nicht funktioniert, ist Ihr Rechner vermutlich so eingestellt, dass er zuerst von der Festplatte bootet. Sie ändern dies im BIOS-Setup des Rechners. Sie haben jetzt ein Minimal-DOS, das nur US-Tastaturen unterstützt. Wenn Sie eine deutsche Tastatur verwenden, sind einige Tasten anders belegt. Geben Sie das Kommando: A:\> dir C:
•
ein, um zu testen, ob DOS die Festplatte erkennt. Sie sollten das Wurzelverzeichnis Ihrer ersten Platte unter DOS/MS-Windows sehen. Nun rufen Sie Fips auf. Dazu geben Sie das Kommando: A:\> fips
•
ein. Fips begrüßt Sie mit einigen Hinweisen und bittet Sie, eine Taste zu drücken. Nachdem Sie das getan haben, untersucht Fips, wieviele Festplatten Sie haben. Falls mehr als eine Festplatte gefunden wird, werden Sie gefragt, welche Festplatte Sie umpartitionieren möchten. Geben die entsprechende Ziffer ein. Fips untersucht nun die Partitionstabelle der Festplatte. Unter Umständen werden Sie darauf hingewiesen, dass sich die wirkliche Festplattengeometrie nicht mit der deckt, die das BIOS berichtet. Dies ist in der Regel kein Problem, da nur die vom BIOS berichtete Festplattengeometrie entscheidend ist.
352
•
•
7 Vorbereiten der Einrichtung
Falls Fips mehrere Partitionen auf der Festplatte findet, werden Sie gebeten, die Partition auszuwählen, die Sie verkleinern möchten. Wählen Sie die entsprechende Ziffer. Falls Sie sich nicht sicher sind, welche Partition die richtige ist, sollten Sie hier abbrechen, die Startdiskette entfernen und den Rechner erneut starten. Untersuchen Sie unter ihrem üblichen Betriebssystem, welche Partition zu verkleinern ist. Fips führt nun eine Reihe von Tests durch, die gewährleisten sollen, dass bei der Umpartitionierung kein Fehler passiert. Falls hierbei ein Fehler bemerkt wird, bricht das Programm ab. Falls Fips mit der Fehlermeldung Last cylinder is not free abbrechen sollte, obwohl Sie defragmentiert haben und sich genügend freier Platz auf der Partition befindet, kann die Ursache darin bestehen, dass bei der Defragmentierung bestimmte Dateien mit den Attributen read-only, system oder hidden nicht verschoben wurden. Sie löschen diese Attribute, indem Sie am DOS-Prompt im Wurzelverzeichnis der Partition das Kommando: C:\> attrib -r -s -h *.* /s
•
•
•
•
eingeben. MS Windows soll dabei nicht aktiv sein. Unter Umständen ist es auch hilfreich, die Verwendung virtuellen Speichers in der Systemsteuerung von MS Windows abzuschalten. Nach einer solchen Änderung müssen Sie die Defragmentierung wiederholen. Nachdem Fips festgestellt hat, dass es die Partition verkleinern kann, werden Sie gefragt, ob Sie eine Sicherungskopie des Root- sowie des Bootsektors der Festplatte anlegen wollen. Beantworten Sie diese Frage unbedingt mit . Sie werden dann gefragt, ob sich eine Bootdiskette im Laufwerk A befindet. Da Sie von dieser gebootet haben, antworten Sie wieder mit . Die beiden Sektoren werden dann auf die Diskette gesichert. Nun können Sie die Größe der zu erstellenden Partition festlegen. Auf dem Bildschirm wird unten links die Größe der alten Partition, in der Mitte der Zylinder, bei dem die neue Partition beginnt, und rechts die Größe der neuen Partition angezeigt. Bedenken Sie, dass ältere BIOSse Betriebssysteme nur von einer Partition unterhalb der Grenze von 1024 Zylindern starten können, siehe Abschnitt 6.5.4 Die 1024-Zylinder-Grenze auf Seite 325. Sie können die Werte mit den Pfeiltasten verändern: Die Größe der alten Partition steigt durch die Pfeiltaste nach links und sinkt durch die Pfeiltaste nach rechts, die anderen Werte ändern sich entsprechend. Nachdem Sie die gewünschten Werte eingestellt haben, bestätigen Sie mittels . Nun erscheint die Partitionstabelle, wie sie nach Durchführen der Änderungen gelten würde. Sie haben die Möglichkeit, fortzufahren oder von vorne zu beginnen. Prüfen Sie die Tabelle und drücken Sie dann entweder , um fortzufahren, oder , um von vorne zu beginnen. Wenn Sie das Programm abbrechen möchten, drücken Sie +. Wenn Sie fortfahren, erhalten Sie einige Angaben zu dem neuen Bootsektor der Festplatte, wie er von Fips geschrieben wird, und dann die Meldung Ready to write new partition scheme to disk. Wenn Sie sich sicher sind,
7.3 Partitionieren unter einem anderen Betriebssystem
•
•
353
dass alles richtig ist, drücken Sie die Taste . Der neue Sektor wird nun geschrieben. Falls Sie eine Fehlermeldung erhalten, die Ihnen mitteilt, dass der Sektor nicht geschrieben werden konnte, hat unter Umständen trotzdem alles geklappt. Sie sollten jetzt in jedem Fall die Bootdiskette entfernen und versuchen, Ihr System neu zu starten. Wenn dies funktioniert, sollten Sie ein zusätzliches, unformatiertes Laufwerk sehen. Prüfen Sie alle Laufwerke bis auf das neue mit chkdsk, scandisk oder MS Windows, um sicherzugehen, dass Ihr altes Betriebssystem mit der neuen Partitionierung klar kommt. Falls ein Fehler aufgetreten ist, starten Sie den Rechner wieder mit der vorbereiteten Diskette und geben das Kommando: A:\> restorrb ein. Sie werden gefragt, ob Sie den alten Bootsektor zurückschreiben möchten, antworten hierauf mit und starten den Rechner erneut, nachdem der alte Bootsektor zurückgeschrieben wurde. Sie sollten jetzt wieder die gleiche Konfiguration vorfinden wie vor dem Fipsen und müssen nun manuell umpartitionieren, um Debian GNU/Linux einzurichten.
Nachdem die Umpartitionierung mit Fips abgeschlossen ist, haben Sie eine zusätzliche primäre Partition. Diese wird während der Einrichtung von Debian GNU/Linux gelöscht. In dem dadurch entstehenden freien Bereich wird eine erweiterte Partition mit mehreren logischen Partitionen angelegt, in die Sie Linux installieren. Falls Ihnen die Fipserei umständlich und riskant vorkommt, vermuten Sie richtig. 7.3.3 Manuelles Umpartitionieren unter anderen Betriebssystemen Wenn die Verkleinerung bestehender Partitionen nicht möglich ist und kein freier (unpartitionierter) Festplattenplatz zur Verfügung steht, muss eine manuelle Neupartitionierung durchgeführt werden. Dabei ist das Anlegen von Partitionen jeweils mit dem Partitionierungsprogramm desjenigen Betriebssystems durchzuführen, das die entsprechenden Partitionen hernach nutzt. Im Allgemeinen ist folgendes Vorgehen empfehlenswert: • •
•
•
Sichern aller Daten, die das Umpartitionieren überleben sollen. Erstellen und Überprüfen einer Bootdiskette für das betreffende Betriebssystem. Auf der Bootdiskette sollen sich alle Werkzeuge befinden, mit der das System neu gestartet und das Backup zurückgespielt werden kann. Löschen von Partitionen mit dem Betriebssystem, das die Partitionen verwendet, und Neuanlegen von Partitionen in dem dadurch entstandenen freien Platz im gleichen Arbeitsschritt. Dabei sollen nur solche Partitionen angelegt werden, die das jeweilige Betriebssystem nutzt. Der restliche freie Platz wird später unter Linux partitioniert. Neustart des Rechners mit demselben Betriebssystem. Falls sich auf der gelöschten Partition das Betriebssystem befunden hat: Neuinstallation des Betriebssystem in der neuen, kleineren Partition oder Wiederherstellen des Betriebssystems von einer Sicherungskopie.
354
•
7 Vorbereiten der Einrichtung
Wiederherstellen aller gesicherten Daten.
Als Beispiel soll im Folgenden die Umpartitionierung unter DOS mit dem DOSProgramm fdisk erläutert werden. Die Prozedur löscht alle Daten auf mindestens einer Partition. Gehen Sie sorgfältig vor, da im Falle eines Fehlers auch andere Partitionen mit den darauf enthaltenen Daten gelöscht werden können.
Abb. 7.1: Screenshot des DOS-Partitionierungswerkzeugs fdisk
Sie sollten die folgende Anleitung einmal vollständig durchlesen, bevor Sie damit beginnen, die beschriebenen Schritte auszuführen: •
• •
Vergewissern Sie sich, dass Sie im Besitz einer funktionsfähigen Bootdiskette für Ihr Betriebssystem sind. Auf der Diskette muss sich das Programm format.com befinden. Falls Sie MS Windows verwenden, beenden Sie es. Um das Programm fdisk aufzurufen, geben Sie folgendes Kommando ein: C:\> fdisk
•
Es erscheint der in Abbildung 7.1 dargestellte Bildschirm. Wenn sich im Rechner mehr als eine Festplatte befindet, drücken Sie 4 (Wechseln der aktuellen Festplatte) und . Es erscheint eine Liste aller Festplatten mit den von DOS zugeordneten Laufwerksbuchstaben. Wählen Sie die
4
Dieser Menüpunkt erscheint nur dann, wenn es im Rechner mehr als eine Festplatte gibt. Er ist deswegen in der Abbildung nicht zu sehen.
7.3 Partitionieren unter einem anderen Betriebssystem
•
•
• •
•
• • • • •
•
•
355
Festplatte durch Drücken einer Ziffer und bestätigen Sie die Auswahl. Sie gelangen wieder in das Hauptmenü. Dort sollte oben die richtige Festplatte angezeigt sein (Aktuelle Festplatte). Wählen Sie und , um sich die Partitionierungsdaten der Festplatte anzeigen zu lassen. Überprüfen Sie anhand der Anzeige, ob Sie die richtige Festplatte ausgewählt haben, und identifizieren Sie die zu löschende Partition. Wenn sich auf der Festplatte eine erweiterte Partition befindet, werden Sie gefragt, ob die logischen Laufwerke innerhalb dieser angezeigt werden sollen. Wählen Sie <j> und , um sich diese anzeigen zu lassen. Danach drücken Sie <esc>, um wieder ins Hauptmenü zu gelangen. Wenn Sie sich nicht sicher sind, welche Partition zu löschen ist, wiederholen Sie die vorherigen beiden Schritte so lange, bis Sie die richtige Partition identifiziert haben. Sie können auch <esc> drücken, um den Vorgang abzubrechen. Drücken Sie und , um eine Partition zu löschen. Wählen Sie aus, ob Sie eine primäre DOS-Partition (1), eine erweiterte DOSPartition (2) oder eine logische Partition (3) innerhalb einer erweiterten Partition löschen möchten. Erweiterte Partitionen lassen sich nur löschen, wenn sie keine logischen Partitionen (Laufwerke) mehr enthalten. Drücken Sie die entsprechende Taste und bestätigen Sie. Es erscheint eine Warnung, und die vorhandenen Partitionen des entsprechenden Typs werden aufgelistet. Wählen Sie die richtige aus und bestätigen Sie. Zur Sicherheit werden Sie aufgefordert, den Namen der Partition (Datenträgerbezeichnung) einzugeben; er ist in der Liste im oberen Teil des Bildschirms aufgeführt. Geben Sie den Namen an und bestätigen Sie. Falls die Partition keinen Namen hat, drücken Sie einfach . Sie werden nochmals gefragt, ob Sie sich sicher sind, und bestätigen mit <j> und . Die Partition ist gelöscht. Drücken Sie <esc>, um ins Hauptmenü zurückzukehren. Gegebenenfalls sind weitere Partitionen zu löschen. Jetzt können Sie neue, kleinere Partitionen anlegen. Betätigen Sie dazu die Tasten und . Wählen Sie aus, ob Sie eine primäre DOS-Partition (1), eine erweiterte DOSPartition (2) oder eine logische Partition innerhalb einer erweiterten Partition (3) anlegen möchten. Falls Sie eine primäre Partition gelöscht haben, auf der das Betriebssystem eingerichtet war und sie dieses wieder auf einer neuen verkleinerten Partition unterbringen wollen, müssen Sie eine primäre DOS-Partition (1) anlegen. Bestätigen Sie ihre Auswahl. Sie werden nun gefragt, ob der maximal verfügbare Speicherplatz der Partition zugeordnet werden soll. Weil Sie eine kleinere Partition anlegen wollen, wählen Sie und drücken . Es wird angezeigt, wieviel Platz zum Anlegen der Partition zur Verfügung steht. Geben Sie die Größe der Partition, die Sie für Ihr altes Betriebssystem verwenden möchten, ein und bestätigen Sie.
356
•
•
•
•
7 Vorbereiten der Einrichtung
Falls Sie für Ihr altes Betriebssystem weitere Partitionen anlegen möchten, gehen Sie analog vor. Beachten Sie, dass das Programm nicht ermöglicht, auf einer Festplatte mehr als eine primäre Partition anzulegen. Sie können lediglich eine erweiterte Partition mit darin enthaltenen logischen Laufwerken erzeugen. Wenn Sie eine erweiterte Partition erzeugen, springt das Programm danach zum Erzeugen logischer Laufwerke. Wenn Sie weitere primäre Partitionen auf derselben Festplatte benötigen, legen Sie diese später mit dem Betriebssystem an, das diese braucht. Für Debian GNU/Linux sind jetzt keine Partitionen anzulegen. Falls es sich bei einer der gelöschten Partitionen um eine Partition handelte, von der Sie ihr Betriebssystem gestartet haben und Sie nun eine neue, kleinere dafür vorgesehen haben, müssen Sie die Partition als aktiv markieren. Drücken Sie dazu und wählen Sie die Partition aus. Danach bestätigen Sie und drücken <esc>, um ins Hauptmenü von fdisk zu gelangen. Wenn Sie mit der Partitionierung fertig sind, drücken Sie im Hauptmenü nochmals <esc>. Sie erhalten die Mitteilung, dass Ihr Rechner neu gestartet wird. Falls Sie die Partition mit Ihrem Betriebssystem gelöscht haben, müssen Sie von der vorbereiteten Bootdiskette starten. Drücken Sie eine Taste, um den Rechner neu zu starten. Sollte Ihr Rechner nicht von Diskette starten, prüfen Sie die im BIOS eingestellte Bootfolge. Nun können Sie Ihre Daten auf der neuen, verkleinerten Partition wieder herstellen beziehungsweise das Betriebssystem neu einrichten.
7.3.4 Laufwerksbuchstaben und Gerätedateien Unter den Betriebssystemen DOS, IBM OS/2 und MS Windows werden Speichermedien wie Diskettenlaufwerke und Festplattenpartitionen über Laufwerksbuchstaben angesprochen. Diese Laufwerksbuchstaben werden – mit Ausnahmen – während der Startphase des Betriebssystems vergeben und ändern sich danach nicht mehr. Unter Linux/UNIX gibt es das Konzept der Laufwerksbuchstaben nicht: ganze Festplatten, einzelne Partitionen oder Laufwerke für auswechselbare Datenträger wie Disketten oder CD/DVDs werden über Gerätedateien (special device file) angesprochen. Der Benutzer sieht immer nur ein einziges Dateisystem und keine Laufwerke. Ein weiterer Unterschied besteht darin, dass unter Linux alle Partitionen zur Verfügung stehen, jedoch vom Systemverwalter entschieden wird, ob und wann diese ins Dateisystem eingehängt (gemountet) werden. Unter den oben genannten Betriebssystemen werden hingegen grundsätzlich alle Partitionen, die einen Dateisystemtyp aufweisen, von dem das System meint, es könne damit umgehen, über Laufwerksbuchstaben ins Dateisystem eingebunden. Während der Einrichtung von Debian GNU/Linux müssen Sie unter Umständen neue Partitionen auf dem freien Bereich Ihrer Festplatte(n) anlegen und mindestens eine Partition angeben, auf die das System installiert werden soll. Darüber hinaus werden Sie vermutlich einen Swapbereich anlegen, siehe Abschnitt 6.5.5 Größe, Lage und Anzahl von Swapbereichen auf Seite 328. Vielleicht möchten Sie auch die Partitionen des alten Betriebssystems unter Linux einbinden, um auf Ihre alten Daten zugreifen zu können. Da Linux von Laufwerksbuchstaben nichts weiß, müssen
7.3 Partitionieren unter einem anderen Betriebssystem
357
Sie bei diesen Tätigkeiten Linux-Gerätedateien angeben. Die Frage erhebt sich, welche Gerätedatei zu welchem Laufwerksbuchstaben gehört. Es ist deswegen zu empfehlen, die Partitionierungsdaten unter allen eingerichteten Betriebssystemen zu sammeln, bevor mit der Einrichtung von Debian GNU/Linux begonnen wird. Anhand von Informationen wie Partitionstyp (primär oder logisch), Partitionsgröße usw. ist es dann möglich, die Partitionen unter Linux wiederzuerkennen. Im Folgenden wird deswegen beschrieben, wie diese Informationen unter verschiedenen Betriebssystemen sichtbar gemacht und auf welche Weise Partitionen benannt werden. 7.3.5 Laufwerksbuchstaben unter DOS und MS-Windows Die Partitionstabelle lassen Sie sich unter DOS anzeigen, indem Sie das Programm fdisk folgendermaßen aufrufen: C:\> fdisk /status Es erscheint eine Ausgabe, die sinngemäß der folgenden entspricht: Festplatte 1
Laufwerk C: D:
2 E:
MByte 1028 24 251 502 243 1028 1028
frei 0
benutzt 100 %
0
100 %
In dem System befinden sich zwei Festplatten mit mehreren Partitionen, wobei nur drei dieser Partitionen von DOS einen Laufwerksbuchstaben zugewiesen bekommen haben. DOS-basierte Betriebssysteme vergeben Laufwerksbuchstaben während der Startphase nach folgendem Verfahren: •
•
• •
•
Der erste Laufwerksbuchstabe, der an eine Festplattenpartition vergeben wird, ist C. Die Buchstaben A und B sind für Diskettenlaufwerke reserviert, unabhängig von deren Vorhandensein. Partitionen, deren Dateisystemtyp auf ein darauf befindliches Dateisystem zurückschließen lassen, das DOS nicht kennt wie Linux- oder NTFS-Partitionen, werden übergangen und erhalten keinen Laufwerksbuchstaben. Zunächst werden Laufwerksbuchstaben an die jeweils erste primäre Partition auf jeder Festplatte vergeben. Danach werden Laufwerksbuchstaben an logische Partitionen in erweiterten Partitionen vergeben. Dabei erhalten zunächst die logischen Partitionen auf der ersten Festplatte in der Reihenfolge ihrer Anordnung Laufwerksbuchstaben, dann die logischen Partitionen auf der zweiten Festplatte und so weiter. Zuletzt erhalten die zweiten und dritten primären Partitionen jeder Festplatte Laufwerksbuchstaben.
358
7 Vorbereiten der Einrichtung
Nehmen wir an, ein System sei mit zwei Festplatten ausgerüstet, die beide folgendermaßen partitioniert sind: Zwei primäre Partitionen am Anfang und eine erweiterte Partition mit zwei logischen Partitionen am Ende. DOS würde auf diesem System die Laufwerksbuchstaben folgendermaßen vergeben: • • • • • • • •
C: erste primäre Partition auf der ersten Festplatte, D: erste primäre Partition auf der zweiten Festplatte, E: erste logische Partition auf der ersten Festplatte, F: zweite logische Partition auf der ersten Festplatte, G: erste logische Partition auf der zweiten Festplatte, H: zweite logische Partition auf der zweiten Festplatte, I: zweite primäre Partition auf der ersten Festplatte, J: zweite primäre Partition auf der zweiten Festplatte.
Unter MS Windows NT und seinen Nachfolgern verwenden Sie das Programm windisk.exe (Festplattenmanager), um die Partitionierungsdaten auszugeben. Das Programm zeigt Ihnen für jede Festplatte unterschiedlich gefärbte Bereiche, die primären oder erweiterten Partitionen entsprechen. Gleichzeitig wird angezeigt, welcher Laufwerksbuchstabe an welche Partition vergeben wurde. Auch hier sollten Sie für jede Festplatte die einzelnen Partitionen in der richtigen Reihenfolge, die zugeordneten Laufwerksbuchstaben, die Information, ob es sich um primäre oder erweiterte Partitionen handelt, sowie die Größe und ob die Partition unter Linux gelöscht werden darf, notieren. 7.3.6 Zuordnung von Gerätedateien unter Linux Linux verwendet zum Ansprechen ganzer Festplatten oder einzelner Partitionen – wie für Hardware im Allgemeinen – sogenannte Gerätedateien. Über diese Dateien können die Partitionen roh beschrieben und gelesen werden, das heißt, auf dieser Ebene gibt es keine Dateien oder Verzeichnisse, sondern nur Bytes. Um solche Partitionen dann geordnet verwenden zu können, werden sie – wie unter anderen Betriebssystemen – formatiert und dann in das Dateisystem eingehängt. Die Gerätedateien befinden sich unter Linux/UNIX im Verzeichnis /dev, gegebenenfalls in Unterverzeichnissen. Die Benennung der Festplatten und Partitionen verläuft nach folgendem System: •
•
Zunächst erhält jede Festplatte als Ganzes (ohne Rücksicht auf Partitionen) eine Gerätedatei zugewiesen. Dabei heißt die erste (E)IDE-Festplatte hda, die zweite hdb, die dritte hdc und so fort. hd steht für Harddisk. Die erste Platte ist der Master am ersten Adapter, die zweite Platte sein Slave. Dann folgen die Platten am zweiten Adapter. SCSI-Festplatten erhalten die Namen sda, sdb usw. in der Reihenfolge ihrer SCSI-Kanäle und -IDs. Da es auf jeder Festplatte nur maximal vier primäre Partitionen geben kann (einschließlich einer erweiterten), erhalten diese die Namen hda1, hda2, hda3 und hda4 auf der ersten (E)IDE-Festplatte beziehungsweise hdb1, hdb2, hdb3 und hdb4 auf der zweiten (E)IDE-Platte usw. Bei SCSI-Festplatten ist
7.3 Partitionieren unter einem anderen Betriebssystem
•
359
bei den Namen wieder das h durch ein s auszutauschen. hdb2 würde die zweite primäre Partition auf der zweiten (E)-IDE-Festplatte bezeichnen, hingegen sdc1 die erste primäre Partition auf der dritten SCSI-Platte. Darauf folgen die logischen Partitionen in einer eventuell vorhandenen erweiterten Partition: Die logischen Partitionen auf der ersten (E)IDE-Festplatte würden beispielsweise hda5, hda6, hda7 usw. heißen, wobei hda6 die zweite logische Partition auf der ersten (E)IDE-Platte bezeichnet. Analog dazu wäre sdb9 die fünfte logische Partition auf der zweiten SCSI-Festplatte.
Die Gerätedateien sind unabhängig davon vorhanden, ob die zugehörige Partition existiert. Im Gegensatz zu DOS oder MS Windows, wo der Laufwerksbuchstabe D: auf jedem System eine andere Bedeutung haben kann (zweite Partition auf erster Festplatte, CD-Laufwerk oder zweite Festplatte), repräsentiert hdb7 unter Linux immer die dritte logische Partition auf der zweiten (E)IDE-Platte. Falls eine solche Partition nicht vorhanden ist und man trotzdem darauf zugreift, gibt es eine Fehlermeldung. Viele Gerätedateien werden auf Vorrat angelegt, was nichts schadet und das Nachrüsten erleichtert. Früher musste der Verwalter mit jedem neuen Gerät die zugehörige Gerätedatei erst mittels mknod anlegen. CD/DVD-Laufwerke bekommen die gleichen Bezeichnungen wie Festplatten, wenn sie an einen (E)IDE-Adapter angeschlossen sind. So würde ein CD/DVDLaufwerk, das an den zweiten Anschluss des ersten IDE-Adapters angeschlossen wäre, durch die Gerätedatei /dev/hdb repräsentiert werden. SCSI-CD-Laufwerke erhalten dagegen andere Namen. So lautet der Name des ersten SCSI-CD-Laufwerks /dev/scd0, das zweite heißt /dev/scd1 usw. USB-Stöpsel werden als SCSILaufwerke angesprochen. Die Zuordnung einer Gerätedatei zu einem USB-Gerät hängt von der Reihenfolge des Einstöpselns ab und liegt nicht fest. Tab. 7.1: Beispiel für die Repräsentation von Partitionen durch Gerätedateien und durch Laufwerksbuchstaben unter verschiedenen Betriebssystemen. (erw.) steht für erweiterte primäre Partition Festplatte
prim. P.
log. P.
D’system
Win 98
Win NT
Linux
Kommentar
1 EIDE
1 2 (erw.)
2 SCSI
1 (erw.)
3 SCSI
1
1 2 3 1 2 1
VFAT NTFS ext2 VFAT NTFS Swap ext2
C: D: -
C: D: – E: F: -
hda1 hda5 hda6 hda7 sda5 sda6 sdb5
4 ATAPI
0
-
iso9660
E:
G:
hdb
Start Win 98 Start Win NT Start Linux Daten Win 98 Daten Win NT Swap Linux Daten Linux frei CD-Laufwerk
360
7 Vorbereiten der Einrichtung
7.3.7 Ein nicht ganz einfaches Beispiel In einen Rechner seien eine (E)IDE-Festplatte als Master und ein CD-Laufwerk als Slave an den ersten (E)IDE-Adapter angeschlossen) sowie ein SCSI-Adapter mit zwei daran angeschlossenen Festplatten eingebaut. Das BIOS des Rechners sei so konfiguriert, dass es Betriebssysteme nur von der (E)IDE-Festplatte startet. Auf dem Rechner sollen die Betriebssysteme Debian GNU/Linux, MS Windows NT und MS Windows 98 installiert werden. Dazu muss jedes dieser Betriebssysteme eine Partition auf dieser Platte haben. Tabelle 7.1 zeigt eine sinnvolle Partitionierung für diese Situation mit den entsprechenden Laufwerksbuchstaben, wie sie von den beiden Microsoft-Betriebssystemen vergeben werden, und den Gerätedateinamen unter Linux mit einer kurzen Beschreibung. Der Tabelle ist zu entnehmen, dass die verschiedenen Microsoft-Betriebssysteme ein- und derselben Partition unterschiedliche Laufwerksbuchstaben zuordnen. Die Gerätedateien unter Linux/UNIX verhalten sich hingegen konsistent.
7.4 BIOS-Einstellungen 7.4.1 Was macht das BIOS? Das dauerhaft in einem Chip auf dem Mainboard gespeicherte Basic Input Output System (BIOS) ist für den Start des Rechners nach dem Einschalten zuständig. Der Name hat historische Gründe und mit dem ersten IBM PC sowie dem Betriebssystem Digital Research CP/M aus den siebziger Jahren zu tun, siehe die englische Wikipedia. Entsprechende Altlasten schleppt ein heutiges BIOS mit sich herum. Der Nachfolger heißt Extensible Firmware Interface (EFI), ist aber noch nicht verbreitet. Solche fest mit der Hardware verbundene Software wird allgemein als Firmware bezeichnet und ist in vielen Geräten anzutreffen,siehe Abbildung 7.2. Im normalen Betrieb kann sie nur gelesen werden. Das BIOS ist die erste Software auf dem System und führt einige Tests durch. Anschließend lädt es ein kleines Programm in den Arbeitsspeicher, das seinerseits ein Betriebssystem von der Festplatte oder einem anderen Massenspeicher liest. Außerdem stellt es Funktionen bereit, die von Betriebssystemen und Anwendungen zum Zugriff auf die Hardware benutzt werden können, aber nicht müssen. Das BIOS bietet beim Systemstart Konfigurationsmöglichkeiten an. Hier sind Einstellungen vorzunehmen, die: • •
die Einrichtung von Debian GNU/Linux vorbereiten und Bedingungen schaffen, unter denen Debian GNU/Linux auf dem System funktioniert.
Darüber hinaus lassen sich Optimierungen der Systemleistung erreichen. Dazu gehört das Abschalten bestimmter Betriebsmodi, die für andere Betriebssysteme zwar hilfreich sind, von Debian GNU/Linux jedoch nicht benötigt werden und unnötig Systemressourcen beanspruchen. Während die Grundfunktionen überall dieselben
7.4 BIOS-Einstellungen
361
sind, unterscheiden sich weitergehende Funktionen und Einstellungen von Hersteller zu Hersteller. Im Lauf der Jahre sind die Einstellmöglichkeiten immer umfangreicher geworden und selbst dem Fachmann heute nicht in allen Einzelheiten verständlich. Der Speicher für den Programmcode im BIOS bedarf keiner Energiezufuhr, die veränderlichen Einstellungen müssen jedoch durch eine Batterie am Leben erhalten werden. Das ist meist die Knopfzelle, die auch die Echtzeituhr versorgt, Lebensdauer um die fünf Jahre. Ihre Erschöpfung kündigt sich dadurch an, dass das BIOS seine Einstellungen einschließlich des Datums vergisst. Es gibt aber auch andere Lösungen, abhängig vom Stand der Technik. Einzelheiten zum BIOS finden sich auf den Webseiten der Hersteller, beispielsweise auf http://www.phoenix.com/en/ Customer+Services/White+Papers-Specs/. Manche Einsteckkarten bringen zusätzlich zum System-BIOS ein eigene BIOSErweiterung mit. Nach dem Einschalten meldet sich meist als erste Software kurz das BIOS der Grafikkarte. Auch SCSI-Adapter verfügen über ein eigenes BIOS. Spricht man von dem BIOS, ist das System-BIOS, der Speicher beziehungsweise sein Inhalt auf dem Mainboard gemeint. Das letzte Wort des System-BIOS lautet in vielen Fällen: Verifying DMI Pool Data ... Danach übernimmt der Bootloader (LILO, GRUB). Bleibt das System schon an dieser Stelle hängen, hat man mit einem grundlegenden Fehler wie falschen BIOSEinstellungen (auf Vorgaben zurückstellen), defekter Hardware oder einem fehlerhaften bzw. fehlenden Master Boot Record (Platten abklemmen, von Diskette oder CD/DVD booten, Knoppix ist Ihr Freund) zu kämpfen und braucht noch gar nicht an Debian zu denken. Das Desktop Management Interface (DMI) ist ein Standard zur Verwaltung von Rechnern in einem Unternehmen, der DMI Pool oder die Management Information Format Database (MIFD) enthält Angaben zum Rechner, die sich mit entsprechenden Werkzeugen (Debian-Paket dmidecode) auslesen lassen. Näheres bei http://www.dmtf.org/. 7.4.2 Starten des BIOS-Setup-Programms Wie Sie das Setup-Programm Ihres BIOS erreichen, hängt vom Hersteller ab. In vielen Fällen drückt man hierzu die Taste <del> oder <entf>, während der Rechner nach dem Einschalten den Arbeitsspeicher testet. Bei einigen Rechnern wird das Setup-Programm durch Drücken der Taste , <esc>, oder durch Tastenkombinationen wie ++<esc> aufgerufen. Falls Sie auch mit diesen Tastenkombinationen nichts erreichen, ziehen Sie die Dokumentation des Rechners zu Rate. Wenn Sie zum ersten Mal Änderungen am BIOS Ihres Rechners durchführen, sollten Sie sich diese notieren, damit Sie die alten Werte wieder herstellen können, falls Ihr Rechner nach den Änderungen nicht mehr startet. Oft bietet das Setup die Möglichkeit, sichere Vorgabewerte (Defaults) wieder herzustellen. Leider ist der Aufbau von BIOS-Setup-Programmen nicht standardisiert, sodass kein allgemeiner Hinweis gegeben werden kann, wo welche der im Folgenden genannten Einstellungen geändert werden. In der Regel erscheint nach Aufruf des Se-
362
7 Vorbereiten der Einrichtung
Abb. 7.2: BIOS-Setup, erste Seite mit den Hauptpunkten von Standard CMOS Features bis Exit Without Saving. Die Verschiedenheiten zwischen den PCs machen sich erst auf den Unterseiten bemerkbar.
tups ein Bildschirm, auf dem verschiedene Unterpunkte wie Standard CMOS-Setup, Advanced Setup, Chipset Setup oder Save and Exit ausgewählt werden, siehe Abbildung 7.2. Gewöhnlich wird mit den Pfeiltasten oder der Maus zwischen den Unterpunkten gewechselt und das Gewünschte mit bestätigt. Es erscheint dann ein weiterer Bildschirm, auf dem verschiedene Einstellungsmöglichkeiten dargestellt werden, die wieder mit den Pfeiltasten ausgewählt werden. Um die Verwirrung zu erhöhen, unterscheiden sich auch die Methoden, durch die die Werte geändert werden, von Hersteller zu Hersteller: Manchmal erscheint nach Betätigung von ein Fenster, in dem mit den Pfeiltasten zwischen verschiedenen Optionen gewählt wird und dann wieder mit bestätigt wird, und manchmal werden die Tasten <page up> und <page down> verwendet. In den meisten Fällen befindet sich unten auf dem Bildschirm ein Hinweis, welche Tasten wozu dienen. Falls Sie eine der hier genannten Einstellungen nicht sofort finden, sollten Sie alle Untermenüs durchsehen. Manchmal heißen die entsprechenden Optionen anders. Da nicht jede Konfigurationsmöglichkeit von jedem BIOS unterstützt wird, kann es auch sein, dass eine Funktion nicht vorhanden ist. Einstellungen, die Sie nicht verstehen, belassen Sie auf den voreingestellten Werten. Näheres zum BIOS samt weiterführenden Links finden Sie in der deutschen und der englischen Wikipedia.
7.4 BIOS-Einstellungen
363
7.4.3 BIOS-Einstellungen für Linux Nachfolgend einige Empfehlungen für die BIOS-Einstellungen eines Linux-PCs: •
•
•
• •
•
•
•
Boot sequence oder Boot order Hiermit wird die Reihenfolge festgelegt, in der vom BIOS nach Datenträgern gesucht wird, von denen ein Betriebssystem geladen wird. Optimal ist die Folge Diskettenlaufwerk – CD/DVD-Laufwerk – Festplatte. Sie haben dann die Möglichkeit, Debian GNU/Linux direkt von der CD/DVD aus einzurichten, und können, falls dies nicht funktioniert, ebenso vom Diskettenlaufwerk starten. Oft finden Sie auch die unter DOS gebräuchlichen Laufwerksbuchstaben. CD/DVD meint hier immer ein Laufwerk mit ATAPISchnittstelle. Aus Sicherheitsgründen empfiehlt es sich, die Bootfolge nach der Einrichtung so einzustellen, dass zuerst oder nur von der Festplatte gestartet wird. Sonst ist es möglich, mit einer Bootdiskette oder -CD/DVD ohne Passwortschutz auf die Daten des Rechners zuzugreifen. Das BIOS-Setup selbst muss dann natürlich vom Verwalter auch durch ein Passwort geschützt werden. Falls das BIOSPasswort abhanden kommt, besteht auf den meisten Boards eine Möglichkeit, durch vorübergehendes Umstecken eines Jumpers oder Entfernen einer Batterie (Knopfzelle) das BIOS auf seine Werkseinstellung zurück zu setzen. Bei Ihrem persönlichen Rechner zu Hause sind solche Sicherheitsvorkehrungen nicht erforderlich; man bleibt bei der Folge Diskette – CD/DVD – Festplatte. Virus Protection Falls vorhanden, schalten Sie diese Option ab. Nach der Einrichtung können Sie diese BIOS-Eigenschaft wieder einschalten, falls Sie neben Debian GNU/Linux ein weiteres Betriebssystem verwenden, das keine hohen Sicherheitsvorkehrungen mitbringt. Expanded Memory Falls vorhanden, schalten Sie diese Option ab oder reduzieren Sie sie so weit wie möglich. Debian GNU/Linux nutzt diese Form von Speicher nicht. Extended Memory Diesen Wert sollten Sie so hoch wie möglich einstellen. Shadow RAM Das ist die Möglichkeit, das System-BIOS sowie die Programme, die sich auf anderen Hardwarekomponenten befinden, im Hauptspeicher zu spiegeln, damit ältere Betriebssysteme, die diese Programme nutzen, schneller darauf zugreifen können. Unter Linux wird dies nicht benötigt und verbraucht unnötig Arbeitsspeicher. Wenn Sie Optionen wie VideoBIOSShadow oder C800-CBFFShadow entdecken, schalten Sie diese ab. Advanced Power Management (APM) APM wird vom Einrichtungssystem nicht unterstützt. Wenn Sie es verwenden wollen, müssen Sie sich nach der Einrichtung darum kümmern, siehe Abschnitt 9.2 Power Management auf Seite 396. Zur Einrichtung schalten Sie APM aus. 15-16MB Memory Hole Hiermit wird der genannte Speicherbereich ausgeschaltet, weil bestimmte Betriebssysteme damit nicht zurechtkommen. Debian GNU/Linux hat keine Probleme und erwartet den Speicher dort, wo er ist. Diese Eigenschaft muss ausgeschaltet sein. Internal und External Cache Der Cache-Speicher ist ein schneller Zwischenspeicher, in dem Daten abgelegt werden, die in den Arbeitsspeicher geschrieben oder von dort gelesen werden. Weil innerhalb kurzer Zeit statistisch öfter auf die
364
•
•
•
•
7 Vorbereiten der Einrichtung
gleichen Speicherbereiche zugegriffen wird als auf andere, erhöht sich durch den Einsatz von Cache die Geschwindigkeit des Rechners erheblich. Allerdings gibt es Berichte von Benutzern, deren Diskettenlaufwerke während der Einrichtung bei eingeschaltetem Cache nicht richtig funktionierten. Wenn dieses Problem bei Ihnen auftritt, sollten Sie versuchen, ohne Cache zu arbeiten, ihn nach der Einrichtung aber wieder einschalten. Systemzeit Falls der betreffende Rechner ausschließlich unter Linux/UNIX betrieben wird, empfiehlt es sich, die Systemuhr auf Universal Time Coordinated (UTC), früher als Greenwich Mean Time bekannt, zu stellen. Nicht benötigte Komponenten Grundsätzlich sollten Sie alle Eigenschaften des Systems abschalten, die Sie nicht verwenden. Oftmals befinden sich auf einem Mainboard mit SCSI-Adapter zusätzliche EIDE-Adapter, die abgeschaltet werden können, falls keine EIDE-Geräte angeschlossen sind, und umgekehrt. Gleiches gilt für nicht benutzte serielle oder parallele Schnittstellen. IDE-Busmastering In Systemen mit IDE-Festplatten sollte IDE-Busmastering aktiviert werden, falls die Möglichkeit besteht. Dadurch können Festplattenzugriffszeiten verringert werden. PCI Latency Timer Dieser Wert ist gewöhnlich niedrig gewählt. Falls sich in dem Rechner keine ISA-Geräte befinden, können Sie einen höheren Wert einstellen, um die Leistung des PCI-Systems zu erhöhen.
Abstand sollten Sie vom Übertakten des Hauptprozessors (CPU) nehmen. Obwohl dies in einigen Fällen eine Zeit lang funktioniert, kann es dazu führen, dass der Prozessor sich überhitzt und zerstört wird. Der wahrscheinlichere Fall ist, dass unter Debian GNU/Linux in unregelmäßigen Abständen Fehler auftreten, die nicht reproduzierbar sind, weil der Prozessor nicht mehr genau arbeitet. Der Lebensdauer aller Elektronik sind hohe Temperaturen in jedem Fall abträglich. Außerdem ist der Prozessortakt nur einer unter vielen Faktoren, die zur Systemleistung beitragen. Bei mangelnder Leistung gilt die erste Frage stets der Größe des Arbeitsspeichers. Weitere Hardwareeinstellungen Bei einigen Hardwarekomponenten ist es möglich, den Speicherbereich des Hauptspeichers anzugeben, in den Speicherbereiche der betreffenden Komponente eingeblendet werden sollen (mapped memory). Hier sollten Sie nach Möglichkeit Speicheradressen zwischen 0xA0000 und 0xFFFFFF, also zwischen 640 KB und 1 MB, wählen. 7.4.4 BIOS flashen Bei älteren Mainboards kommt es vor, dass die Zusammenarbeit des BIOS mit neueren Bauteilen – beispielsweise großen Festplatten – nicht funktioniert und so ein Start des Betriebssystems unmöglich ist. Ein schneller Ausweg ist das Starten von Diskette, aber das ist auf Dauer keine Lösung.
7.4 BIOS-Einstellungen
365
Falls das BIOS gesockelt (nicht eingelötet) ist, kann man sich beim Händler oder Hersteller des Mainboards um ein neueres BIOS bemühen und das Bauteil mit dem gebotenen Fingerspitzengefühl austauschen. Auf heutigen Boards ist das BIOS meist eingelötet, bietet aber die Möglichkeit, per Software den Speicherinhalt zu modernisieren. Dies wird flashen genannt und ist ein heikler Vorgang. Geht der Versuch daneben, ist das Mainboard praktisch unrettbar verloren. Der Hersteller könnte es noch retten, was sich oft nicht lohnt. Vereinzelt finden sich auch Notanker in Form nicht-flashbarer Bereiche oder eines zweiten BIOS, mit deren Hilfe sich ein eingeschränkter Betrieb starten lässt, um den Kandidaten zu retten. Da die Einzelheiten herstellerspezifisch sind, können wir hier nur beispielhaft die Schritte eines erfolgreichen Versuches wiedergeben: •
Typ des BIOS ermitteln. Dazu beim Booten, während der Arbeitsspeicher geprüft wird, die Pause-Taste drücken. Es erscheinen Zeilen wie: Award Modular BIOS v4.51PG, 1984 - 98 ASUS P2B ACPI BIOS Revision 1012 03/03/00 - i440BX - - 00
•
•
Beim Hersteller ASUS (http://www.asuscom.de/) holen wir uns die Datei aflash.exe und nehmen zur Kenntnis, dass die Revision 1012 des BIOS final ist, das heißt die jüngste und letzte. Damit wären wir eigentlich am Ende. Bei ftp://ftp.asuscom.de/ finden wir eine Datei 1014__003.zip samt der Warnung, dass diese BIOSdatei eine Beta-Version (unausgereift) sei. Wir holen uns die Datei auf einen Linux-Rechner und entzippen sie dort: joe@debian:~$ unzip *.zip
•
Unter Umständen ist vorher das Debian-Paket unzip nachzurüsten. Auf einem DOS-Rechner stellen wir eine DOS-Systemdiskette her: C:\ > format A: /s
•
und probieren sie auf dem Flash-Kandidaten aus. Sofern bei der BootReihenfolge das Diskettenlaufwerk an erster Stelle steht, sollte DOS von der Diskette gebootet werden. Auf die DOS-Diskette kopieren wir noch vom Linux-Rechner aflash.exe und 1014__003: joe@debian:~$ mcopy aflash.exe a: joe@debian:~$ mcopy 1014* a:
•
Das Kommando mcopy stammt aus dem Debian-Paket mtools. Von der DOS-Diskette booten wir den Kandidaten und rufen aflash.exe auf. Das Werkzeug speichert den alten Inhalt des BIOS auf die Diskette und beginnt zu flashen:
366
7 Vorbereiten der Einrichtung
Erasing Programming Flashed Successfully
• •
Der Vorgang darf keinesfalls unterbrochen werden (Stromausfall!), sonst ist der Rechner mausetot und bootet nicht einmal mehr von Diskette, womit ein neuer Versuch aussichtslos wäre. Wir entfernen die Diskette und führen einen Kaltstart durch. Dieser sollte mit den Default-Einstellungen des BIOS erfolgreich durchlaufen. Wiederholen wir den ersten Schritt, stellen wir fest, dass das BIOS nunmehr die Revision 1014 Beta 003 vom 08/01/2002 ist.
Das Flashen wurde übrigens für den Dateiserver durchgeführt, auf dem das tägliche Backup des Manuskriptes zu vorliegendem Buch liegt. Nach zwei Jahren ununterbrochenem, zuverlässigen Betrieb lässt sich behaupten, dass die Beta-Version wohl doch ausgereift ist. Auch andere Bauteile (Grafikkarten, SCSI-Controller) oder Geräte (VoIP-Telefone) verfügen oft über ein eigenes BIOS, das sich möglicherweise flashen lässt, immer mit dem Risiko des Totalverlustes. 7.4.5 LinuxBIOS, OpenBIOS Das BIOS eines PCs ist eine Einrichtung, die auf Vor-DOS-Zeiten zurückgeht und mit Rücksicht auf dieses Betriebssystem einige Dinge enthält, die ein modernes Betriebssystem wie Linux nicht braucht oder selbst besser kann. Das kostet unter anderem Zeit beim Booten. Wer sich dafür interessiert, lese den Aufsatz von P ETER S EEBACH auf http://www-128.ibm.com/developerworks/ linux/library/l-bios.html. Auch die Free BIOS-Kampagne der FSF erläutert auf http://www.fsf.org/campaigns/free-bios.html einige Gesichtspunkte zum BIOS. Wie in der Welt freier Software üblich, gibt es Projekte, um dem Missstand abzuhelfen: • •
OpenBIOS mit der Website http://www.openbios.org/, LinuxBIOS mit http://www.linuxbios.org/.
Das Problem liegt darin, dass ein BIOS ziemlich eng mit der Hardware, sprich der Hauptplatine verbunden ist und sich nicht so einfach wie ein Betriebssystem auswechseln lässt. Es gibt aber einige Hauptplatinen, die voll unterstützt werden, sodass Experimenten nichts im Wege steht. Man lernt eine Menge dabei.
8 Einrichten des Grundsystems
Auf den folgenden Seiten geht es um das Einrichten des Debian-Grundsystems auf einem PC unter weitgehender Übernahme der Vorgaben. Bei Erfolg steht nach der Einrichtung ein lauffähiger Rechner zur Verfügung, dessen Ausstattung und Konfiguration nach Bedarf verbessert wird.
8.1 Start des Einrichtungssystems 8.1.1 Vor dem Start Das Einrichten von Debian GNU/Linux ist in den vergangenen Jahren deutlich einfacher geworden. Dazu tragen vernünftige Vorgaben (Defaultwerte) und eine verbesserte Hardwareerkennung bei. Andererseits sind der Umfang von und die Ansprüche an GNU/Linux oder Betriebssysteme allgemein gewachsen. Am einfachsten ist die Einrichtung auf einem Rechner mit leerer Festplatte und schneller InternetAnbindung (ADSL), ersatzweise einem DVD-Laufwerk. Nachdem wir uns im Abschnitt 6 Planen der Einrichtung ab Seite 301 die nötigen Kenntnisse angeeignet haben, folgt jetzt die Umsetzung in die Praxis. Wir gehen die Einrichtung eines Grundsystems Schritt für Schritt durch. Vorhaben wie diese gelingen nicht jedem immer sofort. Es ist völlig normal, wenn erst der dritte Versuch ein zufriedenstellendes Ergebnis bringt: • • •
Der erste Anlauf scheitert, aber man lernt das Vorgehen kennen, der zweite Versuch führt zu einem funktionierenden Ergebnis, das jedoch noch nicht den Wünschen entspricht, im dritten Durchgang gelangt man ans Ziel, von Kleinigkeiten abgesehen, die später nachzubessern sind.
Mit wachsender Erfahrung nimmt die Anzahl der Versuche ab, mit neuen Versionen der Software wieder zu. Um so erstaunlicher ist es, wie einfach, beinahe verdächtig einfach sich viele Debian-Pakete dank guter Vorarbeit der Debian-Entwickler einrichten lassen.
368
8 Einrichten des Grundsystems
Auf die Gefahr hin, dass es langweilig wird: Jetzt besteht die letzte Chance, auf dem Rechner vorhandene Daten zu sichern. Die Einrichtung eines Betriebssystems greift in die Organisation der Festplatte(n) des Rechners ein, wobei kleine Fehler (etwa bei der Angabe einer zu formatierenden Partition) folgenschwere Auswirkungen haben können. Debian GNU/Linux formatiert die Festplatte zwar erst nach Rückfrage, aber Missverständnisse und Programmierfehler können nie ausgeschlossen werden. Eine Sicherungskopie (Backup) der wichtigsten Daten auf einen entfernbaren Datenträger (CD/DVD, Stöpsel) ist unbedingt anzuraten. Nachdem alles wie im vorigen Kapitel beschrieben vorbereitet ist, wird das Einrichtungssystem gestartet. Dieser Start soll ein Kaltstart (Strom ausschalten, warten und wieder einschalten) des Rechners sein, damit die Hardware von vorn initialisiert wird. Das Einrichtungssystem ist ein minimales GNU/Linux, mit dem man nichts anderes tun kann, als ein Grundsystem einzurichten. Läuft das Einrichtungssystem erst einmal, ist das weitere Vorgehen – das heißt das Einrichten des Grundsystems – für alle Startverfahren gleich. 8.1.2 Start von Disketten Schieben Sie die Bootdiskette in das Laufwerk und starten Sie den Rechner. Nach kurzer Zeit und etwas Gerödel im Laufwerk erscheint ein ziemlich dunkler Bildschirm mit dem Debian-Swirl und einigen Hinweisen. Falls nicht, überprüfen Sie folgende Punkte: • • • •
Ist der Bildschirm eingeschaltet und an den richtigen Rechner angeschlossen? Ist das BIOS so eingestellt, dass es als erstes versucht, den Rechner von der Diskette zu starten (siehe Abschnitt 7.4 BIOS-Einstellungen auf Seite 360)? Falls an den Rechner mehrere Diskettenlaufwerke angeschlossen sind: Liegt die Diskette in dem Laufwerk, von dem der Rechner startet? Haben Sie eventuell Boot- und Rootdiskette verwechselt? Zuerst kommt die Bootdiskette (B vor R).
Aus Neugier drücken wir die Taste und schauen uns die Hinweise des Bootmenüs an: • • • • • • •
führt auf das gerade angezeigte Hilfe-Menü, nennt einige Voraussetzungen wie Arbeits- und Massenspeichergröße, erläutert Eingaben am Bootprompt wie linux oder expert, bis sind Bootparametern gewidmet, bringt Hinweise zu Hilfen auf den Schirm, weist auf die Website des Debian-Projektes hin, befasst sich mit Copyright und Gewährleistung.
Nicht alle Schirme tragen zur Weiterbildung bei; einige sind eher als Platzhalter für künftige Mitteilungen zu sehen. In der Regel ist es nicht notwendig, Parameter anzugeben. Falls der Kern ohne Parameter jedoch nicht richtig startet oder die Hardware falsch erkennt, ist zu untersuchen, ob er mit geeigneten Parametern an die Hardware angepasst werden kann.
8.1 Start des Einrichtungssystems
369
Zu dem Zeitpunkt, zu dem das Bootmenü angezeigt wird, ist die Umsetzung für deutsche Tastaturen noch nicht aktiviert. So sind die Tasten und vertauscht. Die -Taste sollte jedoch funktionieren, sodass Sie falsche Eingaben berichtigen können. Geben wir am Bootprompt nichts ein und betätigen die -Taste, wird die vorgegene Bootmethode gewählt, die man auch durch die Eingabe von linux erreicht. Bei Eingabe von expert hat man mehr Einfluss auf die Einrichtung, was jedoch selten erforderlich ist. Probieren Sie aus. Dann drücken wir , um die Einrichtung auf die vorgegebene Weise zu starten. Auf dem Schirm erscheinen ein paar Meldungen und schließlich: Insert the root floppy ... Wir tauschen die Bootdiskette gegen die Rootdiskette aus und drücken . Nach einiger Zeit und erneutem Gerödel wird der Bildschirm lebhafter und fragt uns nach unserer Sprache. Von diesem Punkt an geht es für alle Startverfahren gemeinsam in Abschnitt 8.2 Einrichten des Grundsystems auf Seite 371 weiter. 8.1.3 Start von USB-Stöpsel Wenn Sie den richtigen Stöpsel in den richtigen USB-Anschluss eingesteckt und im BIOS das richtige USB-Gerät in der Bootfolge nach vorn geschoben haben, sollte es keine Probleme geben. Laufwerke für entfernbare Medien dürfen vor dem USBGerät stehen, solange kein Medium eingelegt ist. Platten oder Netz dagegen sollten nach dem USB-Gerät kommen. 8.1.4 Start von CD/DVD Sofern Sie über bootfähige CD/DVDs verfügen und das BIOS Ihres Rechners das Booten von CD/DVD unterstützt, sollten Sie dieses Vorgehen wählen. Schieben Sie in der Bootfolge im BIOS das CD-DVD-Laufwerk vor Festplatte und Netz. Das Floppy-Laufwerk darf vorher kommen, solange keine Diskette eingelegt ist. Legen Sie die erste CD/DVD in das Laufwerk und starten Sie Ihren Rechner. Nach kurzer Zeit sollten Sie den erwähnten Bildschirm mit dem Swirl sehen. 8.1.5 Start über das Netz Wenn die Voraussetzung für das Booten über Netz erfüllt sind und in der Bootfolge des BIOS das Netz vorn steht, meldet sich zuerst der Boot Agent. Dann folgen vom DHCP-Server zugeteilte Adressen und schließlich Lebenszeichen von PXELINUX. Die letzte Zeile enthält den Bootprompt, wie bei den anderen Verfahren. Wir bekommen keinen Startbildschirm mit Swirl und akzeptieren gleich mit der -Taste, falls wir uns nicht die oben beschriebenen Hinweise ansehen wollen.
370
8 Einrichten des Grundsystems
8.1.6 Bootparameter In der folgenden Liste bezeichnet linux den zu startenden Kern. Wenn Sie mehrere Parameter angeben wollen, geben Sie das Wort linux einmal am Anfang der Zeile ein, gefolgt von den durch Leerzeichen getrennten Parametern: •
IBM Thinkpad Computer Wenn Sie ein Laptop dieses Typs besitzen, müssen Sie möglicherweise folgenden Parameter verwenden: linux floppy=thinkpad
•
IBM PS/1 Computer Wenn Sie einen solchen Rechner verwenden und die Festplattengeometrie nicht richtig erkannt wird, teilen Sie dem Kern die Geometrie der Festplatte mit. Dazu sind die Anzahl der Zylinder, Köpfe und Sektoren in folgender Form einzugeben: linux hd=Zylinder,Köpfe,Sektoren beispielsweise: linux hd=360,16,63
•
Größe des Arbeitsspeichers falsch erkannt: Wenn der Linux-Kern startet, erscheint am Bildschirm eine Meldung mit der Größe des erkannten Arbeitsspeichers. Falls die Angabe nicht mit dem tatsächlich vorhandenen Arbeitsspeicher übereinstimmt, weisen Sie den Kern auf die richtige Größe hin: linux mem=ram Hierbei ist ram durch die Größe des Arbeitsspeichers zu ersetzen und die Einheit (k für Kilobyte und m für Megabyte) anzugeben, beispielsweise für 512 MB: linux mem=512m
Darüber hinaus steht eine Anzahl weiterer Parameter zur Verfügung, die in Abschnitt 15.2.5 Allgemeine Kernparameter auf Seite 714 beschrieben und nur in besonderen Fällen gebraucht werden. Unabhängig davon, ob Sie einen Parameter eingegeben haben oder nicht, drücken Sie nun , um das Laden des Einrichtungssystems zu starten. 8.1.7 Start des Einrichtungssystems unter DOS Wenn Sie die Einrichtung von DOS aus starten, gehen Sie wie folgt vor: • •
Vergewissern Sie sich, dass MS-Windows nicht aktiv ist. Wechseln Sie in das Verzeichnis, in dem sich der Linuxkern, die Abbilddatei der Ramdisk (wenn Sie die Standarddateien verwenden, haben diese die Namen linux und root.bin) sowie das Programm Loadlin (loadlin.exe) befinden. Angenommen die Dateien befinden sich auf dem Laufwerk C: im Verzeichnis deb_inst, so geben Sie dazu folgendes Kommando ein: C:\> cd \deb_inst
8.2 Einrichten des Grundsystems
•
371
Starten Sie das Einrichtungssystem mit dem Kommando: C:\deb_inst\> loadlin linux root=/dev/ram initrd=root.bin Hierbei steht linux für den zu ladenden Linux-Kern und root.bin für die Abbilddatei der Ramdisk.
Wenn das Einrichtungssystem von DOS aus gestartet wird, erscheint im Gegensatz zum Start von CD/DVD oder Disketten kein Bootmenü; das System wird sofort geladen. Das Bootmenü ist bei dieser Methode auch nicht notwendig, da eventuell benötigte Parameter direkt an der DOS-Kommandozeile übergeben werden. Sollten Sie beispielsweise den Parameter floppy=thinkpad benötigen, so würden Sie ihn an die oben beschriebene Kommandozeile anhängen: C:\deb_inst\> loadlin linux root=/dev/ram initrd=root.bin floppy=thinkpad 8.1.8 Start des Kerns Unabhängig davon, wie Sie das Einrichtungssystem gestartet haben, wird nun der Kern in Betrieb genommen. Dieser untersucht die Hardware des Rechners, wobei er eine ganze Reihe gebräuchlicher Komponenten durchprobiert. Bei dem Vorgang werden viele Meldungen auf den Bildschirm ausgegeben. Lassen Sie sich nicht beunruhigen, die meisten Meldungen teilen Ihnen nur mit, dass irgendeine Komponente gestartet oder ein Teil Ihrer Hardware erkannt wurde. Vermutlich erscheinen auch einige Meldungen, dass irgendetwas fehlgeschlagen ist. Auch dies ist normal, denn der Kern des Einrichtungssystems ist so aufgebaut, dass er eine große Palette an Hardwarekomponenten unterstützt. Diese versucht er zu finden, und da nicht jede mögliche Komponente tatsächlich in den Rechner eingebaut ist, gibt es Fehlanzeigen.
8.2 Einrichten des Grundsystems 8.2.1 Erste Entscheidungen Nach Bestätigen des Startbildschirms bzw. Bootprompts und dem Durchrauschen einiger Kernmeldungen erscheinen in sinnvoller Folge mehrere Fenster (alphanumerische Fenster, curses-Fenster, keine Grafik) des Einrichtungsprogramms, oft schon mit mehr oder weniger passenden Vorschlägen. In den Fenstern navigiert man mit den Pfeiltasten und der -Taste. Übernehmen der Auswahl mittels . Gelegentlich wird angeboten zurück zu gehen, oder es erscheint das Debian-InstallerHauptmenü mit allen Schritten. Im Prinzip kann man in diesem beliebig hin- und herspringen, was jedoch nicht immer zu einem brauchbaren Ergebnis führt. Die cursesFenster sind schlicht, haben aber den Vorzug, keine hohen Anforderungen an den Rechner zu stellen, das heißt immer zu funktionieren.
372
8 Einrichten des Grundsystems
Mit der Freigabe von etch als stabil zu Ostern 2007 ist auch eine grafische Oberfläche zum Installer gekommen, deren Benutzung wahlfrei ist, siehe Abschnitt D.6 The Graphical Installer im Debian GNU/Linux Installation Guide (2007) aus dem Paket installation-guide-i386. Wollen Sie es grafisch haben, geben Sie beim Boot-Prompt des Einrichtungssystems installgui, expertgui beziehungsweise rescuegui ein. Die Auswahlmöglichkeiten und das Ergebnis sind dieselben wie beim textbasierten Installer. Statt mit Tasten arbeiten Sie mit der Maus. Falls der grafische Installer mit Ihrer Hardware nicht klar kommt, fällt er auf den textbasierten Installer zurück. Während der Grundeinrichtung ist es zu jedem Zeitpunkt möglich, mit der Tastenkombination + auf eine zweite virtuelle Konsole (siehe Abschnitt 2.5 Virtuelle Konsolen auf Seite 39) zu schalten, die Sie mittels aktivieren, eventuell auch durch Anmelden als root ohne Passwort. Dort steht eine einfache Shell zur Verfügung, an der von Anfang an gewisse Aufgaben der Systemkonfiguration durchgeführt sowie die Einstellungen, die durch das Einrichtungsprogramm vorgenommen wurden, feinabgestimmt oder korrigiert werden können. Unter anderem lassen sich von der Shell aus der Editor nano, einige Kommandos zur Verwaltung von Kernmodulen (insmod, lsmod, rmmod), Netz (route, ifconfig) und Dateisystem (cfdisk, mke2fs, mformat, ls, rm, mkdir, mount, umount etc.) aufrufen. Auf der zweiten virtuellen Konsole kann man sich mittels: debian:~# dmesg | more (less steht noch nicht zur Verfügung) die Kernmeldungen ansehen. Solche Arbeiten lassen sich aber auch später erledigen. Auf der dritten und vierten Konsole werden die Meldungen des Syslog-Dämons sowie des Kerns angezeigt. Auch das braucht man selten. Wenn das Einrichtungsprogramm fortgesetzt werden soll, wird mit der Tastenkombination + zurück auf die erste Konsole gewechselt. Die Fenster der ersten Konsole behandeln – teils auf Deutsch, teils auf Englisch1 – folgende Punkte: • •
• •
Choose language (Sprache auswählen) vermutlich German, Choose country or region (Land auswählen) verschiedene Länder, in denen Deutsch Amtssprache ist. Wenn Sie als Sprache Deutsch gewählt haben, aber auf den Bahamas leben, gehen Sie über den Punkt Anderes, Load drivers from a floppy spezielle Treiber von Floppy laden, meist zu verneinen (mit wechseln). Der Schritt kann fehlen. Select a keyboard layout Tastaturtyp auswählen, meist German oder American English, aber auch Dvorak oder Litauisch werden angeboten. Kann später mittels kbdconfig geändert werden. 1
Debian ist in viele Sprachen übersetzt worden, darunter Deutsch. Sie dürfen damit rechnen, bei einer deutschsprachigen Einrichtung die meisten Meldungen auf Deutsch zu bekommen, aber systemnahe Software redet teilweise Englisch. Das BIOS des Rechners, auf dem das vorliegende Kapitel durchexerziert wurde, spricht Schwedisch. Wir leben in Europa.
8.2 Einrichten des Grundsystems
373
Dann rauschen ohne unser Zutun eine Netz-Hardwareerkennung und gegebenenfalls eine DHCP-Netzkonfiguration über den Schirm. Die Vorschläge des DHCP-Servers sollte man vorläufig akzeptieren, auch wenn man später bessere Angaben machen will. Jeder unnötige Eingriff verzögert den Erfolg. Ansonsten trägt man hier IPAdressen etc. ein, wie in Abschnitt 7.1.3 Informationen zum Netz auf Seite 341 erklärt: •
•
• •
•
Configure the network, Hostname Wie heißt der Rechner im lokalen Netz? Beispielsweise pcjoe oder server1, ohne Anhängen einer Domäne. Vorgeschlagen wird debian. Der Name muss im lokalen Netz eindeutig sein. Configure the network, Domain name Wie heißt die lokale Domäne, wie lautet also der Rest des vollständigen Rechnernamens? Beispielsweise beiuns oder joenet.baden. Bei lokalen Domänen braucht man keine Top Level Domäne wie de oder com anzugeben. Vorgeschlagen wird localdomain oder das, was der DHCP-Server sagt. Der Name muss im lokalen Netz einheitlich sein. Debian archive mirror country Aus welchem Land wollen wir den Großteil der Software herunterladen? Wir bleiben der Heimat treu. Debian archive mirror Von welchem Server (Spiegel) wollen wir den Großteil der Software herunterladen? Aus Deutschland werden zwei Dutzend Server angeboten. Die Software ist auf allen Spiegeln identisch; es lohnt sich nicht, nach Schnäppchen zu suchen. HTTP proxy information Falls man zum Herunterladen über einen HTTPProxy gehen muss, wäre er hier einzutragen. Meist lässt man die Zeile leer.
Dann beginnt das Herunterladen: Loading components of the Debian installer, dauert wenige Minuten. Anschließend macht sich der Installer, das Einrichtungprogramm, mit der Hardware vertraut, insbesondere mit den Festplatten. 8.2.2 Partitionieren Jetzt wird es aufregend. Wie soll partitioniert werden? Wer wenig Erfahrung im Partitionieren hat, sollte für diesen Schritt Zeit zum Spielen und Ausprobieren einplanen sowie Bleistift und Papier bereit legen. Der Vorgang ist nicht schwierig – es gibt Schlimmeres – aber für einen Linux/UNIX-Anfänger ungewohnt. Umpartitionieren vor Inbetriebname des Rechners ist kein Problem, späteres Umpartitionieren im laufenden Betrieb heikel und umständlich. Das Einrichtungsprogramm bietet uns drei Möglichkeiten an: •
•
Größten ununterbrochenen freien Speicher benutzen Das nehmen wir, wenn auf der Platte bereits Daten liegen, die erhalten bleiben sollen, beispielsweise ein anderes Betriebssystem, Frei bedeutet unpartitioniert und demzufolge unbenutzt. Der Punkt fehlt bei leerer Platte. Gesamtes Laufwerk löschen: IDE 1 Master (hda) Der einfachste Weg, falls die Platte ganz verfügbar ist, das heißt, neu ist oder etwaige Daten vernichtet werden dürfen, Falls Sie mehrere Platten im Rechner haben, stellen Sie sicher, dass sich das Einrichtungsprogramm die richtige Platte vorgeknöpft hat.
374
•
8 Einrichten des Grundsystems
Partitionstabelle von Hand eingeben Kann man wählen, wenn man schon Erfahrungen im Partitonieren gesammelt hat.
Die nächste Frage gilt dem Partitionsschema: • •
•
Alle Dateien auf eine Partition Wird zwar für Anfänger empfohlen, ist aber doch sehr primitiv. Wir raten unseren Lesern davon ab. Desktop-Computer (Arbeitsplatz-Rechner) Damit kann man gut leben, wenn auf dem Rechner wenige Benutzer arbeiten. Es werden zwei Partitionen für System und Benutzer sowie ein Swapbereich angelegt. Nach unseren Vorstellungen wäre dieses Schema ein für viele Arbeitsplätze ausreichendes Minimum. Mehrbenutzer-Arbeitsplatzrechner Das ist das gebräuchlichste Schema für Linux/UNIX-Rechner (Arbeitsplätze und Server) im Netz, auf die mehrere Benutzer zugreifen. Diese Wahl ist immer richtig, aber man sollte verstanden haben, was eine Partition ist.
Der Installer errechnet einen Partitionierungsvorschlag, dem man in vielen Fällen zustimmt. Für System und Swap werden brauchbare Speichermengen reserviert, der Rest geht an die Home-Verzeichnisse der Benutzer, bei großen Platten also viel. Besondere Einsatzzwecke eines Rechners kann der Installer nicht berücksichtigen. Wenn beispielsweise im lokalen Netz ein Dateiserver läuft, auf dem die HomeVerzeichnisse liegen, braucht auf den Arbeitsplätzen für die Homes fast kein Speicherplatz vorgesehen zu werden. Ein Rechner zum Ausprobieren von Anwendungssoftware benötigt in der Wurzelpartition und im /usr-Zweig mehr Platz als üblich, ein Webserver oder Proxy im /var-Zweig, wo Webspace und Cache liegen. Gerade im /var-Zweig kommt Einiges zusammen; da sollte man bei den üppigen Kapazitäten moderner Platten nicht knausern. In solchen Fällen kommt man um Handarbeit nicht herum. Durch Auswählen einer Partition mittels Pfeiltasten und Bestätigen gelangt man zu einem Fenster, in dem Einzelheiten für die Partition festgelegt werden, insbesondere, ob die Partition formatiert werden soll (was alle Daten darin löscht) und ob sie als Boot-Partition markiert werden soll. Sie können die Größe ändern, wobei Sie auf die obere Nachbarpartition Rücksicht nehmen müssen, und den Einhängepunkt (mounting point) bestimmen. Die Auswahl der Partitionseinstellungen beinhaltet: •
•
•
•
Benutzen als Dateisystem, im Zweifelsfall ext3, bei der Swap-Partition Auslagerungsspeicher (swap), Andere Dateisysteme werden in Abschnitt 13 Dateisysteme ab Seite 563 besprochen. Einhängepunkt (mount) Verzeichnis, in das die Partition eingehängt werden soll. Mit dem Wurzeldateisystem anfangen, weil in diesem die Einhängepunkte der weiteren Dateisysteme enthalten sind., Mount-Optionen Defaults übernehmen, wenn man nichts Besseres weiß, Einzelheiten zu den Optionen stehen auf den Manualseiten zu fstab und mount(8). Label Vorschlag übernehmen. Labels sind Namen für Partitionen und werden von einigen Linux-Distributionen verwendet, nicht jedoch von Debian. Etwai-
8.2 Einrichten des Grundsystems
•
•
• •
375
ge Namen müssen auf der Maschine eindeutig sein. Ermitteln oder Ändern von Labels mittels e2label oder cfdisk. Reservierte Blöcke Vorschlag (5 %) übernehmen. Auf einer hundertprozentig gefüllten Partition rührt sich nichts mehr, daher eine Grenze bei 95 %. Nur Root kann die Grenze überschreiten und sollte schon bei einem Füllstand von 90 % ins vorbeugende Grübeln kommen. Nutzung Vorschlag (Standard) übernehmen, beeinflusst die Anzahl der Inodes und ist nur dann von Bedeutung, wenn man sehr viele kleine Dateien (= viele Inodes) oder sehr wenige riesige Dateien (= wenige Inodes) speichern will, Boot-Flag bei der Wurzel-Partition ein, sonst aus, Größe Vorschlag des Installers übernehmen, wenn man nichts Besseres weiß.
Zurück mit Anlegen der Partition beenden. Sie dürfen stundenlang mit den Partitionen herumspielen, erst die Auswahl von Partitionierung beenden und Änderungen übernehmen ganz unten schreibt nach einer Rückfrage die neue Partitionstabelle auf die Platte, beginnt mit dem Formatieren der dafür ausgewählten Partitionen und richtet die Dateisysteme ein. Bei großen Partitionen dauert das Formatieren etwas. Anschließend wird das Debian-Grundsystem von CD/DVD oder aus dem Netz heruntergeladen. Das braucht seine Zeit. Der Fortschritt wird in einem Balken und als Prozentzahl angezeigt. 8.2.3 Bootloader Der nächste Schritt betrifft den Bootloader (bootstrap loader), also das Programm, das später nach dem Einschalten des Rechners den Kern von der Platte in den Arbeitsspeicher kopiert. Unter sarge und etch ist dies der Grand Unified Bootloader (GRUB), davor war es der Linux Loader (LILO). Es gibt weitere, aber keinen Grund, von dem Vorschlag abzuweichen. Wir gehen im Abschnitt 11 Systemstart ab Seite 465 näher darauf ein. Im Moment ist die Frage zu beantworten, ob GRUB in den Master Boot Record (MBR) der ersten Festplatte – beispielsweise /dev/hda – geschrieben werden soll. Falls unser neues GNU/Linux das einzige Betriebssystem im Rechner ist, sollte die Frage bejaht werden, ebenso falls das Einrichtungsprogramm alle bereits vorhandenen Betriebssysteme richtig erkannt hat. In diesem Fall wird GRUB auch die alteingesessenen Betriebssysteme erkennen und beim Booten zur Auswahl stellen. Verneinen wir die Frage, wird angeboten, GRUB auf ein anderes bootfähiges Medium zu schreiben, beispielsweise eine Diskette oder eine Partition. Hier liegt der Grund, weshalb man Linux nach etwaigen anderen Betriebssystemen einrichten soll. Deren Bootloader wird ebenfalls in den MBR geschrieben, kann aber nicht in jedem Fall fremde Betriebssysteme laden. Würde man ein MS Windows nach einem Linux einrichten, hätte man anschließend im MBR den Bootloader von MS Windows, was vermutlich unerwünscht wäre. Man müsste dann eigens noch einmal GRUB in den MBR übertragen. Mit dem Übertragen von GRUB in den MBR ist die Grundeinrichtung von Debian GNU/Linux abgeschlossen. Wir entfernen etwaige Medien aus den Laufwerken.
376
8 Einrichten des Grundsystems
Falls wir über das Netz mit PXE gebootet haben, stellen wir die Bootfolge so um, dass die Platte vor dem Netz kommt. Dann starten wir den Rechner warm und setzen die Einrichtung mit der Konfiguration des Grundsystems fort. In vielen Fällen (Start von einem Startmedium, Fortsetzen der Einrichtung über Netz, keine exotische Hardware, nur Debian GNU/Linux auf der Platte) ist das Einrichten des Grundsystems eine äußerst einfache Angelegenheit. Wenn wir an früher denken . . . 8.2.4 Probleme bei der Grundeinrichtung Nachfolgend einige Probleme, die bei der Grundeinrichtung auftreten können, samt den Gegenmaßnahmen: •
Bootdiskette funktioniert nicht Beim Start des Rechners von Diskette müssen der Kern und das anfängliche Dateisystem mit Hilfe von BIOS-Funktionen in den Arbeitsspeicher des Rechners geladen werden. Die Funktionen stellen bei manchen Rechnern höhere Anforderungen an die Qualität der Diskette sowie an die Justierung des Laufwerkes, als es die Lesefunktionen der Betriebssysteme tun, die viele Fehler ausbügeln. Wenn es zu einem Fehler kommt, nachdem die folgende Meldung ausgegeben ist und der Kern noch nicht gestartet wurde, sollte man eine bessere (fehlerfreie) Diskette verwenden: loading linux ...
•
•
•
Benutzer von Cyrix-Prozessoren (historisch, bis 1999) sollten versuchen, während der Einrichtung den Cache vorübergehend im BIOS ausschalten. Von CD/DVD kann nicht gestartet werden Wenn Sie eine bootfähige CD/DVD zur Einrichtung verwenden und dies von ihrem Rechner unterstützt wird, der Rechner jedoch von der Festplatte startet, überprüfen Sie Folgendes: – Ist das BIOS so eingestellt, dass der Rechner von CD/DVD startet? – Bei einigen Laufwerken kommt es vor, dass die CD/DVD nicht rechtzeitig erkannt wird. Legen Sie die CD/DVD in den Rechner ein und starten Sie ihn mit der Reset-Taste erneut. Der Rechner bleibt während des Bootvorgangs stehen Es kommt vor, dass bei der Erkennung oder Initialisierung von Hardware mit dem Kern des Einrichtungssystems Probleme auftreten. Versuchen Sie, den Kern durch Bootparameter auf die jeweilige Hardwarekonfiguration hinzuweisen. Unter Umständen brauchen Sie eine spezielle Bootdiskette. Dazu muss auf einem anderen Rechner ein für das Zielsystem vorbereiteter Kern kompiliert und auf eine Bootdiskette kopiert werden. Festplattenpartitionen lassen sich nicht formatieren Falls während des Formatierens einer Partition der Fehler mke2fs failed erscheint, versuchen Sie, die Partitionen geringfügig zu ändern.
8.3 Konfigurieren des Grundsystems
•
377
CD-Laufwerk wird nicht erkannt Falls Sie ein ATAPI-CD-Laufwerk verwenden, können Sie versuchen, den Kern vor dem Start auf die Existenz des Laufwerks hinzuweisen. Addieren Sie hdx=cdrom zu der Kommandozeile, mit der Sie Linux booten. hdx müssen Sie dabei durch den Namen der Gerätedatei ersetzen, die Ihrem CD-Laufwerk entspricht.
Wir möchten betonen, dass solche Fehler selten auftreten.
8.3 Konfigurieren des Grundsystems 8.3.1 Zeitzone Auf das Herunterladen und Einrichten von Software (Einsortieren der Dateien in die Verzeichnisse) folgt oftmals ihre Konfiguration, was man ungefähr mit Anpassen an die örtlichen Verhältnisse übersetzen kann. Es gibt drei Fälle: • •
•
Die Software läuft so, wie sie soll; es gibt nichts zu konfigurieren. Bei einfachen Werkzeugen die Regel. Die Software läuft zwar, aber noch nicht so, wie wir es uns vorstellen. Das kommt häufig vor, insbesondere nach dem Einrichten des Grundsystems. Wir müssen sie konfigurieren, unter Umständen wiederholt, bis alles stimmt. Ohne Konfiguration läuft die Software nicht. Ist Software aus dem Grundsystem betroffen, wird bereits während des Einrichtens gefragt, beispielweise nach der Zeitzone oder dem Tastaturtyp.
Auch beim Nachrüsten von Paketen stehen wir immer wieder vor einem der Fälle. In der Konfiguration eines Rechners steckt viel Arbeit, zum großen Teil im Verzeichnis /etc verbuddelt. Die Konfiguration des Debian-Grundsystems beginnt mit einem Willkommensgruß, den man abnickt, gefolgt von mehreren Schritten zur Einstellung der wichtigsten Systemwerte. Die erste Frage betrifft die Zeit. Auf reinen Linux/UNIXRechnern sollte man angeben, dass die Hardware-Uhr auf GMT beziehungsweise UTC (für uns dasselbe) eingestellt ist, auch wenn die angezeigte Zeit falsch ist. Die Uhr stellen wir später richtig. Läuft auf dem Rechner zusätzlich ein anderes Betriebssystem – beim Booten auszuwählen – muss man sich möglicherweise nach diesem richten. Linux/UNIX ist in dieser Frage flexibel. Auf dem nächsten Schirm ist die Zeitzone anzugeben. Auf Grund der Einrichtung vernutet das System, dass der Rechner in der Zeitzone Europa/Berlin lebt, das heißt dort, wo die Mitteleuropäische Zeit (MEZ, CET) bzw. im Sommer die Mitteleuropäische Sommerzeit (MESZ, CEST) gilt. Wir ändern oder übernehmen den Vorschlag.
378
8 Einrichten des Grundsystems
8.3.2 Root-Passwort Nun wird es wieder spannend. Wir geben das Root-Passwort ein, also das höchst wertvolle Passwort des Systemverwalters, das wir uns sorgfältig überlegt haben. Wer das Passwort von Root kennt, dem gehört das System. Falls Sie sowohl deutsche als auch amerikanische Tastaturen verwenden, sollten Sie von Zeichen Abstand nehmen, die auf jeweils verschiedenen Tasten liegen (y,z), da man sich dann oft vertippt. Bei der Eingabe werden statt der wahren Zeichen Sternchen angezeigt, um etwaigen Zuschauern keine Hinweise zu geben. Immerhin können sie die Länge des Passwortes ablesen, daher keine Zuschauer dulden. Das Passwort wird wie üblich ein zweites Mal eingegeben, um Tippfehler auszuschließen. Bestätigen jeweils mit . Passwörter dürfen aus Sicherheitsgründen unter keinen Umständen im Klartext auf Rechnern gespeichert werden2 . Das Passwort des Verwalters sollte in zwei Köpfen – nämlich denen des Verwalters und seines Stellvertreters – und in einem Briefumschlag im Tresor verwahrt werden, sonst nirgends. 8.3.3 Erster gewöhnlicher Benutzer Da Sie nur die nötigsten Aufgaben als Root erledigen sollen, wird jetzt ein Konto für den ersten gewöhnlichen Benutzer eingerichtet. Wenn Sie der alleinige Benutzer des Rechners sind, geben Sie hier den Benutzernamen etc. ein, unter dem Sie später ihre tägliche Arbeit verrichten. Als Benutzername bietet sich Ihr Vorname an, aber Sie sind weitgehend frei in der Wahl. Benutzernamen sind nicht geheim, daher besteht kein Bedarf an schwierigen Zeichenkombinationen. Per Software kann die Auswahl an Schreibweisen leicht eingeschränkt werden, siehe Manualseite zu adduser.conf. Das System fragt zuerst nach dem vollen, das heißt bürgerlichen Namen des Benutzers wie J OE D EBIAN und leitet daraus den Vorschlag für den Benutzernamen ab, den Sie ändern dürfen. Drittens wird um ein Passwort für den Benutzer gebeten, das sich vom Root-Passwort unterscheiden soll. Der erste gewöhnliche Benutzer bekommt vom System die Nummer (User-Identifier, UID) 1000. Ebenso wird eine Gruppe gleichen Namens und gleicher Nummer für ihn angelegt, die seine primäre Gruppe bildet. Das Eintragen des Benutzers in weitere (sekundäre) Gruppen folgt später bei Bedarf. Werden auf dem Rechner oder im Netz mehrere Benutzer arbeiten, empfiehlt es sich, als ersten Benutzer einen fiktiven (erfundenen) Benutzer einzutragen, hinter dem als Person der Verwalter steht, wenn er Dinge erledigt, für die Root-Rechte nicht erforderlich sind. Man hat dann für die richtigen Benutzer noch alle Freiheiten. Nachträgliche Umbenennungen von Benutzern sind machbar, nachträgliche Umnummerierungen mühsam und fehlerträchtig, weil Benutzer-IDs an vielen Stellen im System gespeichert werden. Im Home-Verzeichnis des Benutzers Nr. 1000 kann der Verwalter beispielsweise größere Datenmengen (Tarbälle) lagern, die die Wurzelpartition, in der das Verzeichnis /root liegt, sprengen würden. Arbeitet die Person, die manchmal Verwalterpflichten übernimmt, sozusagen privat als gewöhnlicher Benutzer, steht ihr später 2
Manche Anwendungen erzwingen eine Ausnahme von der Regel.
8.3 Konfigurieren des Grundsystems
379
ein gewöhnliches persönliches Konto wie joe mit einer UID oberhalb von 1000 zur Verfügung, das keinerlei Verbindung zur Verwaltertätigkeit aufweist. Die Trennung der drei Aufgabenbereiche hat sich bewährt. Stehen hinter Root mehrere Personen, geht es kaum anders. Weitere Benutzerkonten richten wir später ein, siehe Abschnitt 12 Benutzer und Gruppen ab Seite 519. 8.3.4 APT-Konfiguration Da man ein Debian-System einfach erweitern oder aktualisieren kann und das natürlich auch tut, wird jetzt der Weg bestimmt, auf dem die Daten fließen. Das Advanced Package Tool apt spielt dabei eine wesentliche Rolle. Als Zugriffsmethode werden CD/DVD, HTTP, FTP oder ein lokales Dateisystem angeboten, zusätzlich die Möglichkeit, die Datei /etc/apt/sources.list von Hand zu editieren, was wir auch jederzeit später erledigen können. Insofern ist die Antwort nicht kritisch. Falls Sie keine Netzverbindung haben und Debian GNU/Linux von CD/DVD beziehen, wählen Sie dieses Medium. Am häufigsten wird Debian aus dem Netz über DSL aktualisiert; hier können Sie zwischen FTP und HTTP wählen. Beide Protokolle funktionieren. FTP ist zustandsbehaftet, HTTP zustandslos, aber das sind Feinheiten, die hier nicht interessieren. Beim Zweitautor steht HTTP in sources.list. In großen lokalen Netzen wird Debian vom Dateisystem eines lokalen Spiegels bezogen. Falls wir uns für HTTP oder FTP entschieden haben, ist das Land zu benennen, aus dem wir unseren Lieferanten wählen. Die Frage haben wir schon für das Einrichtungssystem beantwortet und bleiben vermutlich bei der Antwort, ebenso bei der Frage nach dem Spiegel. Wir können auch jetzt einen HTTP-Proxy eintragen, falls unsere Netzverbindung das vorsieht. Die Form des Eintrags ist: http://www-proxy.t-online.de:80 Falls ein lokaler Proxy (squid) eingerichtet ist, könnte die Zeile so aussehen: http://proxy.beiuns:3128 Die meisten Netzverbindungen funktionieren auch ohne Proxy, sodass wir die Eingabezeile leer lassen, wenn wir nichts Besseres wissen. Anschließend prüft das System die Verbindung und lädt die Paketlisten herunter. 8.3.5 Software-Auswahl Bis jetzt haben wir nur ein Grundsystem eingerichtet, mit dem man zwar schon spielen, aber noch nicht arbeiten kann, weil ein großer Teil der Anwendungssoftware3 fehlt. Im Lauf der Jahre ist der Umfang der Anwendungssoftware derartig angewachsen, dass es Unsinn wäre, alle Anwendungen einzurichten, selbst wenn die Platte mitmachte. Wir müssen daher auswählen. Der bequemste Weg ist, eine Vorauswahl 3
Der Anwendungssoftware ist unser zweites Debian-Buch gewidmet. Im vorliegenden Band können wir aus Platzgründen nur kurz auf Anwendungen eingehen.
380
8 Einrichten des Grundsystems
von Debian zu übernehmen und einzelne Pakete später bei Bedarf nachzurüsten. Wir gehen in Abschnitt 10 Erweitern des Grundsystems ab Seite 435 auf einige häufig gebrauchte Erweiterungen ein. Als Vorauswahl bietet Debian an: •
•
• • • •
•
Desktop-Umgebung für allgemeine Arbeitsplätze mit grafischer Arbeitsumgebung, Textverarbeitung usw. Nicht für reine Server ohne X11 und Grafik. Ein größerer Brocken Software mit entsprechender Ladezeit. Web-Server mit dem Apache-Webserver; falls Sie einen eigenen, lokalen Webserver betreiben wollen, auch in kleinen Netzen reizvoll und zum Testen von Webseiten nützlich, die Sie in einen gemieteten, öffentlich zugänglichen Webserver hochladen, Druck-Server mit dem Common UNIX Printing System (CUPS), DNS-Server für einen lokalen Domain Name Service, nur in größeren Netzen üblich, Datei-Server kann in einem lokalen Netz als zentrale Ablage sinnvoll sein, insbesondere auch für Sicherungskopien, Mail-Server mit dem Mail Transfer Agent (MTA) exim; wird auch in kleinen Netzen benötigt, um Systemmeldungen per Email an den Verwalter zu schicken, jedoch nicht auf reinen Arbeitsplätzen. SQL-Datenbank falls Sie sich eine richtige Datenbank leisten wollen.
Ausgewählt wird mit der Leertaste, die ein Sternchen vor die Software stellt und auch wieder entfernt. Sie dürfen mehrere Punkte markieren. Falls Sie sich die Mühe machen wollen oder wegen Mangel an Plattenplatz müssen, wählen Sie die Pakete einzeln von Hand aus. etch umfasst 18.000 Pakete, die sich jedoch bündeln lassen. Nach Abschluss der Auswahl werden die Debian-Pakete von CD/DVD oder einem Spiegel geholt, was um eine Stunde dauert, je nach Umständen. Zeit, eine Tasse eines Programming Fluids zu sich zu nehmen. Die voraussichtliche Restzeit wird rechts unten auf dem Bildschirm angezeigt. 8.3.6 X-Server Wenn der erste Teil der ausgewählten Software auf dem Rechner gelandet ist, geht es an die Konfiguration des X-Servers (nur bei Desktöppen). Bei sarge ist der XFree86Server Default, bei etch der Server von X.org. Als erstes wird nach dem X-ServerTreiber gefragt. Hier muss man wissen, welche Grafikkarte in den Rechner eingebaut ist; das Fenster bietet eine Auswahl gängiger Treiber an. Dann kommt die Maus an die Reihe und schließlich der Bildschirm (Monitor). Man kann zwischen Vorgaben oder weitgehend automatischer Erkennung einerseits und manueller Eingabe andererseits wählen, je nachdem, wie viel man über die Hardware weiß. Einen funktionierenden X-Server kann man nachträglich optimieren, bei einem nicht funktionierenden muss man im Recovery Mode (Single User Mode) ohne Grafik booten und die Konfiguration von der Kommandozeile aus mit einem Texteditor reparieren, wie in Abschnitt 9.4 X-Server auf Seite 407 beschrieben. Die Konfiguration des X-Servers ist bei der ganzen Einrichtung der Punkt, wo am ehesten etwas schief geht und man
8.3 Konfigurieren des Grundsystems
381
es sofort bemerkt, weil die grafische Benutzeroberfläche spinnt. Wir können jederzeit mittels: debian:~# dpkg-reconfigure xserver-xorg die Konfiguration wiederholen, wobei die alten Einstellungen als Vorgabe angezeigt werden. Dann wird eine Reihe weiterer Pakete ausgewählt. Schließlich werden die Pakete eingerichtet, was wieder etwas Zeit beansprucht. 8.3.7 Email Im weiteren Verlauf ist der Mail Transfer Agent, sofern ausgewählt, zu konfigurieren. Es werden sechs Möglichkeiten angeboten: • • • • • •
Internet-Server Versand über Smarthost Versand über Relay-Host ohne lokale Zustellung Nur lokale Emailzustellung Manuelles Übernehmen Keine Konfiguration
Wer nicht mit Email vertraut ist, stolpert über einige Begriffe, deshalb sehen wir uns die Punkte genauer an. Ein Internet-Server ist ein Rechner, der ein Knoten mit eigener, fester IP-Adresse im Internet ist und selbst Mails über das Simple Mail Transfer Protocol (SMTP) versendet und empfängt, also keinen anderen Email-Server benötigt. Solche Server laufen rund um die Uhr und werden von Verwaltern und Postmastern betreut, die sich mit Email auskennen. Der Fall ist außerhalb von Rechenzentren selten. Versand über Smarthost bedeutet, dass ausgehende Mails immer an denselben Mailserver, den Smarthost, gehen, der meist vom Internet-Versorger betrieben wird. Eingehende Mails werden selbst per SMTP empfangen (was voraussetzt, dass der Rechner im Internet sichtbar ist) oder per Post Office Protocol (POP) oder Internet Message Access Protocol (IMAP) von einem Mailserver abgeholt. Programme wie fetchmail verstehen sich auf diese Protokolle. Eingegangene Mails werden vom Server im lokalen Netz weiter verteilt. Das wäre ein typischer lokaler Mailserver. Die dritte Möglichkeit ist Versand ebenfalls über Smarthost, aber keine lokale Weiterverteilung eingehender Mails. Jeder Teilnehmer im lokalen Netz muss selbst seine Mails bei einem lokalen oder öffentlichen Mailserver mittels POP oder IMAP abholen. Häufig. Viertens haben wir Email nur innerhalb des Rechners, kein Versand oder Empfang über ein lokales Netz oder das Internet. In diesem Fall kann ein Programm, ein Dämon dem Verwalter oder Benutzer eine Mail schicken, mehr nicht. Vorstellbar auf Rechnern ohne jegliche Netzanbindung oder auf Arbeitsplätzen, auf denen keine Mails geschrieben oder gelesen werden, selten, ungefährlich. Wenn auf dem Rechner vorher schon eine ältere Version des MTA exim lief, kann deren Konfiguration übernommen werden, Punkt 5. Schließlich können wir die
382
8 Einrichten des Grundsystems
ganze Email-Konfiguration vertagen, was nicht die schlechteste Lösung ist, wenn man sich unsicher fühlt. Später ist: debian:~# dpkg-reconfigure exim4-config aufzurufen. Wir sehen dann denselben Bildschirm wieder. Auch für Änderungen wird er verwendet. In jedem Fall ist nun anzugeben, an welches Konto eines gewöhnlichen Benutzers Mails für Systemkonten wie root oder postmaster weitergeleitet werden soll. Das muss ein Benutzer sein, der erstens häufig nach seinen Mails schaut und zweitens mit den Systemkonten vertraut ist, üblicherweise eine Root nahestehende Person. Danach ist die Konfiguration des Grundsystems abgeschlossen. Falls Sie Spaß an der Sache gefunden haben, können Sie die ganze Kofiguration jederzeit als Root mit dem Kommando base-config wiederholen. Dabei werden Ihnen die alten Einstellungen als Vorgaben angezeigt. Nach Bestätigen mittels wird es erst einmal dunkel auf dem Schirm, dann rappelt sich der X-Server auf und stellt den Begrüßungsschirm des GNOME Desktop Managers dar, wie in Abschnitt 3.4 Display-Manager auf Seite 195 nachzulesen. Falls der X-Server schwächelt, starten Sie das System warm und hauen auf die Leertaste, sowie der schwarz-blaue Schirm von GRUB erscheint. Dann haben Sie zum Lesen Zeit und starten Debian im Recovery Mode (Single User Mode) ohne X11 und Grafik. Von der Kommandozeile aus versuchen Sie, die Konfiguration des X-Servers zu reparieren, siehe Abschnitt 9.4 X-Server auf Seite 407. Auch das Kommando base-config steht zur Verfügung, hilft allerdings nicht bei X11-Problemen. Das war die Konfiguration des Grundsystems. Bis ein System in allen Einzelheiten so läuft, wie man es sich vorstellt, ist noch Arbeit zu leisten. Von Fonts, Arbeitsumgebungen, Datenbanken, Web-Browsern oder Verschlüsselung war noch gar nicht die Rede. Als nächste Schritte schlagen wir die Aufrufe: debian:~# updatedb debian:~# ps -ef | less vor, um locate zum Finden von Dateien benutzen zu können und um eine Übersicht über die Dämonenschar zu gewinnen.
8.4 Fully Automatic Installation (FAI) Bei der vorstehend beschriebenen Einrichtung eines Grundsystems hat der Verwalter immer wieder Fragen am Terminal zu beanworten, darf sich also nicht weit entfernen. Das wird insbesondere bei der Einrichtung einer größeren Anzahl von Rechnern lästig. Sind die Rechner identisch, lassen sich Platten bitweise vervielfachen und in die Rechner einbauen, sodass nur noch das Eintragen individueller Werte übrig bleibt. Ein anderer Weg besteht darin, die Antworten in Dateien (Profilen) auf einem Server vorzuhalten und bei der Einrichtung über eine Netzverbindung abzufragen. Wenn man über das Netz booten kann, sollte das möglich sein. Gegenüber
8.4 Fully Automatic Installation (FAI)
383
dem Vervielfältigen von Platten hat der zweite Weg den Vorzug größerer Flexibilität. Außerdem kann ein System nach einem Totalschaden leicht mit der alten Konfiguration neu erzeugt werden, vorausgesetzt das Profil ist noch vorhanden. Diesem Zweck dient die Fully Automatic Installation (FAI) für Debian, Heimathafen http://www.informatik.uni-koeln.de/fai/ mit Software und Guide. Der englischsprachige Guide (2006) von T HOMAS L ANGE beschäftigt sich auf 60 Seiten mit den Debian-Paketen zu FAI und ihrer Einrichtung; wir fassen uns daher kurz. FAI eignet sich für einzelne Rechner, Serverfarmen, Beowulf-Cluster und Klassenzimmer. Wir brauchen einen FAI-Server im lokalen Netz. Auf diesem richten wir die Debian-Pakete fai und fai-kernels ein, rund 20 MB auf der Platte. In etch sind es ein paar Pakete mehr als in sarge. Da FAI bei der Einrichtung des Servers einige Systemdateien verändert – unter anderem ist die Datei /etc/fstab betroffen – sollte man beim ersten Versuch nicht gerade den Hauptserver im lokalen Netz als FAI-Server auswählen. Das Verzeichnis /usr/share/doc/fai/ beherbergt die Dokumentation. Die Konfiguration des FAI-Servers steht in der gut kommentierten Datei /etc/fai/fai.conf. Für den Anfang ändern wir möglichst wenig. Unbedingt einzutragen ist nur eine Zeile, sinngemäß: installserver=server.beiuns Dafür gibt es keine Vorgabe. Man sollte noch den voreingestellten Debian-Server ftp.debian.org durch ftp.de.debian.org ersetzen; das beeinflusst das Ergebnis jedoch nicht. Dann sieht man sich die Dateien /etc/fai/sources. list und /etc/fai/make-fai-nfsroot.conf an. Anschließend rufen wir als Verwalter: debian:~# fai-setup -v auf und verfolgen die Bemerkungen auf dem Schirm. Warnungen schlagen wir in den Wind, Fehler sollten nicht vorkommen. Das Setup dauert mehrere Minuten. Nun kopieren wir einige vorbereitete Hilfsdateien (configuration space) nach /usr/local: debian:~# cp -a /usr/share/doc/fai/examples/simple/* /usr/local/share/fai/ Ferner prüfen wir mittels: debian:~# exportfs auf dem Server, ob die beiden fai-Verzeichnisse zum Export in das lokale Netz freigegeben sind. Kein Verzeichnis sollte doppelt exportiert werden, das verwirrt den NFS-Server. Der NFS-Dämon ist zu restarten, um die zusätzlichen Exporte wirksam werden zu lassen, siehe Abschnitt 13.9.1 Einhängen ferner Verzeichnisse auf Seite 590. Die Clients werden vom Netz (PXE), von einer Diskette oder von CD/DVD gestartet und holen sich den Rest über das Netz vom FAI-Server. Ein lokaler DHCPServer vereinfacht die Arbeit. Um die Diskette herzustellen, geben wir das Kommando (einzeilig):
384
8 Einrichten des Grundsystems
debian:~# make-fai-bootfloppy -vF nfsroot=192.168.1.1:/usr/lib/fai/nfsroot auf dem Server ein und prüfen danach die Diskette mittels: debian:~# e2fsck -c /dev/fd0 Während die Optionen harmlos sind, ist die Angabe von nfsroot wesentlich. Dabei handelt es sich um die IP-Adresse des FAI-Servers und das Verzeichnis, das vom Client per NFS als vorläufiges Wurzelverzeichnis eingehängt wird. Alternativ könnte auch der DHCP-Server die Information liefern. Booten wir einen PC von der Diskette, erscheint der Bootloader GRUB. Wir drücken sofort die Leertaste, um uns das Bootmenü in Ruhe anzuschauen. Vorgegeben ist die Auswahl FAI-DHCP, aber auch FAI-ANY oder FAI-FIXED führen manchmal zum Erfolg. Sind alle Voraussetzungen gegeben, läuft die Einrichtung per Diskette durch bis zu einer Meldung, dass keine Aktionen definiert seien. Durch Eingabe von + kommen wir zu einer Shell. Auf dem Client läuft ein einfaches Linux-System ohne Benutzung der lokalen Festplatte, dass sich in anderem Zusammenhang als Reparatursystem eignet. Mit Kommandos wie dmesg oder lspci sehen wir uns verschiedene Einstellungen an und vergleichen sie mit unseren Vorstellungen. Verlassen der Shell und Restart mittels +. Um mit der Einrichtung weiter zu kommen, editieren wir im angezeigten GRUBMenü die Zeile, die unsere Boot-Auswahl markiert, und fügen: FAI_ACTION=install hinzu. Beim Booten läuft FAI nun durch und richtet ohne Zwischenfragen auf der Festplatte des Clients Debian GNU/Linux gemäß den Vorgaben in /usr/local/ share/fai ein. Nach Abschluss der Arbeit entfernt man die FAI-Diskette und rebootet. Es erscheint ein Textbildschirm, auf dem man sich als root mit Passwort fai anmeldet. Dann sieht man sich mit fdisk und mount das Dateisystem und weitere Dinge an. Das sollte man einmal durchexerzieren, ehe man sich an die Verfeinerung der Konfiguration begibt. Einzelheiten im Guide. FAI ist sicherlich nichts für einen Verwalter, der zum ersten Mal ein Debian-System einrichtet, andererseits doch so einfach, dass sich seine Benutzung bald lohnt. Ähnlich wie make beim Compilieren von Programmen erfordert FAI ein bisschen Lernen, macht sich aber bei Wiederholungen der Aufgabe schnell bezahlt. Die Schwierigkeiten sind in den vielfältigen Möglichkeiten begründet, zwischen denen man sich zu entscheiden hat. Nebenbei bietet FAI Hilfen zum Einrichten eines lokalen, auf die eigenen Bedürfnisse beschränkten Debian-Spiegels mittels debmirror und rsync. Der lokale Spiegel ist jedoch nicht Voraussetzung für FAI.
9 Konfigurieren
Nachdem das Grundsystem samt Anwendungen läuft, geht es an die Feinabstimmung vieler Komponenten. Das sind nur selten dringende Aufgaben, aber ihre Erledigung ist langfristig für ein zufriedenstellendes und zweckmäßiges Arbeiten auf dem Rechner erforderlich.
9.1 Ändern der Grundkonfiguration 9.1.1 Umstellen von DHCP auf statische Adressen Nachdem der Rechner eingerichtet ist und im Wesentlichen so läuft, wie er soll, ist es angebracht, sich die Konfiguration anzusehen und gegebenenfalls in einigen Punkten zu verbessern. Das kann mit dem Nachrüsten von Debian-Paketen verbunden sein, beispielsweise Pakete mit Zeichensätzen oder Fonts; apt-get ist unser Freund. Die meisten Einstellungen sind linux/UNIX-üblich in Textdateien abgelegt. Wir verfügen somit über mehrere Wege, eine Einstellung zu ändern: •
•
•
Direkter Zugriff auf die Konfigurationsdatei mittels eines Texteditors. Dazu muss man den Namen der Konfigurationsdatei kennen. Die meisten liegen im Verzeichnis /etc, manche werden ergänzt durch eine gleichartige Datei im HomeVerzeichnis eines Benutzers. Die Kommentare in ordentlich geschriebenen Konfigurationsdateien sind eine wertvolle Hilfe. Shellskripte, um im Dialog gewisse Änderungen durchzuführen. Dieser Weg wird bevorzugt, wenn eine Änderung mehrere Dateien betrifft oder mehrere Schritte erfordert. Beispiele für derartige Shellskripte finden sich in /usr/ sbin. Werkzeuge mit grafischer Oberfläche, die auf den vorstehend genannten Möglichkeiten aufsetzen. Bequem, meist auch gut zu verstehen und mit einfachen Tests auf sinnvolle Einstellungen versehen. Bei Problemen steht man allerdings im Wald, auch werden häufig nicht alle Möglichkeiten oder Optionen angeboten. Deshalb muss ein Verwalter auch Weg Nr. 1 beherrschen.
386
•
•
9 Konfigurieren
Menüpunkte oder Schaltflächen mit der Bezeichnung Einstellungen (E: preferences, F: préférences) in der Anwendung selbst, manchmal ziemlich tief in der Menühierarchie verbuddelt. Beim Web-Browser Epiphany beispielsweise unter Bearbeiten -> Einstellungen, zum Teil unter Ansicht, dazu noch unter System -> Einstellungen -> Netzwerk-Proxy im Panel. Viele Einstellungen sind über einen zentralen Konfigurationseditor oder ein Kontrollzentrum zu erreichen, die auch nicht alles wissen.
Sind bereits vorhandene Konfigurationsdateien mittels Texteditor zu ändern, doppelt man die betroffene Zeile, kommentiert die Originalzeile aus und editiert die kopierte Zeile. So weiß man stets, wie der originale Vorschlag aussah. Änderungen fügt man einen Kommentar hinzu, wer was wann warum geändert hat. Bei Upgrades überschreibt apt-get geänderte Konfigurationsdateien nicht ohne Rückfrage. Falls im lokalen Netz ein DHCP-Server (DHCP = Dynamic Host Configuration Protocol, dynamische Zuweisung von IP-Adresse etc. durch den Server an Rechner im Netz) läuft, wird bei der Einrichtung dessen Benutzung vorgeschlagen. Ehe man sich auf Diskussionen einlässt, sollte man den Vorschlag annehmen und eine etwaige Umstellung auf statische Adressen später von Hand durchführen, falls überhaupt gewünscht. Ein leistungsfähiger DHCP-Server wie dnsmasq erleichtert dem Verwalter die Arbeit. Zur Umstellung ist in der Datei /etc/network/interfaces folgender, bei der Einrichtung automatisch erzeugter Eintrag (Beispiel): ... # The primary network interface iface eth0 inet dhcp so zu ändern: ... # The primary network interface iface eth0 inet static address 192.168.1.11 netmask 255.255.255.0 network 192.168.1.0 broadcast 192.168.1.255 gateway 192.168.1.254 Man löscht die alten Zeilen nicht, sondern kommentiert sie durch Voranstellen eines Doppelkreuzes aus. Die Manualseite zu interfaces erläutert die Zeilen, ebenso der Abschnitt 4.3 Interfaces, IP-Adressen und Namen auf Seite 242. Die Zahlenwerte ergeben sich aus der Planung des Netzes; die Einträge für network und broadcast sind eigentlich überflüssig, da sie aus den anderen Adressen und der Netzmaske folgen. Zur Sicherheit sollte man noch die Dateien /etc/resolv.conf, /etc/hosts und /etc/hostname überprüfen. Weitere Ethernetkarten werden mit eth1 usw. bezeichnet. Um sie eindeutig zu erwischen, steht nach der iface-Zeile eine Zeile wie:
9.1 Ändern der Grundkonfiguration
387
hwaddress ether 00:10:5a:cb:ee:e6 mit der MAC-Adresse der jeweiligen Karte. Für WLAN-Adapter sieht der Eintrag geringfügig anders aus: ... # Interface WLAN, eth2 iface eth2 inet static hwaddress ether 00:09:5b:96:ed:c2 address 192.168.1.17 netmask 255.255.255.255 network 192.168.1.0 pointtopoint 192.168.1.253 wireless-essid ALEX wireless-nick Wulfs alte Muehle wireless-key ?????????????????? Die pointtopoint-Adresse gehört dem Access-Point im WLAN, mit dem der WLAN-Adapter verkehrt. Der Extended Service Set Identifier (ESSID) ist der Name des Funknetzes. Er wird im Access Point konfiguriert und bei allen Teilnehmern (Clients) seines Funknetzes eingetragen. Er hat nichts mit Verschlüsselung zu tun und sorgt bei mehreren WLANS an einem Ort für Ordnung. Ähnlichen Zwecken dient der Nickname des Teilnehmers. Der Schlüssel (key) hingegen dient der Verschlüsselung der Datenpakete, wird im Access Point erzeugt und ist geheim zu halten, daher die Fragezeichen. Die Bezeichnung der Karte (eth2) variiert je nach Typ und Treiber, beispielsweise kommt auch ath0 vor. Die Werkzeuge aus dem Debian-Paket wireless-tools sind hilfreich, ebenso die Website http://www.hpl.hp.com/ personal/Jean_Tourrilhes/ von J EAN T OURRILHES. 9.1.2 Tastaturen Tastaturen unterscheiden sich nicht nur in der Art ihres Anschlusses an den Rechner (DIN, PS/2, USB, drahtlos), sondern auch in der Anzahl ihrer Tasten und deren Belegung. Dazu kommen Feinheiten des Protokolls zwischen Rechner und Tastatur, die dem Benutzer verborgen bleiben. Einzelheiten erfährt der geneigte Leser in The Linux keyboard and console HOWTO (2002) von A NDRIES B ROUWER bei TLDP. Die Tastatur weiß nichts von der Beschriftung ihrer Tasten. Sie schickt Scancodes zum Rechner, und zwar einen Make-Code beim Drücken und einen Break-Code beim Loslassen einer Taste. Hardware (keyboard controller) und Software (keyboard driver) im Rechner übersetzen die Scancodes in Keycodes, die mit Hilfe einer Tabelle (keymap, keyboard translation table) in Zeichen, Zeichenketten oder Befehle übersetzt und schließlich an die Anwendungen übergeben werden. X11 nimmt die Übersetzung der Keycodes in eigene Hände und führt daher eigene Tabellen. Die Kommandos getkeycodes und setkeycodes betreffen den KonsolenTastaturtreiber im Kern und seine Umsetzung der Scancodes in Keycodes. Man braucht sie nur bei exotischen Tastaturen, mit denen der Treiber nicht klar kommt. Arbeitet ein Benutzer ohne X11 auf einer Textkonsole, so lädt der Aufruf:
388
9 Konfigurieren
debian:~# loadkeys de-latin1 eine deutsche Keymap, passend zu einer deutschen Tastatur (qwertz) mit Umlauten usw. Umgekehrt lädt der Aufruf: debian:~# loadkeys us eine angloamerikanische Keymap, passend zu einer US-Tastatur (qwerty), und der Aufruf: debian:~# loadkeys --default die bei der Einrichtung des Systems festgelegte Keymap. Die Keymaps samt ihren Bezeichnungen liegen im Verzeichnis /usr/share/keymaps/i386/, gruppiert nach dem Hauptmerkmal (qwertz, qwerty, azerty . . . ). Da das Kommando die Keymap des Tastaturtreibers im Kern auswechselt, betrifft eine Änderung alle Textkonsolen eines Systems gleichermaßen, nicht jedoch X11-Sitzungen. Eine Änderung überdauert aus demselben Grund die Sitzung an einer Textkonsole, sodass ein Benutzer unter Umständen beim Einloggen von einer ungewohnten Tastenbelegung überrascht wird. Das auf einer Konsole einzugebende Kommando: joe@debian:~$ dumpkeys | less zeigt die aktive Keymap der Textkonsolen an. Es ist möglich, eigene Keymaps zu schreiben. Am ehesten wird man zu diesem Zweck eine vorhandene Keymap kopieren und die Kopie editieren. X11 geht eigene Wege. Das Intkeyb-HOWTO (2002) von J URAJ S IPOS, ausführlich How to setup international keyboard in X Window with Xmodmap and XKB, hilft bei der Orientierung. Ein Benutzer wechselt innerhalb seiner X11-Sitzung die Tastaturkonfiguration des X-Servers mittels (einzeilig): joe@debian:~$ setxkbmap -rules xfree86 -model pc102 -layout "us,de,dvorak" -option "grp:alt_shift_toggle" Bei Erfolg schaltet die Tastenkombination +<shift> zwischen den nach layout aufgeführten Tastenbelegungen hin und her. Deren Bezeichnungen sind in /usr/X11R6/lib/X11/xkb/symbols zu finden. Es geht auch kürzer, siehe Manual: joe@debian:~$ setxkbmap us,de,fr basic grp:alt_shift_toggle oder wenn es nur um eine bestimmte Tastenbelegung geht: joe@debian:~$ setxkbmap de Die gewählte Tastenbelegung gilt für alle Fenster des X-Servers des Benutzers, nicht jedoch für die Sitzungen anderer Benutzer oder für Textkonsolen. Mit Abschluss der Sitzung wird der X-Server beendet; damit gelten für die nächste Sitzung wieder die Vorgaben. Ähnliche Aufgaben wie setxkbmap erfüllen die Werkzeuge xkbsel und xkeysw. Mit letzterem lässt sich jedem Fenster eines X-Servers eine eigene Belegung zuordnen. Um sich die augenblickliche Keymap anzusehen, ruft man:
9.1 Ändern der Grundkonfiguration
389
joe@debian:~$ xmodmap -pk | less auf. Die Ausgabe zeigt die Zuordnung der Keycodes (Nummern von 8 bis 255) und maximal vier Zeichen (keysymbol), beispielsweise: keycode 60 = period greater Der Keycode 60 wird vom X-Server dem Punkt zugeordnet, in Verbindung mit der Shift-Taste dem Größer-Zeichen (Pfeilspitze nach rechts). Die beiden hier nicht ausgenutzten Modifier sind die AltGr-Taste (Mode_Switch) und diese Taste in Verbindung mit der Shift-Taste. Das Kommando xmodmap dient auch zum Ändern bestehender Keymaps, siehe Manual. Kleinere Anpassungen sind einfach, ebenso für die Maustasten (links und rechts vertauschen). Um die Nummer einer Taste herauszufinden, benutzt man das Kommando xev, das X-Ereignisse (X-events) anzeigt, wozu auch das Drücken und Loslassen einer Taste gehört. Beenden mittels +. Die zugehörigen Dateien finden sich im Verzeichnis /etc/X11/xkb/. Die Tastaturbelegung ist unabhängig vom Locale, siehe Abschnitt 9.5 Locale auf Seite 418. Ein Benutzer kann daher mit einer US-Tastatur und deutschem Locale arbeiten, wie es der Zweitautor meist tut. Die Darstellung von Zeichen auf dem Bildschirm oder auf Papier ist nochmals eine andere Baustelle; die Keymaps verbinden nur Tasten oder Tastenkombinationen mit abstrakten Symbolen. 9.1.3 Platteneinstellungen (hdparm, smartctl) Das Werkzeug hdparm ermöglicht, einige Parameter von Festplatten oder CD/DVD-Laufwerken mit ATAPI- bzw. IDE-Schnittstelle auszulesen und zu verändern. Für Laufwerke mit anderen Schnittstellen ist es eingschränkt verwendbar. Wenn es der Verwalter in folgender Form aufruft: debian:~# hdparm -I /dev/hda erfährt er viel über die Festplatte /dev/hda. Interessant ist die Option -M zum Setzen des Wertes für das Automatic Acoustic Management (AAM). Das Manual bezeichnet die Option als experimentell, sodass man mit Vorsicht daran gehen sollte. Mit der Option lässt sich die Geschwindigkeit und damit das Klappern der Kopfbewegungen einer Festplatte vermindern. Die Zugriffsgeschwindigkeit sinkt natürlich auch, aber im Betrieb am Arbeitsplatz nicht spürbar. Ohnehin sind die Zugriffszeiten der Platte die schlechteste Ausrede für die verspätete Abgabe eines Manuskriptes. Bei hoch belasteten Web- oder Datenbank-Servern sieht die Sache anders aus, aber die stehen im Bunker und dürfen klappern. Es gibt einen einfachen Weg, ganze Platten mit einem Passwort zu sichern. Der ATA Security Feature Set sieht bei modernen IDE- und SATA-Platten vor, per Firmware die Benutzung der Platte von einem Passwort abhängig zu machen. Der Aufruf: debian:~# hdparm -I /dev/hda
390
9 Konfigurieren
zeigt auch, ob das Laufwerk /dev/hda diese Fähigkeit besitzt und wie sie eingestellt ist. Da nichts verschlüsselt wird, verlängern sich die Zugriffszeiten nicht. Mit demselben Werkzeug setzt man das Passwort; im Manual wird die Option jedoch als gefährlich bezeichnet. Im Vergleich zu einer starken Verschlüsselung ist dieser Weg weniger sicher, da mit besonderen Verfahren, wie sie bei der Datenrettung eingesetzt werden, die Daten auch ohne Passwort gelesen werden können. Zudem ist nicht auszuschließen, dass auch einmal ein Schadprogramm das Passwort setzt und der rechtmäßige Besitzer der Daten ein Problem bekommt. Der ursprünglich für Platten von Laptops entwickelte Feature Set ist ein Damoklesei und keine gute Lösung zur Sicherung der Daten. Weitere Werkzeuge zur Plattenpflege enthalten die Debian-Pakete webminsmart-status und smartmontools. Viele neuere IDE- und SCSI-Platten verfügen über ein Self-Monitoring, Analysis and Reporting Technology System (S.M.A.R.T.), mit dessen Hilfe sie ihren eigenen Gesundheitszustand überwachen und bei Verschlechterung Alarm schlagen. Auf diese Weise lässt sich oft ein drohender Zusammenbruch erkennen. Der Aufruf: debian:~# smartctl -i /dev/hda liefert einige Informationen zur Platte /dev/hda. Das Werkzeug kommt auch mit SCSI-Laufwerken zurecht und versucht sogar bei USB-Stöpseln sein Möglichstes. 9.1.4 Einhängen ferner Verzeichnisse (NFS, Samba) Hier beschreiben wir rezeptartig, wie Dateisysteme anderer Rechner im lokalen Netz auf einem Arbeitsplatzrechner eingebunden werden. Eingehender werden verteilte Dateisysteme in Abschnitt 13.9 Verteilte Dateisysteme auf Seite 590 erläutert. Auf der Servermaschine, die ein Dateisystem im Netz zur Verfügung stellt, muss ein NFS-Server laufen. Ferner sind in der Datei /etc/exports die Verzeichnisse zu bennennen, die ins Netz an NFS-Clients exportiert werden dürfen, siehe die Manualseite zu exports. Die Einträge bestehen aus Zeilen folgender Art: # /etc/exports: the access control list for filesystems # which may be exported to NFS clients. See exports(5). /home/joe
192.168.1.141/255.255.255.255 (rw,sync,insecure,anonuid=1002,anongid=1111) /home 192.168.1.0/255.255.255.0 (rw,sync,insecure,no_root_squash) /var 192.168.1.0/255.255.255.0(rw,sync) /usr/local/share/fai 192.168.1.0/24(async,ro) /usr/lib/fai/nfsroot 192.168.1.0/24 (async,ro,no_root_squash) Die erste Zeile nach dem Kommentar – in der Datei nicht umgebrochen – bedeutet, dass das Verzeichnis /home/joe auf dem Server an die Maschine 192.168.1.141, Netzmaske 255.255.255.255 exportiert werden darf, und zwar mit den Optionen
9.1 Ändern der Grundkonfiguration
391
rw (read and write), sync (synchron, ungepuffert, was die Verbindung zwar verlangsamt, im Fall von Unterbrechungen jedoch sicherer ist), insecure (Verbindungen dürfen auch über nicht reservierte Ports mit Nummern > 1023 laufen), anonuid=1002, anonguid=1111 (anonyme Verbindungen, die üblicherweisen dem Benutzer nobody zugeordnet werden, werden dem Benutzer 1002/1111 zugeordnet). Der Eintrag erlaubt einem bestimmten Laptop das Einhängen eines Home-Verzeichnisses. Die nächste Zeile erlaubt den Export des Verzeichnisses /home in das ganze lokale Netz. Die Option no_root_squash bewirkt, dass der Benutzer root nicht auf nobody abgebildet wird, sondern seine Rechte behält, unter Umständen ein Sicherheitsrisiko. In den letzten beiden Zeilen führt die Option ro dazu, dass die Verzeichnisse nur zum Lesen (readonly) eingehängt werden können, und wegen async gepuffert. Ob und wo die Clients die zum Export freigegebenen Verzeichnisse einhängen, ist deren Sache. Der Export der Homes stellt auf den Arbeitsplätzen außer den lokalen Homes für jeden Benutzer ein zentrales HomeVerzeichnis bereit, was für schnelle Backups oder beim Arbeiten auf verschiedenen Rechnern genutzt wird. Der Export des zentralen /var-Zweiges macht die MailDateien in /var/mail und den Webspace in /var/www LAN-weit zugänglich. Die beiden letzten Zeilen stellen Verzeichnisse für die Fully Automatic Installation bereit, siehe Abschnitt 8.4 auf Seite 382. Nach Änderungen der Datei /etc/exports ist das Kommando exportfs aufzurufen, damit sie wirksam werden (alternativ: Restart des NFS-Servers): debian:~# exportfs -a Das Kommando exportfs ermöglicht jederzeit vorübergehend und unabhängig von fstab, Verzeichnisse oder Dateien zum Export freizugeben. Ohne Optionen und Argumente zeigt das Kommando die gegenwärtige Exportliste an. Will man wissen, welche Clients welche Verzeichnisse von einem Server importiert haben, hilft: joe@debian:~$ /sbin/showmount server auf einem beliebigen Client oder dem Server selbst. Das Experiment lieferte jedoch eine Liste mit einigen sehr alten Verbindungen. Der NFS-Server scheint nicht zuverlässig mitzubekommen, wenn sich ein Client verabschiedet. Eine Verkettung von NFS-Verbindungen ist nicht zulässig. Dass sowohl ein Verzeichnis (/home) wie auch ein Unterverzeichnis (/home/joe) daraus exportiert werden dürfen, ist eine Möglichkeit, die nicht jeder NFS-Server beherrscht. Der Verwalter muss darauf achten, dass nicht kreuz und quer exportiert und eingehängt wird. Den Bootvorgang der Arbeitsplatzrechner hat es leichter, wenn alle über das Netz bereit gestellten Dateisysteme vorher klar sind. Andernfalls laufen bei den Clients Timeouts ab, bis sie aufgeben. Auf den Clients sind das Paket nfs-common sowie Einhängepunkte (leere Verzeichnisse) einzurichten. Dann ist die Datei /etc/fstab zu ergänzen. Die beiden Dateien /etc/inittab und /etc/fstab sind für den Bootvorgang wesentlich. Macht man hier Unsinn, kann man sich aussperren, sodass nur noch Booten von einem anderen Medium – beispielsweise von einer Knoppix-CD/DVD – weiter hilft. Die Dateien sind nicht schwierig zu verstehen, aber man sollte bei Änderungen
392
9 Konfigurieren
schrittweise vorgehen und ahnen, was man tut. Über NFS einzuhängende Verzeichnisse erfordern Zeilen folgender Art in fstab: server1:/home /home1 nfs defaults 0 0 server2:/home /home2 nfs rw,noauto 0 0 server3:/home /home3 nfs rw,user,noauto 0 0 zweckmäßig im Anschluss an die lokalen Verzeichnisse. Die erste Zeile bewirkt das automatische Einhängen des Verzeichnisses /home auf dem Server server1 in das lokale Verzeichnis /home1 als NFS-Verzeichnis mit Default-Optionen, siehe Manual zu mount. Die erste Null hat keine Bedeutung, muss jedoch sein. Die zweite Null führt bei lokalen File System Checks zum Übergehen des Dateisystems. In der zweiten Zeile wird das Dateisystem nicht automatisch, sondern nur auf besonderen Wunsch eingehängt. Die Maschine server2 ist ein Reservist und meist ausgeschaltet. Da würde der Versuch, das Verzeichnis automatisch einzubinden, den Startvorgang verzögern. In der dritten Zeile erlaubt die Option user das Einhängen durch gewöhnliche Benutzer. SMB-Dateisysteme (Samba) gehen einen anderen Weg. Auf der Servermaschine muss ein Samba-Server (Dämonen smbd und nmbd, Paket samba) laufen, auf den Clients müssen die Pakete samba-common und smbclient eingerichtet sein. Das Kommando: joe@debian:~$ smbclient -L servername sollte – nachdem wir als Passwort gedrückt haben – eine vernünftige Ausgabe erzeugen, sofern der Server funktioniert. Das Werkzeug testparm prüft die Konfigurationsdatei /etc/samba/smb.conf auf Korrektheit und gibt eine Übersicht der Einstellungen aus. Der Datei fstab auf den Linux-Clients ist eine Zeile wie: //server1/homes samba1 smbfs rw,noauto,user=joe,password=??????
0
0
0
0
oder besser: //server1/homes samba1 smbfs rw,noauto,credentials=/home/joe/.samba
hinzuzufügen. Das erste Glied der Zeile ist kein Verzeichnis – das hieße /home – sondern ein Share im Sprachgebrauch von MS Windows, eine Freigabe, eine gemeinschaftlich genutzte Ressource, die in der Konfigurationsdatei /etc/samba/smb. conf auf dem Server definiert ist. Credentials sind Daten, mittels derer sich ein Benutzer ausweist, im einfachsten Fall Benutzername und Passwort. Der Verweis auf eine Datei erspart uns das Eintragen eines Passwortes in Klartext in eine öffentlich lesbare Konfigratuinsdatei. Die Datei /home/joe/.samba enthält zwei Zeilen: user=joe password=??????
9.1 Ändern der Grundkonfiguration
393
und hat die Zugriffsrechte 600, Besitzer joe. Damit der Benutzer von Feinheiten verschont bleibt – siehe das Manual zu mount und smbmount – ruft das Kommando mount beim Einhängen eines Dateisystems vom Typ smbfs die entsprechenden Skripte und Werkzeuge auf. 9.1.5 Anlegen von Logical Volumes Hat man beim Einrichten des Grundsystems für das Verzeichnis /home nur einen Einhängepunkt vorgesehen und genügend Massenspeicher frei gehalten, kann dieser für Logical Volumes genutzt werden, deren Vor- und Nachteile wir in Abschnitt 6.5.6 Logical Volumes auf Seite 331 kennen gelernt haben. Diese Erweiterung des Partitionskonzeptes ist nicht auf /home begrenzt, aber hier am einfachsten und sinnvollsten einzusetzen. 9.1.6 CD/DVD-Brenner Zur Steuerung eines CD/DVD-Brenners werden SCSI-Befehle verwendet. Wenn Sie einen Brenner mit SCSI-Schnittstelle haben, treten weiter keine Probleme auf. Solche Brenner gibt es kaum noch; handelsübliche Geräte kommen mit einer ATAPISchnittstelle. Wir brauchen einen Treiber, der für den Brenner aus ATAPI SCSI macht. Kerne ab Version 2.6 erledigen das allein. Als Erstes ermitteln wir die Gerätebezeichnung des ATAPI-Laufwerks. Ist es als Master (Jumper im Laufwerk) mit der zweiten IDE-Steckleiste auf dem Mainboard verbunden, lautet seine Bezeichnung /dev/hdc. Wenn wir uns mittels dmesg die Startmeldungen ansehen, sollte außer der Festplatte (vermutlich /dev/hda) auch /dev/hdc auftauchen. Dann ist die Konfiguration des Bootloaders (LILO, GRUB) zu ergänzen. Für LILO ist in der Datei /etc/lilo.conf im allgemeinen oder in einem kernspezifischen Teil die Zeile: append=" hdc=ide-scsi" hinzuzufügen, die dem Kern die rechtsstehende Zeichenkette als Bootparameter übergibt, siehe man bootparam. Anschließend ist wie bei jeder Änderung an LILO das Programm /sbin/lilo aufzurufen. Für GRUB editieren wir die Datei /boot/grub/menu.lst und sorgen für eine Zeile folgender Art: kernel
/boot/vmlinuz-2.4.27 root=/dev/hda1 ro hdc=ide-scsi
in der Beschreibung des normalen Bootvorgangs. Rechtsaußen steht unsere Ergänzung, der linke Teil sollte bereits vorhanden sein. Schließlich sorgen wir dafür, dass die Treiber eingebunden werden und rufen in einer Kommandozeile modconf auf, arbeiten uns zur Abteilung kernel/drivers/scsi vor und wählen die Treiber ide-scsi und sg aus. Falls wir weitere (echte) SCSI-Geräte im Rechner eingebaut haben, werden noch einige SCSI-Treiber geladen, die wir nicht antasten. Zur Kontrolle sehen wir uns
394
9 Konfigurieren
die Datei /etc/modules an, in der wir den Treiber ide-scsi wiederfinden. Die Gerätedateien im Verzeichnis /dev sind üblicherweise auf Vorrat angelegt, andernfalls müssten wir uns mit dem Kommando /sbin/MAKEDEV abgeben. Wenn wir nun den Rechner starten (rebooten), sollte der Brenner als emuliertes SCSI-Gerät auftauchen, vermutlich mit scsi 0, channel 0, id 0, lun 0. Ein etwaiger echter SCSI-Adapter wird dann zu scsi 1. Von jetzt an ist unser ATAPI-Brenner nur noch als SCSI-Gerät anzusprechen, beispielsweise als /dev/sr0 oder /dev/scd0. Mit anderen ATAPI-CD/DVD-Laufwerken könnte man ebenso verfahren; es besteht jedoch keine Notwendigkeit dafür. Die Zugriffsrechte für /dev/scd0 lauten vermutlich 660 für root:cdrom. Damit dürfen Mitglieder der Gruppe cdrom lesen und schreiben, ok. Wir stellen ferner fest, dass /dev/cdrom ein Symlink auf /dev/scd0 ist und ergänzen die Datei /etc/fstab um folgende Zeile: /dev/scd0
/media/cdrom
iso9660
rw,user,noauto
0
0
damit das Einhängen des Brenners vorbereitet ist. Hat man mehrere CD/DVDLaufwerke im Rechner, sind diese zu nummerieren, also /media/cdrom0 usw. Nach Einrichten des Paketes cdrecord (in unkritischen Umgebungen setuid-root auswählen) untersuchen wir den SCSI-Bus unseres Rechners: debian:~# cdrecord -scanbus und viola, unser Brenner ist unter die SCSI-Geräte eingereiht. Es gibt auch ein Kommando lsscsi, das aber erst mit Kernen ab 2.6 zusammenarbeitet. USB-Stöpsel werden ebenfalls als SCSI-Geräte angesprochen und verlangen Zeilen wie: /dev/sdb1
/media/stick
msdos
rw,user,noauto
0
0
in /etc/fstab, wobei die Gerätebezeichnung von der Reihenfolge beim Stöpseln abhängt und mit Hilfe von Einträgen in /var/log/syslog oder /var/log/ messages gleich nach dem Einstöpseln herauszubekommen ist. Wir können noch die Datei /etc/default/cdrecord editieren, um uns Nachdenken beim Brennen zu ersparen. Verzichten wir auf grafischen Schnickschnack, besteht der Brennvorgang aus zwei Kommandozeilen: • •
Erzeugen der Abbilddatei (image) mittels mkisofs, ein Kommando mit vielen Möglichkeiten und Optionen, Brennen der Abbilddatei auf den Rohling mittels cdrecord.
Mit der Option -dummy tut cdrecord nur so als ob, recht praktisch, um vor dem Brennen eine Generalprobe abzuhalten. Das Paket cdrtools-doc enthält viele Hinweise zum Brennen. Ferner gibt es bei TLDP ein CDROM-HOWTO (2001) von J EFF T RANTER, ein CD-Writing-HOWTO (2000) von W INFRIED T RÜMPER, ein MP3-Burning-miniHOWTO (2004) und ein DVD-HOWTO (2000). 9.1.7 Arbeiten mit Alternativen Es gibt eine Reihe von Programmen, die eine ähnliche Funktionalität zur Verfügung stellen und im Allgemeinen sogar mit demselben Namen aufgerufen werden. Ein
9.1 Ändern der Grundkonfiguration
395
Beispiel hierfür ist der Editor vi. Eine Anzahl von Paketen (darunter nvi, elvis oder vim) stellen vi-ähnliche Programme zur Verfügung. Alle in diesen Paketen enthaltenen Editoren bieten die gleiche Grundfunktionalität, aber unterschiedliche Erweiterungen und Zusätze. Der Linux/UNIX-gewohnte Benutzer eines Debian-Systems erwartet, dass er in der Kommandozeile das Kommando vi eingeben kann und daraufhin ein Programm mit vi-Funktionalität gestartet wird. Hieraus ergibt sich ein Problem: Es kann nur eine Datei (ein Programm) mit diesem Namen geben, dass dann ausgeführt wird, wenn das Kommando ohne Pfadangabe eingegeben wird. Das Problem könnte durch Paket-Konflikte gelöst werden. Dann dürfte nur eines der vi-ähnlichen Programme eingerichtet sein. Das wiederum würde bedeuten, dass verschiedene Benutzer des Systems nicht gleichzeitig ihren Lieblingseditor benutzen könnten. Das Problem wird deswegen unter Debian mit Alternativen gelöst. Pakete, die Alternativen zur Verfügung stellen, legen Dateien nicht unter dem Namen ab, mit dem später auf sie zugegriffen wird, sondern unter einem anderen, der nicht von einem weiteren Paket beansprucht wird. So wird der vi-ähnliche Editor nvi aus dem Paket nvi unter dem Namen /usr/bin/nvi eingerichtet, und das Paket elvis richtet seine Variante des Editors unter dem Namen /usr/sbin/elvisnox ein. Damit eine der Alternativen unter dem Namen vi benutzt werden kann, wird ein symbolischer Link mit dem Namen /usr/bin/vi angelegt, der auf einen weiteren symbolischen Link im Verzeichnis /etc/alternatives mit dem gleichen Namen zeigt. Der Link /etc/alternatives/vi zeigt dann auf das Programm, das letztlich aufgerufen wird, wenn das Kommando vi eingegeben wird. Als Vorgabe wird dabei ein durch Prioritäten gesteuertes System benutzt, das festgelegt, welches Programm dies ist. Als Systemverwalter können Sie die Links in /etc/alternatives an Ihre Wünsche anpassen und die voreingestellten Prioritäten überschreiben. Das System gewährleistet auf diese Weise, dass ein automatisch oder vom Verwalter ausgewählter Editor unter dem Namen vi aufgerufen wird und trotzdem weitere ähnliche Programme eingerichtet sein dürfen, die unter ihren unmittelbaren Namen aufgerufen werden. In der Regel gehören eine Reihe von Alternativen zusammen. So macht es wenig Sinn, wenn durch Eingabe des Kommandos vi der Editor nvi aufgerufen wird, aber nach Eingabe des Kommandos man vi die Manualseite zu dem Editor vim angezeigt wird. Das Alternativen-System kennt deswegen Master-Alternativen und dazugehörige Slaves, die zusammen mit den Master-Alternativen zu ändern sind. Zur Verwaltung von Alternativen dient das Skript update-alternatives. Um die für ein Programm oder eine Datei vorhandenen Alternativen anzuzeigen, ist es mit dem Parameter --display sowie dem Namen des betreffenden Programms oder der betreffenden Datei aufzurufen. Um die Alternativen für den Editor vi anzuzeigen, ist das Programm so aufzurufen: joe@debian:~$ /usr/sbin/update-alternatives --display vi Die Ausgabe sieht dann – je nachdem, welche Alternativen eingerichtet sind – folgendermaßen aus: vi - status is auto.
396
9 Konfigurieren
link currently points to /usr/bin/vim /usr/bin/nvi - priority 30 slave vi.1.gz: /usr/share/man/man1/nvi.1.gz /usr/bin/vim - priority 120 slave vi.1.gz: /usr/share/man/man1/vim.1.gz Current ‘best’ version is /usr/bin/vim. Der Ausgabe entnehmen wir, welche Alternative zur Zeit eingestellt ist und welche weiteren Alternativen mit welcher Priorität zur Verfügung stehen. Außerdem werden für jede Alternative etwaige Slave-Alternativen angezeigt. Wenn Sie wissen möchten, welche Alternativen auf Ihrem System vorhanden sind, sehen Sie sich das Verzeichnis /etc/alternatives an. Alternativen werden verändert, indem die entsprechenden symbolischen Links im Verzeichnis /etc/alternatives neu gesetzt werden. Um das System so zu konfigurieren, dass nach Eingabe des Kommandos vi das Programm nvi aufgerufen wird, ist folgender Aufruf zu verwenden: debian:~# ln -sf /usr/bin/nvi /etc/alternatives/vi Zusätzlich ist auch die Slave-Alternative anzupassen: debian:~# ln -sf /usr/share/man/man1/nvi.1.gz /etc/alternatives/nvi.1.gz Die damit angelegten Links werden bei der Aktualisierung oder Neueinrichtung von Paketen, die Alternativen für das Programm vi beinhalten, in Zukunft nicht mehr geändert. Statt die Links von Hand zu ändern, kann das Programm update-alternatives mit der Option --config aufgerufen werden. Es zeigt ein Menü der verfügbaren Alternativen an, aus dem die gewünschte durch Eingabe einer Zahl ausgewählt wird. Beispiel: debian:~# update-alternatives --config vi Wenn Sie wieder die Voreinstellungen verwenden wollen, rufen Sie das Werkzeug folgendermaßen auf: debian:~# update-alternatives --auto vi Mehr Informationen zu update-alternatives finden Sie im Manual. Sofern Sie die Programmiersprache Perl verinnerlicht haben, steht einem Lesen des Skriptes /usr/sbin/update-alternatives nichts im Wege.
9.2 Power Management 9.2.1 APM und ACPI Rechner samt Peripherie tragen infolge ihrer Anzahl und Einschaltdauer zum Energiebedarf eines Familien-, Firmen- oder Universitätshaushalts spürbar bei. Setzen wir einen Rechner bescheiden mit 100 W an, so verbrät er bei Dauerbetrieb im Jahr
9.2 Power Management
397
875 kWh. Zum Vergleich: ein moderner Kühlschrank wird mit rund 200 kWh pro Jahr angesetzt. Bei einem Preis von 0,16 EUR je Kilowattstunde kosten 875 kWh 140 EUR. Im Winter trägt die verbratene elektrische Energie zur Erwärmung der Räume bei, ist also nicht ganz verloren, im Sommer stört die High-Tech-Heizung. Da die aufgenommene elektrische Energie zum größten Teil in Wärme umgewandelt wird, lassen sich in einem Rechner leicht die Energiefresser entdecken: alles was einen Kühlkörper oder Ventilator trägt. Das sind Prozessor, Grafikkarte, eventuell Chips auf der Hauptplatine und Festplatten. Dagegen benötigen Arbeitsspeicher, die meisten Einsteckkarten, die Ventilatoren selbst und nur gelegentlich drehende Laufwerke wenig Energie. Das Netzteil wird durch seine Spitzenleistung gekennzeichnet, die nicht zu knapp bemessen sein soll, zieht aber im Normalbetrieb weniger. Hier wären der Wirkungsgrad bei mäßiger Last und die minimale Aufnahme interessant. Röhrenbildschirme saugen auch kräftig an der Schukodose, verschwinden aber in den nächsten Jahren von den Schreibtischen. Bei mobilen Rechnern spielen nicht die Energiekosten die entscheidende Rolle, sondern die Laufzeiten mit einer Akkuladung, die bei einigen Stunden liegen. Aus diesem Grund werden Laptops und Notebooks auf geringen Stromverbrauch hin optimiert, was teilweise zum Einsatz besonderer Bauelemente führt, die unter Linux Treiberprobleme verursachen. Bei Debian finden sich mehrere Pakete zum Überwachen der Batterien tragbarer Geräte, während Werkzeuge zum Power Management starkstromgespeister Geräte erst schwach vertreten sind. Der sparsame Umgang mit Energie beginnt mit der Auswahl der Hardware, insbesondere der Geräte, die dauernd laufen: •
• •
•
• • • •
Röhrenbildschirme verbrauchen erheblich mehr elektrische Energie als Flachbildschirme. Wenn ein Bildschirm an einem Server jedoch nur wenige Stunden im Monat eingeschaltet ist, stellt er kein Sparpotenzial dar. Sowohl Bildschirm wie Grafikkarte sollten das Display Power Management Signaling (DPMS, Energy Star Features) unterstützen, das nach einiger Zeit ohne Aktivität den Bildschirm stufenweise herunterfährt. Grafikkarten hoher Leistung ziehen spürbar an der Stromversorgung. Ihre Leistung ist in Servern und auf vielen Arbeitsplätzen nicht erforderlich. Dasselbe gilt für schnelle Zentralprozessoren. Im Büroalltag werden Prozessoren mit mehreren Gigabyte Taktfrequenz nicht ausgereizt. Bei Multimedia-Aufgaben dagegen braucht man hohe Rechenleistung. Bildschirmschoner mit bewegter Grafik schonen nichts, sie verhindern nur das Einbrennen unbewegter Muster auf dem Schirm. Schlichtes Schwarz tut das ebenso und spart Energie. Eine moderne große Festplatte zieht weniger Strom als zwei kleinere. Ein zentraler Drucker zieht weniger Strom als mehrere dezentrale. In der Energiebilanz dürfen Netzkomponenten nicht übersehen werden. Moderne Hardware beherrscht Energie-Management nach den Industriestandards Advanced Power Management (APM) oder seit 1996 Advanced Configuration and Power Interface (ACPI) und ermöglicht das schrittweise Absenken des Energieverbrauchs in Arbeitspausen.
398
9 Konfigurieren
Will man APM/ACPI ausnutzen, müssen alle Bauteile eines Rechners den Standard unterstützen. APM setzt vorwiegend auf das BIOS, ACPI auf das Betriebssystem und ist flexibler, aber auch problematischer. Das Kommando acpi informiert über einige Seiten von ACPI, es richtet nichts ein. Ähnliches leistet das Kommando apm aus dem Paket apmd für APM. Beide Kommandos greifen auf eine jeweils gleichnamige Datei im Verzeichnis /proc zurück. Fehlt diese, ist die Möglichkeit zum Energiesparen nicht eingerichtet. Man soll nicht beide Mechanismen gleichzeitig auf einer Maschine verwenden, das heißt nicht apmd und acpid starten. Es kann auch zu Rangeleien zwischen dem Display Power Management Standard des X-Servers und APM/ACPI kommen. In diesem Fall lege man DPMS mittels: joe@debian:~$ xset -dpms still und überlasse das Power Management des Bildschirms dem ACPI. Unter ACPI (siehe http://acpi.info/ mit einer 600seitigen Dokumentation, speziell für Linux http://acpi.sourceforge.net/ und das ACPIHOWTO (2004) von E MMA JANE H OGBIN bei TLDP) sind die stromsparenden Zustände eines Rechners fein abgestuft, wobei nicht jeder Rechner alle Zustände beherrscht: •
•
•
•
G0 Global System State 0, aktiv, voll arbeitsfähig, entspricht APM S1. Innerhalb von G0 kann sich die CPU in mehreren Zuständen von schwer beschäftigt über Däumchen drehend bis tief schlummernd befinden. G1 Sleeping, schlafend, alles ruht, einsam wacht der Weckmechanismus, die Arbeit kann ohne erneutes Booten wieder aufgenommen werden: – S1 Sleeping State 1, Halbschlaf, der Systemzustand (Kontext) bleibt erhalten, schnelles Erwachen, lohnt sich kaum. – S2 Suspend to RAM/Memory, CPU und Systemcache verlieren ihre Inhalte, nur noch der Arbeitsspeicher wird versorgt, der Kontext ist in den Arbeitsspeicher ausgelagert, das System ist schnell wieder betriebsklar. – S3 wie S2, zusätzlich wird die Stromversorgung einiger Geräte abgeschaltet, die für den Weckmechanismus dann nicht mehr bereit stehen. – S4 Non Volatile Sleep, Hibernation, Suspend to Disk, Scheintod, Ruhezustand mit niedrigstem Stromverbrauch und längster Zeit zum Aufwachen, entspricht APM S4. Der Kontext wird auf einen nichtflüchtigen Speicher (Platte) geschrieben und steht nach einem abgekürzten Bootvorgang wieder zur Verfügung (bei S5 nicht, da beginnt alles von vorn). Für diesem Fall soll der Swapbereich ungefähr doppelt so groß sein wie der Arbeitsspeicher. G2/S5 Soft Off, per Software logisch ausgeschaltet, erfordert zum Weiterarbeiten erneutes Einschalten samt Booten, entspricht APM S5. Der Rechner verbraucht noch ein Minimum an elektrischer Energie. Bei vielen modernen elektronischen Geräten anzutreffen. An Geräten in diesem Zustand darf nicht herumgeschraubt werden, weil einige Leitungen noch Spannung führen. G3 Mechanical Off, mechanisch von der Stromversorgung getrennt (Stecker gezogen). Das einzige lebende Wesen im Rechner ist die von einer internen Batterie versorgte Hardware-Uhr (Real Time Clock, RTC).
9.2 Power Management
399
Es gibt weitere Unterscheidungen und Raffinessen, bei Bedarf in der Dokumentation nachzulesen. Auch die Übergänge zwischen den Zuständen sind hochinteressant. Hier ging es nur darum, einige Begriffe zu untermauern. Werkzeuge zum Einschläfern des Rechners sind in den Debian-Paketen acpi-support, gnome-power-manager und hibernate enthalten. Auf den Unterschied zwischen logisch und physikalisch ausschalten sind wir bereits in Abschnitt 2.3.2 Herunterfahren und Ausschalten auf Seite 36 eingegangen. Logisch ausgeschaltete Geräte (Soft Off) – seien es Rechner, Drucker oder Fernseher – nehmen immer noch einige Watt elektrischer Leistung auf, ebenso die verbreiteten Steckernetzteile. Nur mechanische Schalter, die klack machen, trennen Verbraucher hundertprozentig vom Stromnetz. Zweckmäßig schließt man alle zu einem Arbeitsplatz gehörenden Geräte an eine Steckdosenleiste mit einem solchen Schalter an. Vor dem Herumschrauben an einem Gerät sind sämtliche Stecker aller Art abzuziehen. 9.2.2 Bildschirmschoner Unter dem Menüpunkt Anwendungen -> Desktop-Einstellungen -> Komplex -> Bildschirmschoner kann jeder Benutzer einige Werte für den automatisch startenden Bildschirmschoner vorgeben, meist für den XScreenSaver. Zweckmäßig setzt man die Zeiten bis zum Beginn des Schwärzens und der Energieverwaltung herab. Anschließend ist der Dämon aus dem Menü neu zu starten, um die Einstellungen zu übernehmen. Der Bildschirmschoner kümmert sich nicht nur um den Bildschirm, sondern sperrt auch die Sitzung, nicht aber die virtuellen Konsolen. Diese bleiben weiterhin mittels der Tastenkombinationen ++ etc. errreichbar. Die Werkzeuge lockvc und vlock zum Sperren der virtuellen Konsolen können nicht mit Erfolg aus einem X11-Terminalemulator heraus aufgerufen werden, sondern nur von einer virtuellen Konsole aus. Das Paket xlockmore richtet das vielseitige Werkzeug xlock ein, das laut Manual mit der Option -vtlock auch die virtuellen Konsolen sperren sollte, es aber nicht tut. Der Aufruf: joe@debian:~$ xlock -help | less zeigt nichts in dieser Hinsicht an. Wir werden gleich in einem Beispiel sehen, wie man sich helfen kann. 9.2.3 Zentralprozessor (cpufreq) Der Zentralprozessor, die CPU, frisst in neueren Rechnern ordentlich Strom. Es gibt daher Bestrebungen, die CPU nicht immer mit maximaler Taktfrequenz und Kernspannung zu betreiben, sondern die Werte dem momentanen Bedarf anzupassen. Bei Intel ist die Technologie unter dem Namen Speedstep bekannt, bei AMD unter Cool’n’Quiet, PowerNow! oder Optimized Power Management, siehe Wikipedia. Falls Prozessor und BIOS mitspielen und das Betriebssystem APM/ACPI-fähig ist, lässt sich die Technologie nutzen. Hierzu stehen die Debian-Pakete cpufreqd (Heimathafen http://cpufreqd.sourceforge.net/) und cpufrequtils zur Verfüngung. Letzteres enthält das Werkzeug cpufreq-info, mittels dessen sich einige Angaben über die Taktfreqenz ermitteln lassen:
400
9 Konfigurieren
debian:~# cpufreq-info --hwlimits Kommt keine oder eine leere Antwort, ist mindestens eine der Voraussetzungen nicht erfüllt, die CPU lässt sich nicht drosseln. 9.2.4 Platten (hdparm, blktool) Das von APM oder ACPI unabhängige, uns bereits bekannte Werkzeug hdparm ermöglicht, verschiedene Parameter von Festplatten mit ATA/IDE-Schnittstelle einzustellen und auszulesen, eingeschränkt auch von SCSI-Platten. Eine Alternative ist das Kommando blktool. Zu den Parametern zählt der IDE Power Mode Status. Der Aufruf: debian:~# hdparm -C /dev/hda zeigt den Status des Laufwerks /dev/hda an und ist ein einfacher Test darauf, ob die Platte überhaupt einen Power Mode kennt. Die Antwort kann active/idle lauten, was bedeutet, dass die Platte voll betriebsbereit ist, aber augenblicklich nichts zu tun hat. Im Experiment kam allerdings immer diese Antwort. Mit der Option -S zeit wird eingestellt, nach welcher Zeitspanne sich die Platte zur Ruhe begeben soll; die Codierung der Zeitspanne lese man im Manual nach. Die Optionen -y und -Y versetzen die Platte sofort in den Standby- bzw. Sleeping-Modus. Zum Aufwachen, das bei Eintreffen einer Anforderung automatisch vor sich geht, benötigt die Platte einige Sekunden. Häufiges Ein- und Ausschalten bekommt Platten nicht gut. Mit der Option -I liefert hdparm ausführliche Informationen über die Platte. # Shellskript weg.sh zum Einschlaefern eines Rechners # # # #
Bildschirm schwaerzen, X11-Sitzung sperren Virtuelle Konsolen mittels xmodmap sperren Hier nur fuer VT 1 gezeigt Festplatte in Schlaf versetzen
/usr/bin/X11/xlock -mode blank -delay 2 \ -startCmd ’xmodmap -e "keycode 67 = "; \ /sbin/hdparm -Y /dev/hda’ \ -endCmd ’xmodmap -e "keycode 67 = F1 XF86 Switch VT 1"’ Quelle 9.1 : Shellskript weg.sh zum sofortigen Einschläfern von Bildschirm, Tastatur und Festplatte eines Rechners
Wir wollen uns nun für den Fall, dass APM/APCI nicht funktioniert, ein von Hand aufzurufendes Shellskript namens weg.sh schreiben, das: • • • •
den Bildschirm schwärzt, die Sitzung sperrt, die virtuellen Konsolen sperrt und die Festplatte in Tiefschlaf versetzt.
9.2 Power Management
401
Von der CPU lassen wir die Finger. Die ist weniger kritisch, da Linux über eine hlt-Anweisung (halt) verfügt, die in Ruhe die CPU minimal belastet und aufheizt. Quelle 9.1 zeigt das Ergebnis. Mit Hilfe des Kommentars und der Manualseiten zu den Bestandteilen sollte das Skript zu verstehen sein. Die virtuellen Konsolen sperren wir, indem wir die Funktionstasten umfunktionieren. Das Skript ist getestet, aber eine Gewähr für das Wiederaufwachen Ihres Rechners übernehmen wir nicht. 9.2.5 Wake on LAN Unter Wake on LAN (WOL) versteht man, einen Rechner in einen stromsparenden Dämmerzustand zu versetzen, aus dem er bei Eintreffen eines bestimmten Signals (magic packet) aus dem Netz wieder erwacht. Das ist praktisch, wenn man an zwei voneinander entfernten Arbeitsplätzen arbeitet und gelegentlich von dem einen auf den anderen zugreifen möchte, ohne dass dieser ständig zu laufen braucht. Voraussetzung ist eine WOL-fähige Ethernetkarte im Rechner. Ferner müssen Hauptplatine (BIOS) und Betriebssystem ACPI unterstützen und das Netzteil die Ethernetkarte auch im Dämmerzustand mit Strom versorgen. Wenn sowohl Hauptplatine wie Ethernetkarte eine dreipolige Steckverbindung für WOL aufweisen, stehen die Chancen gut. Bei integriertem Ethernetadapter entfällt die Steckerei, ebenso bei jüngeren PCI-Karten, die WOL über den PCI-Bus abwickeln. Bei schlafendem Rechner leuchtet immer noch die Link-LED der Netzkarte, ebenso ihr Gegenstück im Switch. Das Ganze funktioniert nicht in einem Wireless LAN, sondern ist kabelgebunden1 . Nimmt das WOL-Paket seinen Weg durch einen Router, sind ein paar zusätzliche Überlegungen und Einstellungen erforderlich. Die Grundlagen vermittelt das Wake on LAN mini HOWTO auf http://gsd.di.uminho.pt/jpo/software/ wakeonlan/, aktuell von 2005. Das Werkzeug ethtool zum Abfragen oder Ändern von Einstellungen der Netzkarte ist eine Hilfe, arbeitet aber nicht mit allen Ethernetkarten oder deren Treibern zusammen, siehe /usr/share/doc/ethtool/README.debian. Alternativ stehen Werkzeuge aus den nictools-Paketen zur Verfügung. Auf dem zu weckenden Rechner sind folgende Schritte zu unternehmen: •
Im BIOS ist gegebenenfalls die Unterstützung für WOL zu aktivieren (Power Management Setup). Überprüfen mittels: debian:~# ethtool eth0 Die Antwort sollte eine Zeile wie: Supports Wake-on: puag
•
enthalten. Die Buchstaben am Zeilenende kennzeichnen die Ereignisse, die den Rechner wecken könnten; ihre Bedeutung lese man im Manual zu ethtool nach. Falls der Rechner WOL unterstützt, dieses jedoch ausgeschaltet ist, aktiviert das Kommando: 1
Siehe jedoch http://www.linksysinfo.co.uk/thibor/.
402
9 Konfigurieren
debian:~# ethtool -s eth0 wol g
•
die Fähigkeit, auf das Eintreffen magischer Pakete hin aufzuwachen. Es bereitet die Ethernetkarte auf den Magic Packet Mode vor, in dem sie nur noch auf magische Pakete reagiert. Das Kommando sollte in ein init-Skript eingebaut werden, das beim Ausschalten des Rechners ausgeführt wird (kommt gleich). Wir brauchen zum Aufbau der magischen Pakete die MAC-Adresse (HardwareAdresse, IEEE-Adresse) der Ethernetkarte (eth0) des Rechners, mittels: joe@debian:~$ /sbin/ifconfig oder: joe@debian:~$ ip addr erfragen. Die Antwort nennt neben anderen Dingen die MAC-Adresse.
Debian verwendet den Runlevel 0 zum Herunterfahren des Systems. Darin soll das Kommando ethtool als init-Skript verpackt ausgeführt werden. Quelle 9.2 zeigt das Skript, das unter /etc/init.d/wol abzuspeichern ist, Besitzer und Zugriffsrechte wie seine Nachbarn. Dann legen wir im Verzeichnis /etc/rc0.d/ einen Symlink auf das Skript an: debian:/etc/rc0.d# ln -s ../init.d/wol S80wol sodass es unmittelbar vor dem halt-Skript ausgeführt wird. #!/bin/sh # init-Skript Wake On LAN (ethtool) set -e case "$1" in stop|start|restart|reload) echo -n "Wake On LAN vorbereiten" /usr/sbin/ethtool -s eth0 wol g echo;; *) exit 1;; esac exit 0 Quelle 9.2 : Shellskript wol zum Einstellen der Ethernetkarte auf Wake on LAN (Magic Packet Mode)
Der weckende Rechner schickt ein magisches Datenpaket als Rundspruch (Broadcast) in das lokale Netz. Die Ethernetkarte des schlafenden Rechners weiß nichts von IP-Adressen geschweige denn Namen, sondern kennt nur ihre MACAdresse. Die IP-Adresse erfährt ein Rechner erst beim Booten aus der Datei /etc/ network/interfaces oder von einem DHCP-Server, deshalb der Rundspruch. Zum Verschicken des Paketes dient das Kommando etherwake mit der jeweiligen MAC-Adresse als Argument:
9.2 Power Management
403
debian:~# etherwake 00:02:55:8c:a4:75 Auf Grund der im Paket enthaltenen MAC-Adresse fühlt sich eine Ethernetkarte angesprochen und rüttelt ihren Rechner wach. Das Kommando überprüft nicht, ob es erfolgreich war. Diesen Dienst leistet ping. Ein alternatives Kommando ist das Perl-Skript wakeonlan, das im Gegensatz zu etherwake auch von gewöhnlichen Benutzern aufgerufen werden kann. Nicht bei Debian, sondern bei http: //www.moldaner.de/ erhältlich ist das Java-Programm wakeonlan. Da man die MAC-Adressen selten auswendig weiß, verpackt man den Aufruf in ein kleines Shellskript, zusammen mit einer Pause (sleep 60) und einem ping. Will man einen Rechner im LAN vom Internet (WAN) aus aufwecken, so muss das Wecken zunächst einmal innerhalb des LANs funktionieren. Dann erst beschäftigt man sich mit den Problemen, die der Übergang vom WAN ins LAN mit sich bringt. Liegt der zu weckende Rechner hinter einer Firewall, wie sie in die meisten DSL-Router integriert ist, muss diese das Magic Packet durchlassen. Genauer gesagt, schickt der weckende Rechner im WAN das Magic Packet als gewöhnliches, zielgerichtetes Unicast-Paket an den DSL-Router (letzter Router auf dem Weg), und dieser erzeugt daraus ein Broadcast-Paket im LAN. Dieser Weg wird als Subnet Directed Broadcast bezeichnet. Die Portnummer ist nicht vorgegeben. Leider erlauben oder beherrschen nicht alle Router ein Forwarding an eine Broadcast-Adresse (.255 oder die höchste Adresse im LAN bei Subnetting). Das hängt mit der Anfälligkeit von Directed Broadcast gegen Angriffe zusammen, nachzulesen im RFC 2644. Die Hersteller der Router halten sich mit Angaben zurück. Es gibt ein paar Tricks, aber keine allgemeine Lösung des Problems. Läuft im lokalen Netz ein Server durch, kann man auf diesem per SSH ein Kommando wie etherwake aufrufen. Hierzu ist es erforderlich, den SSH-Port vom Router zum Server durchzustellen (Port Forwarding an den Server), was fast alle DSL-Router vorsehen. Das Loch in der Firewall sollte nicht größer als erforderlich gebohrt und sorgfältig beobachtet werden. Der Server ist mit Sicherheit Angriffen über den SSH-Port ausgesetzt, die der SSH-Dämon abzuwehren hat. Es gibt DSLRouter, die ein Linux-System verwenden. Hier stehen die Chancen gut, dass der Router die Aufgabe des Servers übernehmen kann, das heißt, von außen per SSH ansprechbar ist. Falls der Router per telnet konfigurierbar ist, kann man versuchen, mittels eines Aufrufs wie: debian:~# arp -s 192.168.1.250 ff:ff:ff:ff:ff:ff im Router eine weitere, permanente Broadcast-Adresse einzurichten. Die private IPAdresse 192.168.1.250 wäre für den Router eine unverdächtige Adresse, würde aber umgesetzt in die MAC-Broadcast-Adresse ff:ff:ff:ff:ff:ff. Man kann auch versuchen, mittels Subnetting mit einer Netzmaske wie 255.255.255.192, die 63 Knoten im Subnetz erlaubt, auf eine Broadcast-Adresse zu kommen, die nicht auf .255 endet, sondern im Beispiel auf .63. Eine unzuverlässige Lösung wäre, das Port Forwarding auf die private IPAdresse des zu weckenden Rechners zu richten, da dies nur so lange funktioniert,
404
9 Konfigurieren
wie Router und lokale Switche die Zuordnung von IP-Adresse und Ethernet-Ports in ihrem Cache halten. Die Lebensdauer der Einträge im Cache bewegt sich in der Größenordnung von Minuten. Außerdem dürfte der Rechner in schlafendem Zustand nicht umgestöpselt werden. Schließlich gibt es gelötete Lösungen mit Telefonen und Relais, aber die gehen über den Rahmen des Buches hinaus. Sie haben den Vorteil, dass sie den Rechner samt Peripherie mechanisch von der Stromversorgung trennen. Professioneller ist ein kleiner Steuerungsrechner mit einem Embedded Linux, den man von außen über Port Forwarding gezielt anspricht und zum Betätigen des Relais veranlasst. Für ein paar Euro mehr schaltet er auch noch die Kaffeemaschine ein. 9.2.6 Stromausfall Eine andere Frage ist das Verhalten bei Stromausfall. Ist der Rechner nicht an eine unterbrechungsfreie Stromversorgung (USV, UPS) angeschlossen, ist bei einem plötzlichen Stromausfall nicht viel zu retten. Festplatten können mit Hilfe der Rotationsenergie ihrer Scheiben noch den Kopfträger in die Parkposition fahren, das ist alles. Beim Wiedereinschalten ist ein File System Check fällig, da wahrscheinlich die Dateisysteme in einem leicht beschädigten, inkonsistenten Zustand verblieben sind. In einem komplexen lokalen Netz ist es unter Umständen nicht erwünscht, dass alle Server gleichzeitig automatisch wieder hochfahren, da die Reihenfolge des Einschaltens der Server und der Peripherie kritisch sein kann. Als erste sollten die Server hochkommen, die nicht von anderen Maschinen (DNS . . . ) abhängen. Häufig bricht die Stromversorgung kurz nach der Wiederkehr noch einige Male zusammen, was für die Hardware ungesund ist. In diesem Fall hilft ein selbsthaltender Schütz in der Stromversorgung, der von Hand oder automatisch einige Minuten nach Wiederkehr des Stroms einzuschalten ist. Eine unterbrechungsfreie Stromversorgung überbrückt je nach Belastung und Kapazität der Batterien einige Minuten Stromausfall. Das reicht oft schon (Gewitter), natürlich nicht, wenn ein Bagger fündig geworden ist. In diesem Fall können die meisten USVs ein Signal zum Herunterfahren an die serielle Schnittstelle der Rechner schicken. Die Debian-Pakete nut samt Begleitern, Heimathafen http://www.networkupstools.org/, und upsd, Heimathafen http: //www.tortuga.com.au/products/upsd/, aus der Abteilung Administration Utilities enthalten Software, die eine UPS überwacht und kurz vor dem Ende der Batterien (low battery) die Rechner – auch ein ganzes Netz – herunterfährt. Anderswo erledigt ein powerd diese Aufgabe. In /etc/intittab ist festgelegt, dass beim Ausbleiben und Wiederkehren des Stromes (power) die Startdatei /etc/init.d/powerfail mit entsprechendem Argument aufzurufen ist. Bei üblichen Installationen existiert die Datei nicht – weil sie ohne zusätzliche Maßnahmen nichts bringt – und ist bei Bedarf von Hand zu erstellen. Im einfachsten Fall wird bei powerfail das Kommando /sbin/shutdown -h now ausgeführt, eventuell mit weiteren Optionen. Die Batterien einer UPS bedürfen der üblichen Pflege und haben eine Lebensdauer von wenigen Jahren, wie Starterbatterien. Zum Überbrücken längerer Ausfälle
9.3 Maus, Trackball ohne X11 (gpm)
405
braucht man einen Generator (Notstromdiesel). Die UPS sorgt für Strom, bis der Diesel angelaufen ist, was etwa eine Minute dauert. Das UPS HOWTO (2004) von E RIC S TEVEN R AYMOND (ESR) und N ICK C HRISTENSON gibt Hinweise. In kritischen Anlagen ist das Energieversorgungskonzept weit umfangreicher als hier dargestellt, kostet aber auch richtig Geld. Und funktioniert trotzdem nicht immer, wie man in den Nachrichten hört.
9.3 Maus, Trackball ohne X11 (gpm) Das Programm gpm (General Purpose Mouse) ermöglicht, auch ohne grafische Oberfläche und X11, also an der Konsole, eine Maus oder einen Trackball (Rollkugel) zu benutzen und mit Funktionen wie Markieren und Einfügen von Text zu arbeiten. Darüber hinaus kann gpm so konfiguriert werden, dass es die Maus komplett verwaltet. Andere Programme, die ebenfalls auf die Maus zugreifen wie ein X-Server, verkehren dann mit dem gpm-Dämon und nicht direkt mit der Maus. Das Programm gpm stellt zu diesem Zweck eine Pipe zur Verfügung, die von anderen Programmen wie eine Gerätedatei benutzt wird. Diesen Betriebsmodus von gpm bezeichnet man als Repeater-Modus. Wer stets unter X11 arbeitet und auf die Konsole nur im Notfall zugreift, braucht das Paket nicht. Zur Konfiguration des Programms diente das Skript gpmconfig. Das Werkzeug ist ein Auslaufmodell. Als Ersatz wird empfohlen: debian:~# dpkg-reconfigure gpm Dabei soll X11 nicht laufen. Die Konfiguration lässt sich jederzeit wiederholen. Die erste Frage betrifft den Start von gpm; wir übernehmen den Vorschlag nein. Dann ist die Gerätedatei zu bennennen, oft /dev/psaux. Weitere Möglichkeiten siehe Tabelle 9.1. Tab. 9.1: Typische Gerätedateien für Mausanschlüsse. Maustyp oder Anschluss
Gerätedatei
Erste serielle Schnittstelle (Unter DOS: COM1) Zweite serielle Schnittstelle (Unter DOS: COM2) Logitech Bus Maus PS/2 Maus Microsoft Inport Bus Maus ATI XL Bus Maus J-Maus USB-Maus
/dev/ttyS0 /dev/ttyS1 /dev/logibm /dev/psaux /dev/inportbm /dev/atibm /dev/jbm /dev/input/mice
Nach Angabe der Schnittstelle werden Sie nach dem Typ Ihrer Maus gefragt. Hiermit ist das Protokoll gemeint, mit dem die Maus dem Rechner mitteilt, dass Be-
406
9 Konfigurieren
wegungen stattgefunden haben oder Tasten gedrückt wurden (Ereignisse). Die meisten heutigen Mäuse sind entweder Microsoft-Mäuse oder PS/2-Mäuse. Wenn Sie eine solche Standardmaus verwenden, übernehmen Sie den Vorschlag autops2 oder geben ms an. Darüber hinaus wird eine Anzahl weiterer Maustypen unterstützt. Hier eine stark gekürzte Fassung der bei der Konfiguration dargebotenen und mit den Pfeiltasten durchsuchbaren Liste: •
•
•
•
PS/2-Mäuse: – autops2 für die meisten PS/2-Mäuse; das genaue Protokoll wird automatisch erkannt; auch für USB- und ADB-Mäuse, – imps2 Microsoft IntelliMouse und kompatibel; PS/2-Mäuse mit 3 Tasten und einem Scrollrad, Serielle Mäuse: – msc das Mouse-Systems-Protokoll, für die meisten seriellen Mäuse mit 3 Tasten, – ms serielle Microsoft-Maus, 2 oder 3 Tasten, kein Scrollrad, Andere Maustypen: – bm einige Bus-Mäuse von Logitech oder Microsoft, – sun SPARC-Maus, Keine Maus: – js Maus-Emulation mit einem Joystick, – wp Genius-WizardPad-Tafel.
Nach der Angabe des Maustyps können Sie die Antwortgeschwindigkeit (Sensibilität, responsiveness) der Maus festlegen. Dies ist normalerweise nicht notwendig. Falls sich der Mauszeiger jedoch zu schnell oder zu langsam bewegt, sollten Sie diesen Parameter verändern. Der Wert 0 entspricht dabei fast keiner Mauszeigerbewegung, während der Wert 50 den Mauszeiger in der Regel sich so schnell bewegen lässt, dass es schwierig wird, die Maus zu positionieren. Günstige Werte liegen zwischen 5 und 15. Danach wird angegeben, ob gpm im Repeater-Modus betrieben werden soll. Dies ist in der Regel zu empfehlen. Auf die Frage nach dem Wiederholungsprotokoll ist der Name des Mausprotokolls anzugeben, das anderen Anwendungen über die Repeater-Funktion zur Verfügung gestellt werden soll. Dies ist nicht notwendig dasselbe Protokoll wie zwischen Maus und gpm. Erfahrungsgemäß eignet sich das MouseSystems-Protokoll gut für diese Funktion. Geben Sie deswegen den Wert msc ein, um den Repeater-Modus für die Verwendung dieses Protokolls zu konfigurieren. Auch ms3 kann funktionieren. Die Antwort none schaltet das Wiederholen aus. Als letztes erhalten Sie die Möglichkeit, zusätzliche Parameter zur Konfiguration von gpm anzugeben, beispielsweise die Abtastrate. Normalerweise können Sie hier die voreingestellten Werte übernehmen, indem Sie einfach drücken. Eine Übersicht aller von gpm verstandenen Parameter finden Sie im Manual. Geht alles gut, können Sie nun an der Konsole mit der linken Taste Text markieren und diesen mit der mittleren Maustaste an der aktuellen Eingabeposition einfügen. Mit der rechten Maustaste wird der Bereich zwischen zwei Punkten markiert: Klicken Sie dazu auf den Anfang des zu markierenden Bereichs und dann auf das
9.4 X-Server
407
Ende. Falls Ihre Maus nur zwei Tasten hat, wird je nach verwendetem Protokoll die dritte Maustaste durch gleichzeitiges Betätigen beider Maustasten emuliert, oder die Funktionalität der dritten Maustaste entfällt, und die rechte Taste übernimmt die Aufgabe der mittleren Maustaste. Bei Problemen mit gpm empfiehlt sich das Lesen der Datei /usr/share/doc/gpm/faq.
9.4 X-Server 9.4.1 Wege zur Konfiguration Wenn Ihr Rechner nach Einrichten des Grundsystems mit X11 läuft, lassen sich vielleicht die Einstellungen verbessern. Wenn er nicht im grafischen Modus laufen will, müssen Sie sich mit den Einstellungen von X11 auseinander setzen. Konzepte und Begriffe von X11 haben wir in Abschnitt 3 X Window System auf Seite 183 kennengelernt, die Konfiguration des Grundsystems in Abschnitt 8.3.6 X-Server auf Seite 380. Nun gehen wir in einige Einzelheiten. X11 wird wie in Linux/UNIX üblich durch Textdateien vorzugsweise im Verzeichnis /etc/X11 und dessen Unterverzeichnissen konfiguriert. Dazu kommen benutzereigene Einstellungen in Punktdateien oder -verzeichnissen in den jeweiligen Home-Verzeichnissen. Kennt man den Aufbau der Dateien, reicht ein Texteditor zum Konfigurieren. Das Werkzeug xorgcfg bringt eine grafische Oberfläche mit, ist jedoch Ende 2006 erst im Debian-Paket xbase-clients aus unstable enthalten. Mit der Option -textmode startet es in einem auf der Bibliothek ncurses beruhenden Textmodus, kann also verwendet werden, bevor X11 läuft. Unter sarge stammt der vorgegebene X-Server noch aus dem XFree86-Projekt (http://www.xfree86.org/), unter etch von der X.Org Foundation (http: //x.org/). Da sich der X.Org-Server aus einem Pre-Release des XFree86-Servers entwickelt hat, bestehen Ähnlichkeiten; insbesondere sind die Konfigurationsdateien gleich aufgebaut. Wir widmen uns dem X.Org-Server. Der X-Server greift direkt auf die Grafikkarte zu, weshalb er einen passenden Kartentreiber braucht, der entweder mit X11 mitkommt oder vom Kartenhersteller geliefert wird. In letzterem Fall nutzt der Treiber die Fähigkeiten der Karte meist besser aus, ist aber so gut wie nie Open Source. Der X-Server kann alternativ über das Framebuffer-Device im Kern gehen. Welcher Weg besser funktioniert, ist auszuprobieren. Zuerst sollte man den direkten Weg versuchen. 9.4.2 X.Org-Server Die Dateien /etc/X11/XF86Config-4 und xorg.conf sind die systemweiten Konfigurationsdateien für die beiden X-Server. Sie sind in verschiedene Abschnitte aufgeteilt, die mit dem Schlüsselwort Section sowie einer Bezeichnung wie "Files" beginnen und mit dem Schlüsselwort EndSection ohne weitere Bezeichnung enden. Innerhalb eines Abschnittes wird jeweils ein Teil des Servers wie die Tastatur oder die Grafikkarte konfiguriert. Die Dateien dürfen leere Zeilen
408
9 Konfigurieren
und Kommentare enthalten. Kommentarzeilen sind mit einem Doppelkreuz einzuleiten. Eine Übersicht über alle Direktiven und Optionen finden Sie in der Manualseite zu XF86Config-4 bzw. xorg.conf in Abschnitt 5x des Manuals. Die Arbeit mit der Datei ist etwas schwieriger – aber logisch und überschaubar – als die Arbeit mit anderen Konfigurationsdateien, weil sich in ihr mehrere Konfigurationen für unterschiedliche Grafikkarten und Bildschirme befinden können. Abschnitte zur Definition eines Bildschirms tragen den Namen Monitor und solche zur Definition einer Grafikkarte die Bezeichnung Device. Beides zusammen ergibt einen Screen. Weil sich die unterschiedlichen Definitionen für Grafikkarten mit den unterschiedlichen Bildschirmdefinitionen vielfältig kombinieren lassen, kann es mehrere Screen-Abschnitte geben. Gleiches gilt auch für andere Abschnitte bis hin zu ServerLayout, wobei der X-Server als Vorgabe den ersten Abschnitt dieses Namens herauspickt. Als Option -layout layout-id in der Kommandozeile, durch eine Umgebungsvariable oder auf weiteren Wegen lassen sich andere Layouts auswählen. Die Reihenfolge der Abschnitte spielt nur insofern eine Rolle, als beim Fehlen einer Anweisung der erste geeeignete Abschnitt herangezogen wird. Man kann also mit dem in der Hierarchie am höchsten stehenden Abschnitt ServerLayout beginnen oder schließen. Im Abschnitt mit dem Namen Files wird definiert, wo vom X-Server benötigte Dateien zu finden sind. Dazu gehören Verzeichnisse mit Fontdateien (FontPath), Farbdateien (RGBPath) und Modulen (ModulePath). Bei fehlenden Angaben werden in den X-Server eingebaute Vorgaben verwendet. Mit FontPath ist auch anzugeben, ob ein Fontserver benutzt werden soll. Gekürzt sieht der Abschnitt wie folgt aus: Section "Files" FontPath "tcp/server:7100 # remote font server FontPath "unix/:7100" # local font server # if the local font server has problems, # we can fall back on these FontPath "/usr/share/fonts/X11/misc" FontPath "/usr/share/fonts/X11/100dpi/:unscaled" FontPath "/usr/X11R6/lib/X11/fonts/100dpi/:unscaled" FontPath "/usr/share/fonts/X11/Type1" FontPath "/usr/X11R6/lib/X11/fonts/Type1" # path to defoma fonts FontPath "/var/lib/defoma/x-ttcidfont-conf.d/dirs/ TrueType" EndSection Die Zeilen bedeuten: •
•
Suche Fonts zuerst bei einem Fontserver im lokalen Netz, der das TCP-Protokoll verwendet, server heißt und auf Port 7100 lauscht. Die Zeile entfällt, wenn kein Fontserver im Netz vorhanden ist. Suche Fonts dann auf einem lokalen Fontserver, der über ein UNIX-Socket auf Port 7100 angesprochen wird. Kann auch entfallen.
9.4 X-Server
•
409
Falls kein Fontserver verfügbar ist, suche Fontdateien in den nachfolgend mit absolutem Pfad aufgelisteten Verzeichnissen.
Die Liste kann man nach eigenem Wissen editieren; sie ist unproblematisch. Insbesondere darf man Zeilen löschen, die beim Einrichten des Grundsystems hineingeraten sind, aber keinen auf der Maschine vorhandenen Pfad bezeichnen. Dazu schaue man sich die Logdatei /var/log/Xorg.0.log an. Hinzufügen wird man unter Umständen Pfade zu besonderen Fonts wie Kyrillisch oder Griechisch, sofern das nicht automatisch beim Einrichten der Fonts erfolgt ist. Der nächste Abschnitt betrifft Module, die der X-Server zur Erweiterung seiner Fähigkeiten lädt: Section "Module" Load "i2c" Load "bitmap" Load "ddc" Load "extmod" Load "freetype" Load "glx" Load "int10" Load "type1" Load "vbe" EndSection Die Module dienen folgenden Zwecken: • • • • • • • • •
i2c Treiber für den I2C-Bus (IIC-Bus), über den bestimmte Hardware wie Videotext-Decoder oder TV-Tuner angesprochen werden. bitmap Modul zur Verwendung von Bitmap-Fonts. ddc Modul für den VESA Display Data Channel, über den der Bildschirm mit der Grafikkarte oder dem Rechner redet. extmod Modul für gebräuchliche Server Extensions, dringend empfohlen. freetype Modul zur Verwendung von Freetype-Fonts. glx Modul für die OpenGL Extensions to the X Window System, siehe http: //www.opengl.org/. int10 wird von Treibern benötigt, die mehrere Karten gleichzeitig steuern, type1 Treiber zur Verwendung von Type1-Fonts. vbe Modul für die VESA BIOS Extensions.
Meist wird man die Liste nachträglich erweitern, beispielsweise um das Modul v4l, wenn man Unterstützung für Video4Linux braucht, siehe man v4l. Die Namen sind Modulnamen, keine Dateinamen. Sie ergeben sich aus den Dateinamen durch Weglassen des Präfixes lib und der Dateikennung. Die Module findet man in /usr/lib/modules oder /usr/lib/xorg/modules oder deren Unterverzeichnissen; locate ist unser Freund. Eine Liste aller Module ohne Beschreibungen findet sich auf http://wiki.x.org/wiki/ModuleComponentList. Wir kommen zu den Abschnitten für Eingabegeräte, betitelt InputDevice:
410
9 Konfigurieren
Section "InputDevice" Identifier "Generic Keyboard" Driver "kbd" Option "CoreKeyboard" Option "XkbRules" "xorg" Option "XkbModel" "pc104" Option "XkbLayout" "us" EndSection Offensichtlich geht es hier um die Tastatur. Einzelheiten mittels man kbd und man keyboard. Der Name (Identifier) ist beliebig, muss eindeutig sein und wird später gebraucht, um sich auf diesen Abschnitt zu beziehen. Wollen Sie mehrere Tastaturen konfigurieren, wiederholen Sie den Abschnitt mit einem anderen Namen und anderen Werten. Sie dürfen unbedenklich mehrere solcher Abschnitte vorsehen. Ihre Wirkung entfalten sie erst im Abschnitt ServerLayout. Ein Arbeitsplatz mit X11 verfügt praktisch immer über ein zweites Eingabegerät in Form einer Maus oder Rollkugel: Section "InputDevice" Identifier "Configured Mouse" Driver "mouse" Option "CorePointer" Option "Device" Option "Protocol" Option "Emulate3Buttons" Option "Buttons" Option "ZAxisMapping" EndSection
"/dev/psaux" "ImPS/2" "false" "5" "4 5"
Einzelheiten mittels man 4x mouse. Hier ist eine Maus oder eine Rollkugel mit drei Tasten plus Rad konfiguriert; das Rad zählt als zwei Tasten. Da drei echte Tasten vorhanden sind, erübrigt sich die Emulation der dritten Taste. Die Z-Achse betrifft das Rad, dessen Bewegungen als Betätigen der Tasten 4 und 5 für die beiden Drehrichtungen aufgefasst wird. Es ist wieder erlaubt, mehrere solcher Abschnitte vorzusehen. Man kann sogar mehrere Zeigegeräte mit unterschiedlichen Gerätedateien gleichzeitig benutzen. Nun ist die Grafikkarte an der Reihe. Der Abschnitt ist mit Device überschrieben: Section "Device" Identifier "NVIDIA Corporation NV43 [GeForce 6200]" Driver "nv" # Driver "nvidia" BusID "PCI:1:0:0" EndSection Der Name (Identifier) ist beliebig und muss nur konsequent beibehalten werden. Bei mehreren Grafikkarten braucht jede ihren Abschnitt. Sie müssen sich im Na-
9.4 X-Server
411
men und im BusID unterscheiden, der mittels lspci herauszubekommen ist. Trotz seiner Kürze ist das der Abschnitt, der am ehesten Probleme mit sich bringt. Näheres zum Treiber mittels man nv. Hier könnte man ebenso den Linux-Treiber von Nvidia (http://www.nvidia.com/) verwenden, der reichlich dokumentiert ist. Den Nvidia-Treiber gibt es auch als Debian-Paket aus den Abteilungen contrib und non-free. Keinesfalls darf man beide Installationen (Original-Nvidia, DebianNvidia) durcheinander verwenden; einige Links zeigen in verschiedene Richtungen. Will man von Debian auf Nvidia oder umgekehrt wechseln, sind alle diesbezüglichen Dateien und Links vorher gründlich zu entfernen. Will man mit dem Original-Nvidia-Treiber arbeiten, so lädt man von der Website der Firma das zum eigenen Rechner passende, selbstentpackende Archiv herunter und ruft es als Root im Runlevel 1 (ohne X11) als Argument einer Shell auf: debian:~# sh NVIDIA-Linux-x86-1.0-9755-pkg1.run Die Versionsnumnmer 9755 stellt sicher, dass alle Dateien zueinander passen. In curses-Fenstern werden einige Fragen gestellt und Hinweise gegeben. Nvidia splittet seine Treiber in einen binären, nicht-quelloffenen, kartenspezifischen Teil und einen quelloffenen, kernspezifischen Teil auf, den man auf der eigenen Maschine kompilieren kann oder muss. Dazu sind lokal Kernel-Header und -Quellen erforderlich, die man gegebenenfalls als Debian-Paket mittels apt-get nachlädt. Nach Einrichten des Treibers testen wir mit: debian:~# nvidia-installer --sanity ob alles stimmt. Mit dem Werkzeug nvidia-xconfig wird die vorhandene Konfigurationsdatei /etc/X11/xorg.conf an den Nvidia-Treiber angepasst und zuvor die alte Fassung gesichert. Ein Benutzer stellt mit dem Werkzeug nvidia-settings einige Parameter seines Bildschirms ein, die in der Datei $HOME/.nvidia-settings-rc abgelegt werden. Die drei Werkzeuge bringen ausführliche Manualseiten mit. Es folgt der Bildschirm oder Monitor: Section "Monitor" Identifier "Monitor" Option "DPMS" HorizSync 28-64 # ohne " ", da Zahlenwert VertRefresh 43-60 # dito EndSection Der Abschnitt ist ebenfalls kurz. Der Name (Identifier) ist beliebig und konsequent beizubehalten. Falls Sie mehrere Bildschirme haben, bietet sich eine Nummerierung an. Ein Treiber fehlt, da der Monitor von der Grafikkarte angesteuert wird, nicht vom Kern. Die Option DPMS bedeutet VESA Display Power Management Signaling, ein Protokoll zwischen Grafikkarte und Bildschirm (Monitor), um den Bildschirm nach einer gewissen Zeit der Untätigkeit in einen Energiesparmodus zu versetzen. Die Horizontalablenkungsfrequenz wird in kHz angegeben; üblich sind Werte von 25 bis 120 kHz. Die Vertikalablenkungsfrequenz ist die Bildwiederholrate, angegeben
412
9 Konfigurieren
in Hz; üblich sind Werte von 50 bis 160 Hz. Die Werte entnehmen Sie der Dokumentation zu Ihrem Bildschirm. Früher war es einmal gefährlich, zu hohe Werte anzugeben, da der Bildschirm überlastet werden konnte und dann abrauchte. Heute schützen sich die Schirme selbst. Bisher haben wir Abschnitte für Grundbausteine gesehen. Nun geht es ans Zusammenbauen. Die folgenden Abschnitte greifen auf Namen (Identifier) vorhergehender Abschnitte zurück. Als erstes kommt der Bildschirm oder Screen: Section "Screen" Identifier Device
"Screen" "NVIDIA Corporation NV43 [GeForce 6200]" Monitor "Monitor" DefaultDepth 16 # ohne " ", da Zahlenwert SubSection "Display" Depth 1 Modes "1280x1024" "1024x768" "800x600" EndSubSection SubSection "Display" Depth 4 Modes "1280x1024" "1024x768" "800x600" EndSubSection ............. SubSection "Display" Depth 24 Modes "1280x1024" "1024x768" "800x600" EndSubSection EndSection
Der Abschnitt beginnt wieder mit einem frei wählbaren, aber beizubehaltenden Namen. Dann wird Bezug genommen auf die vorhergegangenen Abschnitte Device und Monitor. Hier muss man sich an die Namen halten, die man dort vergeben hat. Die nächste Zeile legt die Vorgabe für die Farbtiefe fest, hier 16, weil der Wert für viele Anwendungen ausreicht. Die Unterabschnitte mit dem Namen Display sind gleich aufgebaut und legen für die Farbtiefen 1, 4, 8, 15, 16 und 24 Bits die Bildschirmauflösungen fest. Falls man nichts anderes wählt, startet der X-Server mit der vorgegebenen Farbtiefe (16) und der an erster Stelle genannten Auflösung (1280x1024). Verwendet man niemals andere Werte, könnte man die unbenutzten Zeilen löschen, aber man gewinnt außer ein paar lumpigen Bytes nichts damit. Wir nähern uns dem Ende und stellen das Layout des Servers zusammen: Section "ServerLayout" Identifier "Default Layout" Screen "Screen" InputDevice "Generic Keyboard" InputDevice "Configured Mouse" EndSection
9.4 X-Server
413
Hier wird außer dem frei wählbaren Namen nichts mehr definiert, sondern nur noch zusammengeschraubt. Wir haben einen Screen, bestehend aus Monitor und Grafikkarte, eine Tastatur und eine Maus. Das sind die Geräte, mit denen der Benutzer arbeitet und die vom X-Server gesteuert werden. Wird dem X-Server beim Aufruf keine Layout-Option mitgegeben, wählt er das erste Layout, das deshalb sinnvollerweise als Default Layout oder ähnlich bezeichnet werden sollte. Es folgt unter Umständen ein Nachwort in Form des Abschnittes DRI, der die Direct Rendering Infrastructure (Hardwarebeschleunigung) konfiguriert: Section "DRI" Mode 0666 EndSection Einzelheiten zu DRI siehe http://dri.freedesktop.org/wiki/. Das waren die praktisch immer vorhandenen Abschnitte. Es können weitere Abschnitte vorkommen: • • •
ServerFlags VideoAdaptor Vendor
Die Reihenfolge der Abschnitte ist beliebig; obige Folge beginnt bei den Bausteinen und endet mit dem Server. Das Werkzeug nvidia-xconfig zeigt mit der Option --tree aufgerufen den Sektionsbaum an, das Server Layout zuoberst. Gestartet wird ein X-Server entweder beim Systemstart von einem DisplayManager wie xdm oder von einer Textkonsole aus durch Eingabe des Kommandos xinit bzw. eines darum herumgewickelten Shellskripts startx. Falls mehrere Server Layouts definiert sind, wählen folgende Kommandozeilen ein Layout aus: debian:~# startx -- -layout MyLayout debian:~# xinit -- -layout MyLayout debian:~# Xorg :0 -layout MyLayout Die beiden Striche trennen die an erster Stelle stehenden Clientoptionen von den Serveroptionen, siehe Manual. Falls der Identifier des Layouts aus mehreren Wörtern besteht, ist er in Gänsefüßchen einzurahmen, sonst versteht die Shell die Kommandozeile falsch. Die Display-Manager wählen einen X-Server auf Grund der Einträge in ihren Konfigurationsverzeichnissen oder -dateien aus, beispielsweise in /etc/X11/xdm/Xservers oder /etc/gdm/gdm.conf. Ruft Root den X-Server mit der Option -configure auf, versucht der Server, eine Datei /etc/X11/xorg.conf zu erzeugen. Wird er aufgerufen, ohne eine Konfigurationsdatei zu finden, versucht er dasselbe. In vielen Fällen ist die so erzeugte Datei ein guter Ausgangspunkt. Mit der Option -config gibt ein gewöhnlicher Benutzer eine bestimmte Konfigurationsdatei an. Man sehe sich auch die von ps -ef ausgegebene Zeile zum X-Server-Prozess an. Wollen Sie im laufenden Betrieb vorübergehend die Auflösung des Bildschirms wechseln, geht das einfach mit dem Werkzeug xrandr:
414
9 Konfigurieren
joe@debian:~$ xrandr -q zeigt eine durchnummerierte Liste der verfügbaren Auflösungen an, und: joe@debian:~$ xrandr -s 2 ändert die aktuelle Auflösung auf die Nr. 2 aus der Liste. Die Tastenkombination ++ schaltet im Kreis herum zur jeweils nächsten Auflösung in der Konfigurationsdatei. Bei Problemen schaue man sich die Datei /var/log/Xorg.0.log an und achte auf Zeilen mit Warnungen (WW) oder Fehlermeldungen (EE). Falls der Rechner nicht im Normalmodus mit grafischer Benutzeroberfläche etc. bootet, wähle man im Menü des Bootloaders (LILO, GRUB) den Recovery Mode/Single User Mode. Da die meisten Probleme die Grafikkarte und ihren Treiber betreffen, sollte man auf der Website des Herstellers der Grafikkarte und bei X.org nach Informationen suchen. Beispielsweise liefert Nvidia (http://www.nvidia.com/) nicht nur einen Linux-Treiber für Karten mit seinen Chips, sondern auch Dokumentation unter dem Punkt Support. X.Org-Dokumentation findet man auf http: //xorg.freedesktop.org/releases/X11R7.0/doc/html/. 9.4.3 Multihead, Multiseat Bei einer Multihead-Anordnung sind mehrere physikalische Bildschirme an eine Maschine angeschlossen und werden von einem X-Server gesteuert, gegebenenfalls von nur einer Grafikkarte mit mehreren Ausgängen. Tastatur und Maus sind nur einmal vorhanden. Die Bildschirme können: • • •
unabhängig voneinander arbeiten (DISPLAY:0.0, :0.1 usw.), ein Bild vervielfachen (clonen) oder gemeinsam einen Desktop darstellen, jeder Bildschirm einen Ausschnitt.
Der Rechner muss über eine entsprechende Anzahl von Ausgängen für Bildschirme verfügen, was die Anzahl der Bildschirme begrenzt. Deshalb wurde für Aufgaben, die eine Vielzahl von Bildschirmen verlangen (Großdisplays), das Distributed Multihead X Project (DMX) ins Leben gerufen, zu Hause auf http://dmx. sourceforge.net/, X-Server Xdmx. Für eine Dualhead-Anordnung gibt es viele Anwendungen, insbesondere grafische: ein Schirm für Text, einer für Grafik. Oder beim Korrekturlesen: ein Schirm für die LATEX-Quelle, einer für die pdf-Ausgabe. Eine Triplehead-Anordung ist bei Flugsimulatoren oder manchen Spielen reizvoll, um den Blick in die Landschaft realistischer zu gestalten. Dann stellen die Bildschirme jeweils ein Teilbild dar. Ein Multihead-Arbeitsplatz ist an einige Voraussetzungen gebunden. Schauen wir uns eine Anordnung zum Bearbeiten von Manuskripten in zwei Fenstern auf einem auf zwei Bildschirme verteilten Desktop an. Der X-Server verwendet für diesen Zweck eine Erweiterung namens Xinerama, in aktuellen Versionen von X11 enthalten. Alternativ wäre bei Nvidia-Grafikkarten auch die Einrichtung von Nvidia TwinView möglich, mit einigen Vorteilen, aber keine allgemeine Lösung. Wir brauchen:
9.4 X-Server
415
Abb. 9.1: Arbeitplatz mit einer Dualhead-Anordnung von Bildschirmen. Beide Flachbildschirme werden von einem X-Server und einer Grafikkarte gesteuert. Auf dem linken ist in einem Fenster die pdf-Ausgabe eines Manuskriptes zu sehen, auf dem rechten in einem zweiten Fenster desselben Desktops die LATEX-Quelle in einem Editor. Der Röhren-Bildschirm ganz links gehört zu anderen Rechnern.
• •
• •
zwei Bildschirme, nicht notwendigerweise gleichen Typs, entweder eine Grafikkarte mit zwei Ausgängen, beide digital oder analog oder digital/analog gemischt, oder zwei Grafikkarten, wobei zu beachten ist, dass sich auf den meisten Hauptplatinen nur ein AGP-Slot befindet, einen multiheadfähigen Treiber für die Grafikkarte(n), eine angepasste Konfiguration des X-Servers.
Das Beispiel wurde mit einer Grafikkarte mit einem Chip vom Typ Nvidia GeForce 6200 mit 256 MB durchexerziert, einer preiswerten, aber für den vorgesehenen Zweck ausreichenden Karte mit passiver Kühlung (ohne Gebläse). Mit dem oben erwähnten Nvidia-Treiber kommt eine Datei /usr/share/doc/nvidia-glx/ README.txt.gz mit, die man ausnahmsweise lesen sollte. Deren Anhang P Configuring Multiple X Screens on One Card erläutert, was wir zu tun haben. Die Manualseite zu xorg.conf sei griffbereit. Im Wesentlichen sind in der Konfigurationsdatei des X-Servers mehrfache Abschnitte Device, Monitor und Screen anzulegen und in einem ServerLayout zusammenzufassen. Das ist ungefährlich, solange wir das vorgebene Layout nicht antasten. Die verdoppelten Abschnitte stellen wir hinter die Originale.
416
9 Konfigurieren
Wir legen ein Backup der Konfigurationsdatei xorg.conf an und editieren das Original. Dazu doppeln wir den Abschnitt ServerLayout, geben dem Doppel einen eindeutigen Identifier – Multihead Layout bietet sich an – doppeln im Abschnitt die Screen-Zeile und fügen eine Option hinzu: Section "ServerLayout" Identifier "Mulithead Layout" Screen "Screen 0" 0 0 Screen "Screen 1" LeftOf "Screen 0" InputDevice "Generic Keyboard" "CoreKeyboard" InputDevice "Configured Mouse" Option "Xinerama" "on" EndSection Hierdurch werden zwei Screens eingebunden, die Eingabegeräte bleiben unverändert, die Option Xinerama wird aktiviert. Statt LeftOf kommen auch RightOf, Above oder Below in Betracht. Man könnte auch Punktkoordinaten angeben, dann wird der Vers jedoch von der Auflösung abhängig. Auf diese Weise lassen sich bis zu vier Schirme nebeneinander, übereinander oder im Quadrat unterbringen, aber keine T- oder L-förmigen Anordnungen.
Abb. 9.2: Mittels GIMP aufgenommener Screenshot eines auf zwei physikalische Flachbildschirme verteilten Xinerama-Desktops. Beide Schirme bilden zusammen einen doppelt breiten Desktop, auf dem Fenster beliebig – auch über die Grenze hinweg – verschoben werden können. Die Bildschirmgrenze ist an der oberen und unteren Leiste des rechten Bildschirms zu erkennen. Abbildung 9.1 zeigt die reale Anordnung auf dem Schreibtisch.
Dann legen wir jeweils zwei Kopien der Abschnitte Monitor, Device und Screen an und geben ihnen eindeutige Identifier in Übereinstimmung mit den Einträgen im Server Layout. Bei den Device-Abschnitten bezieht sich die Screen-Zeile einmal auf Nummer 0, das andere Mal auf Nummer 1. Haben wir zwei Grafikkarten, werden sie durch ihre PCI-BusId unterschieden. Die beiden Screen-Abschnitte unterscheiden sich durch ihre Identifier und die Monitorzeilen. Für Xinerama müs-
9.4 X-Server
417
sen Farbtiefe und Auflösungen übereinstimmen. Fehler unterlaufen leicht bei den Identifiern. Zur Kontrolle können wir: joe@debian:~$ sort /etc/X11/xorg.conf | sort | uniq | less aufrufen. Falls in der Ausgabe sowohl Screen 0 als auch Screen0 auftaucht, haben wir nicht aufgepasst. Das wars. Jetzt starten wir den X-Server neu. Es sollte sich nichts ändern, da nach wie vor das Default Server Layout an erster Stelle steht und wir daran nicht geschraubt haben. Falls der X-Server nicht hochkommt, booten wir im Single User Modus und reparieren die Konfigurationsdatei von der Kommandozeile aus. Der Aufruf: joe@debian:~$ xdpyinfo | less sowie die Protokolldatei /var/log/Xorg.0.log verdienen in nächster Zeit unsere verstärkte Zuwendung. Nun vertauschen wir die Reihenfolge der beiden Server Layouts, sodass die Multihead-Konfiguration an erster Stelle steht, und starten den X-Server erneut. Läuft alles glatt, finden wir in der Protokolldatei ein Zeile: EE NVIDIA(1): Unable to find available display devices for screen 1 da wir den zweiten Bildschirm noch nicht angeschlossen haben. Bei der Gelegenheit kontrollieren wir, ob die Nummerierung der Bildschirme etc. mit der Nummerierung der Anschlüsse der Grafikkarte übereinstimmt. Auf besagter Karte trägt der DVIAnschluss die Nummer 1 und der VGA-Anschluss die Nummer 0. Die Anordnung kann trotz vertauschter Nummern funktionieren, weil moderne Bildschirme ihre Fähigkeiten dem X-Server mitteilen (Display Data Channel, DDC).
Abb. 9.3: Mittels GIMP aufgenommener Screenshot eines auf zwei physikalische Flachbildschirme verteilten Xinerama-Desktops. Im linken Fenster die Wiedergabe einer Seite des Buchmanuskripts mit dem Adobe Reader, im rechten Fenster die Wiedergabe einer Bilddatei mit GIMP. Maximieren eines Fensters beschränkt sich auf einen Schirm.
418
9 Konfigurieren
Wir fahren den Rechner herunter, schalten ihn aus und stöpseln den zweiten Bildschirm dazu. Einschalten, booten lassen und hoffentlich von zwei leuchtenden Bildschirmen überrascht werden. Der uns mittlerweile geläufige Aufruf: joe@debian:~$ xdpyinfo | less vermeldet einen Schirm doppelter Breite (dimensions), auf dem wir Fenster beliebig hin- und herschieben können, siehe Abbildung 9.2. Auch der Mauscursor freut sich über die Verdoppelung seiner Spielwiese. Der Fenster-Manager durchschaut die Zusammenhänge und vergrößert beim Anklicken des Maximieren-Knopfes eines Fensters dieses nur auf die Größe eines physikalischen Bildschirms, siehe Abbildung 9.3. Als Benutzer gewöhnt man sich schnell an die neuen Möglichkeiten. Eine zweite Rollkugel wäre einfach einzurichten – ein drittes Input Device – Rollkugeln für die linke Hand sind jedoch schwierig zu beschaffen. Die Werkzeuge zum Aufnehmen von Screenshots haben zum Teil ihre Schwierigkeiten mit Xinerama. Der GIMP hingegen hält sich stur an die Vorgaben des XServers und nimmt den Bildschirm auf, auch wenn er doppelt breit ist und sich über zwei Flachbildschirme erstreckt, siehe Abbildung 9.3. Nun wünscht man sich nur noch, dass rechts der Quelltext synchron mit der pdf-Ausgabe links mitscrollt. So etwas gibt es unter der Bezeichnung Integrated Programming Environment für Programmieraufgaben, aber nicht für LATEX. Will man an eine Maschine mehrere Arbeitsplätze (Terminals = Bildschirm + Tastatur + Maus) anschließen – wie es früher im Zeitalter serieller ASCIITerminals üblich war – braucht man eine Multiseat-Anordnung. Das kann in Klassenräumen sinnvoll sein, wo sich zwei bis vier Lernkräfte einen Rechner teilen, aber jede ihr eigenes grafisches Terminal hat. Gesteuert werden die Arbeitsplätze von einem X-Server auf dem gemeinsamen Rechner. Auf http://www.ub. uni-stuttgart.de/lg/124/smith.html ist nachzulesen, wie ein Rechner mit sechs grafischen Arbeitsplätzen eingerichtet wird.
9.5 Locale UNIX entstand in den USA, wie die meiste Hard- und Software. Die menschliche Sprache, die Rechner zuerst verwenden, ist daher Englisch. Die Fähigkeit, englische Texte wenigstens lesen zu können, ist für Verwalter und fortgeschrittene Benutzer unerlässlich. Im Lauf der Jahre sind Hard- und Software leistungsfähiger geworden und bedienen zunehmend auch andere Sprachkreise samt ihren Gebräuchen. Freie Software hat hier zwar den Nachteil, dass hinter ihr keine strikte Firmenpolitik steht wie beispielsweise bei International Business Machines (IBM), aber den Vorteil, dass ihre Entwickler rund um den Globus verteilt sind und so auch Sprachen zu Wort kommen, die wirtschaftlich weniger interessant sind. Das Debian-Projekt unterstützt zur Zeit – in unterschiedlichem Ausmaß – rund zwei Dutzend Sprachen. Die Aufgabe ist nicht einfach. Die niedrigste Hürde stellen Sprachen dar, die wie Englisch das lateinische Alphabet verwenden, gegebenenfalls um ein paar Häkchen und Pünktchen erweitert wie Deutsch oder Französisch. Die nächste Hürde sind
9.5 Locale
419
Sprachen, die verwandte Alphabete gebrauchen wie Russisch oder Griechisch. Sprachen, die von rechts nach links schreiben wie Arabisch oder Hebräisch, werfen neue Probleme auf. Schließlich folgen Sprachen mit nicht-alphabetischen Schriften wie Chinesisch, Japanisch, Koreanisch oder Vietnamesisch, die so genannten CJK- oder CJKV-Sprachen und -Schriften. Zu Sprache und Schrift kommen Fragen des Kalenders, des Maßsystems und weitere kulturelle Eigenheiten. Fragen der Sprachanpassung werden in sprachbezogenen HOWTOs abgehandelt, beispielsweise im German HOWTO (2001) von W INFRIED T RÜMPER oder im Francophones HOWTO (2001) von G UYLHEM A ZNAR. Auch zu kleineren Sprachen wie Lettisch oder Portugiesisch finden sich HOWTOs. Das hängt nur davon ab, ob sich jemand die Mühe macht, ein HOWTO zu schreiben. Software, die keine Annahmen bezüglich Sprache, Zeichensatz und Gebräuchen trifft, wird internationalisiert genannt. Sie ist hinsichtlich der Umgebung ihrer Ausführung neutral. Das erfordert einen gewissen Aufwand, der sich jedoch in Grenzen hält, wenn die Internationalisierung von Anfang an vorgesehen wird. Informationen zu dem Fragenkomplex finden sich unter dem Kürzel i18n im Netz, beispielsweise auf http://www.debian.org/doc/manuals/intro-i18n/ und http://www.i18ngurus.com/. Einige Firmen bezeichnen die Internationalisierung ihrer Software als National Language Support (NLS). Internationalisierte Software ist vor Gebrauch an ihren Einsatzort anzupassen, sie ist zu lokalisieren (i10n). Default ist Englisch, POSIX oder C, was ungefähr auf dasselbe hinausläuft. Im POSIX-Standard (http://www.opengroup.org/ onlinepubs/) werden folgende Eigenschaften als Locale zusammengefasst: • • • • • •
die Sprache von Texten (Manual, Menüs, Fehlermeldungen etc.), der Zeichensatz, die Reihenfolge beim Sortieren, die Schreibweise von Namen, Anschriften, Telefonnummern, Datum und Uhrzeit, das Dezimaltrennzeichen, Währung, Maßsystem und Papierformate.
Nicht dazu gehört die Tastaturbelegung, die wird außerhalb des Locales behandelt. Der Standard gliedert das Locale in sechs Kategorien: • • • • • •
LC_CTYPE Einteilung der Zeichen, LC_COLLATE Reihenfolge beim Sortieren, LC_MONETARY Darstellung von Geldbeträgen, LC_NUMERIC Darstellung von Zahlen, die keine Geldbeträge sind, LC_TIME Darstellung von Datum und Uhrzeit, LC_MESSAGES Darstellung von Nachrichten, Meldungen und Antworten.
Die Definition weiterer Kategorien unter Beachtung der Richtlinien ist zulässig und kommt vor. Auf einem lokalisierten Debian-System führt der Aufruf: joe@debian:~$ locale zu folgender Ausgabe:
420
9 Konfigurieren
LANG=de_DE@euro LC_CTYPE="de_DE@euro" LC_NUMERIC="de_DE@euro" LC_TIME="de_DE@euro" LC_COLLATE="de_DE@euro" LC_MONETARY="de_DE@euro" LC_MESSAGES="de_DE@euro" LC_PAPER="de_DE@euro" LC_NAME="de_DE@euro" LC_ADDRESS="de_DE@euro" LC_TELEPHONE="de_DE@euro" LC_MEASUREMENT="de_DE@euro" LC_IDENTIFICATION="de_DE@euro" LC_ALL= Mit der Option -a (all) erfährt man die auf dem Rechner verfügbaren Lokalisierungen, mit der Option -m (map) die verfügbaren Zeichensätze. Die Kategorie LANG gilt für alle nicht ausdrücklich durch eine LC-Variable gesetzten Einstellungen. Die höchste Priorität besitzt LC_ALL, die niedrigste LANG. Ist die Variable LC_ALL nicht leer, ersetzt sie alle übrigen. Ihr Wert könnte de_DE.UTF8 lauten. Die Daten zu den Locale liegen im Verzeichnis /usr/share/i18n/. Das Debian-Paket locales enthält neben einigen Werkzeugen Daten, die von der C-Bibliothek zur Lokalisierung benötigt werden. Mit dem Kommando: debian:~# dpkg-reconfigure locales lässt sich die bei der Einrichtung des Paketes vorgenommene Auswahl jederzeit ändern. Wegen ihres Umfangs wird man nicht alle möglichen Locales einrichten. In der Datei /etc/locale.gen sind die auf dem Rechner eingerichteten Locales aufgezählt. Ist die Datei mit einem Texteditor erweitert worden, sind anschließend mittels locale-gen die Locale aus den Rohdaten zu erzeugen. Sie liegen im Verzeichnis /usr/lib/locale/ in Form eines nicht lesbaren Archivs. Der obige Aufruf von dpkg-reconfigure erledigt das in einem Durchgang. Da die Bezeichnungen der Locale etwas unbequem sind, werden in der Datei /etc/locale.alias den Bezeichnungen im POSIX-Format einprägsame Aliasnamen zugeordnet: deutsch
de_DE.ISO-8859-1
Ein Benutzer, der nicht das System-Default-Locale übernehmen will, fügt seiner Datei $HOME/.bashrc eine Zeile wie: export LC_ALL=fr_FR hinzu, wobei Aliasnamen erlaubt sind. Nach Aus- und wieder Einloggen bestätigt das Kommando locale den Erfolg. Gibt man obige Zeile als Shellkommando ein, gilt die Änderung für alle Abkömmlinge der Shell, nicht aber für die Sitzung, auszuprobieren mit date oder ls -y. Zurücksetzen mittels: joe@debian:~$ LC_ALL=
9.6 Debian Font Manager
421
9.6 Debian Font Manager Jede Anwendung, die Text auf dem Bildschirm darstellt oder auf Papier druckt, braucht Fonts, das heißt Beschreibungen des Aussehens der Zeichen, Beschreibungen der Glyphen mit anderen Worten. Nun herrscht an Fonts kein Mangel. Das Problem liegt vielmehr darin, dass es viele Wege zur Beschreibung gibt – grob unterteilbar in Rasterfonts und Vektorfonts – und noch einmal zahlreiche Wege, wie Anwendungen ihre Fonts verwalten. Fügt man seiner Sammlung einen Font hinzu, ist dieser in die Konfiguration jeder Anwendung einzeln aufzunehmen. Um diesem Missstand abzuhelfen, wurde der Debian Font Manager (Defoma) entwickelt. Ein neuer Font wird samt allen nötigen Informationen (category, hints) nur Defoma bekannt gemacht. Dann ruft Defoma für jede Anwendung ein anwendungsspezifisches Skript auf, das die Neuerwerbung in deren Konfiguration einbaut. Die Skripte stammen teils von Defoma, teils von Anwendungen (sofern sie mit Defoma zusammenarbeiten, defoma-aware sind), teils aus der Feder des Verwalters, der hierzu Hilfen im Paket defoma-doc findet. Will man auch in Druckern liegende PostScript-Fonts für Defoma zugänglich machen, empfiehlt sich zusätzlich die Einrichtung des Paketes psfontmgr, welches das Werkzeug defoma-psfont-installer bereitstellt. Defoma nimmt dem Verwalter viel Arbeit ab. Ein Defoma-HOWTO wäre willkommen. Wir haben den Manager samt seinem grafischen Frontend dfontmgr schon kurz in Abschnitt 3.2 X Font Server auf Seite 187 erwähnt. Mit dem Debian-Paket defoma kommen mehrere Werkzeuge einschließlich ihrer Manualseiten: • •
•
• • •
defoma ist ein Perlskript, das nur eine Übersicht über die Kommandos (usage) ausgibt und einige Vorbereitungen trifft. defoma-font registriert neue Fonts in Defoma oder wirft alte hinaus. Es kennt die Unterkommandos: – register registriert neue Fonts, sofern noch nicht registriert, – unregister wirft einen registrierten Font hinaus, – reregister ersetzt einen bereits registrierten Font, – purge wie unregister, nur gründlicher, – dazu Varianten obiger Kommandos wie register-all, um Gruppen von Fonts zu verarbeiten defoma-app konfiguriert registrierte Fonts für eine bestimmte Anwendung. Es kennt die Unterkommandos: – clean wirft Fonts aus der Konfiguration einer Anwendung hinaus, – update aktualisiert die Konfiguration, – purge wie clean, nur gründlicher, – ignore verhindert, dass eine Anwendung bestimmte Fonts benutzt. defoma-subst erzeugt oder editiert eine Datei mit Font-Ersetzungsregeln (font substitution). defoma-hints erzeugt interaktiv eine Hinweisdatei (hintfile) . defoma-reconfigure rekonfiguriert Defoma von Grund auf neu und repariert mit der Option -f (fix) beschädigte Dateien.
422
• •
9 Konfigurieren
defoma-id verwaltet den ID-Cache von Defoma, wird von dfontmgr aufgerufen. defoma-user verwaltet die Font-Caches der Benutzer und kennt die beiden Unterkommandos: – update – reconfigure Das Kommando ist noch grün und wird auch nicht dringend benötigt, solange sich der Verwalter um die Fonts kümmert.
Dazu kommen einige Defoma-Module, von denen der Benutzer jedoch nichts sieht. Die Konfiguration liegt im Verzeichnis /etc/defoma. Hat der Verwalter neue Fonts aus einem Debian-Paket eingerichtet, besteht Hoffnung, dass mit der Einrichtung auch Defoma davon erfahren hat. Dann ist weiter nichts zu unternehmen. Das Ergebnis lässt sich mittels dfontmgr betrachten. So erlebt bei dem Debian-Paket sun-java5-fonts, das Lucida-Fonts zur Verfügung stellt, mit ttf-freefont und ttf-bitstream-vera.
9.7 Drucksysteme 9.7.1 Grundbegriffe Wer es nicht erlebt hat, glaubt nicht, wieviel Kopfzerbrechen eine anscheindend so einfache Sache wie das Drucken einer Textdatei auf Papier verursacht. Die Ursache der Mühen liegt darin, dass Drucken ein mehrstufiger Vorgang ist, wobei in jeder Stufe Werte eingestellt oder verändert werden. Die zentrale Informationsquelle zum Thema ist http://www.linuxprinting.org/. Man sollte sie schon vor dem Kauf eines Druckers zu Rat ziehen. Auch The Printing HOWTO (2003) von D IRK A LLAERT bei TLDP gibt Hinweise. Schauen wir uns den Werdegang eines Ausdrucks an. Am Anfang steht das Wort. Ohne in faustische Grübeleien zu verfallen, erkennen wir schon beim Versuch, die Wörter mittels einer Tastatur in den Rechner einzugeben, dass deren Möglichkeiten begrenzt sind. Wir müssen auf eigenartige Tastenkombinationen, HTMLEntities oder LATEX-Umschreibungen zurückgreifen, um einen halbwegs anspruchsvollen Text in die Kiste zu bekommen. Dann braucht der Text eine Form, zu der Überschriften, Seitenumbrüche, lebende Kolumnentitel und weitere nützliche Dinge beitragen, die aus einem Schmierzettel ein Schriftstück machen. Unsere Vorstellungen werden in einer zweckmäßigen Codierung in einer Datei gespeichert, wofür zahlreiche Wege angeboten werden. Es folgt die Druck-Software vom Benutzer-Frontend (Druckprogramm) über Filter und Treiber bis hin zum Raster Image Processor (RIP) im Laserdrucker, der schließlich die Bildpunkte (Pixel) ausrechnet, die auf das Papier gedruckt werden. Grafik und Farbe fügen dem Weg noch ein paar Stolpersteine hinzu. Dass das Ganze über Netz im Mehrbenutzerbetrieb funktionieren soll, kann man heute als eine billige Forderung bezeichnen. Drucker empfangen außer dem Text oder der Grafik Steuerbefehle, die den Rand festlegen oder einen Font auswählen. Beides zusammen ist in den Dateien enthalten,
9.7 Drucksysteme
423
die an den Drucker gehen. Im einfachsten Fall sind das ASCII-Dateien mit den bescheidenen Möglichkeiten zur Druckersteuerung, die der ASCII-Zeichensatz bietet. Die nächste Stufe bilden Druckersprachen wie die Hewlett-Packard Printer Command Language (PCL), die von einem Interpreter im Drucker verstanden werden. Die Krönung schließlich stellen Seitenbeschreibungssprachen wie PostScript oder das Portable Document Format (PDF) dar, die von Druckern gehobener Preisklassen ebenfalls verstanden werden. In Seitenbeschreibungssprachen abgefasste Dokumente werden durch: • • •
Hardware im Drucker, Software im Drucker oder Software wie Ghostscript im Rechner
in die Pixelmuster (Bitmap, Raster Image) umgerechnet, die letzten Endes vom Druckwerk (marking engine) auf das Papier gebracht werden. Wird ein Drucker eingesetzt, der nicht PostScript-fähig ist, so müssen im PostScript-Format eingehende Druckaufträge in ein anderes, vom Drucker verstandenes Format übersetzt werden. Diese Aufgabe übernimmt das Programm Ghostscript (gs), das eine große Anzahl unterschiedlicher Drucker als Ausgabegeräte unterstützt. Unter Debian GNU/Linux stehen drei unterschiedliche Versionen von Ghostscript zur Verfügung: • • •
GNU Ghostscript (Paket gs-gpl, ehedem gs), Aladdin Ghostscript (Paket gs-afpl, ehedem gs-aladdin), ESP Ghostscript (Paket gs-esp), in erster Linie für CUPS.
Bei der zweiten Variante handelt es sich um eine neuere Version, die mehr Drucker unterstützt und teilweise bessere Ergebnisse erzielt. Diese Variante steht jedoch unter einer Lizenz, die nicht den Debian-Richtlinien genügt, und befindet sich deswegen im Non-Free-Bereich der Distribution. Umgekehrt verstehen PostScript-fähige Drucker meist auch die zweite gängige Druckersprache (PCL Version 5 oder 6) und erkennen die Sprache eines Dokumentes automatisch. Fast immer. Drucker sind entweder über eine Schnittstelle (parallel = /dev/lp0 ff., seriell = /dev/ttyS0 ff., USB = /dev/usb/lp0 ff., Bluetooth) an einen Rechner angeschlossen und sind nur über diesen zu erreichen, oder sie verfügen über einen eigenen Ethernet-Anschluss und bilden einen selbständigen Knoten im Netz. Wir haben also folgende Möglichkeiten: • • •
Drucker angeschlossen an den eigenen Rechner, Drucker angeschlossen an einen fremden Rechner im Netz, Drucker direkt im Netz, ohne Rechner dazwischen.
Letztere Lösung ist schon in kleinen Netzen vorzuziehen, da der Drucker dann nicht auf einen Rechner angewiesen ist. Er muss in diesem Fall allerdings so viel eigene Intelligenz mitbringen, dass er sich im Netz gesittet verhält und einige Protokolle beherrscht. Deshalb werden die Ethernet-Adapter von Druckern auch als Printserver bezeichnet und kosten mehr als eine Ethernetkarte für einen Rechner. Der einfachste Weg zu einem Ausdruck wäre das Kopieren der Textdatei auf die Gerätedatei, die den Drucker darstellt:
424
9 Konfigurieren
joe@debian:~$ cat textdatei > /dev/lp0 Root und die Mitglieder dr Gruppe lp sind für die Gerätedatei schreibberechtigt und könnten so vorgehen, werden sich aber hüten und den Weg über ein Drucksystem vorziehen. Das Drucksystem im Rechner erledigt folgende Aufgaben: • • • • •
Es reiht die Druckaufträge (Job, E: print request, F: travail d’impression) in Warteschlangen ein und arbeitet diese geordnet ab (Spooling), es ergänzt die Druckaufträge um Informationen zum Papierformat usw., es bildet logische Drucker auf physikalisch vorhandene Drucker oder Druckergruppen ab, es bringt die unterschiedlichen Daten in ein Format, das vom jeweiligen Drucker verstanden wird (PCL, PostScript . . . ), es führt gegebenenfalls Buch über die Druckaufträge.
Auf einem Rechner sollte zu einem Zeitpunkt immer nur ein Drucksystem laufen, sonst gibt es Streit. Der Verwalter macht es sich leichter, wenn er die Anzahl der im LAN verwendeten Drucksystemarten gering hält. Das Drucken in heterogenen Netzen hat schon manchen Verwalter vorzeitig ergrauen lassen. Unter Linux/UNIX schickt ein Benutzer Druckaufträge nicht an einen Drucker, sondern an das Drucksystem, kurz Spooler oder Scheduler genannt. So können mehrere Benutzer oder Anwendungen gleichzeitig Druckaufträge loswerden. Heute erwartet man von einem Drucksystem, dass es netzfähig ist. Am Arbeitsplatz nimmt ein Client die Druckaufträge vom Benutzer entgegen und reicht sie an einen Server im Netz weiter, der sie in /var/spool einsortiert und der Reihe nach an den oder die Drucker weitergibt. Ein Spooler ermöglicht einem Benutzer: • • • •
das Absenden eines Druckauftrags, das Erkundigen nach dem Zustand des Druckauftrags, das Ändern eines Druckauftrags, das Löschen eines Druckauftrags (bevor er im Drucker angekommen ist).
Der Verwalter kann darüber hinaus; • • • • • • •
Drucker verfügbar machen oder entfernen, Drucker anhalten und wieder freigeben, beispielsweise für einen Wechsel des Toners, Druckerklassen einrichten, die Priorität von Druckaufträgen verwalten, einen Drucker zum Default-Drucker ernennen, den Zustand von Aufträgen und Druckern überwachen, Aufträge von einem Drucker auf einen anderen verlagern.
Im Lauf der Jahrzehnte haben sich mehrere Drucksysteme in der Linux/UNIXWelt entwickelt: • • •
das System-V-Drucksystem, Druckkommando lp, das Berkeley-Drucksystem, Druckkommando lpr, das Berkeley-Drucksystem, nächste Generation (LPRng),
9.7 Drucksysteme
• •
425
Xprint aus dem X Window System (X11), das Common UNIX Printing System (CUPS).
Es gibt weitere, teils proprietäre Drucksysteme. Während auf Einzelplätzen eines der beiden klassischen Systeme ausreicht, setzt sich für das Drucken im Netz CUPS durch. Samba (siehe Abschnitt 13.9.2 Samba – Netzdienste für MS Windows und IBM OS/2 auf Seite 594) übernimmt Teilaufgaben eines Drucksystems und lässt den Rest von einem Linux/UNIX-Drucksystem erledigen, bevorzugt durch CUPS. 9.7.2 System-V-Drucken Unter Linux ist das System-V-Drucken selten anzutreffen, unter HP-UX beispielsweise ist es die Regel. Die zugehörigen Programme lauten: • • • • • •
• • • • • •
lpsched Druckdämon, der beim Systemstart von einem init-Skript gestartet wird, auch Kommando zum Wiederstarten des Dämons nach einem Halt, rlpdaemon Dämon, der einen lokalen Drucker über das Netz erreichbar macht, lpshut zum Anhalten des Dämons; damit steht das ganze Drucksystem, lpadmin zum Verwalten der Drucker, lpmove zum Verschieben eines Auftrags zu einem anderen Drucker, disable und enable zum vorübergehenden Anhalten und Wiederstarten eines Druckers; die zugehörige Warteschlange läuft weiter. Vorsicht: enable ist auch ein eingebautes Shellkommando und genießt als solches Vorrang. Man kann sich helfen, indem man den vollen Pfad /usr/bin/enable eingibt. reject und accept zum vorübergehenden Schließen und Wiederöffnen einer Warteschlange, lpfence zum Setzen der Prioritätsschwelle eines Druckers. lp zum Abschicken eines Druckauftrags durch einen Benutzer, cancel zum Löschen eines Druckauftrags, der noch in der Warteschlange steckt, lpalt zum Ändern eines Druckauftrags, der noch in der Warteschlange steckt, lpstat zum Anzeigen des Zustands des Drucksystems.
Einzelheiten im Manual. Für uns sind die Kommandos insofern interessant, als sie auch von CUPS verwendet werden. Der Aufruf: joe@debian:~$ lpstat -t zeigt sowohl unter System-V-Drucken (lpsched) als unter CUPS (cupsd) den Zustand des Drucksystems an. Die Anpassung an verschiedene Druckertypen erfolgt durch Programme – meist Skripte – im Verzeichnis /usr/lib/lp/model. Bei der Einrichtung eines Druckers mittels lpadmin wird eine passende Model-Datei nach /etc/lp/ interfaces kopiert. Hier kann der Verwalter eingreifen bis hin zum Schreiben eigener Model-Dateien in Form von Shellskripten oder compilierter C-Programme.
426
9 Konfigurieren
9.7.3 Berkeley-Drucken Unter Linux ist häufig das Berkeley-Drucksystem nach RFC 1179 anzutreffen. Das klassische System ist im Paket lpr enthalten, die nächste Generation in den Paketen lprng und lprng-doc. Die zugehörigen Programme lauten, weitgehend parallel zum System V: • • • • •
lpd Druckdämon, lpc (control) zum Verwalten des Drucksystems, lpr zum Abschicken eines Druckauftrags durch einen Benutzer, lprm (remove) zum Löschen eines Druckauftrags, der noch in der Warteschlange steckt, lpq (query) zum Anzeigen des Zustands des Drucksystems.
Einzelheiten im Manual. Filter, die Dateien verschiedenen Typs an unterschiedliche Drucker anpassen, stehen in den Paketen apsfilter oder magicfilter zur Verfügung. In der Datei /etc/printcap wird festgelegt, welche Drucker dem System zur Verfügung stehen. Dabei kann es sich um lokale Drucker handeln oder um Drucker, die an einen anderen Rechner im LAN angeschlossen sind. In der Version der Datei, die defaultmäßig eingerichtet wird, befindet sich bereits ein auskommentierter Beispieleintrag zum Drucken auf einen Druckserver. In der Regel reicht es aus, die Kommentarzeichen vor dem Eintrag zu entfernen und die entsprechenden Werte anzupassen. Beispiel: rlp|hp2200|HP Laserjet 2200:\ :lp=:\ :rm=printserver:\ :rp=lp:\ :sd=/var/spool/lpd/remote:\ :mx#0:\ :sh: In der ersten Zeile befinden sich – durch |-Zeichen getrennt – die Namen, unter denen der Drucker angesprochen wird, hier rlp, hp2200 und HP Laserjet 2200. Mit lp= wird die Gerätedatei angegeben, die den lokalen Anschluss darstellt, an dem sich der Drucker befindet (/dev/lp0 für die erste parallele Schnittstelle). Weil der Eintrag für einen Drucker bestimmt ist, der nicht an den lokalen Rechner angeschlossen ist, ist hier kein Wert eingetragen. Durch rm=printserver wird der Name des Rechners angegeben, an den der Drucker angeschlossen ist (printserver). Der Eintrag ist entsprechend anzupassen. Mit rp=lp wird der Name des Druckers angegeben, den dieser auf dem Server hat. Wenn auf dem Druckserver sekretariat.firma.de gedruckt werden soll und zwar auf dem Drucker, der dort den Namen highcolor hat, dann sind die Werte rm=sekretariat.firma.de und rp=highcolor zu verwenden. Mit sd= wird das Spooler-Verzeichnis angegeben, in dem der Dämon Druckerdateien und Statusinformationen aufbewahrt. Das Verzeichnis wird automatisch angelegt, wenn
9.7 Drucksysteme
427
der Dämon neu gestartet wird. Durch den Eintrag mx#0 wird erlaubt, dass unbegrenzt große Druckjobs in Auftrag gegeben werden. Zum Schluss wird mit sh bewirkt, dass keine Banner-Seiten ausgegeben werden. Die Gegenschrägstriche machen aus dem Eintrag eine einzige logische Zeile. Ein Wort zum Format der Datei /etc/printcap: Die Doppelpunkte zu Beginn jeder Zeile werden benötigt, weil die Zeile sonst als Eintrag für einen neuen Drucker aufgefasst werden würde. Die Doppelpunkte sowie die \-Zeichen am Ende der einzelnen Zeilen sind nicht unbedingt erforderlich, allerdings gibt es Programme, die diese Zeichen benötigen, um die Datei richtig zu verstehen. Die Datei darf leere Zeilen und Kommentare enthalten, die mit einem Doppelkreuz eingeleitet werden. Das Dateiformat wird im Manual ausführlich beschrieben. Nach Änderungen ist das Drucksystem mittels des zugehörigne init-Skriptes erneut zu starten, weil die Datei nur einmal – zum Start des Dämons – gelesen wird.
Abb. 9.4: Screenshot der Startseite zur Verwaltung eines CUPS-Servers mittels Web-Browser
9.7.4 Common UNIX Printing System (CUPS) Das Common UNIX Printing System (CUPS) der Firma Easy Software Products ist offene Software und steht unter der GPL, in Teilen unter der LGPL. Die kommerzielle, kostenpflichtige Abfüllung heißt ESP PrintPro und bietet mehr als die
428
9 Konfigurieren
offene. Das System gründet sich auf das Internet Printing Protocol (IPP) nach RFC 2910/2911/3380. IPP ist eine Erweiterung des Hypertext Transfer Protocol 1.1 nach RFC 2616, was den Vorteil mit sich bringt, dass viele Erfahrungen und Ergänzungen zu HTTP auch von IPP zu nutzen sind. Alle Anwendungen unter allen Betriebssystemen, die IPP unterstützen, sollten über einen beliebigen CUPS-Server drucken können. Aktuell ist im Herbst 2006 CUPS 1.2.6, das deutliche Verbesserungen gegenüber 1.0 aufweist. In sarge ist 1.1.23 enthalten, in etch Version 1.2.5; vom Hersteller können Snapshots von 1.3 heruntergeladen werden, ohne den Komfort von Debian, versteht sich. Der Heimathafen von CUPS ist http://www.cups.org/, mit reichlich Dokumentation. Zusätzlich weisen wir auf das Tutorial on CUPS and Foomatic von T ILL K AMPPETER und K URT P FEIFLE hin, zwar auf Englisch, aber verständlich geschrieben, und auf http: //linuxprinting.org/kpfeifle/LinuxKongress2002/Tutorial/ zu finden. Ein CUPS-FAQ (2001), ebenfalls von K URT P FEIFLE, liegt unter http: //www.danka.de/printpro/faq.html, auf Deutsch. Die für CUPS benötigte Software verteilt sich auf mehrere Debian-Pakete, deren Namen mit cupsys beginnen, und einige Funktionsbibliotheken. Ausnahme bluez-cups für die Anbindung von Druckern über Bluetooth. Die Aktualisierung von CUPS 1.1.23 aus sarge auf 1.2.2 direkt aus den Quellen vom Hersteller funktionierte auf dem üblichen Weg: • • • •
Debian-Pakete libjpeg62-dev, zlib1g-dev und libglpng-dev aus sarge einrichten, configure und make werden sonst böse, Tarbälle für CUPS und ESP Ghostscript von www.cups.org/ oder einem Spiegel herunterladen; es muss ESP Ghostscript sein, Tarbälle mit tar, ./configure, make und make install verarbeiten, /etc/cups/cupsd.conf.default nach cupsd.conf kopieren, überprüfen und CUPS-Dämon per init-Skript neu starten.
Wichtig ist in cupsd.conf eine zusätzliche Zeile wie: listen server.beiuns:631 damit der CUPS-Server auch auf der Ethernetkarte (eth0) lauscht und nicht nur auf localhost. Die Zugangsbeschränkungen sind unter Umständen zu restriktiv voreingestellt. Einige Dinge, die sonst der Debian-Maintainer zurecht biegt, muss man in die eigenen Hände nehmen. Auch die Einrichtung des Tarballs von CUPS 1.2.6 verlief sowohl unter sarge wie unter etch ohne Schwierigkeiten. Wir haben den Verdacht, dass der Betrieb mehrerer CUPS-Server unterschiedlicher Versionen in einem lokalen Netz Verständigungsprobleme aufwirft. Alternativ hätte man die Debian-CUPS-Pakete aus testing oder unstable einrichten können. Man geht bei obiger Arbeitsweise das Risiko ein, dass die Aktualisierung nicht zum Erfolg führt und man die Trümmer beseitigen muss, bevor man wieder die alte Version aus Debian-Paketen einrichtet. Außerdem begibt man sich der Möglichkeit der weiteren Pflege des Drucksystems durch Debian. Andererseits ist CUPS gut dokumentiert und offen, sodass alles nachvollziehbar ist.
9.7 Drucksysteme
429
Abb. 9.5: Screenshot CUPS, Druckerverwaltung, hier ein Drucker (lp6), der über die parallele Schnittstelle lokal an einen Rechner angeschlossen ist, und ein Drucker (lp9) im Netz, der Standard- oder Defaultdrucker ist.
CUPS ist nach dem Client-Server-Modell aufgebaut. Im LAN läuft mindestens ein Server namens cupsd, nach seiner Hauptaufgabe auch als Scheduler (Disponent, Steuerprogramm) bezeichnet, mehrere sind möglich, zu viele verderben den Brei. Jeder Drucker ist mindestens einem Server zugeordnet. Der CUPS-Dämon und ebenso der Client werden in Textdateien des Verzeichnisses /etc/cups konfiguriert, die bewusst an den Apache-Webserver erinnern. Statt mit Hilfe eines Texteditors lässt sich der Dämon auch über die Kommandozeile oder elegant mit einem WebBrowser konfigurieren, siehe Abbildungen 9.4 und 9.5. Zu diesem Zweck lauscht er auf Port 631 und beißt sich nicht mit einem möglicherweise auf derselben Maschine laufenden Webserver, der hinter Port 80 haust. Die wichtigsten Zeilen der ausführlich kommentierten Server-Konfigurationsdatei /etc/cups/cupsd.conf lauten: ServerName myhost.domain.com DefaultCharset utf-8 LogLevel info MaxJobsPerUser 16 Port 631
430
9 Konfigurieren
Order Deny, Allow Deny From All Allow From 127.0.0.1 Allow From 192.168.1.* Für die meisten Einträge übernimmt man für den Anfang die vorgegebenen Werte. Die erste Zeile teilt dem Dämon den Namen der Servermaschine mit, für den es schlechterdings keine Vorgabe geben kann. Andere Zeilen legen bestimmte Grenzen fest, die man in einem kleinen Netz mit wenigen Benutzern herabsetzen kann. Gegen Ende der Datei folgen Zugriffsbeschränkungen, von denen die erste hier wiedergegeben ist. Die Zeilengruppen sind ähnlich wie in HTML von einem Anfangs- und einem Ende-Tag (Marke) eingerahmt und bedeuten im Beispiel: • • • • •
Für die Location / (wörtlich Standort, hier Pfad oder HTTP-Ressource; Genaueres im Software Administrator’s Manual) verbiete zuerst und gestatte dann Ausnahmen vom Verbot, verbiete den Zugriff von allen Rechnern, IP-Adressen, Domänen etc., erlaube dann den Zugriff von der IP-Adresse 127.0.0.1 = localhost, erlaube dann auch den Zugriff von allen Knoten im Netz 192.168.1.0.
Auf diese Weise wird der Zugriff sehr differenziert gesteuert. Folgende Locations sind vorgesehen: • • • • •
/ Defaulteinstellungen für alle Ressourcen, /admin Verwaltungsoperationen, /jobs Verwaltung der Druckaufträge (Jobs), /classes Verwaltung der Druckerklassen, /printers Verwaltung der Drucker.
Bei Klassen und Druckern lassen sich auch einzelne durch ihren Namen auswählen. Vom Dämon gelangen die Druckaufträge über ein oder mehrere Filter (/usr/ lib/cups/filter), die Dateiformate ineinander umrechnen oder Grafiken an das Papierformat anpassen, zu einem Backend (/usr/lib/cups/backend). Backends für parallele und serielle Schnittstellen, USB, LPD (Berkeley-Drucken), IPP, Bluetooth und AppSocket (HP JetDirect) sind in CUPS enthalten, Firewire ist geplant. Samba bringt einen SMB-Treiber (smbspool) mit, der es erlaubt, mittels CUPS auf Windows-Drucker zuzugreifen. Ein Drucker ist übereinstimmend mit seiner Beschreibung in CUPS zu konfigurieren, oder umgekehrt. CUPS ermittelt den Dateityp und das auszuwählende Filter an Hand von MIMETypen, wie in den Dateien /etc/cups/mime.types und /etc/cups/mime. convs festgelegt. Die Dateien sind les- und editierbar. In ersterer bestehen die Zeilen aus jeweils einem MIME-Typ und den Regeln zum Erkennen des Typs. CUPS verlässt sich nicht auf eine etwaige Dateikennung wie .pdf, sondern untersucht auch die ersten Zeichen in der Datei. Die zweite Datei ordnet den MIME-Typen bestimmte Filter zu, die in der Regel PostScript erzeugen.
9.7 Drucksysteme
431
Laufen mehrere CUPS-Server im lokalen Netz, teilen sie sich mittels Browsing (Broadcast, Rundspruch) ihre jeweiligen Drucker mit, sodass jeder Server alle Drucker sieht und anbietet. Alternativ ist Polling (Herumfragen) einstellbar. Es ist daher nicht erforderlich und schadet nur der Übersicht, wenn man einen Drucker auf mehr als einem Server einträgt. Aus Gründen der Ausfallsicherheit (failover) und gelegentlich im Zusammenhang mit besonderen Filtern kann eine mehrfache Eintragung desselben Druckers zweckmäßig erscheinen.
Abb. 9.6: Screenshot des X Printing Panels, eines GUI zu CUPS
CUPS unterstützt seiten- oder bytebasierte Quoten für jeden Drucker. Die Quoten sind auf einem Drucker für alle Benutzer gleich, ihre Ausnutzung wird natürlich für jeden Benutzer gesondert überwacht. In der Kommandozeile setzt folgender Aufruf die Quoten und die zugehörige Zeitperiode für einen Drucker: debian:~# lpadmin -p printer -o job-quota-period=604800 -o job-page-limit=1000 Die Periode wird in Sekunden ausgedrückt, hier ist es eine Woche. Die zweite Option bezieht sich auf Seiten, nicht auf Blätter. Alternativ sind Kilobytes möglich. Weiteres siehe man lpstat. Auf der Webseite zur Verwaltung der Drucker wird diese Option (noch) nicht angeboten. Eine Abrechnung (accounting) lässt sich durch Auswerten der Datei page_log im Verzeichnis /var/log/cups (konfigurierbar in cupsd.conf) bewerkstelligen. Die Datei enthält für jede gedruckte Seite eine
432
9 Konfigurieren
Zeile mit den nötigen Angaben. Es scheint jedoch Probleme zu geben; Experimente zeigten, dass nicht alle Druckaufträge zu einem Eintrag führen. Zur Auswertung der Datei gibt es ein Werkzeug (Perlskript) namens PrintAnalyzer, zu Hause auf http://savannah.nongnu.org/projects/printanalyzer/. Ein anderer Weg ist das Abfragen der Drucker per SNMP (siehe Abschnitt 16.16.3 Simple Network Management Protocol auf Seite 877); das ist näher an der Hardware. Das Kommando npadmin kann dabei helfen, aber nicht jeder Drucker spielt mit. Ein Hinweis samt Perlskript (accsnmp) liegt auf http://fritz.potsdam.edu/projects/cupsapps/. Pykota (http://www.pykota.com/) ist eine weitere Abrechnungssoftware, die mit CUPS zusammenarbeitet. Beide sind nicht von Debian erhältlich. Unter den Druckertreibern nehmen die PostScript-Treiber einen besonderen Platz ein insofern, als sie aus einem druckerunabhängigen Teil und einer PostScript Printer Description (PPD) bestehen, die les- und editierbar ist. PPDs bekommt man von Adobe (http://www.adobe.com/support/downloads/), den Druckerherstellern oder von http://linuxprinting.org/. Einige sind auch in DebianPaketen enthalten. Der Aufruf: joe@debian:~$ lpoptions -p lp9 -l gibt die PPD-Informationen eines eingerichteten Druckers aus, im Beispiel von lp9. Da CUPS durch Filter auch nicht-PostScript-fähige Drucker PostScript-tauglich macht, ist das PPD-Konzept für alle Drucker verwendbar. Die mit CUPS gelieferten Druckerbeschreibungen werden in /usr/share/cups/model gelagert, die tatsächlich eingerichteten finden sich in /etc/cups/ppd wieder. Viele Treiber enthalten die Zeichenkette Foomatic in ihrer Bezeichnung. Foomatic ist eine Datenbank von Druckern und Treibern, die auf http://linuxprinting.org/ beheimatet ist und mit CUPS und anderen Systemen zusammenarbeitet. Der Aufruf: joe@debian:~$ dpkg --list "foomatic*" zeigt, was von Foomatic auf Ihrem Rechner vorhanden ist. Will man die Ausfallsicherheit erhöhen, trägt man einen Drucker – gegen oben erwähnte Regel – unter demselben Namen auf mehreren Servern im lokalen Netz ein. Vorausgesetzt, in cupsd.conf ist die Direktive ImplicitClasses auf On gesetzt (Default), fasst der Server gleichnamige Drucker zu Klassen (Gruppen) zusammen. Ein Druckauftrag an die Klasse wird von dem Server übernommen, der als erster bereit ist. Implizite Klassen erscheinen nicht auf der Webseite zur Klassenverwaltung; man bemerkt sie nicht. Druckerklassen lassen sich auch von Hand (explizit) mittels lpadmin oder über das Web-Interface einrichten. Hat man genügend viele Drucker, kann man mittels Klassenbildung eine Art von Lastverteilung erreichen. Die Klasse stellt einen logischen Drucker dar, hinter dem mehrere physikalische Drucker stehen, die abwechselnd mit Aufträgen beglückt werden. Ein CUPS-Client braucht sich nicht mit Treibern herumzuschlagen. Er bekommt vom Server bei einem Druckauftrag die jeweilige PPD mitgeteilt – Umfang einige zehn Kilobytes. Noch eine gute Nachricht: CUPS versteht von Haus aus die Kommandos des System-V-Druckens (lp) und nach Einrichtung des Debian-Paketes
9.7 Drucksysteme
433
Abb. 9.7: Screenshot von gtklp, einem weiteren GUI zu CUPS
cupsys-bsd zusätzlich die Kommandos des BSD-Druckens (lpr). Dazu kommen einige Erweiterungen. Die Zweideutigkeit des Kommandos enable wird dadurch beseitigt, dass es ein Kommando cupsenable als Symlink auf /sbin/accept gibt. Wer die Kommandozeile verabscheut, greift auf GUIs wie xpp (X Printing Panel), gtklp oder kprinter aus dem Debian-Paket kdeprint zu, siehe Abbildungen 9.6, 9.7 und 9.8. Die Konfiguration eines CUPS-Clients steht in /etc/cups/ client.conf. Die wichtigste Zeile in der kurzen Datei benennt den DefaultServer, mit dem der Client zusammenarbeitet. Das kann Localhost sein, falls auf derselben Maschine ein CUPS-Server läuft. Ein Benutzer überstimmt die Systemvorgaben durch eine Datei $HOME/.cupsrc, was selten Vorteile bringt. Zum Testen des Drucksystems druckt man als erstes eine Testseite vom Knopf Print Test Page auf der CUPS-Webseite zu den Druckern. Bei vielen Druckern blinkt eine grüne LED, wenn Daten ankommen. Wenn das nicht funktioniert, ist etwas oberfaul. Dann nimmt man einfache Dateien im ASCII- und im PostScript-Format, die von der Kommandozeile aus mittels lp oder lpr abgeschickt werden. Schließlich geht man zu Anwendungen wie einem Web-Browser, einem Mail User Agent oder dem Adobe Reader über, die in ihren Menüs den Punkt Drucken anbieten. Damit sie richtig arbeiten, ist in ihrer Konfiguration meist der Drucker oder das Druckkommando einzustellen. Sollte auch das funktionieren, loten Sie aus, welche Dateiformate CUPS erfolgreich verarbeitet (/etc/cups/mime.types).
434
9 Konfigurieren
Abb. 9.8: Screenshot von kprinter, einem Druckwerkzeug mit GUI, das auf CUPS aufsetzt
Das Drucken über CUPS erscheint auf den ersten Blick kompliziert und für den Hausgebrauch überdimensioniert. Wenn Sie alle Möglichkeiten ausreizen wollen, ist CUPS tatsächlich lernbedürftig. In einem kleinen Netz kommen Sie mit den Vorgaben weit, und dann ist CUPS einfach oder jedenfalls nicht schwieriger zu verstehen als andere Drucksysteme. Der Zweitautor hat im Laufe der Jahrzehnte mit mehreren Drucksystemen gerungen und empfindet CUPS als Erleichterung.
10 Erweitern
Kaum läuft das System, tritt schon der Wunsch nach Erweiterungen auf. Wir befassen uns mit einigen häufig verlangten Erweiterungen des Grundsystems.
10.1 Nützliche Links und Aliasse Für einige Kommandos, Dateien oder Verzeichnisse möchte man oft zwecks Arbeitserleichterung Zweitnamen einrichten. Beispielsweise braucht man auf Wanderungen im Netz häufig das Kommando /bin/hostname, um festzustellen, wo man sich befindet. Hier bietet sich ein vom Verwalter anzulegender harter Link an: debian:/bin# ln hostname hn Ein harter Link ist die einfachste Lösung, weil wir im selben Dateisystem, sogar im selben Verzeichnis bleiben. Ein Symlink oder ein Shell-Alias wäre auch möglich. Für das benachbarte Kommando dnsdomainname liegt ein harter Link namens dn nahe. Der Name ist frei, aber der Link zeitigt nicht das gewünschte Ergebnis, weil dnsdomainname dasselbe Programm ist wie hostname, das sich je nach Aufruf unterschiedlich verhält.1 Ein Programm kennt die ganze Kommandozeile (für C-Programmierer: argv[]) und richtet sein Verhalten danach ein. Genauso verhält es sich mit den Kommandos nex, nvi und nview, die ein- und dasselbe Programm bezeichnen, unterschiedlich aufgerufen und mit entsprechend unterschiedlichem Verhalten. Ein Kommando dn mit der Bedeutung von dnsdomainname läst sich nur als Alias einrichten, kommt gleich. Ferner möchte man vielleicht die Einhängepunkte externer Medien in /media auch im Wurzelverzeichnis sehen. Das lässt sich mit Symlinks wie: debian:/# ln -s media/stick0 stick erreichen. Ebenso nützlich sind Symlinks in /usr/local oder /opt, mittels derer man die ausführbaren Dateien einiger Kommandos in eigenen Verzeichnissen zusätzlich in Verzeichnisse bringt, die im Befehlspfad der Benutzer liegen, beispielsweise: 1
Trotzdem haben hostname und dnsdomainname unterschiedliche Manualseiten.
436
10 Erweitern
debian:/usr/local/bin# ln -s ../Adobe/Acrobat7.0/bin/acroread aread oder: debian:/usr/local/bin# ln -s ../firefox-installer/firefox firefox Schließlich werden einige Kommandos immer wieder mit denselben Optionen oder Zusätzen gebraucht, sodass es sich lohnt, dafür systemweite Aliasse in der Datei /etc/bash.bashrc anzulegen: alias alias alias alias alias alias alias
l="ls -l" ll="ls -l" la="ls -la" li="ls -li" p="ps -ef | less" dn="dnsdomainname" h="hostname --fqdn"
Da es mit Ausnahme von w keine einbuchstabigen Linux/UNIX-Kommandos gibt, bietet es sich an, für die Lieblingskommandos Aliasse aus nur einem Buchstaben zu wählen. Für Aliasnamen sind keine Manualseiten verfügbar. Braucht man die unbedingt, muss man Symlinks in /usr/share/man anlegen und pflegen. Da aber ein Benutzer mit dem Aufruf: joe@debian:~$ alias jederzeit die Bedeutung seiner Aliasse erfragen kann, ist ihm der kleine Umweg zu den Manualseiten der zugrunde liegenden Kommandos zuzumuten. Die vorgenannten Arbeiten sind nicht dringend, aber wenn man häufig Rechner einzurichten hat, vergisst man leicht die eine oder andere Kleinigkeit. Man kann sie in ein Shellskript packen und hat dann alles beieinander.
10.2 Nachzurüstende Pakete 10.2.1 Debian-Pakete Das Grundsystem läuft und erfüllt die Mehrzahl der von ihm verlangten Aktivitäten. Meist stellt sich aber bald heraus, dass einige Pakete mittels apt-get install nachzurüsten sind. In der Grundeinrichtung sind möglicherweise einzelne der hier aufgezählten Pakete schon enthalten, das ändert sich im Lauf der Zeit. Kandidaten sind: • •
Ein Zeitdienst, Pakete ntpdate, ntp und ntp-simple, siehe Abschnitt 10.3 Systemzeit, Zeitdienste auf Seite 440, die Secure Shell (SSH), Paket ssh, siehe Abschnitt 16.9.3 Secure Shell auf Seite 789.
10.2 Nachzurüstende Pakete
•
•
• • • • •
•
• • •
• • • •
437
in einem lokalen Netz mit zentralen Verzeichnissen das Network File System (NFS) aus den Paketen nfs-common und nfs-kernel-server oder nfs-user-server, siehe Abschnitt 13.9.1 Network File System auf Seite 590, alternativ Samba, in einem lokalen Netz mit zentraler Verwaltung der Network Information Service (NIS) aus dem Paket nis, siehe Abschnitt 12.8 Network Information Service auf Seite 540, alternativ LDAP, das Common UNIX Printing System (CUPS) aus den Paketen cupsys und cupsysclient, siehe Abschnitt 9.7.4 Common UNIX Printing System auf Seite 427, das Paket dnsmasq mit einem lokalen DNS-Cache und DHCP-Server, siehe Abschnitt 16.1.5 DNS-Proxy auf Seite 740, das Paket alien mit dem gleichnamigen Kommando zum Einrichten von RPMPaketen, siehe Abschnitt 10.2.2 Red-Hat-Pakete auf Seite 438 der Texteditor Emacs, Paket emacs21, siehe Abschnitt 2.12.4 Die Emacs-Familie auf Seite 181, der Web-Browser Firefox/Iceweasel aus den Paketen mozilla-firefox und mozillafirefox-locale-de beziehungsweise iceweasel und iceweasel-l10n-de, siehe Abschnitt 16.14.3 Web-Browser auf Seite 862, das Paket unicode, um sich mit Unicode vertraut zu machen, vermutlich in Verbindung mit weiteren diesbezüglichen Paketen, siehe http://www. unicode.org/, ein Schachspiel aus den Paketen gnuchess, gnuchess-book und xboard, der Web-Server Apache aus den Paketen apache2-common, apache2-doc und apache2-utils, siehe Abschnitt 16.14.1 Webserver auf Seite 844, wenn schon ein Apache auf dem Rechner haust, ist auch das Paket phpsysinfo mit Informationen über den Rechner ganz nett, siehe Abschnitt 18.4 Systemüberwachung auf Seite 914, ein lokaler HTTP-Proxy aus den Paketen squid-common und squid, siehe Abschnitt 16.14.2 Web-Proxy auf Seite 860, der Acrobat Reader, nicht bei Debian, sondern von Adobe (http://www. adobe.de/, zum Lesen von pdf-Dateien, der Real Player, ebenfalls nicht bei Debian, sondern von http://www.real. com/linux/, zum Abspielen von Multimedia-Dateien, Java, ebenfalls nicht bei Debian, sondern von Sun (http://java.sun. com/.
Man sollte aufschreiben, was man nachrüstet, um nicht bei jedem Rechner erneut ins Grübeln zu geraten. Das Mischen von Paketen aus verschiedenen Versionen (stable, testing, unstable) ist grundsätzlich möglich. Da aber die meisten Pakete von anderen Paketen abhängen, und zwar von bestimmten Versionen, führt das Mischen von Versionen leicht in einen Dschungel aus nicht zueinander passenden Paketen. Im Einzelfall mag es gut gehen. Manchmal helfen Backports weiter. Das sind Programme aus testing, seltener aus unstable, die mit den Bibliotheken aus stable übersetzt worden sind und daher unter einer stable-Installation laufen. Backports gibt es nur für stable. Sie sind auf http://www.backports.org/ zu finden. Einen Backport aus den Quellen
438
10 Erweitern
kann man auch selbst durchführen, schließlich geht es nur um den Bau eines DebianBinärpaketes aus dem Quellcode, siehe Abschnitt 14.3 Bau von Debian-Paketen auf Seite 662. 10.2.2 Red-Hat-Pakete Neben dem Debian-Paketsystem ist der Red Hat Package Manager (RPM, http: //www.rpm.org/) verbreitet. Die Pakete tragen die Kennung rpm und lassen sich unter Debian GNU/Linux mittels alien meist problemlos einrichten: debian:~# alien -i paket.rpm Das Werkzeug konvertiert das rpm-Paket in ein Debian-Paket und richtet dieses ein. Die konvertierte Fassung wird anschließend gelöscht. alien kennt einige weitere Paketformate, siehe Manual. Man soll das Werkzeug nicht für Pakete verwenden, die für das System lebensnotwendig sind, da die Einrichtung unter Umständen fehlschlägt. Die Hauptanwendung sind Pakete mit zusätzlichen Werkzeugen und Kommandos. Die lebensnotwendigen Pakete bringt die eigene Distribution mit. 10.2.3 tar-Archive (Tarballs) Haben Sie – beispielsweise bei http://directory.fsf.org/, dem FSF/UNESCO Free Software Directory, bei http://ftp.uni-bremen.de/ pub/GNU/, bei http://www.heise.de/software/ oder mit Hilfe einer Suchmaschine – Ihr gesuchtes Werkzeug als tar-Archiv – auch Tarball genannt – entdeckt (Kennung tar, tar.gz oder tgz), ist Arbeit angesagt. Die Vorgehensweise nach dem Herunterladen ist folgende: joe@debian:~$ tar xzvf archivname.tar.gz Danach findet man ein Verzeichnis mit dem Namen des Archivs ohne Versionsnummer vor. Man wechselt hinein: joe@debian:~$ cd archivname und liest zuerst die verschiedenen READMEs. Dann konfiguriert man das Makefile: joe@debian:~$ ./configure sieht sich das Makefile an, versucht, es halbwegs zu verstehen und ruft make auf: joe@debian:~$ make Möglicherweise bringt das Archiv eine Test- oder Checkfunktion mit, dann wäre so etwas wie: joe@debian:~$ make test angebracht. Die bisherigen Schritte darf jeder Benutzer ausführen, zum Einrichten sind Root-Rechte erforderlich:
10.2 Nachzurüstende Pakete
439
debian:~# make install Schließlich räumt man auf: joe@debian:~$ make clean Manche Tarbälle richten die Dateien im endgültigen Verzeichnis ein, oft unter /usr/local, manche unter dem Arbeitsverzeichnis. Wieder andere erfragen das Einrichtungsverzeichnis oder erlauben dessen Angabe per Option oder durch Editieren des Makefiles. Schlimmstenfalls muss man den Tarball ein zweites Mal verarbeiten. Die häufigsten Überraschungen beim Nachrüsten solcher Archive sind: • • • •
Fehlende Header-(Include-)Dateien oder Funktionsbibliotheken, obige Dateien sind zwar vorhanden, liegen aber im falschen Verzeichnis (Symlinks anlegen), es werden zusätzliche Hilfsprogramme benötigt (gmake, patch), dann erst einmal diese Programme nachrüsten, es ist zwar alles an Ort und Stelle, aber die Typen der Argumente oder Rückgabewerte sind anders, als sie das Archiv erwartet. Dann passen irgendwelche Versionen nicht zueinander, und es wird schwierig.
Immerhin konnten wir nach diesem Rezept einige Werkzeuge aus dem GNU-Projekt auf Linux- oder UNIX-Rechnern einrichten. Wenige Male haben wir aber auch das Handtuch geworfen. Falls Sie ein Debian-Paket aus dem Quellcode übersetzen, sind die Schritte ähnlich. Auf diesem Weg können Sie auch Programme in Ihrem HomeVerzeichnis nur für den eigenen Gebrauch einrichten, wozu keine Root-Rechte benötigt werden. Es versteht sich, dass auf diesem Wege eingerichtete Software nicht an dem Debian-Upgrade-Mechanismus teilnimmt. APT oder dpkg wissen nichts davon. Man kann sich allerdings die Mühe machen, aus dem Tarball ein Debian-Paket zu schnüren und dieses wie andere Debian-Pakete mittels apt-get einzurichten. Das wäre ein sauberer Weg. Tarbälle werden oft nach /usr/local installiert. Dort wird es dann bald unübersichtlich, insbesondere, falls man mehrere Versionen eines Programms nebeneinander betreibt. Das GNU-Werkzeug stow (http://www.gnu.org/ software/stow/) oder dessen Erweiterung xstow (x = extended, nicht X11, http://xstow.sourceforge.net/) helfen, indem sie die Tarbälle in jeweils eigene Unterverzeichnisse in /usr/local/stow installieren und Symlinks in /usr/local/... schreiben. Das Wechseln zwischen Versionen und das Löschen ganzer Programme samt Zubehör werden auf diese Weise vereinfacht. 10.2.4 Sonstige Software Es gibt kostenlose Software für Linux und andere Betriebssysteme, die vom Hersteller nur in binärer Form verteilt wird. Solche Software ist nicht frei und nicht Open Source, aber trotzdem brauchbar und manchmal nicht zu vermeiden. Beispiele wurden oben genannt. Der Hersteller liefert Installationsanweisungen mit. Oft handelt es sich um selbstentpackende Archive, das heißt die heruntergeladene Datei wird von
440
10 Erweitern
Root als Programm aufgerufen, entpackt sich und richtet sich ein. Natürlich muss das Archiv ausdrücklich für Linux gebaut worden sein. Beim Adobe Reader ist uns das bei mehreren Versionen auf verschiedenen Betriebssystemen gelungen. Kurz bevor diese Zeilen aus der Feder strömten, wurde der Real Player Version 10 GOLD auf einem etch-System im Verzeichnis /usr/ local/realplayer auf diese Weise eingerichtet. In Handarbeit wurde noch ein Symlink aus /usr/local/bin auf /usr/local/realplayer/realplay angelegt, ein Shellskript, welches das eigentliche Programm aufruft. Beim ersten Aufruf der eingerichteten Software ist oft einer Lizenzvereinbarung zuzustimmen. Ferner wird man erforderlichenfalls durch eine Konfiguration (Setup) geführt. Beim Nachrüsten von Software achte man auf die Herkunft und richte bei Zweifeln ein Programmpaket niemals auf dem Arbeitsplatz oder auf einem vernetzten Rechner ein, bevor es nicht in einer Quarantäne-Umgebung auf Malware oder sonstiges Fehlverhalten untersucht worden ist.
10.3 Systemzeit, Zeitdienste 10.3.1 Systemzeit Die meisten Rechner enthalten eine Quarzuhr (Hardware-Uhr, BIOS-Uhr, CMOSUhr, Real Time Clock, RTC, HC, siehe man 4 time und man hwclock), die von einer Knopfzelle am Leben gehalten wird, wenn der Rechner ausgeschaltet ist. Diese Uhren gehen nicht so genau, wie wir es von Quarzuhren gewohnt sind, weil ihr Quarz nicht auf hohe Genauigkeit hin ausgesucht ist. Sie haben einen Gang von einigen Sekunden pro Tag. Von Zeit zu Zeit müssen sie daher mit einer genauen Uhr synchronisiert werden. Das kann von Hand erfolgen, mittels einer eingebauten Funkuhr oder über das Netz. Während des Betriebs läuft in den Rechnern zusätzlich eine Software-Uhr (Systemuhr, siehe man date), ein Zähler im Kern, der beim Booten mit der Hardware-Uhr abgeglichen wird und auf Linux/UNIX-Rechnern die Sekunden seit dem 1. Januar 1970 00:00 UTC zählt. Beim Herunterfahren geht der Zählerstand der Software-Uhr verloren. Wer seine Software-Uhr über das Netz (NTP) synchronisiert, könnte auf die Hardware-Uhr verzichten (nicht aber auf die Knopfzelle, die oft auch das BIOS versorgt). Die Systemuhren in Linux/UNIX-Rechnern laufen üblicherweise mit UTC-Zeit (Universal Time Coordinated, Koordinierte Weltzeit), die für unsere Zwecke mit der ehemaligen Greenwich Mean Time (GMT) gleichzusetzen ist. Falls Sie weitere Betriebssysteme auf Ihrem Rechner haben, die auf einer anderen Zeit bestehen, zeigt sich Linux/UNIX als der Klügere und gibt nach. Die vom Kommando date angezeigte Zeit (Datum plus Uhrzeit) wird aus der UTC-Zeit des Systems und der in der Datei /etc/timezone festgelegten Zeitzone berechnet. Die Zeitzone wird angegeben durch den Namen der Zeit (MEZ oder CET), einen typischen Ort (Europa/Berlin) oder die Anzahl der Stunden, die zur UTC addiert werden, um zur Zeit in der Zeitzone zu kommen (+1). Die MEZ gilt exakt auf dem 15. Längengrad und damit beispielsweise in Görlitz. Benutzer sehen auf dem Bildschirm die lokale Zeit, bei
10.3 Systemzeit, Zeitdienste
441
uns die Mitteleuropäische Zeit (MEZ, Central European Time, CET), die der UTC um eine Stunde voraus ist (12:00 UTC = 13:00 MEZ). Sommerzeit ist zusätzlich zu berücksichtigen (12:00 UTC = 14:00 MESZ). Nachdem man sich geeinigt hat. dass und wann man auf Sommerzeit umstellt, berücksichtigen Rechner die zusätzliche Zeitdifferenz von 1 h zur UTC automatisch. Das Kommando date zeigt im Frühjahr ab dem Sonntag der Umstellung MESZ bzw. CEST an. Im Herbst das Ganze rückwärts. Es treten ein paar kleinere Probleme mit Zeitstempeln von Dateien, Mails oder in Datenbanken auf, die aber beherrschbar sind. Auch der cron-Dämon ist vorübergehend etwas unsicher. Der Linux/UNIX-Sekundenzähler ist eine vorzeichenbehaftete Ganzzahl, die auf 32-Bit-Maschinen bis etwas über 2 Milliarden reicht. Auf diese Weise hat Linux/UNIX kein Problem mit der Jahrtausendwende gehabt, bekommt aber eines am 19. Januar 2038. Bis dahin werden vermutlich auch preisgünstige Rechner mit 64 Bit Wortbreite arbeiten, sodass die Zähler vom Ende des Universums überrascht werden, bevor sie überlaufen. Die UTC-Schaltsekunden – von denen wir Mitte 2006 bereits 33 haben – sorgen für Verwirrung, zumal das Network Time Protocol damit anders umgeht als Linux/UNIX bzw. POSIX. Schwierig wird der Blick in die Vergangenheit, wenn er über die jüngste Kalenderreform2 zurückgeht. Wer den Fragen nachgehen will, lese in der englischen Wikipedia unter Time (computing) und Unix time nach. Auch das Stichwort Kalender beziehungsweise calendar verspricht einige unterhaltsame Stunden. Das Netz bietet eine Calendar FAQ, ferner gibt es eine FAQ Clocks and Time. Zur Schreibweise des Datums siehe die Norm ISO 8601. Weitere Informationen bei der Physikalisch-Technischen Bundesanstalt (PTB) oder dem U.S. Naval Observatory. Wenn Sie alles verstanden haben, rufen Sie einmal das Kommando ddate auf. 10.3.2 Zeit im Netz (Network Time Protocol) Aufgabe Rechner brauchen für manche Aufgaben die sekundengenaue Zeit. Dazu zählen Anwendungen wie make, die die Zeitstempel der Dateien auswerten, Email, Datenbanken, einige Sicherheitsmechanismen wie Kerberos und natürlich Echtzeit-Aufgaben, insbesondere über ein Netz verteilte wie elektronische Auktionen. Abgesehen von diesen Erfordernissen ist es lästig, wenn Systemuhr und -kalender zu sehr von der bürgerlichen Zeit abweichen. Eine völlig andere Aufgabe ist die Messung von Zeitspannen, beispielsweise zur Geschwindigkeitsoptimierung von Programmen oder auch bei Echtzeit-Aufgaben. Hier kommt es auf eine hohe Auflösung (Mikrosekunden) an, aber nicht so sehr auf die Übereinstimmung mit anderen Zeitmessern. Außerdem benötigt man nur eine Maßeinheit wie die Sekunde oder Ticks und keinen Nullpunkt (Epoche) wie die Erschaffung der Welt, ein Sieg des Gelben Kaisers, die Gründung Roms, Christi Geburt oder den Auszug des Propheten aus Mekka.
2
In Baden am 1. März 1700
442
10 Erweitern
UTC – Universal Time Coordinated Die Universal Time Coordinated (UTC) ist die Nachfolgerin der Greenwich Mean Time (GMT), heute UT1 genannt, der mittleren Sonnenzeit auf dem Längengrad Null, der durch die Sternwarte von Greenwich bei London verläuft. Beide Zeiten unterscheiden sich durch ihre Definition und gelegentlich um Bruchteile von Sekunden. Als Weltzeit gilt seit 1972 die UTC. Wie kommt man zur UTC? Die besten Uhren (Cäsium- oder Atom-Uhren) laufen so gleichmäßig, dass sie für den Alltag nicht zu gebrauchen sind. Ihre Zeit wird als Temps Atomique International (TAI) bezeichnet. In Deutschland stehen einige solcher Uhren in der Physikalisch-Technischen Bundesanstalt (PTB) in Braunschweig. Weltweit verfügen etwa 60 Zeitinstitute über zusammen 200 Atom-Uhren. Aus den Daten dieser Uhren errechnet das Bureau International des Poids et Mesures (BIPM, http://www.bipm.fr/) in Paris einen Mittelwert, addiert eine vereinbarte Anzahl von Schaltsekunden hinzu und erhält so die UTC oder UTC(BIPM). Dann teilt das Bureau den nationalen Zeitinstituten die Abweichung der nationalen UTC(*) von der UTC mit, bei uns also die Differenz UTC - UTC(PTB). Sie soll unter einer Mikrosekunde liegen und tut das bei der PTB auch deutlich. Die UTC ist also eine nachträglich errechnete Zeit. Was Zeitinstitute über Radiosender wie DCF77 verbreiten, kann immer nur die nationale UTC(*) sein, in Deutschland UTC(PTB). Mit den paar Nanosekunden Unsicherheit müssen wir leben. Warum die Schaltsekunden? Für den Alltag ist die Erddrehung wichtiger als die Schwingung von Cäsiumatomen. Die Drehung wird allmählich langsamer – ein heutiger Tag ist bereits drei Stunden länger als vor 600 Millionen Jahren – und weist Unregelmäßigkeiten auf. Die UTC wird aus der TAI abgeleitet, indem nach Bedarf Schaltsekunden abgezogen oder hinzugefügt werden, sodass Mittag und Mitternacht, Sommer und Winter dort bleiben, wohin sie gehören. UTC und UT1 unterscheiden sich höchstens um 0,9 Sekunden, UTC und TAI durch eine ganze Anzahl von Sekunden, seit Anfang 2006 um 33. Nicht jede Minute der jüngeren Vergangenheit war also 60 Sekunden lang. Negative Schaltsekunden sind noch nicht vorgekommen; die Erddrehung ist bisher immer nur langsamer geworden. In den einzelnen Ländern sind nationale Behörden für die Darstellung der Zeit verantwortlich: • • • • • •
Deutschland: Physikalisch-Technische Bundesanstalt (PTB), Braunschweig http://www.ptb.de/ Schweiz: Bundesamt für Metrologie und Akkreditierung (METAS), BernWabern, http://www.metas.ch/ Österreich: Nationales Metrologie Institut (NMI), Wien http://www.metrologie.at/nmi/ Frankreich: Bureau National de Métrologie, Paris http://opdaf1.obspm.fr/ England: National Physical Laboratory, London http://www.npl.co.uk/ USA: U. S. Naval Observatory, Washington D.C. http://tycho.usno.navy.mil/time.html
10.3 Systemzeit, Zeitdienste
443
Außer der Zeit bekommt man von diesen Instituten auch Informationen über die Zeit und ihre Messung. In Deutschland wird die Zeit über den Langwellensender DCF77 bei Frankfurt (Main) auf 77,5 kHz verteilt. Der Sender wird gesteuert von der PTB und betrieben von der Deutschen Telekom. In der Schweiz sendet der Zeitzeichensender HBG am Genfer See auf 75 kHz, in England der Sender MSF bei Anthorn in der Nähe von Carlisle auf 60 kHz. Funkuhren, die deren Signale verarbeiten, sind preiswert geworden und auch als Karte für PCs erhältlich. Während ein passiver Empfänger mit serieller Schnittstelle bzw. eine passive PCI-Karte für etwa 50 EUR zu haben sind, liegen professionelle Empfänger mit doppelten Antennen, Reserve-Quarzuhr und eigener Decodierung des Signals bei 500 EUR. Auch das Global Positioning System (GPS) strahlt von der UTC abgeleitete Zeitsignale aus. Einrichten eines lokalen Zeitdienstes Man könnte jeden Rechner mit einer eigenen Funkuhr ausrüsten, aber das Netz bietet billigere und zuverlässigere Möglichkeiten. Außerdem steht nicht jeder Rechner an einem Platz mit ungestörtem Empfang der Radiosignale. Das Network Time Protocol (NTP, http://www.ntp.org/) nach RFC 1305 und RFC 4330 zeigt den Weg. Wir brauchen folgende Debian-Pakete: • • • •
ein Werkzeug für den Beginn der Synchronisation: ntpdate, das bescheidene Ansprüche bereits erfüllt, Hilfsprogramme: ntp den NTP-Dämon aus ntp-simple oder ntp-refclock, falls man eine Funkuhr (Referenzuhr) im Rechner betreibt, die Dokumentation: ntp-doc.
Im Netz gibt es eine Hierarchie von Zeitservern. Das Fundament bilden die Stratum-1-Server. Das sind Rechner, die eine genaue Hardware-Uhr haben, beispielsweise eine Funkuhr. Diese Server sprechen sich untereinander ab, sodass sich der vorübergehende Ausfall einer Funkverbindung (Gewitter) nicht auswirkt. Von den Stratum-1-Servern holt sich die nächste Schicht die Zeit, die Stratum-2-Server. Als kleiner Netzverwalter soll man fremde Stratum-1-Server nicht belästigen. Oft verhindern die Rechenzentren den Zugriff auch. Stratum-2-Server versorgen große lokale Netze wie ein Campus- oder Firmennetz. Auch sie sprechen sich untereinander ab und holen sich außerdem die Zeit von mehreren Stratum-1-Servern. So geht es weiter bis zum Stratum 15, das aber praktisch nicht vorkommt, weil in Instituten oder Gebäuden die Zeit einfacher per Broadcast von einem Stratum-2- oder Stratum-3-Server verteilt wird. Die Mehrheit der Arbeitsplatz-Rechner ist als Broadcast-Client konfiguriert, siehe Abbildung 10.1. Wer die Zeit lieber analog sieht, findet in der Buici-Clock eine Bahnhofsuhr wie in Abbildung 10.2 zu bewundern. Ähnlich sieht die SwissWatch aus. Einige Uhren sagen die Zeit an. Der lokale Server synchronisiert sich mit dem besten Server aus seiner Liste, nicht auf das Mittel aus allen Servern. Die Auswahl wechselt im Betrieb. Lokal
444
10 Erweitern
Abb. 10.1: Screenshot einer dclock auf einem Arbeitsplatz, weitgehend konfigurierbar und mit Weckfunktion, gesteuert von einem broadcasting NTP-Server im lokalen Netz, der seinerseits mit ntp1.t-online.de synchronisiert ist.
braucht man einen Dämon wie ntpd samt ein paar Hilfsdateien. Die Konfiguration steht in /etc/ntp.conf, beispielsweise: server ntp2-3.belwue.de server ptbtime1.ptb.de server ntp1.t-online.de server ntp1.denic.de peer 192.168.1.2 broadcast 192.168.1.255 driftfile /etc/ntp.drift Server sind Maschinen, von denen die Zeit geholt wird (Einbahnstraße, drei Server reichen), Peers Maschinen, mit denen die Zeit ausgetauscht wird (beide Richtungen, ein lokaler Peer ist kein Luxus). Da ntp1.t-online.de ein Stratum-2-Server ist, läuft die lokale Maschine bei Synchronisation auf diesen Server als Stratum3-Server. Sie sendet Broadcast-Signale in das lokale Netz 192.168.1.0 Außerdem spricht sie sich mit ihrem Kollegen 192.168.1.2 ab, der ähnlich konfiguriert ist, aber keine Broadcast-Signale aussendet. Ob der Server Broadcast-Signale aussendet, lässt sich mit folgendem Aufruf auf einem der beteiligten Rechner feststellen: debian:~# tcpdump -e ether broadcast | grep ntp Etwa im Minutentakt erscheinen die ntp-Pakete. Beenden mit +. In /etc/ntp.drift wird die lokale Drift gespeichert, sodass die Systemuhr auch ohne Verbindung zum Netz etwas genauer arbeitet. Weitere Rechner im Netz 192.168.1.0 sind als Broadcast-Client konfiguriert und horchen auf die BroadcastSignale des lokalen NTP-Servers. NTP-Server niedrigen Stratums werden von Zeitinstituten, Netzbetreibern, Internet-Versorgern und Rechenzentren betrieben. Da die periodische Abfrage eines
10.3 Systemzeit, Zeitdienste
445
NTP-Servers eine Belastung darstellt – im Einzelfall minimal, in der Summe jedoch deutlich – informiere man sich vor einem Eintrag über dessen Zugangsbestimmungen. Ein NTP-Server-Pool mit über 500 NTP-Servern in Europa und über 100 in Deutschland ist unter http://www.ntp.pool.org/ zu erreichen. Benutzt man den Pool, sollte man sich auf die kontinentale Auswahl beschränken. Es ist Unsinn, in Mitteleuropa die Zeit aus Downunder zu holen. Da die Synchronisation nur bis zu einer gewissen Abweichung arbeitet, ist es angebracht, beim Booten mittels des Kommandos ntpdate die Zeit zu setzen. Dies wird durch ein Startskript /etc/init.d/ntpdate veranlasst, Konfiguration in /etc/default/ntpdate. Für Arbeitsplatzrechner, die täglich booten, reicht ntpdate aus. Mit dem Kommando ntpq (NTP-Query) und dessen Subkommando peers oder der Option -p erfragt man aktuelle Daten zum Status der Synchronisation. Dokumentation dazu in /usr/share/doc/ntp-doc/html. Das Zeichen ganz links in der Ausgabe – der Tally-Code – bedeutet: • • •
Leerzeichen (space) oder Minuszeichen: Server wird nicht berücksichtigt, aus verschiedenen Gründen, + (plus): Server ist in engerer Auswahl, * (Stern): Server ist gegenwärtig bestimmend.
Weitere Zeichen in der Dokumentation. In der Spalte remote sind die NTP-Server aufgelistet, in der Spalte refid die Quellen, aus denen die Server ihrerseits die Zeit beziehen, dann ihr Stratum. Die Spalte poll enthält das Polling Interval in Sekunden (64 bis 1024), den Zeitabstand zwischen den Abfragen, die Spalte offset die Zeitdifferenz zwischen dem fernen und dem lokalen Server in Millisekunden.
Abb. 10.2: Screenshot der Analoguhr aus dem Paket buici-clock, ohne Weckfunktion. Die ähnlich aussehende SwissWatch lässt sich mit der Maus beliebig vergrößern, während der Buici-Clock die Größe beim Aufruf mitzugeben ist.
Will man den NTP-Dämon mittels Webmin verwalten (siehe Abschnitt 16.16.4 Webmin auf Seite 883), so braucht man ein Modul eines Drittanbieters. Eine Über-
446
10 Erweitern
sicht solcher Module findet sich auf http://www.webmin.com/. Das NTPModul ist unter den Menüpunkten Third Party Modules -> Hardware -> NTP Time Synchronisation zu erreichen und von der dort genannten Website herunterzuladen. Irgendwo hat man dann eine Datei ntp.1012.wbm.gz. Sie sollte ihre Ruhe auf der Maschine finden, auf der auch der Webmin-Server läuft. Auf der lokalen Webmin-Startseite geht man über die Menüpunkte Webmin-Konfiguration -> Webmin-Module -> Modul installieren, gibt dort den absoluten Pfad der Neuerwerbung an und klickt auf Modul von Datei installieren. In diesem Fall sollten keine Probleme auftreten, in einem anderen wurde gemeldet, dass das betreffende Modul leider nicht unter Debian GNU/Linux liefe. Auf der lokalen Webmin-Startseite erscheint dann unter dem Reiter Hardware der neue Punkt Time Synchronization, den man zwecks Konfiguration anklickt. Vier Pfade sind einzutragen, anschließend kann man auf der neuen Webseite NTP – Time Synchronization einige Einstellungen betrachten und ändern. Das Modul hat Verbesserungspotenzial: Unter der Server List erscheint wirklich nur eine Liste der Server, während das Kommando ntpq mit dem Unterkommando peers auch anzeigt, welcher Server momentan ausgewählt ist, und der Punkt View Log zeigt nur dann die Logdatei an, wenn sie im Format von /var/log/messages gehalten ist und nicht als var/log/ntpd. Auch das Einbeziehen von ntpdate wäre kein unbilliges Verlangen. Da es bei NTP nach der Einrichtung nichts mehr zu verwalten gibt, kann man getrost auf Webmin für NTP verzichten. 10.3.3 Zeitdämon (cron) Aufgabe und Konfiguration Auf praktisch allen Linux/UNIX-Systemen läuft ständig ein Dämon namens cron, der die meiste Zeit schläft, zu jeder vollen Minute aufwacht und dann in Tabellen nachschaut, ob zu dem jeweiligen Zeitpunkt für ihn eine Aufgabe vorliegt. Aus verschiedenen Gründen sind einige Programme in regelmäßigen Zeitabständen aufzurufen. Ein Beispiel hierfür ist das Programm locate. Es wird dazu benutzt, Dateien und Verzeichnisse auf dem Rechner zu suchen. Im Gegensatz zu find durchsucht locate das Dateisystem nicht selbst, sondern benutzt eine Datenbank, in der die Namen aller auf dem System vorhandenen Dateien – nicht nur Kommandos – enthalten sind. Dieses Verfahren bietet gegenüber find einen deutlichen Geschwindigkeitsvorteil. Auf der anderen Seite ist es notwendig, die von locate benutzte Datenbank regelmäßig zu aktualisieren. Dazu wird das Programm updatedb benutzt. Man könnte updatedb manuell aufrufen, etwa nachdem Pakete eingerichtet oder von dem System entfernt worden sind. Dann besteht die Gefahr, dass man es doch einmal vergisst. Weil die Aktualisierung eine gewisse Last auf dem Rechner erzeugt, wäre es außerdem sinnvoll, updatedb zu einem Zeitpunkt auszuführen, zu dem wahrscheinlich niemand mit dem Rechner arbeitet, beispielsweise um 6 Uhr morgens. Aus diesem Grund gibt es das Paket cron. Es stellt einen Dämon zur Verfügung, der Programme in regelmäßigen Zeitabständen ausführt. Tatsächlich ist eine große
10.3 Systemzeit, Zeitdienste
447
Anzahl von Paketen darauf angewiesen, dass gelegentlich aufgeräumt wird. So müssen Protokolldateien in /var/log durch neue ersetzt werden, damit sie nicht zu viel Platz verbrauchen, verschiedene Datenbanken müssen aktualisiert oder Backups von wichtigen Dateien erzeugt werden3 . Dieser Dämon wird wie andere Systemdienste über ein Skript im Verzeichnis /etc/init.d/ gestartet. Die Konfigurationsdatei für cron ist die Datei /etc/crontab. Ihr Aufbau ist im Abschnitt 5 des Manuals beschrieben. In dieser Datei wird bestimmt, welche Programme zu welchem Zeitpunkt ausgeführt werden. Standardmäßig finden sich dort folgende Anweisungen (die Sie normalerweise nicht ändern sollten): • • •
Täglich um 6:25 Uhr werden alle Programme und Skripte ausgeführt, die sich im Verzeichnis /etc/cron.daily/ befinden. Jeweils Sonntags um 6:47 Uhr werden alle Programme und Skripte ausgeführt, die sich im Verzeichnis /etc/cron.weekly/ befinden. Am ersten Tag in jedem Monat um 6:52 Uhr werden alle Programme und Skripte ausgeführt, die sich im Verzeichnis /etc/cron.monthly/ befinden.
Tatsächlich werden diese Skripte nur dann zu den angegebenen Zeiten ausgeführt, wenn das Paket anacron nicht eingerichtet ist. Dazu später mehr. Die Einträge in der Datei haben das folgende Format: Minute Stunde Tag-im-Monat Monat Wochentag Benutzer Kommando [Argumente] Mit Minute und Stunde wird die Uhrzeit angegeben, zu welcher das Kommando ausgeführt werden soll. Mit Tag-im-Monat, Monat und Wochentag wird angegeben, an welchen Tagen der Eintrag berücksichtigt werden soll. Beim Wochentag entspricht die Zahl 1 dem Montag, für Sonntag kann entweder 0 oder 7 angegeben werden. Für jedes der Felder kann ein Stern eingesetzt werden, um das zugehörige Kommando jede Minute oder Stunde bzw. an jedem Tag auszuführen. Mit Benutzer wird angegeben, unter wessen Benutzer-ID das Kommando ausgeführt werden soll. Danach folgt das Kommando in derselben Form, wie es in der Kommandozeile eingegeben wird. Gegebenenfalls ist es notwendig, den Namen eines aufzurufenden Programms mit absolutem Pfad anzugeben, damit es von cron gefunden wird. Zu Beginn der Datei befindet sich eine PATH=-Anweisung, aus der hervorgeht, welche Verzeichnisse automatisch durchsucht werden, wenn kein absoluter Pfad- und Dateiname angegeben wurde. Hier drei Beispiele: 0 *
* * *
root
echo "Hallo Admin!"
Zu jeder vollen Stunden wird das Kommando echo "Hallo Admin!" ausgeführt. Die Ausgaben von cron-Aufträgen (hier Hallo Admin!) werden per Email an den aufrufenden Benutzer geschickt. Voraussetzung hierfür ist ein funktionsfähiges Mail-Transport-Programm (MTA) auf der Kiste. 3
So befinden sich im Verzeichnis /var/backups immer Sicherheitskopien der Benutzer- und Gruppendateien /etc/passwd und /etc/group sowie einiger anderer wichtiger Dateien.
448
10 Erweitern
0 3
* * *
root
reboot
Täglich um 3 Uhr morgens wird der Rechner warm gestartet (etwas häufig, aber monatlich wäre nicht verkehrt). 0 5 * * 7
root /usr/local/sbin/backupscript full
Jeden Sonntag um 5 Uhr morgens wird das Shellskript /usr/local/sbin/ backupscript mit dem Parameter full aufgerufen. Die längste cron-Periode ist ein Jahr. Man kann dem cron keine Aufgaben zuweisen, die nur jedes zweite Jahr ausgeführt werden sollen. In vielen Fällen sind Aktionen mehrmals täglich auszuführen. Aus diesem Grund kann man Bereiche von Zeiten, Aufzählungen unterschiedlicher Zeitpunkte sowie Zeitintervalle benennen: 0,15,30,45 8-17
* * 1-5
root lpq -a
An den Wochentagen Montag bis Freitag soll zwischen 8 und 17 Uhr alle 15 Minuten das Kommando lpq mit der Option -a aufgerufen werden. 10 10-17/2 * * 6,7
joe ping -c 1 -q rechner2
Am Wochenende soll im Zeitraum zwischen 10 und 17 Uhr alle zwei Stunden das Kmmando ping -c 1 -q rechner2 unter der Benutzer-ID des Benutzers joe ausgeführt werden, und zwar jeweils 10 Minuten nach der vollen Stunde. Jede crontab-Anweisung befindet sich in einer eigenen Zeile. Die Datei darf auch Kommentarzeilen enthalten, denen ein Doppelkreuz voranzustellen ist, oder leere Zeilen. Im Gegensatz zu den meisten Systemdiensten braucht cron nicht neu gestartet zu werden, wenn die Datei /etc/crontab geändert wurde. Das Programm liest den Inhalt der Datei automatisch neu ein, wenn er sich geändert hat. Eine Debian-Besonderheit ist /etc/cron.d. In dem Verzeichnis werden Dateien abgelegt, deren Inhalt genauso wie der Inhalt der Datei /etc/crontab aufgebaut sein muss. Die Dateien werden von cron ebenfalls berücksichtigt. Es ist zu empfehlen, eigene Aufträge in einer Datei in diesem Verzeichnis (etwa /etc/cron.d/local) festzulegen, damit die Datei /etc/crontab nicht verändert wird und bei Aktualisierungen automatisch ausgetauscht werden kann. Da sich die von cron aufgerufenen Dienste ins Gehege kommen können, erscheint es angebracht, in einem LAN Zeitfenster vorzugeben. Harmlose Tätigkeiten brauchen sich nicht daran zu halten, auch müssen manche Dienste häufiger als einmal am Tag gestartet werden. Ein Zeitschema könnte wie folgt aussehen: • • • • •
02:00 bis 02:55 von Benutzern veranlasste Arbeiten, 03:00 bis 03:55 vom Verwalter veranlasste Arbeiten im Netz, 04:00 bis 04:55 vom Verwalter veranlasste Arbeiten auf Servern, 05:00 bis 05:55 vom Verwalter veranlasste Arbeiten auf Arbeitsplätzen, 06:00 bis 06:55 nochmals von Benutzern veranlasste Arbeiten.
Das soll nur eine Anregung sein, um Ordnung in die Cronjobs zu bringen.
10.3 Systemzeit, Zeitdienste
449
Abb. 10.3: Screenshot der grafischen Weltuhr Sunclock. Am unteren Bildrand werden für ausgewählte Städte wie Berlin oder Genf Datum, Uhrzeit sowie die Zeiten des Sonnenaufund -unterganges angezeigt.
Cron und gewöhnliche Benutzer Neben Root dürfen auch gewöhnliche Benutzer den cron-Dämon beauftragen. Weil sie die Datei /etc/crontab nicht selbst ändern dürfen, müssen sie ein besonderes Werkzeug benutzen, um eigene crontab-Dateien zu bearbeiten. Dieses Programm trägt ebenfalls den Namen crontab; es ist im Manual in Abteilung 1 beschrieben. Mit einer Option listet das Kommando die gegenwärtigen Einträge auf: joe@debian:~$ crontab -l Die crontab-Dateien der Benutzer unterscheiden sich von den Einträgen in /etc/crontab dadurch, dass das Feld mit dem Benutzernamen fehlt. Das Feld ist hier nicht notwendig, weil Aufträge von Benutzern immer mit der zugehörigen Benutzer-ID ausgeführt werden. Durch die Dateien /etc/cron.allow und /etc/cron.deny lässt sich einschränken, welche Benutzer cron verwenden dürfen. Falls die Datei /etc/ cron.allow existiert, dürfen nur solche Benutzer cron verwenden, deren Namen in die Datei eingetragen sind. Wenn die Datei /etc/cron.deny existiert, dürfen alle Benutzer von cron Gebrauch machen, deren Namen nicht in die Datei eingetragen sind. Als Vorgabe existiert keine der beiden Dateien, und jeder Benutzer darf cron beauftragen.
450
10 Erweitern
Cron und das Ausschalten von Rechnern (anacron) Das cron-Konzept geht davon aus, dass der Rechner durchgehend läuft. Der Dämon arbeitet liegen gebliebene Aufträge nicht nach. Durchgehender Betrieb ist jedoch auf vielen Arbeitsplätzen nicht gegeben. Die Folge ist, dass wichtige Programme zur Pflege des Systems nicht ausgeführt werden, weil der Rechner zum betreffenden Zeitpunkt nicht eingeschaltet ist. Beispielsweise liefert dann das Programm locate veraltete Ergebnisse, Protokolldateien werden nicht mehr erneuert und verbrauchen zu viel Plattenplatz, und wichtige Dateien werden nicht gesichert. Das Problem wird von dem Paket anacron gelöst. Sie sollten es einrichten, falls Ihr Rechner nicht durchläuft. Programme, die von anacron ausgeführt werden sollen, werden in der Datei /etc/anacrontab aufgelistet. Einträge in dieser Datei haben folgendes Format: Tage Verzögerung Bezeichnung Kommando Argumente Mit Tage wird angegeben, nach jeweils wievielen Tagen das Kommando aufgerufen werden soll. Verzögerung erlaubt es anzugeben, wieviele Minuten nach dem Start von anacron das Kommando frühestens ausgeführt werden darf. Zweck dieses Feldes ist es zu verhindern, dass unmittelbar nach dem Systemstart eine hohe Systemlast erzeugt wird. Mit Bezeichnung ist eine eindeutige Bezeichnung für den Eintrag zu vergeben, und mit Kommando und Argumente wird bestimmt, welches Programm mit welchen Parametern aufgerufen wird. Als Vorgabe enthält die Datei Einträge, mit denen sichergestellt wird, dass die Skripte und Programme in den Verzeichnissen /etc/cron.daily/, /etc/ cron.weekly/ und /etc/cron.monthly/ täglich, wächentlich und ungefähr monatlich ausgeführt werden, vorausgesetzt der Rechner wird oft genug eingeschaltet. Aus diesem Grund haben die Einträge in der Datei /etc/crontab folgendes Format: 25 6
* * *
root
test -e /usr/sbin/anacron || run-parts - -report /etc/cron.daily
Die test-Anweisung bewirkt, dass die Programme in /etc/cron.daily nur dann ausgeführt werden, wenn anacron nicht eingerichtet ist. Ansonsten würden cron und anacron beide versuchen, die Aufträge auszuführen. Sie sollten andere Anweisungen in der Datei /etc/crontab bzw. in Dateien unterhalb des Verzeichnisses /etc/cron.d/ ebenfalls durch eine solche Anweisung schützen, falls die Aufträge von anacron ausgeführt werden sollen. Das Programm wird während des Systemstarts über die Datei /etc/init. d/anacron gestartet und beendet sich, nachdem es alle Programme und Skripte aufgerufen hat, die überfällig waren. Das ist der Grund für die zusätzliche Aktivität des Rechners kurz nach dem Systemstart, die zu beobachten ist, wenn das Paket eingerichtet ist. Weitere Informationen zu anacron finden sich im Verzeichnis /usr/share/doc/anacron/ sowie im Manual.
10.4 Emulatoren und Virtualisierer
451
10.3.4 Der at-Dämon Ein Verwandter des cron-Dämons ist der Dämon atd. Der Unterschied besteht darin, dass der at-Dämon einmalige in der Zukunft liegende Aufträge ausführt. Beispielsweise lässt sich ein umfangreiches, den Rechner hoch belastendes Rechenprogramm freitags abends um 22:15 Uhr starten, ohne dass der Benutzer eingeloggt ist. Er braucht nur zu einer bequemen Tageszeit das at-Kommando aufzurufen und ihm seine Wünsche zu übergeben, den Rest erledigt der Dämon: joe@debian:~$ at 2215 today /home/joe/lange.rechnung ST R G-D Einzelheiten auf den Manualseiten zu at und atd. Das Kommando versteht eine Vielfalt von Zeitangaben, darunter teatime.
10.4 Emulatoren und Virtualisierer 10.4.1 DOS-Emulatoren (dosemu) Will man auf einem Linux-Rechner ein Programm verwenden, das für einen DOSRechner geschrieben und übersetzt worden ist, braucht man zusätzlich ein Programm, das DOS unter Linux nachahmt (emuliert). Das gilt ebenso für MS Windows oder jedes andere Betriebssystem. Probleme kann die Grafik bereiten, weil gerade hier Hard- und Software eng verzahnt sind. Andererseits sind Spiele die Hauptanwendung von DOS-Emulatoren, und die brauchen mit wenigen Ausnahmen Grafik. Auf hhtp://www.faqs.org/ liegt eine allgemeine Emulators FAQ von 1997. Mit den Debian-Paketen dosemu und dosemu-freedos, Heimathäfen http:// www.dosemu.org/ und http://www.freedos.org/, kommen ein Schnittstellenemulator (virtueller PC), als Anwendung des Benutzers ohne Eingriffe in den Kern oder Ähnliches, zwischen GNU/Linux und DOS sowie ein vollständiges DOS auf den PC. DOSEMU stellt BIOS-Aufrufe und einige Prozessorbefehle bereit, auf die ein zusätzlich einzurichtendes DOS wie FreeDOS zugreift. Statt FreeDOS kann das ebenso gut MS DOS oder IBM PCDOS sein. Das Paket xfonts-dosemu enthält X11-VGA-Fonts für DOSEMU unter X11 (xdosemu). An Dokumentation gibt es das Dosemu HOWTO (2002) von R AHUL S UNDARAM bei TLDP und im Verzeichnis /usr/share/doc/dosemu, wo noch ein paar Texte zu finden sind. Das Werkzeug besteht aus einem Shellskript (Wrapper) /usr/bin/dosemu bzw. /usr/bin/xdosemu (harter Link), das einige Vorbereitungen trifft und das eigentliche Programm /usr/bin/dosemu.bin aufruft. Zu beiden Programmen gehören eigene Manualseiten. Bei Debian ist es vorkonfiguriert zum Gebrauch mit FreeDOS. Die systemweite Konfiguration von DOSEMU verteilt sich auf zwei Dateien im Verzeichnis /etc/dosemu. In der Datei dosemu.conf werden allgemeine Eigenschaften des Emulators festgelegt, in der Datei dosemu.users, wer was machen darf, da DOS selbst kein Benutzerkonzept kennt. Nach dem Aufruf von dosemu in einer virtuellen Linux-Konsole erschien der altvertraute DOS-Prompt des Laufwerks C. Das Kommando:
452
10 Erweitern
Abb. 10.4: Screenshot von xdosemu mit der Ausgabe eines DOS-Programms, EGA-Grafik. Die Uhr geht sogar richtig. Herkunft des Programms unbekannt (Borland?), vor 1987.
C:\> dir | more funktionierte, ebenso help. Wir legten eine sorgsam gehütete Diskette mit einigen DOS-Testprogrammen in das Diskettenlaufwerk A (/dev/fd0) ein und wechselten dorthin. Ein 1990 sauber in der Programmiersprache C geschriebenes und gut dokumentiertes Programm prim.exe zur Berechnung von Primzahlen lief wie in jungen Jahren. Das Werkzeug pcstat.com vermeldete einen PC mit Prozessoren 80386/387 unter DOS Version 7.10 mit 640 kB Arbeitsspeicher und der 23.8fachen Rechengeschwindigkeit eines originalen IBM XTs. Die Landmark-SpeedTest-Utility brachte DOSEMU zum Absturz. Weitere Tests verliefen mit gemischtem Erfolg, je nach Hardwarenähe. Genau so verhielt sich DOSEMU bei einem Start in einem Desktop über die Schaltfläche Anwendung ausführen (Run Application) mit der Option Im Terminal ausführen. In Laufwerk C, unter Linux das Verzeichnis /usr/lib/freedos, liegt die DOS-Software; Laufwerk D ist das LinuxHome-Verzeichnis des Benutzers, Laufwerk E ein temporäres Verzeichnis von DOSEMU unter Linux-/tmp. Im Verzeichnis /etc/freedos liegen zwei bekannte DOS-Dateien, auf die von /usr/lib/freedos aus per Symlink Bezug genommen wird. Die Einrichtung des DOS-Compilers DJGPP, Version 2.0 (gcc 2.7.2) von 1996, von D. J. D ELORIE (http://www.delorie.com/) verlief ebenfalls oh-
10.4 Emulatoren und Virtualisierer
453
ne Schwierigkeiten. Anschließend konnten das erwähnte Primzahlenprogramm aus seiner C-Quelle sowie ein Hallo-Programm aus C++ übersetzt werden.
Abb. 10.5: Screenshot von xdosemu mit der Ausgabe eines DOS-Spiels (Microprose Civilization) von 1992, VGA-Grafik
Wurde der Emulator als xdosemu über die Schaltfläche gestartet, war es möglich, Programme laufen zu lassen, die von VGA-Grafik Gebrauch machten, beispielsweise ein vor vielen Jahren im Netz eingefangenes Programm zur Darstellung einer Uhr, siehe Abbildung 10.4. Die Einrichtung des Spiels Microprose Civilization von vier Disketten in das Verzeichnis D:\bslMPS verlief unter gemütlichem Geklapper ohne Probleme. Beim Spielen – siehe Abbildung 10.5 – ließ sich die Maus bzw. Rollkugel benutzen. Die VGA-Grafik wirkte auf einem Neunzehnzöller etwas grob. Für xdosemu sollte das Paket mit den Xfonts eingerichtet sein, andernfalls sieht Text unschön aus. Beendet wird DOSEMU mittels exitemu. Einige Schätze mussten mangels eines betriebsbereiten 5.25-Zoll-Diskettenlaufwerks leider ungehoben bleiben. Weitere PC- oder DOS-Emulatoren für GNU/Linux sind: •
BOCHS http://bochs.sourceforge.net/, bei Debian vertreten, mit einer umfangreichen Dokumentation, ein vielseitiger Emulator der IntelProzessoren bis hin zum Pentium Pro.
454
• •
10 Erweitern
DOSBox http://dosbox.sourceforge.net, bei Debian vertreten, hauptsächlich für alte DOS-Spiele gedacht. QEMU http://fabrice.bellard.free.fr/qemu/, eine virtuelle Maschine, bei Debian vertreten, die es ermöglicht, Windows als Gastsystem unter Linux oder Linux als Gastsystem unter Windows zu betreiben und ein paar Dinge mehr.
Bei Interesse für eine Emulation kommt man nicht umhin, seine Wünsche genau zu analysieren und verschiedene Emulatoren auszuprobieren. Als Alternative bleibt immer, DOS direkt als zweites Betriebssystem neben GNU/Linux einzurichten und beim Systemstart per Bootloader auszuwählen. Dann hat man jedoch keine Fenster oder Desktöppe. 10.4.2 Windows-Emulator (Wine) MS Windows ist umfangreicher als DOS und bei weitem nicht so gut öffentlich dokumentiert. Entsprechend schwieriger ist seine Emulation. Der MS-Windows-Emulator Wine, Heimathafen http://www.winehq.com/, arbeitet unter Linux/UNIX mit X11 und benötigt keine Kopie eines MS Windows. Er bringt keine MS-WindowsAnwendungen wie notepad.exe mit, ist also kein FreeWindows, sondern nur eine Schnittstelle zwischen MS-Windows-Anwendungen und GNU/Linux. Bei Debian ist er mit mehreren Paketen vertreten. Wir richten die Pakete wine, wine-doc, wine-utils und xwine ein, was sang- und klanglos über die Bühne geht. Der Emulator wird folgendermaßen aufgerufen: joe@debian:~$ wine program.exe wobei ihm das MS-Windows-Programm program.exe natürlich irgendwie zugänglich gemacht werden muss. Abbildung 10.6 zeigt das Ergebnis des Aufrufs: joe@debian:~$ wine autorun.exe in einem Verzeichnis einer eingehängten CD mit dem Microsoft LexiROM. Bei der Suche nach ausführbaren Dateien auf der CD war find eine Hilfe: joe@debian:~$ find . -name ’*.exe’ Das Kommando xwine startet eine grafische Benutzeroberfläche zu Wine, lief jedoch nicht stabil und beendete sich mit einem segmentation fault. Eigentlich bietet es eine hübsche Möglichkeit zur Konfiguration von Wine, nur kam es nicht so weit. 10.4.3 MacOS-Emulator (Mac-on-Linux) Zur Emulation der Betriebssysteme MacOS 7.5.2 bis 9.2.2 und MacOS X 10.1 bis 10.3.3 auf einem PowerPC unter Linux steht Mac-on-Linux im Debian-Paket mol samt Begleitern zur Verfügung, Heimathafen http://maconlinux.org/. Es wendet sich an Linux-Benutzer, die gelegentlich auf einem PowerPC eine MacOSAnwendung starten möchten.
10.4 Emulatoren und Virtualisierer
455
Abb. 10.6: Screenshot des MS-Windows-Emulators Wine mit der Wiedergabe eines Artikels aus dem Microsoft LexiROM von 1996
Die Software aus dem Debian-Paket basilisk2 aus der Abteilung contrib emuliert einen 68k Macintosh. Man benötigt zusätzlich ein MacOS und die Abbilddatei eines Macintosh ROMs. Näheres unter http://basilisk.cebix.net/. 10.4.4 Virtualisierer (Xen, OpenVZ, UML, VServer) Der Übergang von Emulatoren zu Software, die mehrere virtuelle Rechner auf einer Maschine einrichtet, ist fließend. Der Unterschied besteht in der Zielsetzung. Während Emulatoren ein fremdes Betriebssystem oder dessen Anwendungen unter Linux verfügbar machen oder umgekehrt, teilt Virtualisierungssoftware eine physikalische Maschine in mehrere logische oder virtuelle Maschinen auf. Welche Betriebssysteme darauf laufen, ist eine zweitrangige Frage; es kann mehrmals dasselbe Betriebssystem sein. Auf diese Weise beherbergt (hostet) eine physikalische Maschine mehrere, voneinander unabhängige virtuelle Maschinen und wird besser ausgenutzt. Die Software lässt sich als Über-Betriebssystem auffassen. Ein bekannter Vertreter dieser Gruppe ist Xen mit dem Heimathafen http://www.cl.cam.ac. uk/Research/SRG/netos/xen/ und auch bei Debian ab etch in der Paketliste anzutreffen. Ein kommerzieller Vertreter ist VMWare (http://www.vmware. com/).
456
10 Erweitern
Xen ist eine umfangreiche Software, die sich nicht nebenbei auf einem Arbeitsplatzrechner einrichten lässt. Man sollte eine eigene Maschine dafür abstellen, zumal am Anfang ein gewisser Lernbedarf zu erwarten ist. Ein zweite Lösung dieser Art für Linux ist OpenVZ, beheimatet auf http: //openvz.org/, bei Debian mit drei Paketen vertreten. Der Aufwand für die Virtualisierung soll nur wenige Prozent der CPU-Leistung ausmachen und ist damit auf den meisten Maschinen vernachlässigbar.
Abb. 10.7: Screenshot von User-Mode Linux mit zwei Konsolen eines virtuellen GNU/LinuxSystems auf einem realen GNU/Linux-System
Der Dritte im Bunde ist User-Mode Linux (UML), das es ermöglicht, mehrere Gast-Linux-Systeme (target) innerhalb eines Wirt-Linux-Systems (host) zu betreiben. Bei Debian sind einige diesbezügliche Pakete zu holen, als erste user-modelinux und user-mode-linux-doc, weitere mit der Zeichenfolge uml im Namen nach Bedarf. Der UML-Kern läuft als Anwendung eines Benutzers unter dem HostGNU/Linux eines Arbeitplatzrechners genügender Leistung. Ein oder mehrere Benutzer können gleichzeitig mehrere Instanzen von UML in Betrieb haben, solange CPU und Arbeitsspeicher ausreichen. So etwas lässt sich gut bei Experimenten und Entwicklungen gebrauchen, zumal nur die Rechte eines gewöhnlichen Benutzers benötigt werden. Wer einen Kern gebacken hat, kann ihn testen, ohne Root
10.4 Emulatoren und Virtualisierer
457
zu sein. Bei TLDP und in /usr/share/doc/user-mode-linux-doc gibt es ein User Mode Linux HOWTO (2006) vom User Mode Linux Core Team zum Einstieg. Auf http://www.eggdrop.ch/texts/uml/ liegt Running Debian inside of Debian with User-Mode Linux (2004) von T HOMAS S TEINACHER. Der Heimathafen ist http://user-mode-linux.sourceforge.net/, mit viel Dokumentation. Den Einsatz von UML bei Experimenten mit einem virtuellen Netz innerhalb einer physikalischen Maschine beschreibt C HRISTIAN H AM MERS in http://www.lathspell.de/linux/uml/. Unter http://www. stearns.org/slartibartfast/uml-coop.html liegt ein Erfahrungsbericht von W ILLIAM S TEARNS aus dem Jahr 2004 über die Einrichtung virtueller Server mit UML, neben anderem Material vorwiegend für die Red-Hat-Welt. Nicht geeignet ist UML zur Entwicklung von Treibern, die auf die Hardware zugreifen, weil UML virtuelle Hardware vortäuscht, die sich in Einzelheiten von realer Hardware unterscheidet. Die Kernversionen von Wirt und Gästen brauchen nicht übereinzustimmen. Das Kommando linux ist ein Symlink auf /etc/alternatives/linux und dieses wiederum ein Symlink auf /usr/bin/linux.uml. Das Manual bekommen wir mit man linux. Auf http://user-mode-linux. sourceforge.net/ finden wir unter dem Punkt Building filesystems vier Werkzeuge zum Bau eines UML-Wurzeldateisystems. Bei Debian ist das Paket rootstrap verfügbar, bei http://umlbuilder.sourceforge.net/ der UML-Builder, der zwar auf einer beliebigen Wirtsdistribution läuft, für die Einrichtung von UML aber RPM-Pakete (RedHat und andere Distributionen) bevorzugt. Das Werkzeug rootstrap erledigt die gesamte Einrichtung eines DebianUML-Systems. Es besteht aus mehreren Modulen in Form von Shellskripten im Verzeichnis /usr/lib/rootstrap/modules. Bei unseren ersten Versuchen haben wir die Skripte mit einigen echo-Zeilen angereichert, um den Ablauf genauer zu verfolgen. Die Konfigurationsdatei von rootstrap ist /etc/rootstrap/ rootstrap.conf. Ein paar Zeilen sind zu editieren: initialsize=2048 http_proxy=192.168.1.1:3128 debug=true hostname=pcuml interface=eth0 transport=tuntap host=192.168.1.41 uml=192.168.1.42 netmask=255.255.255.0 gateway=192.168.1.41 nameserver=192.168.1.1 mirror=http://ftp2.de.debian.org/debian sources=deb http://ftp2.de.debian.org/debian etch main Die Datei ist kommentiert; trotzdem hier die Bedeutung der Änderungen:
458
•
• •
• • • • • • •
• • •
10 Erweitern
initialsize legt die Größe der Datei mit dem Wurzeldateisystem fest, hier zu 2 GB, auf heutigen Platten keine Verschwendung. Die Datei kann man sich vom Wirtssystem aus über den Loopback-Treiber ansehen, siehe Abschnitt 13.3 Loopback-Device auf Seite 574. Zu groß sollte man die Datei nicht machen, sonst dauert das Anlegen des Dateisystems lange. http_proxy benennt einen HTTP/FTP-Proxy im LAN, sofern man hat. debug bei ersten Versuchen auf true setzen, später nicht mehr. Bei Fehlern gelangt man in eine interaktive Shell und kann nach den Ursachen des Hängenbleibens forschen. hostname ist der Name, den der virtuelle Rechner bekommen soll, weitgehend beliebig. interface Name des Netzinterfaces im realen Rechner, das der virtuelle Rechner verwenden soll, meist eth0. transport Der vom virtuellen Rechner zu verwendende Transportmechanismus, hier TUN/TAP4 , siehe man tunctl. host nennt die IP-Adresse des Wirtssystems im LAN. uml nennt die IP-Adresse des virtuellen Systems, die auch in einem eigenen Subnetz wie 192.168.2.0 liegen könnte. netmask die vom virtuellen System zu verwendende Netzmaske, hier wir im ganzen LAN 255.255.255.0. gateway das vom virtuellen System zu verwendende Default-Gateway, sofern der virtuelle Rechner Verbindung zur Außenwelt bekommen soll. Das Gateway ist der reale Rechner, in dem UML untergebracht ist. Da müssen alle Pakete durch. domain die Domäne des virtuellen Systems, entweder dieselbe wie die des Wirtssystems oder bei einem eigenen Subnetz dessen Name, weniger wichtig. nameserver der im LAN üblicherweise angesprochene DNS-Server, hier ein lokaler Server mit dnsmasq. Unter Umständen überflüssig, aber unschädlich. sources eine bekannte Zeile aus /etc/apt/sources.list, die rootstrap in die gleichnamige Datei des UML-Systems schreibt. Etwaige Einrückungen kennzeichnen Zeilen als Fortsetzungen und sind erforderlich.
UML ist kein Bonsai-System, sondern ein ausgewachsenes GNU/Linux und verlangt daher einige Angaben, die man auch eingibt, wenn man Debian GNU/Linux auf einer leeren Platte einrichtet. Der Unterschied zu einer Ersteinrichtung liegt darin, dass seine Platte real eine Datei mit dem vorgegebenen, aber änderbaren Namen root_fs ist – genauso etwaige weitere virtuelle Blockgeräte – und sein Netzinterface über das reale Interface eth0 geht. Die Treiber von UML greifen nicht selbst auf die reale Hardware zu, sondern spiegeln Hardware vor. Auf die realen Geräte greifen nur die Treiber des Wirtssystems zu. Wir wechseln in das Verzeichnis, in dem die Datei root_fs mit dem Wurzelverzeichnis eingerichtet werden soll, und geben ein: 4
TUN bedeutet Tunnel und ist ein virtuelles Punkt-zu-Punkt-Netzinterface, verwirklicht durch einen Treiber (Kernmodul tun.ko). TAP ist ein virtueller Ethernet-Adapter, verwirklicht durch denselben Treiber. Erklärungen bei http://vtun.sourceforge.net/.
10.4 Emulatoren und Virtualisierer
459
joe@debian:~$ sudo rootstrap root_fs Root-Privilegien werden benötigt, weil auf dem Wirtsrechner das tap0-Interface eingerichtet und die Routing-Tabelle ergänzt werden müssen (modprobe, ifconfig und route add). Root kann jedoch tap0 vorher anlegen: debian:~# tunctl -u joe debian:~# ifconfig tap0 192.168.1.41 up debian:~# route add -host 192.168.1.42 dev tap0 debian:~# bash -c ’echo 1 > /proc/sys/net/ipv4/conf/tap0/proxy_arp’ debian:~# arp -v -Ds 192.168.1.42 eth0 pub debian:~# arp -v -Ds 192.168.1.42 tap0 pub Danach sollte der Aufruf: joe@debian:~$ /sbin/ifconfig tap0 folgendes Ergebnis liefern: tap0 Protokoll:Ethernet HW Adresse 6A:B8:A1:9C:9B:F3 inet Adresse:192.168.1.41 Bcast:192.168.0.255 Maske:255.255.255.0 ...... wogegen nichts einzuwenden ist, und der Aufruf: joe@debian:~$ /sbin/route das Ergebnis: Kernel IP Routentabelle Ziel Router 192.168.1.42 * 192.168.1.0 * default router
Genmask 255.255.255.255 255.255.255.0 0.0.0.0
Flags UH U UG
Iface tap0 eth0 eth0
Die Routentabelle wird zeilenweise abgearbeitet und beim ersten Treffer verlassen; die Reihenfolge der Zeilen spielt eine Rolle. Datenpakete vom Wirt an die Adresse 192.168.1.42 (= UML) werden lokal über das Interface tap0 zugestellt, Datenpakete an das übrige lokale Netz über das Interface eth0. Der Rest geht über eth0 an den DSL-Router namens router. Ferner ist in der Datei /etc/rootstrap/ rootstrap.conf zusätzlich eine Zeile: host_if=tap0 einzutragen, damit rootstrap nicht noch ein tap-Interface anlegt, sondern das vorhandene nutzt. Nach diesen Vorbereitungen kann Freund joe irgendwo innerhalb seines Home-Verzeichnisses loslegen:
460
10 Erweitern
joe@debian:~$ rootstrap root_fs Das Werkzeug sollte seine Arbeit erledigen und von Zeit zu Zeit einen Fortschritt mitteilen. Falls Sie bei der Einrichtung wegen eines Fehlers eine Shell bekommen und das Kommando ping aufrufen – was nahe liegt – verwenden Sie es nur mit einer Option wie -c 4, da die Eingabe von + nicht an ping unter rootstrap durchgereicht wird. Das Netzinterface zwischen Host und Gast hat vom Host aus gesehen die Bezeichnung tap0, die IP-Adresse 192.168.0.41 und eine Netzmaske 255.255.255.255 (Punkt-zu-Punkt-Verbindung). Vom Gast aus gesehen lauten die Werte eth0, 192.168.0.42 und 255.255.225.0. Nach glücklich vollendeter Einrichtung rufen wir das Prachtstück auf: joe@debian:~$ linux root_fs und bekommen einige Konsolen mit dem Prompt zum Einloggen, siehe Abbildung 10.7. Wir melden uns als Root ohne Passwort (!) an, besichtigen das System von innen und beginnen mit seiner Konfiguration. Herunterfahren mit shutdown.
Abb. 10.8: Screenshot von zwei VServern. Im unteren Fenster pingt vserv2 den im oberen Fenster gestarteten vserv1. Beide VServer stecken in derselben Kiste.
10.4 Emulatoren und Virtualisierer
461
Das Linux-VServer-Projekt (http://linux-vserver.org/, mit Dokumentation etc.) ist ebenfalls bei Debian zu finden. Es scheint noch nicht so weit gediehen zu sein wie die anderen Projekte, aber das kann sich schnell ändern. Ein HOWTO ist auf http://howtoforge.com/linux_vserver_ debian_etch/ (2006) veröffentlicht. Weitere Informationen liegen auf http: //www.nongnu.org/util-vserver/. Der VServer braucht einen angepassten Kern, den Debians vorbereitet haben, außerdem die SSH, die bereits eingerichtet sein dürfte. Wir holen uns die Pakete linux-image-2.6-vserver-686, util-vserver und vserver-debiantools, rebooten, wählen aus dem GRUB-Menü den angepassten vserver-Kern aus und loggen uns als Root ein. Mit dem Aufruf: debian:~# uname -r überzeugen wir uns davon, dass wir den richtigen Kern gestartet haben, und mit: debian:~# vserver-info davon, dass zumindest ein Hilfsprogramm funktioniert. Dann rufen wir das Kommando zum Einrichten eines neuen VServers auf: debian:~# newvserver -v --hostname vserv1 --domain beiuns --ip 192.168.1.43/24 --mirror http://ftp2.de.debian.org/debian und los geht es. Die Optionen hostname, domain und ip bezeichnen die entsprechenden Werte der virtuellen Maschine, mirror die Paketquelle. Nach ein paar Fragen zur Zeitzone, nach einem Root-Passwort etc. – die wir schon von der Ersteinrichtung her kennen – beginnt das große Herunterladen der ausgewählten Zusatzpakete vom Debian-Mirror. Zum Ausprobieren verzichtet man auf Zusatzpakete, um Zeit zu sparen. Wenn nicht anders verlangt, wird das Wurzelverzeichnis des VServers unter /var/lib/vservers angelegt, weshalb die /var-Partition nicht zu knapp bemessen sein sollte. Eine eigene Partition für die VServer wäre auch nicht verkehrt. Wir prüfen mittels: joe@debian:~$ /usr/sbin/vserver vserv1 status wie es dem VServer geht, und sollten die Meldung erhalten, dass er gestoppt ist. Nach erfolgreicher Einrichtung startet Root den VServer mittels: debian:~# vserver vserv1 start Einem gewöhnlichen Benutzer bleibt das Starten verwehrt mit der Begründung, dass nur Root VERIFYCAP ausführen dürfe. Jetzt sollte die Statusabfrage vermelden, dass der VServer rennt. Wir entern ihn mittels: debian:~# vserver vserv1 enter und bekommen sofort seinen Rootprompt auf den Schirm. Kommandos wie ps, mount, df oder ifconfig beziehen sich jetzt auf den VServer, vom Wirt ist nichts mehr zu sehen. Mit exit verlassen wir den VServer, er rennt jedoch weiter. Zum Stoppen geben wir folgendes Kommando:
462
10 Erweitern
debian:~# vserver vserv1 stop Bleibt noch die Feinabstimmung in /etc/vservers/vserv1. Das Konzept der VServer ist anders als das von User-Mode Linux; man muss mit beiden herumspielen (experimentieren), um sie kennenzulernen. Das ging so einfach, dass man Lust bekommt, gleich noch einen VServer einzurichten. Da wir die Pakete schon an Bord haben, brauchen wir den Mirror nicht erneut zu belästigen, sondern clonen den ersten VServer mittels: debian:~# dupvserver -v --from vserv1 -to vserv2 --ip 192.168.1.44/24 In Abbildung 10.8 sehen wir, wie vserv2 seinen älteren Bruder anpingt. Ehe man an die Massenproduktion von Vservern geht, schaue man sich den Pegel in der /var-Partition an. Ein weiteres interessantes Projekt ist Cooperative Linux (CoLinux), das bei der Zusammenarbeit von MS Windows und Linux eigene Wege geht. CoLinux ist ein ganzes Linux-System, das als ein einziger Anwenderprozess unter MS Windows läuft, ähnlich wie ein User Mode Linux unter einem Linux-Hostsystem. Näheres ist bei der deutschen Wikipedia, auf http://www.colinux.org/ und auf http://www.remote.org/sven/ zu erfahren. Bei Debian nicht vertreten. Es gibt feine Unterschiede im Ausmaß und in der Verwirklichung der Virtualisierung. Außer zu Emulatoren bestehen auch Kontakte zu Gefängnissen oder Jails, siehe Abschnitt 18.5 Gefängnisse auf Seite 930. Ein Webserver wie Apache kann von sich aus mehrere virtuelle Webserver mimen, ohne dass ein Browser etwas merkt. Eine Übersicht über das Thema bieten die englische Wikipedia unter dem Schlagwort Virtualization und die deutsche unter Virtualisierung (Informatik). Da sich die virtuellen Maschinen CPU und Arbeitsspeicher teilen, sei erstere nicht zu langsam – mehrere Prozessoren (SMP) sind vorteilhaft – und letzterer üppig ausgelegt. Der Vorteil der Virtualisierung liegt unter anderem in der dynamischen Aufteilung der Ressourcen. Eine häufige Anwendung sind virtuelle Server mit Root-Zugriff zwecks Web-Hosting. Der Mieter verfügt als Root über seinen virtuellen Server, teilt sich aber die reale Maschine mit anderen Mietern. Bei Debian liegen zahllose weitere Anwendungen zum Herunterladen und Einrichten mittels apt-get bereit. Einer Auswahl daraus ist unser zweiter DebianBand gewidmet. Seine Inhaltsübersicht finden Sie vorn im vorliegenden Buch.
Teil III
Betrieb
11 Systemstart (Booten)
Beim Systemstart (Booten) spielt sich eine Reihe von weitgehend unsichtbaren Aktivitäten ab. Wir verfolgen die Schritte, erläutern die Einstellungen und weisen auf Fallstricke hin.
11.1 Linux-Bootloader und -Bootmanager 11.1.1 BIOS, MBR und Bootsektor Nach dem Einschalten eines PCs wird ein fest in den Rechner eingebautes Programm, das BIOS, gestartet. Dieses Programm führt zunächst einige Selbsttests durch und bietet dem Benutzer die Möglichkeit, durch Betätigen einer bestimmten Taste (oft <del>) oder Tastenkombination in ein BIOS-Setup-Menü zu gelangen, in dem Einstellungen des BIOS geändert werden können, wie in Abschnitt 7.4 BIOSEinstellungen auf Seite 360 beschrieben. Wir gehen davon aus, dass die Einstellungen passen, und beschreiben den klassischen Startvorgang, der sich in mehreren Stufen abspielt. Nach der Initialisierung der Hardware lädt das BIOS die ersten 446 Bytes des Master Boot Records (MBR) der ersten Festplatte in den Arbeitsspeicher und führt sie als Programm aus. Der MBR liegt stets auf dem ersten Sektor der Festplatte. Insgesamt ist er 512 Bytes (ein Sektor oder Block) groß und umfasst neben dem Startprogramm die Partitionstabelle der Festplatte, siehe Abschnitt 6.5 Partitionierung von Festplatten auf Seite 322. Das BIOS enthält einige Routinen, mit denen auf die Hardware des Rechners zugegriffen wird. Ihre Fähigkeiten sind gegenüber den Funktionen der Betriebssysteme eingeschränkt. So lassen sich mit dem BIOS nur die ersten 1024 Zylinder einer Festplatte ansprechen. Ferner kann nur eine eng begrenzte Anzahl von Platten erkannt werden. Zum Zeitpunkt, zu dem das Startprogramm des MBR ausgeführt wird, steht noch kein Betriebssystem bereit. Das Startprogramm muss seine eigenen Routinen zur Hardwaresteuerung oder die des BIOS benutzen und kann daher Betriebssysteme
466
11 Systemstart (Booten)
nur von Festplattenbereichen laden, die durch das BIOS angesprochen werden. Ein solches Startprogramm wird von den meisten Betriebssystemen während ihrer Einrichtung in den MBR geschrieben. Es ist Voraussetzung für den Start eines Betriebssystems. Ohne MBR geht nichts. Jede Partition verfügt über einen Bootsektor, der ebenfalls 512 Byte groß ist und am Anfang der jeweiligen Partition liegt. Das Startprogramm des MBR überprüft zunächst, welche Partition in der Partitionstabelle als aktiv markiert ist, und lädt den Inhalt des Bootsektors der aktiven Partition in den Arbeitsspeicher, um diesen ebenfalls als Programm auszuführen. Der Programmcode im Bootsektor der aktiven Partition ist in der Regel für das Laden des Betriebssystems zuständig, kann aber auch nur ein weiterer Sprungbefehl sein. Dieses von den meisten Betriebssystemen unterstützte Startkonzept ermöglicht, auf einfache Weise das zu startende Betriebssystem festzulegen, indem eine Partition als aktiv markiert wird. Unter Debian GNU/Linux geschieht dies mit dem Kommando fdisk aus dem Paket util-linux oder seinen Alternativen, auch bei späteren Änderungen. Um Linux automatisch zu starten, ist ein Bootloader, -manager oder -selector wie LILO oder GRUB (F: chargeur d’amorçage) einzurichten, mit dem der Kern nach dem Einschalten in den Arbeitsspeicher geladen wird. Dieses Programm kann – wie bei anderen Betriebssystemen – in den Bootsektor einer von Linux benutzten primären oder erweiterten Partition kopiert werden. Es kann jedoch auch in den MBR installiert werden und dann den Bootprozess des Rechners von Anfang an steuern. Eine dritte, umständlichere Möglichkeit ist, ein DOS-Programm zu verwenden, mit dem Linux nach dem Start eines DOS-basierten Betriebssystems gestartet wird. Das Einrichtungsprogramm des Grundsystems bietet an, den vorgegebenen Bootloader für Linux auf PCs, GRUB, in den Bootsektor der primären Partition zu schreiben, in die wir Debian GNU/Linux installiert haben. Falls wir Debian GNU/Linux in eine logische Partition installiert haben, besteht die Möglichkeit, den Bootloader in den Bootsektor der erweiterten Partition zu schreiben, in der die betreffende logische Partition liegt. Hierdurch wird ermöglicht, Linux automatisch zu starten, falls die entsprechende Partition in der Partitionstabelle als aktiv markiert ist, ein MBR vorhanden ist, der den Bootsektor der aktiven Partition startet, und sich die betreffende Partition innerhalb der ersten 1024 Zylinder auf der ersten Festplatte befindet. Ist eine dieser Voraussetzungen nicht erfüllt, kann es zu Problemen beim automatischen Start von Linux kommen, und die Bootkonfiguration muss geändert werden. Da sowohl MBR wie Bootsektoren viel zu klein sind, um den gesamten Code eines modernen Bootloaders aufzunehmen, wird der Bootloader in mindestens zwei Stufen aufgeteilt: eine erste kleine, die in einen Sektor von 512 Bytes passt und praktisch nur einen Sprungbefehl enthält, und eine zweite große, die den eigentlichen Code umfasst. GRUB verwendet noch eine dateisystemtyp-spezifische Zwischenstufe. Zu besichtigen im Verzeichnis /usr/lib/grub/i386-pc. Das Einrichtungsprogramm des Grundsystems bietet außerdem an, einen neuen MBR auf die erste Festplatte zu schreiben. Dieser MBR folgt der oben beschriebenen Konvention, den Programmcode im Bootsektor der aktiven Partition zu laden,
11.1 Linux-Bootloader und -Bootmanager
467
mit dem dann ein Betriebssystem geladen wird. Gegenüber den von DOS-basierten Betriebssystemen installierten MBRs bietet der MBR des Debian-Systems eine Reihe von Vorteilen. Beispielsweise kann dieser MBR so konfiguriert werden, dass die zu startende Partition vom Benutzer ausgewählt wird. Alternativ dazu besteht die Möglichkeit, GRUB in den MBR einer beliebigen Festplatte zu kopieren. Damit lässt sich Linux auch von anderen Festplatten als der ersten starten, sofern diese vom BIOS angesprochen werden. Eine solche Konfiguration muss angepasst werden, wenn außer Linux noch andere Betriebssysteme gestartet werden sollen. Ein Debian-MBR ist in dem Paket mbr enthalten. In dem Paket befindet sich auch das Programm install-mbr, mit dem der MBR neu eingerichtet wird. Dabei wird ein etwa vorhandener MBR überschrieben. Die Partitionstabelle ist nicht betroffen. Zur Einrichtung des MBRs ist folgendes Kommando einzugeben: debian:~# install-mbr /dev/hda Das Argument /dev/hda bezeichnet die erste IDE-Festplatte. Weitere Hinweise zu install-mbr auf der Manualseite des Programms. Die Benutzung des MBRs ist in der Datei /usr/share/doc/mbr/README erläutert. 11.1.2 Bootverfahren Die beschriebene Einrichtung von Master Boot Record, Bootsektor und aktiver Partition während der Grundeinrichtung eignet sich für Rechner, auf denen Debian GNU/Linux als einziges Betriebssystem läuft. Bei Verwendung mehrerer Betriebssysteme empfiehlt es sich jedoch, ein abgewandeltes Verfahren zu verwenden, um beim Systemstart das zu startende Betriebssystem auswählen oder um Linux von einer anderen Festplatte als der ersten starten zu können. Die simpelste Methode ist die Verwendung einer Bootdiskette. Dabei braucht die bestehende Bootkonfiguration des Rechners nicht verändert zu werden; außerdem gibt es keine Probleme mit der 1024-Zylinder-Grenze. Genauso lässt sich eine Boot-CD/DVD verwenden, sofern das BIOS den Start von CD/DVD unterstützt. Das Herstellen eines Bootmediums wird in Abschnitt 11.7 Bootdiskette bzw. -CD/DVD auf Seite 496 erläutert. Der elegantere Weg besteht im Einsatz eines Bootmanagers, eines intelligenten Bootloaders. Auf dem Markt sind mehrere freie oder kommerzielle Bootmanager erhältlich. Hierbei handelt es sich um Programme, die nach dem Start des Rechners die Auswahl des zu ladenden Betriebssystems ermöglichen. Solche Bootmanager werden in der Regel aus dem MBR heraus gestartet. Wir bleiben bei der Bezeichnung Bootloader unabhängig vom Intelligenzquotienten des Werkzeugs. Die meisten Bootloader verfahren nach der Auswahl des Betriebssystems ähnlich wie ein Standard-MBR: Sie laden den Programmcode im Bootsektor der Partition, auf der sich das ausgewählte Betriebssystem befindet. Wenn wir Linux mit einem solchen Bootloader starten wollen, ist es erforderlich, ebenfalls entsprechenden Code im Bootsektor der Linux-Partition einzurichten. LILO und GRUB können neben
468
11 Systemstart (Booten)
Linux andere Betriebssystem laden und ermöglichen nach entsprechender Anpassung die Auswahl zwischen den verfügbaren Systemen. 11.1.3 Sichern und Wiederherstellen des MBR Wenn LILO oder GRUB eingerichtet wird, legt der Installer eine Sicherungskopie des alten MBRs oder Bootsektors in einer Datei im Verzeichnis /boot ab. Der Name dieser Datei beginnt mit boot und endet mit vier Zahlen, die der Gerätenummer der Festplatte oder Partition entsprechen, in deren MBR oder Bootsektor LILO oder GRUB installiert wurde. Die Backup-Datei wird nur dann angelegt, wenn sie nicht schon vorhanden ist. Wir erzwingen das Anlegen eines Backups, indem wir das alte Backup umbenennen oder mit der Anweisung backup=Dateiname eine andere Datei festlegen. Im Allgemeinen ist es ratsam, die MBRs aller Festplatten auf einen externen Datenträger zu sichern. Wenn die Partitionstabelle im MBR beschädigt ist, kann auf die Daten der betroffenen Festplatte nicht mehr zugegriffen werden und deswegen auch kein Backup mehr auf die Festplatte zurückgespielt werden. Um den MBR der ersten IDE-Festplatte auf eine DOS-formatierte Diskette zu sichern, ist sie in das Laufwerk einzulegen und in das Wurzeldateisystem einzuhängen: debian:~# mount -t msdos /dev/fd0 /media/floppy Der Bootsektor kann nun mit dem Kommando dd auf die Diskette gesichert werden: debian:~# dd if=/dev/hda of=/media/floppy/mbr_hda bs=512 count=1 Dieser Schritt ist für etwaige weitere Festplatten zu wiederholen. Dabei sind für /dev/hda und mbr_hda entsprechend andere Angaben zu machen. Zu Schluss wird die Diskette aus dem Dateisystem ausgehängt. Die Sicherungskopien werden ungültig, wenn sich die Partitionierung der Festplatte ändert oder ein anderer MBR eingerichtet wird. Ein auf Diskette gesicherter MBR wird mit der folgenden Prozedur zurückgeschrieben. Das System ist vorher erforderlichenfalls mit einer von einer Live-CD zu starten. Zunächst ist die Diskette, auf der sich die Sicherungskopien befinden, einzulegen und einzuhängen. Dann wird der MBR von der Diskette auf die Festplatte geschrieben: debian:~# dd if=/media/floppy/mbr_hda of=/dev/hda bs=512 count=1 Soll der MBR einer anderen Festplatte als /dev/hda zurückgeschrieben werden, ist das Kommando entsprechend zu ändern. Wenn nur der Bootcode im MBR, nicht aber die Partitionstabelle zurückgeschrieben werden soll, ist das Kommando wie folgt zu ändern: debian:~# dd if=/floppy/mbr_hda of=/dev/hda bs=446 count=1
11.2 LILO – der LInux LOader
469
Wenn nur die Partitionstabelle, nicht aber der Programmcode im MBR zurückgeschrieben werden soll, ist folgender Aufruf zu verwenden: debian:~# dd if=/floppy/mbr_hda of=/dev/hda bs=1 count=64 skip=446 seek=446 Nach dem Zurückschreiben wird die Diskette aus dem Dateisystem ausgehängt. Das System sollte danach neu gestartet werden, um den Erfolg zu überprüfen. Wenn die Partitionstabelle im MBR beschädigt ist und nicht wieder hergestellt werden kann, lässt sich auf die Daten der betroffenen Festplatte nicht mehr zugreifen. Sie sind aber trotzdem noch vorhanden. Die Lösung des Problems besteht darin, die Partitionstabelle neu zu erzeugen. Hierbei unterstützt uns das Programm /sbin/gpart. Das Werkzeug untersucht die gesamte Festplatte und versucht dabei herauszufinden, wo sich Partitionsgrenzen befinden. Weil dies nicht immer eindeutig ist, kann es dabei zu Fehlern kommen. Allerdings lässt sich gpart so verwenden, dass es nachfragt, ob die vorgeschlagenen Partitionsgrenzen stimmen. Wer die Partitionierung seiner Festplatte noch halbwegs im Kopf oder aufgeschrieben hat, sollte in der Lage sein, die ursprüngliche Partitionierung wieder herzustellen. gpart ist ausführlich durch eine Manualseite dokumentiert. Es sollte rechtzeitig auf eine Diskette kopiert werden, damit es im Falle des Falles zur Verfügung steht.
11.2 LILO – der LInux LOader 11.2.1 Installationsort für LILO Das Programm LILO war bis woody der vorgegebene Bootloader für Linux auf PCs. Der primäre Zweck von LILO besteht darin, Programmcode in den Bootsektor einer Linux-Partition zu installieren, mit dem der Linux-Kern geladen und gestartet wird. LILO lädt auch andere Betriebssysteme wie DOS, MS Windows, IBM OS/2 oder Sun Solaris. Er lässt sich so konfigurieren, dass er die verschiedenen Systeme zur Auswahl stellt und das gewünschte System startet. Dabei kann LILO auch so eingestellt werden, dass er unterschiedliche Linux-Systeme oder Linux-Kerne startet. LILO ist wie Loadlin oder GRUB in der Lage, dem Kern alle notwendigen Parameter zu übergeben, und kann durch bestimmte Einstellungen auch Betriebssysteme von Partitionen booten, von denen sie normalerweise nicht gestartet werden können. Das Paket lilo enthält die Datei /usr/share/doc/lilo/Manual.txt. gz, welche die ausführliche Dokumentation zu LILO beinhaltet. Weitere Dokumentation ist in dem Paket lilo-doc zu finden. Ausserdem gibt es bei TLDP ein LILO mini-HOWTO (2007), ein LILO-crash-rescue-HOWTO (2003, zur Zeit zwecks Bearbeitung zurückgezogen), ein Multiboot with LILO mini-HOWTO (1998), ein Linux+WindowsNT mini-HOWTO (2006, berücksichtigt MS Windows 2000) und weitere HOWTOs, die LILO zwar nicht zum Thema haben, jedoch streifen. Um ein Betriebssystem zu laden, benutzt LILO die Routinen des BIOS und ist an deren Einschränkungen gebunden. Wenn LILO in den MBR der ersten Festplatte
470
11 Systemstart (Booten)
installiert wird, dient er als Master-Bootloader. Er ist dann für das Laden aller vorhandenen Betriebssysteme verantwortlich. Im Allgemeinen ist jedoch zu empfehlen, LILO in den Bootsektor einer Linux-Partition zu installieren. Dies bietet den Vorteil, dass man ein zweistufiges Bootverfahren hat, bei dem zunächst durch die aktive Partition oder einen anderen Bootloader bestimmt wird, von welchem Bootsektor weiter gebootet wird. Auch wenn LILO nicht im MBR installiert ist, kann er andere Betriebssystem laden. Es ist also auch bei einer solchen Konfiguration nicht notwendig, durch Aktivierung der zu startenden Partition das Betriebssystem festzulegen, sondern es reicht aus, die Partition zu aktivieren, in die LILO installiert wurde, und dann das zu startende Betriebssystem auszuwählen. Auf der anderen Seite kann eine alte Bootkonfiguration schnell wieder hergestellt werden, indem eine Partition mit einem anderen Betriebssystem aktiviert wird. Prinzipiell kann LILO in jede Linux-Partition installiert werden. Normalerweise verwendet es die von Linux benutzte Root- oder Bootpartition. Wenn Linux in eine logische Partition installiert wurde, sollte LILO in dem Bootsektor der erweiterten Partition installiert werden, in dem sich die betreffende logische Partition befindet. Der Grund ist, dass mit den meisten MBRs nur Bootsektoren von primären Partitionen geladen werden können und erweiterte Partitionen zugleich primäre Partitionen sind1 . Es gibt eine Ausnahme von der Regel, LILO in den Bootsektor der LinuxPartition zu installieren. Der Code im MBR ist in der Regel nur dazu in der Lage, Bootsektoren von der ersten Festplatte zu laden. Dies gilt für die MBRs, die von DOS oder MS Windows installiert werden, sowie für den Debian MBR aus dem Paket mbr. Wird durch den MBR jedoch ein intelligenter Bootloader gestartet, ist dieser in der Lage, Betriebssysteme von anderen Festplatten zu laden. Wenn also – neben LILO – kein Bootloader benutzt wird und Linux sich nicht auf der ersten Festplatte befindet, kann LILO in den MBR installiert werden, um Linux von einer anderen Festplatte zu laden. Hierbei gilt weiterhin die Einschränkung, dass das BIOS in der Lage sein muss, die zusätzliche Platte, auf der sich Linux befindet, anzusprechen. Ältere BIOS können nur die ersten zwei Festplatten ansprechen. Bei Mischsystemen (SCSI- und IDE-Festplatten) können in der Regel nur die IDEFestplatten angesprochen werden. Neuere BIOS können hingegen die ersten vier Festplatten ansprechen und auch bei Mischsystemen von SCSI-Festplatten booten. 11.2.2 LILOs Bestandteile Neben dem Code im Bootsektor einer Partition benötigt LILO einige weitere Dateien, die sich im Verzeichnis /boot befinden. Weil im Bootsektor selbst nur wenig Platz vorhanden ist, befindet sich dort im wesentlichen nur Code, der andere Teile LILOs von der Festplatte lädt und diese ausführt. Der eigentliche LInux LOader 1
Dies kann zu Problemen führen, falls dort bereits ein anderes Betriebssystem seinen Bootsektor installiert hat, also etwa eine andere Linux-Installation, die sich ebenfalls auf einer der logischen Partitionen innerhalb der erweiterten Partition befindet. Bei Verwendung von DOS oder MS Windows ist das jedoch nicht zu befürchten.
11.2 LILO – der LInux LOader
471
befindet sich in der Datei /boot/boot.b. Er wird auch als second stage loader bezeichnet. Zusätzlich braucht LILO die Datei /boot/map, in die er während seiner Installation einträgt, wo sich die zu ladenden Daten auf der Festplatte befinden. Weiter wird die eigentliche Kerndatei benötigt, die ebenfalls im Verzeichnis /boot liegen sollte und normalerweise den Namen vmlinuz-(Kern-Version), beispielsweise vmlinuz-2.6.18, trägt. Wenn LILO bei seinem Start Meldungen ausgeben soll, müssen diese in einer Datei stehen, die sich ebenfalls im Verzeichnis /boot befinden sollte. Darüber hinaus liegt im Verzeichnis /boot nach dem Einrichten von LILO die Datei chain.b, die zum Laden anderer Betriebssysteme dient. Auf alle genannten Bestandteile LILOs muss während des Bootens mit Hilfe des BIOS zugegriffen werden. Das Verzeichnis /boot muss sich deswegen auf einer Festplatte befinden, die über das BIOS angesprochen werden kann und innerhalb der ersten 1024 Zylinder auf der Festplatte liegt. Ein modernes BIOS kann sich flexibler zeigen. Neben diesen Teilen gehört zu LILO das Programm /sbin/lilo, mit dem LILO in den Bootsektor einer Partition oder in den MBR installiert wird. Dieses Programm erzeugt auch die Datei /boot/map. Es wird deswegen auch als MapInstaller bezeichnet. Das Programm /sbin/lilo wird über die Datei /etc/ lilo.conf konfiguriert. In dieser Datei ist anzugeben, wie LILO eingerichtet werden soll. Immer, wenn eine der zu LILO gehörenden Dateien geändert, verschoben oder neu geschrieben wurde, stimmen die Informationen in der Datei /boot/map nicht mehr mit der tatsächlichen Lage der Dateien auf der Festplatte überein. In diesen Fällen, beispielsweise nach der Einrichtung eines neuen Kerns oder nach Änderungen in /etc/lilo.conf, muss LILO mit /sbin/lilo erneut angepasst werden. 11.2.3 Einrichten des Paketes Die Bestandteile von LILO sind in dem Paket lilo enthalten. Wenn das Paket neu eingerichtet oder aktualisiert wird, wird das Skript /usr/sbin/liloconfig aufgerufen. Das Skript überprüft, ob die Konfigurationsdatei /etc/lilo.conf bereits vorhanden ist und führt /sbin/lilo nach einer Sicherheitsabfrage aus, sofern dies zutrifft. Das ist notwendig, weil sich die Bestandteile von LILO im Verzeichnis /boot durch eine Aktualisierung ändern und die Datei /etc/map deswegen neu geschrieben werden muss. Falls /usr/sbin/liloconfig keine Konfigurationsdatei findet, versucht es, nach einer entsprechenden Abfrage selbst die Datei zu erstellen und LILO mit dieser Datei einzurichten. Die Datei kann als Ausgangsbasis für die zu verwendende LILO-Konfiguration benutzt werden. Sie sollte jedoch auf jeden Fall vom Verwalter überprüft werden. 11.2.4 Aufbau der Datei lilo.conf In LILOs Konfigurationsdatei /etc/lilo.conf finden wir drei Arten von Einträgen:
472
• • •
11 Systemstart (Booten)
globale Einstellungen, welche die allgemeine Arbeitsweise und Einrichtung von LILO beeinflussen, Anweisungen zum Laden eines bestimmten Kerns oder eines anderen Betriebssystems und drittens Anweisungen, die nur beim Laden eines bestimmten Kerns oder Betriebssystems ausgeführt werden.
Jede Anweisung steht in einer eigenen Zeile. Anweisungen, die nur einen bestimmten Kern oder ein Betriebssystem betreffen, befinden sich unter der Anweisung zum Laden dieses Betriebssystems. Die Datei darf darüber hinaus Leerzeilen und Kommentare enthalten. Kommentare werden mit einem Doppelkreuz eingeleitet. Das folgende Beispiel zeigt eine einfache Konfigurationsdatei, die zum Laden von Linux und einem alternativen Betriebssystem benutzt werden kann: boot=/dev/hda2 install=/boot/boot.b compact delay=20 map=/boot/map vga=normal image=/vmlinuz label=Debian root=/dev/hda5 read-only other=/dev/hda1 label=Dos In der ersten Anweisung – beginnend mit boot= – wird festgelegt, wohin LILO installiert werden soll. Im Beispiel ist dies der Bootsektor der zweiten primären Partition auf der ersten IDE-Festplatte (/dev/hda2). Wenn LILO nicht in den Bootsektor einer Partition, sondern in den MBR installiert werden soll, ist hier der Name der Festplatte wie /dev/hda anzugeben. Die Anweisung install= gibt an, welcher Programmteil in den Bootsektor bzw. in den MBR geladen werden soll. Die Anweisung ist optional. Fehlt sie, wird die Voreinstellung /boot/boot.b benutzt. Die nächste Anweisung, compact, weist LILO an, den Lesezugriff auf den Datenträger zu optimieren. Sie führt zu besseren Ladezeiten, kann aber auf einigen Systemen Probleme verursachen. Falls Sie Probleme mit LILO haben, versuchen Sie es ohne die Anweisung. Mit delay=20 wird verlangt, dass LILO zwei Sekunden warten soll, bis ein Betriebssystem gestartet wird, falls keine Auswahl vom Benutzer getroffen wird. Die Zahl gibt die Wartezeit in Zehntelsekunden an. Fehlt die Anweisung, startet LILO sofort ein System. Die Zeile map= weist Lilo auf die Datei mit den Angaben zur Lage des Kerns und anderer Dateien auf der Platte hin. Fehlt die Zeile, wird /boot/map angenommen. Sie ist hier überflüssig, aber nicht schädlich.
11.3 GRUB – der Grand Unified Bootloader
473
Die letzte Anweisung des allgemeinen Teils, vga=normal, bestimmt, den Bildschirm in der Standardeinstellung (80 Spalten, 25 Zeilen) zu belassen. Die Anweisung ist optional. Bei der Anweisung können zwei andere Schlüsselwörter verwendet werden. Mit vga=extended wird der Bildschirm im Modus 80 Spalten, 50 Zeilen betrieben, und mit vga=ask wird ein Menü mit Bildschirmauflösungen erzeugt, aus denen ausgewählt werden kann. Außerdem ist es möglich, eine hexadezimale Zahl anzugeben (z. B. vga=0xf01), mit der ein bestimmter Bildschirmmodus voreingestellt wird. Die hier möglichen Zahlen erscheinen auch im Menü, das mit vga=ask erzeugt wird. Eine sinnvolle Vorgehensweise ist deswegen, zunächst vga=ask zu verwenden und, nachdem man den gewünschten Modus gefunden hat, den richtigen Wert einzusetzen. Wenn Linux mit dem VESA-Framebuffer-Treiber betrieben wird, muss der gewünschte Framebuffer-Modus mit diesem Parameter übergeben werden. Mit der Anweisung image= wird LILO angewiesen, die Kerndatei /vmlinuz zu laden. Die Datei /vmlinuz ist meist ein symbolischer Link auf die Abbilddatei des zu verwendenden Kerns im Verzeichnis /boot. Weil die Anweisung im Beispiel die erste Anweisung zum Laden eines Kerns darstellt, wird der bezeichnete Kern von LILO geladen, falls während des Bootens keine andere Auswahl getroffen wird. Alle folgenden Anweisungen beziehen sich auf den genannten Kern. Sie wirken sich nicht aus, wenn ein anderer Kern oder ein anderes Betriebssystem geladen wird. Dies gilt, bis eine neue Anweisung zum Laden eines Kerns oder eines Betriebssystems folgt. Die drei nächsten Anweisungen bezeichnen Optionen, die beim Laden des Kerns /vmlinuz gelten. Mit label= wird festgelegt, dass der Kern beim Booten mit der Bezeichnung Debian ausgewählt werden kann. Die Zeile root= weist den Kern an, die Partition /dev/hda5 als Rootpartition einzuhängen. Mit read-only wird die Rootpartition nur zum Lesen eingehängt. Das ist eine sinnvolle Voreinstellung, damit das Rootdateisystem gegebenenfalls auf Fehler untersucht werden kann. Im Verlauf des Bootprozesses wird es zum Schreiben und Lesen eingehängt. Die nächste Anweisung other=/dev/hda1 weist LILO an, das Betriebssystem zu starten, das seinen eigenen Bootloader im Bootsektor der Partition /dev/ hda1, der ersten primären Partition auf der ersten IDE-Festplatte, hat. Eine solche Anweisung ist geeignet, um Betriebssysteme wie DOS oder MS Windows 95/98 zu laden. Die letzte Anweisung bezieht sich wieder nur auf das zuvor genannte Betriebssystem. Mit der Anweisung label= wird festgelegt, dass das Betriebssystem mit dem Bootsektor in /dev/hda1 beim Booten über die Bezeichnung Dos ausgewählt werden kann. Die beiden Anweisungen sind optional und werden nur benötigt, wenn mit LILO außer Linux ein weiteres Betriebssystem gestartet werden soll.
11.3 GRUB – der Grand Unified Bootloader 11.3.1 Einführung Ein weiterer Bootloader ist der GNU GRand Unified Bootloader (GRUB) aus dem gleichnamigen Paket. Das Programm wurde entwickelt, um den GNU-HURD-Kern
474
11 Systemstart (Booten)
zu booten. GRUB ist jedoch in der Lage, auch Linux, DOS, MS Windows und weitere Betriebssysteme zu starten, und bietet gegenüber LILO Vorteile. Der wichtigste ist, dass dieser Bootloader einige Dateisystemtypen kennt und Kerne direkt aus dem Dateisystem lädt statt von Positionen auf der Platte. Dadurch entfällt der Zwang zur Neuinstallation des Bootloaders, wenn sich Kerndateien geändert haben. Außerdem können Kerne und Betriebssysteme mit GRUB während des Systemstarts interaktiv beleibig ausgewählt werden. Wir können im Dialog mit GRUB unbedenklich experimentieren, ohne die Grundkonfiguration zu ändern. GRUB folgt der GNU Multiboot Specification und ist gegenwärtig die Vorgabe auf vielen Linux-Systemen mit IntelArchitektur. Der Nachfolger von GRUB steht schon fest: GRUB2. Damit wird GRUB, jetzt GRUB Legacy genannt, Versionsnummer 0.9*, nicht mehr weiter entwickelt, sondern nur noch von Fehlern bereinigt. GRUB2 ist modularisiert, was zu klarerem Code und mehr Flexibilität führt. Ein Debian-Paket unter dem Namen grub2 ist in testing verfügbar, gilt aber noch als experimentell. Sein Heimathafen ist wie der von GRUB http://www.gnu.org/software/grub/ mit einem längeren Online-Manual von 2006 auf Englisch. Weitere Informationen gibt es bei http://linuxwiki.de/GRUB, http://www.pl-berichte.de/t_ system/grub-howto.html, http://grub.enbug.org/ sowie bei TLDP in Form zweier HOWTOs: Multiboot with GRUB mini-HOWTO (2001) und Linux + Win9x + Grub HOWTO (2002) von J OEL ROSEN. Wir beschränken uns auf die wesentlichen Punkte von GRUB Legacy. 11.3.2 Einrichtung Falls Sie auf einem jüngeren Debian-System arbeiten, dürfte GRUB bereits eingerichtet sein. Der Aufruf: debian:~# apt-get install grub sollte zu der Meldung: grub ist schon die neueste Version. führen und weiter nichts veranlassen; andernfalls wird GRUB von apt-get eingerichtet oder aktualisiert. Zu erwägen ist das Nachrüsten der Pakete: • • •
grub-doc mit Dokumentation größtenteils im html-Format, die in /usr/ share/doc/grub-doc/ landet, grub-disk mit Abbilddateien einer GRUB-Rescue-Floppy und -CD, grub-splashimages mit einer Handvoll hübscher Startbilder für GRUB, falls das vorgegebene schlichte Blau nicht den Ansprüchen genügt, siehe Abbildung 11.1.
Hat man sich das Paket mit den Startbildern geholt, ist noch in der Konfigurationsdatei /boot/grub/menu.lst – beispielsweise nach der Zeile: # Pretty colors folgende Zeile einzufügen:
11.3 GRUB – der Grand Unified Bootloader
splashimage
475
/boot/grub/splashimages/debsplash.xpm.gz
Beim nächsten Systemstart erscheint dann kurz das durch den Pfad benannte Bild. Falls das Kommando update-grub eine derartige Zeile automatisch erzeugen soll, empfiehlt sich das Anlegen eines Symlinks: debian:/boot/grub# ln -s splashimages/debsplash.xpm.gz splash.xpm.gz Weitere Bildchen gibt es bei http://www.schultz-net.dk/grub.html und http://www.bootsplash.de/. Wer selbst bildhauern will, findet Hilfe unter http://ruslug.rutgers.edu/~mcgrof/grub-images/.
Abb. 11.1: Startbild (splash image) von GRUB, falls eingerichtet, hier mit einer Auswahl verschiedener Linux-Kerne und Betriebssysteme
Mit dem Grundpaket grub gelangen folgende Kommandos in die Verzeichnisse /sbin und /usr/sbin: •
grub-install richtet den Bootloader auf einer Festplatte ein, die in GRUBoder Linux-Schreibweise anzugeben ist, zum Beispiel hd(0,0) oder /dev/ hda1; runde Klammern sind wegen der Bash zu quoten.
476
•
• • •
•
• • • •
11 Systemstart (Booten)
update-grub erzeugt oder erneuert die Automagic Kernels List in der GRUBKonfigurationsdatei menu.lst, vergreift sich aber nicht am Vor- oder Nachspann. mbchk untersucht einen Kern auf Einklang mit der GNU Multiboot Specification, für Kernbäcker interessant. mkbimage erzeugt eine bootfähige Abbilddatei mit GRUB als Bootloader zum Kopieren auf einen Datenträger. grub ist die GRUB-Shell, die GRUB-Kommandos entgegen nimmt und ausführt. help und quit sind ungefährliche GRUB-Kommandos zum Ausprobieren. grub-floppy erzeugt eine allgemein verwendbare Bootdiskette, die eine GRUB-Shell zur Verfügung stellt, in die man interaktiv die Parameter für den jeweiligen Rechner eingibt. grub-md5-crypt verschlüsselt ein GRUB-Passwort, aber trägt es nicht in die Konfigurationsdatei ein. grub-reboot startet nach Rückfrage den Rechner neu. grub-set-default schreibt die Datei /boot/grub/default. grub-terminfo liest aus der Datei /etc/terminfo, sofern vorhanden, einige Kommandos (Escape-Sequenzen), die in menu.lst verwendet werden können. Nützlich, wenn das tatsächliche Terminal stark von einem VT100 abweicht.
Das sind Kommandos für die Bash; die Kommandos für die GRUB-Shell folgen in Kürze. Zu jedem Kommando gehört eine Manualseite und ein grub-infoAbschnitt. Der Bootloader selbst wird in Form mehrerer Dateien in /usr/lib/ grub abgelegt, die beim Einrichten mittels grub-install an verschiedene Stellen der Platte kopiert werden. GRUB besteht aus ein bis drei Stufen. Bei Einrichtung in den Master Boot Record einer partitionierten Festplatte liegt: • •
•
die Stufe 1 (stage1) in den ersten 446 Bytes des MBR, das heißt im ersten Sektor der Platte, von der gebootet wird, die Stufe 1.5 (stage1_5) sofort im Anschluss an den MBR in einem Bereich von 63 Blöcken zu je 512 Bytes (32 kB minus MBR), der aus historischen Gründen von den Partitionierungswerkzeugen frei gelassen wird (DOS Compatibility Region, mit parted, dd oder hexedit anschauen), die Stufe 2 (stage2) im Dateisystem.
Beim Booten von Disketten geht es von Stufe 1 gleich zur Stufe 2, und beim Booten von CD/DVD gibt es nur eine, an die El-Torito-Spezifikation angepasste Stufe. 11.3.3 Booten Wir sehen uns nun die Schritte an, die beim Booten mit GRUB ablaufen, in der Regel automatisch, beim interaktiven Arbeiten mit der GRUB-Shell jedoch gegen Ende von Hand veranlasst. Dies ist beispielsweise der Fall, wenn wir das GRUB-Menü mittels
11.3 GRUB – der Grand Unified Bootloader
477
unterbrechen oder von einer bootfähigen GRUB-Floppy oder -CD ohne die Datei menu.lst booten: •
•
•
•
•
• •
Nach dem Einschalten wird von der CPU der Code im BIOS ausgeführt, beginnend an einer hardwaremäßig festgelegten Speicheradresse, und sucht in der durch die Boot Order festgelegten Folge nach einem bootfähigen Medium. Auf dem ersten entdeckten Medium wird im Fall von partitionierten Platten der Master Boot Record gelesen – auf anderen Medien ohne MBR der Bootsektor – in den Arbeitsspeicher geladen und der darin enthaltene Bootloader-Code ausgeführt. Wegen des begrenzten Platzes (446 Bytes) ist das nicht viel mehr als ein Befehl zum Laden der nächsten Stufe. Falls GRUB im MBR eingerichtet ist, finden wir hier seine erste Stufe (stage1). Andernfalls springt der im MBR enthaltene, fremde Code zum Bootsektor der als bootfähig (aktiv) markierten Partition. Datei ist ein noch unbekannter Begriff. Die erste Stufe von GRUB lädt die dateisystemspezifische Stufe 1.5 in den Arbeitsspeicher, die rund 10 kB umfasst. Damit kann GRUB mit einem Dateisystem umgehen und Dateien laden, nicht nur Blöcke. Dann lädt GRUB die Stufe 2 aus dem Dateisystem in den Arbeitsspeicher. Das sind schon rund 100 kB. Diese Stufe erledigt die Hauptarbeit, wertet die Konfigurationsdatei menu.lst aus und spricht mit dem Benutzer (GRUB-Menü, GRUB-Shell). Sie lädt die Datei mit dem Linux-Kern oder den Bootloader eines anderen Betriebssystems (chainloading) in den Arbeitsspeicher. GRUB lädt den Linux-Kern-Datei vmlinuz... von der durch das Argument des GRUB-Kommandos kernel bezeichneten Stelle und gibt ihm etwaige Kern-Optionen mit. Der Linux-Kern ist nicht mehr wie GRUB auf BIOSFunktionen angewiesen, sondern bringt eigene mit, die mehr leisten. Ebenso lädt GRUB die initiale Ramdisk initrd... in den Arbeitsspeicher und macht den Kern mit ihr als vorläufigem Wurzelverzeichnis bekannt. Der Kern untersucht die Hardware, hängt sein endgültiges Wurzelverzeichnis ein und startet den init-Prozess, der in der Datei /etc/inittab nachschaut, was er tun soll. Der Rest ist Sache des Betriebssystems und in /var/log/ messages nachzulesen.
Master Boot Record und Bootsektoren sind beliebte Virenverstecke, weil die Plagegeister dort nicht so einfach zu entdecken sind wie in einer Datei. Die initiale Ramdisk initrd wird nicht gebraucht, falls der Kern alle Module fest eingebaut hat, die zum Zugriff auf das Wurzelverzeichnis wie /dev/hda1 benötigt werden. Hierzu zählen Module (Treiber) für den (E)IDE- oder SCSIControllerbaustein (Chipset), den Partitionstyp (MSDOS partition tables) und den Dateisystemtyp (ext3). Das ist der Fall, wenn man einen Kern an die eigene Maschine anpasst, wie in Abschnitt 15 Kerne ab Seite 679 erläutert. Ein solcher angepasster Kern läuft aber nur auf der eigenen und baugleichen Maschinen. Ein weitgehend universell verwendbarer Kern müsste eine Unmenge an Modulen eingebaut haben. Der Ausweg besteht darin, dass der Kern nur Module zum Zugriff auf die initiale Ramdisk eingebaut hat und die für das Einhängen des endgültigen Wurzelverzeichnis erforderlichen Module aus der Ramdisk lädt. Da die-
478
11 Systemstart (Booten)
se später aus dem Arbeitsspeicher verschwindet, belastet sie das System nicht. Das Konzept der initialen Ramdisk wird auf der Manualseite zu initrd sowie von W ERNER A LMESBERGER und H ANS L ERMEN in der Datei /usr/src/ linux-source-2.6.18/Documentation/initrd.txt beschrieben. Auf http://www.almesberger.net/ liegt auch eine pdf-Datei zum Bootvorgang von Linux aus dem Jahr 2000 (16 Seiten). 11.3.4 Konfiguration Die Konfigurationsdatei von GRUB ist /boot/grub/menu.lst2 ; im Verzeichnis /etc liegt nichts. Die bei Debian mitgelieferte Datei ist ausführlich kommentiert. Wenn überhaupt, ist am ehesten etwas in den Zeilen am Ende zu ändern. Die Zeilen im vorderen, allgemeinen Teil: •
•
•
•
default 0 besagt, dass der erste Bootvorschlag (Nummer 0) als Vorgabe angesehen werden soll. Falls statt einer Zahl das Wort saved eingetragen wird und bei den Bootvorschlägen als letzte Zeile savedefault steht, wird der beim jüngsten Systemstart verwendete Bootvorschlag als Vorgabe genommen. Wir sehen keinen Grund, die Zeile zu ändern. timeout 5 die Zeit in Sekunden, die uns bleibt, bis GRUB den vorgegebenen Bootvorschlag startet. Hauen wir innert dieser Zeit auf eine beliebige Taste, wird der Timeout unterbrochen. color cyan/blue white/blue die Farben für Text und Hintergrund des GRUB-Fensters, an zweiter Stelle die der ausgewählten Zeile. Im Anschluss können wir ein Splashimage einrichten, siehe oben, muss aber nicht sein. password --md5 ******** sofern eingerichtet, das MD5-verschlüsselte GRUB-Passwort, für den normalen Bootvorgang nicht erforderlich.
Das war es im Regelfall. Es folgen die Bootvorschläge (boot options) – als stanzas oder Strophen bezeichnet – gemäß diesem Muster: •
•
•
•
title Debian GNU/Linux... der im GRUB-Menü angezeigte Titel des Bootvorschlags, weitgehend beliebig, markiert den Anfang einer Strophe und ist erforderlich. root (hd0,0) die Partition in GRUB-Notierung, in der GRUB sein Wurzelverzeichnis sucht, hier die erste primäre Partition auf der ersten Platte. Von dort holt GRUB den Kern. Das braucht nicht dieselbe Wurzel zu sein, die der Kern verwendet, ist es aber oft. kernel /boot/vmlinuz... der Pfad des Kerns in der zuvor genannten Partition, samt etwaigen Kern-Optionen. Unter diesen sind root=/dev/hda1 und ro (readonly) die wichtigsten. Im weiteren Verlauf wird die Partition vom Betriebssystem les- und schreibbar eingehängt. Für den Single User Mode zwecks Reparaturarbeiten kommt die Option single hinzu. initrd /boot/initrd... der Pfad zur Datei mit der initialen Ramdisk. 2
In anderen Distributionen findet man stattdessen grub.conf.
11.3 GRUB – der Grand Unified Bootloader
•
479
savedefault nur auf der Platte, nicht auf bootfähigen Disketten oder CDs, die bei Reparaturen verwendet werden, sonst gibt es eine Fehlermeldung. Kann fehlen, ist nicht wichtig.
Von Einträgen dieser Art findet man unter Umständen mehrere. Man kann auch denselben Kern mehrmals mit jeweils anderen Optionen anbieten. Eigene Strophen soll man vor oder besser nach den automagisch vom Installer angelegten eintragen, der Übersicht halber und damit sie vom Bash-Kommando update-grub nicht berührt werden. Hat man etwas vermurkst, bleibt immer noch, GRUB beim Erscheinen des Menüs mittels Eingabe von in den interaktiven Modus zu versetzen und von Hand bessere Werte einzutippen. In diesem Fall ist abschließend das GRUBKommando boot zu geben, das in menu.lst fehlt. Die Bedeutung weiterer, selten gebrauchter Einstellungen in menu.lst geht aus dem Kommentar hervor. Geräte und Dateien lassen sich für GRUB auf zwei Arten angeben. GRUB zählt stets ab Null. Die als erste vom BIOS gemeldete Festplatte bekommt die Nummer 0 – unabhängig von der Schnittstelle (IDE, SCSI, S-ATA) – und wird mit (hd0) bezeichnet, die zweite Partition auf der ersten Festplatte mit (hd0,1). Für eine Datei ist der absolute Pfad im Dateisystem auf einer Partition mitzuteilen, beispielsweise (hd0,1)/boot/grub/menu.lst, ohne Leerzeichen dazwischen. Voraussetzung ist, dass GRUB mit dem Typ des Dateisystems klarkommt. Die Zuordnung GRUB-Gerät zu GNU/Linux-Gerät findet sich in der Datei /boot/grub/device.map wieder, die editiert, gelöscht und mittels des Aufrufs: debian:~# grub --device-map=/boot/grub/device.map wieder erzeugt werden kann. Letzteres ist dann interessant, wenn man dynamisch Festplatten oder USB-Stöpsel hinzunimmt. Es brauchen nur die Bootmedien genannt zu sein, nicht alle Platten. Der Aufruf: debian:~# grub-install --recheck ’(hd0,0)’ oder: debian:~# grub-install --recheck /dev/hda1 prüft die auf der ersten Partition der ersten Platte vorhandene device.map. Alternativ dazu kann man eine Blockliste in Form von Offset plus Blockanzahl verwenden wie (hd0,1)200+3, was auf der zweiten Partition der ersten Platte die Blöcke 200 bis 202 bezeichnet. Auf diese Weise lassen sich Blöcke ansprechen, die nicht einer Datei zugehören, beispielsweise Bootsektoren. Wird das Gerät weggelassen, greift GRUB auf seine Wurzelpartition zu. Wird der Offset weggelassen, nimmt GRUB einen Wert von 0 an. Welchen Record bezeichnet (hd0)+1? 11.3.5 Multibooting Multibooting bedeutet, mehrere Betriebssysteme auf einem Rechner zur Verfügung zu haben, unter denen man beim Systemstart auswählt. Eine Grundregel besagt, erst
480
11 Systemstart (Booten)
die anderen Betriebssysteme einzurichten und zuletzt GNU/Linux, weil GNU/Linux flexibler (intelligenter) ist als der Rest, aber unter GRUB gilt die Regel nicht unbedingt. GRUB kann alles, was mit Booten zusammenhängt. Die Anzahl der Kombinationsmöglichkeiten von GRUB, GNU/Linux und anderen Betriebssystemen ist groß; wir beschränken uns auf zwei häufig vorkommende Fälle. Auf jeden Fall brauchen wir Platz auf der Platte für die Nachzügler, und Umpartitionieren ist heikel, wie wir gelesen haben, aber grundsätzlich machbar. Das Hinzufügen weiterer Platten ist eine Frage des Geldes, des Raumes im PC-Gehäuse und der elektrischen Leistung des Netzteils im PC, ansonsten einfach. Falls GNU/Linux mit GRUB bereits auf dem Rechner eingerichtet ist und wir in weiser Voraussicht Platz auf der Platte frei gelassen haben, kommen wir ohne Umpartitionieren aus; andernfalls ist parted unser Freund. Die Partitionstabelle (fdisk oder parted) sieht in den meisten Fällen so aus: • •
/dev/hda1 erste primäre Partition mit dem Linux-Wurzelverzeichnis einschließlich /boot, /dev/hda2 zweite primäre Partition, als erweiterte Partition mit den restlichen Linux-Partitionen als logischen Partitionen ab /dev/hda5 darin genutzt.
Wir können uns noch zwei primäre Partitionen leisten. Im Experiment standen uns hierzu 60 GB zur Verfügung, die wir zu ungefähr gleichen Teilen für die primären Partitionen /dev/hda3 und /dev/hda4 verwendeten. MS Windows soll in die letzte Partition installiert werden; wir geben also unter Linux-fdisk als Typ NTFS (7) ein. Die vorletzte Partition /dev/hda3 behalten wir uns zur beliebigen Verwendung vor. Wir schreiben uns die entscheidenden Strophen in /boot/grub/menu.lst auf und stellen eine bootfähige GRUB-CD her. Dann legen wir die MS-WindowsEinrichtungs-CD/DVD in den Rechner ein – im Experiment eine DVD mit MS Windows Vista Ultimate – und rebooten. Sofern in der Bootfolge das CD/DVD-Laufwerk vor der Festplatte kommt, startet der Rechner mit dem Einrichtungssystem von Vista, das freundlicherweise alle Partitionen erkennt und zum Einrichten anbietet. Wir wählen die vierte primäre Partition aus, von Vista als achte und letzte Partition bezeichnet. Nach einer gewissen Zeit, von der ein beträchtlicher Teil auf das Studium der Lizenzbestimmungen draufgeht, begrüsst uns Vista. Wir spielen ein bisschen herum und testen dieses und jenes. Dann fahren wir den Rechner herunter und starten neu. Da jetzt der Bootloader von Vista im MBR hockt, kommt Vista hoch, ohne uns GNU/Linux anzubieten. Deshalb legen wir unsere bootfähige GRUB-CD ein und booten nochmals. Diesmal kommt GRUB hoch, wir unterbrechen mit der Taste und überlegen, was wir wollen. Um auszuprobieren, ob sich GRUB und Vista vertragen, geben wir folgende GRUB-Kommandos ein: grub> grub> grub> grub>
rootnoverify makeactive chainloader boot
(hd0,3) +1
11.3 GRUB – der Grand Unified Bootloader
481
und, voilà, da ist Vista. Das Kommando rootnoverify bewirkt dasselbe wie root, ohne die Partition einzuhängen. Mit chainloader wird GRUB dazu bewogen, nicht das Betriebssystem zu laden, sondern dessen Bootloader aus dem Bootsektor der angegebenen Partititon. Wir booten noch einmal von der GRUB-CD und geben ein: grub> kernel (hd0,0)/boot/vmlinuz-2.6.18-3-686 root=/dev/hda1 ro grub> initrd (hd0,0)/boot/initrd.img-2.6.18-3-686 grub> boot und unter dem Beifall aller Umstehenden kommt GNU/Linux hoch. Das GRUBroot-Kommando haben wir uns hier geschenkt und stattdessen die Partition für Kern und Ramdisk angegeben, geht auch. Jetzt bleibt uns noch, GRUB wieder in den MBR zu installieren und die Datei menu.lst an die neuen Verhältnisse anzupassen (was bei der Einrichtung von Debian der Installer erledigt). Im wiedererwachten GNU/Linux geben wir das Kommando: debian:~# grub-install ’(hd0)’ und stellen bei einem Reboot fest, das GRUB mit der alten Datei menu.lst funktioniert, aber von Vista nichts weiß, woher auch. Deshalb editieren wir diese Datei mit unserem Lieblingseditor und fügen am Ende folgende Strophe hinzu: title rootnoverify makeactive chainloader
Microsoft Windows Vista (hd0,3) +1
Nach einem erneuten Start bietet uns GRUB außer GNU/Linux nun zusätzlich Vista an und bootet MS Windows Vista natürlich auch. So gehört das. Ein anderer Weg besteht darin, den MS-Windows-Bootloader im MBR zu belassen und MS Windows beizubringen, auch GNU/Linux zu booten. Das ist nicht unser Thema. Hinweise findet man im NT OS Loader + Linux mini-HOWTO (1997) sowie im Linux + Windows HOWTO (2001) von J ONATHAN K ATZ und D R . ROBERT J. M EIER, beide nicht aktuell, aber doch mit nützlichen Informationen. Falls wir GNU/Linux gestartet haben, sehen wir uns mittels parted die Partitionstabelle an und erhalten ein Ergebnis wie: Disk /dev/hda: 250GB Sector size (logical/physical): 512B/512B Partition Table: msdos Num 1 2 5 6
Start 32,3kB 1003MB 1004MB 13,0GB
End 1003MB 186GB 13,0GB 21,0GB
Size 1003MB 185GB 12,0GB 8003MB
Type primary extended logical logical
File system ext3 ext3 ext3
Flags
482
7 8 9 3 4
11 Systemstart (Booten)
21,0GB 33,0GB 183GB 186GB 216GB
33,0GB 183GB 186GB 216GB 250GB
12,0GB 150GB 3002MB 30,0GB 34,0GB
logical logical logical primary primary
ext3 ext3 linux-swap ntfs
boot
was sich mit unseren Vorstellungen deckt. Bemerkenswert ist, dass die erste Partition bei 32,3 kB beginnt. Davor liegt die geheimnisumwitterte DOS Compatibility Region. Vor dieser der MBR, der aber keiner Partition angehört. Die Ausgabe von fdisk sieht geringfügig anders aus, ist aber inhaltlich gleich. Mit dem Aufruf: debian:~# mount -t ntfs -o ro,umask=222 /dev/hda4 /win hängen wir die Windows-Partition unter GNU/Linux in den vorher angelegten Einhängepunkt /win zum Lesen ein und gehen darin mit den üblichen LinuxWerkzeugen spazieren. Das Schreiben in eine NTFS-Partition ist noch eine wacklige Angelegenheit und sollte zuerst an unwichtigen Daten ausprobiert werden. Ältere MS-Windows-Systeme booten unter Umständen nur von der ersten Platte. GRUB kann Platten logisch vertauschen. Dazu sind folgende Strophen in menu.lst einzutragen: title map map rootnoverify chainloader
MS Windows (hd0) (hd1) (hd1) (hd0) (hd0,0) +1
title map map chainloader
DOS Boot Floppy (hd0) (hd1) (hd1) (hd0) (fd0)+1
title map map chainloader
MS Windows CD (hd0) (hd1) (hd1) (hd0) (cd)+1
Die map-Zeilen täuschen MS Windows bzw. DOS vor, die wahre, zweite Platte /dev/hdb sei die erste (E)IDE-Platte und die wahre, erste Platte /dev/hda sei die zweite. Das ist der entscheidende Trick. Falls Ihr Rechner kein Diskettenlaufwerk hat, lassen Sie die DOS-Strophe weg. Jetzt ist MS Windows einzurichten, ohne dass es GRUB zerstört. Die im BIOS eingestellte Bootfolge spielt keine Rolle. Wir entfernen alle Disketten und CD/DVDs aus den Laufwerken und rebooten. Wenn das GRUB-Menü erscheint, hauen wir auf eine Taste – die Leertaste ist am leichtesten zu treffen – und wählen in Ruhe aus dem Menü die DOS-Diskette oder die MS-Windows-CD aus, je nach unserem Einrichtungsmedium (meist die CD). Erst dann legen wir die Scheibe ein und bestätigen
11.3 GRUB – der Grand Unified Bootloader
483
mit . Vermutlich erscheint eine Fehlermeldung (Error 23). Wir brauchen noch einen Trick. Rien n’est simple. Wir starten erneut und unterbrechen das GRUB-Menü durch Eingabe von . Damit landen wir in der GRUB-Shell, tippen das unvollständige GRUB-Kommando: grub> root ( ein – ohne – und bitten die Shell mittels um Vervollständigung. Die Shell zeigt uns die möglichen Datenträger an, voraussichtlich ein Floppy-Laufwerk und eine Festplatte, aber kein CD-Laufwerk namens (cd), das wir für das Chainloading brauchen. GRUB ist auf das BIOS angewiesen, und dieses bietet das CDLaufwerk nur dann an, wenn wir von CD booten. Mit dieser Erkenntnis ist der Weg vorgezeichnet: Wir laden GRUB von einer bootfähigen CD, unterbrechen das Bootmenü mit und geben die Windows-CD-Strophe interaktiv ein. Dann tauschen wir die GRUB-CD gegen die Windows-Einrichtungs-CD aus und geben das Kommando boot. GRUB kann Partitionen verbergen. Dazu setzt es das hidden bit in der Partitionstabelle. Der Mechanismus ist nur sinnvoll bei mehreren primären Partitionen mit einem FAT-Dateisystem auf einer Platte. Man trägt zu Anfang einer Strophe Zeilen folgender Art ein bzw. gibt sie interaktiv in einer GRUB-Shell ein: grub> hide (hd0,0) grub> unhide (hd0,3) ...... rootnoverify (hd0,3) Die verborgenen Partitionen werden dann nicht mehr von DOS oder MS Windows erkannt und verwendet. Die restlichen Zeilen bleiben unverändert. Haben Sie mit hide gearbeitet und möchten wieder normal booten, müssen Sie erst das Verbergen mittels unhide (eventuell von einer GRUB-CD aus) rückgängig machen, da GRUB die Partitionstabelle im MBR ändert und die Änderungen einen Kalt- oder Warmstart überdauern. Das logische Vertauschen mittels map dagegen wird nicht dauerhaft gespeichert. Nun die andere Möglichkeit: MS Windows ist bereits auf der ersten primären Partition eingerichtet – wir haben dafür gesorgt, dass noch Platz für GNU/Linux auf der Platte ist oder eine zweite Platte eingebaut – und wir wollen GNU/Linux samt GRUB nachrüsten. Am Ende soll GRUB das Kommando über beide Betriebssysteme übernehmen. Während der Einrichtung von Debian GNU/Linux wählen wir die manuelle Partitionierung und legen im unpartitionierten Bereich eine zweite primäre Partition für das Linux-Wurzelverzeichnis an. Dann folgen als logische Partitionen ein Swapbereich und eine Partition für das Verzeichnis /home. Wir haben also folgende Einteilung: •
1. primäre und als aktiv markierte Partition /dev/hda1 mit einem WindowsDateisystem, beispielsweise für MS Windows 2000, angelegt mittels einer MS Windows-Einrichtungs-CD/DVD,
484
•
•
• • •
11 Systemstart (Booten)
2. primäre, nicht als aktiv markierte Partition /dev/hda2 mit einem ext3Dateisystem, einzuhängen als Linux-Wurzelverzeichnis, wie die weiteren Partitionen angelegt mittels einer Debian-CD/DVD, 3. primäre Partition /dev/hda3, als erweiterte Partition für die folgenden logischen Partitionen genutzt, automatisch beim Einrichten der logischen Partitionen angelegt, 1. logische Partition /dev/hda5, verwendet als Swap-Bereich, 2. logische Partition /dev/hda6, mit einem ext3-Dateisystem, verwendet für das Verzeichnis /home, bei Bedarf 4. primäre Partition /dev/hda4 mit einem FAT16-Dateisystem, Typ e, angelegt mittels Linux-fdisk und -mkdosfs, zu benutzen von beiden Betriebssystemen zum Gedankenaustausch.
Die Partition /dev/hda4 wird unter Linux in einen Einhängepunkt wie /win eingehängt, unter MS Windows 2000 erscheint sie als Laufwerk E:, nach C:, der ersten primären Partition, und D:, dem CD-Laufwerk. Im Verlauf der Einrichtung von Debian ist GRUB in den MBR zu installieren. Der Debian-Installer erkennt die MSWindows-Partition und berücksichtigt sie im Boot-Menü von GRUB. In der Konfigurationsdatei /boot/grub/menu.lst finden wir am Ende erwartungsgemäß folgende, vom Installer angelegte Strophe: title root makeactive chainloader
Microsoft Windows 2000 Professional (hd0,0) +1
Das Zusammenleben von etch und MS Windows 2000 funktionierte reibungslos; mit älteren Windows-Versionen gab es Probleme, die möglicherweise daran liegen, dass die alte Software mit modernen Platten (80 GB) nicht ohne Weiteres klar kommt. Ehe wir zu Gerontologen für alte MS-Windows-Systeme werden, wenden wir uns zukunftsträchtigen Themen zu. Ein schwierigeres Beispiel wird in dem Multiboot with GRUB Mini-HOWTO vorgeführt. Dort geht es um drei Microsoft-Betriebssysteme zuzüglich GNU/Linux und GRUB auf einer Platte. Da hierbei mehrere DOS/Windows-Partitionen zum Booten benutzt werden, muss mit den GRUB-Kommandos hide und unhide gearbeitet werden. 11.3.6 Kommandoauswahl Die GRUB-Shell /usr/sbin/grub ist eine stark vereinfachte Bash. Jeder Benutzer darf sie aufrufen und kann einige Kommandos ausführen, die besser dem rechtmäßigen Verwalter vorbehalten bleiben. Aus diesem Grund lassen sich kritische Teile von GRUB durch ein Passwort schützen, das von dem Linux-Passwort aus /etc/passwd unabhängig ist. Auf Rechnern, die einem größeren Publikum zugänglich sind, ist neben den Benutzer-Passwörtern auch ein Passwort in GRUB einzurichten (und eines im BIOS).
11.3 GRUB – der Grand Unified Bootloader
485
In der GRUB-Shell rufen wir das Kommando md5crypt auf, geben das gewünschte Passwort ein und erfahren dessen mittels MD5 verschlüsselte Form. Das verschlüsselte Passwort – hier durch Sternchen vertreten – übertragen wir in die Datei menu.lst in eine Zeile: password --md5 ******* zweckmäßig im Anschluss an die Zeile: # password topsecret Das System bootet nach wie vor durch, aber wer interaktiv etwas am Bootvorgang ändern will, muss
und dann das unverschlüsselte Passwort eingeben. Ein weiterer Schutz besteht darin, bei einzelnen Bootvorschlägen unmittelbar nach der Titelzeile eine Zeile mit dem GRUB-Kommando lock einzufügen. Dann wird bei der Anwahl des Bootvorschlags erst nach dem Passwort gefragt, ehe es weitergeht. Damit lassen sich einzelne, möglicherweise gefährliche Konfigurationen (DOS, experimentelle Kerne . . . ) vom allgemeinen Gebrauch ausschließen. Den normalen, üblicherweise ersten Bootvorschlag sollte man nicht sperren. Die volle Liste der GRUB-Kommandos ist im GNU GRUB Manual nachzulesen. Hier folgt eine Auswahl: • •
boot ohne Optionen oder Argumente; bootet ein Betriebssystem oder einen Chain Loader. In der Datei menu.lst nicht erforderlich, da implizit enthalten. cat mit einem Pfad als Argument, schreibt die Datei auf den Bildsschirm, beispielsweise (grub als Root aufgerufen, wegen Zugriff auf Gerät): grub> cat (hd0,0)/etc/fstab
•
find sucht nach einer Datei, deren Pfad als Argument übergeben worden ist (grub als Root aufgerufen): grub> find /bin/hostname
• • • • • • • •
Die Ausgabe besteht in einer Aufzählung der Geräte, auf denen die Datei liegt. Es werden nur Dateien aus der GRUB-Wurzelpartition gefunden, nicht aus nachträglich vom Betriebssystem eingehängten Partitionen. geometry zeigt die Geometrie der als Argument übergebenen Platte, beispielsweise (hd0), an und ist zugleich ein Test, ob die Platte gefunden wird. halt fährt den Rechner herunter. Im Experiment wurde nur die GRUB-Shell beendet, der Rechner samt Debian GNU/Linux lief munter weiter. help zeigt eine Übersicht über alle GRUB-Kommandos oder eine Hilfe zu einzelnen Kommandos an. initrd lädt die als Argument übergebene Datei als initiale Ramdisk. kernel lädt die als Argument übergebene Datei als Kern. quit beendet die Grub-Shell. reboot startet den Rechner erneut, allerdings ohne die Nebenarbeiten von /sbin/shutdown, daher nicht für den Alltag gedacht. root teilt GRUB seine Wurzelpartition mit. Das Kommando erlaubt die Vervollständigung mittels . Die unvollständige Eingabe:
486
11 Systemstart (Booten)
grub> root (
• •
und dann führt dazu, dass die GRUB-Shell die möglichen Ergänzungen anzeigt. savedefault speichert den aktullen Eintrag aus menu.lst als Vorgabe in /boot/grub/default ab und ist für das Funktionieren unerheblich. setkey belegt eine Taste mit einem anderem Zeichen. GRUB geht von einer US-Tastatur aus.
Nochmals: Das sind keine Kommandos für die Bash, sondern für /usr/sbin/ grub, mit eingeschränkten Fähigkeiten und anderer Syntax. GRUB-find ist nicht Bash-find. GNU GRUB hat weitere Fähigkeiten, aber wir wollen nicht das GNU GRUB Manual er- und übersetzen, zumal GRUB2 vor der Tür steht und viel verspricht.
11.4 Starten von Linux unter DOS mit loadlin 11.4.1 Einrichten von Loadlin Wenn wir ein DOS-basiertes Betriebssystem verwenden und von diesem aus Linux starten wollen, verwenden wir das Programm loadlin.exe, Es funktioniert nicht mit den Betriebssystemen MS Windows NT/2000 und IBM-OS/2. Der Vorteil bei der Verwendung von loadlin besteht darin, dass Linux komfortabel gestartet werden kann, ohne die Bootkonfiguration des Rechners zu ändern. Durch Rebooten gelangen wir zurück nach DOS. Wir benötigen neben dem eigentlichen Programm loadlin.exe aus dem Paket loadlin die Abbilddatei des zu startenden Kerns auf der DOS-Partition. Die Abbilddatei wird während der Grundeinrichtung auf die Festplatte kopiert; sie befindet sich im Verzeichnis /boot und trägt den Namen vmlinuz, gefolgt von der Versionsnummer des Kerns, beispielsweise vmlinuz-2.6.18-4-686. Üblicherweise befindet sich zusätzlich im Rootverzeichnis ein Symlink mit dem Namen /vmlinuz. Wenn wir das Debian-Paket loadlin eingerichtet haben, liegt die Dokumentation im Verzeichnis /usr/share/doc/loadlin/. Lesenswert sind die Dateien manual.txt.gz sowie examples/test.par. Letztere enthält ein Beispiel für eine Parameterdatei. Um die benötigten Dateien auf die DOS-Partition zu kopieren, muss die Partition in das Dateisystem eingehängt werden. Dies geschieht mit dem Kommando mount. Weil DOS normalerweise von der ersten primären Partition der ersten Festplatte gestartet wird, hat die Partition meist den Namen /dev/hda1 oder /dev/sda1. Wir legen ein Verzeichnis an, in das die Partition eingehängt werden soll: debian:~# mkdir /dos Nun hängen wir die Partition ein: debian:~# mount -t msdos /dev/hda1 /dos
11.4 Starten von Linux unter DOS mit loadlin
487
Die Partitionsbezeichnung /dev/hda1 ist an den tatsächlichen Namen der DOSPartition anzupassen. Im nächsten Schritt wird auf der DOS-Partition ein Verzeichnis erzeugt, in das die Dateien kopiert werden: debian:~# mkdir /dos/loadlin Die Dateien werden in das Verzeichnis kopiert: debian:~# cp /boot/vmlinuz-2.6.18 /dos/loadlin/vmlinuz Hierbei ist die Bezeichnung der Abbilddatei des Kerns (vmlinuz-2.6.18) an den Namen der tatsächlich zu verwendenden Datei anzupassen. Mit: debian:~# cp /usr/lib/loadlin/loadlin.exe.gz /dos/loadlin kopieren wir loadlin.exe.gz in das Verzeichnis. Weil das Programm in komprimierter Form vorliegt, wird es nun dekomprimiert: debian:~# gunzip /dos/loadlin/loadlin.exe.gz Wir können natürlich die Datei auch erst dekomprimieren und dann kopieren. Zum Schluss wird die DOS-Partition wieder aus dem Dateisystem ausgehängt: debian:~# umount /dos 11.4.2 Verwendung von Loadlin Um loadlin.exe zu verwenden, muss der Name der mit Linux verwendeten Wurzelpartition bekannt sein. Wir benutzen das Kommando mount ohne Parameter, um die eingehängten Partitionen zu erfahren, mit einer Ausgabe wie: /dev/sda7 on / type ext2 (rw) proc on /proc type proc (rw) /dev/sda6 on /home type vfat (rw) Die Ausgabe besagt, dass die Wurzelpartition in diesem Fall /dev/sda7 ist. Wir merken uns den Namen der Partition. Wenn der Rechner mit einem DOS-basierten Betriebssystem startet, kann Linux über loadlin.exe gebootet werden. Dies funktioniert nicht, solange MS Windows ausgeführt wird. MS Windows ist deswegen zunächst zu beenden und der Rechner im DOS-Modus zu starten (Startmenü -> Beenden -> Computer im DOSModus starten). Daraufhin ist in das Verzeichnis zu wechseln, in das loadlin.exe und der Kern kopiert wurden: C:\> cd \loadlin Nun starten wir Linux mit folgendem Kommando: C:\LOADLIN\> loadlin vmlinuz root=/dev/sda7
488
11 Systemstart (Booten)
Die Angabe des Wurzelverzeichnisses ist notwendig, damit der zu startende Kern weiß, welches Verzeichnis er als Wurzelverzeichnis in den Kern einhängen soll. Mit vmlinuz wurde im Beispiel der Name der Datei des zu startenden Kerns angegeben. Falls wir den Kern in einer anderen Datei haben, ist das Kommando entsprechend anzupassen. Wenn wir den Standardkern des Einrichtungssystems verwenden, fordert loadlin.exe unter Umständen dazu auf, die Diskette mit dem Rootdateisystem einzulegen. Wir können dann drücken, ohne eine Diskette einzulegen. Um die Aufforderung dauerhaft zu umgehen, ist zusätzlich die Kommandozeilenoption ramdisk=none zu verwenden. 11.4.3 Loadlin Parameter Neben dem Namen des zu startenden Kerns und dem zu verwendenden Wurzelverzeichnis können loadlin weitere Parameter übergeben werden. Dazu gehören alle Bootparameter für den Linux-Kern sowie einige Optionen, die direkt von loadlin.exe interpretiert werden. Folgender Aufruf zeigt die Möglichkeiten: C:\LOADLIN\> loadlin | more Die wichtigsten Optionen sind: -v Das Programm zeigt an, welches Aktionen es ausführt. -t Das Programm testet lediglich die Konfiguration, aber startet Linux nicht. -txmode Der Bildschirm wird auf 80 Spalten und 25 Zeilen zurückgesetzt, bevor Linux gestartet wird. -dskreset Festplatten werden zurückgesetzt, bevor Linux gestartet wird. Dadurch werden Einstellungen, die durch DOS-Treiber vorgenommen worden und mit Linux nicht verträglich sind, rückgängig gemacht. Weil die DOS-Kommandozeile nicht länger als 127 Zeichen sein darf, erlaubt Loadlin, alle Parameter in eine Datei zu schreiben. Dazu sind die Parameter untereinander mit einem Texteditor in die Datei zu schreiben. Zusätzlich darf die Datei leere Zeilen und Kommentare enthalten, die mit einem Doppelkreuz eingeleitet werden. Ein Beispiel für eine Parameterdatei ist: # Angabe des zu startenden Kerns C:\LOADLIN\VMLINUZ # Loadlin soll ausgefuehrte Aktionen anzeigen -v # Angabe der Rootpartition root=/dev/hda3 ramdisk=none # Die Rootpartition nur zum Lesen eingehaengen ro
11.4 Starten von Linux unter DOS mit loadlin
489
# Kernparameter fuer Treiber von AHA152x-SCSI-Adaptern aha152x=0x340,10 Der Parameter ramdisk=none wird benötigt, wenn wir den Standardkern des Einrichtungssystems verwenden und loadlin.exe nach dem Laden des Kerns zum Einlegen einer Diskette mit dem Inhalt der Ramdisk auffordert. Der Kernparameter aha152x=0x340,10 wird nur in besonderen Fällen gebraucht. Er dient als Beispiel dafür, wie Kernparameter in einer Parameterdatei für loadlin.exe anzugeben sind. Um Loadlin anzuweisen, die Parameter aus einer Datei zu lesen, ist das Programm folgendermaßen aufzurufen: C:\LOADLIN\> loadlin @params.txt Mit params.txt wird die Parameter-Datei bezeichnet. Diesem Dateinamen muss das @-Zeichen (Klammeraffe) vorangestellt werden. 11.4.4 Einrichten eines Bootmenüs mit DOS/MS Windows Mit DOS ist es seit Version 6.0 möglich, ein Bootmenü zu erzeugen, das den Start mit unterschiedlichen Konfigurationen gestattet. Hierzu sind die Dateien CONFIG.SYS und AUTOEXEC.BAT, die sich im Wurzelverzeichnis des Startlaufwerks von DOS befinden (C:), zu editieren. Das folgende Beispiel zeigt, wie die Datei CONFIG.SYS aufgebaut ist, um ein Startmenü zu realisieren. Im ersten Abschnitt unter [menu] werden die Einträge des Menüs definiert. Der Eintrag menudefault legt fest, welche Konfiguration als Vorgabe gestartet wird und wie lange auf eine Auswahl gewartet wird (10 Sekunden). Er ist optional. Kommentare in den Dateien CONFIG.SYS und AUTOEXEC.BAT werden mit dem Schlüsselwort rem (remark) eingeleitet. Wir rufen einen DOSEditor auf: C:\> edit c:\config.sys und schreiben: [menu] menuitem=WIN, Boot MS Windows menuitem=LINUX, Boot Linux menuitem=DOS, Boot DOS menudefault=WIN, 10 [WIN] rem hier gehoeren alle Eintraege hin, die nur beim Start rem von MS Windows benoetigt werden [LINUX] rem dieser Eintrag bewirkt, dass nach der Auswahl rem von LINUX Loadlin gestartet wird
490
11 Systemstart (Booten)
shell=c:\loadlin\loadlin.exe @c:\loadlin\params.txt [DOS] rem hier gehoeren alle Eintraege hin, die nur beim Start rem von DOS rem benoetigt werden device=C:\WINDOWS\COMMAND\display.sys con=(ega,,1) Country=049,850,C:\WINDOWS\COMMAND\country.sys [COMMON] rem hier gehoeren alle Eintraege hin, die beim Start rem von jedem System benoetigt werden; meist leer Die Abschnitte [WIN], [LINUX] und [DOS] bestimmen die Einstellungen, die nach Auswahl der entsprechenden Konfiguration vorgenommen werden. Eine besondere Stellung nimmt der Abschnitt [COMMON] ein. Hier stehen Einträge, die für jede Konfiguration gelten. Um Loadlin zu verwenden, empfiehlt es sich jedoch, hier nichts einzutragen, damit nicht irgendwelche DOS-Treiber oder -Programme geladen werden, bevor Linux gestartet wird. Alle Anweisungen, die sich vor dem Einfügen der Menübefehle in der Datei CONFIG.SYS befunden haben, sollten nun sowohl im Abschnitt unter DOS als auch im Abschnitt unter WIN stehen, damit sie berücksichtigt werden, wenn DOS oder MS Windows gestartet wird. Anweisungen, die nur für DOS oder nur für MS Windows gelten, kommen nur in den entsprechenden Abschnitten vor. Die Anweisung shell=... im Abschnitt [LINUX] führt dazu, dass loadlin.exe unmittelbar nach dem Start von DOS aufgerufen wird. Im Beispiel wird Loadlin mit einer Parameterdatei benutzt. Bei Verwendung von MS Windows 95/98 empfiehlt es sich, zusätzlich zwei Änderungen in der Datei MSDOS.SYS vorzunehmen, die bewirken, dass MS Windows nicht automatisch gestartet wird und dass das MS-Windows-Logo nicht gezeigt wird. Der Start von MS Windows kann in der Datei AUTOEXEC.BAT nachgeholt werden. Das MS-Windows-Logo führt bei einigen Grafikkarten unter Linux zu Problemen. Die Datei MSDOS.SYS ist normalerweise verborgen und schreibgeschützt. In der Datei befindet sich ein Abschnitt, der mit [Options] eingeleitet wird. In diesem Abschnitt sind die beiden Optionen Bootgui und Logo auf den Wert 0 zu setzen. Falls die Optionen nicht vorhanden sind, sind sie einzufügen. Der geänderte Abschnitt sieht folgendermaßen aus: [Options] Bootgui=0 Logo=0 BootMulti=1 Network=1 Wenn Sie DOS 6.22 oder eine ältere Version von DOS verwenden, dürfen Sie die Datei boot.sys nicht ändern. Nach abgeschlossener Bearbeitung der Datei sind die Attribute wieder auf ihren ursprünglichen Wert zu setzen.
11.4 Starten von Linux unter DOS mit loadlin
491
Die Änderungen der Datei MSDOS.SYS bewirken, dass sich MS Window 95/98 wie frühere Versionen von DOS verhalten. MS Windows wird nicht automatisch gestartet, sondern nach Eingabe des DOS-Kommandos win. Um diesen Vorgang in Abhängigkeit von der Auswahl im Bootmenü zu steuern, sind die nachfolgend beschriebenen Änderungen in der Datei AUTOEXEC.BAT vorzunehmen. Falls Linux durch die Auswahl im Bootmenü nicht gestartet wird, führt DOS die Anweisungen in dieser Datei aus. Im folgenden Beispiel wird die Umgebungsvariable config ausgewertet, deren Wert der Auswahl im Startmenü entspricht. Abhängig von der zu startenden Konfiguration wird zu verschiedenen Kommandoblöcken gesprungen: @echo off rem config ist eine Umgebungsvariable, die das Ergebnis rem der Auswahl im Startmenue enthaelt. rem Mit folgendem Kommando werden Aktionen abhaengig rem von der Auswahl im Startmenue ausgef"uhrt goto %config% :LINUX rem nichts, weil Linux aus config.sys gestartet wird :WIN rem alle Kommandos, die ausgefuehrt werden sollen, rem bevor MS Windows gestartet wird. rem mit dem Kommando "win" wird MS Windows gestartet win goto end :DOS rem alle AUTOEXEC.BAT Kommandos, die beim Start rem von DOS ausgefuehrt werden sollen. mode con codepage prepare=((850) C:\WINDOWS\COMMAND\ega.cpi) mode con codepage select=850 keyb gr,,C:\WINDOWS\COMMAND\keyboard.sys doskey :end Der Abschnitt unter :LINUX ist nur der Vollständigkeit halber aufgeführt. Die Anweisungen in diesem Abschnitt werden nie ausgeführt, weil DOS nach Auswahl von Linux direkt loadlin startet. Im Abschnitt unter :WIN wird MS Windows aufgerufen, sodass sich MS Windows auch trotz der Änderungen in der Datei MSDOS.SYS automatisch starten lässt. Im letzten Abschnitt befinden sich einige Anweisungen, die ausgeführt werden, wenn DOS allein benutzt wird.
492
11 Systemstart (Booten)
Alle Anweisungen, die bisher in dieser Datei standen, übernehmen wir in den Abschnitt unter :WIN. Sie sollten dort vor der Zeile stehen, mit der MS Windows aufgerufen wird. Anweisungen, die nur benötigt werden, wenn mit DOS ohne MS Windows gearbeitet werden soll, gehören in den Abschnitt unter :DOS. Anweisungen, die in beiden Fällen benötigt werden, sollten sich vor dem Kommando goto befinden. 11.4.5 Problemlösungen •
Das Rootdateisystem kann nicht eingebunden werden Wenn wir nach dem Start von Linux mit Loadlin die Fehlermeldung: VFS: Unable to mount root fs on 0807
•
erhalten, so ist die wahrscheinlichste Erklärung die, dass wir beim Aufruf von Loadlin das Wurzeldateisystem falsch angegeben haben. Wir überprüfen den Parameter root= bzw. die Einstellung in der Parameterdatei. Kommandointerpreter kann nicht gestartet werden Wenn wir ein DOSBootmenü eingerichtet haben und nach Auswahl von Linux folgende Fehlermeldung erscheint: Die folgende Datei ist beschädigt oder fehlt: command.com
•
•
•
dann bedeutet dies in der Regel, dass DOS das Programm loadlin.exe nicht finden und laden konnte. Wir überprüfen die mit shell= beginnende Anweisung im Linux-Abschnitt der Datei CONFIG.SYS. Kernparameter werden nicht richtig interpretiert Wenn wir Loadlin über eine shell=-Anweisung in der Datei CONFIG.SYS starten und dort angegebene Parameter vom Kern nicht richtig interpretiert werden, liegt das vermutlich daran, dass die shell=-Zeile von DOS in Großbuchstaben an Loadlin übergeben wird. Verwenden Sie in solchen Fällen eine Parameterdatei. CPU ist im V86-Modus Loadlin kann Linux nicht starten, wenn es unter MS Windows ausgeführt wird. Wir beenden MS Windows und starten den Rechner im DOS-Modus. Wir können Loadlin nicht mit MS Windows NT und Nachfolgern oder IBM OS/2 verwenden. Ursache ist, dass diese Programme den Prozessor des Rechners im geschützten Modus betreiben. Dadurch wird es für Linux unmöglich, ebenfalls in diesen Modus zu wechseln. Es gibt auch DOSProgramme, die den Prozessor in den geschützten Modus schalten. Wenn diese Programme aktiv sind, können wir Loadlin ebenfalls nicht verwenden. Wir beenden die Programme oder verwenden ein Bootmenü, aus dem Loadlin gestartet werden kann, bevor solche Programme gestartet werden. DOS oder MS Windows lassen sich nicht mehr starten Wenn wir bei der Bearbeitung der Datei CONFIG.SYS Fehler gemacht haben, kommt es im ungünstigsten Fall vor, dass sich DOS oder MS Windows nicht mehr starten lässt. Sie starten das System dann mit einer DOS-Bootdiskette und bessern den Fehler aus. Alternativ dazu können Sie unmittelbar nach dem Start von DOS die Taste
11.6 Booten vom Netz (PXE)
493
drücken und im dann erscheinenden Menü Einzelbestätigung auswählen. Sie werden gefragt, ob die Gerätetreiber aus der Datei CONFIG.SYS geladen werden sollen. Beantworten Sie die Frage mit N.
11.5 Weitere Bootloader Ein für Bootdisketten mit einem FAT12/16-Dateisystem geeigneter, leichtgewichtiger Bootloader ist syslinux aus dem gleichnamigen Debian-Paket. Er ist einfach einzurichten und bietet eine Reihe von Möglichkeiten zur Konfiguration. Um einen anderen Kern mit Bootdisketten zu starten, auf denen Syslinux benutzt wird, reicht es aus, die Abbilddatei des Kerns auf die Diskette zu kopieren. Eine Anleitung zu syslinux liegt in der Datei /usr/share/doc/syslinux/ syslinux.txt.gz. Falls in dem Verzeichnis Dateien mit der Kennung doc auftauchen, handelt es sich um gewöhnliche Textdateien, mit less anzuschauen, nicht um Winword-Dokumente. Auf der Website http://syslinux.zytor.com/ von H ANS P ETER A NVIN ist syslinux zusammen mit seinen Geschwistern isolinux (für CD/DVDs) und pxelinux (für das Booten über Netz) zu Hause, beide nicht bei Debian zu haben. Auf http://wiki.debian.org/syslinux findet sich eine Übersicht. Chos (Choose operating system) war ein Bootmanager für Linux; seine Entwicklung scheint eingestellt zu sein. Dasselbe gilt für Xosl (Extended operating system loader). GAG (Gestor de Arranque Grafico) ist ein Bootloader mit dem Heimathafen http://gag.sourceforge.net/, lebt, nicht bei Debian erhältlich.
11.6 Booten vom Netz (PXE) Wenn das BIOS des Rechners den entsprechenden Code enthält, können der Kern und die übrige Boot-Software über ein Netz von einem Server geladen werden. Der Code kann auch als BIOS-Erweiterung von einer Ethernetkarte zur Verfügung gestellt werden. Wir kommen so zu plattenlosen Clients, einer Art von intelligenten Terminals. Allgemein werden abgespeckte Rechner, die auf Zusammenarbeit mit einem Server angewiesen sind, als Thin Clients bezeichnet, wobei es Abstufungen der Magerkeit gibt. Der Preisvorteil ist nicht gewaltig, eher zählt, dass die Verwaltung einfacher wird, wenn Betriebssystem und Anwendungen nur an einer Stelle liegen. Auch die Möglichkeiten des Einschleusens von Malware verringern sich, wenn auf einem Arbeitsplatz überhaupt kein interner oder externer Massenspeicher eingerichtet ist. Das Konzept ist nicht neu: Die seriellen Terminals oder die X-Terminals früherer Jahrzehnte waren auch eine Art von Thin Clients. Bei http: //thinstation.sourceforge.net/ liegt ein Linux-Projekt, das man sich bei Interesse ansehen sollte. Vielleicht lässt sich ein Altrechner noch ein paar Jahre länger sinnvoll nutzen. Die Firma Intel hat ein Verfahren namens Preboot Execution Environment (PXE) festgelegt, das Rechnern ermöglicht, ihr Betriebssystem über das Netz zu laden.
494
11 Systemstart (Booten)
Im lokalen Netz brauchen wir einen DHCP-Server, alternativ einen BOOTP-Server. Weiterhin wird ein TFTP-Server (Trivial File Transfer Protocol nach RFC 1350 und 2347) benötigt, um die Daten zum Client zu übertragen. Beide Server können in einer Maschine vereint sein. Da wir DHCP kurz in Abschnitt 4.3.9 Dynamic Host Configuration Protocol auf Seite 257 und ausführlich in Abschnitt 16.1.4 Dynamische Konfiguration mittels DHCP auf Seite 738 abhandeln, gehen wir hier nur auf den TFTP-Server ein. TFTP ist kein Ersatz für das gewohnte Fernkopieren mittels FTP; es eignet sich nur für besondere Zwecke und wird praktisch allein zum Laden von Betriebssystemen im LAN eingesetzt. Wir entscheiden uns für den Advanced TFTP Server atftpd, der selbständig oder als Knecht des inet-Dämons läuft. Da in unserem lokalen Netz nicht dauernd plattenlose Rechner booten, reicht uns Letzteres. Sein Heimathafen ist http://freshmeat.net/projects/atftp/, mit wenig Information. Alternativen zu atftp findet man durch Suchen nach tftp in der Debian-Paketliste. Konfiguriert wird der Dämon durch Optionen in der entsprechenden Zeile der Datei /etc/inetd.conf. Die Bedeutung der Optionen ist im Manual nachzulesen. Wichtig ist das Argument /tftpboot, welches das Verzeichnis benennt, in dem der Dämon die Software sucht, die er anbietet. Der /var-Zweig wäre vielleicht besser geeignet als das Wurzelverzeichnis. Das Verzeichnis und seine Dateien müssen für alle zugänglich sein (755). Nach einem Restart des inetd prüfen wir, ob der neue Dämon arbeitet: joe@debian:~$ netstat --udp --listening | grep tftp Der Dämon sollte in der Ausgabe erscheinen. Auf einem PXE-fähigen Arbeitsplatz ist der TFTP-Client im BIOS enthalten. Wir richten trotzdem zum Testen den Client atftp ein und verbinden uns ähnlich wie bei FTP mit dem TFTP-Server: joe@debian:~$ atftp server Das Kommando versteht help, put, get, quit und einige andere FTPKommandos, nicht aber ls oder pwd. Die Eingabe: tftp> get abc führt zunächst zu einer Fehlermeldung, da das Verzeichnis /tftpboot auf dem Server noch leer ist. Wir legen mit einem Texteditor eine kleine Textdatei an und sollten sie anschließend mit atftp herunterladen können. Nun füllen wir das Verzeichnis /tftpboot auf dem Server mit der Einrichtungssoftware. Dazu holen wir uns wie in Abschnitt 7.2.1 Disketten auf Seite 344 beschrieben die Datei netboot/netboot.tar.gz (8 MB) und entpacken sie in dem Verzeichnis. Es werden ein Unterverzeichnis debian-installer und zwei Symlinks angelegt. Schließlich benachrichtigen wir den lokalen DHCP-Server von der Neuerwerbung, weil der Client von diesem die ersten Informationen erfragt. Betreibt man im lokalen Netz als DHCP-Server das Programm dnsmasq, so ist in dessen Konfigurationsdatei /etc/dnsmasq.conf folgende Zeile einzutragen:
11.6 Booten vom Netz (PXE)
495
dhcp-boot=/tftpboot/debian-installer/i386/pxelinux.0, server,192.168.0.1 Die Zeile ist vorbereitet. Die drei durch Komma getrennten Argumente bezeichnen den absoluten Pfad der Bootdatei pxelinux.0 sowie Namen und IP-Adresse des TFTP-Servers. pxelinux.0 ist das Network Bootstrap Program (NBP), das den Kern oder andere Software über das Netz auf den Client lädt. Für andere DHCPServer sieht die Zeile ähnlich aus. Einfache, beispielsweise in einen DSL-Router eingebaute DHCP-Server bieten die Möglichkeit nicht. Den DHCP-Server restarten. Auf dem Clientrechner, im Experiment ein IBM NetVista mit einem Intel Boot Agent Version 3.0.04 und PXE 2.0, ist im BIOS die Bootfolge so einzustellen, dass zuerst vom Netz gebootet wird. Der Bootvorgang scheiterte zunächst mit der Meldung, dass der Linux-Kern nicht gefunden wurde, obwohl er auf dem Server an der richtigen Stelle mit dem unbewaffneten Auge zu sehen war. Abhilfe schaffte das Zurückstutzen der Pfade in der Datei /tftpboot/pxelinux.cfg/default auf die Dateinamen. Die Verzeichnisse werden als Präfix automatisch davor gesetzt. Bei der Gelegenheit wurde auch ein Symlink von default auf die MAC-Adresse des Clients gelegt, kürzt den Bootvorgang ein bisschen ab, ist aber nicht notwendig. Dann konnte man am Bootprompt linux, expert, linux26 oder expert26 je nach gewünschtem Bootverlauf eingeben und landete bei den gewohnten Bildschirmen zur Einrichtung. Nicht vergessen, nach erfolgreicher Einrichtung die Bootfolge umzustellen, sodass zuerst von lokalen Medien gebootet wird. Weitere Informationen auf http://wiki.debian.org/ unter dem Suchwort netboot. Will man nicht nur das Debian-Einrichtungssystem über das Netz laden, sondern ein Arbeitssystem, ist die Konfiguration auf dem Server zu ergänzen. Sehen wir uns die Datei /tftpboot/debian-installer/i386/pxelinux. cfg/default an. Wir finden dort nach einem globalen Vorspann Strophen ähnlich wie in GRUBs menu.lst: label linux kernel linux append vga=normal initrd=initrd.gz ramdisk_size=9424 root=/dev/rd/0 devfs=mount,dall rw - Die erste Zeile ist eine Überschrift und zugleich das hernach am Bootprompt einzugebende Kommando zur Auswahl der Strophe, hier also linux. Die kernelZeile lädt einen Kern oder das Abbild eines Bootsektors aus dem Verzeichnis /tftpboot/debian-installer/i386. Der Dateiname ist üblicherweise mit dem Namen des Labels identisch. Die append-Zeile fügt Kern-Optionen hinzu, darunter die Bezeichung der Datei mit der initialen Ramdisk aus demselben Verzeichnis. Die Label- und Dateinamen sollen der 8.3-Beschränkung aus der DOS-Welt genügen. Wollen wir ein DOS über das Netz bereit stellen, kopieren wir die Abbilddatei einer bootfähigen DOS-Diskette – sagen wir namens dosboot.img – in das genannte Verzeichnis und fügen in der Datei default folgende Strophe hinzu:
496
11 Systemstart (Booten)
label dos kernel memdisk append initrd=dosboot.img Steht das Booten über Netz in der Bootfolge vorn oder kein anderes Bootmedium zur Verfügung, können wir am Bootprompt von pxelinux.0 das Kommando dos, den Label, eintippen und landen – eventuell auf dem Umweg über ein Menü – bei dem DOS-Prompt A:\>. Das Werkzeug memdisk ist ein Helfer des Network Bootstrap Programs pxelinux, wie dieses im Debian-Paket syslinux enthalten, und simuliert eine Ramdisk. Es liegt im genannten Verzeichnis neben den Kernen. Wir könnten es am Bootprompt auch direkt aufrufen: Press F1 ... boot: memdisk initrd=dosboot.img mit demselben Ergebnis. Um GNU/Linux über das Netz zu booten, brauchen wir einen bootfähigen Kern sowie die Abbilddatei einer initialen Ramdisk. Im Prinzip läuft alles so ab wie bei DOS oder dem Debian-Einrichtungssystem, aber die Einzelheiten können den Verwalter eine Zeitlang beschäftigen. Auch GRUB kann GNU/Linux über PXE von einem Server holen. Hinweise dazu findet man mit Hilfe von Suchmaschinen im Web, wenn man sie mit dem Wortpaar GRUB PXE füttert. GRUB muss dazu mit besonderen Optionen übersetzt worden sein. Einen Einstieg liefern: • • • •
http://syslinux.zytor.com/ http://www.munts.com/diskless/netboot.html http://www2.informatik.hu-berlin.de/~draheim/boot/ grub-netboot.html http://www.rrze.uni-erlangen.de/dienste /arbeiten-rechnen/linux/howtos/booten/grub.shtml
Voraussichtlich bringt GRUB2 von Haus aus mehr Fähigkeiten zum Betrieb im Netz mit, sodass man seine Zeit besser in die neuere Version steckt.
11.7 Bootdiskette bzw. -CD/DVD Ein bootfähiges, entfernbares Medium (Diskette, CD/DVD, USB-Stöpsel) braucht man, wenn der Rechner nicht mehr aus eigener Kraft bootet, weil beispielsweise der MBR beschädigt ist. Der einfachste Weg führt über ein Live-System wie Knoppix auf einer CD/DVD, vorausgesetzt der Rechner kann von dem Medium booten, was bei jüngeren BIOSsen gegeben ist. Man kann sich aber Bootmedien leicht selbst herstellen; das Linux Bootdisk HOWTO (2002) von T OM FAWCETT hilft dabei. Der Weg zu einer selbstgeschnitzten Live-CD/DVD ist jedoch länger. Das Paket debianutils richtet das Werkzeug mkboot ein, mit dessen Hilfe sich auf einem Rechner, der LILO als Bootloader einsetzt, eine Bootdiskette erzeugen lässt. Für GRUB ist etwas mehr Eigenarbeit vonnöten. Wir stellen uns eine DOSformatierte, fehlerfreie Diskette her:
11.7 Bootdiskette bzw. -CD/DVD
497
debian:~# superformat /dev/fd0 Der abschließende Test (verify) muss ohne Fehler durchlaufen, sonst probieren wir es noch einmal mit derselben Diskette oder nehmen eine bessere. Dann übertragen wir die beiden Stufen von GRUB auf die Diskette: debian:~# dd if=/boot/grub/stage1 of=/dev/fd0 bs=512 debian:~# dd if=/boot/grub/stage2 of=/dev/fd0 bs=512 seek=1 zusammen rund 100 kB. Unter der Voraussetzung, dass in der Bootfolge die Diskette vor der Festplatte kommt, starten oder rebooten wir unseren Rechner mit eingelegter Diskette. Nach dem Abarbeiten des BIOS meldet sich GRUB und wartet auf unsere Anweisungen, help ist ein guter Anfang. Dann tippen wir drei Zeilen aus der Datei /boot/grub/menu.lst samt einer Aufforderung zum Booten ein (nach jeder Zeile und kurz auf die Antwort warten): grub> root (hd0,0) grub> kernel /boot/vmlinuz-2.6.18-4-686 root=/dev/hda1 ro single grub> initrd /boot/initrd.img-2.6.18-4-686 grub> boot und der Tanz geht los. Um die erste Zeile zu verstehen, muss man sich daran erinnern, dass GRUB Platten und Partitionen von 0 an zählt. Die Linux-Partition /dev/hda2 ist für GRUB (hd0,1). Da man diesen Weg geht, wenn man mit Problemen ringt, starten wir im Single User Mode und bekommen nach Eingabe des Root-Passwortes eine Bash-Kommandozeile zwecks Reparatur oder Datenrettung. Wir können die Option single weglassen und landen dann im vorgegebenen Runlevel, meist 2. Die Namen der Kerndatei vmlinuz und der Ramdisk initrd entnimmt man dem eigenen Dateisystem, die Zahlen lauten vermutlich anders. Hat man ein Backup des Wurzelverzeichnisses (ohne die nachträglich eingehängten Verzeichnisse wie /usr) auf einer zweiten Platte, kann man sogar das System hochfahren, falls die erste Platte ruiniert ist. Hierzu sind die beiden root-Optionen anzupassen. Alternativ zu obigem Vorgehen könnte man daran denken, das Debian-Paket grub-disk einzurichten. Im Verzeichnis /usr/share/grub-disk finden sich dann ein komprimiertes Disketten-Abbild und ein ISO-Abbild für CD. Wir dekomprieren das Disketten-Abbild: debian:~# gunzip grub-0.97-i486-pc.ext2fs.gz und übertragen es auf eine fehlerfreie Diskette: debian:~# dd if=grub-0.97-i486-pc.ext2fs of=/dev/fd0 Neugierige Verwalter hängen die Abbilddatei mit Hilfe des Loopback-Gerätes in den Einhängepunkt /loop ein: debian:~# mount grub-0.97-i486-pc.ext2fs /loop -o loop
498
11 Systemstart (Booten)
und treffen im Verzeichnis /loop/boot/grub vier Bekannte an. Das Vorgehen funktionierte jedoch nicht, da offenbar im Sektor 0 der Diskette ein geeigneter Eintrag fehlte. Die Diskette war nicht bootfähig. Mangels Dokumentation gelang es auch nach längerem Experimentieren nicht, den Fehler zu beheben. Möglicherweise fehlte noch ein install-Kommando. Wollen wir uns ein bootfähiges CD-Abbild mit GRUB selbst stricken, legen wir zunächst irgendwo ein Verzeichnis mit Unterverzeichnissen an: debian:~# mkdir -p iso/boot/grub Dann kopieren wir zwei Dateien dorthin: debian:~# cp /usr/lib/grub/i386-pc/stage2_eltorito iso/boot/grub debian:~# cp /boot/grub/menu.lst iso/boot/grub Man sollte sich die Kopie der Datei menu.lst ansehen und alle Zeilen hinauswerfen, die weder Kommentar sind noch sich auf das gewünschte System beziehen, insbesondere die Zeilen savedefault. Übrig bleiben zweimal vier Zeilen mit title, root, kernel und initrd für Multi User und Single User Mode. Um beim Booten sicher zu sein, die CD erwischt zu haben, stellt man der Titelzeichenkette CD voran oder nach. Wir können die Datei menu.lst für den vorliegenden Zweck auch neu schreiben oder ganz weglassen. Mittels mkisofs erzeugen wir eine ISO-Abbilddatei: debian:~# mkisofs -v -R -b boot/grub/stage2_eltorito -no-emul-boot -boot-load-size 4 -boot-info-table -o grub.iso iso Die Bedeutung der Optionen entnehme man dem Manual zu mkisofs. Schließlich brennen wir die Abbilddatei auf eine CD, beispielsweise mittels: debian:~# cdrecord -v speed=8 dev=0,0,0 grub.iso sehen uns den Inhalt der CD an und verwenden sie als Bootmedium. Jetzt haben wir eine Diskette und eine CD, von der wir booten können. Beim Diskettenstart sind die Bootparameter interaktiv einzugeben, beim Start von CD stehen sie in der Datei menu.lst. Drücken wir während der Anzeige des Menüs die Taste , erhalten wir die gleiche Kommandozeile wie beim Diskettenstart. Der Rest (Kern, initiale Ramdisk) wird von der angegebenen Platte geholt. Natürlich lassen sich die beiden Dateien auch mit auf die CD brennen. Dann ist in menu.lst eine entsprechende Strophe hinzuzufügen mit einer Zeile: root
(cd)
Rest wie gehabt. GRUB-root und Kernel-root liegen in diesem Fall auf verschiedenen Datenträgern. Auf dem öffentlichen Archivserver http://www.ibiblio.org/pub/ Linux/ schlummern Gigabytes von Linux Software und Dokumentation, darunter im Verzeichnis system/recovery Abbilddateien und Werkzeuge für
11.8 Starten von Debian GNU/Linux
499
Systemreparaturen. Die Abbilddatei RIP-15.1.grub.iso ließ sich problemlos herunterladen und auf eine CD brennen. RIP steht für Recovery Is Possible; die Version brachte den fast aktuellen Kern 2.6.16 mit. Von den im GRUBMenü als Bootoption angebotenen Rescue-Systemen funktionierte zunächst nur die non-initramfs-method, die anderen endeten mit einer Kernel Panic bei einer Meldung betreffend das VFS. Die Abhilfe bestand im Editieren des kernelKommandos, insbesondere im Ersetzen von /dev/ram0 durch /dev/hda1 als Wurzelverzeichnis des Kerns. Es lohnt, sich wenigstens das Abbild herunterzuladen und mittels Loopback-Gerät die Dokumentation anzuschauen. Auch das gründlich arbeitende und daher Zeit (Stunden) beanspruchende Werkzeug memtest ist enthalten, allerdings ebenso als Debian-Paket verfügbar. Ferner kommen einige Shellskripte mit, beispielsweise zum Übertragen der Abbilddatei auf einen USB-Stöpsel. Der Aufruf: debian:/loop/boot# sh mkusb.sh /home/joe/Downloads/RIP-15.1.grub.iso /dev/sda erzeugte einen bootfähigen Stöpsel, der bei richtiger Einstellung der Bootfolge im BIOS erfolgreich den Rechner startete.3
11.8 Starten von Debian GNU/Linux 11.8.1 init und Runlevel Nachdem die Startphase des Kerns abgeschlossen ist, bindet dieser das Wurzeldateisystem von der Platte ein und ruft das Programm /sbin/init auf, das den weiteren Verlauf des Systemstarts kontrolliert und aktiv bleibt, bis das System heruntergefahren wird. init ist der erste voll ausgebildete Prozess auf einem Linux/UNIXSystem, trägt deswegen die Prozess-ID 1 und ist der Urahne fast aller weiteren Prozesse. Er ist auch der letzte Prozess auf dem System und sorgt für das Beenden der übrigen Prozesse beim Herunterfahren, siehe man init. Debian GNU/Linux verwendet das System-V-Konzept verschiedener Runlevels oder Systemzustände. Unter einem Runlevel wird ein Zustand des Systems verstanden, in dem bestimmte Prozesse ausgeführt werden. Während der Laufzeit des Systems kann zwischen Runlevels gewechselt werden, ohne das System neu zu starten. So könnte ein Rechner regelmäßig für zwei verschiedene Aufgaben genutzt werden, nämlich zum einen als HTTP- und FTP-Server und zum anderen als Arbeitsplatzrechner. Im ersten Fall müssen die genannten Serverdienste ausgeführt werden, eine grafische Benutzeroberfläche wird jedoch nicht benötigt. Im zweiten Fall wird eine grafische Benutzeroberfläche verlangt, jedoch sollen die Serverdienste nicht ausgeführt werden. Für diesen Rechner lassen sich zwei Runlevels definieren, in denen die unterschiedlichen Dienste oder Prozesse ausgeführt werden. 3
Dass ein Rechner einen USB-Anschluss hat, bedeutet noch nicht, dass das BIOS den Systemstart von einem USB-Gerät (USB-HDD, USB-CDROM. . . ) beherrscht.
500
11 Systemstart (Booten)
Neben den normalen Runlevels gibt es drei besondere, nämlich einen, in dem das System heruntergefahren wird, einen, in dem es neu gestartet wird, und den Single User Mode oder Einbenutzermodus, in dem sich nur der Verwalter anmelden kann und keine weiteren Prozesse wie Serverdienste ausgeführt werden. Normalerweise gibt es sieben Runlevels mit den Nummern von 0 bis 6, zehn zuzüglich S sind möglich. Runlevel 0 entspricht dem Anhalten des Systems, 1 dem Single User Mode und 6 dem Neustart des Systems. Runlevel 1 beendet alle Benutzerprozesse und die meisten Dämonen und schaltet dann in den Runlevel S, den eigentlichen Single User Mode, nachzulesen in /etc/rc1.d. Die Runlevels 2 bis 5 sind die gewöhnlichen Runlevels. Per Voreinstellung wird nach dem Systemstart in den Runlevel 2 geschaltet, am Anfang der Datei /etc/inittab nachzulesen. Die Definitionen der einzelnen Runlevels unterscheiden sich auf verschiedenen Linux/UNIX-Systemen, ebenso die Vorgabe, das Prinzip bleibt. Tab. 11.1: Runlevels (Systemzustände) Nr.
Bedeutung
0 1 2 3 4 5 6
System herunterfahren, gegebenenfalls automatisch ausschalten (soft-off) Single User Mode, für Wartungsarbeiten durch den Verwalter Multi User Mode, Vorgabe, Normalbetrieb Multi User Mode, frei zu gestalten Multi User Mode, frei zu gestalten Multi User Mode, frei zu gestalten System rebooten
Bei einer unveränderten Debian-GNU/Linux-Installation unterscheiden sich die Runlevels 2 und 3 nicht. Es werden dieselben Prozesse ausgeführt, und es macht keinen Unterschied, in welchem dieser beiden Runlevels sich das System befindet. Die beiden Runlevels 4 und 5 unterscheiden sich ebenfalls nicht voneinander, wohl aber von 2 und 3. In den Runlevels 2 und 3 stehen die sechs virtuellen Konsolen zur Verfügung, außerdem kann über andere Schnittstellen wie serielle Terminals oder Faxmodems auf den Rechner zugegriffen werden. In den Runlevels 4 und 5 steht nur eine Konsole zur Verfügung; die Programme zur Kommunikation über andere Schnittstellen sind nicht aktiv. Weiterhin aktiv sind in den Runlevels 4 und 5 die Netzverbindungen, sodass der Zugriff auf den Rechner über das Netz möglich ist. Diese Runlevels eignen sich eher für Rechner, mit denen nicht direkt, sondern über das Netz gearbeitet wird. Mit Ausnahme der Runlevels 0, 1 und 6 kann der Verwalter die Runlevels frei gestalten, indem er die zugehörigen Verzeichnisse /etc/rc*.d mit den entsprechenden Links bevölkert. Die Verwendung der einzelnen Runlevels unterscheidet sich etwas in verschiedenen Distributionen.
11.8 Starten von Debian GNU/Linux
501
11.8.2 Die Datei inittab Das Programm /sbin/init, vom Kern aufgerufen, arbeitet die Datei /etc/ inittab ab. Dort finden sich Einträge, mit denen konfiguriert wird, welche Programme in welchem Runlevel auszuführen sind. Außerdem lassen sich hier Programme angeben, die bei besonderen Ereignissen wie dem Systemstart, einem Stromausfall oder der Betätigung der Tastenkombination ++<del> – dem Dreifingergruß oder klingonischen Würgegriff – ausgeführt werden sollen. In der Datei haben Leerzeilen und Zeilen, die mit einem Doppelkreuz beginnen (Kommentar), keine Bedeutung. Jede andere Zeile spezifiziert Prozesse, die bei dem Wechsel in einen neuen Runlevel oder einem anderen Ereignis gestartet werden sollen. Solche Zeilen bestehen aus vier Feldern, die durch Doppelpunkte ohne Leerzeichen voneinander getrennt werden: l2:2:wait:/etc/init.d/rc 2 Die Felder bedeuten Folgendes: •
•
•
•
Im ersten Feld wird dem Eintrag eine Kennung (ID) gegeben. Kennungen bestehen aus maximal vier Zeichen. Einträge, mit denen ein getty-Prozess gestartet wird, sollten als Kennung die Nummer der virtuellen Konsole tragen, auf welcher der Prozess gestartet wird. Im zweiten Feld wird bestimmt, in welchem Runlevel der Prozess laufen soll. Es dürfen mehrere Runlevels angegeben werden. So bedeutet die Zeichenkette 23, dass der Prozess in den Runlevels 2 und 3 laufen soll. Im dritten Feld wird durch ein Schlüsselwort angegeben, wie der Prozess ausgeführt werden soll. Die wichtigsten Schlüsselwörter sind: – wait Der Prozess wird einmal gestartet, wenn in den Runlevel gewechselt wird. init wartet, bis der Prozess beendet ist. – once Der Prozess wird einmal ausgeführt, wenn in den Runlevel gewechselt wird. init wartet nicht auf das Ende des Prozesses. – sysinit Der Prozess wird zum Systemstart ausgeführt. init wartet, bis der Prozess beendet ist, bevor es weitere Programme aufruft. – boot Der Prozess wird zum Systemstart ausgeführt, nachdem sysinit beendet ist. Auf die Beendigung des Prozesses wird nicht gewartet. – bootwait Wie boot mit dem Unterschied, dass auf die Beendigung des Prozesses gewartet wird. – ctrlaltdel Der Prozess wird ausgeführt, wenn der init-Prozess das Signal SIGINT empfängt. Dies passiert, wenn die Tastenkombination ++<del> betätigt wird. Gewöhnlich wird durch den Eintrag das Programm shutdown aufgerufen. – respawn Der Prozess wird neu gestartet, sobald er aus irgendeinem Grund gestorben ist. Im vierten Feld wird der Name des zu startenden Programms angegeben. Argumente, die dem Programm beim Aufruf übergeben werden sollen, stehen durch Leerzeichen getrennt hinter dem Namen des Programms. In obigem Beispiel ist das die Nummer des Runlevels.
502
11 Systemstart (Booten)
Der Aufbau der Datei ist einfach, aber da sie für den Start des Rechners wesentlich ist, sollte man sich mit Änderungen zurückhalten. Eine beschädigte inittab lässt sich meist nur von einem externen Betriebssystem (Knoppix) aus reparieren. Festlegen des vorgegebenen Runlevels Der Runlevel, in den automatisch nach dem Systemstart gewechselt wird, wird durch folgende Zeile festgelegt: id:2:initdefault: Hier wird mit dem Runlevel-Feld festgelegt, dass als Vorgabe der Runlevel 2 benutzt werden soll. In anderen Distributionen wird zum Teil der Runlevel 3 vorgegeben. Systeminitialisierung Während des Systemstarts wird von init ein Skript oder Programm aufgerufen, welches das System initialisiert und für die Benutzung vorbereitet. Dies wird durch den folgenden Eintrag festgelegt: si::sysinit:/etc/init.d/rcS Die Angabe eines Runlevels ist nicht notwendig, das zweite Feld ist leer. Dauerhaft auszuführende Programme (respawn) Zur Laufzeit des Systems muss es möglich sein, sich an den virtuellen Konsolen anzumelden. Deswegen wird nach Eintritt in die Runlevels 2 bis 5 das Programm /sbin/getty4 einmal oder mehrmals gestartet: 1:2345:respawn:/sbin/getty 38400 tty1 2:23:respawn:/sbin/getty 38400 tty2 ... 6:23:respawn:/sbin/getty 38400 tty6 Das Programm getty hat die Aufgabe, ein Terminal zu initialisieren und in diesem Terminal auf eine Benutzeranmeldung zu warten. Nachdem ein Benutzer seinen Namen eingegeben hat, ersetzt sich getty durch das Programm login, welches das Passwort des Benutzers erfragt und überprüft. Falls die Überprüfung erfolgreich ist, ersetzt sich login durch die Standardshell des Benutzers. Das zu verwendende Terminal sowie die Geschwindigkeit (Bitrate), mit der mit dem Terminal kommuniziert werden soll, werden dem Programm getty als Argumente übergeben. Das Programm versteht einige Optionen, die in seiner Manualseite beschrieben sind. Beim Start des Programms login sowie der Standardshell wird der Programmcode des jeweiligen getty- bzw. login-Prozesses durch den Code des zu startenden Programms ersetzt, das heißt, nach dem Start eines Programms besteht der 4
getty bedeutet get tty. Ein tty ist eine Teletype oder Fernschreibmaschine, wie sie vor langer Zeit als Terminal verwendet wurde.
11.8 Starten von Debian GNU/Linux
503
Prozess samt ID weiterhin, jedoch mit anderem Programmcode (siehe Manual zu exec). Wenn sich der Benutzer abmeldet, wird der Prozess beendet. Damit dies nicht dazu führt, dass an dem Terminal keine erneute Anmeldung möglich ist, überwacht init die mit dem Schlüsselwort respawn gestarteten Prozesse und startet sie erneut nach ihrem Ableben. Nach Beendigung der Shell des Benutzers wird ein neuer getty-Prozess gestartet und so eine erneute Anmeldung ermöglicht. Neben dem klassischen getty-Programm, das für die Verwendung an der Konsole gedacht ist, stehen weitere getty-ähnliche Programme zur Verfügung, die serielle Schnittstellen überwachen und somit die Anmeldung über ein Modem gestatten. Aber auch Aufgaben wie Anrufbeantworter (Paket mgetty-voice) oder Faxempfang (Pakete mgetty-fax oder hylafax-server) werden durch getty-ähnliche Prozesse gesteuert. Hier ist es ebenfalls notwendig, eine spezifische Schnittstelle des Rechners zu initialisieren, sie zu überwachen und bestimmte Aktionen auszulösen, sobald ein Zugriff auf den Rechner über diese Schnittstellen erfolgt. Auch Drucker mit serieller Schnittstelle erfordern das Initialisieren und Offenhalten des seriellen Rechnerports mittels eines getty-ähnlichen Prozesses, ohne login und Shell natürlich. Debian-Pakete, die zusätzliche getty-Programme beinhalten, fügen der Datei /etc/inittab Beispieleinträge hinzu, die jedoch auskommentiert sind. Um die Programme zu verwenden, ist die Datei zu editieren. Wechsel des Runlevels Beim Wechsel des Runlevels wird das Skript /etc/init.d/rc aufgerufen. Dem Skript wird als Argument die Nummer des Runlevels übergeben, in den gewechselt werden soll. Dies wird durch folgende Zeilen in /etc/inittab festgelegt: l0:0:wait:/etc/init.d/rc 0 ... l6:6:wait:/etc/init.d/rc 6 Programme, die während eines Runlevels dauerhaft ausgeführt werden sollen und mit dem Schlüsselwort respawn versehen sind, werden beim Wechsel von einem Runlevel in den nächsten beendet, sofern sie für den neuen nicht vorgesehen sind. Programme, die für beide Runlevels definiert sind, werden nicht unterbrochen. Single User Mode Für den Single User Mode – hier mit S bezeichnet – findet sich folgender Eintrag in der Datei /etc/inittab: ~~:S:wait:/sbin/sulogin Der Eintrag bewirkt, dass nach Eintritt in diesen Runlevel das Programm /sbin/ sulogin aufgerufen wird. Das Programm erfragt das Passwort des Verwalters und ruft eine Shell auf. Wenn der Prozess beendet wird, wird wieder zurück in den vorgegebenen Runlevel geschaltet.
504
11 Systemstart (Booten)
Im Single User Mode werden nur wenige Programme im Hintergrund ausgeführt, alle Serverdienste sind gestoppt, und es besteht keine Möglichkeit, dass außer dem Verwalter irgendjemand mit dem Rechner arbeitet. Der Modus empfiehlt sich, um kritische Arbeiten am System auszuführen. Wenn die Festplattenpartition, auf der sich die Home-Verzeichnisse der Benutzer befinden, überprüft werden muss, sollte das System zunächst in den Single User Mode gebracht werden. Die Partition kann dann aus dem Dateisystem ausgehängt und überprüft werden. Gelegentlich ist es notwendig, das System so zu starten, dass es in den Single User Mode und nicht in einen gewöhnlichen Runlevel bootet. Hierzu dient der Bootparameter single. Der Parameter wird vom Kern an init übergeben und weist das Programm an, direkt im Single User Mode zu starten. Bootloader wie GRUB oder LILO bieten an, Linux im Recovery oder Single User Mode zu starten, falls man Probleme hat. 11.8.3 Benutzung von init Zur Kommunikation mit dem Prozess init steht das Kommando telinit zur Verfügung. Mit telinit kann init veranlasst werden, den Runlevel zu wechseln oder die Konfigurationsdatei /etc/inittab erneut zu lesen. Die Datei /sbin/ telinit ist ein symbolischer Link auf das Programm /sbin/init selbst. Es ist auch möglich, das Programm init direkt zur Kommunikation mit dem eigentlichen init-Prozess zu verwenden. Um in einen anderen Runlevel zu wechseln, ist telinit oder init mit der Bezeichnung des Runlevel, in den gewechselt werden soll, aufzurufen. Beispielsweise wird mit folgendem Kommando in den Runlevel 4 geschaltet: debian:~# init 4 Auf diese Weise kann auch ein Systemabschluss (Runlevel 0) oder ein Neustart (Runlevel 6) veranlasst werden. Der Single User Mode (Runlevel 1) wird alternativ mit der Bezeichnung S angegeben. Es wird dann direkt in den Single User Mode geschaltet. Dienste und Programme, die in dem vorherigen Runlevel ausgeführt wurden, werden dann nicht beendet: debian:~# init S Normalerweise sollte in den Single User Mode mit dem Kommando init 1 gewechselt werden. Die meisten Programme lesen ihre Konfigurationsdatei nur beim Start. Um solche Programme mit einer neuen Konfiguration zu verwenden, beendet man sie und startet sie dann erneut. Dies ist bei init nur möglich, wenn das System neu gestartet wird. Um dies im Falle einer Änderung der Datei /etc/inittab zu vermeiden, wird init durch folgendes Kommando dazu gebracht, die Konfigurationsdatei erneut zu lesen: debian:~# init Q
11.8 Starten von Debian GNU/Linux
505
Programme, die nach der Änderung dieser Datei als im aktuellen Runlevel dauerhaft ausführbar eingetragen sind, also mit dem Schlüsselwort respawn versehen sind, werden durch dieses Kommando automatisch gestartet, wenn sie nicht schon aufgrund der alten Konfiguration gestartet waren. Programme, die in der alten Konfiguration als dauerhaft ausführbar eingetragen waren, in der neuen jedoch fehlen, werden beendet. Während einer Software-Aktualisierung kommt es vor, dass auch für init eine neue Programmversion eingerichtet wird. Damit diese nicht erst beim nächsten Systemstart ausgeführt wird, sondern sofort nach der Einrichtung, wird folgendes Kommando benutzt: debian:~# init U Das laufende init-Programm ersetzt sich selbst durch das neu eingerichtete. Dieser Schritt wird beim Aktualisieren des Debian-Paketes sysvinit automatisch vollzogen. Wie beschrieben versucht init dauerhaft auszuführende Programme sofort neu zu starten, wenn sie beendet wurden. Falls jedoch ein Programm nicht gestartet werden kann, etwa weil eine von diesem Programm benötigte Bibliothek auf dem System nicht vorhanden ist, ist die Folge, dass init immer wieder versucht, das Programm zu starten. Hierdurch wird das System unnötig belastet. Aus diesem Grund beobachtet init, wie oft es Programme neu starten muss, und gibt gegebenenfalls folgende Fehlermeldung aus: init: Id "xx" respawning too fast: disabled for 5 min Für xx wird die ID aus dem Eintrag in der Datei /etc/inittab ausgegeben. Daraufhin versucht init für fünf Minuten nicht mehr, das Programm zu starten. Der Verwalter hat dann die Möglichkeit, das Problem zu beheben, indem er entweder den Eintrag aus der Konfigurationsdatei entfernt oder sicherstellt, dass das fragliche Programm ausgeführt werden kann. 11.8.4 Start- und Stoppskripte für alle Runlevels Wie erwähnt führt init beim Systemstart das Programm /etc/init.d/rcS aus. Hierbei handelt es sich um ein Shellskript, das die Aufgabe hat, alle Skripte oder Programme im Verzeichnis /etc/rcS.d aufzurufen. In dem Verzeichnis findet sich eine Reihe von Skripten, von denen jedes für einen bestimmten Teil des Systemstarts zuständig ist. Die Skripte werden in ASCII-alphabetischer Reihenfolge ihrer Namen ausgeführt. Die Namen dieser Skriptdateien beginnen mit dem Buchstaben S (Start). Dem Buchstaben S folgt eine zweistellige Zahl, die die Reihenfolge der Aurufe bestimmt. Eine Zahl darf mehrfach belegt werden. Da die Skripte auch an anderen Stellen gebraucht werden, stehen im Verzeichnis /etc/rcS.d nur Symlinks auf die eigentlichen Skriptdateien im Verzeichnis /etc/init.d. Debian-Pakete, die Software für eine bestimmte Systemkomponente beinhalten, die beim Systemstart initialisiert werden muss, fügen diesen Verzeichnissen ein Skript bzw. einen Symlink hinzu. Richtet man Dämonen aus Tarbällen ein – nicht aus Debian-Paketen – muss man kontrollieren, dass Startskripte in init.d landen. In die Verzeichnisse
506
11 Systemstart (Booten)
rc?.d gehören nur Symlinks. Änderungen der Datei /etc/inittab sind selten notwendig. Wenn ein bestimmtes Skript nicht mehr während des Systemstarts ausgeführt werden soll, reicht es aus, den symbolischen Link im Verzeichnis /etc/rcS.d zu löschen. Auf keinen Fall soll das Skript selbst aus dem Verzeichnis /etc/init.d entfernt werden. Vielleicht braucht man es in anderem Zusammenhang. Überflüssige Skripte in /etc/init.d stören nicht. Die meisten Skripte im Verzeichnis /etc/init.d werden mit einem der Parameter start, stop oder restart aufgerufen. Wie die Bezeichnungen sagen, wird eine bestimmte Systemeigenschaft mit dem Parameter start gestartet, mit stop beendet, und mit restart wird sie zunächst beendet und dann erneut gestartet. Dies dient zum Starten von Server-Programmen mit veränderter Konfiguration. Man findet auch den Parameter reload zum erneuten Einlesen der Konfiguration ohne Unterbrechung des Prozesses. Ruft man ein Skript ohne Parameter auf, zeigt es die möglichen Parameter an. Mit der Datei skeleton hat man eine Vorlage (template) zum Schreiben eigener Skripte. Was in den Startskripten drinsteht, ist dem System gleichgültig. Es sind einfach Shellskripte, die unter bestimmten Voraussetzungen ausgeführt werden. Es braucht nicht immer ein Dienst gestartet oder gestoppt zu werden. Neuere Startskripte beginnen – nach dem Shebang – mit einem Kommentar aus einem festen Satz von INIT-INFO-Zeilen. Folgende symbolische Links auf Skripte im Verzeichnis /etc/init.d sind – abhängig von der Einrichtung des Systems – im Verzeichnis /etc/rcS.d vorhanden: S01glibc.sh untersucht eine Unverträglichkeit des Kerns mit der glibcBibliothek, S02hostname.sh liest den Namen der Maschine aus /etc/hostname, S02mountkernfs.sh hängt die von vielen weiteren Programmen benötigten virtuellen Dateisysteme in den Kern ein, siehe Abschnitt 13.8 Virtuelle Dateisysteme auf Seite 587, S03udev startet den udev-Dämon, füllt das Verzeichnis /dev und lädt Treiber, S04mountdevsubfs.sh hängt virtuelle Dateisysteme ein, die in /dev zu Hause sind, S05bootlogd startet den bootlog-Dämon, siehe Abschnitt 11.8.7 Meldungen beim Systemstart auf Seite 515, S05keymap.sh lädt eine Keymap (Tastaturbelegung) für die Konsole, siehe Abschnitt 9.1.2 Tastatur, Maus, Rollkugel auf Seite 387, S07hdparm stellt Parameter gemäß /etc/default/hdparm für IDEFestplatten ein, siehe man hdparm, S10checkroot.sh bindet die Swapbereiche ein und überprüft das Wurzeldateisystem auf der Platte. Nach Erfolg wird das Wurzeldateisystem zum Lesen und Schreiben in den Kern eingehängt. S12mtab.sh führt die Datei /etc/mtab nach, siehe man mount, S18ifupdown-clean bereitet die Netz-Interfaces vor, siehe man interfaces und man ifup,
11.8 Starten von Debian GNU/Linux
507
S20module-init-tools lädt Kernmodule gemäß /etc/modules, falls das nicht dem nächsten Skript überlassen wird, S20modutils ruft depmod auf, um Modulabhängigkeiten zu berechnen, und lädt Module, die in /etc/modules eingetragen sind, siehe man depmod, S25libdevmapper lädt Unterstützung für den Device Mapper (dm-Module), siehe Abschnitt 13.7 Verschlüsselte Dateisysteme auf Seite 582 und man dmsetup, S26cryptdisks-early richtet verschlüsselte Block-Geräte ein, siehe Abschnitt 13.7 Verschlüsselte Dateisysteme auf Seite 582, S28cryptdisks setzt cryptdisks-early fort, S28cryptmount richtet verschlüsselte Swap-Bereiche ein und konfiguriert verschlüsselte Dateisysteme, S30checkfs.sh prüft alle Dateisysteme außer dem bereits eingehängten Wurzeldateisystem und den Dateisystemen, die niemals geprüft werden, siehe Abschnitt 13.10.3 Prüfen und Reparieren von Dateisystemen auf Seite 623, S30procps.sh setzt Kernvariable gemäß Datei /etc/sysctl.conf, siehe man sysctl.conf, S35mountall.sh bindet alle Dateisysteme, die sich auf dem lokalen Rechner befinden, ein mit Ausnahme des Wurzeldateisystems. S36discover untersucht die Hardware samt zughörigen Modulen, siehe man discover, S36ifupdown startet die Netz-Interfaces; siehe auch S18ifupdown-clean einige Zeilen vorher, S36mountall-bootclean.sh räumt in temporären Verzeichnissen wie /tmp auf, S36udev-mtab fügt der Datei /etc/mtab eingehängte Gerätedateien (Partitionen) wie /dev/hda1 hinzu, S40networking konfiguriert das Netz gemäß den Angaben in der Konfigurationsdatei /etc/network/interfaces, S43portmap startet den Portmapper, siehe man portmap, S45mountnfs.sh bindet über NFS Dateisysteme ein, die sich physikalisch auf anderen Rechnern im Netz befinden, siehe Abschnitt 13.9.1 Network File System auf Seite 590, S46mountnfs-bootclean.sh dasselbe wie S36mountall-bootclean, jedoch nach dem Einhängen von NFS-Verzeichnissen, S47lm-sensors setzt Grenzwerte für etwaige Fühler (Drehzahl, Temperatur) gemäß /etc/sensors.conf, siehe man sensors, S48console-screen.sh bereitet die Konsole vor, S50alsa-utils bereitet das ALSA-Soundsystem vor, siehe /usr/share/ doc/alsa-base/, S50hwclock.sh stellt die Systemuhr nach der Hardware-Uhr (RTC), siehe Abschnitt 10.3.1 Systemzeit auf Seite 440 und man hwclock, S55bootmisc.sh führt einige Aufräumarbeiten durch und speichert beim Booten erzeugte Kernmeldungen in der Datei /var/log/dmesg.
508
11 Systemstart (Booten)
S55urandom initialisiert den Zufallzahlengenerator des Kerns, siehe man random, S70nviboot stellt abgebrochene Sitzungen des Texteditors nvi wieder her, siehe Abschnitt 2.12.3 Die vi-Familie auf Seite 177, S70x11-common bereitet den X-Server vor, siehe Abschnitt 3.1 Was ist X11? auf Seite 183 und man xserver, S75sudo beseitigt Überreste früherer sudo-Sitzungen, S99stop-bootlogd-single stoppt den bootlog-Dämon im Single User Mode (ein Startskript, das stoppt). Viele in den Skripten aufgerufene Tätigkeiten sind auf einem gegebenen Rechner überflüssig, aber im Interesse der Vielseitigkeit der Skripten notwendig. Es wäre ein schlechter Einfall, die Skripten mittels Editor auf das lokal Notwendige zu begrenzen. Welche Skripte zusätzlich ausgeführt werden, hängt davon ab, welche Pakete auf dem System eingerichtet sind. Vorgaben für die Startskripte werden in der Datei /etc/default/rcS konfiguriert, siehe man rcS. Dort wird eingestellt, ob die Startskripte während ihrer Ausführung anzeigen, was sie gerade tun. Als Verwalter sollte man sich die Skripte einmal durchlesen. 11.8.5 Start- und Stoppskripte für einzelne Runlevels Neben dem Verzeichnis /etc/rcS.d existieren im Verzeichnis /etc sieben weitere Verzeichnisse, die eine ähnliche Aufgabe haben. Ihre Namen lauten rc0.d, rc1.d bis rc6.d. In diesen Verzeichnissen befinden sich ebenfalls symbolische Links auf Skripte im Verzeichnis /etc/init.d, die beim Wechsel in den jeweiligen Runlevel ausgeführt werden. Beim Wechsel von einen Runlevel in einen anderen wird durch init das Skript /etc/init.d/rc ausgeführt. Dieses Skript verhält sich ähnlich wie das beim Systemstart ausgeführte Skript /etc/init.d/rcS. Es ruft die Skripte in dem zugehörigen rc*.d-Verzeichnis auf. Es besteht ein Unterschied zwischen dem Systemstart und dem Wechsel zwischen Runlevels im Betrieb. Während beim Systemstart nur Programme gestartet oder Teile des Systems initialisiert werden, ist es beim Wechsel des Runlevels erforderlich, bestimmte Programme zu beenden. In den Verzeichnissen rc0.d bis rc6.d finden sich deswegen zum einen symbolische Links, deren Namen mit K (Kill) beginnen und zum anderen solche, deren Namen mit S (Start) beginnen. Beim Wechsel in einen neuen Runlevel werden zunächst alle Skripte, deren Link-Namen mit K beginnen, mit dem Parameter stop aufgerufen und danach die S-Skripte mit dem Parameter start. Beide Typen von Symlinks zeigen auf dieselben Skripte im Verzeichnis /etc/init.d. Wenn das Paket gpm zur Mausunterstützung an der Konsole eingerichtet ist, befindet sich im Verzeichnis /etc/init.d ein Skript mit dem Namen gpm. Dieses Skript wird wie üblich mit den Parametern start oder stop aufgerufen, wodurch die Mausunterstützung aktiviert bzw. deaktiviert wird. In den Verzeichnissen /etc/rc2.d bis /etc/rc5.d befinden sich symbolische Links auf dieses
11.8 Starten von Debian GNU/Linux
509
Skript, die den Namen S20gpm tragen. Diese Skripte werden beim Wechsel in die Runlevels mit dem Parameter start aufgerufen, sodass die Mausunterstützung zur Verfügung steht. In den Verzeichnissen rc0.d, rc1.d und rc6.d befinden sich hingegen Links auf das gleiche Skript, die den Namen K20gpm tragen. Beim Wechsel in diese Runlevels wird das Skript mit dem Parameter stop aufgerufen, der Dienst also beendet. Startskripte, die beim Wechsel in den Standardrunlevel (2, Multi User) ausgeführt werden, sind unter anderen: S10sysklogd Startet (im Widerspruch zur Manualseite nur) den SystemlogDämon, der Systemereignisse protokolliert, siehe sysklogd, S11klogd startet den Kernellog-Dämon, der Kernmeldungen protokolliert, siehe man klogd, S11pcmcia startet und initialisiert Programme für PCMCIA-Hardware (PCCards), S15usbmgr startet den USB-Kernel-Module-Manager, der nach Bedarf USBModule lädt und entlädt, siehe man usbmgr, S19autofs startet den Automounter, siehe Abschnitt 2.9.8 Der Automounter im Kern auf Seite 153 und man autofs, S19nis startet – je nach Konfiguration – NIS-Server- und/oder NIS-Clientprogramme für NIS-Cluster, S20acct startet die Buchhaltung der Systembenutzung (Accounting), falls eingerichtet, S20acpid startet den acpi-Dämon, der Benutzerprogramme von ACPIEreignissen benachrichtigt, siehe Abschnitt 9.2 Power Management auf Seite 396, S20dbus startet den dbus-Dämon, siehe man dbus-daemon, S20exim4 startet das Mail-Transport-Programm exim, siehe Abschnitt 16.11 Electronic Mail auf Seite 797, S20makedev kümmert sich um einige Gerätedateien, die bisher noch nicht angelegt worden sind, beispielsweise /dev/MAKEDEV, S20nfs-kernel-server startet den NFS-Server, wodurch andere Rechner nach Konfiguration auf Verzeichnisse dieses Rechners zugreifen können, siehe Abschnitt 13.9.1 Network File System auf Seite 590, S20openbsd-inetd startet den Internet-Dämon inetd, siehe Abschnitt 16.8 Der Super-Dämon inetd auf Seite 783 und man inetd, S20quota startet Programme zur Überwachung von Speicherplatzbeschränkungen für Benutzer, siehe Abschnitt 12.6 Diskquotas – Begrenzung von Speicherplatz auf Seite 534, S20rsync startet den rsync-Dämon, der bei Backups auf einen fernen Rechner behilflich ist, siehe Abschnitt 18.3.3 Backup auf Seite 904 und man rsync, S20samba startet den SMB-Server, der Drucker und Verzeichnisse für MSWindows-Rechner zur Verfügung stellt, siehe Abschnitt 13.9.2 Samba – Netzdienste für MS Windows und IBM OS/2 auf Seite 594 und man samba,
510
11 Systemstart (Booten)
S20xfs startet den X11-Font-Server, siehe Abschnitt 3.2 X Font Server auf Seite 187, S21gdm startet den GNOME Display Manager. siehe Abschnitt 3.4 und man gdm, S21nfs-common startet Programme, die für die Verwendung von NFS benötigt werden, siehe Abschnitt 13.9.1 Network File System auf Seite 590, S23ntp startet den Zeitdienst, je nach Konfiguration als Client oder Server, siehe Abschnitt 10.3.2 Zeit im Netz auf Seite 441 und man ntpd, S30cfsd startet den Cryptographic-File-System-Dämon, siehe Abschnitt 13.7 Verschlüsselte Dateisysteme auf Seite 582 und man cfsd, S89atd startet den at-Dämon, der mit at oder batch in Auftrag gegebene Prozesse zu gegebener Zeit ausführt, siehe Abschnitt 10.3.4 Der at-Dämon auf Seite 451 und man at, S89cron startet den cron-Dämon, der Prozesse startet, die regelmäßig wiederkehrend ausgeführt werden, siehe Abschnitt 10.3.3 Zeitdämon auf Seite 446 und man cron, S91apache startet den HTTP-Server apache, siehe Abschnitt 16.14.1 Webserver auf Seite 844, S99cups startet das Common UNIX Printing System, siehe Abschnitt 9.7.4 Common UMIX Printing System, S99rc.local ruft das lokale Bootskript /etc/rc.local auf, das im Lieferzustand nichts tut als sich zu beenden, S99rmnologin ermöglicht gewöhnlichen Benutzern die Anmeldung an der Konsole oder an virtuellen Terminals. S99stop-bootlogd stoppt den bootlog-Dämon am Ende des Bootvorgangs, weil nunmehr andere Dämonen wie syslogd das Systemlog führen. Welche Skripte auf Ihrem System vorhanden sind, hängt von den jeweils eingerichteten Paketen ab. Die Reihenfolge der Aufrufe ist nicht ganz willkürlich. Beispielsweise sollte der cron-Dämon erst gestartet werden, nachdem über NTP die Systemuhr richtig eingestellt worden ist. Wenn wir einen Dienst neu konfiguriert haben, ist es in der Regel notwendig, die Programme, die diesen Dienst zur Verfügung stellen, erneut zu starten. Dies lässt sich auf verschiedene Arten bewerkstelligen. Die aufwendigste besteht darin, das ganze System neu zu starten (rebooten). Das sollte nicht nötig sein, ist es aber in seltenen Fällen doch. Einfacher ist es, das Startskript des Dienstes aus dem Verzeichnis /etc/init.d mit dem Parameter restart aufzurufen. Angenommen, wir haben die Pakete lprng und magicfilter eingerichtet, um unseren Drucker zu betreiben. Nun haben wir die Datei /etc/printcap geändert, in der die verfügbaren Drucker aufgelistet sind. Wir starten das Drucksystem danach neu, indem wir folgendes Kommando eingeben: debian:~# /etc/init.d/lprng restart Selbstverständlich können wir auch die Parameter stop und start verwenden, um während des Betriebs einen bestimmten Dienst zu beenden oder einen Dienst zu starten, der normalerweise nicht ausgeführt wird.
11.8 Starten von Debian GNU/Linux
511
11.8.6 Einrichten von Startskripten und Symlinks Die Verzeichnisse /etc/rc0.d bis rc6.d bestimmen, welche Dienste beim Wechsel in einen Runlevel gestartet oder beendet werden. Als Vorgabe werden alle Startskripte so eingerichtet, dass die Dienste in den Runlevels 2 bis 5 gestartet und in den Runlevels 0, 1 und 6 beendet werden. Die Dienste stehen zur Laufzeit des Systems zur Verfügung und werden beendet, wenn das System angehalten, neu gestartet oder in den Single User Mode überführt wird.
Abb. 11.2: Sreenshot des System-V-Werkzeugs sysvconfig zum Konfigurieren der Runlevels mit Ausnahme des Runlevels S
Um einen Dienst in einem Runlevel nicht mehr auszuführen, entfernt man den Start-Symlink aus dem rc*.d Verzeichnis. Gleichzeitig sollte in dem Verzeichnis ein Stopp-Symlink angelegt werden, damit der Dienst beendet wird, wenn in den Runlevel gewechselt wird. Angenommen, wir möchten im Runlevel 3 den X Display Manager xdm benutzen, der im Standardrunlevel 2 nicht aktiv sein soll. Außerdem gibt es eine Unverträglichkeit zwischen dem Paket gpm (Mausunterstützung für die Konsole) und dem X-Server. Der Dienst gpm darf nicht ausgeführt werden, wenn xdm läuft. Um zu verhindern, dass xdm im Runlevel 2 ausgeführt wird, ist folgendes Kommando einzugeben:
512
11 Systemstart (Booten)
Abb. 11.3: Sreenshot des KDE-System-V-Editors zum Konfigurieren der Runlevel
debian:~# rm /etc/rc2.d/S99xdm Entsprechend wird mit dem nächsten Kommando verhindert, dass gpm im Runlevel 3 gestartet wird: debian:~# rm /etc/rc3.d/S20gpm Nun muss ein Stop-Link für Runlevel 2 erzeugt werden, damit xdm beendet wird, wenn in diesen Runlevel gewechselt wird. Dies geschieht mit dem Kommando ln: debian:~# ln -s /etc/init.d/xdm /etc/rc2.d/K01xdm Ein weiterer Stop-Link muss eingerichtet werden, damit gpm beendet wird, wenn in den Runlevel 3 gewechselt wird: debian:~# ln -s /etc/init.d/gpm /etc/rc3.d/K20gpm Wie die zu löschenden Links und zu verknüpfenden Skripte heißen, finden wir heraus, indem wir uns den Inhalt der Verzeichnisse mit ls anzeigen lassen. Wenn wir uns nicht sicher sind, in welcher Reihenfolge Dienste zu beenden sind, empfiehlt es sich, den Inhalt des Verzeichnisses /etc/rc0.d zu untersuchen. Aus den Namen der hier befindlichen Links lässt sich auf die Reihenfolge schließen, mit der alle Dienste ordnungsgemäß beendet werden, wenn das System angehalten wird. Der Inhalt der Runlevels lässt sich mit herkömmlichen Linux/UNIX-Werkzeugen wie ln und rm festlegen. Etwas Disziplin ist dabei nötig. Wird ein Dienst in einem
11.8 Starten von Debian GNU/Linux
513
Runlevel gestartet und beim Wechsel in einen anderen nicht gekillt, obwohl er nicht mehr benötigt wird, läuft er weiter. Zu einem Start-Link in einem Verzeichnis gehören immer Kill-Links in allen anderen Verzeichnissen, in deren Runlevel der Dienst nicht laufen soll, selbst wenn er nicht stört. Jeder Runlevel sollte sauber und vollständig definiert sein und nicht von seinem mehr oder weniger zufälligen Vorgänger abhängen. Ein einfaches Werkzeug zum Editieren der Runlevels ist sysvconfig, siehe Abbildung 11.2, ein Perlskript. Ähnlich arbeitet rcconf, ein Textinterface zum Kommando update-rc.d. KDE-Freunde können zum Editieren von Runlevels den SysV-Runlevel-Editor ksysv benutzen. Eine angenehme Eigenschaft des Programms ist, dass es schnell einen Überblick über alle Runlevels bietet, siehe Abbildung 11.3. Ebenfalls ein grafische Oberfläche bietet der Boot-up Manager bum, siehe Abbildung 11.4. Hat man das Prinzip der Runlevels und ihrer Verwirklichung begriffen, spricht nichts gegen eine grafische Oberfläche.
Abb. 11.4: Sreenshot des Boot-up Managers bum zum Konfigurieren der Runlevels
Die Skripte im Verzeichnis /etc/init.d sind grundsätzlich Konfigurationsdateien. Es ist möglich, sie zu ändern, ohne dass sie bei einer Aktualisierung des Systems automatisch überschrieben werden. In den meisten Fällen ist dies jedoch nicht zu empfehlen. Wenn Programme gestartet werden sollen, die normalerweise nicht gestartet werden und für die keine Startskripte zur Verfügung stehen, ist zu erwägen, ein eigenes Startskript zu schreiben (kopieren, editieren) und einzurichten. Als Vorlage dient ein vorhandenes Startskript oder die Datei /etc/init.d/skeleton. Gewisse Formalien sind einzuhalten. Obwohl es möglich wäre, Konfigurationsdaten in die Startskripte zu schreiben, soll man im Interesse der klaren Trennung
514
11 Systemstart (Booten)
der Aufgaben davon absehen. Wo es unvermeidbar ist, einem Dämon beim Start Optionen und dergleichen mitzugeben – die nicht aus einer eigenen Konfigurationsdatei entnommen werden können – werden sie in eine Datei im Verzeichnis /etc/default geschrieben, die vom Startskript gelesen (gesourct, Punktkommando) wird. Als Beispiel sehe man sich die Dateien für den ntp- oder ssh-Dämon an. Da viele Dämonen eigene Konfigurationsverzeichnisse oder -dateien verwenden, sind in /etc/default nicht alle Dämonen aus /etc/init.d vertreten. Wenn wir ein eigenes Startskript erstellt haben, muss dieses dorthin kopiert werden, wo sich auch alle anderen Skripte dieser Art befinden, also in das Verzeichnis /etc/init.d. Daraufhin sind die symbolischen Links in den verschiedenen /etc/rc?.d-Verzeichnisse zu erzeugen. Dies kann manuell geschehen oder mit dem Programm update-rc.d, das auch beim Einrichten von Debian-Paketen verwendet wird: update-rc.d Skriptname defaults [Zahl | Zahl-start Zahl-stop] In diesem Fall werden Startlinks in den Verzeichnissen rc2.d bis rc5.d sowie Stoplinks in den Verzeichnissen rc0.d, rc1.d und rc6.d auf das mit Skriptname bezeichnete Startskript gelegt. Skriptname ist ohne Verzeichnisnamen anzugeben. Optional wird mit Zahl angegeben, welche Zahl die Namen der Links nach den Buchstaben S bzw. K erhalten. Zahl muss zweistellig angegeben werden. Damit wird festgelegt, an welcher Stelle das Skript beim Wechsel in einen Runlevel aufgerufen wird. Wenn unterschiedliche Stellen in der Reihenfolge des Aufrufs beim Starten und beim Beenden des Dienstes benötigt werden, ist die Form Zahl-start und Zahl-stop zu verwenden. Ist Zahl nicht angegeben, wird der Standardwert 20 benutzt. Wenn das selbsterstellte Skript gdmrandomtheme in das Verzeichnis /etc/ init.d kopiert worden ist, werden die Symlinks mit diesem Kommando erzeugt: debian:~# update-rc.d gdmrandomtheme defaults Wenn Start- oder Stoplinks nur für ausgewählte Runlevels angelegt werden sollen, wird update-rc.d in dieser Form aufgerufen: update-rc.d Skriptname start|stop Zahl Runlevel ... start|stop Zahl Runlevel ... Dabei ist mit start oder stop anzugeben, ob Start- oder Stoplinks erzeugt werden sollen, mit Zahl die Stelle in der Reihenfolge des Aufrufs und mit Runlevel den oder die Runlevels, für die der Link erzeugt werden soll. Wenn das Skript gdmrandomtheme in den Runlevels 0-3 und 6 als erstes gestoppt und in den Runlevels 4 und 5 als letztes gestartet werden soll, ist das Kommando folgendermaßen zu verwenden: debian:~# update-rc.d gdmrandomtheme start 99 4 5 stop 01 0 1 2 3 6
11.8 Starten von Debian GNU/Linux
515
Der Skriptname gdmrandomtheme ist dabei durch den tatsächlichen Skriptnamen zu ersetzen. Wenn sich bereits ein Symlink auf das Startskript in den rc*.d-Verzeichnissen befindet, bleibt der Aufruf von update-rc.d wirkungslos. Es wird dann davon ausgegangen, dass bereits manuell lokale Einstellungen vorgenommen wurden, die nicht überschrieben werden sollen. In diesem Fall müssen wir weitere Symlinks ebenfalls von Hand anlegen. Um ein Startskript vollständig zu entfernen, ist es zunächst aus dem Verzeichnis /etc/init.d zu entfernen. Die Verweise werden dann mit folgendem Kommando gelöscht: debian:~# update-rc.d gdmrandomtheme remove Auch hier ist gdmrandomtheme durch den tatsächlichen Skriptnamen zu ersetzen. 11.8.7 Meldungen beim Systemstart Beim Systemstart werden zahlreiche Meldungen auf den Bildschirm und möglichst früh auch in Dateien im Verzeichnis /var/log geschrieben. Bei Startproblemen helfen die Meldungen, die Ursachen zu finden. Aber auch sonst ist es nützlich, sich die Meldungen einmal anzusehen um herauszufinden, was alles beim Start vor sich geht und wo noch etwas verbessert werden könnte. Zu Beginn meldet sich auf Befehl des System-BIOS das BIOS der Grafikkarte, ohne die keine Ausgabe auf den Bildschirm möglich ist. Da zu diesem Zeitpunkt kein Betriebssystem läuft, werden die Meldungen nirgends gespeichert. Dann folgen Mitteilungen des System-BIOS, das seinerseits etwaige BIOS-Erweiterungen auf Karten wie einem SCSI-Adapter aufruft. Auch hier besteht noch keine Möglichkeit des Speicherns. Man kann nur den Ablauf unterbrechen, um in eine Konfiguration zu gelangen. Bei Fehlern verfügt das BIOS über begrenzte akustische Ausdrucksmöglichkeiten über den Lautsprecher im PC-Gehäuse, die nicht standardisiert sind. Hat das BIOS seine Aufgaben erfolgreich abgeschlossen, lädt es von einem bootfähigen Medium den Bootloader, beispielsweise GRUB. Sobald wie möglich beginnt der Linux-Kern mit der Ausgabe von Bootmeldungen auf die Konsole. Sowie init den Dämon bootlogd gestartet hat, versucht dieser, die Meldungen auch in die Datei /var/log/boot zu schreiben. Der Dämon wird durch ein Startskript gleichen Namens gestartet, sofern in der Datei /etc/default/bootlogd die Umgebungsvariable auf Yes gesetzt ist. Zusätzlich bietet das Kommando dmesg die Möglichkeit, einen Ringpuffer im Kern auszulesen, der die Kernmeldungen während des Bootens aufnimmt. Der Puffer wird im laufenden Betrieb überschrieben, sodass man sich die Meldungen unmittelbar nach dem Start ansehen sollte. Eine gekürzte Ausgabe von dmesg sieht so aus: ACPI: PM-Timer IO Port: 0x1008 ACPI: LAPIC_NMI (acpi_id[0x00] dfl dfl lint[0x1]) ACPI: IOAPIC (id[0x02] address[0xfec00000] gsi_base[0]) Kernel command line: root=/dev/hda1 ro
516
11 Systemstart (Booten)
Initializing CPU#0 Detected 2814.046 MHz processor. Dentry cache hash table entries: 262144 Inode-cache hash table entries: 131072 Memory: 1030600k/1048512k available Calibrating delay .. 5635.76 BogoMIPS Security Framework v1.0.0 initialized Capability LSM initialized CPU: L2 cache: 512K CPU: Intel(R) Pentium(R) 4 CPU 2.80GHz stepping 09 NET: Registered protocol family 16 PCI: PCI BIOS revision 2.10 entry at 0xfb260 PCI: Probing PCI hardware (bus 00) VFS: Disk quotas dquot_6.5.1 Initializing Cryptographic API Serial: 8250/16550 driver $Revision: 1.90 RAMDISK driver initialized: 16 RAM disks of 8192K IP route cache hash table entries: 65536 TCP established hash table entries: 262144 TCP: Hash tables configured ACPI: (supports S0 S3 S4 S5) input: AT Translated Set 2 keyboard /class/input/input0 Uniform Multi-Platform E-IDE driver Rev.: 7.00alpha2 Probing IDE interface ide0... usbcore: registered new driver usbfs USB Universal Host Controller Interface driver v2.3 hda: HDT722525DLAT80, ATA DISK drive Probing IDE interface ide1... hdc: Pioneer DVD-ROM ATAPI Model DVD-105S 013 ide1 at 0x170-0x177,0x376 on irq 15 skge 1.3 addr 0xfb000000 irq 177 chip Yukon-Lite rev 7 skge eth0: addr 00:0d:61:4c:b0:05 uhci_hcd 0000:00:1d.0: UHCI Host Controller usb usb1: configuration #1 chosen from 1 choice hub 1-0:1.0: USB hub found hda: 488397168 sectors (250059 MB) w/7674KiB Cache hda: hda1 hda2 < hda5 hda6 hda7 hda8 hda9 > hda3 hdc: ATAPI 40X DVD-ROM drive, 512kB Cache, UDMA(33) hub 2-0:1.0: USB hub found hub 2-0:1.0: 2 ports detected kjournald starting. Commit interval 5 seconds EXT3-fs: mounted filesystem with ordered data mode. Floppy drive(s): fd0 is 1.44M Linux agpgart interface v0.101 (c) Dave Jones agpgart: Detected an Intel 865 Chipset.
11.8 Starten von Debian GNU/Linux
517
agpgart: AGP aperture is 128M @ 0xe8000000 Real Time Clock Driver v1.12ac SCSI subsystem initialized Initializing USB Mass Storage driver... scsi0 : SCSI emulation for USB Mass Storage devices usbcore: registered new driver usb-storage usb-storage: device found at 5 input: Logitech Trackball as /class/input/input2 input: USB HID v1.10 Mouse [Logitech Trackball] intel8x0_measure_ac97_clock: measured 54613 usecs Adding 2931820k swap on /dev/hda9 EXT3 FS on hda1, internal journal loop: loaded (max 8 devices) device-mapper: 4.5.0-ioctl (2005-10-04) initialised EXT3 FS on hda8, internal journal EXT3-fs: mounted filesystem with journal data mode. skge eth0: enabling interface Vendor: Samsung Model: Mighty Drive Rev: PMAP Type: Direct-Access ANSI SCSI revision: 00 usb-storage: device scan complete SCSI device sda: 502784 512-byte hdwr sectors (257 MB) sda: sda1 sd 0:0:0:0: Attached scsi removable disk sda skge eth0: Link is up at 100 Mbps, full duplex IPv6 over IPv4 tunneling driver Installing knfsd (copyright (C) 1996 [email protected]) Wir erkennen folgende Bereiche von Meldungen: •
•
• • • • • •
Alles, was mit ACPI zu tun hat, betrifft das Advanced Configuration and Power Interface, das für Power Management, Hardware-Erkennung und -Konfiguration sorgt, siehe Abschnitt 9.2 Power Management auf Seite 396. ACPI berührt große Teile der Hardware. APIC hingegen bedeutet Advanced Programmable Interrupt Controller, ein System, das die knappen Interrupts intelligent verwaltet, bestehend aus dem Local APIC und dem I/O APIC. Auch APIC berührt fast die gesamte Hardware. Die Kernel command line enthält die Parameter aus der Datei /boot/ grub/menu.lst, die dem Kern beim Booten mitgegeben werden. Dann folgen einige Meldungen betreffend den Prozessor (CPU). Im Kern werden verschiedene Zwischenspeicher (cache) angelegt. Der Arbeitsspeicher (Memory) wird erkannt. Die BogoMIPS werden gemessen, um Prozessortakte nach Echtzeit umrechnen zu können, siehe Abschnitt 6.4.2 Hauptprozessor(en) auf Seite 309. Das Security Framework und die Linux Security Moduls (LSM) sind eine Schnittstelle im Kern samt Modulen zur Verbesserung der Sicherheit. Die Modu-
518
•
•
• • •
•
• • • • • • • • • •
•
11 Systemstart (Booten)
le können die üblichen Rechte eines Prozesses einschränken. Informationen dazu findet man unter den Begriffen SELinux und RBAC. Hinter NET verbirgt sich die Interprozesskommunikation zwischen Kern und Anwenderprozessen über Sockets, siehe man 7 netlink. Die Prozessfamilien findet man in /usr/include/bits/socket.h. Die mit PCI (Peripheral Component Interconnect) beginnenden Meldungen betreffen den PCI-Systembus, der weitgehend den alten ISA-Bus abgelöst hat. Der Bus verbindet PCI-Einsteckkarten mit dem Chipsatz auf der Hauptplatine. VFS ist das Virtual File System im Kern, die Schnittstelle zu realen Dateisystemen, siehe Abschnitt 13.8 Virtuelle Dateisysteme auf Seite 587. IP (Internet Protocol) und TCP (Transmission Control Protocol) beziehen sich auf den Protokollstapel für das Internet. Mit USB, usb, uhci (Universal Host Controller Interface) oder Hub beginnende Zeilen gelten dem Universal Serial Bus, an den hier ein USB-Stöpsel von 256 MB angeschlossen ist, der später als sda1 angesprochen wird. In der mit hda beginnenden Zeile meldet sich die erste Festplatte, mit hdc bald darauf ein DVD-Laufwerk. Später startet der kjournald, der Dämon, der das Journal von ext3-Dateisystemen regelmäßig in die Dateien überträgt. skge ist der SysKonnect Gigabit Ethernet Driver, der auch für Karten anderer Hersteller mit gleichem Chipsatz verwendet wird. Das Floppy-Laufwerk wird erkannt. agpgart ist ein Kernmodul, das besondere Fähigkeiten von AGP-Grafikkarten unterstützt, siehe http://utah-glx.sourceforge.net/gart/. Die Real Time Clock (Hardwareuhr) wird angesprochen. Alles, was mit SCSI zu tun hat, wird auf diesem Rechner benötigt, um USBMassenspeicher (Stöpsel, externe Festplatte) zu benutzen. Die Rollkugel (Logitech) ist über USB angeschlossen, auch eine Möglichkeit. intel8x0... der Taktgeber der integrierten Soundkarte (ac97 = Audio Codec ’97) wird eingestellt. Sound braucht Echtzeit. /dev/hda9 wird als Swap-Bereich eingebunden. Das Loopback-Device wird eingerichtet. Der Device-Mapper bildet im Kern ein Block-Gerät auf ein anderes ab und wird für LVM, EVMS, Software RAID, Cryptoloop und andere hübsche Dinge gebraucht, siehe man dmsetup, Abschnitt 13.7 Verschlüsselte Dateisysteme auf Seite 582 und http://sourceware.org/dm/. Der knfsd ist der Kernel NFS Dämon, siehe Abschnitt 13.9.1 Network File System auf Seite 590.
Die Meldungen kommen nicht schön sortiert nach Sachgebiet, sondern so, wie die jeweiligen Prozesse voranschreiten. Die Inhalte von /var/log/boot, /var/log/ syslog und /var/log/messages sehen ähnlich aus, setzen aber zu anderen Zeitpunkten ein, da beispielsweise die Datei syslog erst beschrieben wird, wenn der syslogd arbeitet.
12 Benutzer und Gruppen
Benutzer und Gruppen sind ein wesentliches Element von Mehrbenutzersystemen und damit auch von Linux/UNIX. Wir lernen das Konzept und die dazu gehörenden Dateien und Werkzeuge näher kennen.
12.1 Grundbegriffe Ein Betriebssystem, das mehreren Benutzern gleichzeitig das Arbeiten auf einem Rechner ermöglicht, muss Mechanismen bereitstellen, mit denen die Benutzer (E: user, F: utilisateur) voreinander geschützt werden. Der wichtigste Mechanismus dazu ist das Benutzerkonzept. Im Gegensatz zu Programmen auf einem Taschenrechner oder einem PC unter DOS werden Programme unter Linux/UNIX immer von einem Benutzer ausgeführt. Das Betriebssystem speichert zu jedem Prozess eine Benutzer-ID und überprüft anhand dieser ID, wozu der Prozess berechtigt ist. Aus diesem Grund ist es erforderlich, sich vor der Benutzung des Rechners anzumelden. Hierdurch erfährt das Betriebssystem, mit wessen Benutzer-ID ein Prozess oder eine Sitzung zu starten ist. Auch zum Abrechnen und zum Überwachen der Inanspruchnahme von Ressourcen (Prozessorzeit, Speicher, Leitungen, Papier) braucht man ein Benutzerkonzept. Ein Benutzername samt seinen Attributen wird als Konto (E: account, F: compte) bezeichnet. Eine Person verfügt über ein Konto auf einem Rechner. Das Einrichten und Löschen von Konten ist dem Verwalter vorbehalten. Nicht nur zu jedem Prozess, sondern auch zu weiteren Ressourcen werden Benutzer-IDs gespeichert, beispielsweise zu jeder Datei und jedem Verzeichnis. Man sagt deswegen auch, dass eine Datei oder ein Verzeichnis einem Benutzer gehöre. Dieser Benutzer ist der Besitzer (E: owner, F: propriétaire) der Datei. Ebenso gehört ein Prozess dem Benutzer, der ihn gestartet hat. Wenn ein Prozess auf eine Datei zugreift, prüft das Betriebssystem anhand der Besitzer-ID des Prozesses und der Besitzer-ID der Datei, ob die Datei dem Besitzer des Prozesses gehört, und entscheidet daraufhin, ob der Zugriff gestattet wird. Bei Dateien kann es sich auch um Gerätedateien handeln – beispielweise /dev/cdrom – womit sich der Zugriff auf bestimmte Geräte steuern lässt.
520
12 Benutzer und Gruppen
Oft wird gewünscht, einigen Benutzern gemeinsam den Zugriff auf bestimmte Ressourcen zu erlauben. Schon das Ur-UNIX hat Gruppenarbeit unterstützt. So hat man es häufig mit Arbeitsgruppen oder Abteilungen zu tun, die gemeinsam bestimmte Daten bearbeiten, wobei Benutzer aus anderen Arbeitsgruppen nicht in der Lage sein sollen, die Dateien der Gruppe zu ändern. Deswegen gibt es neben dem Benutzerkonzept das Gruppenkonzept. Ressourcen wie Prozesse oder Dateien sind nicht nur einer Benutzer-ID, sondern auch einer Gruppen-ID zugeordnet. Jeder Benutzer gehört mindestens einer Gruppe (E: group, F: groupe) an, seiner primären Gruppe (Hauptgruppe, Default-Gruppe). Sie wird in der Datei /etc/passwd festgelegt. Es ist aber üblich, dass Benutzer weiteren, sekundären Gruppen angehören. Das Kommando id zeigt diese an; die Zugehörigkeit zu sekundären Gruppen steht in der Datei /etc/group. Die Einreihung eines Benutzers in sekundäre Gruppen ist Aufgabe des Verwalters. Er kann die Aufgabe an Gruppenverwalter delegieren, ohne diesen weiter gehende Rechte einzuräumen, siehe Abschnitt 12.5.1 Verwalten von Benutzern und Gruppen auf Seite 525. Weder bei Benutzern noch bei Gruppen ist eine weitere Unterteilung vorgesehen. Eine Gruppe kann nur aus Benutzern und nicht aus anderen Gruppen bestehen, so sinnvoll das Konzept manchmal wäre. Wenn ein Prozess eine Datei erzeugt, ist die Datei dem Benutzer zugeordnet, mit dessen ID der Prozess ausgeführt wird. Ebenso ist die Datei der Gruppe zugeordnet, welcher der Benutzer angehört. Weil ein Benutzer mehreren Gruppen angehören kann, ist für jeden Benutzer immer genau eine Gruppe aktiv oder aktuell. Die neue Datei wird der Gruppen-ID der aktiven Gruppe des jeweiligen Benutzers zugeordnet. Nach dem Anmelden ist die primäre Gruppe zugleich die aktive Gruppe eines Benutzers. Mit dem Kommando newgrp wechselt man seine aktive Gruppe. Tab. 12.1: Benutzer- und Gruppennummern Nummern Verwendung 0 Root, Superuser 1 – 99 allgemeine, fest zugeteilte Pseudo-Benutzer wie bin, einheitlich im gesamten Debian-System 100 – 999 nach Bedarf eingerichtete Konten für Systemdienste wie gdm 1000 erster gewöhnlicher Benutzer, auf Mehrbenutzersystemen möglichst Root in Zivil 1001 – 29999 gewöhnliche Benutzer und Gruppen 10000 – 20000 gegebenenfalls von Samba benutzt (konfigurierbar) 30000 – 59999 reserviert 60000 – 64999 reserviert, werden nicht automatisch vergeben, einheitlich im gesamten Debian-System 65000 – 65533 reserviert 65534 Nobody, der Rechtlose, beziehungsweise Nogroup 65535 unmögliche Nummer, auch als −1 bezeichnet, Fehler-Rückgabewert
12.2 Die Dateien passwd und group
521
Gruppen und Benutzer werden systemintern durch Zahlen zwischen 0 und 65535 dargestellt1 . Es hat sich eingebürgert, die IDs gewöhnlicher Benutzer und Gruppen bei 1000 beginnen zu lassen, siehe Tabelle 12.1. Die Verwendungsbereiche sind nicht allgemein verbindlich auf allen Linux/UNIX-Systemen. Obige Tabelle gibt den Gebrauch bei Debian wieder und ist im Debian Policy Manual im Abschnitt 9.2 Users and groups nachzulesen, erhältlich bei http://www.debian.org/doc/ debian-policy/ oder als Debian-Paket debian-policy. Darüber hinaus ist jeder Benutzer- und Gruppen-ID ein Name zugeordnet. Es ist möglich, wenn auch nur selten sinnvoll, einer ID mehrere Namen zuzuordnen. Umgekehrt kann zu einem Namen nur eine ID gehören. Die Benutzer-ID 0 entspricht immer dem Konto des Systemverwalters; ebenso entspricht die Gruppen-ID 0 der Gruppe des Verwalters. Beide tragen üblicherweise den Namen root; maßgebend ist jedoch die Nummer. Unter Debian GNU/Linux besitzt jeder Benutzer exklusiv eine eigene Gruppe, seine primäre Gruppe. Wenn ein neuer Benutzer angelegt wird, wird auch eine neue Gruppe angelegt, die den gleichen Namen trägt wie der neue Benutzer. Das lässt dem Verwalter alle Freiheiten bei der Zuordnung des Benutzers zu sekundären Gruppen. Für das System ist ein Konto ein Bündel von Rechten. Ob dahinter ein Mensch, eine Gruppe von Menschen, ein Dämon oder sonstwas steht, ist dem System gleichgültig. Es gibt beispielsweise auf allen Linux/UNIX-Systemen den Benutzer bin, hinter dem weder eine Person – auch nicht der Verwalter – noch ein Dämon steht. Dieser Benutzer tritt nur als Besitzer von Dateien auf, die man ebenso gut dem Besitzer root oder jedem anderen übereignen könnte. Nur geht man mit root vorsichtig um und verschleisst ihn nicht unnötig. Solche Pseudobenutzer könnte man als funktionale oder aufgabenbezogene Benutzer bezeichnen, wobei der Benutzer bin die einzige Aufgabe hat, Dateien zu besitzen. Viele Dämonen laufen unter gleichnamigen Pseudobenutzern. Sofern sie vom System anlegt werden, heißen sie auch Systembenutzer, siehe Abschnitt 12.4 Systembenutzer und -gruppen auf Seite 524. Ein Sonderfall sind Benutzer nobody und Gruppe nogroup, die keine Rechte haben, der Gegenpol zu root. Solchen Minderbenutzern steht üblicherweise keine Shell zur Verfügung, stattdessen /bin/false. Früher zählte auch guest dazu, den man heute aus guten Gründen überhaupt nicht einrichtet und auch nicht braucht. Das Benutzerkonzept ist auf Datenbanken stark verfeinert, aber das Konzept von Linux/UNIX reicht in vielen Fällen aus, wenn es richtig angewendet wird.
12.2 Die Dateien passwd und group Das System speichert die Benutzerinformationen in der Datei /etc/passwd und die Gruppeninformationen in der Datei /etc/group. Beide Dateien enthalten in jeweils einer Zeile einen Eintrag für einen Benutzer bzw. eine Gruppe. Jeder Eintrag 1
Die Zahlen sind vorzeichenbehaftete Ganzzahlen und reichen somit auf 32-BitMaschinen bis rund 2 Milliarden. Programme können jedoch den Bereich einschränken oder Ausschnitte für besondere Zwecke reservieren, siehe /etc/login.defs. POSIX empfiehlt, beim Programmieren von 32 Bit langen UIDs und GIDs auszugehen.
522
12 Benutzer und Gruppen
besteht aus mehreren Feldern, die durch Doppelpunkte ohne Leerzeichen voneinander getrennt sind. Eine Zeile in der Datei /etc/passwd sieht so aus: joe:cMU0GTfPzSlfk:1000:1000:J. Debian,111,4483912923, 2991923,Benutzer:/home/joe:/bin/bash Die Felder bedeuten Folgendes: 1. 2. 3. 4. 5.
Benutzername, verschlüsseltes Passwort, Benutzer-ID (UID), Gruppen-ID (GID) der primären Gruppe des Benutzers, GECOS-Feld (auch GCOS-Feld). Das Feld enthält Zusatzinformationen über den Benutzer. Als Vorgabe finden sich in dem Feld fünf durch Komma getrennte Unterfelder mit folgenden Informationen: a) bürgerlicher Name des Benutzers, b) Raumnummer, c) Telefonnummer am Arbeitsplatz, d) private Telefonnummer, e) Kommentar, Das Feld darf ganz oder teilweise leer bleiben. Man darf auch die Bedeutung der Unterfelder umfunktionieren, beispielsweise als Telefonnummern die Festnetzund die Mobilnetznummer eintragen, nur halten sich Werkzeuge wie finger an obige Bedeutungen. Der Name GECOS stammt von einem frühen Betriebssystem der Firma General Electric, siehe die englische Wikipedia. 6. Home-Verzeichnis, 7. das Programm, das nach der Anmeldung aufgerufen wird, meist eine Shell. Mit /bin/false an dieser Stelle kommt ein Benutzer nicht weit. Die Einträge sind von allen Benutzern lesbar (Zugriffsrechte 644). Die Zeilen von /etc/group mit den Gruppeninformationen haben weniger Felder: verkauf:/dSX7lo8RrB2U:2000:meier,schulze Die Bedeutungen der Felder dieser Datei sind: 1. 2. 3. 4.
Bezeichnung der Gruppe, Passwort der Gruppe, ID der Gruppe (GID), eine komma-getrennte Liste ohne Leerzeichen der Benutzernamen, die in der Gruppe als sekundärer Gruppe Mitglied sind.
Die primäre Mitgliedschaft erfordert keinen Eintrag, da sie durch /etc/passwd bestimmt wird. Es kann zu Schwierigkeiten kommen, wenn ein Benutzer vorübergehend eine andere Gruppe aktiviert hat und wieder zurück in seine primäre Gruppe wechseln möchte. Dann hilft es, ihn auch in seine primäre Gruppe als Mitglied einzutragen. Die Verwendung eines Gruppenpasswortes wäre auch ein Weg, aber unnötiger Aufwand. Die Datei ist ebenfalls für alle Benutzer lesbar (644). Die Anzahl
12.3 Schattenpasswörter
523
der Mitglieder pro Gruppe kann begrenzt sein, unter HP-UX 10.20 erlebt. Gruppen können nicht Mitglieder übergeordneter Gruppen werden (Schachtelung). Ein leeres Passwortfeld bedeutet kein Passwort, ungeschützt. Ein Eintrag, der kein verschlüsseltes Passwort darstellt, verhindert ein Einloggen des Benutzers bzw. einen Wechsel in die Gruppe. Oft wird ein Sternchen oder ein Ausrufezeichen für diesen Zweck genommen. Die Bedeutung des Buchstabens x in diesem Feld erfahren wir im Abschnitt 12.3 Schattenpasswörter auf Seite 523. Während ein leeres Passwortfeld in einer Zeile von /etc/passwd ein Verstoß gegen elementare Sicherheitsregeln wäre, sieht man bei den Gruppen oft von Passwörtern ab. Ein Gruppenpasswort benötigen nur Benutzer, die in eine Gruppe wechseln möchten, ohne in dieser eingetragen zu sein. Überhaupt sind Passwörter, die von mehreren Benutzern geteilt werden, keine gute Idee. Verschiedene Betriebssysteme verwenden verschiedene Verschlüsselungsalgorithmen für die Passwörter, was zu Schwierigkeiten im Netz führen kann, da beim Anmelden eines Benutzers die verschlüsselten Passwörter verglichen werden. Passwörter werden im Normalbetrieb nie entschlüsselt. Zum Aufspüren schwacher Passwörter dienen Werkzeuge wie Crack, bei Debian erhältlich. Die vesuchen mit Wörterbuchangriffen, Passwörter zu erraten. Während des normalen Betriebs des Systems sollten die Dateien /etc/passwd und /etc/group nicht direkt mit einem Texteditor bearbeitet werden, Zur Verwaltung von Benutzern und Gruppen sind die dafür vorgesehenen Werkzeuge wie adduser zu verwenden oder die Kommandos vipw und vigr, welche die Dateien vor der Veränderung durch andere Benutzer schützen (für Schreibzugriffe sperren), solange sie bearbeitet werden.
12.3 Schattenpasswörter Wie oben beschrieben werden die verschlüsselten Passwörter für Benutzer und gegebenenfalls Gruppen in den beiden Dateien /etc/passwd und /etc/group gespeichert. Da diese Dateien für alle Benutzer des Systems lesbar sein müssen (644), ergibt sich ein Sicherheitsrisiko, weil es dadurch möglich ist, schlechte Passwörter durch rechnergestütztes Ausprobieren zu erraten. Dieses Problem wird gelöst, indem die verschlüsselten Passwörter in eigene Dateien ausgelagert werden, die nur vom Verwalter und einer leeren Gruppe lesbar sind (640). Auf diese Weise ist das Erraten von Passwörtern schwieriger, weil jeder Rateversuch mit einem Versuch zur Anmeldung am System einhergehen müsste, was viel länger dauert und auffällt. Außerdem lassen sich die Pausenzeiten zwischen zwei Anmeldeversuchen von Mal zu Mal verdoppeln, was bei zwei oder drei Fehlversuchen kaum stört, schnell aber zu langen Pausen führt2 . Nach mehreren Fehlversuchen kann man auch das Konto automatisch sperren und dem Verwalter eine Mail schicken. Man bezeichnet das Verfahren als Verwendung von Schattenpasswörtern. Die Passwörter werden in den Dateien /etc/shadow für die Benutzerpasswörter 2
Sie kennen die Legende oder Anekdote von der Erfindung des Schachspiels (Weizenkornlegende)? Falls nicht, hilft die deutsche Wikipedia.
524
12 Benutzer und Gruppen
und /etc/gshadow für die Gruppenpasswörter gespeichert. In der Datei /etc/ passwd befindet sich im Passwort-Feld an Stelle des verschlüsselten Passwortes der Buchstabe x, ebenso in der Datei /etc/group, auch falls das Feld kein Passwort enthält. Unter Debian GNU/Linux wird die Verwendung von Schattenpasswörtern durch die Eingabe des folgenden Kommandos aktiviert: debian:~# shadowconfig on Wenn später wieder auf das ältere und unsicherere Verfahren gewechselt werden soll, ist einzugeben: debian:~# shadowconfig off Das kommt selten vor. Meist verschärft man Sicherheitsmaßnahmen. Neuere Distributionen richten als Vorgabe Schattenpasswörter ein. In NIS-Umgebungen findet man gelegentlich eine Datei passwd.adjunct, die denselben Zweck mit einer etwas anderen Syntax erfüllt.
12.4 Systembenutzer und -gruppen Gleich nach der Einrichtung eines Debian-Systems sind bereits ein paar Dutzend Benutzer und Gruppen definiert. Man bezeichnet diese Benutzer und Gruppen als Systembenutzer bzw. Systemgruppen, weil sie keiner realen Person zugeordnet sind. Sie werden aus Gründen der Sicherheit und Ordnung benötigt. Hintergrundprogramme (Dämonen) werden oft mit der ID eines Systembenutzers und nicht mit der des Verwalters ausgeführt. Dies bietet den Vorteil, dass solche Programme nichts tun können, wofür die Rechte des Verwalters benötigt werden, und deswegen das System nicht ernsthaft beschädigen, falls sie durchdrehen. Eine Übersicht über die Systemkonten samt Erklärung findet man in der Datei /usr/share/doc/ base-passwd/users-and-groups.html aus dem Paket base-passwd. Die Systemgruppen dienen vor allem zur Rechtevergabe. Bekanntlich ist gewöhnlichen Benutzern der direkte Zugriff auf die Hardware des Systems nicht erlaubt. Die Gerätedateien, durch welche die Hardware im System dargestellt wird, sind unterschiedlichen Systemgruppen zugeordnet. Beispielsweise sind alle Gerätedateien, die im Zusammenhang mit Soundkarten stehen, der Gruppe audio zugeordnet. Gerätedateien, die Festplatten darstellen, gehören der Gruppe disk an, und Gerätedateien, mit denen Einwahlverbindungen aufgebaut werden (Modemanschlüsse, ISDN-Geräte), der Gruppe dialout. Die Rechte dieser Gerätedateien sind dabei so gesetzt, dass Besitzer und Gruppe auf das Gerät schreibend und lesend zugreifen dürfen. Wenn der Systemverwalter einem Benutzer das Recht zur Benutzung der Soundkarte erteilen möchte, nimmt er ihn in die Gruppe audio als sekundäre Gruppe auf, woraufhin er als Gruppenmitglied Lese- und Schreibrechte auf die entsprechenden Gerätedateien hat. Konten für gewöhnliche Benutzer und Gruppen werden unter Debian GNU/Linux per Konvention mit Benutzer- und Gruppen-IDs ab 1000 erzeugt. Das schafft ausreichend Platz für Systembenutzer, Dämonen und dergleichen. Die
12.5 Benutzer- und Gruppenkonten
525
IDs von 0 bis 99 werden von Debian statisch für bestimmte Systembenutzer und -gruppen belegt und können sich während der Aktualisierung des Systems ändern. Die IDs von 100 bis 999 sind für Debian-Pakete reserviert. Jedes Paket, das während seiner Einrichtung einen neuen Systembenutzer oder eine neue Systemgruppe erzeugt, verwendet dafür Benutzer- und Gruppen-IDs in diesem Bereich. Die höchste Gruppen- und Benutzer-ID, die für gewöhnliche Benutzer vergeben werden darf, ist 29999, eine Konvention. Das erlaubt einen großzügigen Umgang mit IDs. Benutzer nobody und Gruppe nogroup bekommen die ID 65534. Die Zuteilung der IDs ist nicht einheitlich – mit Ausnahme der Nr. 0 – sodass man in gemischten Netzen damit rechnen muss, dass eine Datei auf verschiedenen Rechnern verschiedene Besitzer hat. Durchgereicht werden immer nur die IDs. Vor Ort werden die Nummern in Namen übersetzt.
12.5 Benutzer- und Gruppenkonten 12.5.1 Verwalten von Benutzern und Gruppen Gewöhnliche Benutzer dürfen einige Einstellungen ihrer eigenen Konten verändern: • •
•
Das eigene Passwort wird mit dem Werkzeug passwd geändert. Die eigene Standardshell wird mit dem Programm chsh (change shell) geändert. Dabei darf nur eine Shell ausgewählt werden, die in der Datei /etc/shells eingetragen ist. Mit dieser Datei bestimmt der Verwalter, zwischen welchen Shells Benutzer wählen dürfen. Ein Teil der Informationen im GECOS-Feld (Raumnummer und Telefonnummern) kann von gewöhnlichen Benutzern mit dem Kommando chfn (change full name) im Dialog geändert werden.
Der Verwalter darf diese Kommandos mit zusätzlichen Möglichkeiten und für die Konten aller Benutzer verwenden. So hat er das Recht, auch solche Shells zu vergeben, die nicht in /etc/shells eingetragen sind, oder den bürgerlichen Namen oder das Passwort eines Benutzers zu ändern. Den eigenen Benutzernamen (effektive UID) kann man sich jederzeit mit dem Kommando whoami anzeigen lassen. Auch die Schreibweisen who am I und who am i sind erlaubt, rufen jedoch das Kommando who auf, das in dem Fall, dass ihm zwei beliebige Argumente (keine Optionen) mitgegeben werden, sich so verhält, als sei es mit der Option -m aufgerufen worden. Probieren Sie folgende Eingabe aus: joe@debian:~$ who blurf glop Das Kommando who gibt die Namen der zur Zeit am System angemeldeten Benutzer aus. Das Kommando groups gibt die Namen aller Gruppen aus, in denen sich der aufrufende Benutzer befindet, und mit id erfährt man die eigene Benutzer-ID, die aktive Gruppe sowie die IDs aller Gruppen, in denen man sekundär Mitglied ist. Die vorgenannten Kommandos stammen aus dem Paket coreutils. Das Kommando whois dagegen arbeitet auf einer anderen Baustelle (Whois-Verzeichnisdienst).
526
12 Benutzer und Gruppen
Mit Hilfe des Kommandos su (superuser, substitute user) wird die Benutzeridentität gewechselt. Dies ist hilfreich, wenn man etwas mit den Rechten des Verwalters tun möchte, ohne sich erneut anmelden zu wollen. Als Verwalter ist es möglich, mit su jede Benutzeridentität anzunehmen; gewöhnliche Benutzer werden nach Eingabe des Kommandos aufgefordert, das Passwort des Benutzerkontos anzugeben, zu dem sie wechseln möchten. Das Kommando kennt einige Optionen, siehe Manual. Das Paket gksu stellt eine grafische Oberfläche für su bereit, auch für das noch vorzustellende Kommando sudo. Das Kommando newgrp dient zum Wechseln der aktiven Gruppe. Es kann ohne Passwort benutzt werden, um eine Gruppe als aktive Gruppe zu verwenden, deren Mitglied man bereits ist. Wenn die Gruppe mit einem Passwort versehen und der Benutzer kein Mitglied der Gruppe ist, muss das Passwort angegeben werden. Wenn die Gruppe kein Passwort hat und der Benutzer kein Mitglied der Gruppe ist, kann in die Gruppe nicht gewechselt werden. Das Gruppenpasswort funktioniert also anders als das Benutzerpasswort.
Abb. 12.1: Screenshot des KDE-Werkzeugs KUser (kuser) zum Verwalten von Benutzern und Gruppen
Zum Anlegen neuer Benutzer dient das Kommando adduser, ein PerlSkript, das seinerseits nach einigen Vorbereitungen das Kommando /usr/sbin/ useradd aufruft. Dem Kommando ist der Name des anzulegenden Benutzerkontos zu übergeben:
12.5 Benutzer- und Gruppenkonten
527
debian:~# adduser joe Mittels Optionen lassen sich Werte für IDs, Home-Verzeichnis usw. vorgeben, die andernfalls automatisch zugeordnet werden. Das Kommando ist deutlich bequemer als das Editieren der betroffenen Dateien mit einem Texteditor. Ob der Verwalter eine grafische Oberfläche für den Zweck braucht, ist fraglich, jedenfalls stehen mit kuser von KDE und dem GNOME Users administration tool mindestens zwei zur Verfügung, siehe Abbildungen 12.1 und 12.2. Mit dem Kommando deluser werden bestehende Benutzerkonten vom System entfernt: debian:~# deluser joe Als Vorgabe werden die Dateien des zu löschenden Benutzers dabei nicht gelöscht. Wird das Programm mit der Option --remove-home aufgerufen, werden das Home-Verzeichnis sowie die Maildatei des Benutzers ebenfalls entfernt. Mit der Option --remove-all-files werden alle dem Benutzer gehörenden Dateien und Verzeichnisse auf dem System entfernt. Das Kommando kennt weitere Optionen, siehe Manual. Beide Kommandos sind komfortable Frontends zu den Kommandos useradd, userdel und usermod, deren unmittelbarer Gebrauch sich erübrigt und nicht empfohlen wird. Was kein Kommando beherrscht, ist das Eintragen oder Löschen von Benutzern aus Alias-Dateien, Mailing-Listen, Newsgruppen, Web-Verzeichnissen, Datenbanken usw. Für diese Punkte im Zusammenhang mit der Aufnahme oder Verabschiedung eines Mitarbeiters muss sich der Verwalter oder Sachbearbeiter einen Merkzettel oder ein Skript schreiben. Einstellungen zur Gültigkeitsdauer von Passwörtern und Benutzerkonten lassen sich mit dem Kommando chage oder in KUser (kuser) vornehmen. Das Kommando erlaubt zu bestimmen, nach wie vielen Tagen ein Passwort frühestens geändert werden kann und spätestens muss. Außerdem kann angegeben werden, wann ein Konto gesperrt wird, falls das Passwort nicht rechtzeitig geändert wurde. Gruppen werden mit dem Kommando addgroup erzeugt und mit delgroup gelöscht. Die grafischen Oberflächen sind dieselben wie bei Benutzern. Zum Einrichten von Gruppen-Passwörtern und Gruppen-Verwaltern – was beides selten vorkommt – braucht man das Kommando gpasswd. Gruppen-Verwalter dürfen innerhalb ihrer Gruppe Benutzer hinzufügen oder löschen sowie das Gruppen-Passwort ändern. Um den Benutzer joe der Gruppe schicht17 als sekundärer Gruppe zuzuordnen, verwendet der Verwalter die Kommandozeile: debian:~# adduser joe schicht17 oder eines der grafischen Werkzeuge. Auch hier sind Optionen möglich. 12.5.2 Gemeinsames Zugreifen auf Dateien und Verzeichnisse Als Voreinstellung wird für jeden Benutzer eine eigene Gruppe angelegt, die seinen Namen trägt und seine primäre Gruppe wird. Dateien, die von Benutzern erzeugt werden, gehören dem Benutzer und sind seiner aktiven Gruppe zugeordnet. Mit welchen Zugriffsrechten eine Datei erzeugt wird, ist hingegen abhängig von der umask
528
12 Benutzer und Gruppen
Abb. 12.2: Screenshot des GNOME-Werkzeugs zur Verwaltung von Benutzern und Gruppen
des erzeugenden Prozesses. Die umask wird in der Bash und anderen Shells mit dem Kommando umask eingestellt. Voreingestellt ist in der Datei /etc/profile der Wert 022, was zur Folge hat, dass Dateien mit der Berechtigung zum Lesen und Schreiben für den Benutzer sowie mit der Berechtigung zum Lesen für die Gruppe und alle anderen Benutzer erzeugt werden (755). Die Maske ist das oktale Komplement der Zugriffsrechte. Sicherer sind die Werte 027 (Zugriffsrechte 750) oder 077 (Zugriffsrechte 700), die den Rest der Welt aussperren. Damit Gruppenmitglieder Dateien verändern können, sind die Zugriffsrechte mit dem Kommando chmod für alle bereits existierenden Dateien und Verzeichnisse zu ändern. Außerdem ist die umask anzupassen, damit neue Dateien gleich mit den richtigen Zugriffsrechten erzeugt werden. Die Dateimaske umask (file creation mask) wird für Benutzer, welche die Bash oder die Korn-Shell als Standardshell verwenden, in der Datei /etc/profile (siehe Abschnitt 2.7.1 Konfiguration und Startdateien auf Seite 51) eingestellt. Bedauerlicherweise wirkt sich die Datei nicht auf Sitzungen aus, die statt mit der Standardshell über einen grafischen Login-Manager (Display-Manager wie xdm) gestartet werden. Aus diesem Grund lässt sich die initiale umask direkt in der Datei /etc/passwd angeben. Sie wird dort als zusätzliches Kommentarfeld wie folgt eingetragen: joe:x:1000:1000:J. Debian,111,448391292,299192,Verkauf, umask=027: /home/joe:/bin/bash
12.5 Benutzer- und Gruppenkonten
529
Die Eintragung wird durch eine umask-Zeile in der Datei /etc/profile für Shell-Logins wieder überschrieben. Außerdem kann jeder Benutzer seine eigene umask zu jedem Zeitpunkt ändern. Wenn dem Benutzer karl gestattet werden soll, Dateien zu verändern, die von der Benutzerin helga erzeugt worden sind, ist die umask von Helga auf den Wert 007 zu setzen, wodurch von helga erzeugte Dateien für die Benutzerin und die Gruppe helga les- und veränderbar werden, und karl als Sekundärmitglied in die Gruppe helga aufzunehmen. Die Rechte der Dateien, die vor dieser Änderung erzeugt worden sind, müssen von Hand nachgeführt werden (chmod). In der Regel ist es nicht gewollt, Benutzern die Berechtigung zum Ändern aller Dateien eines anderen Benutzers zu erteilen. Vielmehr sollen Benutzer einer Gruppe nur in einem Teilbereich des Dateisystems gemeinsam zum Lesen und Verändern von Dateien berechtigt und weiterhin in der Lage sein, an anderen Stellen (z. B. in ihrem Home-Verzeichnis) Dateien anzulegen, auf die nur sie selbst zugreifen dürfen. Zu diesem Zweck sind zusätzliche Gruppen einzurichten und die Benutzer in diese Gruppen aufzunehmen. Die umask aller beteiligten Benutzer muss so eingestellt werden, dass Dateien mit der Berechtigung zum Lesen und Schreiben für die Gruppe erstellt werden (umask 007, Zugriffsrechte 770). Im nächsten Schritt ist für jede Gruppe ein Verzeichnis anzulegen, in dem die Gruppenmitglieder gemeinsam zum Ändern der darin enthaltenen Daten berechtigt sind. Dieses Verzeichnis muss der Gruppe zugeordnet sein und Schreib-, Lese- und Ausführberechtigung für die Gruppe haben. Zusätzlich ist das Set-Group-ID-Bit (SGID) des Verzeichnisses zu setzen. Dieses Bit bewirkt bei Verzeichnissen, dass Dateien in dem Verzeichnis während ihrer Erzeugung nicht der primären Gruppe des Benutzers, sondern der Gruppe zugeordnet werden, die dem Verzeichnis zugeordnet ist3 . Dadurch wird erreicht, dass alle Mitglieder einer solchen Gruppe eine in dem Verzeichnis von einem anderen Gruppenmitglied neu angelegte Datei ebenfalls bearbeiten dürfen, weil sie Mitglied der Gruppe sind und die Datei aufgrund der umask-Einstellung mit der Berechtigung zum Lesen und Schreiben für die Gruppenmitglieder erzeugt wurde. Als Oktalzahl hat das SGID-Bit den Wert 2 und steht links von den Zugriffsrechten wie in 2770. Beispiel: Die Mitarbeiter Meier, Schulze und Kunze der Abteilung Verkauf sollen das Recht erhalten, im Verzeichnis /abt/verkauf Dateien zu lesen, zu erzeugen, zu verändern oder zu löschen. Zu diesem Zweck wird zunächst die Gruppe verkauf angelegt: debian:~# addgroup verkauf Dann werden die umask-Einstellungen in den Dateien /etc/passwd und /etc/ profile angepasst und die Benutzer in die Gruppe aufgenommen: debian:~# gpasswd -a meier verkauf Das Kommando ist für die anderen Benutzer zu wiederholen. Schließlich wird das gemeinsame Verzeichnis für die Gruppe angelegt: 3
Dieses Verhalten des SGID-Bits bei Verzeichnissen ist eine Erweiterung, die nicht von allen UNIX-ähnlichen Betriebssystemen unterstützt wird.
530
12 Benutzer und Gruppen
debian:~# mkdir -p /abt/verkauf und mit den entsprechenden Rechten ausgestattet: debian:~# chgrp verkauf /abt/verkauf debian:~# chmod 2770 /abt/verkauf 12.5.3 Benutzern Verwalterrechte übertragen Set-User-ID-Bit Gelegentlich ist es erwünscht oder notwendig, Benutzern das Recht einzuräumen, bestimmte Programme mit den Rechten des Systemverwalters auszuführen. Ein Beispiel ist das Werkzeug /usr/bin/passwd. Es wird von gewöhnlichen Benutzern verwendet, um das eigene Passwort zu ändern, wobei in die Datei /etc/passwd oder /etc/shadow geschrieben werden muss. Weil diese Dateien aus Sicherheitsgründen dem Verwalter gehören und nur von diesem geändert werden dürfen, muss das Kommando passwd mit den Rechten des Verwalters ausgeführt werden. Hierzu dient ein besonderes Bit, dass mit den Dateirechten zu jeder Datei gespeichert wird. Es ist das Set-User-ID-Bit (SUID-Bit). Programme, bei denen dieses Bit gesetzt ist, werden nicht mit der ID des aufrufenden Benutzers ausgeführt, sondern mit der ID des Besitzers des Programms, meist root. Zu diesem Zweck speichert ein Prozess nicht nur die Benutzer-ID (UID) des aufrufenden Benutzers wie in Abschnitt 2.6 Prozesse auf Seite 41 erläutert, sondern mehrere UIDs für verschiedene Aufgaben: • •
•
•
die Real User ID (RUID) ist die UID des aufrufenden Benutzers, die Effective User ID (EUID) ist die effektive UID, mit der der Prozess läuft, normalerweise identisch mit der RUID, aber im Fall eines Programmes mit SUID-Bit die ID des Programmbesitzers, beispielsweise Root, die File System User ID (FSUID), falls vorhanden, die UID, die für die Zugriffsberechtigung auf Dateien verwendet wird, während die EUID für die übrigen Privilegien entscheidend ist, noch einige UIDs, deren Bedeutung sich nur durch eingehendes Studium der Quellen erschließt.
Die Manualseite zu ps listet alle auf, ohne sie zu erklären. Der Aufruf: joe@debian:~$ ps -eo pid,euid,fsuid,ruid,suid,svuid, uid,cmd zeigt die Schar an. Die Argumente mit user statt uid geben Namen statt Nummern aus. Dasselbe gibt es auch für Gruppen. Ist das Set-Group-ID-Bit gesetzt, wird ein Programm mit der Gruppen-ID des Programms an Stelle der Gruppen-ID des aufrufenden Benutzers ausgeführt. Das kommt seltener vor. Bei Verzeichnissen führt das SGID-Bit dazu, dass Dateien in dem Verzeichnis mit der Gruppen-ID des Verzeichnisses angelegt werden.
12.5 Benutzer- und Gruppenkonten
531
Das SUID-Bit lässt sich mit dem Kommando chmod setzen und entfernen. Sie erkennen es in der Ausgabe von ls -l an dem Buchstaben s an der Stelle, wo sonst das Recht zur Ausführung für den Benutzer ausgegeben wird. Bei dem Programm /usr/bin/passwd sieht das so aus: -rwsr-xr-x 1 root root 2552 Feb 29 21:23 /usr/bin/passwd Als Oktalzahl hat das SUID-Bit den Wert 4 und steht links von den Zugriffsrechten wie in 4755. Das SGID-Bit hat den Wert 2. Der Wert 1 an dieser Stelle kennzeichnete früher das Sticky Bit und war bei häufig genutzten Werkzeugen anzutreffen; es sorgte dafür, dass das Programm ständig im Arbeitsspeicher verblieb. Seine heutige Bedeutung ist nicht einheitlich geregelt. Falsch gesetzte SUID-Bits stellen eine Gefahr dar. Würde das Bit für das Programm /bin/rm gesetzt, wäre die Folge, dass jeder Benutzer jede Datei auf dem System löschen könnte, weil das Programm dann von jedem Benutzer mit Verwalterrechten ausgeführt würde. Deshalb wird das SUID-Bit von Root sparsam vergeben und besonders überwacht, zumindest auf ordentlich verwalteten Systemen. Beim Finden solcher Dateien hilft find (Minuszeichen vor 4000!): debian:~# find /usr -perm -4000 -type f -print Da find lebhaft auf der Platte herumrödelt, sollte man die zu durchsuchenden Verzeichnisse genau angeben und das Kommando nicht stündlich und nicht zu den Hauptverkehrszeiten aufrufen. Große Werkzeuge zur System- und Netzüberwachung beinhalten diese Tests ebenfalls, siehe Abschnitt 18.4 Systemüberwachung auf Seite 914. Zur Verwaltung von SUID-Programmen wird das Kommando sxid empfohlen. Es pflegt Informationen darüber, welche Dateien und Verzeichnisse mit besonderen Rechten ausgestattet sein sollen, wird in der Datei /etc/sxid.conf konfiguriert und schreibt sein Protokoll nach /var/log/sxid.log. Durch einen Cron-Job wird regelmäßig geprüft, ob die tatsächlichen Rechte der Dateien mit der Konfiguration übereinstimmen. Bei Zweifeln bekommt Root eine Mail. Auf besonderen Wunsch überwacht sxid auch andere Dateien. Je nach Umfang des Dateisystems benötigt sxid einige Minuten für seine Arbeit. Verwalterrechte für einzelne Benutzer Neben dem mit dem SUID-Bit verbundenen Sicherheitsrisiko hat das Verfahren den unerwünschten Nebeneffekt, dass mit ihm allen Benutzern das Recht zum Ausführen eines Programms mit Verwalterrechten gestattet wird. Gelegentlich möchte man jedoch nur einzelnen Benutzern das Ausführen bestimmter Arbeiten erlauben. So könnte ein vertrauenswürdiger Benutzer das Recht erhalten, Benutzerkonten zu erzeugen und zu löschen oder bestimmte Dienste zu starten oder anzuhalten. Das Werkzeug sudo funktioniert so, dass in einer Konfigurationsdatei festgelegt wird, welche Benutzer welche Programme mit wessen Rechten ausführen dürfen. Der Benutzer ruft sudo auf, das mit den Rechten des Verwalters ausgeführt wird und in
532
12 Benutzer und Gruppen
der Konfigurationsdatei nachsieht, ob der aufrufende Benutzer das Recht hat, das gewünschte Programm zu benutzen. Falls ja, wird das auszuführende Programm mit den Rechten des Verwalters oder anderen besonderen Rechten aufgerufen. Hieraus folgt, dass sudo nicht in Verbindung mit eingebauten Shell-Kommandos wie cd funktioniert, sondern nur mit externen Kommandos. Das Kommando wird über die Datei /etc/sudoers konfiguriert, in der sich im Wesentlichen drei Typen von Anweisungen finden: • • •
Alias-Direktiven Hiermit werden Benutzer und Programme zu Gruppen zusammengefasst. Einstellungen Diese Direktiven beginnen jeweils mit Defaults und dienen dazu, Voreinstellungen des Programms zu ändern. Rechtezuteilungen Mit diesen Anweisungen wird Benutzern gestattet, bestimmte Programme mit besonderen Rechten auszuführen.
Außerdem darf die Datei durch Doppelkreuz eingeleitete Kommentare oder leere Zeilen enthalten. Rechtezuteilungen haben folgendes Format: Wer Wo = [(Als wer)] [NOPASSWD:] Was In einer solchen Anweisung wird mit Wer angegeben, welche Benutzer das Recht haben, die genannte Aktion auszuführen. Mit Wo werden Rechner bestimmt, auf denen die Aktion ausgeführt werden kann. Dies ist nur dann von Bedeutung, wenn dieselbe Datei /etc/sudoers auf mehreren Rechnern benutzt wird. Mit Was wird hinter dem Gleichheitszeichen angegeben, welche Programme ausgeführt werden dürfen. Als Vorgabe erlaubt sudo den mit Wer angegebenen Benutzern das Ausführen der mit Was angegebenen Programme mit den Rechten des Verwalters. Optional kann hinter dem Gleichheitszeichen in runden Klammern angegeben werden, mit wessen Rechten die Programme ausgeführt werden dürfen. Der folgende Eintrag erlaubt dem gewöhnlichen Benutzer joe auf dem Rechner printserver das Kommando lprm (Löschen von Druckaufträgen) mit den Rechten des Verwalters auszuführen: joe printserver = lprm Die Rechte der Datei /etc/sudoers dürfen per Vorgabe nur das Lesen für den Besitzer und die zugeordnete Gruppe erlauben (440). Aus Sicherheitsgründen darf kein Benutzer (auch nicht der Besitzer) berechtigt sein, in die Datei zu schreiben. Deshalb muss dieses Recht mit chmod addiert werden, bevor die Datei geändert wird, und hernach wieder entfernt werden, damit sudo funktioniert. Im Beispiel wird dem Benutzer joe erlaubt, auf dem Rechner printserver folgendes Kommando zu verwenden: joe@debian:~$ sudo lprm Danach wird der Benutzer aufgefordert, sein eigenes Passwort anzugeben (und nicht das des Verwalters, das er gar nicht kennen darf). Wenn das Passwort richtig eingegeben wurde, wird das Kommando lprm mit den Rechten des Verwalters ausgeführt. Der Benutzer kann danach eine Zeit lang mit sudo arbeiten, ohne sein Passwort
12.5 Benutzer- und Gruppenkonten
533
erneut angeben zu müssen (als Vorgabe fünf Minuten lang), dann muss es erneut eingegeben werden. Wenn die Angabe des Passwortes durch den Benutzer nicht erzwungen werden soll, kann in der Rechtezuteilung in der Datei /etc/sudoers das Schlüsselwort NOPASSWD: benutzt werden. Normalerweise ist es dem oder den Benutzern gestattet, das angegebene Programm mit beliebigen Parametern aufzurufen. Im Beispiel könnte der Benutzer auch folgendes Kommando verwenden: joe@debian:~$ sudo lprm ALL oder: joe@debian:~$ sudo lprm -Phplj meier Wenn in der Datei /etc/sudoers Parameter angegeben werden wie hier: joe debian = lprm ALL darf das Kommando nur mit den angegebenen Parametern benutzt werden. In einer Kommandoangabe können auch Metazeichen benutzt werden; das Kommando darf dann von den Benutzern mit Parametern aufgerufen werden, die im Rahmen der Metazeichen variieren. Die Alias-Definitionen dienen im Wesentlichen zum einfacheren Aufbau der Datei. Es gibt folgende Typen von Alias-Definitionen: • •
• •
User_Alias fasst Namen von Benutzern zu Gruppen zusammen. Runas_Alias fasst Namen von Benutzern zu Gruppen zusammen, die später dazu benutzt werden anzugeben, mit wessen Rechten bestimmte Programme ausgeführt werden dürfen. Host_Alias fasst Rechner zu Gruppen zusammen. Cmnd_Alias fasst Kommandos zu Gruppen zusammen.
Alias-Definitionen erfolgen in der Form: Alias-Typ Bezeichnung = Teil1, Teil2 ... Mit Alias-Typ ist einer der vier genannten Alias-Typen anzugeben, mit Bezeichnung wird ein Name für den Alias angegeben, und hinter dem Gleichheitszeichen werden die einzelnen Mitglieder des Alias – durch Kommata mit oder ohne Leerzeichen getrennt – angegeben. Beispiel: User_Alias VERKAUF = meier, schulze, huber Die Anweisung ermöglicht, folgende Rechtezuteilung vorzunehmen: VERKAUF debian = pon Durch beide Anweisungen zusammen wird den Benutzern meier, schulze und huber erlaubt, das Kommando pon mit beliebigen Parametern auf dem Rechner debian über sudo aufzurufen. Da die Zeilen in der Datei /etc/sudoers der Reihe nach abgearbeitet werden, spielt die Reihenfolge der Definitionen usw. eine Rolle. Zur Bearbeitung der Datei wird das Werkzeug visudo empfohlen, das einige
534
12 Benutzer und Gruppen
Fehler verhindert oder entdeckt und auf den Editor vi zurückgreift. Das Werkzeug kümmert sich auch um die Zugriffsrechte. Mit der Option -l list erfährt jeder Benutzer, ob er zu den Bevorrechtigten gehört oder nicht. Versucht ein unberechtigter Benutzer, ein Kommando über sudo auszuführen, wird dies wie jeder sudo-Aufruf protokolliert und außerdem Root per Email davon benachrichtigt. Diese Vorkehrungen sind konfigurierbar in der Datei /etc/sudoers. Die Datei /usr/share/doc/sudo/examples/sudoers enthält ein gut kommentiertes Beispiel für eine komplexe Konfigurationsdatei des Programms. Die vollständige Syntax für /etc/sudoers finden Sie im Manual.
12.6 Diskquotas – Begrenzung von Speicherplatz Manchmal ist es erforderlich, den Speicherplatz auf der Festplatte, der von Benutzern oder Gruppen verwendet werden darf, zu begrenzen. Als Vorgabe kann jeder Benutzer in einem Verzeichnis, in dem er die Berechtigung zum Schreiben hat, so viele Daten ablegen, wie auf die Partition passen. Im schlimmsten Fall führt das dazu, dass ein System ganz oder in Teilen vorübergehend unbenutzbar wird, oder dass Benutzer, deren Daten sich auf derselben Partition befinden, ihre Daten nicht mehr speichern können, weil kein Platz mehr frei ist. Deshalb wird unabhängig von einer Quotenregelung auf jeder Partition für root ein kleiner Anteil freigehalten, meist 5 % der Blöcke. Speicherplatzbegrenzungen werden festgesetzt für: • •
Benutzer und/oder Gruppen, die Anzahl der belegten Blöcke (meist zu 1 kB) und/oder Inodes.
Ein Benutzer kann also innerhalb einer Partition bzw. eines Dateisystems an bis zu vier Grenzen stoßen. In kleinen Netzen, in denen der Verwalter seine Pappenheimer kennt, ist eine Quotenregelung nicht erforderlich oder nur als Sicherheitsmaßnahme gegen durchdrehende Programme. Weiter gibt es zwei Stufen der Begrenzung, nämlich eine harte und eine weiche. Beim Überschreiten der weichen Grenze (soft limit) wird lediglich eine Warnung ausgegeben, und der Benutzer muss innerhalb einer gewissen Zeit (grace period, üblicherweise innerhalb von sieben Tagen) dafür sorgen, dass er die weiche Grenze wieder unterschreitet, indem er Dateien löscht. Nach Ablauf dieser Frist darf er nicht mehr auf den Datenträger schreiben, die weiche Grenze wird hart. Die harte Grenze (hard limit) kann unter keinen Umständen überschritten werden, jede Schreiboperation, die eine Überschreiten der harten Grenze zur Folge hätte, wird mit einer Fehlermeldung abgebrochen. Speicherplatzbegrenzungen beziehen sich stets auf einen bestimmten Datenträger oder eine Partition. Falls Benutzer Dateien auf unterschiedlichen Partitionen besitzen, kommt es vor, dass sie in bestimmten Verzeichnissen weiterhin Dateien ablegen dürfen, obwohl ihre Speicherplatzgrenzen in anderen Partitionen bereits erreicht sind. Wenn sich Home-Verzeichnisse und das Verzeichnis mit den MailspoolDateien (/var/mail) auf unterschiedlichen Partitionen befinden, ist sichergestellt, dass Benutzer, welche die Quota in ihrem Home-Verzeichnis überschritten haben,
12.6 Diskquotas – Begrenzung von Speicherplatz
535
weiterhin Mail empfangen können. Der umgekehrte Fall kommt auch vor, wenn Benutzer nie ihren Maileingang aufräumen. Die Arbeit mit Speicherplatzbegrenzungen muss vom Kern und vom Dateisystem unterstützt werden. Der Kern 2.4.27 und jüngere brauchen nicht mehr gepatcht zu werden, ebenso sind die Dateisysteme ext2 und ext3 darauf vorbereitet. Baut man sich eigene Kerne, ist der Quota Support zu aktivieren. Mit dem Aufruf: debian:~# apt-get install quota richtet man das Quoting ein, ergänzt dann in der Datei /etc/fstab bei den Dateisystemen, die beobachtet werden sollen, die Option usrquota bzw. grpquota und startet den Mechanismus durch Rebooten oder den Aufruf des Startskripts /etc/init.d/quota mit dem Argument start. Dann geht man zu einer ruhigen Zeit in den Single-User-Modus und ruft beispielsweise: debian:~# quotacheck -v /dev/hda9 auf. Das zu untersuchende System – hier /dev/hda9 gleich /home – soll dabei inaktiv sein. Das Kommando richtet unter der Wurzel des jeweiligen Dateisystems eine nicht lesbare Datei aquota.user ein, falls noch nicht vorhanden. Kommen keine schwerwiegenden Fehlermeldungen, läuft die Begrenzung. Der Verwalter kann dann im Normalbetrieb mit dem Kommando: debian:~# repquota -av einen Bericht (Report) über alle Quoten und deren Ausnutzung auf den Schirm holen. Der Aufruf: debian:~# edquota joe erzeugt eine temporäre ASCII-Datei mit den Werten für den Benutzer joe, die mit einem Texteditor (vi) bearbeitet und beim Verlassen von edquota in die Datei aquota.user übernommen wird. Die harte Grenze sollte logischerweise höher liegen als die weiche. Der Wert 0 bedeutet, dass keine Quoten festgesetzt sind. Für Gruppen-Quotas ist der Vorgang entsprechend, siehe Manual. Bei einer großen Benutzerschar ist das manuelle Bearbeiten der Begrenzungen mühselig. Aus diesem Grund ist es möglich, die Grenzen, die für einen Benutzer gelten, auf andere Benutzer zu übertragen, ohne dass Änderungen vorgenommen werden müssen. Hierzu ist das Programm edquota mit der Option -p aufzurufen. Hinter der Option ist der Name des Benutzers anzugeben, dessen Grenzen auf andere Benutzer übertragen werden sollen, und dahinter können beliebig viele Benutzer angegeben werden, für welche die Beschränkungen ebenfalls gelten sollen. Um die Grenzen für den Benutzer joe auf die Benutzer jochen und johanna zu übertragen, ist das Programm so aufzurufen: debian:~# edquota -p joe jochen johanna Mit der Option -t wird die Länge des Zeitraums eingestellt, während dessen weiche Grenzen überschritten sein dürfen (grace period). Auch hier wird ein Editor aufgerufen, in dem die Werte zu ändern sind.
536
12 Benutzer und Gruppen
Geltende Begrenzungen werden mit dem Kommando quota angezeigt. Als Vorgabe werden dabei die Begrenzungen des Benutzers ausgegeben, der das Kommando ausführt. Der Systemverwalter darf dem Kommando den oder die Namen eines oder mehrerer Benutzer übergeben. Der Versuch eines gewöhnlichen Benutzers führte jedoch zu Fehlermeldungen und einer Verkonfigurierung des Bildschirms. Erst nachdem die Zugriffsrechte der Datei aquota.user auf 644 gesetzt worden waren, führte der Aufruf: joe@debian:~$ quota -F vfsv0 zum Erfolg. Je nach Konfiguration bleiben über das Netz zur Verfügung gestellte Dateisysteme (NFS, Samba) von der Quotenregelung unberührt. Das Kommando warnquota lässt der Verwalter zweckmäßig als cron-Job periodisch laufen. Es verschickt Mails an Benutzer, die ihre Grenzen überschritten haben. Eine Einführung in das System und seine Einrichtung bietet das Quota miniHOWTO von 2003, zu haben beim TLDP. Debianer habe es wieder einmal einfacher als dort für Linux allgemein beschrieben, da apt-get einen großen Teil der Einrichtung erledigt. Ein einfaches Quotensystem für Druckdienste bringt CUPS mit, siehe Abschnitt 9.7.4 Common UNIX Printing System auf Seite 427.
12.7 Pluggable Authentication Modules (PAM) Mit dem Einloggen eines Benutzers am Rechner ist es nicht immer getan. Einige Anwendungen verlangen eine zusätzliche, besondere Authentifizierung oder Identifizierung des Benutzers, Datenbanken oder Webserver beispielsweise. Außerdem sind die Wege zur Authentifizierung vielfältiger geworden. Damit nun nicht in jeder Anwendung das Rad neu erfunden werden muss, schieben sich zwischen Anwendungsprogramme und Authentifizierungssoftware die Pluggable Authentication Modules (PAM) als einheitliche Zwischenschicht. Der Name legt nahe, dass es sich dabei um anwendungsspezifische Module mit einheitlicher Schnittstelle (Application Program Interface, API) handelt, die von einer Anwendung bei Bedarf aufgerufen werden. Die Anwendungsprogramme müssen darauf vorbereitet (PAM-aware) sein und sind es zunehmend auch. PAM ist in allen neueren Linux-Distributionen enthalten. Informationen zu PAM findet man mittels: joe@debian:~$ man 7 pam wobei die Sektionsnummer wichtig ist, sonst landet man bei einem Grafikformat. Das Paket libpam-doc sollte eingerichtet werden, das Texte von A NDREW G. M ORGAN enthält und seinen Inhalt in /usr/share/doc/ unterbringt. Ferner gibt es bei TLDP ein User-Authentication-HOWTO (2003) von P ETER H ERN BERG , bei http://kernel.secsup.org/linux/libs/pam/ die umfassendste Auskunft zu Linux-PAM mit Verweisen auf Arbeiten von A NDREW G. M ORGAN und bei http://www.freebsd.org/doc/en_US.ISO8859-1/ articles/pam/ einen Artikel von DAG -E RLING S MØRGRAV zu OpenPAM, das
12.7 Pluggable Authentication Modules (PAM)
537
jünger ist und es besser machen will als Linux-PAM. Schließlich kann man noch bei http://sourceforge.net/projects/pam sein Glück versuchen. Für den gewöhnlichen Benutzer ändert sich durch PAM nichts. Für den Anwendungsprogrammierer ist PAM eine Funktionsbibliothek, die ihm Arbeit abnimmt. Der Verwalter sieht eine Reihe von Konfigurationsdateien im Verzeichnis /etc/pam.d/, die ihm viele Möglichkeiten eröffnen. Einen PAM-Dämon gibt es nicht, infolgedessen auch kein Startskript in /etc/init.d/. Die jeweiligen Anwendungen wissen selbst, ob sie von PAM Gebrauch machen oder nicht. Die eigentliche Arbeit wird von den Modulen in /lib/security geleistet. Wie kann ich feststellen, ob eine Anwendung PAM benutzt? Ein einfacher Test ist der Aufruf: joe@debian:~$ ldd program der die von einem Programm verwendeten Shared Libraries (Bibliotheken) auflistet. Taucht in der Antwort etwas wie libpam auf, spricht das für eine PAM-Nutzung. Setzen wir für program beispielsweise /usr/bin/gdm ein – den GNOME Display-Manager – so finden wir libpam.so.0 in der Antwort. In Verbindung mit einer Konfigurationsdatei /etc/pam.d/gdm ist es so gut wie sicher, dass gdm PAM nutzt; es kann nur noch Verständigungsprobleme geben. Ehe wir an die Konfigurationsdateien gehen, lernen wir ein paar Begriffe kennen (angelehnt an den Beitrag von DAG -E RLING S MØRGRAV unter oben genanntem URL zu OpenPAM): • •
• •
•
• •
•
Rechte (credentials): die einzelnen mit einem Konto verbundenen Rechte eines Benutzers an Dateien, Prozessen usw., Konto (account): das Bündel von Rechten, die der Antragsteller vom Vermittler verlangt, oft, aber nicht notwendig mit dem Antragsteller namensgleich, beispielsweise joe oder webmaster, Antragsteller (applicant): der Benutzer, der eine Authentifizierung verlangt, beispielsweise joe, Vermittler (arbitrator): der Benutzer, der über die Rechte verfügt, einen Antragsteller zu authentifizieren, und einen Antrag annehmen oder ablehnen kann, meist root, Kette (chain, stack): eine Kette von Modulen, die als Reaktion auf einen Antrag nacheinander aufgerufen werden; die Reihenfolge innerhalb der Kette ist wichtig, siehe Konfigurationsdateien, Client (client): die Anwendung, die einen Antrag im Namen des Antragstellers stellt und von ihm die erforderlichen Angaben erfragt, beispielsweise ssh, Leistung (facility, type): eine der vier Grundfunktionalitäten von PAM: Authentifizierung (authentication), Kontoverwaltung (account management), Sitzungsverwaltung (session management) und Änderung des Ausweises (authentication token update, password management), Modul (module): eine Menge von Funktionen, die in einer Datei vereinigt sind und eine Leistung zur Verfügung stellen, üblicherweise dynamisch ladbar, siehe Verzeichnis /lib/security; ein Modulaufruf (eine Zeile) bildet eine Regel (rule), mehrere zusammengehörende Modulaufrufe in aufeinander folgenden Zeilen bilden eine Kette,
538
•
•
•
• • •
12 Benutzer und Gruppen
Grundsätze (policy): ein vollständiger Satz von Konfigurationsanweisungen zu einem Dienst, aus vier oder weniger Ketten bestehend, für jede Leistung eine, siehe Konfigurationsdateien, Server (server): die Anwendung, die im Namen des Vermittlers mit dem Client verkehrt, Informationen einholt, prüft und schließlich den Antrag ablehnt oder annimmt, beispielweise sshd, Dienst (service): eine Klasse von Servern mit ähnlichen Aufgaben; PAMGrundsätze werden einheitlich für einen Dienst festgelegt, siehe Konfigurationsdateien, Sitzung (session): der Rahmen, in dem dem Antragsteller vom Server Dienste zugestanden werden, Ausweis (token): eine Bytefolge (Zeichenkette), die der Antragsteller vorlegt, um seine Identität nachzuweisen, ein Passwort, Transaktion, Vorgang (transaction): eine Folge von Anträgen desselben Antragstellers an denselben Server, vom Login bis zum Logout.
Manche Hürden auf dem Weg zum Verständnis sind sprachlicher Art und werden durch Übersetzen nicht unbedingt niedriger. Bei vorstehenden Definitionen wurden einige Sachverhalte vereinfacht; so kann an Stelle des Passwortes ein Fingerabdruck treten, geeignete Hardware vorausgesetzt. Die Regeln bestehen aus der Bezeichnung eines Dienstes, meist weggelassen, da durch den Namen der Konfigurationsdatei gegeben, einer Leistung, einer Kontrollangabe und einem Modul samt Optionen und Argumenten. Es gibt fünf Kontrollangeben (control flag): •
•
•
•
•
requisite: Falls das Modul zustimmt, wird der Rest der Kette abgearbeitet. Falls kein anderes Modul ablehnt, wird der Antrag angenommen. Lehnt das Modul ab, wird die Kette verlassen und der Antrag abgelehnt. required: Falls das Modul zustimmt, wird der Rest der Kette abgearbeitet. Falls kein anderes Modul ablehnt, wird der Antrag angenommen. Lehnt das Modul ab, wird der Rest der Kette abgearbeitet (!) und der Antrag abgelehnt. sufficient: Falls das Modul zustimmt und kein vorangegangenes Modul abgelehnt hat, wird die Kette verlassen und der Antrag angenommen. Lehnt das Modul ab, wird sein Ergebnis verworfen (!) und in der Kette weitergemacht. binding: (nicht überall verfügbar) Falls das Modul zustimmt und kein vorangegangenes Modul abgelehnt hat, wird die Kette verlassen und der Antrag angenommen. Lehnt das Modul ab, wird der Rest der Kette abgearbeitet und der Antrag abgelehnt. optional Die Meinung des Moduls interessiert nicht. Wenn eine Kette nur aus optionalen Regeln besteht, wird jedem Antrag zugestimmt.
Sehen wir uns einige Konfigurationsdateien (policy file) aus /etc/pam.d/ an. Die Datei common-auth ist einfach: # /etc/pam.d/common-auth - authentication settings # common to all services # This file is included from other service-specific PAM
12.7 Pluggable Authentication Modules (PAM)
539
# config files, and should contain a list of the # authentication modules that define the central # authentication scheme for use on the system # (e.g., /etc/shadow, LDAP, Kerberos, etc.). # auth required pam_unix.so nullok_secure Der Name des Dienstes geht aus dem Dateinamen hervor, besagt hier jedoch wenig. Dem Kommentar entnehmen wir, dass die Datei in andere Konfigurationsdateien einzubinden ist. Die Kette besteht aus nur einer Regel oder Zeile: • •
• •
auth Leistung, eine der vier: Authentifizierung, required Kontrollangabe (control flag): in jedem Fall wird der etwaige Rest der Kette abgearbeitet, aber der Antrag abgelehnt, falls das Modul keinen Erfolg (Zustimmung) zurückgibt, pam_unix.so Modulname, hier /lib/security/pam_unix.so, nullok_secure Moduloption oder -argument (gegebenenfalls mehrere).
Die Namen und Bedeutungen der Argumente findet man auf der Manualseite zu dem entsprechenden Modul (gelegentlich in Sektion 5): joe@debian:~$ man 8 pam_unix wenn nicht, dann über die Webseite von S MØRGRAV oder in M ORGANS The Linux PAM System Administrator’s Guide. Als Notnagel bleibt wie immer: joe@debian:~$ apt-get source libpam-modules Das Argument nullok weist das Modul an, auch ein leeres Passwortfeld zu akzeptieren, nullok_secure ist eine sicherere Variante. In der ausführlich kommentierten Datei common-password, werden verschiedene Anforderungen an Passwörter eingestellt. Anspruchsvoller ist die Konfigurationsdatei ssh für den SSH-Dienst (siehe Abschnitt 16.9.3 Secure Shell auf Seite 789), hier ein Auszug: # Standard Un*x session setup and teardown. @include common-session # Print the message of the day upon successful login. session optional pam_motd.so # Print the status of the user’s mailbox upon successful login. session optional pam_mail.so standard noenv # Set up user limits from /etc/security/limits.conf. session required pam_limits.so Zum Aufbau der Sitzung wird zuerst die Datei common-session eingezogen, dann werden zwei unbedeutende Module ausgeführt, deren Meinung nicht gefragt ist, und schließlich das Modul pam_limits.so, dessen Zustimmung erforderlich ist. In der Datei limits.conf lassen sich Grenzen für den Ressourcenverbrauch durch Benutzer oder Gruppen festlegen, im Mehrbenutzerbetrieb sinnvoll.
540
12 Benutzer und Gruppen
Der Dienst other ist Default, wenn kein anderer Dienst passt. Wenn er jedem immer alles verbietet, ist das ein sicheres Vorgehen, für exponierte Server vielleicht angebracht, aber für Arbeitsplätze zu paranoid. Da PAM an zentraler Stelle für die Sicherheit eines Systems mitverantwortlich ist, sollte der Verwalter bei Änderungen der Konfiguration vorsichtig zu Werk gehen. Aber man kann viele nette Dinge damit bewerkstelligen.
12.8 Network Information Service (NIS) Der Network Information Service (NIS) ist in lokalen Netzen eine fast notwendige Ergänzung zu NFS. Wenn man schon Verzeichnisse auf einem zentralen NFS-Server hält, ist es zweckmäßig und logisch, auch die Benutzerverwaltung und einige weitere Verwaltungsaufgaben zu zentralisieren. Das ließe sich zwar mit ein paar Shellskripts und dem cron-Dämon bewerkstelligen, aber die bessere Lösung ist bereits erfunden und hieß früher Yellow Pages. Aus markenrechtlichen Gründen musste sie in Network Information Service (NIS) umbenannt werden. Die Namen der meisten Kommandos beginnen jedoch nach wie vor mit yp. NIS stellt einen Mechanismus zur Verfügung, mit dem Informationen aller Art auf einem Server in ein datenbankähnliches Format gebracht und von Clients im Netz abgefragt werden können. In der Praxis wird es für Informationen benutzt, die sich im Verzeichnis /etc befinden, vor allem in den Dateien /etc/passwd und /etc/group. NIS ist fester Bestandteil der C-Laufzeitbibliothek; es kann deswegen von allen Programmen, die auf diese Informationen zugreifen, genutzt werden. NIS hat ein paar Schwächen, die zum Teil sicherheitsrelevant sind. Deswegen wurde ein Nachfolger mit dem Namen NISplus entwickelt, der die Schwächen überwindet. NISplus steht für Linux zur Zeit noch nicht zur Verfügung. Möglicherweise geht die Entwicklung in eine andere Richtung auf die Linux Directory Services zu, die mehrere Dienste in einem sicheren Konzept vereinen, siehe http://www.rage.net/ldap/ und http://www.openldap.org/ sowie Abschnitt 12.9 Lightweight Directory Access Protocol auf Seite 546. Wie NFS ist NIS nur für lokale, überschaubare Netze zu empfehlen. Der Rechner, der anderen Rechnern Informationen zur Verfügung stellt, wird als NIS-Server bezeichnet, ein Rechner, der Informationen von einem NIS-Server bezieht, als NIS-Client. Die Menge aller Rechner, die von einem gemeinsamen NISServer verwaltet werden, bildet eine NIS-Domäne oder einen NIS-Cluster. Neben dem NIS-Server, auf dem die Originale der gemeinsamen Verwaltungsdaten gepflegt werden – dem Master-Server – dürfen sich in einer NIS-Domäne beliebig viele Slave-Server betätigen, die ihre Daten vom Master beziehen. Der Einsatz von SlaveServern stellt zum einen sicher, dass Informationen auch dann noch verfügbar sind, wenn der Master ausgefallen ist, zum anderen lässt sich dadurch die Last auf mehrere Maschinen verteilen. Jeder NIS-Server ist zugleich NIS-Client. Ein Client bindet sich nach dem Einschalten an den Server, der ihm als erster antwortet. Um NIS benutzen zu können, muss auf Master-, Slave- und Clientrechnern das Paket nis eingerichtet werden. In dem Paket ist die Datei /usr/share/doc/
12.8 Network Information Service (NIS)
541
nis.debian.howto.gz enthalten, in der die Einrichtung von NIS-Servern und -Clients beschrieben wird. Weitere Informationen über NIS unter Linux finden Sie bei http://www.linux-nis.org/ Nach der Einrichtung des NIS-Paketes werden Sie nach dem Namen Ihrer NIS-Domäne gefragt. Mit dem Namen stellen NIS-Clients sicher, dass sie mit dem richtigen NIS-Server kommunizieren. NIS-Domänennamen sind von DNSDomänennamen zu trennen. Es ist möglich, innerhalb einer DNS-Domäne mehrere NIS-Domänen einzurichten oder NIS-Domänen aufzubauen, in denen sich Rechner aus unterschiedlichen DNS-Domänen befinden. Die beiden Domänenarten sind unabhängig vorneinander. Wenn Sie nis einrichten, um Ihr System als NIS-Client zu betreiben, müssen Sie den Namen der NIS-Domäne angeben, mit deren Servern Ihr NIS-Client kommunizieren soll. Falls Sie einen NIS-Server einrichten, können Sie sich einen eindeutigen NIS-Domänennamen ausdenken (verwaltung oder theophys). Der NISDomänenname wird in der Datei /etc/defaultdomain gespeichert. Einrichtung eines NIS-Master-Servers Nach der Einrichtung des Paketes ist etwas Handarbeit notwendig, um den Rechner als NIS-Server zu konfigurieren: •
•
In der Datei /etc/init.d/nis wird angegeben, ob der Rechner als Master, Slave oder Client arbeiten soll. Suchen Sie dort die Zeile, in der die Variable NISSERVER gesetzt wird, und setzen Sie diese auf master. In der Datei /etc/ypserv.securenets wird festgelegt, aus welchen IPNetzen heraus auf Ihren NIS-Server zugegriffen werden darf. Aus Sicherheitsgründen sollten hier ausschließlich die Netze und Rechner eingetragen sein, denen der Zugriff gestattet werden soll. Angaben in dieser Datei werden in der Form Netzmaske Rechner vorgenommen. Um den Rechnern mit den IPAdressen 192.168.10.1 bis 192.168.10.254 den Zugriff zu ermöglichen, ist folgende Zeile in der Datei erforderlich: 255.255.255.0 192.168.10.0 Vorgegeben ist in der Datei die Zeile: 0.0.0.0 0.0.0.0
•
Damit wird allen Rechnern Zugriff auf Ihren NIS-Server gestattet. Diese Zeile ist unbedingt auszukommentieren. Wenn Sie Schattenpasswörter (shadow) verwenden, müssen Sie die Datei /var/ yp/Makefile ändern. Suchen Sie in der Datei folgenden Abschnitt: all: passwd group hosts rpc services netid protocols netgrp networks # shadow publickey mail ethers bootparams printcap amd.home auto.master auto.home passwd.adjunct
542
•
12 Benutzer und Gruppen
Löschen Sie das Kommentarzeichen hinter networks und fügen Sie es hinter shadow wieder ein. Wenn Sie neben dem Master-Server auch Slave-Server einsetzen, ist in derselben Datei folgende Zeile aufzusuchen: NOPUSH=true
•
Das Wort true ist durch false zu ersetzen. Dadurch wird erreicht, dass der Master den Slave-Servern neue Versionen seiner Daten zur Verfügung stellt, wenn sie sich geändert haben. Im nächsten Schritt wird die NIS-Datenbank erzeugt. Dazu ist folgendes Kommando einzugeben: debian:~# /usr/lib/yp/ypinit -m Sie werden nach dem DNS-Rechnernamen des NIS-Servers gefragt. Als Vorgabewert sollte dabei der Rechnername Ihres Rechners angezeigt werden. Bestätigen Sie den Wert mit . Danach müssen Sie die Namen etwaiger SlaveServer angeben. Wenn Sie fertig sind, beenden Sie die Eingabe mit der Tastenkombination +. Dann werden die Servernamen nochmals angezeigt, und es erscheint eine Abfrage, ob Sie mit der Angabe zufrieden sind. Bestätigen Sie dies mit . Die Dateien der Datenbank werden erzeugt.
Der NIS-Server sollte nun einsatzbereit sein und kann mit folgendem Kommando erneut gestartet werden (Startskript): debian:~# /etc/init.d/nis restart Die Informationen, die der NIS-Server anderen Rechnern zur Verfügung stellt, befinden sich in den Dateien unterhalb des Verzeichnisses /var/yp. Sie werden nicht automatisch mit den Dateien synchronisiert, aus denen sie erstellt wurden (/etc/passwd, /etc/group usw.). Wenn sich die Information in den Ursprungsdateien ändert, müssen Sie die Datenbank neu erzeugen. Dies ist der Fall, wenn Sie dem Server einen neuen Benutzer hinzugefügt haben. Hierzu ist das Kommando make im Verzeichnis /var/yp auszuführen: debian:/var/yp# make Zum Automatisieren des Vorgangs legen Sie die Datei /etc/cron.d/nis mit folgendem Inhalt an: # Synchronisation der NIS-Datenbank 0 3 * * * root cd /var/yp; make 1>/dev/null Der Eintrag bewirkt, dass die Informationen in jeder Nacht um 3.00 Uhr synchronisiert werden. Das Werkzeug adduser arbeitet mit NIS zusammen. Abbildung 16.37 auf Seite 885 zeigt eine Webmin-Seite zur Verwaltung eines NIS-Servers mit Hilfe eines Web-Browsers.
12.8 Network Information Service (NIS)
543
Einrichtung eines NIS-Clients Wenn Sie bei der Einrichtung des NIS-Paketes den richtigen NIS-Domänennamen angegeben haben, sollte der Client sofort funktionsfähig sein. Ansonsten müssen Sie die Einstellung in der Datei /etc/defaultdomain anpassen. Als Vorgabe versucht der NIS-Client, den jeweils schnellsten NIS-Server im lokalen Netz zu verwenden, der für die eigene NIS-Domäne zuständig ist. Sollte sich der NIS-Server nicht im lokalen Netz befinden, wird er nicht automatisch erkannt. Sie müssen ihn dann in der Datei /etc/yp.conf eintragen. Durch die explizite Angabe eines Servers in dieser Datei wird auch eine Sicherheitslücke gestopft. Der Client verwendet dann nicht mehr den schnellsten NIS-Server, sondern den angegebenen. Beispiel: ypserver nis.firma.de Danach müssen Sie NIS auf dem Client neu starten: debian:~# /etc/init.d/nis restart Nun können Sie testen, ob der NIS-Server gefunden wurde. Geben Sie folgendes Kommando ein: joe@debian:~$ ypwhich Es sollte dann der Name des NIS-Servers ausgegeben werden. Wenn dies nicht der Fall ist, überprüfen Sie, ob die NIS-Domänennamen bei Client und Server übereinstimmen, ob der Client auf den NIS-Server zugreifen darf (Datei /etc/ypserv.securenets auf dem Server) und ob sich Server und Client im selben Netz befinden. Natürlich muss auch die Netzverbindung zwischen beiden Rechnern funktionieren (mit ping prüfen). Nachdem die Kommunikation zwischen Client und Server funktioniert, kann konfiguriert werden, welche Informationen der Client von dem Server beziehen soll. Dies geschieht in der Datei /etc/nsswitch.conf. Hier wird angegeben, mit welchem Verfahren bestimmte Informationen bezogen werden. Die Einstellungen für Benutzer- und Gruppeninformationen sowie für Schattenpasswörter befinden sich in den Zeilen, die mit passwd:, group: und shadow: beginnen. Vorgegeben ist folgende Einstellung: passwd: group: shadow:
compat compat compat
Das Schlüsselwort compat4 bewirkt, dass die Informationen aus den lokalen Dateien /etc/passwd, /etc/group und /etc/shadow bezogen werden. Durch spezielle Einträge in den Dateien wird erreicht, dass NIS benutzt wird. Die Einträge bestehen jeweils aus dem Plus-Zeichen und leeren Feldern. Beispielsweise lässt sich die Benutzung von NIS für Benutzerinformationen durch folgende Zeile erreichen: +:::::: 4
Mit compat ist die Kompatibilität zu einer älteren Version der C-Bibliothek gemeint.
544
12 Benutzer und Gruppen
Der Datei /etc/group ist diese Zeile hinzuzufügen: +::: Und – bei Verwendung von Schattenpasswörtern – ist diese Zeile in die Datei /etc/shadow aufzunehmen: +:::::::: Die unterschiedliche Anzahl der Doppelpunkt-Zeichen ergibt sich aus der Anzahl der Felder in diesen Dateien. Die genannten Zeilen gehören an das Ende der Dateien. Dadurch wird erreicht, dass zunächst die lokal in den Dateien vorhandene Information benutzt wird und erst danach NIS. Es ist auch möglich, einzelne Felder zu überschreiben oder bestimmte Informationen explizit nicht über NIS zu beziehen. Wenn die Informationen über alle Benutzer mit Ausnahme des Benutzers karl per NIS bezogen werden sollen und der Benutzer egon die Shell /bin/ksh erhalten soll, obwohl in der NIS-Datenbank etwas anderes eingetragen ist, lässt sich das durch folgende Einträge in der Datei /etc/passwd erreichen: -karl:::::: +egon::::::/bin/ksh +:::::: Alternativ zu dem compat-Verfahren können Sie folgende Einstellungen in der Datei /etc/nsswitch verwenden: passwd: group: shadow:
files nis files nis files nis
Dadurch wird erreicht, dass zunächst die lokalen Dateien benutzt werden und – wenn eine Information dort nicht vorhanden ist – dann versucht wird, die Information über NIS abzufragen. Die Dateien /etc/passwd, /etc/group und /etc/shadow brauchen in diesem Fall nicht geändert zu werden. Der Weg erscheint klarer. Sie testen die Einstellungen, indem Sie sich am NIS-Server mit einem Benutzernamen anmelden, der auf dem Server definiert ist und in der lokalen Datei /etc/passwd fehlt. Dann werden alle Informationen zu dem Konto vom NISServer bezogen, also auch der Name des Home-Verzeichnisses des Benutzers oder der Login-Shell. Das Verzeichnis muss auf dem Client vorhanden sein. Dies wird dadurch erreicht, dass die Home-Verzeichnisse per NFS eingebunden werden. Man kann auch das Home-Verzeichnis aus lokalen und NFS-Verzeichnissen mischen. Falls Client und Server verschiedene Verschlüsselungsverfahren für die Passwörter verwenden, ist mit einem Problem zu rechnen, so erlebt auf einem HP-UX-Client, der auf einen Linux-Server zugriff. Alles funktionierte, nur nicht das Login eines nicht-lokalen Benutzers auf dem Client. Das Problem ist verständlich, da beim Login die verschlüsselten Passwörter verglichen werden, die sich in diesem Fall trotz gleichem Klartext-Passwort unterscheiden. Das Verschlüsselungsverfahren für die Passwörter muss innerhalb eines NIS-Clusters einheitlich sein.
12.8 Network Information Service (NIS)
545
Einrichtung eines NIS-Slave-Servers Ein NIS-Slave-Server wird zunächst als Client eingerichtet. Wenn das funktioniert, sind zusätzlich folgende Schritte durchzuführen: •
• •
Wie bei der Einrichtung eines NIS-Servers – siehe oben – sollte die Datei /etc/ypserv.securenets angepasst werden, um den Zugriff auf den NISSlave einzuschränken. In der Datei yp.conf sollte kein NIS-Server eingetragen sein. Starten Sie NIS neu: debian:~# /etc/init.d/nis/restart
•
Nun müssen die Datenbanken vom Master-Server auf den Slave übertragen werden. Dies geschieht durch folgendes Kommando: debian:~# /usr/lib/yp/ypinit -s masterserver Dabei ist masterserver durch den Namen des Master-Servers zu ersetzen.
Nun testen Sie, ob der Rechner sich selbst als NIS-Server benutzt: joe@debian:~$ ypwhich Es sollte der Name des Slaves ausgegeben werden. Falls weiterhin der Name des Master-Servers angezeigt wird, warten Sie zunächst eine Viertelstunde und versuchen Sie es dann nochmal. Wenn der Rechner dann immer noch den Master benutzt, müssen Sie die Konfiguration überprüfen. Vergewissern Sie sich, dass Sie den Slave bei der Einrichtung des Masters angegeben haben, sonst redet der Master nicht mit dem neuen Slave. Danach kann der Slave getestet werden, indem der NIS-Dienst auf dem Master beendet und dann versucht wird, eine Benutzeranmeldung am Slave vorzunehmen, wobei ein Benutzerkonto verwendet wird, das nicht in der lokalen Datei /etc/passwd, sondern nur auf dem Master definiert ist. Arbeiten mit NIS NIS ist für Benutzer transparent. Wenn NIS-Server und -Clients richtig konfiguriert sind und die Home-Verzeichnisse sich dort befinden, wo sie erwartet werden, können sich alle Benutzer, deren Konto auf dem NIS-Server erstellt wurde, an allen NISClients mit demselben Benutzernamen und Passwort anmelden. Benutzerkonten sollen grundsätzlich nur auf dem NIS-Master-Server zugefügt, geändert oder gelöscht werden. Wenn eine Datei geändert wurde, deren Inhalt anderen Rechnern via NIS zur Verfügung gestellt wird, ist das Kommando make im Verzeichnis /var/yp auf dem Master erneut auszuführen. Eine Ausnahme von diesem Grundsatz gilt für die Manipulation von Benutzerkonten mit den Programmen passwd, chfn und chsh. Im NIS-Paket sind Ersatzprogramme für diese Werkzeuge erhalten, die auf NIS-Clients benutzt werden
546
12 Benutzer und Gruppen
müssen, um die Informationen auf dem Server zu aktualisieren. Die Programme heißen yppasswd, ypchsh und ypchfn. Es empfiehlt sich, die Originalprogramme durch die NIS-Ersatzprogramme zu ersetzen, sodass Benutzer beispielsweise durch Eingabe des Kommandos passwd in Wirklichkeit das Programm yppasswd aufrufen. Dies kann für passwd mit folgenden Kommandos geschehen: debian:~# dpkg-divert - -add - -rename /usr/bin/passwd debian:~# ln -s /usr/bin/yppasswd /usr/bin/passwd Beide Kommandos sind für die anderen Programme entsprechend zu wiederholen. Die Konfiguration eines rein lokalen Arbeitsplatzrechners ist überschaubar, ebenso die eines Rechners, der immer auf die Zusammenarbeit mit einem Server angewiesen ist. Mischformen, die sowohl rein lokal arbeiten können (wenn der Server ausgeschaltet ist) als auch in Verbindung mit einem Server, erfordern etwas Nachdenken über die Verteilung der Aufgaben und Daten. Denkbar ist eine Konstellation, bei der jeder Benutzer seinen Rechner hat, auf dem er mit oder ohne Server arbeiten kann, und sich im übrigen auf jedem Rechner des Clusters anmelden kann und den Teil seines Home-Verzeichnisses vorfindet, der auf dem NFS-Server liegt.
12.9 Lightweight Directory Access Protocol (LDAP) 12.9.1 Grundbegriffe Ein Verzeichnis (E: directory, F: annuaire) im hier gebrauchten Sinn ist eine Sammlung oder Ablage (E: repository, F: système de stockage) von Informationen über Objekte des Interesses wie Personen, Organisationen oder Geräte/Sachen/Dinge, auch Software. Ein Objekt hat einen Namen oder wenigstens eine Nummer, es ist identifizierbar. Objekte mit gemeinsamen Merkmalen bilden Objektklassen: • • •
Personen haben Namen, Geburtstage, Wohnsitze, Berufe, Bücher haben Titel, Autoren, Verlage, ISBN, Fahrzeuge haben Hersteller, Seriennummern, Antriebsarten, Massen.
Beispiele althergebrachter Verzeichnisse sind Telefonbücher, Mitarbeiter- oder Mitgliederverzeichnisse, Buchkataloge, Inventarverzeichnisse, gedruckte Radioprogramme, einsprachige Wörterbücher mit grammatischen Angaben zu den Wörtern, Schiffsregister, Grundbücher, Sternkataloge, Versandhauskataloge, usw. Verzeichnisse stellen ein sehr allgemeines Konzept dar. In Rechnernetzen geht es um Benutzerdaten (Stammdaten) oder Webseiten (Web Directory). Ein Verzeichnis in einem Dateisystem ist etwas anderes, siehe Abschnitt 2.8 Dateien und Verzeichnisse auf Seite 115. Zur Speicherung der Daten greifen LDAP-Server auf Datenbanken zurück. Die Datenbank ist das Lagerhaus, das Verzeichnis der Laden an der Straße. Trotzdem ist ein Verzeichnis mehr als ein Frontend für eine Datenbank. Die Gewichte sind bei Datenbanken und Verzeichnissen unterschiedlich verteilt. Beispielsweise spielt der bei herkömmlichen
12.9 Lightweight Directory Access Protocol (LDAP)
547
Datenbanken zentrale Begriff der Transaktion bei Verzeichnissen eine untergeordnete Rolle, weil schreibende Zugriffe selten und wenigen Benutzern (Verwaltern) vorbehalten sind. Die französische Bezeichnung rührt daher, dass früher solche Verzeichnisse typischerweise jährlich neu aufgelegt wurden. Um die Website http: //www.mitlinx.de/ldap/ zu zitieren: Ein Verzeichnis ist • • • •
keine Allzweck-Datenbank, kein Dateisystem, keine lokale Dateiablage, kein Netzwerkmanagement-Tool,
hat aber von allem etwas. Klarer wird der Begriff, indem man mit einem Verzeichnis arbeitet. Im Übrigen ist ein Verzeichnis auch nur ein weiteres Modell zur zweckgerichteten Strukturierung von Informationen. Ein Verzeichnisdienst (E: directory service, F: service annuaire) vermittelt Benutzern oder Prozessen den Zugang zu Informationen in einem Verzeichnis. Der Dienst besteht aus einer gegebenenfalls im Netz verteilten, hierarchisch aufgebauten Datenbank – dem Verzeichnis – einem Zugriffsprotokoll wie LDAP und Clients, die nach den Regeln des Protokolls auf das Verzeichnis zugreifen, wobei lesende Zugriffe stark überwiegen und daher optimiert sind. Änderungen an den Daten sind natürlich möglich, machen aber nur einen geringen Anteil der Zugriffe aus. Bekannte Verzeichnisdienste in der Computerey sind: • • • •
der Network Information Service (NIS), siehe Abschnitt 12.8 Network Information Service auf Seite 540, das Domain Name System (DNS), siehe Abschnitt 4.3.8 Namensauf lösung und DNS auf Seite 254, der finger-Dienst, siehe man finger oder der Whois-Dienst, siehe http://www.denic.de/de/whois/.
Vermutlich sind Sie mit einem der Verzeichnisdienste schon in Kontakt gekommen. X.500 nach ISO/IEC 9594 sollte einmal ein globaler Verzeichnisdienst werden, in dem beispielsweise die Email-Anschrift einer Person für deren Lebenszeit gespeichert und in wechselnde aktuelle Anschriften umgesetzt werden konnte. Der Zweitautor besaß eine solche Anschrift, lebt auch noch, aber den Dienst gibt es kaum noch. Er war zu groß angelegt, das Protokoll war zu schwerfällig. Damit kommen wir zum Lightweight Directory Access Protocol (LDAP), entwickelt in den Neunzigern in der University of Michigan. Usprünglich gedacht als eingeschränkter, leichtgewichtiger Zugriff auf X.500-Verzeichnisse hat sich das Protokoll zu einem eigenständigen Dienst entwickelt, der das Zeug hat, verschiedene Verzeichnisdienste zu vereinen. Informationen zu LDAP finden Sie außer in RFCs und einem TLDP-HOWTO (2007, slapd) von L UIZ E RNESTO P INHEIRO M ALÈRE bei http://www.verzeichnisdienst.de/, die X-Empfehlungen der ITU bei http://www.itu.int/rec/T-REC-x/, leider nur gegen Fränkli. Das Protokoll ist in RFC 3377 (Version 3 von 2002) definiert. Ein LDAP-Client (Directory User Agent, DUA) kommuniziert mit einem LDAP-Verzeichnis oder -Server (Directory System Agent, DSA) nach den Vorgaben des Protokolls, wie üblich. Zu dem
548
12 Benutzer und Gruppen
Kommunikationsprotokoll LDAP kommt ein Datenaustauschformat namens LDAP Data Interchange Format (LDIF) gemäß RFC 2849, das rein auf Text basiert und daher lesbar ist. Die interne Darstellung der Daten ist den Verzeichnissen freigestellt. Ein LDAP-Verzeichnis ist hierarchisch aufgebaut, ein Baum mit Wurzel, Zweigen und Blättern, wie wir ihn vom Linux/UNIX-Dateisystem her kennen. Mathematisch ausgedrückt handelt es sich um einen schlichten Graphen mit Ecken (E: vertex, F: sommet) und Kanten (E: arc, edge, F: arc, arête). Die Ecken oder Einträge (E: entry, F: entité, entrée) stehen für jeweils ein Objekt, gehören einer Objektklasse an und setzen sich aus Attributen (E: attribute, F: attribut) zusammen, die einen den Attributtyp kennzeichnenden Namen (E: name, F: clé) und einen oder mehrere Werte (E: value, F: valeur) tragen. Jedes Attribut stellt eine Teilinformation über das zugehörige Objekt dar. Attribute sind notwendig – bei Personen unter anderem der Name – oder optional. Jedes Attribut unterliegt einer syntaktischen Definition, die beispielsweise darüber befindet, ob der Wert eine Zahl oder eine Zeichenkette ist. Es gibt auch Alias-Einträge sowie Untereinträge. Ein LDAP-Schema (E: scheme, F: schéma) definiert Objektklassen samt Attributtypen. Mit OpenLDAP kommen einige Schemata mit. Sie sind im Verzeichnis /etc/ldap/schema nachzulesen: • • • • • • • • •
corba.schema Common Object Request Broker (CORBA), core.schema OpenLDAP core (in jedem Fall erforderlich, Grundlage für weitere Schemata), cosine.schema Cooperation for OSI Networking in Europe (Cosine) und X.500, dyngroup.schema Dynamic Group Schema von NetScape, inetorgperson.schema Personenobjekte, nach RFC 2798, java.schema Java Object Schema, nach RFC 2713, misc.schema verschiedene experimentelle Schemata, nis.schema Network Information Service, nach RFC 2307, openldap.schema OpenLDAP, experimentell.
Einige Schemata sind standardisiert, andere unverbindlich. Ein Schema lässt sich erweitern und an lokale Wünsche anpassen. In einer relationalen Datenbank wäre die Entsprechung eines Schemas die Definition einer Tabelle mit ihren Spalten. Die Objekte wären die Zeilen. Ein Beispiel für einen Attributtyp aus dem core-Schema: attributetype ( 2.5.4.20 NAME ’telephoneNumber’ DESC ’RFC2256: Telephone Number’ EQUALITY telephoneNumberMatch SUBSTR telephoneNumberSubstringsMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.50{32} ) Die Zeilen bedeuten: • •
2.5.4.20 NAME ’telephoneNumber’ Nummer (Object Identifier, OID) und Name des Attributtyps, DESC ’RFC2256: Telephone Number’ Beschreibung in gewöhnlicher Sprache, erforderlichenfalls mehrzeilig,
12.9 Lightweight Directory Access Protocol (LDAP)
• • •
549
EQUALITY telephoneNumberMatch Name einer Vergleichsregel (E: matching rule, F: règle de comparaison), SUBSTR telephoneNumberSubstringsMatch Name einer Vergleichsregel, SYNTAX 1.3.6.1.4.1.1466.115.121.1.50{32} Nummer (Identifier) der Codierung des Attributtyps, hier eine Telefonnummer in druck- und lesbarer Form, mit mindestens 32 Zeichen maximaler Länge, siehe RFC 2252.
Ein beispielhafter Wert für ein Attribut dieses Typs wäre +49 7244 706516 (Schreibweise entsprechend der CCITT-Empfehlung E.123). Die Beschreibung eines Attributtyps kann weitere Zeilen enthalten, siehe RFC 2252. Die OIDs werden von der ISO in Zusammenarbeit mit Organisationen wie ITU und IANA vergeben. Eine Erklärung liefert unter anderem die Website http://asn1.elibel.tm.fr/ oid/. Für die OID 2.5.4.20 lautet sie: • • • •
2 = joint-iso-itu-t, gemeinsame Normen von ISO/IEC und ITU-T 5 = ds, Directory Services 4 = attributeType 20 = telephoneNumber
was augenscheinlich zutrifft und auf der Website näher erläutert wird. Die OID 1.3.6.1.4.1.1466.115.121.1.50 bezeichnet: • • • • • • • •
• •
1 = iso 3 = identified organization 6 = dod, US Department of Defense, 1 = internet 4 = private 1 = enterprise, Unternehmen 1466 = ein gewisser M ARK WAHL – bei IANA ermittelt – der zu den Autoren der RFC 2251 ff. zählt, die weiteren Nummern sind Sache von M ARK WAHL. Unter seiner OID sind zahlreiche OIDs von LDAPv3 registriert: 115 = LDAPv3 Schema Framework (Syntaxes) 121 = LDAPv3 Syntaxes 1.50 = Telephone number syntax
Auch unter http://www.alvestrand.no/objectid/ wird Ihnen geholfen. Das Internet hat – wie aus Obigem hervorgeht – die OID 1.3.6.1. Wir begegnen Object Identifiern noch einmal im Abschnitt 16.16.3 Simple Network Management Protocol auf Seite 877. Hier ein Beispiel für eine Objektklasse aus demselben Schema: objectclass ( 2.5.6.6 NAME ’person’ DESC ’RFC2256: a person’ SUP top STRUCTURAL MUST ( sn $ cn ) MAY ( userPassword $ telephoneNumber $ seeAlso $
550
12 Benutzer und Gruppen
description ) ) Die Zeilen bedeuten: • • • • •
2.5.6.6 NAME ’person’ Nummer (Object Identifier) und Name der Objektklasse, DESC ’RFC2256: a person’ Beschreibung in gewöhnlicher Sprache, erforderlichenfalls mehrzeilig, SUP top STRUCTURAL Superklasse, hier die strukturelle Klasse top, von der die Objektklasse person abgeleitet ist, MUST ( sn $ cn ) zwingend erforderliche Attributtypen, hier Familienname (sn) und vollständiger bürgerlicher Name (cn), leuchtet wohl ein, MAY ( userPassword $ ...) optionale Attributtypen.
Die Beschreibung einer Objektklasse kann weitere Zeilen enthalten, siehe RFC 2252. Ein Beispiel für ein Objekt dieser Klasse ist: commonName = "Joe Debian" surName = "Debian" telephoneNumber = "+49 7244 706516" userPassword = "xxxxxxxx" Die Schemata etc. kann man sich mit phpldapadmin ansehen, wie weiter unten erläutert. Häufig bei LDAP verwendete Kürzel für Attribute lauten: • • • • • • • • • • •
dn = distinguished name, rdn = relative distinguished name (vergleichbar dem Pfad einer Datei) ces = case exact string, cis = case ignore string cn = common name (bürgerlicher, wirklicher Name) sn = surname (Familienname) dc = domain component c = country l = locality (Wohnort) sa = street address ou = organizational unit uid = user identifier (Benutzername, keine Nummer) dit = directory information tree
12.9.2 OpenLDAP Die Debian-Distributionen enthalten im Paket slapd aus der Abteilung Network den gleichnamigen Stand-alone-Server des OpenLDAP-Projektes (http://www. openldap.org/, mit einem umfangreichen OpenLDAP Administrator’s Guide), ferner in weiteren Paketen aus verschiedenen Abteilungen Werkzeuge und Bibliotheken. Die Einrichtung des Servers ist harmlos. Die Konfigurationsdateien liegen im Verzeichnis /etc/ldap sowie in /etc/default. Zweckmäßig richtet man auf der Servermaschine und allen Rechnern im lokalen Netz das Paket ldap-utils ein, das folgende Werkzeuge mitbringt:
12.9 Lightweight Directory Access Protocol (LDAP)
• • • • • • • •
551
ldapadda Hinzufügen von Einträgen, ldapcompare Vergleichen von Einträgen, ldapdelete Löschen von Einträgen, ldapmodify Hinzufügen neuer oder Ändern bestehender Einträge, ldapmodrdn Umbenennen eines Eintrags (das heißt Ändern des Relative Distinguished Name), ldappasswd Setzen oder Ädndern des Passwortes eines LDAP-Eintrags, ldapsearch Suchen nach bestimmten Einträgen, das am häufigsten gebrauchte Kommando, ldapwhoami Hilfe bei Identitätskrisen.
Diese Kommandozeilen-Werkzeuge sind für den Dauergebrauch etwa so praktisch wie SQL-Kommandos im Umgang mit relationalen Datenbanken. Wir benötigen noch ein Frontend für den Umgang mit dem LDAP-Server, einen grafischen Directory User Agent (DUA). Wie beim Network Information Service (NIS) ist es auch bei LDAP möglich, aus Gründen der Ausfallsicherheit und der Lastverteilung neben einem Master-Server einen oder mehrere Slave-Server zu betreiben. Das ober erwähnte Debian-Paket bringt einen Standalone LDAP Update Replication Daemon namens slurpd mit, der auf der Master-Maschine läuft und daür sorgt, dass Änderungen auf dem Master an die Slaves weiter gereicht werden. Der Dämon wird gestartet durch eine entsprechende Zeile in der Datei /etc/default/slapd, falls slapd bereits eingerichtet ist. Eine Alternative zu slurpd ist die LDAP Sync Replication, ähnlich Primary und Secondary Servern vom DNS. Einzelheiten zu beiden Wegen im OpenLDAP Administrator’s Guide. 12.9.3 LDAP-Clients phpLDAPadmin Sucht man in den Debian-Paketlisten nach der Zeichenfolge ldap in den Namen und Beschreibungen, findet man mehrere Pakete, die mit einem Webserver (Apache) zusammenarbeiten und daher auf Benutzerseite nur einen Web-Browser verlangen. Grundsätzlich aber ist LDAP selbst ein Netzprotokoll und nicht auf HTTP angewiesen. Wir entscheiden uns für das Paket phpldapadmin, was den geneigten Leser nicht davon abhalten soll, andere Pakete auszuprobieren. Das Einrichten geht ohne nennenswertes Nachdenken über die Bühne. Eine Manualseite zu dem Werkzeug gibt es nicht; die gut kommentierten Konfigurationsdateien liegen im Verzeichnis /etc/phpldapadmin und können für den Anfang so bleiben, wie sie sind. Ruft man nun von irgendeinem Rechner im lokalen Netz im Web-Browser die Seite phpldapadmin auf dem Webserver auf, erscheint ein Startbildschirm mit der Möglichkeit des Einloggens auf dem LDAP-Server. Man braucht nur noch das bei der Einrichtung von slapd gewählte Passwort einzutippen und ist als LDAPVerwalter drin. Wir können uns Schemata ansehen und erklären lassen, LDIFDateien importieren, diverse vorbereitete Einträge kreieren, nach diesen suchen und
552
12 Benutzer und Gruppen
Abb. 12.3: Screenshot des Frontends phpldapadmin beim Anlegen eines Adressbucheintrags in dem LDAP-Server slapd, Zugriff über das lokale Web
uns schließlich ausloggen. Als ungefährliche Aktion erzeugen wir übungshalber einen Adressbucheintrag gemäß dem Schema inetOrgPerson, siehe Abbildung 12.3. Anschließend suchen wir nach einem Eintrag, dessen Email-Anschrift mit joe@* (Jokerzeichen erlaubt) übereinstimmt und finden unseren kürzlich erzeugten Eintrag wieder. Nun loggen wir uns aus und anonym wieder ein, ohne Passwort. Die Suche nach Freund J OE funktioniert wie zuvor, nur das Anlegen neuer Einträge oder ändern bestehender wird uns verwehrt. Wenn wir unser neues Verzeichnis kennen gelernt haben, gehen wir an die Umstellung der Benutzerauthentifizierung im lokalen Netz von NIS auf LDAP, am besten an einem ruhigen Tag. Das Debian-Paket migrationtools enthält eine Reihe von Perl- und Shell-Skripten, deren Name mit migrate... beginnt. Sie sind auf http://www.padl.com/OSS/MigrationTools.html zu Hause und befördern verschiedene Dateien aus /etc und anderen Verzeichnissen in den Verzeichnisdienst, ohne die Ursprungsdateien zu verändern. Rufen wir beispielsweise das Kommando: debian:~# migrate_all_nis_online.sh aus dem Verzeichnis /usr/share/migrationtools auf, werden alle NISDateien per ypcat ausgelesen, umformatiert und per ldapadd in den Dienst übertragen. Das Shellskript stellt einige Fragen:
12.9 Lightweight Directory Access Protocol (LDAP)
• • • • • •
553
NIS domain? beispielsweise alex, X.500 naming context? beispielsweise dc=beiuns oder dc= debian,dc=org, LDAP server? beispielsweise ldap.beiuns, manager DN? wird aus den vorangegangenen Angaben automatisch ermittelt: cn=admin,dc=beiuns, Credential? damit ist das Passwort des LDAP-Admin gemeint, festgelegt bei der Einrichtung des slapd, DUAConfigProfile? no, haben wir nicht.
Infolge einer Panne wurden die NIS-Dateien auf dem LDAP-Server zwar angelegt, aber nicht gefüllt. Ein erneuter Versuch brach mit einer Fehlermeldung ab, weil ldapadd in seiner Grundeinstellung beim ersten Fehler aussteigt, und der Versuch, einen bereits vorhandenen Eintrag nochmals einzutragen, als Fehler gilt. Deshalb musste das Kommando mit der vom Shellskript erzeugten LDIF-Datei als Argument und der Option -c (continue) von Hand aufgerufen werden, die bei Fehlern ein Weitermachen erzwingt: debian:/tmp# ldapadd -v -c -x -D cn=admin,dc=beiuns -w ??? -f nis.11197.ldif Die drei Fragezeichen stehen für das Passwort des LDAP-Admins. Anschließend konnte im Web-Browser erfolgreich nach NIS-Benutzern und anderen Daten gesucht werden. Nicht vergessen, nach Erfolg die LDIF-Dateien zu beseitigen. Jetzt muss noch die Authentifizierung auf LDAP umgestellt werden. Üblicherweise wird in der Datei /etc/nsswitch.conf festgelegt, welche Dienste in welcher Reihenfolge abgefragt werden. Die Datei weiß jedoch nichts von LDAP. Wir richten deshalb – zunächst auf dem LDAP-Server – das Debian-Paket libnssldap ein, wobei ein paar Fragen zu beantworten sind, was uns nach dem Vorangegangenen leicht fällt. Die Konfiguration lässt sich mittels: debian:~# dpkg-reconfigure libnss-ldap ändern. Anschließend tragen wir in der Datei nsswitch.conf anstelle von oder zusätzlich zu nis auch ldap ein: passwd:
files ldap
ebenso für group und shadow. In der Dokumentationsdatei /usr/share/doc/ libnss-ldap/examples/nsswitch.ldap finden sich Anregungen dazu. Schließlich loggen wir uns auf dem Server ein, wobei sicherzustellen ist, dass unser Benutzername weder aus der Datei /etc/passwd noch aus NIS kommen kann. NIS legen wir still, indem wir die entsprechenden Einträge in nsswitch.conf entfernen, siehe oben; ein vollständiges Beseitigen aller NIS-Dateien wäre voreilig. Kann root mittels su die Identität eines Benutzers annehmen, der nur in LDAP bekannt ist, ein gewöhnlicher Benutzer jedoch nicht, funktioniert die Authentifizierung durch PAM und LDAP grundsätzlich, aber beim Passwort klemmt etwas. Ein Blick in /var/log/auth.log oder /var/log/syslog schadet in solchen
554
12 Benutzer und Gruppen
Fällen nicht. Möglicherweise fehlen in der Datei /etc/pam.d/common.auth folgende Zeilen: auth auth
sufficient required
pam_unix.so pam_ldap.so
nach dem einleitenden Kommentar. Die Zeilen bewirken, dass zur Authentifizierung als erstes Modul pam_unix.so herangezogen wird. Falls das Modul zustimmend nickt, wird die Kette der Module erfolgreich verlassen, siehe Abschnitt 12.7 Pluggable Authentication Modules auf Seite 536. Schüttelt das Modul den Kopf, geht es mit dem zweiten weiter. Die Abfolge beinhaltet, dass bei der Eingabe eines falschen Passwortes die Kontrolle von pam_unix.so an pam_ldap.so weitergereicht wird, das keine lokalen Benutzer kennt, sondern nur die bei LDAP eingetragenen. Funktioniert die Anmeldung über LDAP lokal auf dem Server, wagen wir uns an die Anmeldung per LDAP auf einem Arbeitsplatz im Netz. Auf dem Arbeitsplatz sind mit Ausnahme des LDAP-Servers (slapd) dieselben Pakete einzurichten und zu konfigurieren. Als Serveradresse ist jetzt natürlich nicht 127.0.0.1 einzutragen, sondern die IP-Adresse des Servers. Haben wir auch das geschafft, gehen wir an die Feinabstimmung. Das dringendste Anliegen ist die Verschlüsselung des Netzverkehrs, da bei einer Anmeldung ein Passwort über die Leitung geht. Zurück zu phpLDAPadmin. Den nächsten neuen Benutzer legen wir über den Button create von phpldapadmin im Web-Browser an. Das Template (Objektklasse) heißt User Account oder posixAccount. Es läuft alles erwartungsgemäß bis auf die Vergabe der numerischen Linux-UID (uidNumber), wo plötzlich unser Hirn gefragt ist. LDAP achtet nicht darauf, dass Nummern eindeutig sein müssen. Das Passwort ist vermutlich per crypt oder md5crypt zu veschlüsseln, in Übereinstimmung mit der Vorgabe des Betriebssystems. Wie bei NIS ist daran zu denken, dass der Verschlüsselungsalgorithmus vom System abhängt, was in einem gemischten Netz Probleme schafft. Der Name des Home-Verzeichnisses wird zwar abgefragt oder festgelegt, das Verzeichnis jedoch nicht eingerichtet. Da klappt offenbar die Zusammenarbeit mit dem Betriebssystem noch nicht ganz. Wir müssen davon ausgehen, dass die LDAP-Werkzeuge nur Daten speichern oder auslesen, aber keine Aktionen vergleichbar adduser außerhalb des Verzeichnisdienstes vornehmen. Das wäre auch überraschend, da die Skripte von phpldapadmin nicht mit rootRechten laufen und der LDAP-Admin nicht root heißt; der LDAP-Admin ist nicht einmal ein Linux/UNIX-Benutzer, sondern nur ein Simple Security Object. LDAP-Account-Manager Der LDAP-Account-Manager (LAM) verwaltet Benutzer, Gruppen sowie Hosts und Windows-Domänen oder -Arbeitsgruppen via Samba, siehe Abbildung 12.4. Er ließ sich ohne größere Probleme einrichten. Es musste nur nach der Einrichtung mittels apt-getinstall noch dpkg-reconfigure aufgerufen, von Hand ein Symlink in /etc/apache2/conf.d/ auf die Konfigurationsdatei /etc/ ldap-account-manager/apache.conf nach dem Muster bereits vorhandener Symlinks gelegt und der Webserver zum Einlesen der neuen Konfigurati-
12.9 Lightweight Directory Access Protocol (LDAP)
555
on veranlasst werden, dann konnte man in einem Web-Browser mit dem URL http://www..../lam/ die Login-Seite auf den Schirm holen. Das voreingestellte Passwort lautet lam, keine Dauerlösung. Es wird in der Datei /etc/ ldap-account-manager/config.cfg in Klartext gespeichert, weshalb man deren Zugriffsrechte prüfen und nicht das Root-Passwort verwenden sollte.
Abb. 12.4: Screenshot des Web-Frontends LDAP Account Manager zur Verwaltung von Benutzern, Gruppen, Domänen und Hosts mittels LDAP
Unter profile werden Vorgaben für die Attribute verstanden. Man kann es bei den mitgelieferten Default-Profilen für Benutzer, Gruppen und Samba-Server belassen, diese editieren oder sich eigene zusammenstellen. Der Versuch, ein bestehendes Benutzerkonto zu ändern (Users -> Modify Account), brach mit einer Warnung von ldap_modify() bezüglich eines undefinierten Attributtyps in Zeile 1930 ab. Obwohl nur eine Warnung, verhinderte sie die Änderung. Man könnte in dem betroffenen Perlskript herumstochern, aber das ist eigentlich nicht Aufgabe des Verwalters. Auf http://lam.sourceforge.net/ wurde empfohlen, das neueste Debian-Paket aus unstable herunterzuladen und einzurichten, was auch gelang, aber der Fortschritt bestand darin, dass nunmehr beim Anlegen neuer Benutzer drei Warnungen ausgegeben wurden. Auch das Paket aus testing verhielt sich nicht besser. So kann man nicht arbeiten, schade.
556
12 Benutzer und Gruppen
Webmin LDAP Nutzer und Gruppen Ein weitere Möglichkeit, auf LDAP per Web-Browser zuzugreifen, bietet Webmin, Wir lernen das Webmin-System genauer in Abschnitt 16.16.4 Webmin auf Seite 883 kennen. Kurz gesagt vermitteln Webmin-Module zwischen vielerlei Diensten und einem Webserver wie Apache, sodass Benutzer mittels Web-Browser die Dienste abfragen und bei entsprechenden Rechten konfigurieren können. Außer der Grundausrüstung von Webmin wird das Paket webmin-ldap-useradmin benötigt. Abbildung 12.5 zeigt die Webmin-Seite mit den bereits in LDAP eingetragenen Benutzern und Gruppen. Bei ausreichenden Rechten lassen sich über die Seite Einträge nicht nur lesen, sondern auch ändern, löschen oder hinzufügen. Das Modul aus dem Paket webmin-ldap-user-simple funktionierte nicht und stieg sofort mit einer Fehlermeldung Error - Bad Header aus.
Abb. 12.5: Screenshot eines LDAP-Zugriffs mittels Webmin-Oberfläche
Bei nicht-anonymen Zugriffen auf den Verzeichnisdienst muss man etwas aufpassen: man hat drei Identitäten. Zunächst einmal ist man ein harmloser Linux/UNIX-Benutzer, sonst könnte man sich gar nicht auf dem Arbeitsplatz anmelden und einen Web-Browser starten. Zweitens muss man sich beim Webmin-Server mit Name und Passwort anmelden. Dort hat anfangs nur root das Recht, weitere Webmin-Benutzer einzutragen und ihnen Rechte zu gewähren. Man muss Webmin-
12.9 Lightweight Directory Access Protocol (LDAP)
557
Benutzer sein mit dem Recht, LDAP-Benutzer zu bearbeiten. Drittens meldet man sich über Webmin nicht-anonym beim Verzeichnisdienst an. Das kann eine Zeile: rootbinddn cn=admin,dc=beiuns in der Konfigurationsdatei /usr/share/libnss-ldap/ldap.conf auf der Servermaschine erfordern, wobei die Domänenkomponente an die lokalen Gegebenheiten anzupassen ist und mehrteilig sein darf. Bei solchen Arbeiten ist es angebracht, Schritt für Schritt vorzugehen und genau mitzuschreiben, was man tut. Das Webmin-Modul achtet beim Anlegen neuer Benutzer auf eine geeignete UID und erzeugt auch das Home-Verzeichnis (Stammverzeichnis). Dabei arbeitet es mit dem Modul für lokale Benutzer und Gruppen zusammen. Leider stieg es beim Versuch, einen neuen Linux/UNIX-Benutzer einzurichten, mit einer PerlFehlermeldung betreffend eine undefinierte Subroutine aus. Nach Verzicht auf Einrichtung eines Passwortes (was dazu führt, dass das Konto vorläufig gesperrt ist oder ungeschützt bleibt) und dem Eintragen der Objektklassen top account in die Modulkonfiguration gelang es, neue Benutzer einzurichten. Die Home-Verzeichnisse wurden auf der Servermaschine angelegt, was nicht immer den Vorstellungen des Verwalters entspricht. Beim Betrachten des Ergebnisses mittels phpldapadmin stellte sich heraus, dass die neuen Benutzer nicht wie die alten unter ou=People, sondern auf gleicher Höhe damit lagen. Im großen Ganzen funktioniert die LDAPBenutzerverwaltung mittels Webmin, aber der Teufel steckt im Detail. GQ Das Debian-Paket gq richtet auf einem Arbeitsplatz einen gleichnamigen LDAPClient ein, der die GTK+-Bibliothek benötigt und mit bewusst schlichter Grafik einherkommt. LDAP ist ja selbst ein Netzprotokoll und bedarf keines Webservers oder -browsers. Die Manualseite ist nahezu informationsfrei; unter dem Menüpunkt Help findet man wenigstens den URL http://biot.com/gq/, alternativ http://gq-project.org/; im Verzeichnis /usr/share/doc/gq/ bieten die README-Dateien einige Hinweise. Nachdem per Editor auf dem Arbeitsplatz eine benutzereigene Konfigurationsdatei $HOME/.gq, Zugriffsrechte 600, mit folgenden Zeilen angelegt war: server server1.beiuns 389 Base64 <search-attribut>cn nahm gq über das Netz erfolgreich anonymen Kontakt mit dem LDAP-Host server auf und zeigte Informationen über Freund J OE an, siehe Abbildung 12.6. Ein zusätzlicher, gleichartiger Eintrag mit db.debian.org an Stelle von server erweiterte den Horizont des Clients. Wenn ein Server – aus welchen Gründen auch
558
12 Benutzer und Gruppen
immer – nicht erreichbar war, neigte der Client zum Blockieren der Sitzung, die dann über eine virtuelle Konsole erst wieder in Schwung gebracht werden musste. Vielleicht ist diese Schwäche in der nächsten Version behoben.
Abb. 12.6: Screenshot des LDAP-Clients gq beim Zugriff auf einen Server im lokalen Netz zwecks Anzeige von Benutzerdaten
Um sich als schreibberechtigter Verwalter (admin) mit dem Verzeichnis verbinden zu können, geht man über die Menüpunkte File -> Preferences -> Servers zu dem gewünschten LDAP-Server und trägt unter dem Menüpunkt Edit -> Details in der Zeile Bind DN die Zeichenkette cn=admin,dc=beiuns ein, wobei die Domänenkomponente (dc) den lokalen Verhältnissen anzupassen ist. Das Vorgehen erzeugt eine Zeile: cn=admin,dc=beiuns in der Kofigurationsdatei. Das Passwort wird bei der Verbindungsaufnahme erfragt und wurde bei der Einrichtung von slapd festgelegt. In die Ausgabemasken kann der Verwalter dann Änderungen oder Ergänzungen eintragen und mittels des Knopfes Anwenden in das Verzeichnis übernehmen. Zum Anlegen neuer Einträge (create. . . ) fand sich kein Menüpunkt oder Hinweis. Der soll aber in der nächsten Version vorgesehen sein. In GQ ließen sich die von Webmin falsch eingereihten Benutzer per Drag und Drop an die richtige Stelle in der Hierarchie transportieren (ou = People).
12.9 Lightweight Directory Access Protocol (LDAP)
559
GQ macht einen aufgeräumten Eindruck und könnte nach einigen Verbesserungen zum Lieblings-DUA aufsteigen. Luma Zum Schluss ein zweites Werkzeug, das auf dem Arbeitsplatz läuft und dort X11 sowie einige Bibliotheken benötigt, die apt-get mit herunterlädt. Das Debian-Paket heißt luma; ein Tarball ist auf http://luma.sf.net/ zu holen. Beide ließen sich erfolgreich einrichten mit Ausnahme eines Zusatzes für Samba-Passwörter, der aber nicht in jedem Fall benötigt wird. Das Werkzeug erweckt einen guten Eindruck, siehe Abbildung 12.7, die Dokumentation ist lausig. Die Manualseite verweist auf Sourceforge, wo aber auch kaum Lesefutter angeboten wird. Hartnäckiges Experimentieren führte schließlich zum Erfolg.
Abb. 12.7: Screenshot des LDAP User Agents Luma
Leider müssen wir feststellen, dass einige Pakete noch nicht die von Debian gewohnte Stabilität und Vollständigkeit erreicht haben. Der Verwalter hat Mühe, bis alles so läuft, wie er es sich vorstellt. Es ist müßig zu fragen, ob die Probleme im Upstream oder bei Debian liegen; LDAP ist komplex und noch jung. Gehen wir bei Sourceforge auf die Pirsch nach einem Frontend für LDAP, finden wir außer Bekannten etwa zwei Dutzend Kandidaten, von denen einige einen ziemlich leblosen Eindruck hinterlassen.
560
12 Benutzer und Gruppen
12.10 Remote Authentication Dial In User Service (RADIUS) Der Remote Authentication Dial In User Service (RADIUS) ist ein Protokoll und daraus folgend ein Dienst, der zur Authentifizierung, Autorisierung und Abrechnung von Verbindungen in ein Netz über analoges Modem, ISDN, VPN, WLAN oder DSL dient, also praktisch für alle Verbindungen, die nicht über eine fest zugeordnete Standleitung laufen. Ein zentraler RADIUS-Server ermöglicht einem InternetVersorger, alle Zugangsdaten seiner Kunden zentral zu pflegen unabhängig davon, wo und über welches Medium ein Kunde angebunden ist. Ein RADIUS-Server greift dabei sowohl auf eigene wie auf externe Daten (/etc/passwd, NIS, LDAP, SQLDatenbanken usw.) zurück. Die den Zugang vermittelnden Server (RADIUS-Clients) wenden sich in den genannten Fragen an ihren RADIUS-Server. Mit der InternetTelefonie erweitert sich der Aufgabenkreis von RADIUS. Das Protokoll wird in den RFCs 2865 ff. beschrieben. Unter Debian etch stehen mehrere Pakete von FreeRADIUS (http://www. freeradius.org/), der RADIUS-Server von Lucent (heute) bzw. Livingstone (früher), XtRADIUS (http://xtradius.sourceforge.net/), YardRadius (http://www.yardradius.org/) sowie mehrere RADIUS-Clients zur Verfügung. Darüber hinaus gibt es im Netz das unter der GPL stehende OpenRADIUS (http://www.xs4all.nl/~evbergen/openradius/) als Tarball, entwickelt unter Linux. Man kann die Benutzerverwaltung eines einzelnen Rechners mit RADIUS erledigen, doch das wäre übertrieben. Aber schon bei kleineren Benutzergruppen in einem Netz – eine Webseite meint ab 10 Benutzern – sollte man RADIUS in Erwägung ziehen, insbesondere wenn man über VPN oder WLAN wechselnden Benutzern Verbindungen unter wechselnden Umständen ermöglicht. Das RADIUS-Konzept ist flexibel und skaliert gut.
12.11 Accounting 12.11.1 Logbuch (utmp, wtmp) Zur Systempflege gehört, dass der Verwalter einen Überblick darüber hat, wer was auf dem System oder im lokalen Netz treibt. Auf Booten und Schiffen wird ein Logbuch geführt, für Dienstkraftfahrzeuge ein Fahrtenbuch. Auch Linux/UNIX-Systeme führen Logbücher, und zwar im Verzeichnis /var/log. Die Logs helfen bei Störungen, aber auch beim Untersuchen der Auslastung bzw. Überlastung einer Maschine oder eines Netzes. Knappe Mittel können besser eingesetzt werden, wenn man genau weiß, wo es klemmt. Wünsche lassen sich eher durchbringen, wenn sie mit nachprüfbaren Zahlen untermauert werden. Die Buchführung zwecks Abrechnung von Rechenzeit etc. folgt im nächsten Abschnitt. Hier befassen wir uns insbesondere mit Benutzern und Prozessen, was als Accounting bezeichnet wird. Weitere Logs kommen in Abschnitt 18.4.6 Protokolldateien auf Seite 925 zur Sprache. Da die Logs teilweise personenbezogene Daten enthalten, ist der Datenschutz zu beachten.
12.11 Accounting
561
Bei der Anmeldung auf einer Konsole schreibt das Programm login Einträge mit Benutzernamen, Zeitpunkt und weiteren Informationen in die Dateien utmp, wtmp und lastlog. Display-Manager (siehe Abschnitt 3.4 Display-Manager auf Seite 195) sollen nichts in utmp eintragen, wohl aber das Übliche in wtmp und lastlog. Ein missglückter Anmeldeversuch wird in btmp festgehalten. Terminalemulatoren wie xterm verhalten sich ebenso (oder sollten es, hängt ab von Flags bei der Übersetzung). Die vier genannten Dateien sind nicht unmittelbar lesbar, sondern nur mit Hilfe besonderer Werkzeuge: •
•
• •
/var/run/utmp erfasst alle augenblicklich im System angemeldeten Benutzer, vorausgesetzt dass die von den Benutzern gestarteten Prozesse sich an die Regeln halten. Die Kommandos who und w werten die Datei aus, deren Größe beschränkt bleibt und die daher nicht rotiert werden soll. /var/log/wtmp verzeichnet alle An- und Abmeldungen und noch ein paar Aktivitäten im System; sie wird mit ac, who oder last ausgewertet. Die Datei wächst uferlos und sollte von logrotate per Eintrag in /etc/logrotate. conf rotiert werden (Vorgabe, überprüfen). /var/log/btmp protokolliert erfolglose Login-Versuche und wird mittels lastb ausgewertet. Wachstum und Rotation wie wtmp. /var/log/lastlog enthält für jeden Benutzer den Zeitpunkt des jüngsten Logins. Die Datei wird mit dem gleichnamigen Kommando ausgewertet. Sie wächst nicht unbeschränkt und soll nicht rotiert werden.
Die Dateien btmp, utmp und wtmp werden nicht automatisch erzeugt, sondern müssen von Verwalter erstmals mit touch angelegt werden. Andernfalls übergeht das System das Eintragen stillschweigend. Laut Manual erfordern Linux-Systeme jedoch eine utmp-Datei. Setzt man die Zugriffsrechte von utmp auf 660, zeigen who nichts und w fast nichts mehr an. Der Aufruf: joe@debian:~$ lastlog | grep -v "**N" entfernt aus dem Ergebnis die Zeilen mit Benutzern, die sich noch nie angemeldet haben, vorwiegend Dämonen. Benutzer, die sowohl in passwd wie in LDAP eingetragen sind, erzeugen beim Anmelden in der Ausgabe von lastlog zwei übereinstimmende Zeilen. Wechsel der Identität mittels su erzeugen einen Eintrag in der Textdatei /var/ log/auth.log, sofern nicht ein eigenes Log für su eingerichtet ist. Außer von su wird sie von login, newgrp, cron, sshd, useradd und Display-Managern gefüllt. Die Datei ist Text und soll nur vom Verwalter lesbar sein (600). 12.11.2 Abrechnung (acct) Unter Abrechnungssystem oder Accounting System versteht man die Buchführung des Systems über die Aktivitäten und den Ressourcenverbrauch der Benutzer. Ein Abrechnungssystem wird auf Maschinen benötigt, die gegen Entgelt rechnen. In Teilen macht es von den im vorigen Absatz erläuterten Logs Gebrauch, geht aber darüber hinaus.
562
12 Benutzer und Gruppen
Nach Einrichten des Debian-Paketes acct finden wir auf dem System ein Startskript /etc/init.d/acct, das täglich und monatlich vom cron-Dämon aufgerufen wird. Es gibt also keinen ständig laufenden acct-Dämon, das Abrechnungssystem wertet nur ohnehin vorhandene Protokolldateien aus und schreibt die Ergebnisse in die Datei /var/account/pacct, in nicht lesbarer Form. Dabei werden Sitzungszeiten (login accounting) und Prozesse (process accounting) berücksichtigt, nicht jedoch Massenspeicherbelegung, Netzverkehr oder Papierverbrauch. Hierfür sind du, netstat, CUPS (PageLog) und weitere Programme zuständig, verpackt in Shellskripte, die von cron aufgerufen werden. Fertige umfassende Lösungen scheint es nicht als freie Software zu geben. Eine Suche nach accounting bei http://sourceforge.net/ förderte neben kaufmännischer Software einige interessante Werkzeuge zu Tage, aber keine Gesamtlösung. Am nächsten kommen dem Wunsch Projekte wie Enhanced Linux System Accounting (ELSA, http://elsa.sourceforge.net/) oder Comprehensive System Accounting (CSA, http://oss.sgi.com/projects/csa/), nicht bei Debian auf der Speisekarte. Eine projektbezogene Abrechnung fällt auch noch unter die weitgehend offenen Wünsche, Benutzer und Projekt sind ja nicht dasselbe. Zum Auswerten dienen die Werkzeuge ac, sa und lastcomm aus dem genannten Debian-Paket. Der Aufruf: joe@debian:~$ ac -p -d zeigt eine nach Benutzern und Tagen gegliederte Übersicht der Verbindungszeit (connect time) in Stunden seit Erzeugen der Datei /var/log/wtmp an. Mittels: debian:~# sa erhält der Verwalter eine nach CPU-Zeit sortierte Aufstellung, die sich durch Optionen an eigene Wünsche anpassen lässt. Die Eingabe: debian:~# lastcomm joe | sort | uniq --count --check-chars=10 | sort -nr ermittelt, welche Kommandos der Benutzer joe am häufigsten aufgerufen hat. Meist steht die Shell an vorderster Stelle, gefolgt von einem Texteditor oder einem WebBrowser. Man findet aber auch gelegentlich Prozesse, von denen der Benutzer nichts ahnt und die möglicherweise überflüssig sind. Ein ähnliches Abrechnungswerkzeug ist im Debian-Paket sac enthalten. Es wertet wie das erstgenannte die Datei /var/log/wtmp aus und unterscheidet sich in den Optionen und der Darstellung der Ergebnisse. Der Aufruf: debian:~# sac -p -h veranschaulicht für jeden Benutzer die Verbindungszeit in Abhängigkeit von der Tageszeit und lässt somit Rückschlüsse auf dessen Schlafgewohnheiten zu. Das Kommando ist etwas vielseitiger als ac, erzeugt aber auch nur Rohdaten für einen Bericht an die Geschäftsleitung.
13 Dateisysteme
Rechner verarbeiten Daten. Diese liegen in Dateisystemen, deren Aufgaben und Eigenheiten im Folgenden dargestellt werden. Die Auswahl an Dateisystemtypen ist unter Linux sehr reichhaltig.
13.1 Aufgaben eines Dateisystems Wir haben die dem Benutzer zugewandte Dateihierarchie, den Datei- und Verzeichnisbaum, in Abschnitt 2.8.2 Verzeichnis- und Dateibaum auf Seite 116 behandelt. Ferner haben wir in Abschnitt 6.5 Partitionieren von Festplatten auf Seite 322 gelernt, wie Massenspeicher auf unterster Ebene eingeteilt werden. Zwischen diesen beiden Ebenen befinden sich die Dateisysteme1 (E: file system, F: système de fichiers) mit einem Dateisystemtyp wie FAT oder ext3, den der Verwalter unmittelbar nach dem Partitionieren auswählt. Ein gewöhnlicher Benutzer merkt von dem Dateisystemtyp nichts, solange alles nach Wunsch läuft. Auf der Platte sollen die Daten: • • • • • • • •
zuverlässig gespeichert werden, schnell geschrieben und gelesen werden, nicht unnötig viel Platz belegen, die CPU beim Lesen und Schreiben nicht unnötig belasten, mit bestimmten Attributen (Dateinamen, Zugriffsrechte, Zeitstempel, Quoten) versehen werden, eventuell sogar mit umfangreichen Metadaten (Icons, Fonts), gegebenenfalls über ein Netz zu erreichen sein, gegebenenfalls auch von anderen Betriebssystemen benutzt werden, gegebenenfalls verschlüsselt oder komprimiert werden.
Es gibt keinen besten Dateisystemtyp für alle Zwecke. Linux kommt mit vielen Typen klar. Das Filesystems HOWTO (2007) von M ARTIN H INNER diskutiert einige Gesichtspunkte und Typen; auch bei A NDREW S TUART TANENBAUM sind ewige 1
Der Begriff Dateisystem bedeutet zweierlei, nämlich den Datei- und Verzeichnisbaum einerseits und dessen in diesem Abschnitt gemeinte Unterlage andererseits.
564
13 Dateisysteme
Wahrheiten über Dateisysteme nachzulesen. Die englische Wikipedia bietet einen umfangreichen Comparison of file systems (Vergleich), ebenso eine List of file systems mit weiterführenden Links. Die Manualseite zu filesystems erklärt die unter Linux verfügbaren Dateisystemtypen auf dem Stand von 2001. Die neuesten Entwicklungen findet man dort nicht. Swap-Partitionen enthalten kein Dateisystem. Ebenso bekommen große Datenbanken eine rohes Stück Massenspeicher zugewiesen, um darin ihre Daten selbst zu organisieren. Auch ein auf ein Gerät geschriebenes Archiv ist kein Dateisystem, kann aber wie jede andere Datei in ein Dateisystem eingefügt werden. Mittels mount in das Wurzeldateisystem eingehängt werden können nur Dateisysteme, keine Partitionen ohne ein Dateisystem. Wollen Sie erfahren, wie Ihre Platte eingeteilt und formatiert ist, helfen folgende nur lesende und daher ungefährliche Aufrufe: debian:~# cfdisk -P s /dev/hda debian:~# fdisk -l /dev/hda debian:~# sfdisk -l /dev/hda debian:~# parted /dev/hda print Die Zuordnung von Typ-ID und Bezeichnung zeigt: debian:~# fdisk /dev/hda wenn Sie interaktiv das Kommando l (list) eingeben. Mit q (quit) verlassen. Wir erfahren, dass der Typ-ID 82 eine Linux-Swap-Partition kennzeichnet, während 83 auf ein Linux-Dateisystem hinweist. Nicht für alle dort vertretenen Typen gibt es Treiber-Module. Das Linux-fdisk unterscheidet sich vom DOS-fdisk, die beiden Kommandos sind nicht austauschbar. Der Aufruf: joe@debian:~$ less /proc/filesystems listet die von Ihrem Kern aktuell unterstützten Dateisystemtypen auf. Für jeden unterstützten Dateisystemtyp steht ein Kernmodul bereit. Das zum Booten benötigte Kernmodul – meist für ext2 oder ext3 – muss in den Kern einkompiliert sein, weitere – beispielsweise für das Dateisystem mit den Homes – können bei Bedarf nachgeladen werden. Die Entscheidung für einen Dateisystemtyp fällt nach dem Partitionieren beim Aufruf von mkfs. Entscheiden Sie sich nicht, wird ein Dateisystem vom Typ ext3 eingerichtet. Passt meistens. Mit den Werkzeugen für Partitionen, Dateisysteme und Inodes sollte der Verwalter in einer ruhigen Stunde auf einer nicht benötigten Platte herumspielen, damit er im Ernstfall das Richtige tut. Die Werkzeuge sind nicht harmlos.
13.2 Linux-Dateisystemtypen
565
13.2 Linux-Dateisystemtypen 13.2.1 Extended Filesystem Version 2 (ext2) Bei seinen ersten Gehversuchen verwendete Linux den MINIX-Dateisystemtyp, entwickelt von A NDREW S TUART TANENBAUM (http://www.cs.vu.nl/~ast) im Rahmen von MINIX, einem einfachen UNIX-ähnlichen Betriebssystem für die Lehre. Heimathafen der Version 3 ist http://www.minix3.org/. Gestiegenen Ansprüchen wird das 1993 von R ÉMY C ARD am Institut Blaise Pascal entwickelte Second extended Filesystem, kurz ext2, gerecht, das lange Jahre hindurch den Standard-Dateisystemtyp von Linux bildete und viele von UNIX (System V und BSD) übernommene Merkmale aufweist. Gehen wir zur Abbildung 6.3 auf Seite 324 zurück. Dort haben wir die Einteilung einer Platte in den Master Boot Record und eine Anzahl von Partitionen kennen gelernt. Der Master Boot Record enthält unter anderem die Partitionstabelle. Abbildung 13.1 zeigt uns die Einteilung einer Partition in einen Bootsektor (E: boot sector, F: secteur d’amorçage) am Anfang und eine größere Anzahl von Blockgruppen (Gruppen logischer Blöcke oder Cluster, ihrerseits aus jeweils mehreren Plattenblöcken zu meist 512 Bytes bestehend). Die Blockgruppen sind unterteilt in einen Superblock am Anfang, einen Block mit Gruppen-Deskriptoren (beide beschreiben wesentliche Eigenschaften des Dateisystems in der Partition), eine Datablock Bitmap, eine Inode Bitmap, eine Inodetabelle und schließlich eine Vielzahl – beispielsweise 32.768 – von Gruppen logischer Blöcke oder Clustern. Da die beiden ersten, das Dateisystem beschreibenden Blöcke in weiteren Blockgruppen wiederholt werden, ist einem Verlust vorgebeugt. Die Bitmaps und die Inodetabelle sind spezifisch für jede Blockgruppe. Die Unterteilung einer Partition in Blockgruppen verkürzt den Weg zwischen einem Inode und seinen Datenblöcken.
Abb. 13.1: Aufteilung einer Partition in Blockgruppen und weiter in Blöcke. BS = Boot Sector, BG = Block Group, SB = Superblock, GD = Group Descriptors. DB = Datablock Bitmap, IB = Inode Bitmap, IT - Inode Table, DBs = Datablocks
566
13 Dateisysteme
Die Größe der logischen Blöcke, Datenblöcke oder Cluster lässt sich bei der Einrichtung des Dateisystems zwischen 1024, 2048 oder 4096 Bytes auswählen2 . Dateien werden stets ganze Cluster zugeteilt, Lesen und Schreiben erfolgen in Clustern, daher block device im Gegensatz zum character device. Große Cluster beschleunigen die Ein- und Ausgabe, verschenken aber Speicherplatz, im Mittel einen halben Cluster pro Datei. Vorgabe ist bei heutigen Platten eine Größe der Cluster von 4096 Bytes. Eine sich den Bedürfnissen anpassende Clustergröße wäre nicht schlecht, ist aber gegenwärtig nicht überall zu haben. Von der Größe der Cluster und vom Kern hängen einige Obergrenzen des Dateisystems ab, siehe Tabelle 13.1.
Abb. 13.2: Zuordnung von Datenblöcken zu einer Datei im Inode. Gezeichnet ist nur jeweils eine Verbindung. Erläuterung im Text.
Gewöhnliche Dateien enthalten Daten, die in Clustern auf der Platte abgelegt werden. Der Inode einer Datei verfügt nach den Feldern für Metadaten wie Zugriffs2
während die Größe der Sektoren oder Plattenblöcke vom Plattenhersteller bestimmt wird, oft zu 512 Bytes.
13.2 Linux-Dateisystemtypen
567
rechte oder Zeitstempel über zwölf Felder für Adressen (Nummern der Sektoren, Plattenblöcke oder LBA sectors) der Cluster, siehe das Schema in Abbildung 13.2. Damit werden bei einer Größe der Cluster von 1024 Bytes bis zu 12288 Bytes angesprochen, bei größeren Clustern entsprechend mehr. Wird die Datei größer, so wird in einem dreizehnten Feld ein Verweis auf einen weiteren Cluster gespeichert, der bis zu 128 Verweise auf Cluster fasst. Diese einfach indirekten Cluster bringen bis zu 128 KB zusätzlich. Reicht das nicht, wird in einem vierzehnten Feld des Inode ein Verweis auf einen Block angelegt, der bis zu 128 Verweise auf Blöcke fasst, die ihrerseits bis zu 128 Verweise auf Cluster speichern. Wir gewinnen mit den zweifach indirekten Clustern bis zu 16.384 KB. Das Spiel lässt sich noch einmal wiederholen. Wir kommen so zu den dreifach indirekten oder indizierten Clustern. Insgesamt lassen sich bis zu 2.113.676 Cluster adressieren, entsprechend etwas mehr als 2 GB bei einer Größe der Cluster von 1024 Bytes. Damit liegt die Obergrenze für die Größe einer Datei fest. Durch das Virtual File System, eine Abstraktionsschicht im Kern, wird sie weiter erhöht, siehe Tabelle 13.1 und Abschnitt 13.8 Virtuelle Dateisysteme auf Seite 587. Verschiedene Quellen nennen verschiedene Obergrenzen; eine experimentelle Bestimmung war aus naheliegenden Gründen nicht möglich. Die Unterschiede rühren daher, dass die Grenzen durch mehrere Festlegungen im Kern und im Dateisystem bestimmt werden. Der Übergang zu 64-Bit-Maschinen und das unaufhörliche Wachsen der Plattenkapazitäten sind Anlass, hier Ordnung zu schaffen, siehe http: //www.gelato.unsw.edu.au/IA64wiki/LargeBlockDevices. Tab. 13.1: Obergrenzen für das Linux-ext2/ext3-Dateisystem Blockgröße in Bytes: Dateigröße, direkt: Dateigröße, einfach indirekt: Dateigröße, zweifach indirekt: Dateigröße, dreifach indirekt: Dateisystemgröße:
1024
2048
4096
12 KiB 268 KiB 64 MiB 16 GiB 2 TiB
24 KiB 1 MiB 513 MiB 256 GiB 8 TiB
48 KiB 4 MiB 4 GiB 2 TiB 16 TiB
Ansehen kann man sich das Ganze mit dem curses-basierten Linux Disk Editor lde. Vorsicht: nichts schreiben, nur angucken! Wir beschaffen uns mittels: joe@debian:~$ ls -i datei die Inode-Nummer einer möglichst großen Datei. Dann rufen wir den Editor mit der Partition als Argument auf: debian:~# lde /dev/hda9 geben das Editorkommando i wie Inode ein, geben das Editorkommando I ebenfalls wie Inode ein, klicken mit der linken Maustaste auf die Inode-Nummer am oberen Bildrand und ersetzen am unteren Bildrand die vorgeschlagene Inode-Nummer durch unsere zuerst ermittelte. Es erscheint ein aufgeräumter Textschirm mit Angaben zu
568
13 Dateisysteme
unserer Datei, rechts auf dem Schirm die Adressen der Datenblöcke, und natürlich ohne den oder die Namen der Datei, da sie nicht in der Inode stehen. Abbildung 13.3 zeigt die Ausgabe für die pdf-Datei des Buches. Verlassen des Editors mit q.
Abb. 13.3: Vom Linux Disk Editor lde ausgegebene Informationen zu einem Inode. Von dreifach indirekten Blöcken wird noch kein Gebrauch gemacht.
Um Informationen über ein ext2-Dateisystem auszulesen, nimmt man das Kommando dumpe2fs aus dem Paket e2fsprogs: debian:~# dumpe2fs /dev/hda1 | less Das Werkzeug funktioniert auch bei ext3-Dateisystemen. Sein Heimathafen ist http://e2fsprogs.sourceforge.net/. Aus demselben Paket stammt das Werkzeug tune2fs, mit dem sich einige Parameter eines bereits eingerichteten ext2- oder ext3-Dateisystems ändern lassen: debian:~# tune2fs -l /dev/hda5 gibt die Angaben im Superblock aus. Insbesondere lässt sich mit dem Werkzeug ein ext2-Dateisystem in ein ext3-Dateisystem umwandeln und zurück, das heißt ein Journal anlegen oder löschen. Das Dateisystem soll dabei nicht eingehängt sein, Einzelheiten im Manual. Auch in der Datei /usr/include/linux/ext2_fs.h stehen ein paar interessante Werte, z. B. dass das Wurzelverzeichnis die InodeNummer 2 hat. Die Kommandos lsattr und chattr listen besondere Dateiattribute auf bzw. ändern sie, die nur in ext2- und ext3-Dateisystemen vorkommen und die Zugriffsrechte ergänzen. Nicht alle Attribute werden jedoch zur Zeit unterstützt. Der Aufruf (i = immutable, unveränderlich): debian:~# chattr +i datei
13.2 Linux-Dateisystemtypen
569
bewirkt, dass die Datei nicht verändert, umbenannt oder gelöscht werden kann, außer von Root. In der Ausgabe von lsattr findet sich das i wieder. Andere Möglichkeiten betreffen das automatische Komprimieren oder das Überschreiben mit Nullen (Zufallszahlen wären besser) vor dem Löschen einer Datei. Weiteres im Manual. Ein Dateisystem sollte nicht zu mehr als 90 % gefüllt werden, ohne Berücksichtigung der für Root reservierten Blöcke (Kommando df). Wird die Hochwassermarke erreicht, sollte sich der Verwalter Gedanken machen. Falls noch Platz auf der Partition ist, hilft das Werkzeug resize2fs beim Vergößern oder Verkleinern eines Dateisystems. Muss man die Größe einer Partition ändern, greift man zu fdisk. Änderungen einer Datei erfordern stets mehrere Schreibvorgänge an verschiedenen Stellen im Dateisystem. Wird eine Änderung brutal unterbrochen – Ausschalten statt Herunterfahren des Rechners, Reset-Knopf, Stromausfall – bleiben kranke (inkonsistente) Daten zurück, die das ganze Dateisystem unbrauchbar machen können. Vor einer Weiterarbeit muss das Dateisystem einem File System Check mittels des Werkzeugs fsck unterzogen und erforderlichenfalls repariert werden. Eine Reparatur ist in vielen Fällen möglich, weil wichtige Informationen zum Dateisystem mehrfach gespeichert werden. Einige Cluster mit Benutzerdaten können dabei verloren gehen; sie werden nach Möglichkeit im Verzeichnis lost+found (Fundbüro) des Dateisystems abgeliefert, wo sie der Verwalter begutachten und vielleicht retten kann. Bei einem Check soll das Dateisystem ausgehängt sein. Da die Prüfung und Reparatur eines Dateisystems vom jeweiligen Dateisystemtyp abhängt, ist das Kommando fsck eine Verpackung, ein Wrapper für spezifische Werkzeuge wie fsck.ext2. Bei Reparaturen bleibt dem Verwalter meist nichts anderes übrig, als den Vorschlägen von fsck zu folgen. Die Alternative wäre eine manuelle Reparatur mittels eines Debuggers wie debugfs oder eines Disk Editors wie lde, bei der man leicht den Schaden vergrößert. Früher wurden bei jedem Systemstart alle automatisch eingehängten Dateisysteme einer solchen Prüfung unterzogen. Bei den heutigen Plattengrößen würde der Check mehrere Minuten bis Stunden beanspruchen. Aus diesem Grund enthält der Superblock ein Feld Filesystem state, das beim ordnungsgemäßen Aushängen als clean markiert wird und beim Einhängen als not clean. Nach einer gewaltsamen Unterbrechung bleibt die Markierung not clean zurück und veranlasst beim nächsten Systemstart den Check. Ist das Feld als clean markiert, wird der Check ausgelassen. Nach einer gewissen Zeitspanne oder Anzahl von Einhängevorgängen soll jedoch auch ohne konkrete Notwendigkeit der Check vorsichtshalber durchgeführt werden. Zu diesem Zweck enthält der Superblock ein Feld mit der Maximalzahl von Einhängevorgängen ohne Check (Maximum mount count) – üblicherweise 30 – und einen Einhängezähler (Mount count). Mit dem Werkzeug tune2fs lassen sich stattdessen oder zusätzlich Zeitspannen vorgeben, was für Maschinen sinnvoll ist, die durchlaufen. Wer mit DOS gearbeitet hat, erinnert sich daran, dass gelegentliches Defragmentieren des Dateisystems angebracht war. Die zu einer Datei gehörenden Cluster verteilten sich im Lauf der Zeit über die ganze Partition, was viele Zugriffe und Kopfbewegungen beim Arbeiten mit der Datei erforderte. Das Problem gibt es bei ext2/ext3 und den anderen Linux/UNIX-Dateisystemen so gut wie nicht, weil diese
570
13 Dateisysteme
Dateisysteme die Cluster intelligenter zuweisen. Erst nach Überschreiten der Hochwassermarke von 90 % Füllung können die Dateisysteme nicht immer, wie sie gerne möchten. Zusätzlich werden die Kopfbewegungen durch Umsortieren der Lese- und Schreibvorgänge optimiert. Dennoch gibt es Werkzeuge zum Defragmentieren. Aus dem Paket e2fsprogs stammt filefrag zum Untersuchen der Fragmentierung einer Datei: debian:~# filefrag -v buch.pdf nennt die Anzahl der Extents (zusammenhängende Speicherbereiche) einer Datei und mit der Option -v noch ein paar Dinge mehr. Nur für ext2-Dateisysteme geeignet ist e2defrag aus dem Paket defrag, das sich bei einem Aufruf wie: debian:~# e2defrag -r /dev/hda9 auf Lesen beschränkt. Man studiere das Manual sorgfältig, es gibt einige warnende Hinweise. Insgesamt ist festzustellen, dass der fragwürdige Gewinn die Mühe und das Risiko des Defragmentierens eines Linux/UNIX-Dateisystems nicht lohnt. 13.2.2 Extended Filesystem Version 3 (ext3) Der wesentliche Vorteil des ext3-Dateisystems von S TEPHEN C. T WEEDIE ist, dass es ein um einige Dinge erweitertes ext2-Dateisystem ist. Ein ext3-Dateisystem kann als ext2 eingehängt und betrieben werden, umgekehrt geht es erst nach einem Umbau. Die Erweiterungen lassen sich mittels des Kommandos tune2fs im Betrieb hinzunehmen und auch wieder abschalten. Sie bestehen aus: • • •
einem Journal, einem Verzeichnis-Index in Form eines Baumes, der Möglichkeit, die Größe des Dateisystems im Betrieb zu ändern.
Die enge Bindung an ext2 erweist sich als Klotz am Bein, wenn es um moderne Fähigkeiten von Dateisystem wie variable Clustergrößen geht. Da Änderungen im Dateisystem (Schreiben, Verschieben, Löschen) fast immer aus mehreren Schritten bestehen, hinterlässt eine plötzliche Betriebsunterbrechung unvollständig ausgeführte Änderungen, die das Dateisystem bis hin zur Unbrauchbarkeit beschädigen können. Ein File System Check stellt in den meisten Fällen das Dateisystem wieder her, kann sich aber lange hinziehen, da in mehreren Durchgängen jeder Block untersucht wird. Abhilfe schafft ein Journal, eine Technik, die von Datenbanken herkommt. Ein Journal ist eine gewöhnliche, aber unsichtbare Datei mit einer niedrigen Inode-Nummer im Dateisystem, in seltenen Fällen auch außerhalb. Mit lde kann man hineinschauen, aber das bringt nichts. Eine Änderung wird zunächst in das Journal eingetragen. Ist sie dort vollständig gelandet, wird sie an ihren endgültigen Platz im Dateisystem kopiert. Ist dieser Vorgang erfolgreich beendet, wird die Änderung im Journal gelöscht. Tritt die Unterbrechung während des Schreibens in das Journal auf, steht im Journal Müll, aber das Dateisystem ist unbeschädigt. Passiert der
13.2 Linux-Dateisystemtypen
571
Unfall beim Übertragen vom Journal auf den endgültigen Platz, ist das Dateisystem beschädigt, aber im Journal stehen die heilen Daten für den File System Check zur Verfügung, Bei einem Check brauchen jetzt nur noch die Dateien untersucht zu werden, deren Änderungen durch die Betriebsunterbrechung auf halber Strecke abgebrochen wurden. Das geht wesentlich schneller als ein vollständiger Check (der natürlich trotzdem von Zeit zu Zeit sinnvoll ist). Den Umweg über das Journal können sowohl die Metadaten wie die Nutzdaten einer Datei nehmen. Da der doppelte Schreibvorgang Zeit kostet, beschränkt man sich meist auf die Metadaten. Damit wird auf jeden Fall das Dateisystem gerettet, Nutzdaten haben Pech. Das Verhalten des Journals lässt sich mittels Mountoptionen von tune2fs beeinflussen. Dessen Optionen können durch Optionen von mount oder in /etc/fstab überstimmt werden. Es gibt drei Möglichkeiten: • •
•
Journal Nutz- und Metadaten nehmen den Weg über das Journal. Das ist der sicherste und langsamste Weg. Ordered Nutzdaten werden direkt auf die Platte geschrieben, bevor die Metadaten aus dem Journal auf die Platte überführt werden. Auf diese Weise wird die Gefahr korrupter Nutzdaten auf der Platte verringert, da Dateierweiterungen durch das Journal geschützt sind. Dieser Kompromiss ist Vorgabe in ext3Systemen. Writeback Nur die Metadaten gehen über das Journal. Eine bestimmte Reihenfolge von Nutz-und Metadaten-Schreibzugriffen wird nicht eingehalten. Das ist der schnellste und unsicherste Weg.
Zur genauen Form der Optionen siehe die Manualseiten. In /etc/fstab könnte ein Eintrag folgendermaßen lauten: /dev/hda8
/home
ext3
defaults,data=journal
0
2
Unter den Bootmeldungen in /var/log/syslog findet man dann die Zeilen: kernel: kjournald starting. Commit interval 5 seconds kernel: EXT3 FS on hda8, internal journal kernel: EXT3 mounted filesystem with journal data mode. und kann dem nächsten Stromausfall gefasst ins Auge schauen. Ein Journaled File System darf nicht mit einem Versioning File System wie CopyFS (http://freshmeat.net/projects/copyfs/) oder Wayback (http://sourceforge.net/projects/wayback/) verwechselt werden. Das ist eine andere Baustelle, die mit Backup und Versionskontrolle zu tun hat. Vom Journal sieht der gewöhnliche Benutzer nichts, auf Versionen kann er zugreifen. Unter dem Suchwort extZ findet man Hinweise – aber auch nicht mehr – auf ein Linux-Dateisystem, das für den Benutzer unmerkbar (transparent) verschlüsselt und komprimiert. Als ext4 wird sowohl ein RAID-0-ähnliches Dateisystem bezeichnet, das vermutlich keine Zukunft hat, als auch eine Fortentwicklung von ext3, die vom Kern ab der Version 2.6.19 unterstützt wird. Die treibende Kraft dahinter ist T HEODORE Y. T’ SO.
572
13 Dateisysteme
13.2.3 ReiserFS und Reiser4 Das Reiser-Dateisystem wurde von dem us-amerikanischen Programmierer H ANS R EISER entwickelt. Es ist als ReiserFS bekannt, verfügt über ein Journal für die Metadaten und führt Verzeichnisse als B-Baum – nicht als verkettete Listen wie ext2 – was Vorteile bei Verzeichnissen mit vielen Einträgen hat. Der Heimathafen ist http://www.namesys.com/. Ab dem Kern 2.4.1 wird das ReiserFS von Linux unterstützt. Will man ein ReiserFS auf einer freien Partition unterbringen, richtet man das Debian-Paket reiserfsprogs ein. Mit dem darin enthaltenen Werkzeug mkreiserfs erzeugt man wie von anderen Dateisystemen gewohnt ein ReiserFS: debian:~# mkreiserfs /dev/hdb1 mit der Partition als Argument. Dann legt man einen Einhängepunkt wie /rfs an, erweitert die Datei /etc/fstab um die Zeile: /dev/hdb1
/rfs
reiserfs
defaults
0
2
und hängt das neue Dateisystem mit mount -a ein. Das ReiserFS hinterließ bei einem Test den Eindruck, schnell zu sein umd mit den Clustern sparsam umzugehen. Im genannten Paket sind weitere Werkzeuge enthalten, darunter ein Checker: debian:~# reiserfsck /dev/hdb1 Das Dateisystem soll beim Check nicht eingehängt sein. Das Werkzeug schreibt einige Informationen nach stdout. Der Nachfolger von ReiserFS Version 3 heißt Reiser4 und ist ebenfalls bei Debian erhältlich. Er stellt eine Neuentwicklung dar, die auf Erfahrungen mit ReiserFS aufbaut, aber einige Dinge anders (besser) macht. Ab Kern 2.6.8 kann man seinen Kern mit einem Kernel Patch aus dem Debian-Paket kernel-patch-2.6-reiser4 auf Reiser4 vorbereiten. Kerne ab Version 2.6.20 unterstützen voraussichtlich Reiser4. Die Werzeugkiste für Reiser4-Dateisysteme ist im Paket reiser4progs enthalten. Die Entwicklung von Reiser4 ist zwar schon weiter als bei ext4, aber noch im Fluss, sodass man für hochzuverlässige Server besser bei älteren Dateisystemtypen bleibt. 13.2.4 XFS (Silicon Graphics) Das XFS entstand bei der Firma Silicon Graphics und wurde 2001 quelloffen für Linux zur Verfügung gestellt. Die Einrichtung verläuft in den gleichen Schritten wie beim ReiserFS. Wir richten die Debian-Pakete xfsprogs und xfsdump ein und rufen ein Werkzeug daraus mit einer freien Partition als Argument auf: debian:~# mkfs.xfs /dev/hdb2 Rest wie gehabt. Der File System Check: debian:~# fsck.xfs /dev/hdb2 tut und sagt nichts. Für Reparaturen stehen die Kommandos xfs_check und xfs_repair bereit. Keine Probleme unter sarge mit Kernen 2.4.27 und 2.6.8.
13.2 Linux-Dateisystemtypen
573
13.2.5 JFS (IBM) Das Journaled File System (JFS) von IBM wurde 2002 unter der GPL freigegeben. An erster Stelle der Ziele steht die Verfügbarkeit des Dateisystems. Wir laden das Debian-Paket jfsutils herunter und richten mittels: debian:~# mkfs.jfs /dev/hdb3 ein Dateisystem ein. Der File System Check: debian:~# fsck.jfs /dev/hdb3 gibt sich gemäßigt redselig. Das JFS hat Vorteile in einer IBM-Umgebung. 13.2.6 User-Dateisysteme (FUSE) Das Linux Userland File System (LUFS) und das neuere Filesystem in Userspace (FUSE) sind zwei Versuche, das Dateisystem aus dem Kern herauszunehmen und wie eine gewöhnliche Anwendung zu betreiben. Damit vereinfacht sich das Programmieren eines Dateisystems. Benutzer können eigene Dateisysteme und alles, was sich wie ein Dateisystem verhält, selbst einhängen. Der Heimathafen von FUSE ist http://fuse.sourceforge.net/. Unter http://www-128.ibm.com/ developerworks/linux/library/l-fuse/ ist ein einführender Artikel zu finden, unter http://lwn.net/Articles/68104/ und 68106/ ein einfaches Beispiel für ein User-Dateisystem. FUSE bringt ein Kernmodul mit, das wie ein Dateisystem an das Virtual File System des Kerns andockt und für dieses ein Dateisystem wie jedes andere ist. Für Benutzerprozesse stellt sich das Kernmodul als ein Gerät namens /dev/fuse dar. Ab Kernversion 2.6.14 gehört das Modul zur Ausstattung des Kerns. In anderen Fällen oder bei selbstgestrickten Kernen muss man sich das Debian-Paket fuse-source herunterladen und das Modul mit exakt dem Compiler erstellen, mit dem der Kern übersetzt worden ist. Dazu werden auch die Kernquellen benötigt, der Kern selbst wird jedoch nicht verändert oder neu übersetzt. Zweitens gehört zu FUSE eine Funktionsbibliothek, um mit dem Gerät zu kommunizieren. Die Bibliothek enthält die üblichen Funktionen wie open(), read() usw. Damit schreibt sich ein Benutzer – C-Kenntnisse vorausgesetzt – ein eigenes Dateisystem wie im oben erwähnten Beispiel. Das Kommando fusermount zum Einhängen eines FUSE-Dateisystems ist im Paket fuse-utils enthalten, das in jedem Fall gebraucht wird. 13.2.7 Squashfs Squashfs ist ein hoch komprimiertes Dateisystem, das im Normalbetrieb nur gelesen werden kann. Im Unterschied zu anderen Dateisystemen mit transparenter Kompression werden hier auch Inodes und Verzeichnisse verdichtet. Es eignet sich für Archive oder eingeschränkte Umgebungen mit wenig Speicherplatz, beispielsweise Embedded Systems. Die meisten der zahlreichen Pakete – überwiegend Kernmodule
574
13 Dateisysteme
für 2.6.18 – sind ab etch verfügbar. Das Werkzeug mksquashfs zum Erzeugen und Erweitern eines Squashfs kommt im Paket squashfs-tools mit. Der Heimathafen ist http://squashfs.sourceforge.net/.
13.3 Loopback-Device Ein Linux-Loopback-Device ist ein virtueller Massenspeicher, verwirklicht durch einen entsprechenden Treiber (Modul) im Kern. Es wird benutzt wie eine reale Partition (/dev/hda1), eine Festplatte (/dev/hda) oder eine Diskette (/dev/fd0) und dargestellt durch die Gerätedateien /dev/loop0 bis loop7. Das LoopbackDevice hat nichts zu tun mit dem Loopback-Interface, beschrieben in Abschnitt 4.3.1 IP-Adressen auf Seite 242. Das Interface gehört ins Internet, das Device gehört zu Linux und wird unter anderem in The Loopback Root Filesystem HOWTO (1999) von A NDREW M. B ISHOP auf http://www.faqs.org/docs/Linux-mini/ Loopback-Root_FS.html erläutert. Das Loopback-Device ermöglicht, Dateien als Block Device oder Dateisystem einzuhängen, was normalerweise nicht geht. Beispiele sind das Einhängen einer CD/DVD-Abbilddatei oder der Wurzeldatei eines virtuellen Linuxsystems in das Wurzelverzeichnis des Systems, sodass man anschließend den Inhalt der Datei als Zweig im Verzeichnisbaum sieht und darin spazieren gehen kann. Zum Kennenlernen spielen wir ein wenig mit einem Loopback-Device. Zuerst stellen wir fest, ob unser Kern über den Loopback-Treiber verfügt: joe@debian:~$ lsmod | grep loop Die Antwort sollte den Modulnamen loop enthalten. Zusätzlich geht auch: joe@debian:~$ /sbin/modprobe -vn loop Dann legen wir eine nur mit Nullbytes gefüllte Datei ausreichender Größe an, Name beliebig: joe@debian:~$ dd if=/dev/zero of=/tmp/myloop bs=1M count=100 Hier werden 100 Blöcke zu 1 MB belegt. Wir ermitteln als Root das erste freie Loopback-Device: debian:~# losetup -f und bekommen als Antwort beispielsweise /dev/loop1. Wir weisen dem Device die Datei zu: debian:~# losetup /dev/loop1 /tmp/myloop und können nun das Gerät /dev/loop1 wie jedes andere Block-Gerät verwenden. Wir legen ein Dateisystem darauf an: debian:~# mkfs -t ext2 /dev/loop1
13.3 Loopback-Device
575
und hängen es in einen vorher erzeugten Einhängepunkt (leeres Verzeichnis) ein: debian:~# mount -t ext2 /dev/loop1 /loop Der Aufruf: joe@debian:~$ mount führt uns den Erfolg vor Augen. Wir wechseln in den Einhängepunkt: joe@debian:~$ cd /loop und stellen mit: joe@debian:~$ ls -l fest, dass erwartungsgemäß von mkfs ein Fundbüro eingerichtet worden ist. Der Rest sind die gewohnten Kommandos zum Umgang mit Verzeichnissen und Dateien. Die Datei /tmp/myloop ist weiterhin erreichbar, aber man hat nicht viel Freude daran. Löscht man sie, gibt es zwar keinen Ärger, aber die feine Art ist das nicht. Wollen wir unser Schleifchen wieder loswerden, verlassen wir den Einhängepunkt: joe@debian:~$ cd / hängen das Dateisystem aus: debian:~# umount /loop und lösen die Verbindung zwischen Device und Datei: debian:~# losetup -d /dev/loop1 Jetzt ist die Datei /tmp/myloop wieder eine Datei wie jede andere Datei und kein Gerät mehr. Wenn das Dateisystem eingerichtet ist, kann man künftig mit einem einzigen Aufruf: debian:~# mount /tmp/myloop /loop -t ext2 -o loop Datei und Gerät verbinden und das Gerät einhängen. Entsprechend erledigt umount dann beide Schritte rückwärts. Nun zu einer praktischen Anwendung. Wir haben zur Vorbereitung des Brennens einer CD eine Abbilddatei /tmp/cd.iso erzeugt und wollen uns diese vorsichtshalber vor dem Brennen ansehen. Das Dateisystem ist vom Typ iso9660. Wir geben ein: debian:~# mount /tmp/cd.iso /loop -t iso9660 -o loop und finden unter dem Einhängepunkt /loop alles wieder, was wir in die Abbilddatei hineingepackt haben. Kommandos wie less cd.iso funktionieren nicht, weil cd.iso keine Textdatei, sondern eine bitgenaue Kopie eines Teils eines Dateisystems ist. Änderungen in der Abbilddatei wären riskant, weil die Verwaltungsinformationen durcheinander geraten.
576
13 Dateisysteme
Noch eine Anwendung. Von Debian haben wir uns die Disketten-Abbilddatei cd-drivers.img heruntergeladen und möchten wissen, was darin steckt. Wir befinden uns in dem Verzeichnis mit der Abbilddatei und legen ein Verzeichnis beliebigen Namens als Einhängpunkt an: joe@debian:~$ mkdir loop Mit dem Aufruf: joe@debian:~$ sudo mount cd-drivers.img ./loop -t ext2 -o loop hängen wir die Abbilddatei in den Einhängepunkt ./loop ein, stellen mittels mount den Erfolg fest, wechseln mit cd loop in das Loopback-Verzeichnis und schauen uns mit ls den Inhalt der Abbilddatei an, rund zwei Dutzend Dateien und ein Fundbüro. Verlassen des Verzeichnisses und Aushängen der Abbilddatei wie gewohnt. Das Dateisystem auf dem Loopback-Gerät kann komprimiert oder verschlüsselt werden wie andere Dateisysteme auch. Ebenso stehen alle Typen von Dateisystemen zur Verfügung, die Linux kennt.
13.4 Ramdisk Eine Ramdisk (RAM-Disk, Ramdrive, F: RAM-disque) ist ein Datenträger mit einem Dateisystem darin, der im Arbeitsspeicher liegt. Die Daten in einer Ramdisk sind daher ebenso flüchtig wie alle anderen Daten dort, was gelegentlich ein Vorteil ist. Bei der heutigen Größe von Arbeitsspeichern ist das Abzweigen von 10 bis 100 MB für eine Ramdisk zu verkraften. Verwirklicht werden Ramdisks durch einen entsprechenden Treiber. Außer genügend Arbeitsspeicher wird keine besondere Hardware benötigt. Ramdisks werden eingesetzt, wenn andere Datenträger nicht verfügbar sind – wie zu Beginn des Bootens oder beim Arbeiten mit einer Live-CD/DVD – oder zu langsam sind. Will man seinen Rechner mittels einer Ramdisk schneller machen, ist zu bedenken, dass Linux ohnehin freien Arbeitsspeicher als Puffer verwendet. Verkleinert man den Puffer, kann sich das negativ auf die Geschwindigkeit auswirken. Auch für temporäre Daten sind Ramdisks gut zu gebrauchen. Im einfachsten Fall greift man auf eine Ramdisk über die zugehörige Gerätedatei zu: debian:~# ls -l /dev/ram* Oft sind 16 Ramdisks mit Nummern von 0 bis 15 vorbereitet, aber nicht angelegt, belegen also noch keinen Platz. Wir richten ein Dateisystem auf /dev/ram0 mit folgendem Aufruf ein: debian:~# mk2efs /dev/ram0 Es werden 8192 Blöcke zu 1024 Bytes angelegt, wie: debian:~# dmesg | grep RAMD
13.4 Ramdisk
577
erwarten lässt. Jetzt ist der Speicher belegt. Braucht man eine größere Ramdisk, so ist in der Konfigurationsdatei des Bootloaders dem Kernaufruf eine diesbezügliche Option mitzugeben, beispielsweise in der Datei /boot/grub/menu.lst in der Zeile: kernel /boot/vmlinuz- ... ramdisk_size=32000 ro Die Änderung wird erst bei einem Systemstart (reboot) wirksam. Falls der Treiber als nachladbares Modul konfiguriert ist, kann die Größe auch als Option beim Laden mittels modprobe festgelegt werden. Einzelheiten zum ext2-Dateisystem liefert wie gewohnt: debian:~# tune2fs -l /dev/ram0 Dann hängt man das Dateisystem in einen beliebigen Einhängepunkt ein: debian:~# mount -t ext2 /dev/ram0 /mnt und greift darauf wie auf jedes andere Verzeichnis zu. Beispielsweise taucht es in der Ausgabe des Kommandos df auf. Eine flexiblere Variante einer Ramdisk bietet der Dateisystemtyp tmpfs, der die Größe der Disk dem Bedarf anpasst, unter Beachtung einer oberen Grenze, die als Vorgabe bei der Hälfte des Arbeitsspeichers liegt. Ein tmpfs liegt im virtuellen Arbeitsspeicher, also im RAM zuzüglich Swap. Ausßerdem ist es ein fertiges, zum Einhängen bereites Dateisystem; wir brauchen kein mkfs, sondern legen gleich los mit: debian:~# mount -t tmpfs tmpfs /mnt Wollen wir eine Obergrenze festlegen, verwenden wir eine mount-Option: debian:~# mount -t tmpfs -o defaults,size=64m tmpfs /mnt oder als Zeile in /etc/fstab: tmpfs
/mnt
tmpfs
defaults,size=64m
0
0
Ein offizieller, aber unverbindlicher Einhängepunkt für ein tmpfs ist das Verzeichnis /dev/shm (shared memory). Beim Aushängen geht der Inhalt eines tmpfs verloren, anders als bei einer herkömmlichen Ramdisk. Wollen wir unser übliches /tmp-ext3-Verzeichnis auf ein tmpfs-Verzeichnis legen, so hängen wir /tmp im laufenden Betrieb um, was unter neueren Kernen möglich ist: debian:~# mount -t tmpfs -o size=128m tmpfs /tmp Das nackte mount-Kommando zeigt uns den Erfolg: tmpfs on /tmp type tmpfs (rw,size=128m) ebenso df. Das alte, auf der Platte gespeicherte /tmp-Verzeichnis existiert nach wie vor – offene Dateien werden weiter genutzt – ist jedoch nicht mehr gezielt anzusprechen und erscheint beim Aushängen des tmpfs wieder. Das neue und das
578
13 Dateisysteme
alte /tmp-Verzeichnis liegen sozusagen übereinander. Ein anderer Weg wäre das Erzeugen von /tmp als Symlink auf /dev/shm oder ähnlich. Weiteres siehe im Linux Ramdisk mini-HOWTO von VAN E MERY auf http: //www.vanemery.com/Linux/linux.html und bei http://www-128. ibm.com/developerworks/library/l-fs3.html.
13.5 Fremde Dateisystemtypen 13.5.1 FAT, VFAT Die File Allocation Table (FAT) ist ein Dateisystemtyp, der ursprünglich (1977) für Vorstufen von DOS entwickelt worden ist, im Laufe der Jahrzehnte einige Erweiterungen erfahren hat und heute noch auf Disketten und als Austauschformat zwischen Rechnern aus unterschiedlichen Welten eine Rolle spielt: •
•
•
FAT12 verwaltet bis zu 212 = 4096 Cluster, maximal 16 MB und ist auf Dateinamen nach dem 8.3-Muster begrenzt, das heißt auf Namen, die aus höchstens 8 Zeichen, gefolgt von einem Punkt und noch einmal bis zu 3 Zeichen für eine Dateikennung bestehen. Groß- und Kleinschreibung der Namen wird nicht unterschieden. Für Disketten ausreichend. FAT16 ist eine Erweiterung von FAT12, um mehr Cluster verwalten zu können. Die Begrenzung der Dateinamen auf 8.3 etc. besteht weiterhin. Häufig auf Speicherkarten und USB-Stöpseln anzutreffen. FAT32 ist eine nochmalige Erweiterung für große Partitionen.
Die Grenzen der einzelnen FAT-Systeme lese man in der deutschen und/oder englischen Wikipedia unter dem Stichwort File Allocation Table nach, ebenso welches DOS oder Windows mit welcher FAT zurecht kommt. Eine gute Übersicht ist auch unter http://www.ntfs.com/ zu finden. Das Kommando mkdosfs aus dem Paket dosfstools wählt selbst zwischen FAT12, FAT16 und FAT32 je nach Größe des Dateisystems. Die Virtual File Allocation Table (VFAT) ist eine Ergänzung der FATs von 12 bis 32, um lange Dateinamen (Long File Name, LFN) benutzen zu können. Der Trick besteht in der Verwendung interner Aliasnamen. Das Kommando mkdosfs ist das Ziel eines Symlinks von mkfs.vfat; hier wird kein Unterschied gemacht, mkdosfs unterstützt lange Dateinamen. Das mount-Kommando unterscheidet per Option zwischen msdos und vfat. Für Linux/UNIX-Benutzer ungewohnt ist die Bezeichnung der Partitionen durch Buchstaben. Der Benutzer arbeitet nicht mit einem einzigen Verzeichnisbaum, sondern auf einem Laufwerk. Die Buchstaben A und B sind Diskettenlaufwerken vorbehalten, C kennzeichnet die erste Partition auf einer Festplatte. So geht es weiter bis Z. Will man eine Datei oder ein Verzeichnis auf einer anderen als der aktuellen Partition erreichen, ist zuerst auf das zugehörige Laufwerk zu wechseln. Die Firma Microsoft hat in der jüngeren und jüngsten Vergangenheit einige Patente betreffend FATs zugesprochen bekommen. Es bleibt abzuwarten, wie weit die
13.5 Fremde Dateisystemtypen
579
Firma ihre Anspüche ausreizt. Linux-Dateisysteme sind davon nicht betroffen, aber als Austauschformat könnten FATs beeinträchtigt werden. Schlimmstenfalls verschwinden die zugehörigen Optionen bei mkfs und mount. 13.5.2 NTFS Mit MS Windows NT kam 1993 ein von Grund auf neues Dateisystem (NTFS), dessen Architektur bis heute ein Betriebsgeheimnis von Microsoft ist. Es kennt lange Dateinamen, Zugriffsrechte (Zugriffskontrolllisten), ein Journal für die Metadaten, harte Links, Quoten und andere Dinge mehr, die ein Linux/UNIX-Benutzer von einem Dateisystem erwartet. Diese Fähigkeiten sind allerdings nicht immer optimal verwirklicht. Fragmentierung ist nach wie vor ein Thema. Linux kann seit der Kernversion 2.2.0 ein NTFS zum Lesen einhängen. Ab Kernversion 2.6.12 ist Schreiben eingeschränkt möglich. Das Kommando mkfs kennt entsprechend keine Option zum Erzeugen eines NTFS, mount kennt die Option -t ntfs. Bei Debian gibt es jedoch das Paket ntfsprogs mit Werkzeugen wie ntfsmount und mkntfs. Erfahrungen unsererseit liegen nicht vor und wären vermutlich nach einem Jahr veraltet. Auf der Website http://www.linux-ntfs. org/ erfährt man den aktuellen Stand der Entwicklung. Captive NTFS ist eine freie Software für Linux, die auf die originalen NTFSTreiber zurückgreift, die man mit Windows XP käuflich erwerben muss. Heimathafen der Lösung ist http://www.jankratochvil.net/project/ captive/. Nicht als Debian-Paket erhältlich, sondern nur als RPM oder Tarball. Will man eine Partition einrichten, die sowohl von Linux wie von MS Windows zum Gedankenaustausch verwendet werden kann, bietet sich ein FAT32-Dateisystem an. Wir erzeugen im Single User Modus mittels fdisk eine weitere primäre Partition auf der Festplatte und geben Ihr den Typ FAT32 (LBA) entprechend c in der Tabelle von fdisk. Angenommen es ist die vierte und damit letzte primäre Partition, richten wir mittels: debian:~# mkfs.vfat /dev/hda4 auf ihr ein Dateisystem ein. Dann ergänzen wir in /etc/fstab folgende Zeile; /dev/hda4
/win
vfat
defaults,noauto,umask=000
0
0
und können fürderhin den Datenmarkt in den Einhängpunkt /win unter Linux mittels mount /win einhängen. 13.5.3 Apple HFS Das Hierarchical File System (HFS) wurde von Apple im Jahr 1986 vorgestellt und zeichnete sich durch einige fortschrittliche Eigenschaften aus. Das HFS ist ausführlich und öffentlich dokumentiert; deshalb wird es von Linux seit langem uneingeschränkt unterstützt. Neben Paketen mit Kernmodulen ist das Paket hfsutils mit Werkzeugen erhältlich.
580
13 Dateisysteme
Im Jahr 1998 brachte Apple zusammen mit Mac OS 8.1 die Weiterentwicklung HFS Plus oder HFS+ heraus, die in verbesserter Form auch für Mac OS X das übliche Dateisystem abgibt. Bei http://sourceforge.net/projects/ linux-hfsplus kann man sich einen etwas angejahrten Kernelpatch für die Kernversion 2.4 herunterladen, bei http://www.ardistech.com/ hfsplus/ einen jüngeren Tarball für 2.4 und 2.6. Im Debian-Paket hfsplus sind zugehörige Werkzeuge wie hpmount und hpfsck enthalten. Die Unterstützung von HFS+ scheint unter Linux noch nicht richtig in Schwung gekommen zu sein.
13.6 Dateisystemtypen für entfernbare Medien 13.6.1 ISO 9660, ISO 13490 Entfernbare Medien (Datenträger) wie Floppies, CD/DVDs oder USB-Stöpsel dienen häufig dem Datenaustausch zwischen Rechnern aus verschiedenen Welten. Ein von allen Beteiligten verstandenes Datenformat ist daher wesentlich. Die Norm ISO 9660, erstmals veröffentlicht 1988, beschreibt ein Dateisystem für CDs (CD-ROM-Medien), das weit verbreitet ist. Die Norm ist mehrmals erweitert und ergänzt worden. Unter der Bezeichnung ECMA 119 ist sie mit Stand 1987 von http://www.ecma-international.org/publications/ standards/Ecma-119.htm herunterladbar, während die ISO für die Norm mit Stand 2005 Fränkli sehen will. Der Standard wird auch in den Rainbow Books beschrieben, einer Reihe von neun verschiedenfarbigen Büchern, die sich mit allen Arten von Compact Discs befassen, aber nicht mit DVDs. ISO 13490 ist der Nachfolger von ISO 9660, erschienen 1995. Einzelheiten sind in der englischen Wikipedia nachzulesen. Hilfen bieten auch das CD-Writing-HOWTO (2000) von W INFRIED T RÜMPER, das CDROM-HOWTO (2001) von J EFF T RANTER und das Filesystems HOWTO (2000) von M ARTIN H INNER. Der Level 1 der Norm sieht mit Rücksicht auf die DOS-Welt einige Einschränkungen vor: • • • •
Dateinamen müssen das 8.3-Muster einhalten, in Dateinamen sind nur Großbuchstaben, Ziffern und der Unterstrich erlaubt, die maximale Dateigrösse beträgt 2 GB, maximal 8 Verzeichnisebenen sind möglich.
CDs, die diese Vorgaben einhalten, werden von allen Rechnern verstanden. Die Level 2 und 3 erlauben Dateinamen mit einer Länge von maximal 31 Zeichen. In jüngeren Ausgaben der Norm sind einige Einschränkungen aufgeweicht worden, aber man kann sich nicht darauf verlassen, dass alle Werkzeuge auf dem neuesten Stand sind. Zum Umgehen obiger und anderer Einschränkungen sind mehrere Ergänzungen zum Standard entwickelt worden: •
Das Rock Ridge Interchange Protocol ermöglicht das Speichern von Metadaten nach POSIX-Standard, insbesondere bis zu 255 Zeichen lange Dateinamen, Besitzer, Gruppe, Symlinks, weitere ASCII-Zeichen und mehr Verzeichnisebenen.
13.6 Dateisystemtypen für entfernbare Medien
•
•
581
Die Joliet Extension kommt der MS-Windows-Welt entgegen und erlaubt Dateinamen mit bis zu 64 Unicode-Zeichen, codiert in UCS-2. Die Erweiterung stört Linux/UNIX-Systeme nicht, sodass mit Rock Ridge und Joliet beide Welten zufrieden gestellt werden können. Bleibt man innerhalb der Linux/UNIX-Welt, braucht man die Joliet-Erweiterung nicht. Die El Torito Bootable CD Specification ermöglicht das Schreiben bootfähiger CDs. Das BIOS des zu bootenden Rechners muss von El Torito gehört haben.
Werkzeuge wie mkisofs berücksichtigen die Erweiterungen und Abweichungen vom Standard mittels Optionen, siehe Manual. Im Standard ISO 13490 sind die Ergänzungen eingebaut beziehungsweise die Probleme anders gelöst. Es gibt jedoch noch kein Debian-Paket, das sich auf den neuen Standard bezieht. Zum Brennen von Daten auf eine CD ist zuerst mit einem Werkzeug wie mkisofs ein ISO-Dateisystem zu erzeugen. Die zugehörige Abbilddatei trägt meist die Kennung .iso, manchmal auch .cdr. Beim Brennen der CD ist zwischen dem Brennen der ganzen CD in einem Durchgang (single session) und dem auf mehrere Sitzungen nacheinander verteilten Brennen (multi session) zu unterscheiden. Brennwerkzeuge wie cdrecord kennen entsprechende Optionen. Dieses inkrementelle Brennen ist nicht zu verwechseln mit dem wiederholten Beschreiben entsprechender CDs (CD-RW). Selbstverständlich kann man eine CD auch mit einem Linux- oder Apple-Dateisystem beschreiben, nur kann eine solche Scheibe ausschließlich unter dem jeweiligen Betriebssystem verarbeitet werden. 13.6.2 Universal Disk Format (UDF) Das Universal Disc Format wurde 1995 für CDs geschaffen, bald für DVDs erweitert und ist heute vorwiegend auf DVDs anzutreffen. Die Spezifikation ist in den Normen ISO 13346 und ECMA-167 festgelegt und kann von http://www.osta. org/specs/ heruntergeladen werden. Ein Official DVD FAQ von J IM TAYLOR mit Stand von 2006 liegt unter http://www.dvddemystified.com/dvdfaq. html oder http://www.digitalbits.com/officialfaq.html; es ist umfangreich und lässt kaum Fragen offen. Auf http://sourceforge.net/ projects/linux-udf/ findet man Werkzeuge (udftools) und Kernelpatches. Mit dem Werkzeug mkisofs lässt sich per Option eine UDF-Abbilddatei erzeugen: joe@debian:~$ mkisofs -r -v -udf -o /tmp/dvd.iso verzeichnis allerdings vorläufig kein echtes UDF-Abbild, sondern nur ein UDF-kompatibles, siehe Manual. Nach Einrichten des Debian-Paketes dvd+rw-tools kann man mit dem Werkzeug growisofs das Abbild auf einen DVD-Rohling brennen: joe@debian:/tmp$ growisofs -speed=1 -Z /dev/brenner=dvd.iso
582
13 Dateisysteme
Auch bei diesem Werkzeug sollte man das Manual lesen; es kennt einige Optionen. Auf http://fy.chalmers.se/~appro/linux/DVD+RW/ ist der jüngste Stand der Entwicklung zu finden. Das Paket dvdrtools enthält ebenfalls ein Werkzeug zum Brennen von CDs und DVDs. Das Paket udftools beherbergt vier Werkzeuge zum Umgang mit UDF-Dateisystemen. Da es eine Vielfalt von DVD-Typen gibt und nicht alle Laufwerke alle Typen beherrschen, hilft nichts als ausprobieren. Es ist auch zu erwägen, probehalber Versionen der Werkzeuge aus testing oder unstable einzusetzen; die Entwicklung schreitet voran.
13.7 Verschlüsselte Dateisysteme Root kann auf alle Dateien zugreifen, und zwar ohne dass es der Besitzer merkt. Hat man diesbezügliche Bedenken, muss man seine Dateien verschlüsseln, entweder einzeln – wofür mehrere Werkzeuge verfügbar sind, angefangen mit mcrypt – oder indem man den Inhalt eines ganzen Verzeichnisses oder Dateisystems verschlüsselt. Laptops geraten leicht in unrechte Hände. Will man verhindern, dass neben der Hardware auch noch Firmengeheimnisse unbekannt verziehen, hilft nur ein verschlüsseltes Verzeichnis, das den rechtmäßigen Benutzer möglichst wenig belastet. Der Begriff Dateisystem ist im Folgenden locker zu sehen, die Werkzeuge bringen keine eigenen Dateisysteme mit, sondern benutzen die üblichen Dateisysteme. Das Cryptographic Filesystem (CFS) – Ursprung http://www.crypto. com/software/ – von M ATT B LAZE aus dem Debian-Paket cfs kommt mit einem Dutzend Werkzeugen, arbeitet mit allen gängigen Linux/UNIX-Dateisystemen zusammen und läuft auf Benutzerebene. Ist das Paket vom Verwalter eingerichtet, findet man in der Prozessliste einen neuen Dämon namens /usr/sbin/cfsd, der in /etc/cfs.conf konfiguriert wird. Dort wird beispielsweise festgelegt, dass das neu erstellte Verzeichnis /crypt ein Symlink auf /var/cfs ist. Der Dämon ist ein spezieller NFS-Server, der auf Port 3049 lauscht. Ein Benutzer, der innerhalb seines Home-Verzeichnisses ein verschlüsseltes Unterverzeichnis anlegen möchte, ruft im Home: joe@debian:~$ cmkdir mein_geheimes_verzeichnis auf, gibt zweimal einen Schlüssel (Passwort, Passphrase) von mindestens 16 Zeichen Länge ein, überantwortet das Verzeichnis mit: joe@debian:~$ cattach mein_geheimes_verzeichnis dem CFS-Dämon und begibt sich in das Verzeichnis /crypt: joe@debian:~$ cd /crypt Dort findet er einen Doppelgänger seines soeben erzeugten Verzeichnisses mein_ geheimes_verzeichnis mit den Zugriffsrechten 700 vor. Er wechselt hinein und arbeitet mit den gewohnten Kommandos im Klartext. Ist er fertig, kehrt er zurück in sein Home und beseitigt den Doppelgänger: joe@debian:~$ cdetach mein_geheimes_verzeichnis
13.7 Verschlüsselte Dateisysteme
583
Das Verzeichnis /crypt ist wieder leer, dafür finden sich in dem Verzeichnis $HOME/mein_geheimes_verzeichnis Dateien mit unaussprechlichen Namen, die binären Salat enthalten. Will man wieder geheime Dinge treiben, beginnt die Arbeit mit cattach, weiter wie oben. Vergisst man cdetach, teilt man seine Geheimnisse mit Root. Das Kommando wäre ein Kandidat für die Datei $HOME/.bash_logout, siehe Abschnitt 2.7.1 Die Datei ~/.bashlogout auf Seite 58. Ein Symlink aus Home nach dem eigenen Verzeichnis in /crypt ist auch ganz nett. Er stört sich nicht daran, wenn der Doppelgänger verschwindet. Ähnlich stellt sich das Encrypted Filesystem (EncFS) dem Benutzer dar, das von FUSE Gebrauch macht. Zu FUSE siehe Abschnitt 13.2.6 User Dateisysteme auf Seite 573. Nach Einrichten des Debian-Paketes encfs erzeugt ein Benutzer in seinem Home-Verzeichnis mittels: joe@debian:~$ encfs ~/.krypt ~/krypt ein Verzeichnis .krypt für die verschlüsselten Daten und ein Verzeichnis krypt für die Daten im Klartext. Das Kommando versucht, nach dem Anlegen der beiden Verzeichnisse mit dem Kommando fusermount das verschlüsselte Verzeichnis in entschlüsselter Form in das Klartextverzeichnis einzuhängen. Falls das Einhängen verweigert wird, kommen vor allem zwei Ursachen in Betracht: • •
Das Kernmodul fuse ist nicht geladen, mit lsmod prüfen und erforderlichenfalls den Mangel mit modprobe fuse beheben, die Zugriffsrechte des Kommandos /usr/bin/fusermount verhindern die Benutzung (4750 root:fuse). Dann entweder die Zugriffsrechte ändern oder besser den Benutzer mit adduser in die Gruppe fuse aufnehmen.
Das Kommando encfs dient auch zum Einhängen, wenn die Verzeichnisse bereits existieren. Aushängen nach getaner Arbeit mittels: joe@debian:~$ fusermount -u ~/krypt Das Klartext-Verzeichnis ist anschließend leer, das verschlüsselte Verzeichnis enthält Dateien mit unausprechlichen Namen. Das Kommando encfsctl dient Verwaltungsaufgaben. Weiteres im Manual. Die Kommandos zum täglichen Gebrauch (einhängen – aushängen) sollte der Verwalter in ein kleines Shellskript verpacken, Ein Device Mapper ist eine Zwischenschicht im Kern, die es ermöglicht, ein virtuelles blockweise arbeitendes Gerät auf ein reales blockweise arbeitendes Gerät abzubilden. Seit Version 2.6 ist ein Device Mapper im Kern enthalten; für frühere Kerne (2.4) gibt es Patches. Die Zwischenschicht wird beispielsweise benutzt von Logical Volume Managern (siehe Abschnitt 6.5.6 Logical Volumes auf Seite 331) und vom Enterprise Volume Management System (EVMS, siehe http: //evms.sourceforge.net/, bei Debian und mit einem Guide bei TLDP vertreten), einem Überbau zu allem, was mit Dateisystemen zu tun hat. Näheres zum Device Mapper findet sich unter http://sources.redhat.com/dm/ und http://sourceware.org/dm/. Das Werkzeug zum Umgang mit dem Device Mapper heißt dmsetup. Der Aufruf: joe@debian:~$ /sbin/dmsetup info
584
13 Dateisysteme
liefert vermutlich nur Fehlermeldungen, zeigt aber, dass das System eingerichtet ist. Der Aufruf durch Root: debian:~# dmsetup info führt zunächst nur zu einer kurzen Meldung, dass keine Geräte gefunden worden sind. Also legen wir ein Gerät an, ohne Map (table): debian:~# dmsetup create mydevice --notable und finden anschließend im Verzeichnis /dev/mapper eine Datei namens mydevice. Nun liefert das info-Unterkommando etwas mehr Informationen. Mittels: debian:~# dmsetup remove mydevice werden wir unser Versuchskarnickel wieder los. Von dieser Errungenschaft macht dm-crypt Gebrauch, der Nachfolger von Cryptoloop und seit der Kernversion 2.6.4 verfügbar. Zu Cryptoloop gibt es ein HOWTO (2004) von R ALF H ÖLZER bei TLDP; wir schenken uns, näher darauf einzugehen. Zu dm-crypt und cryptsetup liegt ein CryptoPartitionHowTo auf http://systemausfall.org/wikis/howto/ CryptoPartitionHowTo, dem wir im Wesentlichen folgen. Ferner ist unter http://deb.riseup.net/storage/encryption/ ein Bericht über Encrypted Filesystems zu finden, der auch zu dm-crypt etwas sagt. Das Werkzeug cryptsetup erspart uns Mühe gegenüber dmsetup. Wir brauchen eine freie Partition, die verschlüsselt werden soll, sagen wir /dev/hda10, erforderlichenfalls mit fdisk anlegen. Dann erzeugen wir ein virtuelles Gerät, das auf die freie Partition abgebildet wird: debian:~# cryptsetup --verify-passphrase create mydevice /dev/hda10 legen ein Dateisystem an: debian:~# mkfs.ext3 /dev/mapper/mydevice und hängen es in einen Einhängepunkt unserer Wahl ein: debian:~# mount /dev/mapper/mydevice /var/dm-crypt Der Erfolg wird mittels eines nackten mount-Kommandos überprüft. Auf das Verzeichnis /var/dm-crypt wird nun wie auf jedes andere Verzeichnis zugegriffen. In die Datei /etc/crypttab – siehe zugehörige Manualseite – tragen wir unter der vorgegebenen Kommentarzeile folgende Zeile mit einigen Parametern ein: mydevice
/dev/hda10
none
check=ext2,retry=3
ferner in die Datei /etc/fstab zusätzlich die Zeile: /dev/mapper/mydevice /var/dm-crypt auto defaults 0 0
13.7 Verschlüsselte Dateisysteme
585
damit nach dem Systemstart gleich das verschlüsselte Verzeichnis verfügbar ist. Das Startskript /etc/init.d/cryptdisks kümmert sich um die Initialisierung und kann von Root wie jedes andere Startskript von Hand mit Argumenten wie start oder stop aufgerufen werden. Das wird beispielsweise erforderlich, wenn wir beim Systemstart nicht die richtige Passphrase eingeben und der Bootvorgang durchläuft, ohne mydevice einzuhängen. Bei Arbeitsende ist /dev/mapper/mydevice oder /var/dm-crypt auszuhängen und mittels: debian:~# cryptsetup remove mydevice oder: debian:~# dmsetup remove_all das Mapping zu beseitigen. Der Versuch, mittels cryptsetup in einem LoopbackDevice ein verschlüsseltes Dateisystem anzulegen – was eigentlich eine einfache Angelegenheit ist – scheiterte im Herbst 2006 unter etch und einem Kern der Version 2.6.17 mit der Fehlermeldung Incompatible libdevmapper and kernel driver. Damals war etch noch testing; mit so etwas ist zu rechnen. Eine Variante von cryptsetup, die vom Linux Unified Key Setup (LUKS) Gebrauch macht, ist in Arbeit. Die LUKS-Erweiterung erlaubt mehrere Passphrasen nebeneinander und hat weitere Vorteile, siehe Manual zu cryptsetup und http://luks.endorphin.org/. Das Werkzeug cryptmount mit dem Heimathafen http://cryptmount. sourceforge.net/ dient dem Anlegen verschlüsselter Dateisysteme und Swapbereiche und erlaubt gewöhnlichen Benutzern das Ein- und Aushängen. Es erspart uns ähnlich wie cryptsetup das Beschäftigen mit Einzelheiten des DeviceMappers und des Loopback-Gerätes. Wir erzeugen wie gewohnt eine ausreichend große Datei, die das Dateisystem aufnehmen soll: debian:~# dd if=/dev/zero of=/home/geheim bs=1M count=256 und schreiben einen zugehörigen Eintrag mit einigen Parametern in die Datei /etc/ cryptmount/cmtab: geheim { dev=/home/geheim dir=/home/crypt fstype=ext2 fsoptions=defaults cipher=twofish keyfile=/etc/cryptmount/geheim.key keyhash=md5 keycipher=bf-cbc } Dann erzeugen wir den Schlüssel: debian:~# cryptmount --generate-key 32 geheim mit einer Länge von 32 Bytes, wobei wir nach einem Passwort gefragt werden. Das Passwort verschlüsselt den Schlüssel, mit dem die Daten verschlüsselt werden, weshalb es sich ändern lässt, ohne dass die Daten erneut verschlüsselt werden müssten.
586
13 Dateisysteme
Das ist dann erforderlich, wenn die Daten auch vor Root geschützt werden sollen, der ja als Einrichter vermutlich das anfängliche Passwort festgelegt hat. Wir brauchen es, wenn wir den Device-Mapper und das Loopback-Gerät einrichten: debian:~# cryptmount --prepare geheim Wir legen ein Dateisystem unserer Wahl auf dem virtuellen Gerät an: debian:~# mkfs.ext2 /dev/mapper/geheim geben das Dateisystem samt allem Zubehör frei: debian:~# cryptmount --release geheim legen einen Einhängepunkt an: debian:~# mkdir /home/crypt und überantworten das verschlüsselte Dateisystem den gewöhnlichen Benutzern, die mittels: joe@debian:~$ cryptmount --mount geheim das Verzeichnis einhängen können sollten, sofern sie das Passwort wissen. Falls Root das kann, ein gewöhnlicher Benutzer jedoch nicht, sind die Zugriffsrechte zu untersuchen. Da das Verzeichnis /home/crypt die Zugriffsrechte 700 root:root hat, obliegt es Root noch, dort Unterverzeichnisse für einzelne Benutzer einzurichten, wie in /home. Aushängen bei Arbeitsende mittels: joe@debian:~$ cryptmount --unmount geheim nachdem alle Benutzer und Prozesse das Versteck verlassen haben. Das Verzeichnis crypt ist anschließend leer, die Datei geheim ist mit üblichen Werkzeugen wie less nicht zu lesen und liefert beim Betrachten mit einem Hexeditor wie hexedit Zeichensalat. Nimmt man beim Anlegen der Datei statt /dev/zero den Zufallszahlengenerator /dev/urandom, wird das Erkennen von Mustern in dem Salat erschwert. Weitere Optionen des Kommandos cryptmount erläutert die Manualseite. Schließlich bietet Debian noch Pakete für Loop-AES an, deren Namen mit loop-aes beginnen. Das Verfahren gilt als besonders schnell und sicher, aber auch etwas umständlich. Einzelheiten finden sich auf der oben erwähnten Website http: //deb.riseup.net/ und auf http://loop-aes.sourceforge.net/ mit einer ausführlichen README-Datei. Eine kommerzielle, aber erschwingliche Alternative ist BestCrypt von Jetico (http://www.jetico.com/), erhältlich für Linux und MS Windows und daher in gemischten Rechnerwelten von Vorteil. Auch wenn man nicht beabsichtigt BestCrypt einzusetzen, ist der Vergleich mit den anderen Möglichkeiten aufschlussreich. Nicht bei Debian, sondern bei http://stegfs.sourceforge.net/ ist das Steganographic File System (StegFS) für Linux zu haben. Es verschlüsselt nicht
13.8 Virtuelle Dateisysteme
587
nur ein Dateisystem, sondern verbirgt es auch. Der ursprüngliche Autor ist A N DREW M C D ONALD (http://www.macdonald.org.uk/), seine gegenwärtigen Entwickler bedauern, keine Zeit mehr zu haben, sodass das Schicksal des interessanten Ansatzes ungewiss erscheint. Ebenfalls nicht bei Debian ist ein zweites Werkzeug dieser Art verfügbar, der Simple Steganographic Store. Sein Heimathafen ist http://cube.dyndns.org/~rsnel/scubed/. Eine Open-SourceEntwicklung aus der MS-Windows-Welt, die nach Linux portiert wurde oder wird, ist TrueCrypt, siehe die deutsche Wikipedia. In den Debian-Paketlisten taucht es nicht auf – die Lizenzlage ist verworren – aber in der Wikipedia verweist ein Link auf eine deutschsprachige Anleitung zur Einrichtung unter etch. Die bei Debian erhältlichen steganografischen Werkzeuge bezwecken das Verbergen einzelner Dateien in anderen, harmlos erscheinenden Dateien, beispielsweise in jpeg-Grafiken. Zum Begriff Steganografie schlage man in der Wikipedia nach oder lese F. L. BAUERS Buch über entzifferte Geheimnisse. Bleibt die Frage, wie ich das Vorhandensein steganografischer Werkzeuge auf einem Rechner vor neugierigen Augen verberge. Auslagern auf einen USB-Stöpsel? Völlige Unsichtbarkeit hat ihren Preis. Im Netz wird vereinzelt von Problemen bei der Verschlüsselung von Dateisystemen mit Journal berichtet. Das ist vorstellbar, da das Journal nichts von der Verschlüsselung weiß und bei Reparaturversuchen von falschen Voraussetzungen ausgeht. Keine Verschlüsselung schützt davor, dass auf einem verseuchten Rechner Passwörter mitgelesen oder verschlüsselte Dateien verändert und damit unbrauchbar gemacht werden. Sie verhindern nur, dass ein Unbefugter ohne erheblichen Aufwand Dateien lesen kann. Das reicht oft, aber nicht immer.
13.8 Virtuelle Dateisysteme Unter einem Virtuellen Dateisystem (Virtual File System, VFS) wird in der LinuxWelt zweierlei verstanden: •
•
eine Abstraktionsschicht im Kern, um reale Dateisysteme verschiedenen Typs (ext2/3, XFS, ReiserFS, FAT, NTFS, NFS . . . ) in gleicher Weise behandeln zu können, ein Dateisystem ohne Dateien mit Daten darin, um bestimmte Informationen aus dem Kern formal als Datei ansprechen zu können, in /proc/filesystems mit nodev markiert und in /etc/mtab ohne Gerätedatei, ebenso in der Ausgabe von mount.
Wenn ein Prozess einen Systemaufruf betreffend das Dateisystem absetzt, geht dieser immer an das virtuelle Dateisystem erster Art, das Treibermodule für die ihm gemeldeten realen Dateisysteme bereit hält. Von diesen Treibern geht es weiter zu den Gerätetreibern, die mit der Hardware verkehren. Dieses flexible Konzept erlaubt, auch ungewöhnliche Dinge als Dateisystem zu betrachten. Die wichtigsten virtuellen Dateisysteme der zweiten Art sind: •
proc, Typ proc, eingehängt auf /proc
588
• • • • •
13 Dateisysteme
sys, Typ sysfs, eingehängt auf /sys, ab Kern 2.6 eine Alternative zu bzw. ein Nachfolger von proc, udev, Typ tmpfs, eingehängt auf /dev, devshm, Typ tmpfs, eingehängt auf /dev/shm (shared memory) devpts, Typ devpts, eingehängt auf /dev/pts usbfs, Typ usbfs, eingehängt auf /proc/bus/usb
Falls der Kern sysfs unterstützt, lautet das Kommando zum Einhängen: debian:~# mount -t sysfs none /sys Werkzeuge zum Lesen der Informationen sind cat, echo und tree. Das USB-Dateisystem enthält je ein Unterverzeichnis für jeden USB-Controller sowie die Dateien devices und drivers. Letztere Datei listet die dem System bekannten Treiber auf. Die Datei devices ist interessanter und speichert Informationen zu den aktuell angeschlossenen USB-Geräten. Hier ein Ausschnitt aus der Datei betreffend einen USB-Stöpsel: T:
Bus=01 Lev=01 Prnt=01 Port=00 Cnt=01 Dev#=2 Spd=12 MxCh=0 D: Ver= 2.0 Cls=00(>ifc) Sub=00 Prot=00 MxPS=64 #Cfgs=1 P: Vendor=0930 ProdID=6529 Rev=1.00 S: Manufacturer=TOSHIBA S: Product=TransMemory S: SerialNumber=0971DB51631389BF C:* #Ifs=1 Cfg#=1 Atr=80 MxPwr=200mA I: If#=0 Alt=0 #EPs=3 Cls=08(stor.) Sub=06 Prot=50 Driver=usb-storage E: Ad=81(I) Atr=02(Bulk) MxPS= 64 Ivl=0ms E: Ad=02(O) Atr=02(Bulk) MxPS= 64 Ivl=0ms E: Ad=83(I) Atr=03(Int.) MxPS= 64 Ivl=1ms Die Zeilen bedeuten Folgendes: •
• • • • • •
T: Topologie, bestehend aus Busnummer, Level (Ebene) im USB-Geäst, Elterngerät (Parent), Portnummer am Elterngerät, Gerätezähler innerhalb der Ebene, Gerätenummer am Bus unabhängig von der Ebene, Geschwindigkeit (Speed, meist 1,5 oder 12 Mb/s), Höchstzahl der Geräte (MxCh), die an dieses Gerät angeschlossen werden können. D: Device mit USB-Version, Geräteklasse und Subklasse, Protokoll innerhalb der Klasse, maximaler Paketgröße und Anzahl der Konfigurationen des Gerätes. P: Produktbeschreibung. S: Strings, Zeichenketten, die das Gerät zu seiner Identität ausgibt. C: Configuration, Atr=80 bedeutet Stromversorgung aus Bus, MaxPwr ist die maximale Stromaufnahme. I: Interface, Driver=usb-storage weist auf einen USB-Massenspeicher hin. E: Endpoint, mit weniger interessanten Werten.
13.8 Virtuelle Dateisysteme
589
Nachzulesen ist das Ganze und mehr auf http://www.linux-usb.org/ USB-guide/ (2000), einem Guide von B RAD H ARDS. Die Zuordnung von USB-Gerät und Gerätedatei, die man zum Einhängen wissen muss, ist leider nicht so einfach wie bei IDE- oder SCSI-Platten. Sie ändert sich mit der Reihenfolge des Einstöpselns der Geräte und kann daher nicht in /etc/fstab verankert werden. Wenn wir davon ausgehen, dass USB-Massenspeicher als SCSIPlatten verwaltet werden, kommen nur Gerätedateien namens /dev/sd* in Betracht. Nach dem Einschalten oder -stöpseln prüfen wir mit lsusb oder usbview, ob das Ding vom USB-Controller erkannt wird. Falls ja, sehen wir uns den Ringpuffer des Kerns an und fischen alle Meldungen heraus, die sich auf eine SCSI-Platte beziehen könnten: joe@debian:~$ dmesg | grep sda entsprechend bei Bedarf auch für sdb, sdc usw. Auch die Dateien /var/log/ syslog und /var/log/messages enthalten Hinweise: joe@debian:~$ tail /var/log/messages gleich nach dem Einstöpseln reicht oft schon aus. Eine Meldung wie: Attached scsi removable disk sdb at scsi2, channel 0, id 0, lun 0 SCSI device sdb: 1001472 512-byte hdwr sectors (513 MB) sdb: Write Protect is off deutet auf einen USB-Stöpsel mit 512 MB hin, der tatsächlich als /dev/sdb1 einzuhängen war, während: Attached scsi disk sdc at scsi3, channel 0, id 0, lun 0 SCSI device sdc: 240121728 512-byte hdwr sectors (122942 MB) eine externe USB-Platte mit 120 GB vermuten lässt, deren erste Partition als /dev/ sdc1 auftritt. Mit einem Aufruf wie: debian:~# mount -t auto /dev/sdb1 /media/stick ist das Einhängen des Stöpsels dann nur noch ein Klacks. Das Aushängen vor dem Ausstöpseln nicht vergessen! Das Vorgehen hat einen Haken: nur Root ist dazu in der Lage, weil wir nicht wie in /etc/fstab eine Mount-Option user mitgeben können, die jedem Benutzer das Einhängen erlaubt. Wir bräuchten ein besonderes mount-Kommando für Stöpsel, das mit SUID-Bit läuft und daher kein Shellskript sein kann. Alternativ bietet sudo die Möglichkeit, bestimmten Benutzern den Gebrauch der Kommandos mount und umount zu gestatten. Eine Lösung des USB-Problems bietet der DBus, ein jüngerer Weg der Interprozess-Kommunikation (IPC) ähnlich wie CORBA oder DCOP (http://freedesktop.org/wiki/Software/dbus). Der DBus ist ein System Message Bus und bezweckt den Nachrichtenaustausch zwischen den Anwendungen in einer Sitzung sowie zwischen Sitzung und Betriebssystem
590
13 Dateisysteme
(Kern, Dämonen). Bei Debian finden sich einige diesbezügliche Pakete. Die Entwicklung ist noch im Fluss. Falls Sie erfahren möchten, ob bei Ihnen der D-Bus eingerichtet ist, helfen locate und ps. Es gibt auch Lösungsansätze mittels udev (Dynamic Device Management) und dem USB-Manager aus dem Paket usbmgr, die etwas Konfigurationsarbeit verlangen.
13.9 Verteilte Dateisysteme 13.9.1 Network File System (NFS) Das Network File System (NFS) ermöglicht, Datenträger oder Verzeichnisse, die sich auf einem anderen Rechner im Netz befinden, so zu benutzen, als würde es sich um lokale Datenträger oder Verzeichnisse handeln. Ressourcen wie HomeVerzeichnisse, Mailspool-Verzeichnisse oder Software brauchen sich dann nur auf einem Rechner im Netz zu befinden und können von anderen Rechnern genutzt werden. Trotz seines Namens ist NFS kein eigenständiges Dateisystem, sondern ein Netzprotokoll, das auf üblichen Dateisystemen wie ext2/3 aufsetzt. Durch die Vernetzung lässt sich Speicherplatz sparen und die Datensicherung vereinfachen. Außerdem werden Benutzer unabhängig von ihren persönlichen Arbeitsplätzen, weil sie von überall auf dieselben Daten zugreifen können. NFS wird oft in Verbindung mit NIS – siehe Abschnitt 12.8 Network Information Service auf Seite 540 – eingesetzt, ist aber unabhängig davon. Ein NFS-Server stellt Verzeichnisse im Netz zur Verfügung, NFS-Clients hängen sie in ihr lokales Dateisystem ein. Der Benutzer bemerkt kaum einen Unterschied zwischen lokalen und fernen Verzeichnissen. Voraussetzung für die Nutzung von NFS als Client ist ein Kern, der NFS unterstützt. Die NFS-Unterstützung ist im Standardkern in Form eines Moduls enthalten, das bei Bedarf automatisch geladen wird. Die für einen NFS-Client benötigten Programme sind im Paket nfs-common enthalten. Zum Aufbau eines NFS-Servers stehen zwei Wege zur Auswahl. Im Paket nfsserver sind Programme enthalten, mit denen ein NFS-Server eingerichtet werden kann, der ausschließlich durch normale Benutzer-Programme implementiert wird und deswegen keine besonderen Fähigkeiten des Kerns voraussetzt. Dieser Server ist relativ langsam, bietet jedoch ein hohes Maß an Flexibilität. Sein größter Nachteil besteht darin, dass er kein File-Locking unterstützt. Darunter wird das Sperren einer Datei durch ein Programm für den Zugriff durch andere Programme verstanden. Diese Fähigkeit wird von vielen Programmen benötigt, wenn sie mit Dateien arbeiten, die auf einem NFS-Server liegen. Alternativ kann das Paket nfs-kernel-server benutzt werden. Dazu wird ein Kern benötigt, der mit der Option NFS Kernel Server erstellt wurde, wie es bei Standardkernen der Fall ist. Der NFS-Server ist dann Teil des Kerns. Im Paket nfs-kernelserver sind lediglich die Programme sowie die Infrastruktur enthalten, die benötigt wird, um den Server zu betreiben. Der Kern-Server ist schneller als der erstgenannte NFS-Server und unterstützt File-Locking. Zur Zeit sind die NFS-Versionen 2 und
13.9 Verteilte Dateisysteme
591
3 verfügbar, an Version 4 wird gearbeitet. Aktuelle Informationen und Hilfen zum Kern-Server finden Sie unter http://nfs.sourceforge.net/. Die im Folgenden beschriebenen Prozeduren zur Einrichtung des NFS-Servers gelten für beide Server gleicherweise. Dateibesitzer, Rechte und NFS Dateien und Verzeichnisse stehen mit NFS auf einem Clientrechner mit den gleichen Attributen zur Verfügung wie auf dem Server. Das betrifft zum einen die Rechte (Lesen, Schreiben, Ausführen usw.), zum anderen den Besitzer und die Gruppe, genau gesagt deren IDs (Nummern). Die IDs werden mit Hilfe der lokalen Datei /etc/passwd in Namen umgesetzt, die anders lauten können als auf dem Server. Es ist deswegen nur dann sinnvoll, Verzeichnisse über NFS zu verteilen, wenn Benutzer und Benutzer-IDs auf Client- und Serversystemen übereinstimmen. Ein Weg dazu ist NIS. Etwas anders sieht dies bei solchen Verzeichnissen aus, in denen sich nur Dateien befinden, die dem Verwalter gehören, etwa Verzeichnissen mit Programmdateien wie /usr oder /opt. Die Benutzer-ID der Root ist auf allen Linux/UNIXSystemen Null, sodass gewährleistet ist, dass solche Verzeichnisse und Dateien auch auf dem Clientsystem dem Verwalter gehören. Einrichtung des NFS-Servers Der NFS-Server wird über die Datei /etc/exports konfiguriert. In jeder Zeile wird ein Verzeichnis angegeben, das anderen Rechnern per NFS zur Verfügung gestellt werden soll. Dahinter werden die Namen oder IP-Adressen der Rechner angegeben, die berechtigt sind, das entsprechende Verzeichnis einzuhängen. Die Datei darf außerdem leere Zeilen und Kommentar enthalten. Ein einfaches Beispiel: # /etc/exports # Exportiert die Verzeichnisse unter /home # sowie das Verzeichnis /opt /home verwaltung rechnungswesen buchhaltung /opt ws1 ws2 ws3 ws4 Durch die Anweisungen in der Datei wird das Verzeichnis /home für die Rechner verwaltung, rechnungswesen und buchhaltung freigegeben (exportiert). Das Verzeichnis /opt kann von den Rechnern ws1 bis ws4 eingehängt werden. Um mehrere Rechner gleichzeitig zu benennen, werden die Metazeichen * und ? benutzt, außerdem IP-Netzadressen und Netzmasken: /home *.example.de /opt 192.168.10.0/255.255.255.0 Mit der ersten Zeile wird allen Rechnern, deren voll qualifizierter Name auf example.de endet, erlaubt, das Verzeichnis /home einzuhängen. Die zweite Zeile gibt das Verzeichnis /opt für alle Rechner frei, die sich im Netz mit der IP-Adresse 192.168.10.0 befinden.
592
13 Dateisysteme
Mit einigen Optionen lässt sich das Verhalten des NFS-Server beeinflussen. Die Optionen beziehen sich immer auf ein Verzeichnis-Rechner-Paar. Sie sind in Klammern und durch Kommata voneinander getrennt hinter dem Namen des Rechners anzugeben: /home rechner1(option1,option2) rechner2(option3) Die wichtigsten Optionen sind: • • •
•
rw (read write) Der Rechner darf das Verzeichnis zum Lesen und Schreiben einhängen. Dies ist die Voreinstellung bei dem Standard-NFS-Server. ro (read only) Der Rechner darf das Verzeichnis nur zum Lesen einhängen. Dies ist die Voreinstellung beim Kern-NFS-Server. no_root_squash Die Eigentümer- und Gruppenattribute von Dateien sind normalerweise auf dem NFS-Client dieselben wie auf dem NFS-Server. Verwalter-Attribute werden jedoch aus Sicherheitsgründen nicht durchgereicht. Dateien, die auf dem Server dem Verwalter gehören, erhalten auf den Clientsystemen eine ungefährliche Benutzer-ID (nobody). Mit der Option no_root_squash lässt sich dieses Verhalten abschalten. nohide Diese Option gilt nur für den Kern-NFS-Server. Wenn von einem Client ein Verzeichnis eingehängt wird, in dessen Unterverzeichnisse auf dem Server weitere Verzeichnisse eingehängt sind, steht der Inhalt dieser verketteten Verzeichnisse standardmäßig auf den Clients nicht zur Verfügung. Die Option schaltet auch die verketteten Verzeichnisse frei. Bei dem Standardserver werden die verketteten Verzeichnisse automatisch freigeschaltet.
Um das Verzeichnis /home für alle Rechner in der Domäne example.de mit Schreib- und Leserechten freizugeben und gleichzeitig die automatische Umsetzung der Benutzer-ID des Systemverwalters abzuschalten, ist folgender Eintrag in der Datei /etc/exports zu verwenden: /home *.example.de(rw,no_root_squash) Weitere Hinweise zur Datei /etc/exports finden Sie in ihrer Manualseite. Nach einer Änderung der Datei ist der NFS-Server zu benachrichtigen, damit er sie neu einliest. Bei Verwendung des Standard-Servers: debian:~# /etc/init.d/nfs-server reload und bei Verwendung des Kern-Servers entsprechend: debian:~# /etc/init.d/nfs-kernel-server reload Dasselbe leistet auch das Kommando exportfs. Einhängen exportierter Verzeichnisse Nachdem der NFS-Server eingerichtet ist, werden exportierte (freigegebene) Verzeichnisse wie lokale Datenträger mit dem Kommando mount eingehängt. Im Unterschied zu lokalen Datenträgern ist dabei keine Gerätedatei anzugeben, sondern
13.9 Verteilte Dateisysteme
593
der Name des NFS-Servers, gefolgt von einem Doppelpunkt und dem Namen des exportierten Verzeichnisses auf dem Server. Als Dateisystemtyp ist nfs anzugeben: debian:~# mount -t nfs server:/home /mnt Mit dem Kommando wird das Verzeichnis /home, das sich auf dem Rechner server befindet, in das lokale Verzeichnis /mnt eingehängt. Bei Server und Client darf es sich auch um denselben Rechner handeln. So können Sie den Vorgang testen, wenn Sie nur einen Rechner zur Verfügung haben. Falls das Einhängen fehlschlägt, sollte geprüft werden, ob das Verzeichnis auf dem Server für den Rechner freigegeben ist, der es einhängen soll, und ob auf dem Clientrechner die Unterstützung für NFS-Dateisysteme im Kern vorhanden ist. Zum Einhängen von NFS-Dateisystemen stehen eine Reihe von mountOptionen zur Verfügung, mit denen sich die Geschwindigkeit des Datenaustausches zwischen Client und Server optimieren lässt: • •
• •
• •
nolock Es wird kein File-Locking benutzt. Sie sollten die Option benutzen, wenn der Server kein File-Locking unterstützt. hard Wenn ein Prozess auf eine Datei zugreift, die sich auf dem Server befindet, und der Server nicht verfügbar ist, wird so lange gewartet, bis der Server wieder zur Verfügung steht. Dies kann dazu führen, dass die entsprechende Anwendung so lange hängt, bis sich der Server wieder meldet. intr Ermöglicht es, Programme zu unterbrechen oder zu beenden, die auf einen NFS-Server warten. soft Wenn der Server nicht zur Verfügung steht, wird nach einer Zeit ein Timeout erzeugt und hängenden Anwendungen mitgeteilt, dass die Dateien nicht verfügbar sind. Die meisten Anwendungen können mit dieser Situation nicht umgehen, weshalb es in der Regel besser ist, die Option hard zu verwenden. Die Zeitspanne bis zum Timeout wird mit timeo=Zeit angegeben. block=Bytes Gibt mit Bytes die Blockgröße an. Voreinstellung ist 1024 Bytes. rsize=Bytes Gibt mit Bytes die Puffergröße beim Lesen an. Voreinstellung ist 4096 Bytes. Dasselbe gibt es auch für das Schreiben (wsize).
Mountoptionen werden dem mount-Kommando mit dem Parameter -o übergeben. Zum Einhängen eines Verzeichnisses, das von dem standardmäßigen NFS-Server zur Verfügung gestellt wird, empfiehlt es sich, folgende Kommandozeile zu verwenden: debian:~# mount -t nfs -o nolock,rsize=4096,wsize=4096 fileserver:/home /mnt Damit das Dateisystem beim Hochfahren des Rechners automatisch eingehängt wird, ist es in die Datei /etc/fstab einzutragen: server:/home /homes nfs
defaults,intr 0 0
In dem Beispiel wird das Verzeichnis /home des Servers server in das lokale Verzeichnis /homes eingehängt.
594
13 Dateisysteme
Sicherheitsaspekte Das NFS-Konzept geht davon aus, dass Server und Client sich gegenseitig vertrauen. Von einem Rechner aus, der ein Verzeichnis über NFS einbindet, können alle Dateien in dem entsprechenden Verzeichnis verändert und gelöscht werden. Eine gewisse Sicherheitsvorkehrung gibt es zwar für solche Dateien, die dem Systemverwalter gehören, der Verwalter des Client-Systems kann aber die Benutzer-IDs aller anderen Benutzer annehmen und dann deren Dateien auf dem Server ändern. Die Authentifizierung findet nicht auf dem Server, sondern auf dem Client statt. NFS ist ungeeignet, solchen Rechnern Daten zur Verfügung zu stellen, denen man nicht vertraut. Hier bietet es sich eher an, ein anderes Protokoll wie FTP oder HTTP zu verwenden oder auf Dateisysteme auszuweichen, die von vornherein als verteilte Systeme angelegt sind wie das Andrew File System (OpenAFS, http://www.openafs.org/, bei Debian vertreten) oder dessen Nachfolger Coda (http://coda.cs.cmu.edu/, für Linux unter der GPL erhältlich, nicht bei Debian). In einem kleinen überschaubaren Netz lohnt sich der Aufwand nicht. Wenn ein Clientrechner ein Verzeichnis über NFS mounten will, spricht er das Serverprogramm portmap auf dem Serverrechner an. Dieses Programm lässt sich ebenso wie die durch das Programm tcpd gesicherten Server mit Hilfe der Dateien /etc/hosts.allow und /etc/hosts.deny absichern. Es wird allerdings nicht nur für NFS, sondern auch für andere Dienste (NIS) gebraucht. Trotzdem sollten Sie den Zugriff auf das Programm mit Hilfe der beiden Dateien so weit wie möglich einschränken. Beispielsweise können Sie den Zugriff in der Datei /etc/hosts.deny mit folgender Zeile grundsätzlich verbieten: portmap: ALL und ihn dann in der Datei /etc/hosts.allow für die Rechner in Ihrem Netz wieder erlauben (Netzadresse und -maske sind anzupassen): portmap: 192.168.10.0/255.255.255.0 So wie ein NFS-Server auf die Authentifizierung durch die Clientrechner vertraut, vertrauen die Clientrechner dem Server. Auf einem über NFS eingehängten Verzeichnis können sich Programme befinden, die mit Rootrechten ausgeführt werden (Set-User-ID-Bit gesetzt). Wenn diese Programme auf dem Clientrechner ausgeführt werden, können sie dort alles tun, was sonst nur der Verwalter darf. Mit der mountOption nosuid wird erreicht, dass das Set-User-ID-Bit von Dateien nicht beachtet wird. In jedem Fall sollten Dateisysteme nur von solchen Servern übernommen werden, denen man vertraut. Verschlüsselt wird bei NFS nichts. Es eignet sich für lokale, überschaubare Netze. 13.9.2 Samba – Netzdienste für MS Windows und IBM OS/2 Grundbegriffe Samba ist eine Implementierung des Server Message Block Protocols (SMB). Das ursprünglich von IBM entwickelte Protokoll wird von allen MS-Windows-
13.9 Verteilte Dateisysteme
595
Betriebssystemen und anderen benutzt, um Ressourcen eines Rechners wie Verzeichnisse oder Drucker weiteren Rechnern im Netz zur Verfügung zu stellen. Das Protokoll ist eng mit NetBIOS und NetBEUI (NetBIOS Extended User Interface) verknüpft. Neuerdings wird es von Microsoft in erweiterter Version als Common Internet File System (CIFS) bezeichnet, ist jedoch ebenso wenig wie NFS ein eigenständiges Dateisystem. Mit einfachen Worten: Samba vermittelt in beiden Richtungen zwischen Linux/UNIX und MS Windows. Die Einrichtung und Verwaltung von Samba setzt Kenntnisse aus beiden Welten voraus, ein Benutzer bleibt in seiner Welt. Das Samba-Projekt ist unter http://www.samba.org/ zu erreichen; ein deutscher Spiegel ist http://samba.sernet.de/. Das Debian-Paket samba-doc bringt reichlich Lesestoff mit. Um die zentrale Funktionalität herum gibt es einige weitere Protokolle und Netzdienste wie Benutzerauthentifizierung oder Namensauflösung (WINS – MSWindows Internet Name Service) ähnlich dem DNS. Die zu Samba gehörenden Programme implementieren einen großen Teil der Funktionalität, die von einem MS-Windows-NT-Server oder dessen Nachfolger MS Windows 2000 geleistet wird. Dazu gehört die Bereitstellung von Verzeichnissen und Druckern über das SMBProtokoll, die Authentifizierung von Clientsystemen sowie ein Programm, das WINS zur Verfügung stellt. Ein Samba-Server kann deswegen in vielen Fällen die Aufgaben eines MS-Windows-Servers im Netz übernehmen. Außerdem lässt es sich dazu benutzen, die Drucker eines Linux-basierten Printservers oder die Verzeichnisse eines Linux-Dateiservers auch MS-Windows- oder IBM-OS/2-Rechnern zur Verfügung zu stellen. Tatsächlich wird Linux mit Samba heute in vielen Unternehmen als kostengünstige und stabile Alternative zu MS Windows auf Servern eingesetzt. In einem reinen Linux/UNIX-Netz ist Samba überflüssig, da ist man mit DNS, NFS, NIS und CUPS ausreichend bedient. Die Konzepte in TCP/IP- und MS-Windows-Netzen unterscheiden sich stark, auch wenn in beiden Welten gelegentlich dieselben Wörter (mit unterschiedlichen Bedeutungen) benutzt werden. MS-Windows-Netze sind ursprünglich für die Vernetzung weniger Rechner entwickelt worden. Eine Anbindung des eigenen Netzes an andere Netze wie das Internet war nicht vorgesehen. Außerdem wurde davon ausgegangen, dass sich alle beteiligten Rechner in demselben Netz befinden und SMBPakete nicht über Router weitergeleitet werden müssen, um von einem Rechner zum nächsten zu gelangen. Jeder Rechner in einem MS-Windows-Netz hat einen Namen. Diese Namen sind zu trennen von den DNS-Namen, die in TCP/IP-Netzen benutzt werden. Ein Rechner kann gleichzeitig Knoten eines MS-Windows- und eines TCP/IP-Netzes sein und deswegen einen MS-Windows- und einen TCP/IP-Namen haben, wobei die Namen gleich lauten dürfen, aber nicht müssen. In der Regel ist es sinnvoll, einem Rechner denselben Namen für TCP/IP und MS-Windows zu geben. Innerhalb eines MS-Windows-Netzes werden Arbeitsgruppen (Workgroup) und Domänen unterschieden. Eine Arbeitsgruppe fasst eine Anzahl von Rechnern zusammen, die sich gegenseitig Ressourcen zur Verfügung stellen. Eine Domäne ist eine Arbeitsgruppe mit gemeinsamer Benutzerverwaltung durch einen Server. Im Unterschied zu einer Arbeitsgruppe gibt es in einer Domäne eine Benutzerdatenbank für
596
13 Dateisysteme
den Verbund aus Rechnern und Benutzern. In dieser Datenbank können neben Benutzernamen und Passwörtern auch andere Informationen wie das für einen Benutzer zu verwendende Home-Verzeichnis gespeichert werden. Das Konzept ist mit NIS unter Linux/UNIX vergleichbar. Jeder Rechner, der Knoten eines SMB-Netzes ist, ist einer Arbeitsgruppe oder einer Domäne zugeordnet. Mittlerweile ist das Konzept weiterentwickelt worden. Das SMB-Protokoll ist ein eigenes Netzprotokoll, ebenso wie TCP/IP oder AppleTalk. Um jedoch die oben angesprochenen Schwierigkeiten wie die fehlende Routing-Möglichkeit zu überwinden, wurde eine Abwandlung des Protokolls erdacht, bei der SMB-Pakete per TCP/IP transportiert werden. Diese Form des Protokolls wird als NetBIOS over TCP/IP bezeichnet. Sie ermöglicht die volle Integration von SMB in TCP/IP-Netze. Samba arbeitet ausschließlich mit SMB über TCP/IP. Bei der Einrichtung einiger MS-Windows-Betriebssysteme wird TCP/IP standardmäßig nicht aktiviert, sodass die Unterstützung für dieses Protokoll nachträglich einzurichten ist, wenn der MS-Windows-Rechner einen Samba-Server benutzen soll. Außerdem ist darauf zu achten, dass SMB mit TCP/IP zusammen benutzt wird. Ähnlich wie mit dem Domain Name Service (DNS) steht in MS-WindowsNetzen mit dem Windows Internet Name Service (WINS) ein Mechanismus zur Verfügung, der Rechnernamen in IP-Adressen auflöst. Der Einsatz von WINS macht nur dann Sinn, wenn SMB über TCP/IP benutzt wird. Ob ein WINS-Server benutzt wird und auf welchem Rechner er ausgeführt wird, bestimmt der Verwalter. Innerhalb eines Sub-Netzes sollte es immer nur einen primären WINS-Server geben, daneben können sekundäre WINS-Server eingerichtet werden, welche die Aufgabe des primären Servers übernehmen, falls dieser ausfällt. Im Gegensatz zu DNS werden Rechner dem WINS-Server nicht vom Verwalter bekannt gemacht, sondern melden sich selbst bei diesem an, sobald sie verfügbar sind, und bestätigen in regelmäßigen Zeitabständen ihre Verfügbarkeit. Ein weiterer Unterschied zu DNS besteht darin, dass bei WINS-Namen keine Hierarchien möglich sind, durch die Rechner auch in großen Netzen eindeutig bezeichnet werden können. Analog zur Linux/UNIX-Datei /etc/hosts besteht bei MS-Windows-Netzen die Möglichkeit, Zuordnungen von Rechnernamen und IP-Adressen in der Datei /etc/lmhosts (lm = LAN Manager) zu vermerken. Das Format dieser Datei gleicht weitgehend dem der Datei /etc/hosts. Es ist in der Manualseite zu lmhosts beschrieben. Auf MS-Windows-Rechnern befindet sich die Datei im Windows-Verzeichnis. Dort liegt normalerweise auch eine Datei mit dem Namen lmhosts.sam, in der das Format der Datei beschrieben ist. Der Einsatz dieser Dateien ist dann sinnvoll, wenn kein WINS benutzt wird und sich Rechner der Arbeitsgruppe außerhalb des eigenen Subnetzes befinden. Rechner innerhalb eines Subnetzes können über ein drittes Verfahren, das Broadcasting, ausfindig gemacht werden. Bei diesem Verfahren wird einfach jeder Rechner im Netz gefragt, ob er den gesuchten Namen hat, was in den unendlichen Weiten des Internets problematisch wäre. Eine weitere Besonderheit des SMB-Protokolls ist das Browsing. Darunter wird die Fähigkeit von Clientrechnern verstanden, die im Netz beziehungsweise in der Arbeitsgruppe vorhandenen Rechner sowie alle von diesen Rechnern zur Verfügung gestellten Ressourcen anzuzeigen. Unter MS Windows 95/98 wird die Liste verfüg-
13.9 Verteilte Dateisysteme
597
barer Rechner und Ressourcen durch Doppelklick auf das Icon Netzwerkumgebung angezeigt. Das MS-Windows-Konzept geht davon aus, dass Rechner laufend ausfallen oder hinzukommen. Die Folge ist, dass die Liste verfügbarer Rechner sich ständig ändert und aktualisiert werden muss. Aus diesem Grund wird auf einem Rechner eine Browse List gepflegt, die andere Rechner abfragen. Welcher Rechner die Browse List besitzt, wird unter den Rechnern im Netz ausgehandelt. Der entsprechende Rechner wird als Local Master Browser bezeichnet. In MS-Windows-Netzen, die sich über mehrere Subnetze erstrecken, gibt es in jedem Subnetz einen eigenen Local Master Browser, von denen einer als Domain Master Browser arbeitet und die übrigen Master Browser synchronisiert. Die Schwierigkeit der Konfiguration von Samba schwankt von einfach bis komplex, je nachdem für welchen Zweck das System konfiguriert wird. Vor der Konfiguration ist auf jeden Fall zu klären, ob bei der Anmeldung verschlüsselte Passwörter benutzt werden sollen oder nicht. Ältere Versionen von MS Windows (Windows 3.11, 95 und NT 3.51) versenden Passwörter unverschlüsselt, was unsicher ist, sich aber einfacher mit Samba vereinbaren lässt. Neuere MS-Windows Versionen (Windows 98, NT 4 ab Service Pack 3 und 2000) versenden Passwörter verschlüsselt. Dieses Verfahren ist sicherer. Allerdings ist es nicht möglich, die verschlüsselten Passwörter anhand der Linux-Passwortdatenbank in /etc/passwd oder /etc/shadow zu überprüfen, weil MS-Windows und Linux/UNIX unterschiedliche Verfahren zur Verschlüsselung benutzen und bei beiden Verfahren nicht auf das unverschlüsselte Passwort zurückgeschlossen werden kann. Zur Lösung des Problems gibt es zwei Wege: Zum einen können MS-Windows-Systeme durch Ändern eines Schlüssels in der MS-Windows-Registry dazu gebracht werden, unverschlüsselte Passwörter zu verwenden, zum anderen kann Samba eine zweite Passwortdatenbank verwalten, in der die verschlüsselten MS-Windows-Passwörter gespeichert werden. Das zweite Verfahren ist sicherer, aber mit höherem Aufwand verbunden, weil es erfordert, dass Linux/UNIX- und MS-Windows-Passwörter von Hand abgeglichen werden. Dieses Verfahren muss gewählt werden, wenn Samba als Primary Domain Controller für MS-Windows-NT-Clients eingesetzt wird. Unter MS-Windows wird nicht zwischen Groß- und Kleinschreibung bei Dateiund Verzeichnisnamen unterschieden. Unter MS-Windows bezeichnen die Dateinamen README.TXT, Readme.txt und readme.txt dieselbe Datei, während unter Linux/UNIX drei verschiedene Dateien gemeint sind. Der Samba-Server muss aus diesem Grund entscheiden, welche Datei er einem MS-Windows-Client liefert, wenn es aufgrund des Namens mehrere Möglichkeiten gibt. Noch schwieriger wird es, wenn ein MS-Windows-Rechner zunächst eine Datei mit dem Namen README.TXT anlegt und dann die Datei readme.txt öffnet. Er erwartet, die Datei zu öffnen, die er zuvor angelegt hat. Weitere Schwierigkeiten ergeben sich daraus, dass einige MS-Windows- und DOS-Versionen nur Dateinamen erlauben, die aus acht Zeichen und einer drei Zeichen langen Erweiterung bestehen (8.3-Namen). Linux/UNIX beherrscht seit vielen Jahren fast beliebig aufgebaute Dateinamen von maximal 255 Zeichen Länge, siehe Abschnitt 2.8 Dateien und Verzeichnisse auf Seite 115.
598
13 Dateisysteme
DOS-basierte MS-Windows-Versionen kennen kein Benutzerkonzept. Alle Dateien und Programme gehören demjenigen, der mit dem System arbeitet. Dieser Benutzer und alle von ihm ausgeführten Programme haben die volle Gewalt über das System. Dieses Sicherheitsloch wird mit Samba nicht auf Linux/UNIX-Rechner ausgedehnt; vielmehr führt Samba jeden Zugriff auf freigegebene Ressourcen mit den Berechtigungen eines bestimmten Benutzers durch, wobei es abhängig von der Anmeldung durch den MS-Windows-Rechner ist, welches Benutzerkonto hierzu verwendet wird. Unter Umständen kann auf bestimmte Dateien, die sich in freigegebenen Verzeichnissen befinden, nicht zugegriffen werden, weil die Berechtigungen auf dem Samba-Server dazu nicht ausreichen. Ein SMB-Dateisystem im Userspace, also als Anwendung eines gewöhnlichen Benutzers, bringt smbnetfs mit, zur Zeit allerdings erst in Debian testing. Sein Heimathafen ist http://sourceforge.net/projects/smbnetfs/. Damit lässt sich ähnlich arbeiten wie mit der Network Neighbourhood von MS Windows. Das Konzept von Dateisystemen im Userspace behandeln wir in Abschnitt 13.2.6 User-Dateisysteme auf Seite 573. Einrichtung Das Samba-System ist auf folgende Debian-Pakete aufgeteilt: • • •
• • •
samba-common Dateien und Verzeichnisse, die von allen Samba-Programmen benötigt werden. samba Server-Programme, die benötigt werden, wenn der Rechner als Server für MS-Windows-, DOS oder IBM-OS/2-Rechner eingesetzt wird. smbclient Einige Clientprogramme, mit denen auf freigegebene Drucker und Verzeichnisse zugegriffen wird, die sich auf anderen MS-Windows- oder SambaRechnern befinden. Die Programme werden benötigt, um auf einen Drucker zu drucken, der an einen MS-Windows-Rechner angeschlossen ist, oder um Daten von einem MS-Windows-Rechner auf den eigenen Rechner zu kopieren. samba-doc Dokumentation zu Samba. smbfs Programme, mit denen sich von MS-Windows-Rechnern freigegebene Verzeichnisse in das Dateisystem des eigenen Rechners einhängen lassen. swat Samba Web Administration Tool (SWAT), ein Werkzeug, mit dem der Samba-Server über einen Web-Browser verwaltet werden kann. SWAT bringt einen eigenen Webserver mit (benötigt keinen Apachen) und lauscht auf Port 901.
Wenn Sie nur den Server brauchen, reicht es für den Anfang aus, die Pakete samba und samba-common einzurichten. Für einen Client reichen smbclient und sambacommon. Der Verwalter braucht samba-doc oder samba-doc-pdf, swat ist zu empfehlen. Daneben finden sich bei Debian weitere Werkzeuge, die man erst bei Bedarf einrichtet. Ihre Paketnamen oder -beschreibungen enthalten entweder die Zeichenkette samba oder smb. Abbildung 13.4 zeigt die grafische Oberfläche TKSmb zu Werkzeugen aus dem Paket smbclient. Es gibt auch curses-basierte SMB-Browser.
13.9 Verteilte Dateisysteme
599
Abb. 13.4: Screenshot der grafischen Oberfläche TKSmb zu Werkzeugen aus dem Paket smbclient, ein grafischer SMB Network Browser
Während der Einrichtung von Samba sind einige Fragen zu beantworten. Dabei ist anzugeben, ob Samba als eigenständiger Server-Prozess ausgeführt werden soll oder ob die Prozesse bei Bedarf durch den inetd gestartet werden sollen. Ein eigenständiger Server bietet den Vorteil, dass Samba bei eingehenden Verbindungen schneller reagiert. Auf der anderen Seite lassen sich durch die Verwendung des inetd Systemressourcen einsparen, wenn Samba nur selten benutzt wird. Außerdem ist es mit dem inetd-Verfahren möglich, den Zugriff auf den Samba-Server durch tcpd abzusichern. Wenn der Rechner nicht in erster Linie als Hochleistungsserver für MS-Windows-Netze eingerichtet werden soll, empfiehlt sich die inetdMethode. Sie können die Auswahl jederzeit mit dem Programm sambaconfig ändern. Danach ist anzugeben, ob eine Passwortdatei für die verschlüsselten Passwörter erzeugt werden soll. Die Datei wird benötigt, wenn Clientrechner dem Server verschlüsselte Passwörter senden. Wenn Sie die entsprechende Frage mit Y beantworten, wird die Datei mit jeweils einem Eintrag für jeden Benutzer, der in der Datei /etc/passwd eingetragen ist, erzeugt. Die Passwörter sind in der neuen Datei jedoch noch nicht enthalten, weil diese – wie erwähnt – nicht aus der Information in einer der Dateien /etc/passwd oder /etc/shadow erzeugt werden können. Im Allgemeinen ist die Verwendung verschlüsselter Passwörter und deswegen auch die Erzeugung der Passwortdatei zu empfehlen. Die Samba-Passwörter werden in der Datei /etc/samba/smbpassword gespeichert. Wenn Sie die Datei später von Hand erzeugen möchten, geben Sie folgendes Kommando ein:
600
13 Dateisysteme
debian:~# cat /etc/passwd | /usr/sbin/mksmbpasswd > /etc/samba/smbpasswd Eine eventuell vorhandene Version der Samba-Passwort-Datei wird dabei überschrieben. Sollten Sie ausgewählt haben, Samba als eigenständigen Server zu fahren, werden Sie zum Schluss gefragt, ob Samba nun gestartet werden soll. Wenn Sie die inetd-Methode gewählt haben, brauchen die Programme nicht eigens gestartet werden, sie werden bei Bedarf durch inetd aufgerufen. Konfiguration von Samba Die zentrale Konfigurationsdatei für Samba ist /etc/samba/smb.conf. Die Datei kann wie üblich mit einem Texteditor bearbeitet werden, aber mit dem WebWerkzeug SWAT geht es einfacher. In der Datei befinden sich verschiedene Abschnitte, die jeweils mit dem Namen des entsprechenden Abschnittes in eckigen Klammern beginnen und darunter bestimmte Parameterbezeichnungen enthalten, denen nach einem Gleichheitszeichen Werte zugewiesen werden. Parameter und Wertzuweisung befinden sich gemeinsam in einer Zeile. Zeilen, die mit einem Semikolon oder einem Doppelkreuz beginnen, sowie leere Zeilen dienen zur Kommentierung und Strukturierung der Datei und werden nicht beachtet. In dem Abschnitt [global] werden globale Einstellungen von Samba vorgenommen. Die anderen Abschnitte enthalten Einstellungen für einzelne Ressourcen wie Verzeichnisse oder Drucker, die den Clientrechnern zur Verfügung gestellt werden. Zwei besondere Ressourcen sind [homes] und [printers]. Mit [homes] werden die Home-Verzeichnisse der auf dem Server bekannten Benutzer verfügbar gemacht. Diese Ressource entspricht immer dem Home-Verzeichnis, das dem Benutzer zugeordnet ist, der sich von einem Clientrechner aus anmeldet. Die Ressource [printers] entspricht allen auf dem System bekannten Druckern, also den Druckern, die in der Datei /etc/printcap definiert sind. In der Konfigurationsdatei ist es an vielen Stellen möglich, Platzhalter zu verwenden, die zur Laufzeit des Servers durch Werte ersetzt werden. Die Platzhalter bestehen aus einem Prozentzeichen und einem Buchstaben. Die wichtigsten sind: • • • • • • • • • • •
%a Architektur des Clientsystems (Samba, Win. . . ), %I IP-Adresse des Clients, %m NetBIOS-Name des Clients, %M DNS-Name des Clients, %u Benutzername des Linux/UNIX-Kontos, mit dem eine Operation (Zugriff) durchgeführt wird, %U Benutzername, mit dem ein Client eine Operation durchführt, %P Wurzelverzeichnis der Ressource, mit der eine Operation durchgeführt wird, %S Name der Ressource, mit der eine Operation durchgeführt wird, %h DNS-Name des Servers, %L NetBIOS-Name des Servers, %v Samba-Version,
13.9 Verteilte Dateisysteme
•
601
%T Uhrzeit und Datum.
Durch Verwendung des Platzhalters %m können so unterschiedliche Logdateien für verschiedene Clients benutzt werden: log file = /var/log/samba.%m Wenn Samba mit dieser Konfigurationsanweisung ausgeführt wird und ein Ereignis oder eine Aktion protokolliert werden soll, wird zunächst geprüft, wie der NetBIOSName des Rechners lautet, der die zu protokollierende Aktion angefordert hat. Die Zeichenkette %m wird dann durch den Namen ersetzt, sodass das Ereignis in einer Datei protokolliert wird, deren Name beispielsweise /var/log/samba.pcjoe lautet. Die wichtigsten globalen Variablen und Optionen von Samba sind: •
•
• •
•
•
printing = Typ Definiert, wie die Programme zur Steuerung von Druckern aufgerufen werden. Dies hängt davon ab, welches Drucksystem eingerichtet ist. Geben Sie für Typ cups an, wenn Sie das Common UNIX Printing System (CUPS) benutzen. printcap name = Dateiname Gibt mit Dateiname an, wo sich die Datenbank verfügbarer Drucker befindet. Normalerweise ist dies die Datei /etc/printcap, aber auch cups ist möglich. load printers = yes|no Bestimmt, ob alle vorhandenen Drucker automatisch geladen und Clientsystemen verfügbar gemacht werden sollen. guest account = Benutzername Gibt mit Benutzername an, welches Benutzerkonto verwendet wird, wenn eine Anmeldung unter dem Benutzernamen Guest erfolgt. invalid users = Benutzer [Benutzer ...] Bestimmt, mit welchen Benutzernamen kein Zugriff auf den Server erfolgen darf. Hier sollte root angegeben werden, damit von den Clients aus nicht mit Root-Rechten auf den Server zugegriffen werden kann. security = user | share | server | domain | ADS Dies ist eine der wichtigsten Variablen in der Konfigurationsdatei. In MS-WindowsNetzen wird zwischen zwei Modi zur Authentifizierung beim Zugriff auf eine Ressource unterschieden. Im share-Modus wird jeder Ressource ein Passwort zugeordnet, und jeder Benutzer oder jeder Rechner, der das Passwort kennt, kann die Ressource benutzen. Im user-Modus kann für jede Ressource festgelegt werden, welche Benutzer auf sie zugreifen dürfen, wobei jeder Benutzer ein eigenes Passwort hat. Der share-Modus wird von Samba zwar unterstützt, passt jedoch schlecht in Linux/UNIX-Umgebungen, wo für jeden Zugriff auf eine Ressource und für die Ausführung jedes Programms ein Benutzerkonto verlangt wird. Wenn Samba im share-Modus betrieben wird, wird ein Algorithmus benutzt, mit dem ein Zugriff (bei dem ja kein Benutzername angegeben werden muss) einem gültigen Benutzerkonto auf dem Samba-Server zugeordnet wird. Im Allgemeinen ist die Verwendung des user-Modus zu empfehlen. Clientrechner müssen in diesem Modus angeben, mit welchem Benutzernamen ein Zugriff stattfinden soll, sodass Samba die Möglichkeit hat, das Benutzerkonto auf dem Linux/UNIX/Linux-Rechner für den Zugriff zu verwenden.
602
• •
• •
13 Dateisysteme
Der user-Modus wird von allen neueren SMB-Clients (ab MS-Windows 95 und NT 3.51) unterstützt. Bei den Modi server und domain handelt es sich um zwei besondere Formen des user-Modus. Im server-Modus wird ein anderer MS-Windows-NT- oder Samba-Rechner benutzt, um die Authentifizierung vorzunehmen. Bei einem Zugriff werden Benutzername und Passwort von dem Client entgegengenommen und an einen anderen Server weitergereicht. Wenn der zweite Server die Auskunft erteilt, dass Benutzername und Passwort zusammenpassen, wird der Zugriff auf die Ressource gestattet. Dabei wird immer noch ein Linux/UNIX-Benutzerkonto auf dem Samba-Server benötigt. Der Passwort-Server wird mit dem Schlüsselwort password server = Servername angegeben, wobei Servername durch den SMB-Namen des Rechners zu ersetzen ist. Im domain-Modus verhält sich Samba wie ein Mitglied einer MS-Windows-Domäne. Zur Authentifizierung führt es eine Abfrage am Domänen-Controller durch, der dem Samba-Server mitteilt, ob Benutzername und Passwort übereinstimmen, und der weitere Informationen über das Benutzerkonto verfügbar hält. Ein einmal am Domänen-Controller authentifizierter Benutzer kann dann auf alle Ressourcen zugreifen, die für diesen Benutzer innerhalb der Domäne angeboten werden. Der domain-Modus eignet sich für solche Samba-Server, die innerhalb von MS-Windows-Domänen eingesetzt werden, die von NT-Servern aus verwaltet werden. Damit ein SambaServer Mitglied einer Domäne sein kann, muss er auf dem Domänen-Controller eingetragen worden sein. Hinweise zur Einrichtung von Samba in einer Domäne finden Sie in der Datei /usr/share/doc/samba-doc/textdocs/ DOMAIN_MEMBER.txt.gz aus dem Paket samba-doc. Auch im DomänenModus ist es erforderlich, Benutzerkonten auf dem Samba-Server zu führen, die den Benutzernamen entsprechen, mit denen Zugriffe durchgeführt werden. Im ADS-Modus ist der Server Mitglied einer Gruppe, die über den Active-DirectoryDienst von MS Windows verwaltet wird (ADS realm). Wenn Sie sich nicht sicher sind, welcher der richtige Modus ist, sollten Sie security = user verwenden. workgroup = NAME Hiermit wird der Name der Arbeitsgruppe oder der Domäne angegeben, deren Mitglied der Samba-Server sein soll. netbios name = NAME Hiermit wird der NetBIOS-Name des SambaServers festgelegt. Vorgegeben wird für NAME der DNS-Name des Rechners, was sinnvoll ist, da unterschiedliche MS-Windows- und TCP/IP-Namen unnötig sind. server string = Zeichenkette Hiermit wird angegeben, welche Beschreibung des Samba-Servers auf anderen Rechnern angezeigt werden soll. encrypt passwords = yes|no Bestimmt, ob der Samba-Server verschlüsselte Passwörter unterstützt. Samba pflegt bei der Verwendung verschlüsselter Passwörter eine eigene Passwortdatei in /etc/samba/smbpasswd, die mit dem Programm smbpasswd bearbeitet wird. Wenn Sie mit verschlüsselten Passwörtern arbeiten, können ältere Clients, die mit unverschlüsselten Passwörtern arbeiten, weiterhin auf den Samba-Server zugreifen.
13.9 Verteilte Dateisysteme
•
•
•
•
•
•
•
•
603
update encrypted = yes|no Wenn die Clients teils verschlüsselte, teils unverschlüsselte Passwörter verwenden, wird mit dieser Variablen bestimmt, dass das verschlüsselte Passwort eines Benutzers automatisch erzeugt werden soll, wenn er sich mit einem unverschlüsselten Passwort von einem anderen Rechner aus anmeldet. Bei der Migration von unverschlüsselten zu verschlüsselten Passwörtern wird so vermieden, dass für jeden Benutzer von Hand ein verschlüsseltes Passwort angelegt werden muss. wins support = yes|no Die Variable bestimmt, ob der Server als WINSServer arbeiten soll. Wenn Sie in Ihrem MS-Windows-Netz bereits einen WINSServer haben, gebe Sie hier no an. wins server = IP-Adresse|Rechnername Wenn ein anderer WINSServer benutzt werden soll, ist hier mit IP-Adresse die IP-Adresse oder mit Rechnername der DNS-Name des Rechners anzugeben, der den WINS-Server zur Verfügung stellt. Wenn der Samba-Server selbst den WINS-Server bereitstellt, ist die Direktive nicht zu verwenden. domain master = yes|no Gibt an, ob der Server als domain master browser arbeiten soll. Innerhalb einer Arbeitsgruppe oder Domäne darf es nur einen domain master browser geben. Wenn Sie den Server innerhalb einer Domäne einrichten, die von einem PDC kontrolliert wird, sollten Sie den PDC und nicht den Samba-Server als domain master browser verwenden. local master = yes|no Gibt an, ob der Server als local master browser, als Verwalter der browse list innerhalb eines Subnetzes, dienen soll. Der domain master browser sollte in der Regel auch als local master browser eingesetzt werden. preferred master = yes|no Hiermit wird angegeben, ob der Server sich nach seinem Start darum bewerben soll, local master browser zu werden. Die Variable muss auf yes gesetzt werden, wenn der Rechner als local master browser eingesetzt wird. Allerdings sollten sich innerhalb eines Subnetzes nicht allzuviele Rechner um den Posten bewerben, weil sonst eine unnötige Last durch wiederholte Aushandlungen erzeugt wird. os level = Zahl Gibt mit Zahl an, als welche MS-Windows-Version der Samba-Server sich ausgeben soll. Die MS-Windows-Versionsnummer ist bei der Aushandlung, welcher Rechner Verwalter der browse list sein soll, bedeutsam. Der Wert 33 entspricht einem MS-Windows-NT-Server. Mit dem Wert 65 wird sichergestellt, dass der Rechner jede Wahl gewinnt. name resolve order = Methode [Methode ...] Hiermit wird die Reihenfolge von Verfahren festgelegt, mit denen MS-Windows-Namen (NetBIOS-Namen) in IP-Adressen aufgelöst werden. Für Methode sind folgende Schlüsselwörter verwendbar: – lmhosts Bei diesem Verfahren werden die IP-Adressen in der Datei /etc/lmhosts nachgeschlagen. – host Die Namen werden wie DNS-Namen behandelt und nach dem Verfahren, wie es durch die Datei /etc/nsswitch.conf festgelegt ist, aufgelöst. Das heißt in der Regel, dass zunächst in der Datei /etc/hosts
604
•
• •
•
• •
•
13 Dateisysteme
nachgesehen und danach eine DNS-Abfrage durchgeführt wird. Dieser Weg ist nur dann sinnvoll, wenn NetBIOS-(SMB-)Namen und DNS-Namen übereinstimmen. – wins Es wird der mit wins server angegebene WINS-Server benutzt. – bcast Um einen Namen aufzulösen, wird ein Broadcast losgelassen. Mit dem Verfahren können nur Namen im eigenen Subnetz aufgelöst werden. lm announce true|false|auto Mit der Variablen wird bestimmt, ob Samba sich selbst regelmäßig bei IBM-OS/2-Rechnern bekannt macht. Dies ist notwendig, damit Samba-Server in der browse list von IBM-OS/2Rechnern erscheinen. Der Wert auto bestimmt, dass Samba beobachtet, ob andere Rechner im Netz dieses Verhalten zeigen und es ebenfalls tut, wenn es solche Rechner gibt. dns proxy = yes|no Wenn der Server als WINS-Server arbeitet, kann er Rechnernamen, die ihm noch nicht bekannt sind, durch DNS-Abfragen auflösen. case sensitive = yes|no Bestimmt, ob Samba zwischen Groß- und Kleinschreibung bei Dateinamen unterscheidet. Wenn case sensitive = no gesetzt ist, kann Samba die Datei text.doc an einen Client liefern, der die Datei TEXT.doc angefordert hat. Dieses Verhalten ist von allen MS-WindowsBetriebssystemen gewünscht. preserve case = yes|no Bestimmt, ob die Groß- und Kleinschreibung von Dateinamen beibehalten werden soll. Dies führt dazu, dass eine Datei, die von einem MS-Windows-Rechner aus auf dem Samba-Server beispielsweise unter dem Namen Text.doc gespeichert wird, nicht als TEXT.DOC gespeichert wird. Trotzdem wird die Datei Text.doc geöffnet, falls der MS-WindowsRechner später auf die Datei unter dem Namen TEXT.DOC zugreift. short preserve case = yes|no Die Variable entspricht der vorgenannten mit dem Unterschied, dass sie sich auf kurze Dateinamen (8.3) bezieht. unix password sync = true|false Wenn von einem Client aus ein Passwort geändert wird, wird bei Verwendung verschlüsselter Passwörter standardmäßig nur das Passwort in der Datei /etc/samba/smbpassword geändert. Die Folge ist, dass es danach vermutlich zwei unterschiedliche Passwörter für denselben Benutzer gibt, nämlich eines zum Zugriff von MS-WindowsRechnern aus und eines zur direkten Linux/UNIX-Anmeldung an dem Server. Wenn dieser Parameter auf true oder yes gesetzt wird, wird während der Änderung eines Passworts ein externes Programm aufgerufen, mit dem das Linux/UNIX-Passwort zu dem entsprechenden Konto ebenfalls geändert wird. Welches Programm zur Änderung des Linux/UNIX-Passwortes aufgerufen wird und wie es aufgerufen wird, lässt sich mit den beiden Anweisungen passwd program und passwd chat angeben. Die Werte hierfür müssen angepasst werden, wenn zur Linux/UNIX-Benutzerauthentifizierung NIS benutzt wird. Umgekehrt wird bei Änderung des Linux/UNIX-Passworts das MS-Windowsbzw. Samba-Passwort nicht geändert. max log size = Zahl Hiermit wird mit Zahl in Kilobyte angegeben, welche Größe die Logdateien in /var/log/smb und /var/log/nmb erreichen dürfen, bevor sie gesichert und durch eine neue Datei ersetzt werden.
13.9 Verteilte Dateisysteme
•
• •
605
debug level = Zahl Gibt mit Zahl an, welche Meldungen von Samba in den Log-Dateien mitgeschrieben werden. Je höher die Zahl, desto mehr Meldungen werden erfasst. Meist wird empfohlen, den Wert 0 oder 1 zu verwenden, jedoch einen höheren Wert, wenn ein Problem untersucht wird. log file = Dateiname Gibt den Namen der Protokoll-Datei an. hosts allow = IP-Nummer|DNS-Name [IP-Nummer|DNS-Name ...] Mit der Variablen kann einer Gruppe von Rechnern das Recht zum Zugriff auf den Samba-Server erteilt werden. Standardmäßig dürfen alle Rechner auf den Server zugreifen. Rechner können durch ihre DNS-Namen oder durch ihre IP-Adressen benannt werden. Außerdem ist es möglich, Gruppen von Rechnern durch die Angabe von Subnetzen wie 134.102.100. oder durch die Angabe von DNS-Domänennamen wie .example.de anzugeben. Zusätzlich sind die Schlüsselwörter ALL und EXCEPT erlaubt. Beispiel: hosts allow = ALL EXCEPT 192.168.10.
•
•
•
•
Es sollte möglich sein, von dem lokalen Rechner aus auf den Samba-Server zuzugreifen. Unter Umständen ist localhost in die Liste mit aufzunehmen. Sie können diesen Zugriff besser über die Dateien /etc/hosts.allow und /etc/hosts.deny kontrollieren, falls Sie Samba über inetd starten. hosts deny = IP-Nummer|DNS-Name [IP-Nummer|DNS-Name ...] Mit der Variablen wird bestimmten Rechnern der Zugriff auf den Server verwehrt. Rechnernamen werden auf die gleiche Weise angegeben wie bei der Variablen hosts allow. interfaces = IP-Adresse/Netzmaske|interface [...] Hiermit wird bestimmt, welche Netzinterfaces Samba zur Kommunikation von browse lists, Namensregistrierung u. a. benutzt. Als Vorgabe werden alle im System vorhandenen und broadcastfähigen Interfaces benutzt mit Ausnahme des Loopback-Interfaces. Wenn ein Rechner mit mehreren Subnetzen verbunden ist und der Samba-Server nur in einigen dieser Subnetze zur Verfügung stehen soll, ist es sinnvoll, diese Option zu benutzen. Interfaces werden durch ihren Namen (eth0, ippp0) oder durch ein IP-Adresse-Netzmaske-Paar (192.168.10.0/255.255.255.0) angegeben. bind interfaces only = yes|no Wenn die Variable auf yes gesetzt wird, beantwortet Samba nur Anfragen, die über die mit der Variablen interfaces bezeichneten Interfaces eingehen. Im Allgemeinen ist dieses Verhalten nicht erwünscht. Falls Sie bind interfaces only = yes verwenden, sollten Sie das Interface lo der Interfaceliste (Variable interfaces) hinzufügen, damit lokal auf den Server zugegriffen werden kann. domain logons = yes|no Wenn der Parameter mit dem Wert yes benutzt wird, kann der Samba-Server Netzanmeldungen von MS-Windows-Rechnern verwalten. Er kann dann die Benutzerprofile von solchen Rechnern speichern und Skripte (Batch-Dateien) aufbewahren, die nach der Anmeldung eines Benutzers an einem MS-Windows-Rechner dort ausgeführt werden. Damit stellt Samba den Clients einen wesentlichen Teil der Funktionalität zur Verfügung,
606
13 Dateisysteme
die Aufgabe eines Primary Domain Controllers ist. Mehr Informationen über die Einrichtung eines Logon-Servers finden Sie in der Datei /usr/share/doc/ samba-doc/textdocs/DOMAIN.txt.gz, falls Sie das Paket samba-doc eingerichtet haben. Wenn Sie Samba nur einsetzen, um Dateien oder Drucker zur Verfügung zu stellen, brauchen sie die Variable nicht zu verwenden. Ressourcen wie Drucker oder Verzeichnisse, die von anderen Rechnern aus benutzt werden sollen, werden ebenfalls in der Datei /etc/samba/smb.conf festgelegt. Für jede Ressource ist ein eigener Abschnitt anzulegen, der den Namen der Ressource trägt, z. B. [Daten]. Um Verwechslungen zu vermeiden, sollten keine Ressourcen definiert werden, die Benutzernamen tragen. Für die Definition einer Ressource sind folgende Variablen und Optionen von besonderer Bedeutung: •
•
• •
•
•
• •
•
•
path = Verzeichnis Gibt den Namen des Verzeichnisses an, welches das Wurzelverzeichnis der Ressource ist. Die Variable muss bei allen Ressourcen mit Ausnahme von [homes] gesetzt werden. Bei Druckern wird hiermit das Verzeichnis angegeben, in dem Druckdateien gespoolt werden. browsable = yes|no Bestimmt, ob die Ressource auf Clients als verfügbar angezeigt wird. Bei browsable = no wird die Ressource nicht angezeigt. Sie kann nur benutzt werden, wenn ihr Name ausdrücklich angegeben wird (mit einem net use-Kommando unter MS-Windows). comment = Kommentar Gibt mit Kommentar eine Beschreibung der Ressource an. guest ok = yes|no Gibt an, ob die Ressource ohne Passwort benutzt werden darf. Der Zugriff auf die Ressource erfolgt dann mit dem Benutzerkonto, das mit der Anweisung guest account festgelegt wurde. guest account = Benutzername Gibt den Namen des Benutzers an, mit dessen Konto auf die Ressource zugegriffen wird, wenn sie als Gast ohne Passwort benutzt wird. Die Variable überschreibt die allgemeine Einstellung durch guest account im globalen Teil der Konfigurationsdatei für die betreffende Ressource. log level = Zahl Der Parameter hat die gleiche Bedeutung wie im Abschnitt [global]. Hier bezieht er sich nur auf zu protokollierende Meldungen bezüglich der Ressource. Dadurch ist es einfacher, Probleme im Zusammenhang mit einer Ressource zu untersuchen. read only = yes|no Bestimmt, ob auf die Ressource auch schreibend zugegriffen werden darf. hosts allow = IP-Nummer|DNS-Name [IP-Nummer|DNS-Name ...] Die Anweisung hat die gleiche Bedeutung wie im globalen Abschnitt mit dem Unterschied, dass sie nur für die Ressource gilt. hosts deny = IP-Nummer|DNS-Name [IP-Nummer|DNS-Name ...] Die Anweisung hat die gleiche Bedeutung wie im globalen Abschnitt mit dem Unterschied, dass sie nur f:ur die Ressource gilt. create mask = Maske Legt mit Maske fest, mit welchen Rechten Dateien erzeugt werden. Bei Maske handelt es sich um eine vierstellige Oktalzahl, mit
13.9 Verteilte Dateisysteme
•
•
•
•
•
607
welcher die Dateiattribute (Rechte des Besitzers, der Gruppe sowie die Rechte der anderen Benutzer) beschrieben werden. Der Aufbau solcher Zahlen ist in Abschnitt 2.8.3 Ändern von Dateiattributen auf Seite 124 beschrieben. Die Maske beschreibt direkt die Zugriffsrechte, nicht deren oktales Komplement. directory mask = Maske Die Anweisung hat die gleiche Bedeutung wie create mask mit dem Unterschied, dass sie sich auf zu erzeugende Verzeichnisse bezieht. available = yes|no Bestimmt, ob die Ressource zur Verfügung steht. Mit available = no lassen sich Ressourcen sperren, ohne sie aus der Konfigurationsdatei zu löschen. volume = Zeichenkette Hiermit wird die von DOS-/MS-Windowsbasierten Betriebssystemen benutzte Laufwerksbezeichnung emuliert. Dies ist beispielsweise dann nützlich, wenn eine CD/DVD mit Samba zur Verfügung gestellt wird und darauf befindliche Programme nur funktionieren, wenn die CD/DVD eine bestimmte Laufwerksbezeichnung trägt. printable = yes|no Hiermit wird bestimmt, ob die Ressource zum Drucken benutzt werden kann. Drucker sollten printable = yes und read only = yes gesetzt haben. printer name = Name Gibt den Namen des Linux/UNIX-Druckers an, der mit der Ressource zur Verfügung gestellt wird. Der Namen muss in der Datei /etc/printcap oder in CUPS definiert sein. Der Eintrag braucht in der Ressource [printers] nicht vorhanden zu sein, weil die Ressource alle in /etc/printcap definierten Drucker zur Verfügung stellt.
Hier ein Beispiel für die Freigabe eines Verzeichnisses. Das Verzeichnis muss vorhanden sein. Wenn Benutzer in diesem Verzeichnis Daten lesen, ablegen oder ändern wollen, muss das Verzeichnis mit den entsprechenden Rechten ausgestattet sein. [DATEN] path = /home/daten comment = Gemeinsame Dateien fuer alle Mitarbeiter browsable = yes read-only = no create mask = 0775 directory mask = 0775 Und ein Beispiel für die Freigabe eines Druckers. Temporäre Dateien werden im Beispiel im Verzeichnis /tmp zwischengespeichert: [LASERJET] path = /tmp comment= Laserjet im Erdgeschoss, Raum 70 printable = yes read-only = yes browsable = yes guest ok = yes create mask = 0700
608
13 Dateisysteme
Im Paket samba ist das Programm testparm enthalten, das die Konfigurationsdatei /etc/samba/smb.conf auf syntaktische Korrektheit überprüft und die Konfiguration ausgibt. Die Ausgabe enthält auch solche Konfigurationsanweisungen, die in /etc/samba/smb.conf nicht genannt sind. Es kann die vollständige Konfiguration geprüft und festgestellt werden, welche Werte Samba als Vorgabe für bestimmte Variablen und Anweisungen verwendet. Wie bei den meisten Serverprogrammen ist es auch bei Samba notwendig, dem Programm mitzuteilen, dass sich Konfigurationsdateien geändert haben. Falls Sie Samba als eigenständigen Serverprozess ausführen, geschieht dies durch Eingabe des Kommandos: debian:~# /etc/init.d/samba restart Falls Sie Samba über inetd starten, reicht es aus, die gerade ausgeführten SambaProzesse zu beenden. Der inetd startet Samba neu, sobald es erforderlich ist. Zum Beenden aller Samba-Prozesse geben Sie folgendes Kommando ein: debian:~# killall nmbd smbd Wie bereits angesprochen pflegt Samba eine eigene Passwortdatei, wenn mit verschlüsselten Passwörtern gearbeitet wird, sofern die Variable encrypted passwords auf yes gesetzt ist. Während der Einrichtung des Paketes kann eine Passwortdatei erzeugt werden, in der Einträge für alle Benutzer des Systems vorhanden sind, die Passwörter aber noch fehlen. Alle Benutzerkonten sind deswegen für den Zugriff über Samba gesperrt. Die Passwörter müssen vom Verwalter von Hand mit dem Kommando smbpasswd in die Datei eingetragen werden. Dazu ist dem Kommando der Name des Benutzers als Argument mitzugeben. Nach Erfolg sollte es möglich sein, das Home-Verzeichnis des Benutzers von einem anderen Rechner in der Domäne aus einzuhängen. Wenn dem System neue Benutzer hinzugefügt worden sind und diese ebenfalls in die Datei /etc/smbpasswd aufgenommen werden sollen, erfolgt dies mit der Option -a (add) des Programm smbpasswd. Zuvor muss das Linux/UNIXBenutzerkonto für den Benutzer erzeugt worden sein. Gewöhnliche Benutzer können das Programm smbpasswd verwenden, um ihr eigenes Samba-Passwort zu ändern. Das Linux/UNIX-Passwort wird dabei automatisch ebenfalls geändert, wenn Sie unix password sync = true in der Datei /etc/samba/smb.conf verwenden. Wenn Sie NIS einsetzen, ist zusätzlich dafür zu sorgen, dass die Passwörter mit der Datenbank auf dem NIS-Server synchronisiert werden. Hinweise zu smbpasswd finden Sie in der Manualseite zu dem Programm. Problembehebung Wenn der Zugriff auf den Samba-Server nicht funktionieren sollte, überprüfen Sie zunächst, ob es möglich ist, den Server vom lokalen Rechner aus anzusprechen. Dazu wird das Programm smbclient aus dem gleichnamigen Paket benötigt. Geben Sie folgendes Kommando ein, um eine Liste der freigegebenen Ressourcen des SambaServers auf dem lokalen Rechner zu erhalten:
13.9 Verteilte Dateisysteme
609
debian:~# smbclient -U% -L localhost Daraufhin sollte eine Ausgabe erscheinen, die sinngemäß der folgenden entspricht: Domain=[WINNET] OS=[Unix] Server=[Samba 2.0.6] Sharename --------homes IPC$ hp1100
Type ---Disk IPC Printer
Comment ------Home Directories IPC Service HP Laserjet 1100 600dpi
Server --------BEETHOVEN
Comment ------Server (Samba 2.0.6)
Workgroup --------WINNET
Master ------BEETHOVEN
Wichtig ist lediglich, dass die Ausgabe überhaupt erscheint. Wenn das nicht der Fall ist, sollten Sie untersuchen, ob Samba wirklich auf Ihrem Rechner ausgeführt wird. Prüfen Sie dazu, ob Sie Samba als eigenständigen Serverprozess ausführen oder über inetd starten. Im ersten Fall können Sie Samba durch die Eingabe des folgenden Kommandos neu starten: debian:~# /etc/init.d/samba restart Im zweiten Fall (inetd) sollten Sie prüfen, ob sich die Einträge zum Start von Samba in der Datei /etc/inetd.conf befinden, und sicherstellen, dass sie nicht auskommentiert sind. Außerdem muss inetd ausgeführt werden. Falls Samba ausgeführt wird und Sie die obige Ausgabe trotzdem nicht erhalten, sollten Sie die grundlegende Netzeinrichtung des Rechners sowie die Konfigurationsdatei /etc/samba/smb.conf überprüfen. Wenn Samba vom lokalen Rechner aus angesprochen werden kann, jedoch nicht von einem anderen Rechner aus, sollten Sie die Netzeinstellungen des Clientrechners überprüfen. Dabei ist zunächst zu untersuchen, ob der Clientrechner dieselbe Arbeitsgruppe oder Domäne verwendet wie der Samba-Server. Dann prüfen Sie, ob der MS-Windows-Rechner NetBIOS over TCP/IP benutzt. Wenn der MS-WindowsRechner mit mehreren Netzadaptern ausgestattet ist, ist zu prüfen, ob TCP/IP an den richtigen Netzadapter gebunden ist. Auch ein Modem (DFÜ-Adapter) wird als Netzadapter eingeordnet, und es kann sein, dass Sie TCP/IP zwar eingerichtet haben, das Protokoll jedoch lediglich für Verwendung mit Modem konfiguriert ist. Testen Sie auch, ob die TCP/IP-Verbindung zwischen MS-Windows-Rechner und SambaServer funktioniert. Hierzu verwenden Sie unter Linux oder unter MS-Windows das Kommando ping.
610
13 Dateisysteme
Wenn feststeht, dass die Netzeinstellungen des Clientsystems stimmen, ist zu prüfen, ob der Samba-Server von dem MS-Windows-Rechner gesehen wird. Hierzu ist unter MS-Windows am DOS-Prompt folgendes Kommando einzugeben: C:\> net view \\server Hierbei müssen Sie server durch den NetBIOS-Namen des Samba-Servers ersetzen. Es sollte dann eine Ausgabe erscheinen, die ungefähr wie folgt aussieht: Freigegebene Ressourcen auf \\SERVER Freigabename Typ Kommentar -----------------------------------------------------homes Platte Home Directories hp4100 Druck HP Laserjet 4100 600dpi Der Befehl wurde ausgeführt. Wichtig ist, dass Sie den Server sowie die freigegebenen Ressourcen überhaupt sehen. Falls das nicht der Fall ist, spricht vieles dafür, dass die Namensauflösung nicht funktioniert. Wenn Sie WINS einsetzen und der Samba-Server auch als WINSServer arbeitet, ist sicherzustellen, dass der MS-Windows-Rechner den SambaServer als WINS-Server benutzt. Wenn Sie einen anderen WINS-Server benutzen, ist zu überprüfen, ob Samba diesen Server benutzt. Eventuell müssen Sie die Datei lmhosts im MS-Windows-Verzeichnis des Clients erzeugen oder anpassen. Schließlich ist zu untersuchen, ob Sie eine Ressource vom Samba-Server einbinden können. Wenn Ihr Samba-Server die Ressource homes zur Verfügung stellt, melden Sie sich zunächst mit demselben Benutzernamen und Passwort an dem MSWindows-Rechner an, das Sie auch auf dem Samba-Server verwenden. Versuchen Sie danach, Ihr Home-Verzeichnis unter MS-Windows mit folgendem Kommando einzuhängen: C:\> net use i: \\server\homes Auch hier muss der Namen des Samba-Servers angepasst werden. Wenn dem Laufwerksbuchstaben i: bereits eine Ressource zugeordnet ist, dann ist an seiner Stelle ein anderer Laufwerksbuchstabe zu verwenden. Danach sollten Sie am DOSPrompt auf das Laufwerk i: wechseln und sich mit dir den Inhalt Ihres HomeVerzeichnisses anzeigen lassen. Wenn es hierbei Probleme gibt, sollten Sie überprüfen, ob Sie dem Rechner den Zugriff auf den Samba-Server gestattet haben (die Angaben hinter hosts allow und hosts deny in der Datei /etc/samba/smb. conf) und ob sich die Benutzernamen auf dem MS-Windows- und dem LinuxRechner gleichen. Als letztes ist zu prüfen, ob Sie das Netz durchsuchen können. Doppelklicken Sie dazu auf das Icon Netzwerk auf der Arbeitsoberfläche des MS-Windows-Rechners. Es sollte sich daraufhin ein Fenster öffnen, in dem die Rechner Ihrer Arbeitsgruppe angezeigt werden. Der Samba-Server sollte sich darunter befinden. Sie können dann auf den Samba-Server doppelklicken, woraufhin die verfügbaren Ressourcen des Servers angezeigt werden sollten.
13.9 Verteilte Dateisysteme
611
Weitere Hinweise zur Fehlersuche finden Sie in der Datei /usr/share/doc/ samba-doc/textdocs/DIAGNOSIS.txt.gz aus dem Paket samba-doc. Konfiguration von Samba mit SWAT Im Paket swat ist ein System zur Verwaltung von Samba über einen Web-Browser enthalten, das Samba Web Administration Tool (SWAT). Das Paket stellt einen einfachen Web-Server zur Verfügung – braucht also keinen Apachen – der über Port 901 angesprochen wird. Von dem Server werden mit einem Browser Formulare bezogen, in denen Einstellungen für Samba vorgenommen werden. Wenn die Formulare an den Server zurückgeschickt werden, aktualisiert dieser die Samba-Konfiguration. SWAT ordnet die Samba-Konfigurationsdatei smb.conf neu; falls man vorher eine mittels Texteditor erzeugte Datei hat, ist eine Sicherungskopie nicht verkehrt. In SWAT einzugebende Passwörter werden in Klartext über das Netz geschickt. Bei Bedenken darf man nur lokal arbeiten oder muss die Netzverbindung unabhängig von SWAT sichern. Der SWAT-Server wird über inetd gestartet. Aus Sicherheitsgründen ist der Eintrag für das Programm in der Datei /etc/inetd.conf als Vorgabe auskommentiert. Sie müssen folgendes Kommando eingeben, um SWAT benutzen zu können: debian:~# update-inetd - -enable swat Nach Eingabe des Kommandos kann von überall auf den SWAT-Server zugegriffen werden. Sie sollten den Eintrag entweder deaktivieren, wenn Sie ihn nicht mehr benötigen, oder besser Einträge in den Dateien /etc/hosts.allow und /etc/hosts.deny vornehmen, mit denen der Zugriff begrenzt wird. Nun können Sie SWAT benutzen, indem Sie einen Web-Browser Ihrer Wahl starten und den URL http://localhost:901/ öffnen. Es erscheint eine Aufforderung zur Anmeldung an den Server. Sie dürfen SWAT eingschränkt benutzen, wenn Sie hier Benutzernamen und Passwort eines gewöhnlichen Benutzerkontos eingeben. Zur Verwaltung des Systems ist es notwendig, sich als Root anzumelden. Danach erscheint eine Seite ähnlich wie in Abbildung 13.5 gezeigt. Nach Änderungen muss die Schaltfläche Commit Changes angeklickt werden, damit SWAT die neuen Einstellungen in die Datei /etc/samba/smb.conf übernimmt. Durch Anklicken der Schaltfläche Advanced View ist es zudem möglich, fast alle Einstellungen von Samba zu beeinflussen. Eine angenehme Eigenschaft des Konfigurationssystems besteht darin, dass der Hilfetext zu jeder Einstellung direkt verfügbar ist und nicht erst in der Manualseite zu smb.conf gesucht werden muss. Auf der Startseite von SWAT werden ein HOWTO und weitere Dokumentation zu Samba angeboten. Linux als SMB-Client Selbstverständlich ist es möglich, von einem Linux-System aus Verzeichnisse oder Drucker einzuhängen, die von einem MS-Windows-Rechner oder einem anderen System per SMB freigegeben wurden. Damit Sie solche Dateisysteme einhängen
612
13 Dateisysteme
Abb. 13.5: Screenshot eines Formulars von SWAT zur Verwaltung von Samba mit Hilfe eines Web-Browsers
können, müssen Sie das Paket smbfs einrichten. Außerdem ist die Unterstützung für SMB-Dateisysteme entweder fest in den Kern zu integrieren oder über das entsprechende Modul smbfs zu ermöglichen. SMB-Dateisysteme werden dann mit folgendem Kommando eingebunden: smbmount //Serv/Ress Verz [ -o Option[,Option ...] ] Dabei ist für Serv der NetBIOS-Rechnername des Rechners anzugeben, der das einzuhängende Verzeichnis bereitstellt. Mit Ress ist der Name der Ressource anzugeben. Die verfügbaren Ressourcen eines Rechners lassen sich mittels smbclient anzeigen. Mit Verz ist der Name des Einhängepunktes anzugeben. Die Optionen von smbmount sind in seiner Manualseite beschrieben; die wichtigsten sind: • • •
username=Name Gibt mit Name den Benutzernamen an, unter dem der Zugriff erfolgt. password=Passwort Gibt mit Passwort das Passwort für die Ressource bzw. das zum Benutzerkonto gehörende Passwort an. ip=IP-Adresse Hiermit wird die IP-Adresse des Rechners angegeben, der die einzuhängende Ressource freigibt. Dies ist hilfreich, wenn die NetBIOSNamensauflösung nicht funktioniert.
13.9 Verteilte Dateisysteme
613
Um das Verzeichnis daten, das sich auf dem Server mit dem NetBIOS-Namen ntbox befindet, in das Verzeichnis /home/daten auf dem lokalen Rechner einzuhängen, ist folgendes Kommando einzugeben, wenn der Zugriff auf den Rechner mit dem Benutzernamen joe und dem Passwort geheim geschehen soll: debian:~# smbmount //ntbox/daten /home/daten -o username=joe,password=geheim Wenn es zu Problemen kommt, ist zunächst zu prüfen, ob der NetBIOS-Name aufgelöst wird (Konfigurationsdatei /etc/lmhosts, WINS-Konfiguration usw.), dann sollte geprüft werden, ob die TCP/IP-Verbindung zwischen beiden Rechnern funktioniert (ping) und ob die Berechtigung besteht, mit dem angegebenen Benutzernamen und Passwort auf die Ressource zuzugreifen. Der Vorgang lässt sich – wie jeder andere mount-Vorgang – automatisieren, indem ein entsprechender Eintrag in die Datei /etc/fstab geschrieben wird. Für das Beispiel lautet der Eintrag: //ntbox/daten
/home/daten smbfs username=joe,password=geheim
0
0
Das Programm smbclient, das bisher lediglich zum Testen von SMB-Servern benutzt wurde, stellt im Wesentlichen ein Werkzeug dar, mit dem es ähnlich wie mit FTP möglich ist, auf SMB-Server zuzugreifen. Darüber hinaus ermöglicht das Programm, auf freigegebene Drucker zu drucken oder die Dateien einer Ressource mit tar zu archivieren. Letztere Eigenschaft macht das Programm interessant zur Sicherung (Backup) von Daten, die auf MS-Windows-Rechnern liegen und zentral auf einem Linux-Rechner gesichert werden sollen. Die Syntax des Programms und die Kommandos sind im Manual zu smbclient beschrieben. 13.9.3 Netatalk – Netzdienste für Äpfel Ältere Apple-Macintosh-Rechner verwenden ein eigenes Netzprotokoll namens Appletalk Protocol. Das Protokoll erlaubt ebenfalls die Freigabe von Dateien und Druckern. Mit dem Paket netatalk steht unter Debian GNU/Linux Software zur Verfügung, mit der ein Appletalk-Server eingerichtet werden kann. Damit werden in einem heterogenen Netz Netzdienste für Linux/UNIX-Rechner (alle TCP/IP-Dienste), für MS-Windows-Rechner (Samba) und für ältere Apple-Rechner (Netatalk) angeboten. Wenn über alle Dienste die Home-Verzeichnisse aller Benutzer exportiert werden, wird sichergestellt, dass alle Benutzer von allen Rechnern aus auf ihre persönlichen Daten zugreifen können. Informationen über Netatalk finden Sie unter dem URL http://www.anders.com/projects/netatalk/ sowie unter http://netatalk.sourceforge.net/. Falls Sie Netatalk nicht brauchen, sollten Sie die Boot-Meldungen Ihrer Rechner oder die Verzeichnisse /etc/rc*.d auf Startkommandos für den Dienst untersuchen. Er kostet beim Booten unnötig Zeit und wurde zumindest früher als Vorgabe gestartet. Jeder überflüssige Dämon ist zudem ein vermeidbares Risiko.
614
13 Dateisysteme
Einrichten von Netatalk Um Netaltalk zu betreiben, wird die Unterstützung für appletalk im Kern (Option Appletalk DDP) benötigt. In den Standard-Kernen ist die Unterstüüzung als Modul enthalten. Damit es automatisch geladen wird, muss folgende Zeile in der Datei /etc/modutils/aliases ausfindig gemacht werden: # alias net-pf-5
off
# DDP / appletalk
Die Zeile darf nicht entkommentiert sein, sie muss mit einem Doppelkreuz beginnen. Nach einer Änderung ist das Kommando update-modules auszuführen, um die Konfiguration für modprobe zu aktualisieren: debian:~# update-modules Wenn Sie einen eigenen Kern verwenden, in dem die Appletalk-Unterstützung fest eingebaut ist, erübrigt sich die Anpassung. Danach richten Sie das Paket netatalk ein, die netatalk-Dienste werden dabei automatisch gestartet. Die Konfigurationsdateien finden sich im Verzeichnis /etc/ netatalk: •
•
•
•
•
AppleVolumes.default In der Datei wird festgelegt, welche Verzeichnisse den Apple-Rechnern zur Verfügung gestellt werden. Außerdem ist es möglich, Optionen für die Verzeichnisse anzugeben. Eine Beschreibung des Formats der Datei findet sich in der Datei selbst. Als Vorgabe wird das Home-Verzeichnis desjenigen Benutzers angeboten, der sich über Appletalk anmeldet. AppleVolumes.system Zuordnung von Dateikennungen zu AppleDateitypen. Dadurch wird beeinflusst, welches Programm auf einem AppleRechner gestartet wird, wenn dort das Icon einer Datei angeklickt wird. Meist können die Einstellungen belassen werden, wie sie sind. afpd.conf In der Konfigurationsdatei wird bestimmt, welche Server auf dem System zur Verfügung stehen sollen, welche Protokolle diese benutzen und welche Ressourcen von den Servern zur Verfügung gestellt werden. Als Vorgabe wird ein Server ausgeführt, der den Namen des Rechners trägt, auf dem er ausgeführt wird. atalkd.conf Hier werden die Netzoptionen für Appletalk festgelegt. In der Regel ist es lediglich erforderlich, in der Datei den Namen des Netzinterfaces anzugeben, das mit Appletalk benutzt werden soll. Der Name des Interfaces muss in einer eigenen Zeile stehen. Dahinter Optionen, die in der Datei beschrieben sind und normalerweise von atalkd automatisch konfiguriert werden. papd.conf Dies ist die Konfigurationsdatei für das Programm papd, das Drucker über Appletalk zur Verfügung stellt.
Ferner findet sich in dem Verzeichnis ein Unterverzeichnis nls mit macspezifischen Codierungen einiger Zeichensätze. Wenn während des Starts von Netatalk folgenden Fehlermeldung auftritt: Can’t register beethoven:Workstation@*
13.9 Verteilte Dateisysteme
615
dann liegt das vermutlich daran, dass der Namen des Netzinterfaces, das Netatalk verwenden soll, nicht in der Datei /etc/netatalk/atalkd.conf eingetragen ist. Fügen Sie der Datei eine Zeile zu, in der sich lediglich der Name des zu verwendenden Netzinterfaces befindet (z. B. eth0). Die folgende Fehlermeldung ist ein Zeichen dafür, dass die AppletalkUnterstützung im Kern fehlt: socket: Invalid argument Prüfen Sie, ob der Kern mit den richtigen Optionen erstellt wurde oder ob das Modul appletalk geladen werden kann. Netatalk ist neu zu starten, wenn Sie Konfigurationsdateien geändert haben: debian:~# /etc/init.d/netatalk restart Danach sollten Sie in der Lage sein, von einem Applerechner aus, der über Appletalk mit dem Ethernet verbunden ist, über den Chooser und AppleShare auf den LinuxRechner zuzugreifen und mit dem richtigen Passwort und Benutzernamen Ihr HomeVerzeichnis einzuhängen. Wenn Ihr Passwort nicht angenommen wird, prüfen Sie, ob es länger als acht Zeichen ist, und kürzen Sie es erforderlichenfalls. Freigeben von Druckern mit Netatalk Wenn Sie Ihren Drucker unter Linux so konfiguriert haben, dass Sie mittels des Kommandos lpr PostScript-Dateien ausdrucken können, ist es einfach, Apple-Rechnern einen PostScript-Drucker zur Verfügung zu stellen. Zu diesem Zweck benötigen Sie eine PPD-Datei (PostScript Printer Description). Solche Dateien beschreiben Eigenschaften eines Druckers und werden gebraucht, damit die Clientrechner den Drucker richtig ansteuern. Wenn Sie keinen PostScript-fähigen Drucker besitzen, benötigen Sie eine PPD-Datei, welche die Eigenschaften des ghostscript-Treibers für Ihren Drucker beschreibt. Solche PPD-Dateien richten Sie mit dem Paket ppd-gs ein. Wenn Sie das Paket verwenden, sollten Sie die Datei /usr/doc/ppd-gs/ README lesen, bevor Sie die darin enthaltenen PPD-Dateien verwenden. Einige PPD-Dateien finden Sie unter ftp://ftp.adobe.com/pub/ adobe/printerdrivers/win/all/ppdfiles/. In dem Verzeichnis liegen selbstauspackende ZIP-Archive wie hp.exe, die PPD-Dateien für Drucker verschiedener Hersteller enthalten. Unter Debian GNU/Linux können die Archive mit dem Werkzeug unzip entpackt werden. Danach ist die gewünschte PPD-Datei auszuwählen und in das Verzeichnis /etc/netatalk zu kopieren (im Beispiel eine Datei für HP-Drucker): debian:~# cp hp/hp4ml_v1.ppd /etc/netatalk Nun ist die Konfiguration in der Datei /etc/netatalk/papd.conf anzupassen. Für jeden Drucker, den Sie Apple-Rechnern zur Verfügung stellen, muss sich dort ein Eintrag folgender Art befinden:
616
13 Dateisysteme
laserjet:\ :pr=|/usr/bin/lpr -Plj:\ :pd=/etc/netatalk/hp4ml:\ :op=joe: Die Datei ähnelt der Datei /etc/printcap. Zu Beginn eines Eintrags steht der Name, unter dem der Drucker auf dem Apple-Rechner angesprochen wird (im Beispiel laserjet). In der nächsten Zeile (:pr=) wird der Name des Druckers auf dem Server (der Name aus der Datei /etc/printcap) angegeben. Damit Druckdateien von Apple-Rechnern durch die Druckfilter des Servers bearbeitet werden können, beispielsweise um sie von PostScript in ein anderes Druckerformat zu übersetzen, müssen die Druckaufträge dem Programm lpr übergeben werden. Aus diesem Grund kann hier an Stelle eines Druckernamens der Name eines Programms mit vollem Pfad genannt werden, dem das Pipe-Zeichen (senkrechter Strich) voranzustellen ist. Dem Programm lpr wird im Beispiel mit der Option -P der Name des Druckers aus /etc/printcap übergeben. Dadurch ist es möglich, Druckaufträge an andere Rechner weiterzuleiten. In der darauffolgenden Zeile wird mit pd= der Name der für diesen Eintrag zu verwendenden PPD-Datei angegeben. Zum Schluss wird optional der Name des Druck-Operators (hier joe) genannt. Nach Änderung der Konfiguration ist Netatalk neu zu starten. Nun können Sie den Drucker vom Apple-Rechner aus einbinden. Falls es bei den Ausdrucken zu kleineren Unstimmigkeiten kommt, liegt das vermutlich an einer fehlerhaften PPD-Datei. 13.9.4 Andrew File System, Coda Das Andrew File System (AFS) ist in den achtziger Jahren an der Carnegie Mellon University von vornherein als im Netz verteiltes Dateisystem entwickelt worden, nicht wie NFS oder SMB als Ergänzung bestehender Dateisysteme. Später wurde es von der Firma Transarc vermarktet. Als diese von IBM übernommen wurde, wanderte AFS mit. Im Jahr 2000 schließlich hat IBM das AFS unter eine Open-SourceLizenz gestellt. Seither wird es unter der Bezeichnung OpenAFS weiter entwickelt. Sein Heimathafen ist http://www.openafs.org/. Bei Debian steht es in Form mehrerer Pakete namens openafs-* bereit. Die Carnegie Mellon University arbeitet an einem Nachfolger des AFS mit Namen Coda. In ihn sind Erfahrungen mit AFS eingeflossen. Sein Heimathafen ist http://coda.cs.cmu.edu/. Das System steht unter einer großzügigen Lizenz für Linux zur Verfügung, jedoch nicht bei Debian. Von CMU können Debian-Pakete für apt heruntergeladen werden. Für den allgemeinen Einsatz scheint das System noch nicht ausgereift genug zu sein; es eignet sich eher für Entwickler. Die Ziele des Projektes sind hochgeschraubt. Sowohl für AFS wie für Coda finden sich eigene Artikel in der deutschen und der englischen Wikipedia. Im Vergleich zu NFS oder SMB als Local Area Distributed File Systems zeichnet sich ein Wide Area Distributed File System wie AFS durch folgende Eigenschaften aus:
13.9 Verteilte Dateisysteme
• • • • • •
617
größere Entfernungen zwischen den Knoten, was eine geringere Bandbreite der Verbindungen zur Folge hat, mehr Clients pro Server, entsprechend auch mehr Benutzer, location transparency, der Benutzer weiß nicht, wo eine Datei tatsächlich liegt, erhöhte Sicherheitsanforderungen, sowohl an die Betriebssicherheit wie an die Datensicherheit, Zusammenarbeit mit sehr unterschiedlicher Hard- und Software, praktisch immer in einem heterogenen Netz, Bedarf an Diensten, die über das Speichern von Daten hinausgehen, wie gegenseitige Authentifizierung, Backup und Zeit,
Bei der Einrichtung von AFS in einem Netz sind drei Schritte zu unterscheiden, nämlich das Beschaffen der Dokumentation, das Einrichten der Server und das Einrichten der Clients. Nach dem Einrichten des Paketes openafs-doc liegt die umfangreiche Dokumentation im Verzeichnis /usr/share/doc/openafs-doc, und zwar in den Unterverzeichnissen html und pdf: •
•
html – im Unterverzeichnis AdminGuide ein Administration Guide (2000) – im Unterverzeichnis AdminReference eine Administration Reference (2000) – im Unterverzeichnis QuickStartUnix ein Quick Beginnings (2000) – im Unterverzeichnis UserGuide ein User Guide (2000) – im Unterverzeichnis ReleaseNotes-3.6 ein Sammlung von Release Notes (2000) zur Version 3.6 des AFS pdf – AFS-3 Programmer’s Reference: Architectural Overview (1991) – AFS Programmer’s Reference: Authentication Server Interface (1993) – AFS-3 Programmer’s Reference: BOS Server Interface (1991) – AFS-3 Programmer’s Reference: File Server/Cache Manager Interface (1991) – AFS-3 Programmer’s Reference: Specification for the Rx Remote Procedure Call Facility (1991) – AFS-3 Programmer’s Reference: Volume/Server/Volume Location Server Interface (1991)
Nicht unbedingt brandneu, aber ausführlich. Dazu kommen noch einzelne Dateien wie README.Debian. Für den Anfang sind der Architectural Overview, das README.Debian und die Quick Beginnings in der genannten Reihenfolge zu lesen. Die Dokumentation im Heimathafen ist die gleiche, vermehrt um einige kleinere Artikel und die Möglichkeit, einen OpenAFS-Teddybären zu bestellen. Die Aufgabe der Server ist zweigeteilt; entsprechend sind es auch die DebianPakete: •
Das Paket openafs-dbserver ist auf den Maschinen einzurichten, welche die AFSZelle (Domäne, Cluster) verwalten,
618
•
13 Dateisysteme
das Paket openafs-fileserver ist auf allen Maschinen einzurichten, die Dateien exportieren.
Auf der ersten Maschine, die nach Möglichkeit in der Zelle die niedrigste IP-Adresse haben soll, sind beide Pakete einzurichten. Zusätzlich ist sie auch mit Hilfe des Paketes openafs-client als Client zu gestalten. Die Client-Funktionalität kann später deaktiviert werden. Nachdem der erste AFS-Server funktioniert, können weitere hinzugenommen werden, insbesondere Dateiserver. Das AFS benötigt eigene Partitionen oder Logical Volumes für seine Dateien, nicht jedoch für seine Programme, die in den üblichen Verzeichnissen wie /usr untergebracht werden. Dort muss nur ausreichend Platz sein. Die Einrichtung von AFS ist nicht ausgesprochen schwierig, setzt aber doch einige Kenntnisse und Erfahrungen mit Linux/UNIX voraus. 13.9.5 Cluster-Dateisysteme Auf ein Cluster-Dateisystem greifen alle an einem Rechner-Cluster – siehe Abschnitt 17 Cluster ab Seite 889 – teilhabenden Rechner ohne Vermittlung eines Servers unmittelbar zu, der bei anderen Lösungen eine kritische Komponente (single point of failure) bildet. Solche Cluster-Dateisysteme sind in lokalen Netzen auch dann interessant, wenn man keine Rechner-Cluster im engeren Sinn betreibt, sondern nur auf hohe Verfügbarkeit und einfache Wege zum Erweitern (Skalieren) der Massenspeicher Wert legt. Wenn NFS nicht mehr ausreicht, könnte ein ClusterDateisystem der nächste Schritt sein. Die Aufgabe erfordert außer schnellen Verbindungen eine sorgfältige Koordination der Zugriffe, insbesondere im Hinblick auf die Konsistenz der Metadaten, und bringt eine Vielzahl reizvoller Teilprobleme mit sich. Die Mittel und Ziele decken sich teilweise mit denen verteilter Dateisysteme wie AFS. Zur Einführung lese man den Artikel Cluster-Dateisystem in der deutschen Wikipedia. Das Global File System 2, entstanden in der University of Minnesota und weiterentwickelt von Red Hat, steht ab Linux-Kernversion 2.6.19 in Form von Kernmodulen zum Einsatz bereit. Die Projektseite hat den URL http://sources. redhat.com/cluster/. Ein Mikro-HOWTO findet sich auf http://www. rrze.uni-erlangen.de/dienste/arbeiten-rechnen/linux/ howtos/gfs.shtml. Auch http://gfs.wikidev.net/Installation oder http://www.startcom/org/docs/en/ hilft weiter. Bei Debian steht ab etch ein Paket gfs-tools zur Verfügung, das folgende Werkzeuge enthält: • • • • •
gfs_fsck File System Checker, auch als fsck.gfs aufrufbar. gfs_grow zum Erweitern des Dateisystems in einer Partition, mit einer Option zum Simulieren. gfs_jadd Hinzufügen von Journalen nach Erweiterungen mittels gfs_grow, ebenfalls mit einer Option zum Simulieren. gfs_mkfs zum Anlegen eines Global File Systems, auch als mkfs.gfs aufrufbar. gfs_quota Auslesen und Ändern einer Quotendatei.
13.9 Verteilte Dateisysteme
•
619
gfs_tool Werkzeug für verschiedene Aufgaben wie das Auslesen von Konfiguration und Statistiken, das Einfrieren und Auftauen von GFS-Clustern und dergleichen, siehe Manual.
Ein GFS richtet man auf einer freien Partition – im Beispiel /dev/hda3 – mit folgendem Aufruf ein: debian:~# mkfs_gfs -p lock_nolock -j 1 /dev/hda3 Dann prüft man das noch nicht eingehängte System mittels: debian:~# gfs_fsck /dev/hda3 Wir können uns auch den Superblock des Dateisystems anzeigen lassen: debian:~# gfs-tool sb /dev/hda3 all aber im weiteren Verlauf stoßen wir vermutlich auf ein Problem. Zum Einhängen in das lokale Wurzeldateisystem dient wie üblich: debian:~# mount -t gfs /dev/hda3 /gfs ersatzweise ein Eintrag in /etc/fstab wie: /dev/hda3
/gfs
gfs
defaults
0
2
mit nachfolgendem Aufruf von mount -a. Unser mount-Kommando kennt den Dateisystemtyp gfs nicht, übereinstimmend mit dem Manual. Die Manualseite zu gfs_mount bezieht sich auf das gewöhnliche mount-Kommando und erläutert nur einige besondere Optionen. Wenn uns das Einhängen gelungen wäre, hätten wir zwar immer noch einen weiten Weg bis zu einem Cluster-Dateisystem zurückzulegen, aber wir könnten das GFS lokal wie jedes andere Dateisystem benutzen. Bei Debian sind Pakete des Oracle Cluster File Systems (OCFS2) im Angebot, deren Namen mit ocfs beginnen. Wie der Name vermuten lässt, stammt die Software vom Datenbank-Hersteller Oracle. Sein Heimathafen ist http://oss/oracle/ com/projects/ocfs2/. Ab Linux-Kernversion 2.6.16 sind Kernmodule verfügbar. Ein weiteres Cluster-Dateisystem für Linux ist Lustre mit dem Heimathafen http://www.lustre.org/, nicht bei Debian vertreten, aber unter der GPL verfügbar und POSIX-konform. Erste Informationen holt man sich bei der englischen Wikipedia. Schließlich gibt es für Linux noch Ceph, entwickelt von der University of California at Santa Cruz, Heimathafen http://ceph.sourceforge.net/. Es bezeichnet sich als Petabyte Scale Storage. Open Source, aber nicht bei Debian. Diese global verteilten Dateisysteme sind sicherlich eine bessere Lösung für Probleme, die wir heute schon haben, als NFS und werden an Bedeutung zunehmen. Sie erfordern aber mehr als ein Wochenende zum Kennenlernen und mehr als einen ausgemusterten PC zum Sammeln von Erfahrungen.
620
13 Dateisysteme
13.10 Verwalten eines Dateisystems 13.10.1 Eingehängte Partitionen (mount) Das uns bereits aus Abschnitt 2.9.3 Einhängen von Datenträgern auf Seite 145 bekannte Werkzeug mount kann dazu benutzt werden anzuzeigen, welcher Datenträger welchem Verzeichnis zugeordnet ist. Dazu ist das Kommando ohne Parameter einzugeben: joe@debian:~$ mount Die Ausgabe sieht auf einem untypischen Arbeitsplatzrechner ungefähr so aus: /dev/hda1 on / type ext3 (rw,errors=remount-ro) proc on /proc type proc (rw) devpts on /dev/pts type devpts (rw,gid=5,mode=620) tmpfs on /dev/shm type tmpfs (rw) /dev/hda9 on /home type ext3 (rw,usrquota) /dev/hda8 on /tmp type ext3 (rw) /dev/hda5 on /usr type ext3 (rw) /dev/hda6 on /var type ext3 (rw) /dev/hdb1 on /rfs type reiserfs (rw) /dev/hdb2 on /xfs type xfs (rw) /dev/hdb3 on /jfs type jfs (rw) usbfs on /proc/bus/usb type usbfs (rw) server:/home on /home1 type nfs (rw,addr=192.168.0.1) server:/var on /var1 type nfs (rw,addr=192.168.0.1) /dev/sdb1 on /media/exthd type ext3 (rw,noexec,nosuid,nodev,user=joe) /dev/sdc1 on /media/stick0 type msdos (rw,noexec,nosuid,nodev,user=joe) /dev/scd0 on /media/cdrom0 type iso9660 (rw,noexec,nosuid,nodev,user=joe) /dev/fd0 on /media/floppy0 type vfat (rw,noexec,nosuid,nodev,user=joe) Jede Zeile beginnt mit dem Namen der Gerätedatei, die einen eingehängten Datenträger darstellt. Hinter dem Wort on ist der Name des Verzeichnisses angegeben, in das der Datenträger eingehängt ist (Einhängepunkt). Darauf folgt nach dem Wort type der Dateisystemtyp. Zum Schluss wird in Klammern angegeben, mit welchen Optionen der Datenträger eingehängt ist. Die Ausgabe spiegelt in etwa die Datei /etc/fstab wider, mit leichten Abweichungen bei der Angabe der Optionen. Im Einzelnen bedeuten die Zeilen: •
/dev/hda1 Die erste Partition der ersten IDE-Festplatte ist als Wurzel des Dateibaums eingehängt und mit einem Dateisystem vom Typ ext3 versehen. Jeder darf lesen und schreiben; bei Fehlern wird das Dateisystem ausgehängt und nur lesbar (ro = read only) wieder eingehängt.
13.10 Verwalten eines Dateisystems
•
•
• •
•
•
• •
• •
•
•
621
proc ohne führenden Schrägstrich ist ein virtuelles Dateisystem, auf /proc eingehängt, belegt keine Partition und erleichtert den Zugriff auf Informationen aus dem Kern, indem man sie wie eine Datei liest oder schreibt, devpts ebenfalls ohne führenden Schrägstrich ist ein virtuelles Dateisystem, das den dateigleichen Zugriff auf Pseudo Terminal Slaves (PTS) ermöglicht. Die Optionen bewirken, dass die Wurzel des Dateisystems mit dem Gruppen-ID 5 (tty) und alle Dateien mit den Zugriffsrechten 620 angelegt werden. tmpfs ist ein virtuelles, auf /dev/shm eingehängtes Dateisystem, das der Kommunikation zwischen zwei Prozessen mittels Shared Memory dient. /dev/hda9 ist eine logische Partition innerhalb der erweiterten Partition /dev/hda2, die nirgends auftaucht, auf der ersten IDE-Platte, eingehängt auf /home, vom Dateisystemtyp ext3, mit Journal also, für jedermann les- und schreibbar und mit einer Quotenbegrenzung ausgestattet, was bei Homes nicht verkehrt ist. Die drei nächsten Zeilen sind ähnlich wie die vorstehende aufgebaut und bezeichnen logische Partitionen. Die Partition /dev/hda7 fehlt, das ist der Swapbereich, der kein Dateisystem enthält und nicht eingehängt wird, sondern mit swapon aktiviert. /dev/hdb1 Offensichtlich enthält die Kiste eine zweite IDE-Platte, die als Slave am selben Kanal wie die erste, dem Master, betrieben wird. hdb1 bezeichnet die erste primäre Partition, die hier mit einem ReiserFS formatiert ist. Eingehängt ist die Partition in das Verzeichnis /rfs. /dev/hdb2 weist auf eine zweite primäre Partition hin, formatiert mit einem XFS-Dateisystem und eingehängt auf /xfs. /dev/hdb3 benennt die dritte primäre Partition (vier wären möglich, keine mehr), belegt mit einem JFS-Dateisystem. Da auf der zweiten Platte keine weiteren Dateisysteme untergebracht werden sollen, kann man alle drei Dateisysteme als primäre Partitionen anlegen, anders als auf der ersten Platte. usbfs ist wieder ein virtuelles Dateisystem, eingehängt auf /proc/bus/usb, um den Zugriff auf USB-Geräte zu vereinfachen. server:/home ist ein über das Netz auf /home1 eingehängtes NFSDateisystem, das auf dem Rechner server mit der IP-Adresse 192.168.0.1 zu Hause ist. Entsprechendes gilt für die nächste Zeile, laut derer das Verzeichnis /var mit dem Mailverzeichnis /var/mail und dem Webspace /var/www des Servers auf dem Arbeitsplatz eingehängt ist. /dev/sdb1 bezeichnet eine externe, über USB angeschlossene IDE-Festplatte für das Backup mittels rsync, belegt mit einem ext3-Dateisystem. USBMassenspeicher werden als SCSI-Geräte angesprochen. Die Optionen – siehe man mount – verhindern das Ausführen etwaiger binärer Dateien auf dem Medium, ebenso das Auswerten von SUID- oder SGID-Bits sowie von Gerätedateien. Die letzte Option erlaubt dem Benutzer joe, das Dateisystem ein- und auszuhängen. Root darf das natürlich auch. Die nächsten drei Zeilen unterscheiden sich nur durch den Typ des Dateisystems von der vorangegangenen. Es handelt sich um einen USB-Stöpsel, eine CD/DVD und eine Diskette (Floppy).
622
13 Dateisysteme
Im Normalbetrieb sind nicht so viele entfernbare Medien in das Verzeichnis /media gleichzeitig eingehängt. Andererseits ist die Liste der möglichen Medien länger. 13.10.2 Füllstand (df, du, Baobab) Das Werkzeug df (disc free) zeigt an, wieviel freier Platz auf den eingehängten Datenträgern zur Verfügung steht und wieviel belegt ist. Der Aufruf: joe@debian:~$ df liefert eine Antwort, die sinngemäß folgender gleicht: Filesystem 1k-blocks Used Available Use% /dev/sda7 1981000 1749854 128734 93% /dev/hda 272186 272186 0 100%
Mounted on / /cdrom
In der ersten Spalte ist der Name der Gerätedatei aufgeführt, die einen Datenträger darstellt. In der letzten Spalte finden Sie den Namen des Verzeichnisses, in das der Datenträger eingehängt ist. In der zweiten Spalte steht, wieviel Kilobyte auf dem Datenträger insgesamt zur Verfügung stehen (1k-blocks), auf der Partition /dev/sda7 1981000 KB, das ist etwas weniger als 2 GB. Mit der Option -h werden hier statt Blöcken Bytes oder deren Vielfache angezeigt. In der nächsten Spalte ist zu sehen, wieviel des insgesamt verfügbaren Platzes belegt ist und in der darauf folgenden, wieviel Platz noch frei ist. Dann folgt eine prozentuale Angabe der Belegung. Bei dem Datenträger /dev/hda handelt es sich um eine CD. Da auf CDs im laufenden Betrieb nicht geschrieben werden kann, zeigt df für diesen Datenträger an, dass er zu 100 % belegt ist.
Abb. 13.6: Screenshot des Werkzeugs kdf, das die Belegung der Dateisysteme (Partitionen) grafisch anzeigt. Wie man sieht, werden auch entfernbare Datenträger und über NFS oder Samba eingebundene Dateisysteme erfasst.
13.10 Verwalten eines Dateisystems
623
Abbildung 13.6 zeigt einen Screenshot des grafischen Werkzeugs kdf (KDiskFree), das alle eingehängten Dateisysteme sowie einhängbare Laufwerke anzeigt. Ähnlich sieht das Fenster von gtkdiskfree aus. Man sollte eines der Kommandos häufiger geben. Wenn sich ein Dateisystem der 90-%-Grenze nähert, wird es Zeit, an Gegenmaßnahmen zu denken. Je nach Umfang der Partition reicht eine einzige große Datei, um Teile des Systems zum Stillstand zu bringen (nicht zum Absturz). Gelegentlich möchte man wissen, wieviel Speicherplatz die Dateien und Verzeichnisse innerhalb eines Verzeichnisses belegen. Hierzu dient das Programm du (disk usage). Ohne Parameter zeigt es den von den Unterverzeichnissen im Arbeitsverzeichnis belegten Festplattenplatz in Kilobyte an. Einen Überblick über den von allen Dateien und Unterverzeichnissen mit allen darin befindlichen Dateien belegten Speicherplatz liefert es, wenn es mit den Optionen -h und -s aufgerufen wird. Möchte man wissen, wieviel Platz vom Verzeichnis /var mit all seinen Dateien und Unterverzeichnissen belegt wird, wird du folgendermaßen aufgerufen: debian:~# du -hs /var Die Ausgabe erfolgt in Giga- Mega- oder Kilobyte, je nachdem, welche Einheit angemessen ist. Als Anregung für ein Alias oder ein kleines Shellskript namens fill folgende Pipe: debian:~# du --summarize * | sort -n -r | less die im jeweiligen Arbeitsverzeichnis die größten Byteverschlinger an vorderster Stelle anzeigt. Der Name fill ist noch nicht besetzt. Das GNOME-Werkzeug Baobab aus dem gleichnamigen Debian-Paket, künftig im Paket gnome-utils enthalten, stellt die Verzeichnis- und Datei-Hierarchie samt belegtem Massenspeicher grafisch dar, siehe Abbildung 13.7. Es verwirrt anfangs etwas, dass die Werte anders definiert sind als beispielsweise bei df. Baobab gibt den belegten, nicht den verfügbaren Speicher aus und bezieht Prozentangaben auf das Wurzelverzeichnis = 100 %. Der Verzeichnisbaum wird durch farbige Flächen dargestellt, wobei die Flächeninhalte dem Speicherplatz entsprechen. Die Manualseite ist nahezu informationsfrei und verweist auf http://www.gnome.org/ projects/baobab. 13.10.3 Prüfen und Reparieren von Dateisystemen (fsck, parted) File System Check Um ein Linux-Dateisystem zu überprüfen und gegebenenfalls zu reparieren, stehen Werkzeuge bereit, die spezifisch für den jeweiligen Dateisystemtyp sind. Alternativ kann das Programm fsck benutzt werden,r ein Frontend zu dem jeweiligen Prüfprogramm, dem mit der Option -t der Dateisystemtyp mitgeteilt wird. Wir haben bei den Dateisystemtypen bereits davon gesprochen. Auf ein Dateisystem, das geprüft und repariert werden soll, darf durch kein Programm außer durch das Prüfprogramm selbst schreibend zugegriffen werden. Ein solches Dateisystem darf nicht mit der
624
13 Dateisysteme
Abb. 13.7: Screenshot des GNOME-Werkzeugs Baobab zur Darstellung der Verzeichnis- und Dateihierarchie
Möglichkeit zum Schreiben eingehängt sein. Es kommt sonst zu unvorhersagbaren Fehlern. Angenommen, das Verzeichnis /var befinde sich in einem eigenen Dateisystem auf der Partition /dev/sdb2, die geprüft und erforderlichenfalls repariert werden soll. Dazu muss das System zunächst in den Single-User-Modus versetzt werden, um zu gewährleisten, dass keine Programme auf das Dateisystem mit dem Verzeichnis zugreifen. Dies geschieht mit dem Kommando init: debian:~# init 1 Dieser Schritt ist nicht erforderlich, wenn feststeht, dass auf das Dateisystem nicht zugegriffen werden kann. Nun wird das Dateisystem aus dem Wurzelsystem ausgehängt: debian:~# umount /var Linux-ext2-Dateisysteme werden mit dem Programm e2fsck überprüft. Das Programm führt eine Überprüfung nur dann durch, wenn •
das Dateisystem nicht ordnungsgemäß aus dem Wurzelsystem ausgehängt wurde, was immer dann der Fall ist, wenn das System abgeschaltet wurde, ohne heruntergefahren worden zu sein, oder
13.10 Verwalten eines Dateisystems
•
•
625
ein Schwellenwert überschritten ist, der angibt, wie oft das Dateisystem eingehängt und wieder ausgehängt werden darf, ohne geprüft zu werden (der Schwellenwert wird mit dem Programm tune2fs festgelegt, Vorgabe 30), oder e2fsck mit der Option -f (force) aufgerufen wird.
Mit dem Parameter -p (preen) wird erreicht, dass eventuell gefundene Fehler automatisch korrigiert werden, sofern möglich. Um das Dateisystem zu prüfen und zu reparieren, wird folgendes Kommando eingegeben: debian:~# e2fsck -f -p /dev/sdb2 Unter Umständen werden Fehler gefunden, die nicht automatisch repariert werden können. Das Programm schlägt dann Aktionen vor und fragt, ob diese ausgeführt werden sollen. Dies sollte mit y (yes) beantwortet werden. In den meisten Fällen werden verwaiste Dateien oder Dateireste in dem Verzeichnis lost+found des Dateisystems gesammelt. Untersuchen Sie diese Dateien auf ihren Inhalt hin und verschieben Sie sie gegebenenfalls wieder dorthin, woher sie kommen. Das ext2-Dateisystem ist recht zuverlässig. Wenn es beim Check von Dateisystemen zu Fehlern kommt, die nicht darauf zurückzuführen sind, dass das System abgeschaltet statt heruntergefahren wurde, ist das ein Anzeichen dafür, dass die Hardware defekt oder nicht korrekt eingerichtet ist. Plattenausfälle kündigen sich manchmal so an. Ein schwerwiegender Fehler des ext2-Dateisystems liegt vor, wenn der Superblock zerstört ist. Der Block enthält Informationen, die während der Überprüfung des Dateisystems und auch sonst benötigt werden. Aus diesem Grund befinden sich in jedem ext2-Dateisystem Backup-Superblöcke, die in solchen Fällen genutzt werden können. Sie entsprechen normalerweise den Blöcken 8193, 16385, 24577 usw. Der zu verwendende Superblock wird mit der Option -b angegeben. Um das Dateisystem aus dem Beispiel unter Verwendung des zweiten Superblocks zu überprüfen, ist e2fsck folgendermaßen aufzurufen: debian:~# e2fsck -b 8193 -f -p /dev/sdb2 Nach Überprüfen des Dateisystems wird es wieder eingehängt. Wenn das System zuvor in den Single-User-Modus gebracht wurde, wird es nun wieder in einen anderen Runlevel (meist 2) versetzt. Das Wurzelverzeichnis kann nur beim Systemstart, das heißt vor dem Einhängen in den Kern, oder nach Booten von einem externen Medium (Live-CD/DVD) gecheckt werden. Sie können unter Debian GNU/Linux auch DOS/MS-Windows-Dateisysteme überprüfen. Hierzu dient das Programm dosfsck. Um eine DOS-formatierte Diskette im ersten Diskettenlaufwerk zu prüfen, wird folgendes Kommando benutzt: debian:~# dosfsck -a /dev/fd0 Die Option -a bewirkt, dass eventuell gefundene Fehler automatisch repariert werden. Entsprechende Werkzeuge sind für die meisten unter Linux gebräuchlichen Dateisystemtypen vorhanden. In ihrem Aufruf und ihren Optionen unterscheiden sie sich, sodass die Verwendung des allgemeinen Frontends fsck vorzuziehen ist.
626
13 Dateisysteme
Partitionseditoren Es gibt Werkzeuge, mit denen ein erfahrener Verwalter die Daten auf einer Platte oder in einem Dateisystem auf unterster Ebene ändern kann, löschen eingeschlossen. Diese Werkzeuge werden als File System Debugger, Partitionseditoren oder Diskeditoren bezeichnet. Manchmal lassen sich damit in verzweifelten Situationen noch Daten retten. Natürlich kann man den Schaden auch vergrößern. Unter Debian stehen folgende Werkzeuge in der Abteilung Administration Utilities zur Verfügung: • • • •
parted, qtparted und gparted, ein Partitionseditor, auf Wunsch mit GUI, lde der Linux Disc Editor, testdisk untersucht Partitionen und stellt verloren gegangene wieder her, gpart versucht, die Metadaten beschädigter Partitionen zu erraten, um Reparaturen mit größerer Aussicht auf Erfolg durchführen zu können. Ähnliche Werkzeuge enthalten die Pakete sleuthkit (The Sleuth Kit) und tct (The Coroner’s Toolkit), die in erster Linie zum Untersuchen verseuchter Rechner geschaffen wurden, siehe Abschnitt 18.4.5 Datenrettung und Computerforensik auf Seite 924.
Einige der Werkzeuge haben wir bereits rein lesend in Abschnitt 13.1 Aufgaben eines Dateisystems auf Seite 563 gebraucht. Will man mit parted eine Partition verkleinern oder vergrößern – was einen tiefen Eingriff in eine lebenswichtige Komponente eines Rechners darstellt – so empfehlen sich folgende Schritte, möglichst im Single User Modus: • •
• • •
Backup der Partition ziehen, nachprüfen, ob die Sicherungskopie in Ordnung ist, Partition aushängen; dazu muss die Partition außer Gebrauch sein. Bei Systempartitionen wie der Wurzelpartition bedeutet das, dass man von einem externen Medium (Live-CD/DVD wie Knoppix) bootet. die Partition einem File System Check (fsck) unterziehen; den Check wiederholen, bis er ohne Fehlermeldungen oder Änderungen an der Partition durchläuft, die Partition vorübergehend wieder einhängen, nachsehen mit ls -l und anderen Werkzeugen, ob alles in Ordnung ist, erneut aushängen, den Partitionseditor zum interaktiven Gebrauch mit der Platte als Argument aufrufen: debian:~# parted /dev/hda
• • •
sich mit dem parted-Kommando print die Platte ansehen; die Minor-Zahlen sind die Partitionsnummern (1 bis n), gegebenenfalls mit dem parted-Kommando rm mit der Minor-Zahl als Argument Partition löschen, gegebenenfalls mit dem parted-Kommando resize mit der Minor-Zahl als Argument eine Partition verkürzen oder verlängern: debian:~# resize 2 Die restlichen Angaben erfragt das Kommando. Der Anfang einer Partition lässt sich bei ext2, ext3 oder ReiserFS nicht verschieben, man übernimmt mittels die Vorgabe,
13.10 Verwalten eines Dateisystems
• •
627
mittels parted-Kommando print das Ergebnis betrachten, parted verlassen, File System Check durchführen.
In einem Fall, in dem die zu verkleinernde Partition die letzte logische Partition in einer erweiterten Partition war (hda9 in hda2), hatten wir erst Erfolg, nachdem wir die logische Partition hda9 gelöscht, dann die erweiterte hda2 verkleinert und schließlich nach einem Reboot mit fdisk und mke2fs die logische Partition hda9 samt Dateisystem wieder aufgebaut hatten. Die Daten waren vom Backup wieder herzustellen. Immerhin hat parted genau mitgeteilt, was ging und was nicht. Der File System Check vor der Veränderung ist wichtig; der Partitionseditor setzt intakte Partitionen voraus. Er ist recht vorsichtig, aber die Operation ist heikel. Immer wieder einmal an ausgemusterten Platten üben. Einen Erste-Hilfe-Kurs frischt man auch regelmäßig auf. 13.10.4 Formatieren von Datenträgern (mkfs) Das allgemeine Kommando zum Formatieren von Datenträgern, das heißt Anlegen eines Dateisystems, ist mkfs, ein Front-End zu den dateisystem-spezifischen Werkzeugen. Ihm ist mit der Option -t der gewünschte Dateisystemtyp bekannt zu machen, beispielsweise wie in: debian:~# mkfs -t reiserfs /dev/hda10 In diesem Fall meldet sich mkfs.reiserfs. Vorgabe ist ext2. Beim Formatieren gehen sämtliche Daten, die sich vorher auf der Partition befunden haben, verloren. Aber Vorsicht: Der Verlust ist nur logischer Art, die für den normalen Zugriff erforderlichen Strukturen des Dateisystems werden überschrieben, einzelne Datenblöcke bleiben erhalten und lassen sich mit etwas Aufwand lesen. Vor einer Veräußerung des Datenträgers erst mit Zufallsdaten überschreiben und dann formatieren. Zum Formatieren im ext2-Format dient das Programm mke2fs. Dem Programm braucht lediglich der Name der Gerätedatei übergeben zu werden, welche die zu formatierende Partition darstellt. Um die dritte Partition auf der ersten (E)IDEFestplatte im ext2-Format zu formatieren, wird folgendes Kommando benutzt: debian:~# mke2fs /dev/hda3 Mit der Option -j (journal) legt das Werkzeug ein ext3-Dateisystem an. Um eine Diskette im ersten Diskettenlaufwerk im ext2-Format zu formatieren, ist folgender Aufruf zu verwenden: debian:~# mke2fs -T floppy /dev/fd0 Das Programm versteht eine Reihe von Optionen, mit denen das auf der Diskette zu erzeugende Dateisystem an unterschiedliche Verwendungszwecke angepasst werden kann, siehe Manual. Die vorstehend verwendete Option bezieht sich auf einen Eintrag in der Datei /etc/mke2fs.conf und legt die Clustergröße auf 1024 Bytes fest. Bei Festplatten wären es 4096 Bytes. Nicht jeder Dateisystemtyp eignet sich für Disketten. Dateisysteme mit Journal beispielsweise passen nicht auf ein Medium so geringer Kapazität.
628
13 Dateisysteme
Beim Formatieren von Disketten oder Stöpseln empfiehlt sich oft die Verwendung des DOS-Formats. Drei unterschiedliche Programme stehen zur Verfügung. Zum einen das Programm mkdosfs aus dem Paket dosfstools, dem der Name der Gerätedatei übergeben werden muss, die den zu formatierenden Datenträger darstellt. Soll eine Diskette im ersten Laufwerk im DOS-Format formatiert werden, dient dazu folgendes Kommando: debian:~# mkdosfs /dev/fd0 Zum anderen kann das Kommando mformat aus dem Paket mtools benutzt werden. Die mtools sind eine Sammlung von Kommandos zum Zugriff auf DOS/MSWindows-Datenträger. Der Aufruf lautet im einfachsten Fall: debian:~# mformat a: Die Zuordnung von Laufwerksbuchstabe und Gerätedatei erfolgt in der Datei /etc/ mtools.conf. Drittens bringt das Paket fdutils das Werkzeug superformat und weitere mit. Aufruf: debian:~# superformat /dev/fd0 Das Werkzeug nimmt seine Aufgabe sehr ernst und beherrscht auch Extended Density. Es ruft seinerseits mformat zum Anlegen des DOS-Dateisystems auf. 13.10.5 Verlegen von Teilen der Verzeichnisstruktur auf andere Partitionen Es kommt vor, dass der Platz auf einem Datenträger knapp wird und Teile der darauf befindlichen Daten auf einen anderen Datenträger oder eine andere Partition verlegt werden sollen. Einige Verzeichnisse müssen jedoch in der Wurzelpartition verbleiben, da sie zu einem frühen Zeitpunkt beim Systemstart gebraucht werden. Hinweise dazu, welche Verzeichnisse sinnvollerweise auf eigenen Partitionen eingerichtet werden, finden Sie in Abschnitt 6.5.5 Planen der Partitionierung auf Seite 327. Führen Sie die folgenden Aktionen im Single-User-Modus durch, damit sichergestellt ist, dass nicht auf Verzeichnisse oder Dateien unterhalb des Verzeichnisses /usr zugegriffen wird. Angenommen, das Verzeichnis /usr soll auf eine neue Partition verlegt werden, um auf der Partition mit dem Wurzeldateisystem Luft zu schaffen. Die neue Partition sei bereits erstellt und im ext3-Format formatiert. Grundsätzlich gibt es zwei Möglichkeiten, wie dies bewerkstelligt werden kann: •
•
Die Unterverzeichnisse des Verzeichnisses /usr werden in das Wurzelverzeichnis der neuen Partition kopiert. Danach wird der Inhalt des Verzeichnisses /usr gelöscht, und die neue Partition wird in das nun leere Verzeichnis /usr eingehängt. Dateien und Verzeichnisse befinden sich dann wieder an demselben Ort im Verzeichnisbaum wie vorher. Alternativ kann die Partition in ein neues Verzeichnis eingehängt werden und danach das gesamte Verzeichnis /usr mit allen Dateien und Verzeichnissen in dieses Verzeichnis kopiert werden. Dann wird das alte Verzeichnis /usr gelöscht
13.10 Verwalten eines Dateisystems
629
und ein symbolischer Link mit dem Namen /usr auf das neue Verzeichnis gelegt. Auch mit dieser Variante können Benutzer und Programme wie bisher auf /usr zugreifen, weil dies dann aufgrund des symbolischen Links dazu führt, dass in Wirklichkeit auf das neue Verzeichnis (das sich woanders befindet) zugegriffen wird. Falls Sie Fehlermeldungen betreffend eines beschäftigten Dateisystems erhalten – was beim Verzeichnis /usr zu vermuten ist – hilft ein Start des Systems von einer Live-CD/DVD. Das zweite Verfahren bietet den Vorteil, dass sich auf der neuen Partition später weitere Verzeichnisse neben usr anlegen lassen, während bei der ersten Methode alle im Verzeichnis /usr liegenden Unterverzeichnisse in das Wurzelverzeichnis der Partition verschoben werden. Variante 1: Um die Unterverzeichnisse von /usr auf eine neue Partition zu kopieren, muss diese zunächst in ein temporäres Verzeichnis eingehängt werden, damit auf sie zugegriffen werden kann: debian:~# mount /dev/hdb5 /mnt Der Gerätedateiname /dev/hdb5 ist dabei durch den richtigen Namen zu ersetzen. Jetzt werden die Unterverzeichnisse von /usr rekursiv mit allen Dateien und Unterverzeichnissen auf die neue Partition kopiert. Es gibt verschiedene Verfahren, wie dies geschehen kann; am einfachsten geht es mit cp: debian:~# cp -ax /usr/* /mnt Die Option -a (archive) bewirkt, dass alle zu kopierenden Dateien und Verzeichnisse im Zielverzeichnis so erstellt werden, wie sie im Quellverzeichnis vorhanden sind, und die Option -x bewirkt, dass nur die Dateien kopiert werden, die sich auf demselben Datenträger oder derselben Partition befinden wie das angegebene Quellverzeichnis. Letztere Option ist eigentlich nur dann notwendig, wenn sich Unterverzeichnisse von /usr auf anderen Datenträgern befinden und auch dort bleiben sollen. Nachdem die Daten kopiert sind, wird die neue Partition wieder aus dem temporären Verzeichnis entfernt: debian:~# umount /mnt Zur Sicherheit sollte das alte Verzeichnis /usr einen anderen Namen erhalten. Es kann später gelöscht werden, nachdem sicher ist, dass das System mit der neuen Konfiguration funktioniert: debian:~# mv /usr /usr_alt Das Verzeichnis /usr existiert nun nicht mehr. Es muss neu angelegt werden, damit die neue Partition in dieses Verzeichnis eingehängt werden kann: debian:~# mkdir /usr Nun wird die neue Partition in das Verzeichnis eingehängt:
630
13 Dateisysteme
debian:~# mount /dev/hdb5 /usr Auch hier muss /dev/hdb5 durch den tatsächlichen Namen der Gerätedatei ersetzt werden, welche die neue Partition darstellt. Zum Schluss muss der Datei /etc/ fstab ein Eintrag folgenden Inhalts zugefügt werden, damit die neue Partition bei künftigen Systemstarts in das Verzeichnis /usr eingehängt wird: /dev/hdb5
/usr
ext2
defaults
0
2
Wenn Ihr System mit dieser Konfiguration weiterhin normal startet und funktioniert, löschen Sie das alte Verzeichnis: debian:~# rm -rf /usr_alt Variante 2: Bei diesem Verfahren wird die neue Partition gleich in das endgültige Verzeichnis eingebunden. Dieses ist zunächst anzulegen: debian:~# mkdir -p /disks/2 Mit dem Kommando wird das Verzeichnis /disks angelegt, sofern es noch nicht existiert, und darin das Verzeichnis 2 (für zweite benutzte Partition) erzeugt. Sie können auch ein anderes Verzeichnis anlegen und verwenden. Nun wird die neue Partition in das Verzeichnis eingehängt: debian:~# mount /dev/hdb5 /disks/2 Auch hier muss ein Eintrag der Datei /etc/fstab hinzugefügt werden, damit die Partition bei künftigen Systemstarts automatisch eingehängt wird: /dev/hdb5
/disks/2
ext2
defaults
0
2
Die Bezeichnung /dev/hdb5 ist an den Namen der richtigen Gerätedatei anzupassen. Im nächsten Schritt wird das Verzeichnis /usr rekursiv mit allen Unterverzeichnissen und Dateien auf die neue Partition kopiert: debian:~# cp -ax /usr /disks/2 Nachdem dies geschehen ist, wird das alte Verzeichnis /usr umbenannt: debian:~# mv /usr /usr_alt Zum Schluss wird ein symbolischer Link mit dem Namen /usr auf das neue Verzeichnis gelegt: debian:~# ln -s /disks/2/usr /usr Das Verzeichnis /usr_alt kann wie bei der ersten Methode gelöscht werden, wenn sicher ist, dass das System mit der neuen Konfiguration einwandfrei startet und arbeitet.
13.10 Verwalten eines Dateisystems
631
13.10.6 Aufteilen der Home-Verzeichnisse auf mehrere Partitionen Wenn der Platz auf der Partition, auf der sich die Home-Verzeichnisse befinden, nicht mehr ausreicht, bietet es sich an, einige Home-Verzeichnisse auf eine neue Partition zu verlegen. Angenommen, es stehe eine neue ext3-formatierte Partition zur Verfügung, in welche die Home-Verzeichnisse der Benutzer ralf, michael und uta verlegt werden sollen – alle anderen Home-Verzeichnisse sollen auf der alten Partition verbleiben – dann kommen auch hier die beiden Wege in Frage, die im vorigen Abschnitt bei der Verlegung des Verzeichnisses /usr erläutert wurden. Die neue Partition kann hier nicht einfach in das Verzeichnis /home gemountet werden, weil dieses ja weiterhin die restlichen Home-Verzeichnisse enthält. Zur Lösung der Aufgabe wird ein weiteres Verzeichnis mit Home-Verzeichnissen angelegt, z. B. /home1. Die neue Partition ist in dieses Verzeichnis zu mounten: debian:~# mkdir /home1 debian:~# mount /dev/hdb5 /home1 Die Bezeichnung /dev/hdb5 muss angepasst werden. Die neue Partition ist in die Datei /etc/fstab einzutragen, damit sie künftig während des Systemstarts automatisch eingebunden wird: /dev/hdb5
/home1
ext2
defaults
0
2
Nun können die Home-Verzeichnisse von /home nach /home1 verschoben werden. Dies kann von Hand mit dem Kommando cp geschehen. Dabei ist zu beachten, dass hinterher die Felder der Datei /etc/passwd angepasst werden müssen. In dieser Datei ist zu jedem Benutzerkonto das Home-Verzeichnis gespeichert. Einfacher geht das Verschieben von Home-Verzeichnissen mit dem Programm usermod. Das Programm aktualisiert die Datei /etc/passwd und verschiebt gleichzeitig die Verzeichnisse. Um das Home-Verzeichnis des Benutzers ralf von /home nach /home1 zu verschieben, ist usermod folgendermaßen aufzurufen: debian:~# usermod -d /home1/ralf -m ralf Das Kommando ist für alle zu verschiebenden Home-Verzeichnisse entsprechend zu wiederholen. Alternativ zu diesem Verfahren kann auch hier mit symbolischen Links gearbeitet werden. Die neue Partition wird in ein anderes Verzeichnis eingebunden, z. B. nach /disks/3: debian:~# mkdir -p /disks/3 debian:~# mount /dev/hdb5 /disks/3 Die Kommandos sind anzupassen. Auch hier ist wieder ein Eintrag in der Datei /etc/fstab vorzunehmen. Auf der neuen Partition wird ein Verzeichnis zur Aufnahme der zu verschiebenden Home-Verzeichnisse angelegt: debian:~# mkdir /disks/3/home1
632
13 Dateisysteme
Danach werden die Verzeichnisse kopiert: debian:~# cp -a /home/ralf /home/michael /home/uta /disks/3/home1 Nun werden die alten Home-Verzeichnisse gesichert, indem ihnen ein neuer Name gegeben wird: debian:~# mv /home/ralf /home/ralf_alt Das Kommando ist für alle Home-Verzeichnisse, die verschoben werden sollen, zu wiederholen. Im nächsten Schritt werden symbolische Links aus dem Verzeichnis /home auf die neuen Home-Verzeichnisse gesetzt: debian:~# ln -s /disks/3/home1/ralf /disks/3/home1/michael /disks/3/home1/uta /home Eine Veränderung der Datei /etc/passwd ist bei diesem Verfahren nicht notwendig, weil auf die Home-Verzeichnisse weiterhin über die symbolischen Links mit den alten Namen zugegriffen wird. So führt der Zugriff auf das Verzeichnis /home/ralf nach dieser Änderung dazu, dass in Wirklichkeit auf das Verzeichnis /disks/3/home1/ralf zugegriffen wird. Die alten Verzeichnisse (ralf_alt . . . ) werden gelöscht, nachdem sicher ist, dass die Benutzer wie gewohnt auf ihre Daten zugreifen können. 13.10.7 Verwalten von Auslagerungsspeicher (Swap) Arbeiten mit Swapbereichen Gelegentlich ist nach der Grundeinrichtung die Größe, die Lage oder die Anzahl von Swapbereichen zu verändern. Gründe hierfür sind: • •
Dem System ist eine schnellere Festplatte zugefügt worden. Swapbereiche sollten sich auf der schnellsten Festplatte des Systems befinden. Das System benötigt mehr virtuellen Speicher, als zur Zeit verfügbar ist. Die Menge des verfügbaren sowie des freien Swap-Speichers wird mit den Kommandos free oder swapon -s angezeigt.
Wie Datenpartitionen müssen Swapbereiche vor ihrer Benutzung formatiert werden. Dies geschieht mit dem Kommando mkswap. Dem Kommando ist der Name einer Gerätedatei zu übergeben, die den Datenträger darstellt, der als Swapbereich genutzt werden soll. Um die zweite logische Partition auf der zweiten SCSI-Festplatte zur Verwendung als Swapbereich vorzubereiten, wird folgendes Kommando benutzt: debian:~# mkswap /dev/sdb6 Beim Formatieren von Swapbereichen gehen alle Daten, die sich auf der Partition befunden haben, verloren. Danach wird die Partition mit dem Kommando swapon eingebunden: debian:~# swapon /dev/sdb6
13.10 Verwalten eines Dateisystems
633
Wenn ein Swapbereich nicht mehr benutzt werden soll, muss dies dem System mit dem Kommando swapoff mitgeteilt werden. Dem Kommando ist der Name der Gerätedatei zu übergeben, die den Datenträger darstellt, der nicht mehr als Swapbereich benutzt werden soll: debian:~# swapoff /dev/sdb6 Der Aufruf: joe@debian:~$ less /proc/swaps liefert einige Informationen zum Swapbereich. Partitionen, die dauerhaft als Swapbereich eingesetzt werden, sollten – wie Datenpartitionen – in die Datei /etc/fstab eingetragen werden, damit sie beim Systemstart automatisch eingehängt werden. Um die Partition /dev/sdb6 dauerhaft als Swapbereich zu verwenden, ist folgender Eintrag geeignet: /dev/sdb6
none
swap
sw
0
0
Das Schlüsselwort none zeigt an, dass die Partition nicht mit einem Verzeichnis verbunden wird. Bei mehreren Platten in einem Rechner kann es leichte Geschwindigkeitsvorteile mit sich bringen, auf jeder Platte eine Swap-Partition einzurichten. Man zersplittere den ganzen Swapbereich aber nicht zu sehr. Mehr als eine Swap-Partition pro Platte ist selten sinnvoll. DANIEL ROBBINS gibt auf http://www-128.ibm.com/ developerworks/linux/library/l-swaptip2.html ein paar Tipps zu mehrfachen Swap-Partitionen. Umgekehrt können zwei oder mehr Linuxe auf einem Rechner, von denen jeweils eines beim Booten ausgewählt wird, den Swapbereich gemeinsam nutzen. Verwenden von Swapdateien Die Verwendung von Swapdateien anstelle von Bereichen (Partitionen) für ausgelagerten Speicher ist nicht zu empfehlen. Der Zugriff auf diese Form von Auslagerungsspeicher ist prinzipiell langsamer als bei der Verwendung von Swapbereichen. Wenn in einer Ausnahmesituation besonders viel virtueller Speicher benötigt wird und keine freie Partition vorhanden ist, kann der Einsatz von Swapdateien als vorübergehende Lösung Sinn machen. Vor der Verwendung einer Swapdatei muss diese erzeugt werden. Dies erfolgt mit dem Kommando dd: debian:~# dd if=/dev/zero bs=1024 count=65536 of=swapfile Mit dem Kommando wird eine 64 MB große Datei erzeugt, deren Inhalt aus Nullen besteht. Die Gerätedatei /dev/zero stellt ein virtuelles Gerät dar, dass ausschließlich Nullen ausgibt, wenn von ihm gelesen wird. Die Datei erhält den Namen swapfile und wird im Arbeitsverzeichnis angelegt. Vor der ersten Benutzung muss die Swapdatei ebenfalls mit mkswap initialisiert werden: debian:~# mkswap swapfile
634
13 Dateisysteme
Danach kann die Swapdatei eingehängt werden: debian:~# swapon swapfile Zum Entfernen der Swapdatei wird ebenfalls das Kommando swapoff benutzt. Theoretisch ist es möglich, Swapdateien zu löschen, während sie benutzt werden. In Wirklichkeit wird dann zwar nur der Eintrag im Verzeichnis gelöscht, aber hinterher besteht keine Möglichkeit mehr, den Kern anzuweisen, die Swapdatei nicht mehr zu benutzen, weil ihr Name nicht mehr existiert. Das System muss dann neu gestartet und die Partition, auf der sich die Swapdatei befunden hat, überprüft werden. Sinnvollerweise sollte das Löschen von Swapdateien mit chmod verhindert werden. Wenn eine Swapdatei dauerhaft genutzt werden soll, kann sie in die Datei /etc/ fstab eingetragen werden. Angenommen, die Datei swapfile befinde sich im Verzeichnis /home, so müsste der Eintrag folgendermaßen aussehen: /home/swapfile
none
swap
sw
0
0
Da Swapdateien keine Dauerlösung sind, ist ein solcher Eintrag selten.
14 Debian-Paketsystem
Debian zeichnet sich unter anderem durch ein komfortables Paketsystem aus, das Einrichten, Aktualisieren und Nachrüsten von Software einfach und sicher gestaltet. Wir lernen den Aufbau der Pakete und des Paketsystems sowie einige Werkzeuge zum Umgang mit Debian-Paketen näher kennen.
14.1 Einrichten von Software 14.1.1 Grundbegriffe Ein Programm – sei es der Linux-Kern, ein Systemprogramm oder eine Anwendung – besteht heute nicht mehr aus nur einer Datei. Vielmehr umfasst ein modernes Programm mehrere Module in Quell- und Maschinencode, Bibliotheken, Konfigurationsdateien, Dokumentation, Beispiele, Makefiles, Testrahmen, Versionsgeschichte und vieles andere mehr. Deshalb ist das Debian GNU/Linux System wie andere Linux-Distributionen auch in Pakete (E: package, F: paquet) unterteilt. Pakete beinhalten zusammengehörige Teile des Betriebssystems, Anwendungen, Dokumentation oder andere Formen von Daten, die sich auf einem Rechner einrichten lassen. Sehen wir uns in der Debian-Paketliste in der Abteilung Graphics das Paket gimp an – ein beliebtes Grafikwerkzeug – so stellen wir fest, dass die list of files 206 Dateien umfasst. Der ganze GIMP besteht aus 16 Paketen. Umgekehrt kommt es auch vor, dass mehrere kleine Werkzeuge zu einem Paket zusammengefasst sind. Beispielsweise enthält das Paket coreutils aus der Abteilung Utilities in 274 Dateien 85 Werkzeuge, darunter date und ls. Es würde sich nicht lohnen, für jedes Werkzeug ein eigenes Paket zu schnüren. Die Einteilung des Systems in Pakete liegt bis zu einem gewissen Umfang im Belieben der Maintainer lobesam. Die Tendenz ging in jüngerer Zeit zu mehr und kleineren Paketen. Debian unterscheidet zwischen: • •
Binärpaketen mit ausführbaren Programmen und Quellcodepaketen (Quellpaketen).
636
14 Debian-Paketsystem
Binärpakete können auch ausschließlich Dokumentation enthalten wie das Paket debian-policy. Sie werden mittels apt-get install eingerichtet; ihr Inhalt landet in vorgegebenen Verzeichnissen, während Quellcodepakete mittels apt-get source geholt und in das jeweilige Arbeitsverzeichnis entleert werden. Debian verwendet ein eigenes Paketformat, das Debian-Format. Dateien mit Debian-Binärpaketen tragen die Namensendung (Kennung, extension) .deb. Eine kurze Beschreibung liefert: joe@debian:~$ man 5 deb Formal handelt es sich bei Debian-Paketen um Archive, die mit dem alten UNIXWerkzeug ar1 geschnürt worden sind und verarbeitet werden könnten. Zum bequemen Umgang mit Paketen setzt man jedoch Paketmanager ein, Werkzeuge, die das Einrichten, Nachführen (Aktualisieren) und Entfernen von Paketen wesentlich erleichtern. Ein anderes verbreitetes Paketformat ist das Red-Hat-PaketmanagerFormat (RPM), das von den Distributionen Red Hat/Fedora, Mandriva und SuSE verwendet wird. Die Kennung dieser Pakete ist .rpm. In der Linux/UNIX-Welt sind seit altersher komprimierte Archive gebräuchlich, deren Kennung heute meist .tar.gz oder .tgz lautet. Bei diesen Dateien handelt es sich um mit gzip komprimierte tar-Archive, oft als Tarball bezeichnet. Näheres auf den Manualseiten der beiden Kommandos. Das Debian-Paketsystem ermöglicht, genau die Komponenten einzurichten, die benötigt werden, auch nachträglich. Außerdem lässt sich bei der Auswahl eines Paketes oft aus einer Reihe von Alternativen wählen. Durch das Wachstum von Debian und die Aufteilung großer Pakete in mehrere kleine ist die Anzahl verfügbarer Pakete in jüngerer Zeit stark angestiegen. Die gegenwärtige stabile Version umfasst 18.000 Pakete. Nimmt man an, dass zu einem Werkzeug im Mittel fünf Pakete gehören und zwei Druckseiten zu seiner Beschreibung nötig sind, müsste das Buch Alles über Debian 7.200 Seiten umfassen. Wir werden uns beherrschen. Installieren oder Einrichten eines Paketes bedeutet mehr als Kopieren einer Datei. Will man mit GIMP arbeiten, reicht es nicht, die oben genannten 206 Dateien auf die Maschine herunterzuladen. Das Werkzeug setzt voraus, dass einige andere Pakete bereits eingerichtet sind wie das Paket libc6 mit der GNU-C-Library. Man sagt, das Paket gimp hänge ab (depend) vom Paket libc6 und weiteren. Daran beißt keine Maus einen Faden ab. Die Debian-Entwickler gehen aber weiter und empfehlen (recommend) zusätzliche Pakete, die man aller Voraussicht nach ebenfalls braucht, deren Einrichtung jedoch ausdrücklich verlangt werden muss. Schließlich schlagen sie einige Pakete vor (suggest), die interessant sein könnten, zum Beispiel mit Dokumentation. Wer keine Dokumentation liest, darf den Vorschlag ablehnen, ohne Einbußen an der Funktionalität des Werkzeugs befürchten zu müssen.
1
Leider gibt es zwei Varianten des ar-Kommandos. Im Debian-Paket binutils aus der Abteilung Development kommt die GNU/System-V-Variante mit. Debian-Pakete werden jedoch mit der BSD-Variante gebaut. Der Unterschied spielt nur selten eine Rolle, aber bei Problemen sollte man daran denken.
14.1 Einrichten von Software
637
14.1.2 Der Debian Package Manager (dpkg) Wegen der großen Anzahl von Paketen stehen Werkzeuge zur Verfügung, mit denen Pakete gesucht und ausgewählt werden. Der eigentliche Paketmanager ist das Programm dpkg (Debian package manager). Es richtet Pakete ein und wirft sie wieder hinaus, erteilt Auskunft über den Status von Paketen auf dem System und zeigt Informationen zu Paketen an. Probieren Sie folgenden Aufruf aus: joe@debian:~$ dpkg --info /var/cache/apt/archives/ libc6_2.3.6.ds1-13_i386.deb Das Werkzeug verlangt als Argument den Namen der Paketdatei, nicht den Paketnamen. Suchen Sie notfalls mit locate nach der Datei, sie ist bestimmt in irgendeiner Version auf Ihrem System vorhanden. Bei der Einrichtung eines Paketes prüft dpkg Paketabhängigkeiten. So werden für die Ausführung eines Programms in der Regel einige Programmbibliotheken benötigt. Bibliotheken enthalten Programmcode, der von mehreren Programmen benutzt wird und deswegen nicht in jedem Programm einzeln enthalten zu sein braucht. Sie erleichtern auch das Programmieren. Der Programmcode wird mit dem betreffenden Programm erst während des Starts oder zur Laufzeit verbunden. Eine zentrale Bibliothek auf jedem Linux-System ist die C-Laufzeitbibliothek libc, die von fast allen Programmen benötigt wird. Sie ist – wie viele andere Bibliotheken – in einem eigenen Debian-Paket enthalten. Neben der Überprüfung des Vorhandenseins bestimmter Pakete stellt dpkg sicher, dass die notwendigen Pakete in der richtigen Version vorliegen. Die meisten Programme funktionieren nur mit bestimmten, aktuellen Versionen von Bibliotheken oder anderen Programmen, nicht mit älteren. dpkg untersucht nur, ob die Abhängigkeiten erfüllt sind; es tut nichts, um unerfüllte Abhängigkeiten zu beheben. Wenn ein Paket entfernt werden soll, überprüft dpkg, ob dadurch die Systemintegrität gestört wird. Wenn beispielsweise versucht wird, das Paket mit der CLaufzeitbibliothek zu entfernen, wäre die fatale Folge, dass sich hinterher fast kein Programm mehr benutzen ließe. Der Paketmanager dpkg würde dies anzeigen und sich weigern, das Paket zu entfernen, es sei denn, alle Pakete, die das zu entfernende Paket benötigen, sollten ebenfalls entfernt werden. Das Programm dpkg ist ein Kommandozeilenprogramm. Es wird mit unterschiedlichen Argumenten und Optionen aufgerufen, die ihm sagen, ob es Pakete einrichten oder entfernen soll oder ob es Informationen zu Paketen oder dem System anzeigen soll. Angenommen, das Paket modconf wurde aus dem Internet heruntergeladen und in der Datei modconf_0.3.1_all.deb gespeichert, so wird es mit folgendem Aufruf eingerichtet oder aktualisiert: debian:~# dpkg --install modconf_0.3.1_all.deb Bevor ein Programm mit dpkg eingerichtet wird, muss bekannt sein, wo sich die Paketdatei befindet und welche anderen Pakete eingerichtet sein müssen, damit alle Abhängigkeiten erfüllt sind. Bei der hohen Anzahl der Pakete und den verschlungenen Abhängigkeiten der Pakete untereinander ist es jedoch schwierig, den Durchblick zu behalten. Außerdem brauchen sich die verfügbaren Pakete nicht unbedingt
638
14 Debian-Paketsystem
auf einem lokalen Datenträger wie der Festplatte oder einer CD/DVD zu befinden, sie können auch auf einem Debian-Server im lokalen Netz oder im Internet liegen. Dann müssen sie erst heruntergeladen werden. 14.1.3 Advanced Package Tool (APT) Den Hürden beim Einrichten widmet sich das Advanced-Package-Tool-System (APT), ein Werkzeugkasten, der die Abhängigkeiten von Paketen untereinander sowie die Paketquellen verwaltet: • • • • • • • • • • •
• • • • • • •
•
apt-build ein Frontend für APT, um Pakete zu bauen, zu optimieren und einzurichten, apt-cache ein Werkzeug zum Bearbeiten des Paket-Caches von APT, mit einer Reihe von Unterkommandos, apt-cacher ein APT-Caching-Proxy für LANs, um die Netzverbindung ins Internet zu entlasten, apt-cdrom ein Werkzeug zum Hinzufügen von CD/DVDs zur Datei sources.list, was man nicht per Texteditor machen soll, apt-config ein Konfigurationswerkzeug zum Gebrauch in Skripten, nicht im Dialog außer zum Lesen der Konfiguration (Unterkommando dump), apt-extracttemplates zieht DebConf-Werte und Templates aus Paketen heraus, apt-file ein Kommandozeilenwerkzeug, um nach Paketen und Dateien zu suchen, ähnlich wie apt-cache, apt-ftparchive zum Bauen von Indexdateien, apt-get das Werkzeug für den Endverbraucher, mit einigen Unterkommandos, apt-key verwaltet die Schlüssel zur Authentifizierung von Paketen, apt-mirror zum Einrichten eines lokalen, vollständigen oder teilweisen Spiegels der Debian-Pakete, siehe http://apt-mirror.sourceforge. net/, apt-move zum Verschieben von Paketen in der Verzeichnishierarchie eines Debian-Archivs, hauptsächlich in Verbindung mit Spiegeln gebraucht, apt-proxy zum Bau von lokalen Proxies oder Spiegeln, siehe http:// apt-proxy.sourceforge.net, apt-rdepends zieht rekursiv Abhängigkeiten aus den Paketen heraus und stellt sie dar, apt-show-source zeigt Informationen zu Quellcodepaketen an, apt-show-versions zeigt Versionsinformationen zu Paketen an, apt-sortpkgs ein Werkzeug zum Sortieren der Indexdateien, apt-spy geht eine Liste von Debian-Spiegeln durch, ermittelt die schnellsten und schreibt sie in sources.list, in Europa weniger wichtig als in den USA, braucht eine gewisse Zeit, apt-src zum Verwalten von Quellcodepaketen mit gegenüber apt-get source erweiterten Fähigkeiten,
14.1 Einrichten von Software
639
Daneben sind die Pakete apt-doc (2003) und apt-howto (2006) wärmstens ans Herz zu legen. Einige Werkzeuge werden praktisch nur von Debian-Maintainern gebraucht, einige in LANs, einige auf jedem Debian-Rechner. Das wichtigste Programm aus dieser Familie ist apt-get. Es wird ebenso wie dpkg zur Einrichtung oder zum Rauswurf von Paketen in der Kommandozeile eingesetzt. Wenn es ein bestimmtes Paket einrichten soll, prüft apt-get zunächst, welche anderen Pakete notwendigerweise eingerichtet sein müssen, damit das gewünschte Paket eingerichtet werden kann. Danach versucht es, alle benötigten Pakete bereit zu stellen. Das kann bedeuten, dass es den Benutzer auffordert, eine bestimmte CD/DVD in das Laufwerk zu legen oder dass es Pakete von einem Debian-Spiegel aus dem Internet herunterlädt. Wenn die Pakete auf dem Rechner vorhanden sind, ruft apt-get dpkg auf, um sie einzurichten. Weil apt-get die Abhängigkeiten der Pakete untereinander kennt, geht es dabei so vor, dass es dpkg zunächst die Pakete einrichten lässt, die benötigt werden, um das gewünschte Paket einzurichten. Dann fährt apt-get mit der Anweisung fort, das ausgewählte Paket einzurichten. Auf diese Weise sind Fehler aufgrund unberücksichtigter Abhängigkeiten nahezu ausgeschlossen. apt-get ist sozusagen der Kopf, der den Arbeitsplan aufstellt, dpkg die Hand, die ihn ausführt. Die Konfiguration von apt-get liegt im Verzeichnis /etc/apt. Die Datei apt-conf samt dem Unterverzeichnis apt.conf.d enthalten einige Einstellungen, die man sich ansieht und zu ändern selten Anlass hat. Umso wichtiger ist die Datei sources.list. Sie teilt APT mit, woher die Pakete zu holen sind, die Paketquellen oder Repositories, und lässt sich mit einem Texteditor ändern. Zu jeder Paketquelle gehört eine Zeile wie in folgendem Beispiel: # deb cdrom:[Debian GNU/Linux testing _Etch_ - Official Snapshot i386 Binary-1 (20060810)]/ etch main deb http://ftp2.de.debian.org/debian/ etch main contrib non-free deb-src http://ftp2.de.debian.org/debian/ etch main deb http://security.debian.org/ etch/updates main deb-src http://security.debian.org/ etch/updates main # deb ftp://debian.marlow.dk/ sid madwifi # deb-src ftp://debian.marlow.dk/ sid madwifi Die erste und hier auskommentierte Zeile – so etwas löscht man nicht – stammt von der Ersteinrichtung des Systems von einer CD/DVD. Da der Rechner in einem LAN läuft und durch dieses DSL-Verbindung zum Internet hat, sollen Erweiterungen und Aktualisierungen per HTTP oder FTP von Debian-Spiegeln bezogen werden. Die zweite und dritte Zeile besagen: •
Hole Binärpakete (deb) oder Quellcodepakete (deb-src) von dem nachfolgenden URL, hier http://ftp2.de.debian.org/debian/. Wer keinen Quellcode liest, braucht die Zeile mit deb-src nicht, sie schadet aber auch nicht und verlängert nur geringfügig die Zeit zum Herunterladen der Paketindices.
640
•
•
14 Debian-Paketsystem
Im dritten Feld (etch) folgt die gewünschte Suite oder Version. Ob wir etch oder stable schreiben, ist die meiste Zeit unerheblich, nur am Tag der Freigabe einer neuen stabilen Suite macht das einen Unterschied. etch bleibt etch, unabhängig davon, wie stabil es ist. stable bleibt stable, ob es nun sarge, etch oder lenny heißt. In den meisten Fällen will man die Umstellung auf eine neue stabile Suite in der Hand behalten und trägt daher den Codenamen ein. Auf Arbeitsplätzen findet man hier oft testing beziehungsweise ab 2007 lenny. unstable oder sid ist möglich, aber riskant. In den restlichen Feldern werden die Abteilungen nach Bedarf benannt. main braucht man immer, die nicht ganz so freien Abteilungen contrib oder non-free, wenn benötigte Pakete nicht in main enthalten sind.
Das nächste Zeilenpaar ergibt sich aus den vorangegangenen Zeilen und betrifft die Sicherheitsupdates, die von http://security.debian.org/ heruntergeladen werden. Der Sicherheitsdienst wird nur für stable und testing angeboten, nicht für unstable. Das letzte, wieder auskommentierte Zeilenpaar benennt einen nicht-offiziellen Debian-Server, von dem eine bestimmte, noch nicht in Debian aufgenommene Software benötigt wurde. Offenbar verlief der Versuch mit der Software nicht erfolgreich. madwifi stellt Treiber und Werkzeuge für WLANs bereit, da funktioniert noch nicht alles nach Wunsch. Der bis Debian 3.0 (2005) verwendete Server non-us.debian.org, der kryptografische und andere Software anbot, die aus den USA nicht exportiert werden durften, ist stillgelegt. Seine Software ist in die normalen Archive aufgenommen. In sources.list dürfen beliebige Server stehen – auch lokale – sie müssen sich nur an die Debian-Konventionen hinsichtlich des Aufbaus der Paketarchive halten, von denen APT ausgeht. Nach der Ersteinrichtung steht regelmäßiges Nachführen auf dem Programm. Wir beginnen mit dem Herunterladen der aktuellen Paket-Indices (Paketlisten): debian:~# apt-get update Da die Paket-Indices im Lauf der Jahre ziemlich umfangreich geworden sind, werden heute nur noch die Differenzen zwischen der örtlich vorhandenen und der aktuellen Installation übertragen. Dann kommen die zu aktualisierenden Paket an die Reihe: debian:~# apt-get upgrade Dabei werden niemals örtlich eingerichtete Pakete entfernt oder neue hinzugefügt, es werden nur neue Versionen bereits eingerichteter Pakete geholt. Weil dies mitunter nicht ausreicht – unter anderem, wenn neue Abhängigkeiten hinzukommen – gibt es ein erweitertes Kommando: debian:~# apt-get dist-upgrade das im Bedarfsfall auch Pakete löscht oder hinzufügt, aber stets erst nach Rückfrage. Man muss also am Terminal bleiben, ansonsten ist dist-upgrade genau so zu verwenden wie die einfachere Variante. Schließlich sollte man den lokalen Cache von Paketen säubern, die nicht mehr auf den Debian-Spiegeln vorhanden sind, weil sie abgelöst wurden oder sich aus anderen Gründen erübrigt haben:
14.1 Einrichten von Software
641
debian:~# apt-get autoclean Ein bestimmtes Paket wird mittels: debian:~# apt-get install packagename eingerichtet. Ist es schon vorhanden, merkt APT das und gibt nur einen Hinweis aus, ebenso falls wegen Abhängigkeiten weitere Pakete geholt und eingerichtet werden müssen. Zum Entfernen eines lokal eingerichteten Paketes dient: debian:~# apt-get remove packagename Dabei bleiben etwaige Konfigurationsdateien erhalten, um eine erneute Einrichtung zu erleichtern. Die Konfigurationsdateien nehmen vergleichsweise wenig Platz ein. Mit der Option --purge werden auch systemweite Konfigurationsdateien und verzeichnisse beseitigt. Wie man mittels locate feststellt, bleiben immer noch einige ungefährliche Dateien in /usr/share/doc und /var/cache/apt/ archives zurück, die man von Hand mittels rm löscht, so man will. Was ein Benutzer möglicherweise an Konfigurationsdateien in seinem Home-Verzeichnis angelegt hat, entzieht sich dem Zugriff von APT. Da man dem Internet nicht mehr trauen kann, werden Debian-Pakete mit Prüfsummen versehen. Die als Secure APT bezeichneten Maßnahmen beschreibt J OEY H ESS auf http://wiki.debian.org/SecureApt (2007). Die Grundlage bildet gpg, der GNU Privacy Guard. Der Aufruf: joe@debian:~$ apt-cache show grub liest die im Verzeichnis /var/lib/apt/lists abgelegte Paketliste und liefert bespielsweise (nicht interessierende Zeilen weggelassen): Package: grub ... MD5sum: 0f4d9e99114543a343b6eb901140f8bf SHA1: bce3eae25d6aeb0aae978183f2f5f972e153100a SHA256: 5987d875ac004a....8845dbe13bb4ca5fa4b52f4b26d2a ... Dies sind drei hexadezimale Prüfsummen, berechnet nach verschiedenen Algorithmen, von denen zur Zeit nur die MD5-Summe verwendet wird. Wir berechnen sie unsererseits aus dem Paket selbst: joe@debian:/var/cache/apt/archives$ openssl dgst -md5 grub_0.97-27_i386.deb und sollten übereinstimmende Werte erzielen. Die Paketlisten sind ebenfalls durch in übergeordneten Dateien niedergelegte Werte gesichert, sodass schließlich eine lückenlose Kette vom Erzeuger bis zum Verbraucher eines Paketes entsteht. Die Kette für alle Pakete beginnt in der Release-Datei, die mit einem PGP-Schlüssel signiert ist. Wenn APT ein Update durchführt, lädt es neben der Release-Datei die Signatur in der Datei release.gpg herunter und überprüft die Vertrauenswürdigkeit. Bei Bedenken warnt APT und fragt, wie es verfahren soll. Der Aufruf:
642
14 Debian-Paketsystem
debian:~# apt-key list zeigt die lokal in /etc/apt/trusted.gpg gespeicherten Schlüssel an, genauer gesagt deren Identifier, die kürzer sind. Falls die Schlüssel fehlen, werden sie mit dem Paket debian-archive-keyring nachgerüstet. Fahren wir die Überprüfung der Release-Datei von Hand, so wechseln wir in das Verzeichnis /var/lib/apt/ lists und geben ein: debian:~# gpg --verify Release.gpg Release Für Release ist in beiden Argumenten der volle Dateiname einzugeben wie ftp2.de.debian.org_debian_dists_etch_Release. Vermutlich fangen wir uns beim ersten Versuch eine Fehlermeldung wegen nicht gefundener Schlüssel ein. Wir müssen noch den oder die Schlüssel mit Hilfe der Identifier in unser Schlüsselbund $HOME/.gnupg/pubring.gpg einfügen: debian:~# gpg --recv-keys ADB11277 Das Argument ist der oben ermittelte Identifier, hier für den Etch Stable Release Key. Wiederholen der Überprüfung liefert: gpg: Signature made So 08 Apr 2007 11:38:40 CEST using DSA key ID ADB11277 gpg: Good signature from "Etch Stable Release Key <[email protected]>" gpg: WARNING: This key is not certified with a trusted signature! gpg: There is no indication that the signature belongs to the owner. Primary key fingerprint: 7EA3 91D7 2477 203B 58C0 4FBC B5D0 C804 ADB1 1277 Die Warnung bezieht sich darauf, dass die in unserem Schlüsselbund versammelten Schlüssel nicht beglaubigt sind. Sie könnten uns von einem Bösewicht untergejubelt worden sein. Wer ganz sicher gehen will, beschäftige sich mit dem GNU Privacy Guard. Die zu diesen öffentlichen Schlüsseln gehörenden privaten Schlüssel garantieren letztendlich die Echtheit der Pakete. Dasselbe Werkzeug dient auch zum Hinzufügen weiterer Schlüssel von anderen Archiven sowie zum Entfernen nicht mehr benötigter SchLüssel. Weiteres auf der Manualseite zu apt-secure und im genannten Wiki. Die Überprüfungen brauchen wir im Normalbetrieb nicht von Hand durchzuführen, das erledigt Secure APT selbsttätig, das heißt APT ab Version 0.6: joe@debian:~$ apt-get --version und hält mit einer Warnung an, wenn bei der Signatur der Release-Datei oder den Prüfsummen der Paketlisten oder Pakete Unstimmigkeiten entdeckt werden. Die Sicherheit einzelner Binärpakete lässt sich weiter treiben und von Paketlisten oder Release-Dateien unabhängig gestalten, indem die Pakete signiert werden. Werkzeuge hierzu stellen die Pakete debsigs, debsig-verify sowie dpkg-sig bereit. Die Signaturen werden Bestandteil der Pakete, sind also beim Herunterladen immer
14.1 Einrichten von Software
643
dabei. Die Website http://dpkg-sig.alioth.debian.org/ könnte sich zu einem Heimathafen für dpkg-sig entwickeln. 14.1.4 Das interaktive Installationsprogramm dselect Neben dpkg und apt-get stehen einige Programme zur bequemen interaktiven Verwaltung von Paketen zur Verfügung. Diese Programme zeigen dem Benutzer die verfügbaren und die eingerichteten Pakete in listen- oder baumartigen Strukturen an und ermöglichen die Auswahl, Einrichtung oder Entfernung von Paketen innerhalb der angezeigten Paketlisten. Außerdem lassen sich mit diesen Programmen Zusatzinformationen zu allen Paketen wie Beschreibungen oder Installationsempfehlungen abrufen. Das klassische2 Programm zur interaktiven Paketverwaltung ist dselect. Es stellt alle verfügbaren und eingerichteten Pakete in einer Liste dar, die nach unterschiedlichen Schlüsseln sortiert werden kann; es ermöglicht die Suche nach Paketen und unterstützt den Benutzer beim Lösen von Konflikten zwischen verschiedenen Paketen. Das Programm dselect kann mit oder ohne Verwendung von APT benutzt werden. Im Allgemeinen ist die Verwendung mit APT zu empfehlen, dselect ist dann nur für die Unterstützung des Benutzers bei der Auswahl von Paketen zuständig und überlässt APT die Bereitstellung der ausgewählten Pakete sowie den Aufruf von dpkg. Die Möglichkeit der Verwendung von dselect ohne APT stammt aus der Zeit, als es APT noch nicht gab.
Quellen
dselect Paket−DB apt−get
(z.B. CDROMs, Festplatte, NFS, Internet)
Status−DB dpkg
Pakete
Debian−System (alle installierten Dateien und Programme) Abb. 14.1: Das Paketverwaltungssystem von Debian, Erläuterung im Text.
2
Manche Benutzer sagen historisch. Falls Sie erst mit Debian anfangen, bemühen Sie sich nicht um dselect.
644
14 Debian-Paketsystem
Abbildung 14.1 zeigt den Aufbau des Paketverwaltungssystems schematisch sowie das Zusammenwirken der einzelnen Werkzeuge. Das Programm dpkg ist für die unmittelbare Arbeit mit den Paketen zuständig. Dafür benötigt es den Zugriff auf die Paketdateien. Von dem Programm werden zwei Datenbanken gepflegt, nämlich eine Datenbank, die alle verfügbaren Pakete enthält (Paket-DB) und eine weitere, die den Status jedes einzelnen Paketes auf dem System enthält (Status-DB). Status eines Paketes kann sein, dass es installiert oder nicht installiert ist, oder aber, dass im Zusammenhang mit dem Paket ein Fehler aufgetreten ist. Die Beschaffung von Paketen sowie der Aufruf von dpkg zur eigentlichen Einrichtung wird von dem Programm apt-get durchgeführt. Dieses Programm kann wiederum von anderen Programmen wie dselect aufgerufen werden, die eine interaktive Auswahl der einzurichtenden oder zu entfernenden Software ermöglichen. Das Programm apt-get sowie die interaktiven Installationsprogramme müssen Kenntnis von den zu verwendenden Installationsquellen, also CD/DVDs, Internetservern usw. haben. Dies ermöglicht ihnen, die verfügbaren Pakete anzuzeigen und einzurichtende Pakete bei Bedarf zu beschaffen. Außerdem können die Programme ebenfalls auf die Status-Datenbank sowie die Paketdatenbank zugreifen, damit sie entscheiden können, welche Pakete nach einer Auswahl eingerichtet oder entfernt werden müssen. 14.1.5 aptitude Seit einiger Zeit gibt es Werkzeuge, die dselect ablösen. Dazu gehören die Programme gnome-apt und synaptic, zwei Paketverwaltungsprogramme für die grafische Benutzeroberfläche GNOME, und aptitude, ein weiteres Programm für die Textkonsole (mit curses), das einen anderen Ansatz verfolgt. Diese Werkzeuge sind allesamt für die Verwendung mit APT vorgesehen, der direkte Aufruf von dpkg ist nicht mehr eingeplant. aptitude kann auch auf grafiklosen Servern eingesetzt werden. aptitude vereinigt die Stärken von APT und dselect und bringt eigene mit. Für aptitude gibt es auf http://people.debian.org/~burrows/ aptitude-doc/ ein aptitude user’s manual (2004) von DANIEL B URROWS. Der Aufruf: joe@debian:~$ aptitude oder Anklicken von Anwendungen -> Debian -> Anwendungen -> System -> Aptitude bringt den Startbildschirm vor die Augen, Anklicken von Schnellauswahl -> Endbenutzer -> Desktop-Umgebung im Startbildschirm einen Schirm wie in Abbildung 14.2, der eine aufgabenbezogene Auswahl von Paketen anbietet. Mittels Pfeiltasten oder Cursor wählt man ein Paket aus – in der Abbildung cupsys – und erfährt in der unteren Fensterhälfte Einiges zu dem Paket. Der Platz ist beschränkt; ein Manual oder HOWTO ersetzen die Zeilen nicht. Mit einem Paket lassen sich Aktionen wie Installieren, Entfernen, Vollständig Entfernen, Bei- oder Zurückbehalten durchführen. Auch als gewöhnlicher Benutzer kann man mit aptitude spielen; vor Änderungen am System fragt der Paketmanager nach dem Passwort von Root. Zum Schluss
14.1 Einrichten von Software
645
Abb. 14.2: Screenshot von Aptitude, einer curses-Oberfläche zum Advanced Package Tool. Ganz oben Auswahl der Aufgabe, darunter Paketwahl, unten Informationen zum ausgewählten Paket.
spielt man Minesweeper. Die Benutzung von aptitude ist recht intutitiv, vor allem wenn man APT kennt und weiß, welche Kommandos sich hinter den Menüpunkten verbergen. Die Mischung von Deutsch und Englisch in der deutschen Fassung nervt manchmal, der Zeichensatz passt auch nicht immer, aber man kann sich an das Frontend gewöhnen. 14.1.6 GNOME-apt und Synaptic GNOME-apt und Synaptic sind zwei grafische Oberflächen zu APT, setzen also X11 und GTK+ voraus, was auf einem reinen Server nicht immer gegeben ist. Abbildung 14.3 zeigt einen Schirm mit drei Teilfenstern von GNOME-apt. Das GNOMEWerkzeug wird über die Menüpunkte Anwendungen -> Systemwerkzeuge -> Gnome Apt Software Manager erreicht. Synaptic wird über die Menüpunkte Anwendungen -> Debian -> Anwendungen -> System -> Synaptic Package Manager aufgerufen. Ein gewöhnlicher Benutzer darf Informationen abfragen, aber nichts ändern. Abbildung 14.4 zeigt ein Fenster, in dem aus der Abteilung (Sektion) Email das Metapaket exim4 ausgewählt ist. Es
646
14 Debian-Paketsystem
Abb. 14.3: Screenshot der grafischen Benutzerobefläche GNOME-apt zum Advanced Package Tool, mit Fenster der Paketquellen (repository), der eingerichteten Pakete und Informationen zu dem ausgewählten Paket, hier zu apt.
ist schwierig zu sagen, welches Frontend das beste ist, die wesentlichen Funktionen beherrschen alle, der Rest ist zum großen Teil Gewohnheit. 14.1.7 Aufgabenbezogene Paketauswahl (Tasksel) Um die Paketauswahl insbesondere für Anfänger zu erleichtern, haben sich die Debian-Entwickler ein weiteres Instrument einfallen lassen. Das Programm tasksel greift auf acht vorgefertigte Zusammenstellungen von Paketen zu, die im Paket tasksel-data enthalten sind; dazu kommt die Paketauswahl von Hand: • • • • • • • • •
Desktop-Umgebung Web-Server Druck-Server DNS-Server Datei-Server Mail-Server SQL-Datenbank Laptop Manuelle Paketauswahl
14.1 Einrichten von Software
647
Abb. 14.4: Screenshot der grafischen Benutzerobefläche Synaptic zum Advanced Package Tool, links die Abschnitte der Paketliste, rechts oben Paketauswahl, rechts unten Informationen zu dem ausgewählten Paket.
siehe Abbildung 14.5. Nach der Auswahl eines oder mehrerer Tasks ruft tasksel das Programm apt-get auf, das die Pakete beschafft und einrichtet. Meist entscheidet man sich zunächst für die Hauptaufgabe(n) eines Rechners und verschiebt die Feinabstimmung auf später. Die Zusammenstellungen umfassen nur die wichtigsten Pakete, bei weitem nicht alle. 14.1.8 Paketkonfiguration Der letzte Teil der Einrichtung eines Paketes besteht in der Konfiguration. Dabei finden zwei Vorgänge statt: •
•
Das Programm wird mit Konfigurationsdateien ausgestattet. Dies kann bedeuten, dass die in dem Paket enthaltenen Konfigurationsdateien an den richtigen Platz kopiert werden oder dass gar nichts geschieht, weil es sich bei der Konfiguration um eine Aktualisierung handelt und die Konfigurationsdateien bereits vorhanden sind. In bestimmten Fällen kann nicht automatisch entschieden werden, was getan werden soll, weswegen dpkg den Benutzer nach seinen Wünschen fragt. Das postinst-Skript wird ausgeführt. Aufgabe des Skriptes ist es, die endgültige Konfiguration des Paketes festzulegen. Das Skript kann ebenfalls mit dem Benutzer reden. Beispielsweise könnte während der Einrichtung eines WebBrowsers gefragt werden, welche Webseite beim Start des Browsers geladen werden soll.
Das Verfahren ist leider mit zwei Nachteilen verbunden:
648
14 Debian-Paketsystem
Abb. 14.5: Screenshot des curses-basierten Werkzeugs Tasksel zur Auswahl von Paketzusammenstellungen (task). Es dürfen mehrere Zusammenstellungen aufgewählt werden.
•
•
Wenn eine große Anzahl von Paketen eingerichtet wird, wie etwa während einer Neueinrichtung des gesamten Systems, werden immer wieder und mit größeren Zeitabständen Fragen gestellt, nämlich dann, wenn gerade irgendein Paket konfiguriert wird. Einrichtungen lassen sich deswegen schwer unbeaufsichtigt durchführen. Es ist nicht klar, wie die Konfiguration eines Paketes wiederholt werden kann. Die postinst-Skripte sind nämlich nur für den Aufruf durch dpkg bestimmt und können nicht ohne weiteres vom Benutzer aufgerufen werden.
Das zweite Problem ist bei vielen Paketen durch ein weiteres Skript gelöst worden, mit dem die eigentliche Konfiguration vorgenommen wird. Dieses Skript wird vom postinst-Skript oder vom Benutzer aufgerufen und steht später weiterhin zur Verfügung. Solche Pakete brauchen nicht unbedingt schon während der Einrichtung konfiguriert zu werden. Das Verfahren wird von einer Reihe von Paketen benutzt. Die in den Paketen enthaltenen Konfigurationsskripte werden von solchen Paketen normalerweise im Verzeichnis /usr/sbin abgelegt und tragen Namen, die sich aus den Namen des Paketes sowie der Zeichenkette update zusammensetzen. Durch Verwendung solcher Skripte wird jedoch nicht das Problem gelöst, dass die Einrichtung größerer
14.1 Einrichten von Software
649
Mengen von Paketen immer wieder angehalten wird, weil Fragen zur Konfiguration gestellt werden. Aus diesem Grund wurde das Programm debconf entwickelt, mit dem ein neuer Ansatz zur Paketkonfiguration vorliegt. Das Programm debconf verwaltet eine Datenbank mit Informationen zur Konfiguration von Paketen. Wenn das postinst-Skript während der Einrichtung eines Paketes ausgeführt wird, kann dieses die Informationen aus der Datenbank abfragen und das Paket automatisch konfigurieren, vorausgesetzt, alle benötigten Informationen sind in der Datenbank vorhanden. Informationen, die einmal in die debconf-Datenbank eingegeben wurde, bleiben dort und werden bei der erneuten Einrichtung des Paketes genutzt. Außerdem können Pakete, die debconf verwenden, zu jeder Zeit neu konfiguriert werden. Optimal ist der Einsatz von debconf zusammen mit APT. Bevor APT damit beginnt, Pakete einzurichten, ruft es dann nämlich das Programm dpkg-preconfigure – ein Teil von debconf – auf, mit dem alle zur Konfiguration benötigten Informationen abgefragt werden, bevor das erste Paket konfiguriert wird. Arbeiten mit debconf Das Programm debconf wird selbst über debconf konfiguriert. Wenn es das erste Mal eingerichtet wird, stellt es einige Fragen zu seiner Konfiguration. Sie können die Konfiguration später erneuern, indem Sie folgendes Kommando eingeben: debian:~# dpkg-reconfigure -plow -fdialog debconf Dann erscheint der in Abbildung 14.6 dargestellte Bildschirm. Das in dem Bildschirm gezeigte Menü dient zur Auswahl des Frontends, mit dem Pakete in Zukunft konfiguriert werden sollen. Damit sind Programme gemeint, die dafür verantwortlich sind, Fragen darzustellen und Antworten entgegenzunehmen. Zur Zeit stehen folgende Frontends zur Auswahl: •
• • • •
•
Dialog Dies ist das in Abbildung 14.6 gezeigte Frontend. Es bietet eine menügesteuerte Benutzerführung und kann an der Konsole oder in einem Terminalfenster benutzt werden. In der Regel ist die Auswahl dieses Frontends zu empfehlen. Readline Bei der Verwendung dieses Frontends gehen Fragen und Antworten als Text über die Konsole, wie in alten Zeiten. Gnome Konfiguration unter einer X11-Oberfläche. GNOME muss eingerichtet sein. Ebenso für KDE. Editor Für ergraute Linux/UNIX-Verwalter, die gewohnt sind, Konfigurationsdateien mit einem Texteditor zu bearbeiten. Web Das Frontend ist eine Art Webserver. debconf nennt einen URL, der in einen Web-Browser einzugegeben ist. Die Fragen werden im Browser angezeigt und dort beantwortet. In Abbildung 14.6 offensichtlich nicht angeboten, können wir verschmerzen. Nicht-interaktiv Das Frontend ist eigentlich keines. Seine Auswahl bewirkt, dass debconf in Zukunft keine Fragen zur Konfiguration stellt und stattdessen Voreinstellungswerte (Defaults) benutzt.
650
14 Debian-Paketsystem
Abb. 14.6: Screenshot des Konfigurationsmenüs des Programms debconf
Nach Auswahl des Frontends wird mit der Taste auf das Feld OK gesprungen, um die Auswahl zu bestätigen. Danach erscheint ein Bildschirm, der die Auswahl der Priorität im nächsten Bildschirm erläutert. Dort legen Sie fest, welche Fragen Ihnen künftig vorgelegt werden sollen: • • •
•
low Die Einstellung bewirkt, dass Sie jede mögliche Einstellung von Hand vornehmen müssen, auch wenn dafür Voreinstellungen (Defaults) bekannt sind. medium Ermöglicht, auch solche Einstellungen selbst vorzunehmen, für die sinnvolle Voreinstellungen verfügbar sind. high Nach der Auswahl dieser Priorität werden nur Fragen gestellt, für die es keine Voreinstellungen gibt. Beispielsweise kann in einem Paket nicht die Information enthalten sein, welchen Internetversorger Sie verwenden. critical Mit dieser Einstellung werden nur solche Informationen erfragt, die benötigt werden, damit das System überhaupt funktioniert.
Normalerweise ist die Einstellung medium zu empfehlen, wenn Sie ein hohes Maß an Kontrolle über die Konfiguration Ihres Systems wünschen oder die Einstellung high, wenn Sie sich auf Voreinstellungen verlassen wollen. Danach wählen Sie aus, ob Fragen zur Konfiguration tatsächlich vor der Einrichtung von Paketen gestellt werden sollen. Es ist zu empfehlen, diese Frage mit Yes zu beantworten. Zum Schluss wird ausgewählt, ob bereits bekannte Informationen je-
14.1 Einrichten von Software
651
desmal neu erfragt werden sollen, wenn ein Paket eingerichtet oder aktualisiert wird. Wir empfehlen, dies mit No abzulehnen. Wenn ein Paket nach der Einrichtung erneut konfiguriert werden soll, ist hierzu das Programm dpkg-reconfigure zu verwenden. Das Programm kann mit den folgenden Optionen aufgerufen werden: •
•
•
-fTyp | - -frontend=Typ Hiermit wird das zu verwendende Frontend ausgewählt. Wenn die Option nicht benutzt wird, wird das bei der Konfiguration von debconf eingestellte Frontend benutzt. Wenn Sie das zu benutzende Frontend dauerhaft neu einstellen wollen, ist debconf neu zu konfigurieren. -pWert | - -priority=Wert Die Option bestimmt, welche Informationen erfragt werden. Für Wert ist eine der Prioritäten zu verwenden, die wir von debconf her kennen. Wenn die Priorität dauerhaft neu eingestellt werden soll, muss debconf neu konfiguriert werden. - -all Die Option bewirkt, dass alle Pakete, die eingerichtet sind und debconf zur Konfiguration benutzen, neu konfiguriert werden.
Wenn das Paket netbase neu konfiguriert werden soll, könnte dpkg-reconfigure folgendermaßen aufgerufen werden: debian:~# dpkg-reconfigure -plow netbase Die Option -plow (niedrigste Priorität) bewirkt, dass alle Informationen neu erfragt werden. Bedenken Sie, dass möglicherweise nach dem Aufruf von dpkg-reconfigure überhaupt keine Informationen erfragt werden. Die Ursache ist vermutlich, dass die Priorität zu hoch eingestellt wurde. Aktualisierung von Konfigurationsdateien Viele Pakete beinhalten vorgefertigte Konfigurationsdateien für die in ihnen enthaltenen Programme. Diese Dateien werden oft vom Systemverwalter angepasst. Um die Anpassungen bei der Aktualisierung nicht zu überschreiben, werden Konfigurationsdateien als Vorgabe nicht automatisch ersetzt. Vielmehr überprüft dpkg, ob eine Konfigurationsdatei angepasst wurde, also von der Originaldatei abweicht. Wenn das nicht der Fall ist, wird davon ausgegangen, dass der Systemverwalter keine Änderungen an der Konfiguration des Paketes vorgenommen hat. Eine neue Version der Konfigurationsdatei kann bedenkenlos eingerichtet werden. Wenn jedoch Anpassungen vorgenommen worden sind, wird geprüft, ob sich das Original der Konfigurationsdatei, wie sie in der alten Paketversion enthalten war, von der Konfigurationsdatei der neuen Paketversion unterscheidet. Wenn das nicht der Fall ist, wird davon ausgegangen, dass sich das Format der Konfigurationsdatei sowie die darin vorzunehmenden Einstellungen zwischen den beiden Paketversionen nicht geändert haben. Die manuell angepasste Version wird weiterbenutzt. Falls sich die Konfigurationsdateien zwischen beiden Paketversionen unterscheiden, besteht die Gefahr, dass bei der aktualisierten Fassung des Paketes eine andere Konfigurationssyntax zu verwenden ist oder Einstellungen vorgenommen werden müssen, die für die alte Version nicht erforderlich waren. Die Änderungen sind in der
652
14 Debian-Paketsystem
manuell angepassten Version möglicherweise nicht enthalten, weswegen die Weiterverwendung der alten, angepassten Datei im schlimmsten Fall dazu führt, dass das Paket nicht mehr funktioniert. Aus diesem Grund fragt dpkg in solchen Situationen nach, wie verfahren werden soll. Es erscheint dann eine Ausgabe, die sinngemäß so aussieht: Configuration file ‘/etc/wgetrc’ ==> File on system created by you or by a script. ==> File also in package provided by package maintainer. What would you like to do about it? Your options are: Y or I : install the package maintainer’s version N or O : keep your currently-installed version D : show the differences between the versions Z : background process to examine situation The default action is to keep your current version. *** wgetrc (Y/I/N/O/D/Z) [default=N]? Im Beispiel ist das Paket wget eingerichtet worden, das die Konfigurationsdatei /etc/wgetrc enthält, die auf dem System bereits vorhanden ist und von der Originalversion abweicht. dpkg bietet nun folgende Möglichkeiten zur Auswahl an: •
•
•
•
Überschreiben der alten Version Durch Auswahl von oder wird die in dem Paket enthaltene Version der Konfigurationsdatei eingerichtet. Die vorher vorhandene Datei wird zuvor mit der Kennung .dpkg-old gesichert, sodass sie weiterhin zur Verfügung steht und Änderungen später manuell übernommen werden können. Beibehalten der alten Version Durch Auswahl von oder wird die neue Konfigurationsdatei nicht eingerichtet. Stattdessen wird sie mit der Kennung .dpkg-dist in dasselbe Verzeichnis abgelegt, in dem auch die alte Version liegt. Auch hier besteht die Möglichkeit, beide Dateien später miteinander zu vergleichen und Änderungen manuell zu übernehmen. Anzeigen der Unterschiede Durch Auswahl von wird das Programm diff aufgerufen, das Unterschiede zwischen der alten und der neuen Konfigurationsdatei mit dem Standardtextbetrachter (in der Regel less) anzeigt. Zeilen, die nur in der alten Konfigurationsdatei vorhanden sind, werden mit einem vorangestellten Minuszeichen dargestellt, während Zeilen, die nur in der neuen Datei vorkommen, mit einem vorangestellten Pluszeichen erscheinen. Anhand der Unterschiede zwischen beiden Dateien kann beurteilt werden, ob die neue Version eingerichtet oder die alte beibehalten werden soll. Untersuchen der Situation Durch Auswahl von wird der Prozess in den Hintergrund gestellt. Vorher wird die neue Version der Datei mit der Kennung .dpkg-new in das Verzeichnis abgelegt, in dem sich auch die Originalversion befindet. Es besteht dann die Möglichkeit, beide Dateien zu vergleichen, bevor das Paketverwaltungssystem etwas unternimmt. Auch können Änderungen bereits jetzt vorgenommen werden. Durch Eingabe des Kommandos exit wird danach wieder zur Abfrage zurückgekehrt. Achten Sie darauf, eine eventuell
14.1 Einrichten von Software
653
eben erst geänderte Datei nicht zu überschreiben. Wählen Sie , wenn Sie die Originaldatei angepasst haben oder , wenn Sie die neue Konfigurationsdatei übernehmen wollen. Durch Drücken der -Taste wird der eingegebene Wert übernommen oder der Vorgabewert (alte Version beibehalten) ausgewählt. Wenn Sie sich nicht sicher sind, sollten Sie jeweils die neue Konfigurationsdatei, die mit einem Paket geliefert wird, wählen. Wenn es sich dabei um wichtige Konfigurationsdateien handelt, sollten Sie hinterher die alte, gesicherte Version mit der neuen vergleichen. Hierbei sind Kommentare zu den von Ihnen vorgenommenen Änderungen hilfreich (wer was wann warum). 14.1.9 Überschreiben von Abhängigkeiten mit equivs Wenn Sie ein Programm auf Ihrem Rechner übersetzt und ohne Verwendung von Debian-Paketen eingerichtet haben, kann das Problem auftreten, dass andere Pakete, die von diesem Programm abhängen, nicht mehr eingerichtet werden können. Das Paketsystem weiß nichts von dem an ihm vorbei eingerichteten Programm. Wir müssen dem Paketmanager irgendwie mitteilen, dass das benötigte Programm doch auf dem System vorhanden ist und davon abhängige Pakete eingerichtet werden dürfen. Mit dem Paket equivs können in solchen Fällen Metapakete erstellt werden, deren Aufgabe einzig und allein darin besteht, dem Paketmanager mitzuteilen, dass bestimmte Komponenten vorhanden sind. Die Metapakete enthalten nur Informationen zu Abhängigkeiten und Konflikten, aber keinen Code. Die Erstellung eines derartigen Metapaketes erfolgt in mehreren Schritten. Zunächst wird eine Kontrolldatei erstellt; eine Vorlage kann mit dem Programm equivs-control erzeugt werden. Alternativ können Vorlagen aus dem Verzeichnis /usr/share/doc/equivs/examples benutzt werden. Wir erzeugen im Arbeitsverzeichnis eine Kontrolldatei mit dem Namen dummy-control: joe@debian:~$ equivs-control dummy-control Die Datei ist ähnlich aufgebaut wie die Kontrolldatei eines echten Debian-Paketes. Sie müssen die Datei nun mit einem Texteditor an Ihre Vorstellungen anpassen. In der Datei befinden sich verschiedene Kontrollfelder, die jeweils mit Namen und Doppelpunkt eingeleitet werden. Werte von Feldern, die angepasst werden sollten, sind durch die Zeichen < und > markiert. Zwischen den beiden Zeichen befindet sich bei den meisten Feldern ein Hilfetext, der anzeigt, welcher Wert benutzt wird, wenn Sie dort nichts angeben. Sie müssen für jedes Feld entweder einen Wert angeben oder das Feld löschen/auskommentieren, damit equivs die Vorgaben benutzt. Der Aufbau von Kontrolldateien ist in der Manualseite zu deb-control beschrieben, die in dem Paket dpkg-dev enthalten ist. Die Kontrolldateien für equivs dürfen einige zusätzliche Felder enthalten, die im Normalfall nicht vorgesehen sind. Folgende Felder stehen zur Verfügung: •
notwendige Felder:
654
14 Debian-Paketsystem
–
•
Package bestimmt den Namen des zu erstellenden Metapaketes. Hier sollte der Name des zu ersetzenden Paketes angegeben werden. – Version bestimmt die Versionsnummer des zu erstellenden Paketes. Sie sollten hier mindestens die gleiche Versionsnummer angeben, die das zu ersetzende Paket hat. Um zu verhindern, dass das Metapaket während einer Aktualisierung des Systems wieder durch das zu ersetzende Paket überschrieben wird, sollte besser eine höhere Versionsnummer gewählt werden. – Maintainer Hier sollten sie Ihren Namen und Ihre Email-Anschrift in folgender Form eingeben: Vorname Name . – Description Beschreibung des Paketes. Die erste Zeile enthält die einzeilige Kurzbeschreibung, darunter die lange Beschreibung. Absätze werden durch Zeilen erzeugt werden, die lediglich einen Punkt enthalten. Das erste Zeichen jeder Zeile in der ausführliche Beschreibung muss leer sein (Zwischenraum). wahlfreie Felder: – Section bestimmt die Unterabteilung, in die das Paket gehört. – Priority die Priorität des zu ersetzenden Paketes. – Essential meist no; dann kann die Zeile entfallen. – Architecture Rechnerarchitektur, für die das Paket bestimmt ist. Für Intel386-basierte PCs ist hier der Wert i386 anzugeben. – Depends bestimmt, zu welchen Paketen das Paket Abhängigkeiten haben soll (Komma-getrennte Liste). – Pre-Depends In diesem Feld können Pakete angegeben werden, die vollständig eingerichtet und konfiguriert sein müssen, bevor das Metapaket eingerichtet wird. Normalerweise nicht benötigt. – Recommends Pakete, die zur Einrichtung mit dem Paket empfohlen werden. – Conflicts Pakete, mit denen das zu erstellende Paket in Konflikt steht. – Provides Virtuelle Pakete, die mit diesem Paket zur Verfügung gestellt werden. Für virtuelle Pakete dürfen keine Versionsnummern angegeben werden.
Eine mit equivs-control erzeugte Kontrolldatei könnte folgendermaßen aussehen: Section: misc Priority: optional Standards-Version: 3.6.2 Package: equivs-dummy Version: 2.9.4-1 Maintainer: Joe Debian <[email protected]> # Pre-Depends: # Depends: # Recommends: Provides: bar-foo-foo # Replaces: Architecture: i386 # Copyright:
14.1 Einrichten von Software
655
# Changelog: # Readme: # Extra-Files: Description: <short description; defaults to some words> long description and info . second paragraph Zum Vergleich sehen wir uns die Kontrolldatei eines fertigen Debian-Paketes an: joe@debian:~$ dpkg -f grub_0.97-27_i386.deb Dateinamen finden wir in /var/cache/apt/archives. Wenn die Kontrolldatei fertig angepasst ist, wird das Paket mit dem Kommando equivs-build erzeugt: joe@debian:~$ equivs-build dummy-control Es befindet sich unter dem Namen equivs-dummy_2.0.4-2_i386.deb im Arbeitsverzeichnis. Wir schauen mit less hinein und finden erwartungsgemäß wenig Substanz. Es wird wie jedes andere Paket mit dpkg eingerichtet: debian:~# dpkg --install equivs-dummy_2.9.4-1_i386.deb Bei der Einrichtung des Metapaketes werden alle Dateien des zu ersetzenden Paketes gelöscht. Sie müssen vorher sichergestellt haben, dass das System auch ohne die Dateien des zu ersetzenden Paketes lauffähig ist. Nach dem Einrichten sollte geprüft werden, ob alle Einträge in der Kontrolldatei richtig sind: debian:~# apt-cache gencaches Falls Fehler auftreten, stimmen Einträge in den Kontrollinformationen nicht. Sie sollten die Kontrolldatei dann überarbeiten und das Paket neu erstellen und einrichten. Wir sehen uns die Informationen aus dem Paket an: joe@debian:~$ apt-cache showpkg equivs-dummy und sollten eine verständliche Antwort erhalten. Ein nichtleeres Verzeichnis /usr/ share/doc/equivs-dummy gibt es, eine Manualseite natürlich nicht. Wie man richtige Pakete mit Inhalt baut, erfahren wir in Abschnitt 14.3 Bau von DebianPaketen auf Seite 662. 14.1.10 Mischen von Versionen Es kommt vor, dass man mit einer Version arbeitet, aber dringend ein Paket aus einer anderen, meist weniger stabilen Version benötigt, sei es, um neue Hardware anzusprechen, sei es, weil man eine erst seit kurzem verfügbare Funktionalität
656
14 Debian-Paketsystem
braucht. Grundsätzlich ist das Mischen von Versionen erlaubt. Wir können stable fahren, aber ein einzelnes Paket aus testing oder gar unstable einrichten. Mit hoher Wahrscheinlichkeit handeln wir uns jedoch Probleme ein. Da es kaum ein Paket gibt, das nicht von anderen Paketen abhängt, steht zu befürchten, dass weitere Pakete aus einer weniger stabilen Version verlangt werden, im schlimmsten Fall die grundlegende libc, ohne die nichts läuft. Auf dem Arbeitsplatz des Zweitautors beschleunigte ein Mischversuch den Umstieg von stable auf testing; das war die einfachere Lösung. Ein weiteres Problem sind die Sicherheits-Updates. Mischt man Pakete hinzu, die nicht von den Updates erfasst werden, muss man sich selbst um etwaige Sicherheitslücken kümmern. Am einfachsten hat es der Verwalter, wenn er in der Datei /etc/apt/ sources.list die benötigten Paketquellen hinzufügt: deb http://ftp.de.debian.org/debian stable main deb http://ftp.de.debian.org/debian testing main deb http://ftp.de.debian.org/debian unstable main Da apt-get stets die Pakete mit der höchsten Versionsnummer einrichtet, hätte das Vorgehen zur Folge, dass die Pakete überwiegend aus unstable zum Zuge kommen, was wohl nicht unsere Absicht ist. Hier hilft ein Mechanismus, der als Pinning bekannt ist und auf der Manualseite zu apt_preferences erläutert wird. In der optionalen Datei /etc/apt/preferences werden dazu Prioritäten für Versionen und Pakete festgelegt, die apt-get veranlassen, von seinen Vorgaben abzuweichen. Mit einem Aufruf wie: joe@debian:~$ apt-cache policy grub erfährt man, welche Version eines Paketes eingerichtet ist, welche möglich sind und welche Prioritäten diese haben. Gedanken zum Pinning und zu Prioritäten braucht sich nur zu machen, wer gemischte Versionen fährt. 14.1.11 Umstellen von einer Version auf die nächste Das Umstellen von einer Debian-Version auf die nächste ist im laufenden Betrieb möglich, unter Umständen mit einer kurzen Unterbrechung, wenn ein Kern ausgetauscht und daher ein Rebooten erforderlich wird. In einem Test mit einem einfach strukturierten Server hat die Umstellung von sarge auf etch problemlos funktioniert. Das Vorgehen ist jedoch nicht immer so einfach, insbesondere bei stark individualisierten Systemen, sodass man sich überlegen sollte, ob nicht eine Neueinrichtung vorzuziehen ist, verbunden mit einigen Aufräumarbeiten und Verbesserungen an der Hardware. Beide Wege verlangen gewisse Vorbereitungen, vor allem ein Sichern der Daten. 14.1.12 Quellcode Debian GNU/Linux besteht aus offener Software. Sie bekommen auf Wunsch zu allen Programmen den Quellcode. Möglicherweise wollen Sie irgendetwas genauer wissen, als in der Dokumentation zu lesen ist, oder Sie wollen ein Programm an
14.2 Pakete und Paketverwaltung
657
spezielle Bedürfnisse anpassen. Da die meisten Programme in C/C++ geschrieben sind, sind Kenntnisse dieser Sprache Voraussetzung zum Verständnis des Quellcodes. Perlskripte sind auch häufig. Man braucht aber kein gefinkelter Programmierer zu sein, um die Grundzüge einfacher Werkzeuge zu verstehen. Die höchste Hürde ist, dass ein modernes Programm aus vielen Dateien besteht, die wiederum andere Dateien einbinden, die von noch anderen Dateien abhängen. Trotz locate und grep ist es oft mühsam, genau die Stelle herauszufinden, die unsere Frage beantwortet oder die Variable enthält, an der wir drehen müssen. Quellcodepakete lädt man mittels: joe@debian:~$ apt-get source packagename in das Arbeitsverzeichnis herunter. Weitere Unterkommandos und Optionen lese man im Manual nach.
14.2 Pakete und Paketverwaltung 14.2.1 Eigenschaften und Beziehungen von Paketen Benennung von Paketen und Paketdateien Pakete tragen normalerweise den Namen des Programms, das sie zur Verfügung stellen. So befindet sich das Programm The Gimp – eine Bildbearbeitungs-Software – in dem Paket gimp. Da das Werkzeug umfangreich ist, verteilt es sich auf mehrere Pakete mit der Zeichenkette gimp im Namen. Im Paket gimp selbst findet man die meisten unter der Überschrift Other Packages Related to gimp als notwendige, empfohlene oder vorgeschlagene Zusatzpakete. Von den Paketnamen sind die Namen der Paketdateien zu unterscheiden. Per Konvention bestehen sie aus dem Paketnamen, an den mit einem Unterstrich (underscore) die Versionsnummer des Programms angehängt ist. Die Versionsnummer wird als Upstream-Version bezeichnet, weil sie die Versionsnummer ist, die der ursprüngliche Autor des Programms vergeben hat. Daran schließt sich mit einem Bindestrich die Versionsnummer des Paketes an, die vom Hersteller des Paketes (Debian maintainer) vergeben wurde. Dies ist die Paketversion. Beide Nummern sind unabhängig voneinander. Wenn der Hersteller des Paketes gimp_1.0.4-2 (The Gimp, Version 1.0.4) das Paket aus demselben Originalquellcode erneut erstellt, etwa weil er eine weitere Anpassung an Debian vorgenommen hat, würde das Paket danach den Namen gimp_1.0.4-3 tragen. Wie schon erwähnt, wird Debian-Binärpaketen die Endung (Kennung) .deb angehängt. Der Dateiname des Gimp-Binärpaketes würde also gimp_1.0.4-3.deb lauten. Sind Upstream-Entwickler und Debian-Paketmaintainer identisch, entfällt die Paketversion. Wenn Pakete für unterschiedliche Rechnerarchitekturen (Prozessoren) in einem gemeinsamen Verzeichnis aufbewahrt werden sollen, ist es notwendig, ihnen Namen zu geben, auf Grund derer auf die Rechnerarchitektur geschlossen werden kann. In solchen Fällen wird dem Paketnamen hinter einem Unterstrich die Bezeichnung der Rechnerarchitektur angehängt: gimp_1.0.4-3_i386.deb. all bedeutet architekturunabhängig, für jede von Debian unterstützte Architektur geeignet. Solche Dateinamen finden wir im Verzeichnis /var/cache/apt/archives zuhauf.
658
14 Debian-Paketsystem
Inhalt von Paketen Bei Debian-Binärpaketen handelt es sich um ar-Archive. Unter einem Archiv wird eine Datei verstanden, die eine Anzahl weiterer Verzeichnisse und/oder Dateien samt Verwaltungsinformationen enthält. Das Werkzeug ar wird meist benutzt, um Archive von Objektdateien zu erstellen, wie sie bei der Entwicklung ausführbarer Programme anfallen, das heißt Funktions- oder Klassenbibliotheken. Mit dem Werkzeug ar ist es möglich, den Inhalt eines ar-Archivs anzuzeigen. Dazu wird es mit der Option t (table of contents) aufgerufen. Zusätzlich kann die Option v (verbose) benutzt werden, um neben den Namen der Dateien weitere Informationen zu erhalten. Wenn sich beispielsweise das Paket modconf_0.3.1_all.deb im Arbeitsverzeichnis befindet, wird der Paketinhalt mit folgendem Kommando angezeigt: joe@debian:~$ ar vt modconf_0.3.1_all.deb Bei den Kommandos ar und tar darf der sonst vor Optionen erforderliche Bindestrich weggelassen werden, hat historische Gründe. Die Ausgabe sieht so aus: rw-r--r-- 0/0 4 Nov 10 12:41 2006 debian-binary rw-r--r-- 0/0 1663 Nov 10 12:41 2006 control.tar.gz rw-r--r-- 0/0 1141602 Nov 10 12:41 2006 data.tar.gz Das Paket enthält drei Dateien, nämlich debian-binary, control.tar.gz und data.tar.gz. Die drei Dateien sind in allen Binärpaketen in genau dieser Reihenfolge enthalten, ihr Inhalt unterscheidet sich natürlich von Paket zu Paket. Durch das Signieren von Paketen kommen weitere Dateien hinzu. Die Datei debian-binary enthält Informationen darüber, für welche Version von dpkg das Paket bestimmt ist, zur Zeit Version 2.0. Damit wird sichergestellt, dass Werkzeug und Paket zusammenpassen. Bei den Dateien data.tar.gz und control.tar.gz handelt es sich wiederum um Archive, diesmal um gzip-komprimierte tar-Archive. Im Archiv data.tar.gz sind die eigentlichen Dateien enthalten, die durch das Paket bereit gestellt werden, und im Archiv control.tar.gz finden sich Kontrollinformationen darüber, welche Konfigurationsdateien zu dem Paket gehören und welche Aktionen vor oder nach der Einrichtung oder der Entfernung des Paketes ausgeführt werden müssen. Außerdem findet sich hier eine Beschreibung des Paketes mit verschiedenen Informationen wie Abhängigkeiten, Namen und Email-Adresse des Paket-Herstellers usw. Nach dem Herunterladen eines Quellcodepaketes finden wir im Arbeitsverzeichnis Dateien wie: -rw-r--r-- 1 joe joe
75505 2007-03-30 15:32 grub_0.97-27.diff.gz -rw-r--r-- 1 joe joe 896 2007-03-30 15:32 grub_0.97-27.dsc -rw-r--r-- 1 joe joe 971783 2005-11-25 02:02 grub_0.97.orig.tar.gz
14.2 Pakete und Paketverwaltung
659
Die letzte Datei ist der Tarball des originalen Entwicklers (Upstream-Entwicklers). Im Fall quelloffener Software könnten auch wir den Tarball über das Netz beziehen, sofern wir seinen Heimathafen kennen. Mit dem Aufruf: joe@debian:~$ tar xvf grub_0.97.orig.tar.gz sehen wir uns das Inhaltsverzeichnis an, ohne das Archiv auszupacken. Die dscDatei enthält Informationen zum Paket, mit less zu lesen. Die diff.gz-Datei stellt die komprimierte Differenz bereit, um aus dem originalen Quellcode die Debian-Version zu erzeugen, mit zless lesbar, aber nicht sehr aufschlussreich. Zum Umgang mit Differenzen siehe die Manualseiten zu diff, patch und ed. Abhängigkeiten Wie beschrieben ist es meist notwendig, dass neben einem bestimmten Paket noch andere Pakete eingerichtet sind, damit die Programme in dem betreffenden Paket funktionieren. Diese Abhängigkeiten (dependencies) sind in den Steuerdateien der Pakete vermerkt, und dpkg hat deswegen die Möglichkeit zu verhindern, dass sinnlos nicht lauffähige Programme eingerichtet werden oder durch das Entfernen von Systembestandteilen andere Pakete nicht mehr nutzbar sind. Die Einrichtungswerkzeuge können den Anwender in einem solchen Fall zwingen, bestimmte weitere Programme einzurichten oder eine bestimmte Bibliothek nicht zu entfernen. Virtuelle Pakete, Metapakete Neben Abhängigkeiten von realen Paketen können auch Abhängigkeiten von virtuellen Paketen bestehen. Virtuelle Pakete enthalten keinen Code, sondern werden aus realen Paketen zusammengestellt. Ein Beispiel: Die Dokumentation zu einem Programm wird im HTML-Format geliefert. Um Dokumente in diesem Format bequem lesen zu können, benötigt man einen Web-Browser. Das Paket, das die Dokumentation enthält, ist also abhängig davon, dass auf dem System ein Webbrowser eingerichtet ist. Es wäre jedoch schlecht, wenn es als Abhängigkeit beispielsweise netscape verlangen würde, weil der Verwalter unter Umständen einen anderen Web-Browser verwendet. Deswegen verlangt das Dokumentations-Paket, dass das virtuelle Paket www-browser eingerichtet ist, das von Paketen wie iceweasel, epiphany oder lynx bereit gestellt wird. Virtuelle Pakete ermöglichen dem Verwalter, aus einer Reihe von Paketen auszuwählen, die alle eine bestimmte Funktionalität bieten, um die Abhängigkeit eines anderen Paketes, das diese Funktionalität benötigt, zu befriedigen. Metapakete sind etwas Anderes. Wenn ein Programm – sagen wir der MTA Exim4 – auf mehrere Pakete verteilt ist, fasst ein Metapaket über Abhängigkeiten die Pakete zusammen und erleichtert das Herunterladen und Einrichten. In ähnlicher Weise dienen Übergangspakete (transition package) dazu, den Umstieg von einer Software auf eine andere zu erleichtern, indem unter dem alten Namen die neuen Pakete eingerichtet werden, beispielsweise beim Übergang von Mozilla auf Iceape.
660
14 Debian-Paketsystem
Konflikte zwischen Paketen Es kommt vor, dass Pakete in Konflikt mit anderen Paketen stehen. Dann ist es nur möglich, entweder das eine oder das andere Paket einzurichten. So darf auf einem System immer nur ein Programm zum Transport elektronischer Mail (Mail Transport Agent, MTA, wie Exim) aktiv sein. Wenn bereits ein MTA eingerichtet ist und Sie versuchen, einen weiteren MTA einzurichten, gestattet dpkg dies nicht. Sie müssen sich dann entscheiden, welches der beiden Pakete Sie verwenden wollen. Die Entscheidung fällt leichter, wenn man weiß, dass das Entfernen (remove) eines Paketes üblicherweise seine Konfigurationsdateien bestehen lässt. Weitere Beziehungen zwischen Paketen Neben den bereits genannten Beziehungen (Abhängigkeiten und Konflikte) gibt es einige weitere Eigenschaften von Paketen, die bei der Einrichtung oder Entfernung berücksichtigt werden müssen. Dazu gehören: •
•
Die Eigenschaft eines Paketes, ein anderes zu ersetzen (replace). In einem solchen Fall wird das zu ersetzende Paket von dem System entfernt, während das neue Paket hinzugefügt wird. Die Eigenschaft ist beispielsweise dann nützlich, wenn die Funktionalität eines Paketes nach einer Aktualisierung von einem anderen Paket übernommen wird. Ein Paket kann eine besondere Form der Abhängigkeit zu einem anderen Paket haben (Pre-Depends). Das bedeutet, dass das entsprechende Paket nicht entpackt werden darf, bevor das andere Paket, zu dem diese Abhängigkeit besteht, vollständig eingerichtet ist. Normalerweise werden Pakete mit Abhängigkeiten zwar entpackt, aber nicht konfiguriert, wenn Abhängigkeiten nicht erfüllt sind. Sie sind dann vorhanden, aber noch nicht benutzbar.
14.2.2 Was passiert während der Einrichtung eines Paketes? Während der Einrichtung eines Paketes überprüft dpkg zunächst, ob das einzurichtende Paket in Konflikt zu irgendeinem anderen Paket steht, das bereits eingerichtet ist. Falls dies so ist, wird die Einrichtung abgebrochen. Eine Ausnahme hiervon wird gemacht, wenn das bereits eingerichtete Paket, das mit dem neu einzurichtenden in Konflikt steht, zur Entfernung vorgesehen ist. Falls die Überprüfung keinen Konflikt entdeckt hat, wird untersucht, ob es sich bei der Einrichtung um eine Aktualisierung (Update) des Paketes oder um eine Ersteinrichtung handelt. Im Falle der Aktualisierung wird ein Skript der alten Version ausgeführt, mit dem diese darauf vorbereitet wird, gelöscht zu werden. Dies ist beispielsweise wichtig für Pakete, die Programme zur Verfügung stellen, die ständig im Hintergrund ausgeführt werden (Dämonen) und vor der Entfernung oder der Aktualisierung gestoppt werden müssen. Es handelt sich hierbei um das prerm-Skript (Pre-Remove). Danach wird, falls vorhanden, ein Skript ausgeführt, mit dem das neue Paket seine Einrichtung vorbereitet. Hier wird gegebenenfalls geprüft, ob wirklich alle
14.2 Pakete und Paketverwaltung
661
Voraussetzungen erfüllt sind. Falls dies nicht der Fall ist, werden die Voraussetzungen erfüllt oder die Einrichtung abgebrochen. Dies ist das preinst-Skript (PreInstallation). Im nächsten Schritt wird das neue Paket entpackt. Gleichzeitig werden Dateien, die zu einer eventuell vorhandenen älteren Version des Paketes gehören, gelöscht. Falls eine ältere Version vorhanden war, erhält sie danach noch einmal die Möglichkeit, ein Skript auszuführen, durch das alle noch verbliebenen und durch sie vorgenommenen Änderungen am System rückgängig gemacht werden. Dieses Skript heißt postrm-Skript (Post-Remove). Falls mehrere Pakete eingerichtet oder nachgeführt werden, wird an dieser Stelle unterbrochen. Es werden zunächst die übrigen Pakete bis hin zu diesem Punkt eingerichtet. Der Grund hierfür besteht darin, dass ein neues Paket von einem anderen Paket abhängen könnte, das auch eingerichtet werden soll, es aber noch nicht ist. Deswegen wird erst nach dem Entpacken aller einzurichtenden Pakete überprüft, ob alle Abhängigkeiten eines bestimmten Paketes erfüllt sind. Falls nicht, wird abgebrochen und das Paket in einem ausgepackten, aber noch nicht konfigurierten Zustand hinterlassen und eine Fehlermeldung ausgegeben. Sind hingegen alle Abhängigkeiten erfüllt, wird das einzurichtende Paket konfiguriert. Dabei werden zunächst die Konfigurationsdateien des Paketes eingerichtet. Wenn es sich um eine Nachführung handelt, wird zunächst geprüft, ob an den Konfigurationsdateien der alten Version Änderungen vorgenommen worden sind und dann – falls sich alte und neue Version der Konfigurationsdatei voneinander unterscheiden – nachgefragt, ob die alten (angepassten) Konfigurationsdateien durch die neuen ersetzt werden sollen. Dadurch ist sichergestellt, dass mühsam angelegte Konfigurationsdateien nie automatisch während der Aktualisierung von Paketen überschrieben werden. In einem letzten Schritt wird ein Skript ausgeführt, mit dem das neue Paket Anpassungen am System vornehmen und dem Benutzer Fragen zur gewünschten Konfiguration stellen kann. Bei diesem Skript handelt es sich um das postinstSkript (Post-Installation). 14.2.3 Zustände von Paketen Aktueller Status Wie bereits erwähnt verwaltet dpkg eine Datenbank mit einer Liste aller eingerichteten und verfügbaren Pakete. In dieser Liste befinden sich neben den eigentlichen Paketinformationen (Abhängigkeiten usw.) Informationen über den Zustand oder Status des Paketes auf dem jeweiligen System, Die beiden einfachsten Zustände sind: • •
installed Das Paket ist eingerichtet oder not installed Das Paket ist nicht eingerichtet.
Ein Paket, das vom System entfernt wurde, erhält den Status config. Dies bedeutet, dass sich die eigentlichen Dateien des Paketes nicht mehr auf dem System befinden,
662
14 Debian-Paketsystem
jedoch die Konfigurationsdateien noch vorhanden sind. Mit einem besonderen Kommando (dpkg - -purge) werden auch diese Dateien gelöscht, wonach das Paket wieder als nicht eingerichtet gilt. Darüber hinaus können – im Allgemeinen dann, wenn Probleme aufgetreten sind – folgende Zustände vorkommen: • •
•
unpacked Das Paket wurde entpackt, jedoch noch nicht konfiguriert. Es kann noch nicht eingesetzt werden. half installed Beim Entpacken des Paketes trat ein Fehler auf. Um das Paket zu verwenden, muss es neu entpackt und konfiguriert, also neu eingerichtet werden. half configured Das Paket wurde bereits entpackt, bei der Konfiguration ist jedoch ein Fehler aufgetreten. Um das Paket verwenden zu können, muss es erneut konfiguriert werden.
Neben dem Status, den ein Paket auf dem System hat, wird ein zweiter Status verwaltet, nämlich der, den der Systemverwalter für das Paket vorgesehen hat. Ein Paket kann eingerichtet, aber zum Löschen ausgewählt sein. Ebenso kann es noch nicht eingerichtet, aber für die Einrichtung vorgesehen sein. Ein Paket, das eingerichtet ist und auch bleiben soll, gilt ebenfalls als zur Einrichtung vorgesehen. Weiter ist es möglich, dass nur noch die Konfigurationsdateien vorhanden sind und das Paket zum Löschen der Konfigurationsdateien ausgewählt ist. Darüber hinaus kann bestimmt werden, dass ein Paket eingefroren werden soll. Die Folge ist, dass es nicht durch eine neuere Version ersetzt wird, wenn das System aktualisiert wird. Dieser Status wird hold genannt. Der Auswahlstatus kann noch eine Ausprägung annehmen: unbekannt. Es wurde noch nie verlangt, das betreffende Paket einzurichten oder zu löschen, etwa weil das Paket der Liste verfügbarer Pakete erst kürzlich hinzugefügt wurde. Der Auswahlstatus wird normalerweise nicht von dpkg direkt verändert, sondern von Programmen zur interaktiven Paketauswahl wie dselect oder Nachfolgern.
14.3 Bau von Debian-Paketen Setzt man eigene oder fremde, nicht von Debian stammende Software ein, sollte man sie in die Form von Debian-Paketen bringen, um die Vorteile der DebianPaketverwaltung und ihrer Werkzeuge nutzen zu können. Auf einem Einzelrechner werden die Vorteile in etwa von dem zusätzlichen Aufwand ausgeglichen; betreut man ein lokales Netz, spart die Debianisierung Zeit und erhöht die Sicherheit. Denkbar ist auch, dass ein Verwalter gelegentlich ein Debian-Paket an besondere Zwecke anpassen oder eigene Metapakete einsetzen möchte. Schließlich könnte der Fall eintreten, dass Sie ein pfiffiges Werkzeug geschrieben haben und es in Debian einbringen möchten. Falls Sie Debian-Pakete herstellen und selbst in Verkehr bringen wollen, ist How Software Producers Can Distribute Their Products Directly in DEB Format (2002) von A ARON I SOTTON der richtige Begleiter. Im Folgenden befassen wir uns mit dem Bau von Debian-Paketen, nicht mit der Frage Wie werde ich Debian-Maintainer?
14.3 Bau von Debian-Paketen
663
Das Bauen von Debian-Paketen geht wie das Kuchenbacken: Wir brauchen einige Küchengeräte, Zutaten und eine Anleitung, wie die Zutaten verrührt und in die fertige Form gebracht werden. Das Kochbuch für diesen Zweck ist der Debian New Maintainer’s Guide (E: 2007, D: 2005) von J OSIP RODIN, erhältlich von http://www.debian.org/doc/ oder als Paket maint-guide-de. Der Guide findet sich in /usr/share/doc/maint-guide-de wieder. Zwei weitere Pakete mit Dokumentation, um die wir auf lange Sicht nicht herumkommen, sind debian-policy (2006) und developers-guide (2006). Im Folgenden greifen wir so weit möglich auf Linux/UNIX-Werkzeuge zurück; es versteht sich, dass die DebianMaintainer – in der Regel Programmierer – sich Spezialwerkzeuge geschaffen haben. Wir wollen ein Hallo-Welt-Programm3 unter dem Paket- und Kommandonamen hallo abfüllen. Ob es sich dabei um ein C-Programm oder ein Shellskript handelt, ist zunächst unerheblich; ein Skript findet der geneigte Leser in der Quelle 2.15 auf Seite 109. Als Erstes richten wir in unserem Home-Verzeichnis ein Unterverzeichnis für die Packerei ein – zweckmäßig unter $HOME/tmp – sozusagen die Rührschüssel für den Kuchenteig, und wechseln hinein: joe@debian:~$ cd; mkdir -p tmp/hallo; cd tmp/hallo Da das künftige Kommando in /usr/bin und seine Manualseite in /usr/ share/man/man1 eingerichtet werden sollen, legen wir diese Verzeichnisse als Unterverzeichnisse von hallo an (ohne führenden Schrägstrich): joe@debian:~$ mkdir -p usr/bin usr/share/man/man1 Wir nehmen an, dass wir die ausführbare Datei hallo.sh samt Manualseite hallo.1.gz in $HOME/tmp erzeugt haben, und kopieren sie nach usr/bin beziehungsweise nach usr/share/man/man1: joe@debian:~$ cp ../hallo.sh usr/bin joe@debian:~$ cp ../hallo.1.gz usr/share/man/man1 Beide Dateien können selbstverständlich aus einem anderen Verzeichnis stammen. Dann setzen wir die Zugriffsrechte: joe@debian:~$ chmod 755 usr/bin/hallo.sh joe@debian:~$ chmod 644 usr/share/man/man1/hallo.1.gz Zu einem Debian-Paket gehören einige Dokumente; wir erzeugen das zugehörige Unterverzeichnis: joe@debian:~$ mkdir -p usr/share/doc/hallo und schreiben mit unserem Lieblingseditor – nicht mit einem Textprozessor wie abiword – folgenden Text in die anzulegende Datei usr/share/doc/hallo/ copyright: 3
siehe die deutsche Wikipedia und die Webseite http://www.gnu.org/fun/ jokes/helloworld.html
664
14 Debian-Paketsystem
This package was manually created by Joe Debian <[email protected]> on Sat, 21 Apr 2007, 14:04:00 +0100 It was/can be downloaded from: http://www.example.com/ Upstream Author: Joe Debian <[email protected]> Copyright: GPLv2, see /usr/share/common-licenses/GPL Die Angaben sind an unseren Fall anzupassen. In gleicher Weise schreiben wir die anzulegende Datei usr/share/doc/hallo/changelog: hallo (0.001) unstable; urgency=low * First packaging experiment, do not use it. -- Joe Debian
<[email protected]> Sat, 21 April 2007, 14:06:00 +0100
Die Datei ist zu komprimieren, weil sie hoffentlich im Laufe der Jahre wächst: joe@debian:~$ gzip usr/share/doc/hallo/changelog Wir setzen die Zugriffsrechte beider Dateien: joe@debian:~$ chmod 644 usr/share/doc/hallo/* Nun brauchen wir noch eine Kontrolldatei (control file), die Paketwerkzeugen wie dpkg Informationen liefert. Da die Datei im Gegensatz zu den vorangegangenen Textdateien von Programmen gelesen und verarbeitet wird, ist die im Manual zu deb-control beschriebene Syntax genau einzuhalten. Wir legen ein weiteres Unterverzeichnis an: joe@debian:~$ mkdir debian und schreiben die anzulegende Datei debian/control mittels unseres Lieblingseditors: Package: hallo Section: misc Priority: optional Maintainer: Joe Debian <[email protected]> Architecture: all Version: 0.001-1 Description: Hello-world-shellscript The well-known Hello-world-program as a shellscript for the Bourne-Shell and similar shells.
14.3 Bau von Debian-Paketen
665
Es gibt weitere, optionale Zeilen. Falls wir – wie in Abschnitt 14.1.9 Überschreiben von Abhängigkeiten mit equivs auf Seite 653 beschrieben – ein nahezu leeres Metapaket namens equivs-dummy eingerichtet haben, können wir testhalber mit der Zeile: Depends: equivs-dummy eine künstliche Abhängigkeit von dem Metapaket hinzufügen. Bei der Angabe der Architektur spielt es eine Rolle, ob das Paket ein für alle Architekturen geeignetes Shellskript enthält oder ein für eine bestimmte Architektur compiliertes CProgramm. Die erste Zeile der Beschreibung (description) darf nicht länger sein als eine Bildschirmzeile, das heißt etwa 60 Zeichen. Die Folgezeilen mit der ausführlichen Beschreibung müssen mit einem Leerzeichen beginnen. Als sicherheitsbewusste Debianer stellen wir die MD5-Prüfsummen unserer Dateien bereit: joe@debian:~$ find usr -type f -exec md5sum {} \; > debian/md5sums Mit dem Kommando tree schauen wir uns unser Verzeichnisbäumchen an: . |-| | ‘--
debian |-- control ‘-- md5sums usr |-- bin | ‘-- hallo.sh ‘-- share |-- doc | ‘-- hallo | |-- changelog.gz | ‘-- copyright ‘-- man ‘-- man1 ‘-- hallo.1.gz
8 directories, 7 files Sofern wir das Paket debhelper eingerichtet haben, testen wir das Verzeichnis: joe@debian:~$ dh_testdir Damit haben wir fast alle Zutaten; nun geht es ans Zusammenrühren von einer Verzeichnisebene höher aus: joe@debian:~$ cd .. joe@debian:~$ tar cz -C hallo/debian -f control.tar.gz . joe@debian:~$ tar cz --exclude=debian -C hallo -f data.tar.gz .
666
14 Debian-Paketsystem
joe@debian:~$ echo 2.0 > debian-binary joe@debian:~$ ar rcu hallo.deb debian-binary control.tar.gz data.tar.gz Die beiden tar-Aufrufe enden mit einem alleinstehenden Punkt, im Druck vermutlich kaum zu erkennen. Die Reihenfolge der Argumente bei ar ist wesentlich für ein Debian-Paket. Da die Manualseite zu ar mager ist, hier die Bedeutung der Option und der Modifier: • • •
r Option, insert oder replace, c Modifier, create, u Modifier, update.
Anschließend finden wir das Archiv/Paket hallo.deb im Arbeitsverzeichnis. Wir fragen dpkg nach seiner Meinung: joe@debian:~$ dpkg --info hallo.deb und stellen mit Stolz fest, dass wir offenbar gute Arbeit geleistet haben: neues Debian-Paket, Version 2.0. Groesse 2456 Byte: control-Archiv= 488 Byte. 237 Byte, 8 Zeilen control 240 Byte, 4 Zeilen md5sums Package: hallo Section: misc Maintainer: Joe Debian <[email protected]> Architecture: all Version: 0.001-1 Description: Hello-world-shellscript The well-known Hello-world-program as a shellscript for the Bourne-Shell and similar shells. Lassen wir einen Debian-Paket-Checker darüber laufen, findet dieser doch noch einige Mängel: joe@debian:~$ linda hallo.deb aber nichts Schwerwiegendes, hauptsächlich falsche Besitzverhältnisse. Um mit APT arbeiten zu können, müssten wir ein lokales Paketarchiv nach Debian-Muster aufbauen. Das ist eine Aufgabe für sich, keine Magie, aber nicht unser Thema. Wir richten unsere Orignalabfüllung daher mittels dpkg ein, als Root: debian:~# dpkg --install hallo.deb und gebieten fürderhin über ein eigenes, aus einem Debian-Binärpaket eingerichtetes Werkzeug namens hallo.sh, mit Manualseite und Verzeichnis /usr/share/ doc/hallo comme il faut. Mit unseren frisch erworbenen Kenntnissen sehen wir uns einige Binärpakete von Debian an. Wir holen uns ein Paket, ohne es einzurichten:
14.3 Bau von Debian-Paketen
667
debian:~# apt-get install --download-only ipcalc kopieren es in ein Unterverzeichnis unseres Home-Verzeichnisses: joe@debian:~$ cp /var/cache/apt/archives/ipcalc*
/tmp
und zerpflücken es. Dann ändern wir ein paar Dinge und setzen es wieder zusammen. Nur unter seinem originalen Namen sollten wir es nicht einrichten. Da M ARTIN F. K RAFFT Co-Maintainer des Paketes ipcalc ist, sollten wir davon ausgehen dürfen, dass es vorbildlich zusammengestellt ist. Zu einem Shellskript gibt es keinen Quellcode, das Skript ist Quell- und ausführbarer Code zugleich. Hätten wir das Hallo-Welt-Programm in C oder FORTRAN geschrieben, müssten wir zwischen ausführbarem Binärcode und Quellcode unterscheiden und entsprechend auch zwischen Binärpaket und Quellcodepaket. Das war Kuchenbacken nach Hausfrauenart, mit viel Handarbeit. In der Produktion werden leistungsfähigere Werkzeuge eingesetzt und auch komplizierter aufgebaute Pakete erstellt. In den Paketen apt-build, cdbs, debaux, debhelper, devscripts, dh-make, linda, lintian, pbuilder, sbuild, yada und weiteren aus der Abteilung Development sind einige zu finden. Ebenso sind Fähigkeiten im Gebrauch von Programmierwerkzeugen wie make gefragt. Nachdem wir den grundsätzlichen Aufbau eines Debian-Binärpaketes verstanden haben, gehen wir an den Bau eines Quellcodepaketes samt Binärpaket mit üblichen Debian-Spezialwerkzeugen. Dabei spielen wir wieder die Rolle sowohl des Upstream-Autors als auch die des Debian-Maintainers. Zwischen dem UpstreamQuellcode und dem für Debian verwendeten Quellcode besteht also keine Differenz. Wir legen wieder ein Verzeichnis an, wobei der Name diesmal auch die Versionsnummer enthält, und wechseln hinein: joe@debian:~$ mkdir myhallo-0.0.1; cd myhallo-0.0.1 Ein originaler Tarball myhallo_0.0.1.orig.tar.gz aus einem DebianQuellcodepaket würde ebenfalls dieses Verzeichnis erzeugen. Da sich noch nicht alle Welt an die Debian-Richtlinien hält, kommen leichte Abweichungen bei der Namensgebung fremder Tarbälle vor, die an die Debian-Richtlinien anzugleichen sind, damit die Debian-Werkzeuge die Orientierung behalten. Das Verzeichnis enthält alle Unterverzeichnisse und Dateien, die zum Quellcode gehören, im Minimum: • • •
die Quellcodedatei myhallo.c, ein Makefile zum Übersetzen und Einrichten, eine Manualseite myhallo.1.gz wie gehabt.
Zu den drei Dateien ist je ein kleiner Exkurs sinnvoll, den abgebrühte Programmierer überlesen können. /* myhallo.c, einfaches C-Programm */ #include <stdio.h> int main()
668
14 Debian-Paketsystem
{ printf("Hallo, Debian-Welt!\n"); return 0; } Quelle 14.1 : Quellcode C-Programm myhallo.c
Das Hallo-Programm, das wir oben als Shellskript verwirklicht hatten, wollen wir jetzt in einer Programmierspache abfassen, und zwar in C. Dazu schreiben wir mit unserem Lieblingseditor den Text der Quelle 14.1 in eine Datei myhallo.c. Die Kennung c kennzeichnet die Datei als C-Quelldatei. Die erste Zeile ist ein eigentlich zu kurzer Kommentar. Die include-Zeile zieht eine Textdatei aus dem Verzeichnis /usr/include in unsere Quelle mit hinein; wir könnten das auch mit einem Kopierbefehl machen, macht man aber nicht. Die main-Zeile kennzeichnet den Beginn des (Haupt-)Programms. Die eigentliche Arbeit wird von der printfZeile geleistet (man 3 printf). Die return-Zeile schließlich ist eine Formsache und dient dazu, Syntax-Prüfer wie splint zu beruhigen. Da wir hier keinen C-Kurs veranstalten, soll das genügen. # Makefile zu myhallo.c # 1. Aufruf: make # 2. Aufruf: make install DESTDIR=/tmp myhallo: myhallo.c gcc -o myhallo myhallo.c install: myhallo myhallo.1.gz mkdir -p $(DESTDIR)/bin/ install -mode=755 myhallo $(DESTDIR)/bin/myhallo mkdir -p $(DESTDIR)/share/man/man1/ install -mode=644 myhallo.1.gz $(DESTDIR)/share/ man/man1/myhallo.1.gz Quelle 14.2 : Makefile zu myhallo.c
Das Werkzeug make ist ein Builder, der das Übersetzen von Quellcode erleichtert und auch bei Textprojekten nützlich ist. Wir gehen in unserem zweiten Debianband näher darauf ein. Das Werkzeug bezieht seine Anweisungen aus einer Datei namens Makefile, die nach bestimmten Regeln aufgebaut ist. Die Quelle 14.2 zeigt einen für unsere Zwecke ausreichenden Text. Nach drei mit einem Doppelkreuz eingeleiteten Kommentarzeilen folgt eine Zeile, die ein Ziel (target, Ergebnis) benennt, hier das ausführbare Programm hallo. Die nächste, eingerückte Zeile muss mit einem Tabulatorzeichen beginnen, nicht mit Leerzeichen. Sie enthält die Anweisung, wie aus der Quellcodedatei myhallo.c die ausführbare Datei myhallo erzeugt wird. Wir sehen einen Aufruf des GNU-C-Compilers. Wird make ohne Argumente
14.3 Bau von Debian-Paketen
669
aufgerufen, erzeugt es das erste Ziel. Das zweite Ziel heißt install. Hier werden zwei Verzeichnisse angelegt und das ausführbare Programm sowie eine Manualseite dorthin kopiert. Auch hier müssen die Anweisungszeilen mit einem Tabulatorzeichen beginnen; im Übrigen darf dort jedes gültige Zeilenkommando stehen. Sie dürften eine Sounddatei mit High Society abspielen, was jedoch nicht üblich ist.
Abb. 14.7: Screenshot des Manualseiten-Editors manedit, links das Editor-Fenster, rechts das Preview-Fenster
Die Variable DESTDIR ermöglicht, beim Aufruf von make ein beliebiges Verzeichnis anzugeben, unter dem der Grand Cru eingerichtet wird. Das ist eine Maßnahme zur Verbesserung der Flexibilität, die von Debian verlangt wird. Die Aufrufe von make sind im Kommentar des Makefiles genannt. Für install braucht man üblicherweise Root-Rechte, hier jedoch nicht, weil auf /tmp jeder Benutzer schreiben darf. Erfolgskontrolle mit: joe@debian:~$ ls -l /tmp Programmierer sind dafür berüchtigt, dass sie ungern Dokumentation schreiben.4 Debian besteht darauf, dass zu jedem Programm eine Manualseite mitgeliefert wird. Manualseiten sind nroff-formatierte Texte. Wir könnten mit unserem Lieblingseditor und einigen Werkzeugen aus dem Paket groff-base eine Seite schreiben und 4
Real programmers write programs, not documentation.
670
14 Debian-Paketsystem
darstellen. Das ist nicht schwierig, wenn man sich an eine einfache Vorlage wie /usr/share/man/man1/pwd.1.gz hält. Es gibt aber Werkzeuge zum Schreiben von Manualseiten, darunter ManEdit, zu erreichen über die Menüpunkte Anwendungen -> Debian -> Apps -> Editors -> manedit, siehe Abbildung 14.7. Das Werkzeug benötigt X11 und GTK+, bringt einige Vorlagen (template) mit und war nach anfänglichen Verständigungsproblemen zu gebrauchen. Zum Benutzer hin redet es XML, eine Sprache ähnlich wie HTML, abgespeichert werden die Manualseiten im üblichen nroff-Format. Falls Sie statt Text nur Kästchen sehen, haben Sie einen nicht verfügbaren Font ausgewählt und müssen in ManEdit mit Edit -> Preferences -> Fonts herumspielen. Wir laden entweder eine vorhandene Manualseite wie pwd.1.gz in den Editor oder eine Vorlage aus dem Verzeichnis /usr/share/manedit/templates. Von einer vorhandenen Manualseite auszugehen hat den Vorteil, dass man die Seite schon vorher kennt. Dann editiert man die Seite abschnittsweise, sieht sie sich von Zeit zu Zeit im Previewer an und speichert sie schließlich ab, natürlich nicht unter dem Pfad einer vorhandenen Seite, sondern im Arbeitsverzeichnis. Erforderlichenfalls komprimieren mit gzip. Jetzt geht es mit dem Backen weiter. Das Debian-Werkzeug dh_make aus dem Paket dh-make rufen wir in dem Verzeichnis mit den genannten drei (oder mehr) Dateien auf: joe@debian:hallo-0.0.1$ dh_make --native Die Option rührt daher, dass wir zugleich Upstream-Autor und Debian-Maintainer sind, siehe die Manualseite zu dh_make. Das Werkzeug stellt Fragen und macht Vorschläge: • • •
Type of package: single binary ... Wir antworten mit <s> für single binary. Dann werden die aus den Dateien entnommenen beziehungsweise vorgegebenen Metadaten zum Paket angezeigt, die man abnickt. Abschließend erscheinen noch ein paar freundliche Hinweise auf dem Schirm.
In dem von dh_make angelegten Unterverzeichnis debian finden wir rund zwei Dutzend Dateien, die das Werkzeug aus unseren mageren drei Dateien geschaffen hat. Wir sehen uns die Dateien mittels less an, versuchen ihren Zweck zu verstehen und löschen einige, von deren Sinnlosigkeit im vorliegenden Zusammenhang wir überzeugt sind. Dazu gehört die Datei cron.d.ex, weil wir unser Programm vermutlich nicht periodisch als Cronjob aufrufen wollen. Auch die übrigen Dateien mit der Kennung ex oder EX sind nur nicht notwendige Beispiele oder Vorlagen. dh_make erzeugt Alles, was gebraucht werden könnte, nicht nur das, was tatsächlich gebraucht wird. Wir wechseln eine Verzeichnisebene nach oben ($HOME/tmp) und rufen das Werkzeug dpkg-source auf, um das Quellcodepaket zu erzeugen: joe@debian:~$ dpkg-source -b myhallo-0.0.1
14.3 Bau von Debian-Paketen
671
Bei Erfolg verfügen wir über zwei neue Dateien myhallo_0.0.1.dsc und myhallo_0.0.1.tar.gz. Die Datei *.diff.gz fehlt, da wir Originalautor und Debian-Maintainer in einer Person sind. Das Quellcodepaket ist fertig. Wir überprüfen das Paket: joe@debian:~$ less myhallo_0.0.1.dsc joe@debian:~$ tar tvzf myhallo_0.0.1.tar.gz und finden unsere Eingaben und Eingebungen wieder. Bleibt noch das Schnüren des Binäpaketes. Wir nehmen das zugleich als Test für das Quellcodepaket. Dazu benennen wir das Verzeichnis myhallo-0.0.1 um: joe@debian:~$ mv myhallo-0.0.1 myhallo-0.0.1.old Wir tun so, als ob uns der ursprüngliche Code verloren gegangen wäre und wir ihn aus dem Quellcodepaket neu einrichten müssten. Dann dröseln wir den Tarball auf: joe@debian:~$ tar xvzf myhallo_0.0.1.tar.gz und haben das Verzeichnis myhallo-0.0.1 wieder, mit dem bekannten Inhalt. Wir wechseln hinein: joe@debian:~$ cd myhallo-0.0.1 und übersetzen (compilieren) den Quellcode mit Hilfe des Makefiles: joe@debian:~$ make Probehalber rufen wir die ausführbare Datei auf: joe@debian:~$ ./myhallo und sollten keine Überraschungen erleben. Wir können auch bedenkenlos das Programm nach /tmp installieren: joe@debian:~$ make install DESTDIR=/tmp und von dort aufrufen: joe@debian:~$ /tmp/bin/myhallo Im Verzeichnis myhallo-0.0.1 rufen wir das Werkzeug zum Bau eines Paketes auf: joe@debian:~$ dpkg-buildpackage -rfakeroot Die Option -r mit dem ohne Zwischenraum anschließenden Kommando fakeroot sorgt dafür, dass einige Zwischenschritte als Root ausgeführt werden, ohne Root-Privilegien zu erlangen. Das Werkzeug ruft einige Skripte aus der dhelper-Suite auf und gibt entsprechende Meldungen aus. Verzeichnisse wie usr/bin, die wir in der ersten Übung von Hand angelegt haben, werden automatisch erstellt. Sind alle Vorbereitungen erfolgreich abgeschlossen, wird dpkg-deb für den eigentlichen Bau des Binärpaketes aufgerufen. Im übergeordneten Verzeichnis finden wir das Binärpaket myhallo\_0.0.1\_i386.deb. Wir untersuchen das Paket wieder mit einigen Werkzeugen:
672
14 Debian-Paketsystem
joe@debian:~$ dpkg --info myhallo_0.0.1_i386.deb Linda hat vermutlich einiges zu beanstanden, was aber nicht die erfolgreiche Einrichtung des Paketes verhindert: debian:~# dpkg --install myhallo_0.0.1_i386.deb Danach aktualsieren wir die locate-Datenbank: debian:~# updatedb suchen nach den myhallo-Dateien: joe@debian:~$ locate myhallo und stellen fest, dass sie in den richtigen Systemverzeichnissen ihren Platz gefunden haben, ohne unser Zutun. Das liegt an den dhelper-Skripten und ist nur möglich, weil Debian in der Policy und anderenorts genaue Vorschriften macht, was wohin gehört. Wir kehren in unser Home-Verzeichnis zurück, rufen unser Programm auf: joe@debian:~$ cd; myhallo und sehen den Text wieder, den wir im Quellcode in die printf-Zeile geschrieben haben. Das war der Anfang. Bis uns ein gutes Debian-Paket gelingt, das Alles enthält, was ein Benutzer erwartet, und nichts Überflüssiges, sind noch einige Schritte zurückzulegen. Viele Regeln werden erst verständlich, wenn man den großen Rahmen sieht, in dem das Debian-Projekt arbeitet. In dem Buch von M ARTIN F. K RAFFT und im Debian New Maintainer’s Guide erfahren Sie mehr über die Paketfabrik. Im Grunde ist das Alles nicht schwierig; man muss es nur verstanden und ein paar Mal gemacht haben. Auch Upstream-Entwickler und Debian-Maintainer kochen nur mit Wasser und scheuen unnötige Mühen. Als Mitarbeiter an freier, offener Software haben sie kein Interesse daran, Geheimnisse einzubauen oder ihre Geistesblitze zu verschleiern.
14.4 Gliederung der offiziellen Distribution 14.4.1 Binärpakete Bei der Größe der Debian-Distribution ist klar, dass es einer gewissen Organisation und Disziplin bedarf5 , um eine zuverlässige und ausgereifte Distribution bereit zu stellen und gleichzeitig die Weiterentwicklung nicht zu behindern. Programmieren können viele, die Organisation und Strukturierung des Projektes zeichnen Debian aus. Mit einigen Begriffen haben wir uns schon in Abschnitt 1.3.1 Die DebianGNU/Linux-Distribution auf Seite 11 vertraut gemacht; hier geht es um die Verzeichnishierarchie des Debian-Archivs (repository). Auf offiziellen CD/DVDs finden wir 5
Große Projekte scheitern oft an organisatorischen und kommunikativen Schwierigkeiten. Das war schon beim Turmbau zu Babel so. Gedanken zu moderneren Projekten lese man in dem Klassiker The Mythical Man-Month von F REDERICK P. B ROOKS , J R . nach.
14.4 Gliederung der offiziellen Distribution
673
die Hierarchie wieder. Falls wir selbst ein kleines, lokales Archiv aufbauen, ist es nicht verkehrt, die Hierarchie zu übernehmen, auch wenn sie für unsere Zwecke etwas überdimensioniert sein mag. Weitere Informationen sind im Debian Developer’s Reference (2006) im Abschnitt 4.6 The Debian archive und im Debian Repository HOWTO (2006) von A ARON I SOTTON zu finden. Auch das APT HOWTO (2004) von G USTAVO N ORONHA S ILVA ist hilfreich. Wenden wir uns zunächst den Binärpaketen zu. In der Datei /etc/apt/ sources.list stehen URLs, die bis zum Verzeichnis debian/ einschließlich Schrägstrich reichen. Auf den Servern liegen neben dem Verzeichnis andere Verzeichnisse wie backports.org oder debian-volatile, die im Moment nicht interessieren. Damit die APT-Werkzeuge ein Paket finden, muss die auf debian/ folgende Verzeichnisstruktur einheitlich und bekannt sein. Wer es genau wissen will, lädt sich aus dem Verzeichnis die Datei ls-lR.gz (4 MB, entpackt 33 MB) herunter und schaut sie sich an. In dem Verzeichnis liegen folgende Unterverzeichnisse: • • • •
• •
dists mit den Versionen der Distribution wie etch oder lenny, wichtig, doc mit ein paar Dokumenten wie dem Debian Social Contract und der DebianFAQ, insgesamt ziemlich wenig, indices mit verschiedenen Indices zwecks schnelleren Findens, pool mit der eigentlichen Software, eingeteilt in die Abteilungen und entsprechenden Unterverzeichnisse main (frei im Sinn von Debian), contrib (eingeschränkt frei) und non-free (nicht frei im Sinn von Debian), wichtig, project mit Material für Debian-Entwickler, wenig, tools mit einigen Werkzeugen wie Fips und rawwrite, die man gelegentlich auf DOS-Rechnern braucht, um Linux einzurichten.
Nur die Pakete unterhalb des Verzeichnisses main sind offizieller Bestandteil der Debian-Distribution. Nur für diese Pakete ist gesichert, dass sie mit den DebianRichtlinien übereinstimmen. Wenn Sie Pakete aus einem anderen Verzeichnis verwenden, sollten Sie immer prüfen, ob Sie die Bedingungen, unter denen Ihnen diese Pakete zur Verfügung gestellt werden, annehmen wollen: •
•
contrib Pakete, die aus unterschiedlichen Gründen nicht mit den DebianRichtlinien übereinstimmen, aber frei verteilt werden dürfen. Gründe sind in der Regel Lizenzbedingungen, die die Verwendung des Quellcodes in einer Weise einschränken, wie sie das Debian-Projekt nicht akzeptiert oder die ausschließlich in binärer Form bereit stehen. Auch Programme, die zwar selbst den DebianKriterien genügen, aber andere Programme (Bibliotheken) benötigen, die den Debian-Kriterien nicht genügen, landen in dieser Abteilung. non-free Pakete mit weiteren Einschränkungen. Die wichtigste ist, dass die Pakete nicht frei verteilt werden dürfen. So müssen Hersteller von DebianCD/DVDs hier prüfen, ob sie berechtigt sind, die Software auf ihren CD/DVDs zur Verfügung zu stellen. In dem Verzeichnis finden sich auch Demo-Versionen von Programmen oder Shareware, bei der man nach einer gewissen Zeit der Benutzung verpflichtet ist, ein Entgelt an den Urheber zu zahlen.
674
14 Debian-Paketsystem
Auf offiziellen Debian-CD/DVDs befinden sich aufgrund dieser Einschränkungen nur die Verzeichnisse main und contrib. Nichtoffizielle treffen eine beliebige Auswahl, manchmal ausgerichtet auf bestimmte Anwendungsgebiete. Vergessen wir nicht, dass es auch Debian-Pakete und Software für Debian GNU/Linux gibt, die nicht beim Debian-Projekt zu haben sind. Für uns und die APT-Werkzeuge wichtig ist das Verzeichnis dists, das nach den verfügbaren Versionen oder Suiten wie folgt gegliedert ist (Stand Mitte 2007): • • • •
etch lenny sarge sid
Dazu kommen einige Symlinks wie Debian4.0r0 -> etch und stable -> etch. Der Codename ändert sich nicht, die Symlinks werden nach Bedarf verbogen. Gehen wir in das Verzeichnis etch hinein, finden wir unter anderem: • • • • • •
Contents-i386.gz architektur-spezifisch, benennt für jede Datei das zugehörige Paket, mittels grep zu durchsuchen, Release die Release-Datei mit Prüfsummen, Release.gpg die Signatur der Release-Datei, der Beginn der Sicherungskette aus Prüfsummen, contrib wie oben unter pool, main dito, non-free dito.
Verfolgen wir das Verzeichnis main weiter, gelangen wir zu folgenden Unterverzeichnissen: • • •
•
binary-i386 Binärpaketlisten für jeweils eine Architektur debian-installer mit je einem Unterverzeichnis für jede unterstützte Architektur, darin die komprimierte Packages-Datei für den Installer, installer-i386 für jeweils eine Architektur, letztendlich mit den Dateien und ISO-Abbildern des Startsystems für Startmedien wie CD/DVD, Floppy, HD oder Netz, source mit der komprimierten Paketliste Sources.gz der Quellcodepakete, ähnlich wie unter binary, jedoch architekturunabhängig.
In den architektur-spezifischen binary-Verzeichnissen endlich liegen die komprimierte Paketliste Packages.gz und noch eine Release-Datei. In den Paketlisten sind Informationen zu jedem Paket aufgeführt, darunter Zeilen wie: Package: 3dchess Section: games Architecture: i386 Version: 0.8.1-12 Filename: pool/main/3/3dchess/3dchess_0.8.1-12_i386.deb
14.4 Gliederung der offiziellen Distribution
675
womit klar ist, an welcher Stelle im Pool – siehe oben – das Binärpaket zu finden ist. Wenn wir apt-get beauftragen, das Paket 3dchess zu angeln, kämpft sich das Werkzeug auf Grund der Angaben in sources.list bis zu der jeweiligen Paketliste durch und folgt dem dort angegebenen Pfad zum Binärpaket. Wir können das Binärpaket – wie jede andere Datei – auch mittels FTP oder HTTP holen. Der URL: http://ftp.de.debian.org/debian/pool/main/3/3dchess/ 3dchess_0.8.1_i386.deb in einen Browser eingegeben lädt das Paket in unser Home-Verzeichnis herunter. Dort könnten wir es mit dpkg weiter verarbeiten. Wir werden uns das aber höchstens einmal antun, weil die APT-Werkzeuge mehr leisten und bequemer handzuhaben sind. Schieben wir eine aus den offiziellen Abbildern hergestellte DVD in unseren Rechner, so finden wir auf oberster Verzeichnisebene das Verzeichnis debian, vermutlich als Symlink auf das Arbeitsverzeichnis (Punkt). Daneben liegen die Verzeichnisse dists, doc, pool, tools sowie Software, um die Scheibe bootfähig zu machen. Unter dists geht es wie oben beschrieben weiter mit dem Unterschied, dass nur eine Version für eine Architektur vertreten ist. Das ganze Debian-Archiv ist ungefähr 200 GB groß, zuviel für eine DVD und in dem Umfang auch nur selten von Interesse. Wenn Sie sich die Debian-CD/DVDs unter einem anderen Betriebssystem ansehen, sind einige der beschriebenen Verzeichnisse nicht vorhanden. Dies liegt daran, dass andere Betriebssysteme symbolische Links nach Art von Linux/UNIX nicht verstehen. 14.4.2 Quellcodepakete Weil es sich bei Debian GNU/Linux um freie und offene Software handelt, steht auch der Quellcode für jedes Paket zur Verfügung. Wir gehen aus von der QuellcodePaketliste debian/dists/etch/main/source/Sources.gz. Sie enthält für jedes Paket ähnliche Zeilen wie die Paketliste in binary: Package: 3dchess Section: games Architecture: any Directory: pool/main/3/3dchess Der wesentliche Unterschied liegt darin, dass hier anstatt des Dateinamens des Binärpaketes nur das Verzeichnis im Pool genannt wird. Da ein Quellpaket aus drei Dateien wie: •
• •
3dchess_0.8.1-12.diff.gz Differenzdatei, um aus dem OriginalTarball das Debian-Paket einer bestimmten Paketversion zu erzeugen (Änderungen durch den Debian-Maintainer), 3dchess_0.8.1-12.dsc Informationen ähnlich wie in der Paketliste mit Prüfsummen der beiden anderen Dateien, signiert, 3dchess_0.8.1.orig.tar.gz Original-Tarball mit dem Upstream-Code
676
14 Debian-Paketsystem
besteht, die in dem Pool-Unterverzeichnis enthalten sein müssen, sind die APTWerkzeuge mit obiger Angabe ausreichend informiert. Ist der Debian-Maintainer zugleich der Upstream-Entwickler, entfällt naheliegenderweise die Differenzdatei. Aus den zwei oder drei Dateien lässt sich ein Binärpaket erstellen, vorausgesetzt, die dafür benötigten Werkzeuge sind auf dem System eingerichtet.
14.5 Debian-Spiegel Hat man im lokalen Netz häufig Debian-Pakete herunterzuladen, lohnt es sich, einen Spiegel (E: mirror, F: site miroir) anzulegen, der die Daten eines Debian-Servers ganz oder teilweise spiegelt, das heißt die Pakete kopiert, automatisch aktualisiert und im lokalen Netz zur Verfügung stellt. Naturgemäß hinken die Spiegel dem Originalserver zeitlich hinterher. Die Zeitspanne liegt im Belieben des Spiegelverwalters. Üblich ist eine tägliche Nachführung. Sie dürfen einen lokalen oder einen öffentlich zugänglichen Debian-Spiegel aufsetzen, ohne Debian zu fragen. Sie können aber auch Ihren Spiegel in die Liste der offiziellen Debian-Spiegel aufnehmen lassen und werden dann auf der entsprechenden Webseite bei Debian aufgeführt. In Deutschland stehen zwei offizielle Spiegel des Debian-Archivs und mehrere nicht-offizielle, vermutlich in jeder Hochschule einer. Ein Spiegel beschleunigt das Herunterladen und entlastet die öffentlichen Debian-Server. Wer eigene Debian-CD/DVDs zusammenstellen und brennen will, kommt um einen lokalen Spiegel nicht herum. Die Grenzen zwischen Spiegel, Proxy, Backupserver und Lastverteilungscluster sind unscharf; die vier Begriffe kennzeichnen mehr den Zweck als die Technik, siehe die englische Wikipedia unter dem Suchbegriff Mirror (computing). In den meisten Fällen wird man sich auf die Binärpakete für die eigene Architektur beschränken. Debian hält die erforderliche Software bereit. Eine kurze Übersicht über Fragen zum Spiegeln von Debian bietet http://www.debian.org/mirror/. Abgesehen von der Möglichkeit, einen Spiegel mit einfachen Linux/UNIXWerkzeugen hochzuziehen und zu pflegen – gegebenenfalls in Shellskripte verpackt – stellen folgende Pakete angepasste und daher bequemere Wege bereit: •
• • • • •
apt-proxy mit dem Heimathafen http://apt-proxy.sourceforge. net/, ein Proxy, das heißt, ein partieller Spiegel, der sich auf Grund der Anfragen aufbaut, ein nachträglicher Spiegel sozusagen, der ab der zweiten Anfrage nach einem Paket die Antwort liefert, ein sparsamer Kompromiss für das kleine lokale Netz, apt-mirror mit dem Heimathafen http://apt-mirror.sourceforge. net/, debmirror, bewährt und viel benutzt, debpartial-mirror mit dem Heimathafen http://alioth.debian.org/ projects/partial-mirror/, fmirror, ftpgrab, ftpmirror und mirror bevorzugt zum Aufbau allgemeiner FTPSpiegel, httrack, omt und simba bevorzugt zum Aufbau allgemeiner HTTP-Spiegel (Websites).
14.5 Debian-Spiegel
677
Will man nur Debian-Pakete spiegeln, sollte man eines der speziellen Werkzeuge einsetzen, welche die Archivstruktur bereits kennen. Durch Einrichten von apt-proxy vermehrt sich die Dämonenschar; das liegt in der Natur eines Proxies, der jederzeit mit Anfragen rechnen muss. Demzufolge gibt es ein Startskript /etc/init.d/apt-proxy und die gewohnten Symlinks. Der selbständig laufende, in Python geschriebene Server bringt eine ausreichende Manualseite mit. Verzeichnisse, Dateien und Prozess gehören aptproxy:nogroup. Die Konfiguration liegt in /etc/apt-proxy/apt-proxy-v2.conf mit eigener Manualseite. Zeilenkommentar wird mit einem Semikolon eingeläutet. Anzupassen ist die eigene Server-IP, die Portnummer 9999 wird man meistens beibehalten. Der Abschnitt mit den Backend servers ist mit der Geografie und der heutigen Zeit in Einklang zu bringen; Anregungen liefern die bis dato verwendeten sources.list-Dateien. Als Cache wird /var/cache/apt-proxy verwendet, Protokolleinträge kommen nach /var/log/apt-proxy.log, logrotate ist aktiviert. Nach draußen spricht der Proxy HTTP und FTP, nach drinnen HTTP. Sobald der Proxy läuft, ist auf den Clientrechnern im lokalen Netz die Datei /etc/apt/sources.list so zu ändern, dass die Pakete nicht mehr von äußeren Servern bezogen werden, sondern vom Proxy. Das Perlskript /usr/bin/debmirror wird durch Parameter in der Kommandozeile konfiguriert; es gibt keine Konfigurationsdatei. Die Manualseite sagt alles Nötige. Der einzeilige Aufruf: debian:~# debmirror --verbose --passive --method=ftp --host=ftp2.de.debian.org --dist=etch --section=main --arch=i386 --dry-run /home/mirror legt das Verzeichnis /home/mirror und darin den Spiegel an; der /var-Zweig wäre besser, war aber beim Testlauf schon gut voll. Das Beste wäre eine eigene Partition für die Spiegeldaten. Alles im Besitz von root:root, sollte man auf einen Minderbenutzer umstellen. Geben Sie bei der Ersteinrichtung nicht ein bereits vorhandenes Verzeichnis an, es wird überschrieben, sein Inhalt wäre weg. Infolge der Option --dry-run wird nur die Verzeichnisstruktur mit einigen Dateien angelegt, die Debian-Pakete werden noch nicht heruntergeladen. Der Trockenlauf dauert wenige Minuten. Nach einem erfolgreichen Nasslauf ohne besagte Option – der sich je nach Netzanbindung über Stunden hinzieht, da es um grob gerechnet 10 GB geht – bleibt noch, das Spiegelverzeichnis einem auf derselben Maschine laufenden FTPoder HTTP-Server wie Apache2 bekannt zu machen und auf den lokalen Rechnern die Datei /etc/apt/sources.list mit einer Zeile wie: deb http://server.beiuns/debian/ etch main auf den Spiegel hinzuweisen und dafür die entsprechende, auf einen äußeren Server zeigende Zeile auszukommentieren. Das im URL angegebene Verzeichnis ist relativ zur Wurzel des FTP- oder HTTP-Servers anzugeben. Ferner ist debmirror mit allen bei der Ersteinrichtung verwendeten Parametern regelmäßig (täglich) als Cronjob aufzurufen, wozu eine Datei in /etc/cron.d anzulegen ist. Das Nachführen des Spiegels dauert natürlich nicht so lange wie die Ersteinrichtung. Eine
678
14 Debian-Paketsystem
aktuelle und ausführliche Anleitung zu debmirror liegt unter http://doku. lug-untermain.de/index.php/Debmirror_einrichten. Mit dem Paket apt-mirror – ab etch verfügbar – kommt ebenfalls ein Perlkript. Da es jünger ist als debmirror, versucht es, einige Dinge noch besser zu machen, aber der Unterschied ist nicht groß. Seine Konfiguration steht in /etc/apt/ mirrors.list. Dort sind in genau gleicher Weise wie in sources.list die Paketquellen aufgeführt, die gespiegelt werden sollen. Die gut kommentierte Datei ist außerhalb Finnlands auf jeden Fall zu editieren. Den Eintrag in /etc/cron. d nimmt das Paket selbst vor; man braucht ihn nur noch zu entkommentieren. Das vorgegebene Spiegelverzeichnis ist /var/spool/apt-mirror/mirror, keine schlechte Wahl. Die Dateien und Verzeichnisse gehören apt-mirror: apt-mirror. Das Anbinden an einen FTP- oder HTTP-Server muss der Verwalter vornehmen, das lässt sich kaum per Vorgabe einrichten. Eine Trockenübung ist nicht vorgesehen. Das Herunterladen der Pakete mittels wget wird so weit möglich parallelisiert. Beide Werkzeuge ließen sich einfach und ohne Hindernisse einrichten. Das erstmalige Herunterladen der Pakete zieht sich bei beiden Werkzeugen hin, aber das hängt von der Internetanbindung ab, da helfen nur Geduld und Beschränken auf die häufiger gebrauchten Teile der Distribution.
15 Kerne und Kernmodule
Linux bezeichnet genau genommen nur den Kern des Betriebssystems. Er spielt eine herausragende Rolle und lässt sich in vielfältiger Weise gestalten. Die folgenden Seiten erklären den Umgang mit Kernen und Kernmodulen und ermuntern zu eigenen Versuchen.
15.1 Erstellen des Kerns 15.1.1 Grundbegriffe Der Linux-Kern ist das Herz von Debian GNU/Linux und anderen LinuxDistributionen. Er bietet allen weiteren Programmen auf dem System eine definierte Schnittstelle zum Lesen und Schreiben von Daten oder zur Kommunikation über das Netz. Wenn er eine solche Anforderung erhält, ist es seine Aufgabe, die Hardware unmittelbar anzusprechen, also die Festplatte zu steuern oder Daten über die Netzkarte zu senden. Der Kern nimmt darüber hinaus eine Reihe weiterer Aufgaben war, die nicht direkt mit der Hardware zu tun haben, wie die Verwaltung von Prozessen. Eine Pflichtlektüre für Kernbäcker ist das Debian Linux Kernel Handbook (2007) auf http://kernel-handbook.alioth.debian.org/, die Arbeit mehrerer Autoren. Das Linux Kernel HOWTO (2003) ist Anfang 2007 zwecks Uberarbeitung zurückgezogen. Auf seiner Webseite wird auf den Kernel Rebuild Guide (2004) von K WAN L OWE sowie auf die SGML-Fassung (2002) von B RIAN WARD verwiesen. Der Guide Linux Kernel 2.4 Internals stammt von 2002: andere Guides zum Linux-Kern sind noch älter. Ein kurzer Abschnitt zum Kern findet sich im Linux System Administrator’s Guide (2004). Die Website http://kernelnewbies.org/ vermittelt Hintergrundwissen für angehende Entwickler, bietet aber auch Informationen für Anwender, die nur ihren Kern verstehen wollen. Bleiben als weitere umfassende Quellen das Kernel Build HOWTO (2004) auf http://www.digitalhermit.com/linux/ von K WAN L OWE und das Buch von DANIEL P. B OVET und M ARCO C ESATI, siehe Anhang. Das Thema Kernmodule wird eingehend im Linux Kernel Module Programming Guide
680
15 Kerne und Kernmodule
(2005) von P ETER JAY S ALZMAN und anderen behandelt, dessen erste Abschnitte auch für Nicht-Programmierer lesenswert sind. Es sei daran erinnert, dass Debian auch andere Kerne als Linux und andere Rechnerarchitekturen als den PC nach IBM-Muster unterstützt. Ein Programm, eine Anwendung verwendet zum Öffnen einer Datei immer denselben Aufruf einer Funktion im Kern (Systemaufruf, Kernschnittstellenfunktion, E: system call, system primitive, F: appel système) unabhängig davon, auf welcher Festplatte sich die Datei befindet, über welchen Typ von Adapter die Festplatte mit dem Rechner verbunden ist oder mit welchem Dateisystemtyp die Festplatte formatiert ist. Der Systemaufruf heißt open() und ist der Form nach eine Funktion in der Programmiersprache C. Die zugehörige Manualseite erhalten wir mit man 2 open. Der Kern hingegen muss die genannten Umstände kennen, um die entsprechenden Daten an das Programm liefern zu können. Er muss also entweder in der Lage sein, eine große Zahl unterschiedlicher Hardwarekomponenten anzusteuern, damit er auf möglichst vielen verschiedenen Rechnern funktioniert, oder an die Hardware eines bestimmten Rechners angepasst sein. Die standardisierte Schnittstelle des Kerns ermöglicht, Programme unverändert auf Rechnern mit unterschiedlichen Hardwarekomponenten auszuführen, solange es sich um die gleiche Prozessorfamilie handelt und die Schnittstellen der von diesen Programmen benötigten Bibliotheken dieselben sind. Sie stehen deshalb in Form von Binärpaketen zur Verfügung, ebenso wie der Kern. Die Varianten des Kerns sind zum einen aus verschieden Versionen des Quellcodes und zum anderen für die Unterstützung unterschiedlicher Rechner erstellt worden. Welche Kern-Binärpakete zur Verfügung stehen, können wir uns bei Verwendung von APT durch Eingabe des folgenden Kommandos anzeigen lassen: joe@debian:~$ apt-cache search linux-image --names-only Anfang 2007 lautete die Antwort, dass die aktuelle Version in etch die Nr. 2.6.18 ist und für rund ein Dutzend Architekturen vorliegt. Bei http://www.kernel. org/ ist man etwas weiter und bei 2.6.20 angekommen. Die Verzögerung erklärt sich durch den Aufwand zum Einfügen des Kerns in das Debian-System. Als Endverbraucher hält man sich besser an die Debian-Pakete, insbesondere wenn man erst mit der Kernbäckerei anfängt. Die Debian-Kerne weichen von den Original-Kernen auf http://www.kernel.org/ geringfügig ab, sie sind gepatcht, um Sicherheitslücken zu schließen und um sie in das Debian-System einzupassen. Die DebianBinärpakete des Kerns tragen verschiedene Bezeichnungen: •
•
•
kernel-image-2.6-686 ist ein fast leeres Übergangspaket (transition package), das nur von dem nächsten Paket abhängt und damit so etwas wie einen Verweis darstellt. Verschwindet irgendwann. linux-image-2.6-686 ist ebenfalls ein fast leeres Paket, das stets von dem jüngsten Binärpaket des Linux-Kerns 2.6 abhängt, gleich welche Versionsnummer dieses trägt. linux-image-2.6.18-3-686 ist Anfang 2007 das aktuelle Debian-Paket mit dem binären Abbild des Kerns und mit vorgefertigten ladbaren Kernmodulen, im Bei-
15.1 Erstellen des Kerns
681
spiel für den Linux-Kern und Prozessoren ab Pentium II. Das Paket ist nicht leer, sondern nach dem Auspacken 50 MB groß. In der Bezeichnung des letzten Paketes steht die Versionsnummer des Linux-Kerns, aus dem es erstellt wurde, gefolgt von der Revisionsnummer des Debian-Paketes und einem Hinweis auf die Architektur. Einen eigenen Kern zu erzeugen, der spezielle Aufgaben oder Hardwareausstattungen berücksichtigt, ist immer dann notwendig, wenn Hardwarekomponenten des Systems zwar von Linux, aber nicht vom Standardkern unterstützt werden oder wenn ein Kern für bestimmte Aufgaben benötigt wird, die vom Standardkern nicht gemeistert werden. In seltenen Fällen kann es sogar erwünscht sein, Veränderungen am Kern selbst vorzunehmen. Einen Kern bauen darf innerhalb seines Home-Verzeichnisses jeder Benutzer. Den neuen Kern in Betrieb nehmen dagegen darf nur Root. Deshalb gehen wir im Folgenden davon aus, dass Root am Werk ist. Ein gewöhnlicher Benutzer erlangt mittels sudo oder fakeroot eingeschränkte Root-Rechte, ohne das Root-Passwort zu benötigen. Trotzdem empfiehlt sich in jedem Fall die Rücksprache mit Root. Brauchen wir als Ausgangsmaterial zusätzlich zu Debian-Paketen Treiber und/oder Bibliotheken von dritter Seite, wird es heikel. Die Debian-Maintainer sorgen dafür, dass die Debian-Pakete miteinander harmonieren. Das ist bei fremder Software selten gegeben. Im einfachsten Fall passen Dateipfade nicht zueinander. Mit einer solchen Aufgabe sollte man die Kernbäckerei nicht anfangen und wenn sie nicht zu vermeiden ist, vorher alle Informationen lesen. Dazu rechnen auch die Einrichtungsskripte, Changelogs und READMEs nahestehender Debian-Pakete. In einem solchen Fall müssen wir selbst die Arbeit übernehmen, die uns sonst die Debian-Maintainer abnehmen. Während zur Anfangszeit von Linux das Erstellen eines angepassten Kerns zu den Routineaufgaben bei der Einrichtung gehörte, ist dies durch die Einführung von Kernmodulen immer seltener notwendig geworden. Kernmodule sind dynamisch – zur Laufzeit, im Betrieb – ladbare Teile des Kerns, die ihn um bestimmte Eigenschaften erweitern. Ein Kernmodul kann den Treiber für eine Hardwarekomponente beinhalten oder eine Funktionalität wie die Fähigkeit, Datenpakete über ein Modem zu verschicken. Mit der Verwendung von Kernmodulen ist es einerseits möglich, die Unterstützung für eine Vielzahl von Eigenschaften bereitzustellen, ohne sie fest in den Kern zu integrieren, und andererseits diese Eigenschaften vorübergehend in den Kern einzubauen, wenn sie benötigt werden. Beispielsweise kann ein Kernmodul, das einen Treiber für ISDN-Karten enthält, vor dem Aufbau einer ISDN Verbindung in den Kern geladen und hinterher wieder entfernt werden. Im Gegensatz zu manchen anderen Betriebssystemen entfällt mit der Verwendung von Kernmodulen die Notwendigkeit zum Neustart des Systems, wenn ein neuer Treiber eingebunden oder ein bereits benutzter gegen eine andere Version ausgetauscht wird. Bei TLDP liegt ein Linux Loadable Kernel Module HOWTO, kurz Module HOWTO, (2006) von B RYAN H ENDERSON. Beim Nachladen von Kernmodulen gibt es eine wichtige Ausnahme: Weil der Kern während seines Starts keine Kernmodule laden kann, müssen sich alle Trei-
682
15 Kerne und Kernmodule
ber und sonstigen Teile des Kerns, die zum Start des Systems benötigt werden, fest im Kern befinden und dürfen nicht in Form von Kernmodulen vorliegen. Zu diesen wichtigen Teilen gehören alle Treiber, die benötigt werden, um auf die Wurzelpartition zuzugreifen, siehe Abschnitt 6.5.5 Planen der Partitionierung auf Seite 327. Mit dem Konzept der initialen Ramdisk (initrd) gilt die Aussage nur noch eingeschränkt, aber auf den Bau eigener, angepasster Kerne trifft sie in der Regel zu. Wenn Debian GNU/Linux auf eine Partition installiert wurde, die mit dem Ext3Dateisystem formatiert ist und sich auf einer SCSI-Festplatte befindet, die über einen SCSI-Adapter der Firma Adaptec vom Typ AHA2940 mit dem Rechner verbunden ist, so müssen sich die Treiber für diesen SCSI-Adapter und für das Ext3Dateisystem fest im Kern befinden. Sollten sich in dem betreffenden Rechner noch weitere Festplatten befinden, die über einen anderen Adapter mit dem Rechner verbunden sind und die mit anderen Dateisystemen formatiert sind, so sind hierfür keine fest im Kern eingebauten Treiber erforderlich. Weil diese Festplatten nicht zum Systemstart benötigt werden, reicht es aus, die Treiber hierfür nach dem Start des Kerns als Kernmodule zu laden. Dies kann während der Initialisierung des Systems geschehen oder später, jedenfalls bevor die Dateisysteme auf diesen Festplatten eingehängt werden. Die Standardkerne aus den linux-image-Paketen enthalten eine Reihe wichtiger Treiber, die fest in den Kern integriert sind, damit der Start des Kerns auf vielen System möglich ist. Darüber hinaus enthalten sie eine Vielzahl von ladbaren Kernmodulen beispielsweise für Netzkarten oder Dateisysteme. Um eine bestimmte Funktionalität hinzuzufügen, reicht es aus, das entsprechende Kernmodul zu laden. Unter Debian GNU/Linux lässt sich dies mit dem Shellskript modconf machen. Neben den Binärpaketen stehen Pakete zur Verfügung, die den Quellcode des Kerns enthalten; sie tragen den Namen linux-source, gefolgt von der Versionsnummer des Kerns, Anfang 2007 also linux-source-2.6.18. Im Gegensatz zu den meisten anderen Paketen mit Maschinencode (Binärcode) handelt es sich hierbei um DebianPakete, die den Quellcode zu einem Programm, nämlich zum Linux-Kern, enthalten. Der Quellcode wird mit einem Compiler in die binäre, ausführbare Form übersetzt. Dabei können eine Reihe von Vorgaben gemacht werden, etwa für welchen Prozessortyp der Kern optimiert werden soll oder welche Treiber in ihn integriert, als nachladbare Kernmodule oder gar nicht übersetzt werden sollen. Die gesamte Übersetzung wird durch Makefiles (Backrezepte) gesteuert, aus denen hervorgeht, mit welchen Optionen und Argumenten der Compiler aufzurufen ist. Außerdem wird der Präprozessor1 durch verschiedene Definitionen angewiesen, bestimmte Teile des Quellcodes ein- und andere auszuschließen. Das Einrichten von Anwendungen, die als Tarball heruntergeladen worden sind, geht ähnlich vor sich. Glücklicherweise sind im Linux-Quellcode verschiedene Werkzeuge enthalten, die es auf einfache Weise ermöglichen, die Kernquellen zu konfigurieren. Debian stellt darüber hinaus mit dem Paket kernel-package ein System bereit, mit dem 1
Der C-Präprozessor ist ein Programm, das den Quellcode vor seiner eigentlichen Übersetzung aufbereitet: Kommentar entfernen, zusätzliche Dateien einbinden, Makros ersetzen usw.
15.1 Erstellen des Kerns
683
sich nach der Konfiguration Debian-Kern-Pakete erzeugen lassen, die wie gewohnt mit dpkg bzw. apt-get eingerichtet werden. Dadurch wird gewährleistet, dass auch angepasste Kerne, die nicht Teil der Debian-Distribution sind, durch das PaketManagement-System verwaltet werden. Folgende Schritte stehen uns bevor, wenn wir einen selbstgebackenen Kern einsetzen wollen: • • • • • •
Beschaffen gründlicher Informationen über unsere Hardware, Herunterladen der Software von Debian oder – eingeschränkt zu empfehlen – http://www.kernel.org/, Konfigurieren des Kerns, unsere Hauptaufgabe, Übersetzen von Kern und Kernmodulen, Einrichten von Kern und Kernmodulen, Konfigurieren des Bootloaders (GRUB, LILO).
Grundsätzlich ist das Erstellen eines eigenen Kerns selten notwendig: Wenn nach der Einrichtung des Systems alle Hardwarekomponenten arbeiten und auch jede ansonsten benötigte Funktionalität des Kerns in ihm selbst oder mit Kernmodulen zur Verfügung steht, kann auf das Backen eines eigenen Kerns verzichtet werden. Dass der Standardkern eine breite Palette von Hardware unterstützt, bedeutet aber zugleich, dass er ziemlich groß ist und unnötig Ressourcen belegt. Auch wenn der Standardkern ausreichend erscheint, macht es Sinn (und Spaß), einen eigenen Kern zu erstellen, weil er nur die tatsächlich vorhandene Hardware sowie die verlangten Eigenschaften zu unterstützen braucht. Auf diese Art lässt sich Speicherplatz sparen. Außerdem wird der Start des Kerns verkürzt, wenn dieser nicht nach fehlender Hardware sucht. Wenn wir Hardwarekomponenten im Rechner haben, für die wir keine Unterstützung im Standardkern finden, schauen wir ebenfalls nach, ob die Unterstützung im Kern-Quellcode vorhanden ist. Auf Servern, die unverändert über eine längere Zeit eng begrenzte Aufgaben erfüllen, kann ein zugeschnittener Kern Stabilität und Sicherheit erhöhen. Insbesondere lässt sich in diesem Fall das Nachladen von Modulen abstellen, ein Angriffspunkt weniger. 15.1.2 Kernversionen Der Linux-Kern wird ständig weiterentwickelt. Seit der 2.6-Linie sind die Versionsnummern vierteilig (A.B.C.D) mit folgenden Bedeutungen der Teile: • •
• •
A: Version. Im Jahr 1994 erschien Version 1.0, im Jahr 1996 Version 2.0, bis heute gültig. B: Hauptrevision. Bis vor Version 2.6 bezeichneten gerade Zahlen stabile Kerne, ungerade Zahlen Entwicklerkerne. Die Unterscheidung endete mit 2.5. Version 2.6.0 erschien Dezember 2003; Version 2.4 lief jedoch noch lange parallel. C: Nebenrevision. Ändert sich, wenn neue Funktionen oder Treiber hinzukommen, beispielsweise von 2.6.18 auf 2.6.19 im November 2006. D: Ausgabe (release). Ändert sich nach Beseitigung größerer Fehler oder Sicherheitslücken, beispielsweise von 2.6.19.0 auf 2.6.19.1 im Dezember 2006.
684
•
15 Kerne und Kernmodule
Danach können Buchstaben folgen wie rc (release candidate) oder mm (A NDREW M ORTON, ein Entwickler), die nicht-offizielle Ausgaben kennzeichnen.
Mit der Vereinigung der beiden Entwicklungslinien im 2.6-Kern werden Benutzer, die nur einen möglichst fehlerarmen Kern ohne neueste Treiber haben wollen, allein gelassen. Andererseits erfordert die Pflege zweier Linien einen erhöhten Aufwand, den man besser auf nur eine Linie konzentriert, um bekannt werdende Mängel schneller zu beseitigen. Die Umstellung des Entwicklungs- und Nummerierungsschemas ist lebhaft diskutiert worden. Zwischen den Revisionen 2.4.x und 2.6.x bestehen grundsätzliche Unterschiede in der Funktionsweise. Die Folge ist, dass beim Umstieg von einer Revision auf eine aktuellere auch eine Reihe weiterer Programme ausgetauscht werden muss, weil einzelne Schnittstellen des Kerns geändert wurden. Anfang 2007 war die jüngste stabile Kernrevision die Nr. 2.6.19. Die 2.4-Reihe wird noch gepflegt und ist Anfang 2007 bei 2.4.34 angelangt. Bei 2.2-Kernen tut sich nichts mehr, aber man bekommt sie noch. Debian GNU/Linux 4.0 (etch) wurde für Kerne der Revision 2.6.x konzipiert. Anfang 2007 war in etch der Kern 2.6.18 in der Debian-Abfüllung 3 aktuell. Es gibt keinen Grund, bei einem neu einzurichtenden System einen älteren Kern zu verwenden, andererseits auch keinen Grund, ein funktionierendes 2.4-System schnellstmöglich auf 2.6 zu bringen. 15.1.3 Einrichten der Software Festplattenplatz Die Menge des zum Übersetzen des Quellcodes und zur Erstellung von DebianPaketen benötigten Festplattenplatzes ist abhängig von den während der Konfiguration ausgewählten Optionen sowie der Art der zu erstellenden Debian-Pakete. Im Normalfall (Erstellung eines Kerns mit Treibern für eine gegebene Hardwarekonfiguration sowie Erstellung eines Debian-Paketes mit der Kern-Datei und Modulen) reicht 1 GB Festplattenplatz aus. Da die für den Betrieb vorgesehenen Kerne in der Wurzelpartition ihre Ruhe finden, darf diese nicht zu knapp bemessen sein, wenn man mit Kernen herumzuspielen gedenkt. Pakete Zum Backen eines Kerns brauchen wir Werkzeuge sowie Quellcode aus folgenden Debian-Paketen: • • • • • •
den gcc-Compiler aus dem gleichnamigen Paket, das Paket binutils mit Assembler, Linker und weiteren Programmierwerkzeugen, den Packer/Entpacker bzip2, das Werkzeug make, gegebenenfalls das Paket kernel-package zum Debianisieren unseres Kerns, den Kern-Quellcode aus dem Paket linux-source-2.6.18 oder neuer,
15.1 Erstellen des Kerns
•
685
das Paket libc6-dev mit der Standard-C-Bibliothek.
Einige Pakete dürften bereits auf dem Arbeitsplatz eingerichtet sein, bei einem Programmierer die meisten. Zur Konfiguration des Kerns stehen drei Wege offen: •
•
•
Ein schlichtes Shellskript für die Kommandozeile, das Fragen zu den verschiedenen Konfigurationsbereichen des Kerns stellt. Wenn wir den Kern auf diese Weise konfigurieren, brauchen wir keine zusätzliche Software einzurichten. Nur als Notlösung anzuraten. Ein menügesteuertes Programm für die Konsole, das die Entwicklerdateien der curses-Bibliothek benötigt; Paket ncurses-dev erforderlich, keine Grafik, kein X11. Arbeitsweise ähnlich wie bei der Einrichtung des Grundsystems. Programme zur Konfiguration des Kerns unter einer grafischen Benutzeroberfläche und X11.
Die zu konfigurierenden Punkte sind identisch. Einrichten des Quellcodes Die Kernquellen werden in Form von Debian-Paketen bereit gestellt. In der Regel hat man die Wahl zwischen mehreren Versionen. Die bei Debian verfügbaren Versionen finden wir durch folgende Eingabe: joe@debian:~$ apt-cache search linux-source --names-only Nach der Auswahl des in Frage kommenden Quellcodes richten wir das Paket ein, beispielsweise den Quellcode für den Kern 2.6.18: debian:~# apt-get install kernel-source-2.6.18 was einige Minuten dauert. Das Paket liegt anschließend als gepackter Tarball in /usr/src. Wollen wir den Quellcode des Kerns nicht aus einem Debian-Paket bezeiehen, sondern direkt vom Erzeuger, so ist der zentrale Server www.kernel. org. Sie sollten in jedem Fall einen vertrauenswürdigen Server (Spiegel) verwenden und den heruntergeladenen Quellcode verifizieren. Dazu muss gnupg eingerichtet sein. Weitere Hinweise auf der Website. Der Kernquellcode, der mit Debian-Paketen zur Verfügung gestellt wird, unterscheidet sich von dem offiziellen Quellcode. So können von Debian-Maintainern Veränderungen vorgenommen sein, die zusätzliche Eigenschaften zur Verfügung stellen oder Fehler beheben. Die Verwendung der Debian-Pakete hat den Vorteil, einen besseren Kern als den offiziellen einzusetzen. Dafür ist er nicht ganz so aktuell wie der Code direkt vom Erzeuger. Den Debian-Tarball extrahieren wir in ein Verzeichnis mit der jeweiligen Versionsnummer, das vorher noch nicht existieren darf (sonst gibt es Verwechslungen): debian:/usr/src# tar -xjvf linux-source-2.6.18.tar.bz2 Verwenden Sie einen Tarball vom Erzeuger, sollten Sie das Verzeichnis linux, das beim Entpacken erzeugt wird, aussagekräftiger umbenennen.
686
15 Kerne und Kernmodule
Das Verzeichnis /usr/src/linux Wenn wir Quellcode anderer Programme übersetzen, kommt es vor, dass hierzu Informationen aus dem Kernquellcode benötigt werden. In solchen Fällen wird der Kernquellcode unterhalb des Verzeichnisses /usr/src/linux erwartet. Wir legen deswegen einen symbolischen Link vom Basisverzeichnis der Kernquellen hierhin an: debian:/usr/src# ln -s linux-source-2.6.18 linux Die Header-Dateien in den Verzeichnissen /usr/include/asm, /usr/ include/scsi sowie /usr/include/linux sind unter Debian GNU/Linux Bestandteil der Entwicklerdateien für die C-Bibliothek (Paket libc6-dev) und unabhängig vom Kern. 15.1.4 Vorbereiten der Konfiguration Methoden der Konfiguration Um den Kernquellcode zu konfigurieren, wechseln wir in das Basisverzeichnis des Kerns: debian:/usr/src# cd kernel-source-2.6.18 Falls wir mit dem Quellcode in diesem Verzeichnis bereits einen Kern erzeugt haben, löschen wir alle hierbei entstandenen temporären Dateien, bevor wir beginnen, einen Kern zu erstellen, dessen Konfiguration sich von der des vorherigen Kerns unterscheidet. Dazu geben wir ein: debian:~# make clean Die alte Konfiguration selbst wird dabei nicht gelöscht. Sie können dieses Kommando auch gleich nach der Einrichtung eines neuen Kerns samt Modulen benutzen, um den durch die temporären Dateien belegten Speicherplatz freizugeben. Als nächstes ist der Aufruf: debian:~# make help ebenso ungefährlich wie hilfreich, in dessen Ausgabe alle Ziele (target) genannt werden, die wir erreichen können. Ein Ziel ist das, was beim Kuchenbacken der fertige Kuchen ist. Wie zu ersehen stehen zur Konfiguration des Kerns mehrere Wege zur Verfügung: • • • •
config geht einen einfachen Weg über Kommandozeilen, menuconfig verwendet Textfenster und Menüs, gestaltet mit der cursesBibliothek, xconfig verwendet eine grafische Benutzeroberfläche unter Rückgriff auf die Qt-Bibliothek, gconfig dito, jedoch mit der GTK-Bibliothek,
15.1 Erstellen des Kerns
•
687
noch ein paar Wege für Vorsichtige und Mutige.
Das Makefile ist sozusagen ein Universal-Backrezept, das durch die Konfiguration auf einen bestimmten Kuchen hin ausgerichtet wird. Falls wir uns für die bewährte Kommandozeile entscheiden, rufen wir auf: debian:~# make config und schon geht die Fragerei los. Das dahinter stehende Shellskript bietet in eckigen Klammern die möglichen Anworten an und hebt die vorgegebene durch Großschreibung hervor. Die Vorgaben werden beim ersten Durchgang der Datei /boot/ config- * des laufenden Kerns entnommen in der nicht unbegründeten Hoffnung, dass dieser funktioniert. Zum Auswählen der Vorgabe reicht es, die -Taste zu drücken. Als Antwort stehen bei den meisten Fragen zur Verfügung: • • • •
Die Eigenschaft/Fähigkeit soll fest in den Kern eingebaut werden (y), die Eigenschaft/Fähigkeit soll als ladbares Kernmodul übersetzt werden (m). die Eigenschaft/Fähigkeit soll nicht übersetzt werden (n), wir brauchen eine Hilfe zu den Optionen (?).
Einige Optionen lassen sich nur fest oder nur als Modul übersetzen. Die übrigen Optionen können dann nicht aktiviert werden. In einigen Fällen müssen zur Konfiguration bestimmter Kernbestandteile Zahlen eingegeben werden. Solche Optionen sind mit auszuwählen. Es erscheint eine Texteingabebox für die entsprechende Angabe. Zurückblättern geht nicht. Insgesamt sind mehrere hundert Fragen zu beantworten. Das hört sich schlimmer an, als es ist. Wir sollten unsere Hardware kennen und daran denken, dass wenigstens die beim Systemstart benötigten Fähigkeiten fest in den Kern eingebaut sein müssen. Hinweise zum Erforschen der Hardware stehen im Abschnitt 7.1.2 Informationen zur Hardware auf Seite 337. Dann gibt es im Grund nur zwei Möglichkeiten: • •
Wir verstehen die Frage und wissen die Antwort. Wir verstehen oder wissen nichts. Dann übernehmen wir die Vorgabe.
In letzterem Fall gerät der Kern vermutlich suboptimal, aber er funktioniert. Im Übrigen können wir – ausreichend Plattenplatz vorausgesetzt – so viele und so verquere Kerne übersetzen, wie wir wollen. Ernst wird es erst, wenn wir einen neuen Kern dahin kopieren, wo er vom Bootloader (GRUB, LILO) abgeholt wird. Das ist bei Debian üblicherweise das Verzeichnis /boot. Und selbst dann haben wir immer noch die Chance, einen älteren Kern oder im Single User Mode zu booten. Haben wir uns auch diesen Weg durch voreiliges Löschen des letzten funktionierenden Kerns versperrt, hilft eine CD/DVD mit Knoppix oder interaktives Booten von einer GRUB CD/DVD/Diskette. Nach Einrichten des Paketes ncurses-dev lässt sich die textmenü-gesteuerte Konfiguration aufrufen: debian:~# make menuconfig
688
15 Kerne und Kernmodule
Abb. 15.1: Screenshot der Oberfläche von menuconfig zur Konfiguration eigener Kerne, Hauptbildschirm mit Auswahl der Optionsgruppen
Abbildung 15.1 zeigt den ersten Bildschirm mit der Auswahl der Optionsgruppen. Der Vorteil dieser fast grafischen Arbeitsweise ist die bessere Übersicht über die Optionen mit der Möglichkeit zu navigieren; in der Kommandozeile folgt eine Option auf die andere. Das Programm ist ähnlich zu benutzen wie das DebianInstallationsprogramm. Nach dem Start sehen wir die Liste aller Optionsgruppen. Mit den Pfeiltasten und <down> bewegen wir uns in der Liste, mit wählen wir eine Optionsgruppe. Daraufhin erscheinen die Optionen der betreffenden Gruppe untereinander. Auch hier dienen die Pfeiltasten zum Auswahl. Der Status einer Option lässt sich mit der Leertaste umschalten. Mit wechseln wir zum nächsten Knopf. Wollen wir grafisch arbeiten, stehen uns die beiden Ziele xconfig und gconfig zu Gebot, die verschiedene Grafikbibliotheken benutzen. Falls diese fehlen, gibt es eine Fehlermeldung verbunden mit der Bitte, die fehlenden Pakete nachzurüsten. Nach Einrichten der Debian-Pakete libglib2.0-dev, libgtk2.0-dev und libglade2-dev stellte sich der Bildschirm des Targets gconfig dar wie in Abbildung 15.3 wiedergegeben. Das Ziel xconfig war auch nach Einrichten von libqt4-dev nicht hinzubekommen. Mit den Pfaden zur Qt-Bibliothek stimmte vermutlich etwas nicht. Eine ausführlichere Fehlermeldung wäre hilfreich gewesen. Abbildung 15.2 zeigt das Aussehen einer früheren Version.
15.1 Erstellen des Kerns
689
Abb. 15.2: Screenshot der Oberfläche von xconfig zur Konfiguration eigener Kerne
Das Programm xconfig ist einfach zu benutzen: Im Hauptfenster finden wir eine Anzahl von Knöpfen, welche die verschiedenen Optionsgruppen darstellen. Durch Mausklick auf einen dieser Knöpfe öffnet sich ein weiteres Fenster, in dem die Optionen der entsprechenden Gruppe untereinander aufgelistet sind. Neben jeder Option befindet sich ein Hilfeknopf, mit dem wir Informationen zu den Optionen abrufen. Im unteren Bereich des Fenster können wir mit den Knöpfen Next und Prev zur jeweils nächsten bzw. vorhergehenden Optionsgruppe schalten. Über den Knopf Main Menu gelangen wir zum Hauptmenü surück. Links neben jeder Option befinden sich drei Auswahlknöpfe, mit denen wir bestimmen, ob der jeweilige Bestandteil fest in den Kern integriert werden soll (y), als Modul übersetzt (m) oder nicht übersetzt werden soll (n). In einigen Fällen ist die Angabe von Zahlen notwendig; hier finden sich Texteingabefelder neben den Optionen. Einige Optionen und Optionsgruppen erscheinen in hellerer Farbe – sie sind ausgegraut – und können nicht verändert werden. Diese Optionen sind durch andere ausgeschlossen worden. Beispielsweise ist es nicht möglich, Treiber für bestimmte SCSI-Adapter in den Kern einzubauen, solange nicht die allgemeine Unterstützung für SCSI aktiviert wurde. Das Programm wird durch Anklicken der Schaltfläche Save and Exit verlassen, wobei Änderungen der Konfiguration gesichert werden. Man sollte sich einmal die Konfigurationsdatei des im Betrieb befindlichen Kerns ansehen: joe@debian:~$ less /boot/config-2.6.18-3-686 oder ähnlich. Nachdem man sich vom ersten Schreck erholt hat, stellt man fest, dass es drei Gruppen von Optionen gibt: •
Bei einigen ist man sich ziemlich sicher, dass sie gebraucht werden,
690
15 Kerne und Kernmodule
Abb. 15.3: Screenshot der Oberfläche von gconfig zur Konfiguration eigener Kerne
• •
bei vielen weiß man ohne genaueres Nachforschen nicht, wozu sie gut sind und ob man sie braucht, bei manchen ist man sich ziemlich sicher, dass man sie nicht braucht, selbst wenn sie – meist als Kernmodul – übersetzt worden sind.
Kandidaten für die letztgenannte Gruppe sind beispielsweise Treiber für Arcnet-, Token-Ring- oder Infiniband-Adapter. Auch ein noch unerfahrener Verwalter kann beurteilen, ob er solche Adapter in seinem Stall hat. Da besteht Abmagerungspotenzial. Konfiguriert man zum ersten Mal einen Kern, ist es sinnvoll, an einem verregneten Wochenende die Konfiguration einmal locker durchzuspielen, ohne am Ende einen Kern zu bauen. Man gewinnt ein Gefühl für das, was abgefragt wird und was man nochmals in den Unterlagen zum Rechner nachlesen sollte. Schwierig ist das Konfigurieren und Übersetzen eines Kerns nicht, es kostet nur Zeit (Stunden). Aktualisieren der Konfiguration Eine abgewandelte Form der Konfiguration mittels make config steht mit dem Kommando: debian:~# make oldconfig zur Verfügung. Hierbei wird überprüft, welche Optionen bei der bestehenden Kernkonfiguration noch nicht vorhanden waren. Es werden nur solche Fragen gestellt, die
15.1 Erstellen des Kerns
691
neu hinzu gekommen sind. Dies ist hilfreich, wenn der Kern mit einer Patchdatei auf eine neuere Version gebracht wurde und es nicht erwünscht ist, alle bereits beantworteten Fragen erneut vorgelegt zu bekommen. Dadurch, dass nur nach neuen Optionen gefragt wird, verschafft das Kommando make oldconfig außerdem einen Überblick über hinzugekommene Kerneigenschaften. Die Benutzung ist dieselbe wie bei make config. Manuelles Sichern und Anpassen der Konfiguration Die aktuelle Konfiguration wird in der Datei .config im Basisverzeichnis des Kernquellcodes abgelegt. Die Datei sollte gesichert werden, bevor Sie das Quellcodeverzeichnis löschen oder beginnen, eine neue Konfiguration zu erstellen. Natürlich können Sie auch eine andere Konfigurationsdatei nach .config kopieren. Sie erhalten dann bei der Konfiguration des Kerns die Einstellungen aus dieser Datei als Vorgaben. Nach Einrichten eines Kerns aus einem Debian-Paket befindet sich seine Konfigurationsdatei im Verzeichnis /boot und trägt einen Namen wie config-2.6.18-3-686. Dadurch lässt sich nachvollziehen, mit welchen Optionen ein Kern übersetzt wurde. In verschiedenen Dokumentationen finden sich Hinweise darauf, welche Eigenschaften im Kern vorhanden sein müssen, damit der Kern eine bestimmte Aufgabe wahrnehmen kann. So findet sich im IP-Masquerade-HOWTO der Hinweis, dass die Eigenschaften: CONFIG_EXPERIMENTAL CONFIG_MODULES CONFIG_NET CONFIG_FIREWALL aktiviert sein müssen, um Network Address Translation (NAT, Masquerading) zu nutzen. Die Angaben entsprechen dem Format, in dem die Konfiguration in der Datei .config abgespeichert ist. Sie können die Datei auch mit einem Texteditor bearbeiten und beispielsweise den Eintrag: # CONFIG_EXPERIMENTAL is not set folgendermaßen ändern: CONFIG_EXPERIMENTAL=y Fest eingebaut oder Kernmodul? Bei der Überlegung, ob ein bestimmter Bestandteil fest in den Kern eingebaut oder als Kernmodul übersetzt werden soll, sind folgende Punkte zu bedenken: •
Alle Treiber, die benötigt werden, um auf die Wurzelpartition und das darin befindliche Dateisystem zuzugreifen, müssen fest in den Kern eingebaut werden. Ausnahmen bei Verwendung einer initialen Ramdisk.
692
• •
• •
•
15 Kerne und Kernmodule
Treiber für Tastatur und Bildschirmausgabe sollen sich ebenfalls fest im Kern befinden. Bestandteile, die ständig benötigt werden (z. B. Treiber für Dateisysteme oder Netzadapter, die ständig benutzt werden), können bedenkenlos fest eingebaut werden. Alle Bestandteile, die nur gelegentlich benötigt werden, sollten als Kernmodul kompiliert werden, um den Kern nicht unnötig aufzublähen. Kernmodule bieten den Vorteil, dass sie oftmals mit Parametern geladen werden können, die ihr Verhalten beeinflussen. Bei Verwendung von Kernmodulen kann mit Parametern experimentiert werden, ohne dass das System neu gestartet werden muss. Fest integrierten Bestandteilen können Parameter nur beim Systemstart übergeben werden. Beim Laden eines Kernmoduls, das einen Hardwaretreiber beinhaltet, wird die zugehörige Hardwarekomponente neu initialisiert. Hardwarekomponenten, die sich aufgehängt haben oder in einen inkonsistenten Zustand geraten sind, können durch Ent- und Neuladen eines Kernmoduls oft wieder zur Mitarbeit bewegt werden, wohingegen das System bei fest in den Kern eingebauten Bestandteilen in solchen Fällen neu gestartet werden muss.
Teile, die nicht gebraucht werden, weil die zugehörige Hardware nicht vorhanden ist oder die zugehörige Funktionalität aller Voraussicht nach nicht benötigt wird, werden weder in den Kern eingebaut noch als Kernmodul übersetzt. 15.1.5 Durchführen der Konfiguration Hilfen, Optionsgruppen Die folgenden Abschnitte geben Hinweise zu ausgewählten Optionen bei der Konfiguration des Kerns. Weitere Hinweise finden sich in den Hilfetexten (Help) zu den einzelnen Optionen, im Kernel-HOWTO (im Paket doc-linux-text oder doc-linux-de enthalten und nach deren Einrichtung im Verzeichnis /usr/share/doc anzutreffen; locate hilft beim Suchen) sowie in den Dokumentationsdateien des Kerns im Unterverzeichnis Documentation des Basisverzeichnisses der Kernquellen. Am einfachsten ist das Konfigurieren eines Kerns der auf dem Rechner laufenden Version. Aufpassen muss man, wenn man auf einem Rechner einen Kern für einen anderen Rechner bäckt, weil dann jede Vorgabe zu überdenken ist. Eine solche Aufgabe sollte man nicht an den Anfang seiner Karriere als Kernbäcker stellen. Die Optionsgruppen werden in der Reihenfolge vorgestellt, wie sie von den Konfigurationsprogrammen abgefragt werden. Beim Schreiben vorliegender Zeilen lief auf dem Nachbarschirm die menügesteuerte Konfiguration, übersichtlich, ohne Grafik und mit Rückwärtsgang. Bei den Einzeloptionen müssen wir uns beschränken, viele sind auch nicht von allgemeinem Interesse. Die Angaben beziehen sich auf Version 2.6.18 des Linux-Kerns; andere Kern-Versionen bieten abweichende Optionen an. Empfehlungen gelten für eine Verwendung des Kerns als AllroundArbeitsplatzsystem. Im Fall von Hardwaretreibern können keine Empfehlungen aus-
15.1 Erstellen des Kerns
693
gesprochen werden, da die Entscheidung, einen solchen Treiber zu integrieren, ausschließlich von der jeweiligen Hardware abhängt. Deshalb ist es angebracht, beim Konfigurieren alle Unterlagen zur eigenen Hardware griffbereit zu haben. Optionen, welche die Fehlersuche (Debugging) erleichtern, sind als Vorgabe ausgeschaltet, da sie sich eher an Kernentwickler wenden, nicht an Verwalter oder Benutzer. Code maturity level options Die erste Optionsgruppe beinhaltet nur eine einzige Option. Sie beeinflusst nicht den Kern selbst, sondern die Konfigurationsskripte. Durch die Option: Prompt for development and/or incomplete code/drivers wird festgelegt, ob die Konfigurationsskripte auch solche Kernbestandteile zur Auswahl anbieten, die von den Entwicklern als noch experimentell angesehen werden. Die Leertaste schaltet zwischen den Möglichkeiten hin und her, der eingeschaltete Zustand wird durch ein Sternchen gleichbedeutend mit yes angezeigt. Durch Anwählen des exit-Feldes mittels und dann gelangen wir zurück in das Hauptmenü. Wenn Sie einen Kern erzeugen, der für ein Produktionssystem bestimmt ist, sollten Sie diese Option nicht wählen. Falls Sie neue oder experimentelle Bestandteile testen möchten oder Hardware betreiben, für die noch keine stabilen Treiber zur Verfügung stehen, wählen Sie diese Option. Die Auswahl wird reichhaltiger; ablehnen können Sie eine Option später immer noch. General setup Die nächste Optionsgruppe betrifft allgemeine Einstellungen. Die erste Frage gilt der Bezeichnung lokal erzeugter Kerne: Local version - append to kernel release Hier ist eine Zeichenkette wie -wa oder ein Datum einzugeben. Die dritte Frage: Support for paging anonymous memory (swap) ist schon wichtiger und klar mit Y zu beantworten: wir wollen schwoppen. Die nächsten Fragen gelten der Prozessverwaltung, wir übernehmen die Vorgaben, ebenso bei den weiteren Fragen, sofern wir nichts Besseres wissen. Loadable module support In der dritten Optionsgruppe geht es um nachladbare Kernmodule, die wir außer in Fällen wie einfachen Servermaschinen scherlich verwenden wollen. Die erste Frage: Enable loadable module support beantworten wir daher mit y, die weiteren gemäß Vorgaben. Bei Zweifeln sorgt der Help-Knopf für Erleuchtung.
694
15 Kerne und Kernmodule
Block layer Hier geht es um Massenspeicher, die ihre Daten blockweise lesen und schreiben. Die Frage: Support for Large Block Devices (LBD) ist zu bejahen, falls wir Platten größer als 2 TB (Terabyte) betreiben. Ebenso ist der: Support for Large Single Files nur zu aktivieren, falls wir Dateien größer als 2 TB anzulegen beabsichtigen. Der Punkt: IO Schedulers ist seinerseits untergliedert. Einer seiner Punkte hat nochmals ein eigenes Menü, weil vier Antworten zur Auswahl stehen. Wir nicken die Fragen unverändert ab. Processor type and features Jetzt wären Kenntnisse der eigenen Hardware angebracht. Die erste Frage lautet: Symmetric multi-processing support (SMP) SMP beginnt mit hyperthreading-fähigen Prozessoren und geht über Prozessoren mit mehreren Prozessorkernen (bei neuen Maschinen häufig anzutreffen) bis hin zu Hauptplatinen mit mehreren getrennten Prozessoren. Vermutlich hat der Installer bei der Ersteinrichtung Ihres System die Lage richtig beurteilt, sodass die Vorgabe zutrifft. Gleiches gilt für die nächsten Einstellungen: Subarchitecture type und: Processor family zum Teil mit eigenen Menüs. Nach einigen weniger verständlichen Fragen folgt: Maximum number of CPUs Dem Problem sind wir gewachsen und können auch von der Vorgabe abweichen. Ähnlich geht es weiter. Den Laptop-Support: Toshiba Laptop support dürfen wir glatt ablehnen, wenn wir sicher sind, keinen Toshiba Laptop zu besitzen. Mit Firmware Drivers sind Treiber für das BIOS und seine Erweiterungen gemeint. Hier sind wir ein wenig unsicher, weil das BIOS beim Booten gebraucht wird, und übernehmen weitgehend die Vorgaben: BIOS Enhanced Disk Drive calls determine boot disk (EDD)
15.1 Erstellen des Kerns
695
Einige, Dell-Systeme betreffende Fragen verneinen wir, sofern wir kein Dell-System haben (Dell ist ein PC-Hersteller). Dann geht es um den Arbeitsspeicher (memory). Meist weiß man, wieviel man davon hat, weil der Geld gekostet hat. Wir schauen uns die Vorgaben an und nicken wohlwollend. Die Unterstützung von 64-bit-breitem Memory ist ein Beispiel für eine noch experimentelle Fähigkeit. Wer das hat, wird es auch nutzen wollen, unabhängig davon, ob der Treiber experimentell oder abgehangen ist. Zu dieser Optionsgruppe gehören so viele Einstellungen, dass der Bildschirm scrollt, wenn wir am unteren Rand ankommen. Power management options (ACPI, APM) Heutige Rechner sind Stromfresser. Im Fall von batteriegespeisten Laptops ist das unmittelbar zu spüren, bei durchlaufenden Servern merkt man es an der Jahresrechnung des Energieversorgungsunternehmens. Wir brauchen Power Management. Die Frage: Power management support ist auf modernen Rechnern unbedingt zu bejahen. ACPI und APM sind zwei Mechanismen des Power Managements, siehe Abschnitt 9.2 Power Management auf Seite 396. Auf Laptop Extras können wir verzichten, wenn wir keinen Laptop haben. Beim CPU Frequency scaling geht es um das Heruntertakten der CPU bei Langeweile. Spart Strom und senkt die Temperatur. Bus options (PCI . . . ) Die hier gemeinten Busse fahren im ÖDNV und verbinden Einsteckkarten (Adapter) sowie auf der Hauptplatine integrierte Bausteine mit Prozessor und Arbeitsspeicher. Ein heutiger Rechner verfügt über PCI, vielleicht noch ISA und vielleicht schon PCI Express. PCMCIA (PCCard, CardBus) ist bei Laptops oft zu finden und kann auch einmal bei Desktoprechnern mit einem WLAN-Adapter gefragt sein. Extended Industry Standard Architecture (EISA) und Microchannel (MCA) sind so gut wie ausgestorben. Vorgaben übernehmen, soweit wir nichts Genaueres wissen. Den PCI Hotplug Support können wir abwählen; an einem laufenden Rechner soll man nicht herumschrauben. Executable file formats Jetzt geht es in die Geschichte von Linux/UNIX. Das Format ausführbarer (compilierter) Programme hat einmal gewechselt. Vorgeschlagen wird, das aktuelle Format (Executable and Linkable Format, ELF) fest einzubauen, die weiteren als Kernmodul bei Bedarf nachzuladen. Passt in der Regel.
696
15 Kerne und Kernmodule
Networking Ohne Networking geht heute nichts. Es gibt auch Prozesse, die innerhalb eines Rechners über die Netzschnittstelle kommunizieren. Die am Anfang stehende Frage: Networking support (NET) beantworten wir daher mit einem kräftigen Y. Bei den zahlreichen Einzelheiten verlassen wir uns wieder auf die Vorgaben, bis wir Genaueres wissen. Im Netz hängen viele Dinge voneinander ab (Schichtenmodell), sodass man an einer funktionierenden Konfiguration nichts ändern sollte, ehe man sicher weiß, was wofür gebraucht wird. Viele Fähigkeiten sind als Kernmodul übersetzt, belasten den Kern also nur bei Bedarf. Abmagerungspotenzial besteht sicherlich; anfangen kann man mit dem Appletalk protocol support, wenn gewiss ist, keinen älteren AppleRechner im Netz zu haben. Auch den Amateur Radio support oder den IrDA (infrared) subsystem support (Infrared Digital Association) brauchen nur wenige Benutzer. Ein schlichter Rechner am Arbeitsplatz benötigt auch keine Router-Fähigkeiten. Bluetooth dagegen könnte gefragt sein. Device Drivers In dieser umfangreichen Optionsgruppe dreht es sich vor allem um Treiber für Hardware, zuerst um Treiber für verschiedene entfernbare Speichertypen wie Stöpsel oder Speicherkarten, die bei weitem nicht so gut standardisiert sind wie man meinen könnte. Dann endlich wieder eine überschaubare Frage: Parallel port support Wer die parallele Schnittstelle nicht benutzt und im BIOS deaktiviert hat, braucht auch keine Unterstützung dafür im Kern. Die Schnittstelle wurde viel für Drucker benutzt, ist aber heute von USB oder der direkten Einbindung eines Druckers in das LAN per Ethernet abgelöst. Als übernächste Untergruppe folgen Block-Geräte wie Floppies, XT-Festplatten, Parallelport-Streamer, Mylex RAID Controller usw. Hier muss man wieder seine Hardware kennen. Das Loopback-Device – siehe Abschnitt 13.3 Loopback-Device auf Seite 574 – dagegen ist eine reine Softwareangelegenheit und brauchbar: Loopback device support also übersetzen als Kernmodul. Ähnliches gilt bei entsprechendem Bedarf vom Cryptoloop-Device, siehe Abschnitt 13.7 Verschlüsselte Dateisysteme auf Seite 582. Die initiale Ramdisk brauchen wir möglicherweise beim Systemstart: Initial RAM filesystem and RAM disk support daher Y bzw. Sternchen. Viele Fragen betreffen die Chipsets auf der Hauptplatine und sind vorsichtshalber dahingehend beantwortet, dass die Fähigkeit als Kernmodul bereit gestellt wird. Weiss man, welcher Chipset in der Kiste werkelt, kann man den Rest abwählen. Gleiches gilt für die Unterstützung von SCSI-Geräten, aber Vorsicht:
15.1 Erstellen des Kerns
697
Es könnte sein, dass ein ATAPI-CD/DVD-Brenner per Software zu einem SCSIGerät umfunktioniert worden ist. USB-Speicher und SATA-Platten werden ebenfalls als SCSI-Geräte angesprochen. Wer kein RAID verwendet – siehe Abschnitt 6.5.7 Redundant Array of Independent Disks auf Seite 333 – kann getrost alles ablehnen, was RAID im Namen führt. Dagegen ist Firewire nach IEEE 1394 bei Vorhandensein eines entsprechenden Anschlusses interessant: IEEE 1394 (Firewire) support und als Kernmodul zu erstellen. In dieser Gruppe finden sich viele Kernmodule, auf die man bei genauer Kenntnis seiner Hardware verzichtet. File systems Dateisysteme haben wir in Abschnitt 13 Dateisysteme ab Seite 563 kennen gelernt. In dieser Optionsgruppe geht es um die Konfiguration für die auf unserem Rechner vertretenen Dateisystemtypen. Die Einstellungsmöglichkeiten sind zwar zahlreich, aber sie stammen aus einem eng begrenzten Gebiet, was die Auswahl erleichtert. Wer kein XFS hat, braucht sich um dessen Feinheiten nicht zu kümmern. Dateisysteme der Typen ext2, ext3, ISO 9660, DOS/FAT und vielleicht NFS oder CIFS (Samba) benutzen die meisten. Ansonsten gilt der Rat eines Help-Schirms: If you don’t know whether you need it, then you don’t need it. Instrumentation support In dieser kleinen Optionsgruppe lässt sich das Profiling für den Kern einschalten, ein Gebiet, das nur Entwickler und Programmierer betrifft, die untersuchen wollen, womit der Kern seine Zeit verbringt. In den meisten Fällen abwählen. Kernel hacking Ist nicht so aufregend wie es sich anhört. Nur für Entwickler und Programmierer von Belang. In den meisten Fällen abwählen. Security options Hier werden viele Optionen fest in den Kern eingebaut, damit sie nicht so leicht auszuhebeln sind oder durch gefälschte Kernmodule ersetzt werden können. Zumindest auf Rechnern, die Angriffen ausgesetzt sein könnten, sind die meisten der Optionen zu aktivieren. Cryptographic options Hier lässt sich eine Reihe kryptografischer Algorithmen aktivieren, zumeist als Modul. Als letzter Punkt wird ein in Hardware realisierter Verschlüsseler aufgeführt, den jedoch die wenigsten Rechner haben.
698
15 Kerne und Kernmodule
Library routines Einige Kernmodule, die unabhängig vom Kern gebaut worden sind, verlangen bestimmte Checks, die mit diesen Optionen bereit gestellt werden. Falls benötigt, dann als Kernmodul. Haben wir diesen Punkt hinter uns gebracht, wird die Konfiguration in der Datei .config oder einer anderen gespeichert. Wenn wir nicht mit dem Übersetzen des Kerns und der Kernmodule weitermachen wollen, darf sie gelöscht werden. Ansonsten beginnt der nächste Konfigurationsversuch mit der gerade vollendeten Konfiguration als Vorgabe. Wir verlassen Kommandozeile, curses-Fenster oder grafisches Fenster und wenden uns dem Übersetzen (Compilieren) von Kern und Kernmodulen zu. Nun soll der Rechner schwitzen. 15.1.6 Übersetzen und Einrichten des Kerns Nachdem der Kern konfiguriert und die Konfiguration in .config abgespeichert ist, übersetzen wir ihn samt den Kernmodulen. Hierzu geben wir: debian:~# make ein. Wie der Ausgabe von make help zu entnehmen ist, werden damit die Ziele vmlinux (der Kern), modules (die Module) und bzImage (komprimiertes Abbild des Kerns) zugleich erzeugt. Verfügt der Rechner über reichlich Arbeitsspeicher und/oder mehrere Prozessoren, beschleunigt die make-Option -j n das Übersetzen, wobei für n eine Ganzzahl zwischen 2 und 8 einzusetzen ist. Es werden dann entsprechend viele Instanzen des Compilers gleichzeitig gestartet. Mittels top lässt sich der Erfolg überwachen. Es darf nicht zum Swappen kommen, das wäre abträglich. Im Experiment auf einem Rechner mit einer hyperthreading-fähigen CPU und 1 GB Arbeitspeicher war 4 ein guter Wert. Die Übersetzung des Kerns beansprucht auf langsamen Rechnern eine gewisse Zeit und belastet einige Komponenten des Rechners sehr. Bei fehlerhafter Hardware kommt es gelegentlich zu Fehlermeldungen der folgenden Art: gcc: Internal compiler error: program cc1 got fatal signal 11 Ursachen dieses Fehlers (SIGSEGV) sind in der Regel ein übertakteter Prozessor, fehlerhafter Cache-Speicher oder fehlerhafter RAM-Speicher. Mehr Informationen unter http://www.BitWizard.nl/sig11/. Ist die Übersetzung erfolgreich beendet, richten wir den frischgebackenen Kern ebenfalls mit Hilfe des Makefiles ein. Jetzt brauchen wir Root-Rechte, weil in Systemverzeichnisse geschrieben wird. Wir rufen auf: debian:~# make modules_install und: debian:~# make install
15.1 Erstellen des Kerns
699
Im Verzeichnis /boot finden wir den Kern samt einigen Hilfsdateien wieder, erkennbar an der zu Anfang der Konfiguration eingegebenen Zeichenkette. Ersetzt der neue Kern einen gleichnamigen, so wird dieser mit der Kennung .old versehen, also nicht gelöscht. Wir informieren den Bootloader GRUB von dem Zugang: debian:~# update-grub und stellen fest, dass GRUB unseren Kern für so gelungen hält, dass er ihn als Vorgabe an die Spitze setzt. Auch in der Datei /boot/grub/menu.lst wird nichts gelöscht, sondern nur hinzugefügt. Wir können jederzeit auf bewährte Kerne zurückgreifen. Haben wir alle zum Booten erforderlichen Treiber fest in den Kern eincompiliert, brauchen wir keine initrd-Zeile für unseren Kern, nur die drei Zeilen title, root und kernel. Die neuen Module liegen im Verzeichnis /lib/modules/2.6.18-wa oder ähnlich entsprechend unserer Wahl, ebenfalls gemeinsam mit einigen von make erzeugten Hilfsdateien. Nun räumen wir mittels: debian:~# make clean auf und löschen im Arbeitsverzeichnis alle beim Übersetzen erzeugten Dateien außer der Konfigurationsdatei .config, die uns für die nächste Runde erhalten bleibt. Einem Rebooten steht nichts mehr im Weg. Danach unbedingt die Protokolldateien /var/log/boot und /var/log/syslog durchgehen. 15.1.7 Neuer Kern als Debian-Paket Konfiguration des Paketes kernel-package Bisher sind wir zwar von Debian-Paketen ausgegangen, haben jedoch unseren Kern nicht als Debian-Paket verpackt, sondern direkt in /boot eingerichtet. Das ist der schnellste Weg, aber nicht der beste auf einem Debian-System, da die Paketverwaltung nichts von unserem Treiben weiß. Jetzt kommt das Debian-Paket kernelpackage ins Spiel. Das in dem Paket kernel-package enthaltene Perl-Skript steuert die Erstellung von Debian-Paketen aus dem Kernquellcode. Der Weg bietet den Vorteil, dass sich unterschiedliche Kernversionen samt den erzeugten Paketen leicht speichern lassen, ohne dass es erforderlich ist, den gesamten Quellcode der entsprechenden Version zu sichern. Darüber hinaus lassen sich mit kernel-package unterschiedlich konfigurierte Kerne aus derselben Version des Quellcodes erzeugen. Dies ist von Vorteil, wenn auf einem Rechner Kerne für andere Rechner erzeugt werden oder mit verschiedenen Kernkonfigurationen experimentiert wird. Weil kernel-package Debian-Pakete erzeugt, sind bei der Konfiguration einige Angaben zu machen, die sich darauf auswirken, welche Informationen in die zu erzeugenden Pakete aufgenommen werden und wie sich diese bei ihrer Einrichtung verhalten. Während der Einrichtung von kernel-package oder später wird das Skript /usr/sbin/kernel-packageconfig aufgerufen: debian:~# kernel-packageconfig
700
15 Kerne und Kernmodule
Das Skript fragt nach dem Namen und der Email-Anschrift desjenigen, der für die Erstellung des Kerns auf dem System verantwortlich ist. Die Information wird dazu benutzt, die erstellten Pakete zu signieren, und erscheint in den Kontrollinformationen der zu erzeugenden Pakete. Sinnvolle Angaben erleichtern später das Unterscheiden eigener Kern-Pakete von offiziellen Paketen. Die systemweiten Informationen werden in der Datei /etc/kernel-pkg.conf abgelegt, wozu Root-Rechte benötigt werden. Dort lassen sich weitere Angaben unterbringen, wie in der Manualseite zu kernel-pkg.conf erläutert. Ein Beispiel ist die Einstellung: CONCURRENCY_LEVEL := 4 die der make-Option -j entspricht (Anzahl gleichzeitiger Compileraufrufe). Ein Benutzer kann in seinem Home-Verzeichnis eine Datei .kernel-pkg.conf anlegen, die Vorrang genießt. Übersetzen mittels make-kpkg Außer einer umfangreichen Dokumentation in /usr/share/kernel-package/ docs enthält das Paket das Werkzeug make-kpkg, ein Perl-Skript, das wie make so genannte Ziele (target) kennt. Der Aufruf: joe@debian:~$ make-kpkg --targets führt uns die Liste der Ziele vor Augen. Auch die Manualseite enthält einen Abschnitt TARGETS. Wir finden folgende Ziele: • • • • • • • • •
clean entfernt alle beim Übersetzen erzeugten Dateien im Kernquellenverzeichnis, nicht jedoch die Konfigurationsdatei, wie üblich, buildpackage ruft die Unterziele clean und binary auf und erzeugt die vollständigen Debian-Pakete mittels dpkg-buildpackage, binary erzeugt alle fünf Debian-Kernpakete einschließlich des Paketes mit der Dokumentation, siehe unten, modules erzeugt ein Debian-Paket mit allen Modulen, die von genau der Kernversion abhängen, die wir gerade bearbeiten, modules_image erzeugt Abbilddateien der übersetzten Module, modules_config erlaubt die Konfiguration der Module, modules_clean entfernt alle mittels der beiden vorgenannten Ziele erzeugten Dateien, configure erlaubt das Editieren der Datei .config, debian erzeugt das Verzeichnis debian und wendet Patches auf die Quellen an.
wobei einige Ziele automatisch bestimmte Unterziele ansteuern. Die Wirkungsweise lernt man am einfachsten durch Ausprobieren kennen. Dazu begeben wir uns in das Verzeichnis mit den Kernquellen (wie oben): joe@debian:~$ cd /usr/src/linux
15.1 Erstellen des Kerns
701
gegebenenfalls mit Versionsnummer dahinter. Da in den nächsten Schritten nur übersetzt und zusammengepackt wird, darf dies auch ein gewöhnlicher Benutzer in seinem Home-Verzeichnis durchführen. Das Einrichten ist ein getrennter, Root vorbehaltener Schritt. Im Kernquellenverzeichnis erwartet make-kpkg eine Konfigurationsdatei .config, wie wir sie oben in stundenlangem Gespräch am Terminal geschaffen haben. Fehlt die Datei, fällt make-kpkg auf Vorgaben zurück, was für den Anfang passt, aber nicht unserem Wunsch nach einem maßgeschneiderten Kern gerecht wird. Wir starten das Werkzeug: debian:~# make-kpkg buildpackage und die Maschine rennt los, Zeit für eine Kaffeepause. Zwei an dieser Stelle interessante Optionen sind --verbose für erhöhte Gesprächigkeit und --noexec, damit das Skript nur so tut als ob. Die fertigen Debianpakete mit der Kennung deb des Dateinamens finden wir in dem dem Kernquellenverzeichnis übergeordneten Verzeichnis, meist also in /usr/ src: • • • • •
linux-doc-...10.00.Custom_all.deb Dokumentation, architekturunabhängig, linux-headers-...10.00.Custom_i386.deb Header-Dateien des erzeugten Kerns, linux-image-...10.00.Custom_i386.deb Kern-Abbilddatei, linux-manual-...10.00.Custom_all.deb Manualseiten, architekturunabhängig, linux-source-...10.00.Custom_all.deb Quellcode, architekturunabhängig.
Wir stellen fest, dass die Debian-Paketdateien als Vorgabe die Versionskennzeichnung 10.00.Custom bekommen haben. Beim Bau mehrerer Kernversionen ist das untragbar. Deshalb kann man make-kpkg mit der Option --revision eine vom Benutzer bestimmte Versionskennzeichnung mitgeben. Die Verwendung der Option ist aus zwei Gründen sinnvoll: •
•
Ohne die Angabe einer Revisionsnummer verwendet make-kpkg die Versionsnummer 10.00. Wenn das System regelmäßig aktualisiert wird, kommt es vor, dass auf einer Installationsquelle das gleiche Paket mit einer höheren Versionsnummer zur Verfügung steht. Dies würde dazu führen, dass Paketmanagementprogramme wie apt-get oder dselect den eigenen, angepassten Kern überschreiben, weil sie davon ausgehen, es handle sich bei den Paketen um eine aktualisierte Fassung des installierten Paketes. Weil mit Buchstaben beginnende Revisionsnummern vom Paketmanager höher als solche eingestuft werden, die mit Zahlen beginnen, und die offiziellen Kern-Image-Pakete nur Zahlen als Revisionsnummer verwenden, stellen Sie so sicher, dass der angepasste Kern nicht überschrieben wird. Wenn Sie Kerne für verschiedene Rechner erstellen, sind diese unterschiedlich konfiguriert. Mit Revisionsnummern wie printserver1.0 oder
702
15 Kerne und Kernmodule
arbeitsplatz2.0 unterscheiden Sie die neuen Debian-Pakete leicht voneinander. Bei der Auswahl von Revisionsnummern ist zu beachten, dass diese nur aus Buchstaben, Zahlen sowie den Zeichen +, -, und . bestehen dürfen. Revisionsnummern sollen einen Punkt enthalten. Will man nicht selbst mitzählen, nimmt man Datum und Uhrzeit – die Ausgabe des Kommandos date – für den Zweck. Auf diese Weise ist sichergestellt, dass eine jüngere Version eine höhere Nummer erhält, vorausgesetzt, Sie haben Ihre Systemuhr im Griff und wählen UTC, um den Problemen von Sommer- und Winterzeit auszuweichen. Mit einem Aufruf wie: joe@debian:~$ ar -vt linux-source-...all.deb schauen wir uns den Inhalt eines Debian-Paketes an und bemerken, dass dieser drei Dateien umfasst: • • •
debian-binary, eine sehr kleine Datei mit Angabe der Version von dpkg, beispielsweise 2.0, control.tar.gz, ein gepacktes tar-Archiv mit Kontrollinformationen zum Paket (Metadaten usw.), data.tar.gz, die eigentlichen Daten, Code usw., ebenfalls in Form eines gepackten tar-Archivs und ziemlich groß.
Weiteres dazu im Abschnitt 14 Debian-Paketsystem ab Seite 635. Verwenden einer initialen Ramdisk Eine initiale Ramdisk ist bei angepassten Kernen selten erforderlich, da alle zum Systemstart erforderlichen Module fest in den Kern eingebaut werden können. Mit der Option --initrd erzeugt make-kpkg sowohl den Kern wie die Datei initrd mit dem Abbild der zugehörigen initialen Ramdisk. Wir haben sie in Abschnitt 11.3.3 Booten auf Seite 476 im Zusammenhang mit GRUB kennengelernt. Einrichten des neuen Kerns Obwohl es dank GRUB unwahrscheinlich ist, dass der neue Kern das System unrettbar beschädigt, beruhigt eine Sicherungskopie aller wichtigen Verzeichnisse. Auch sollte man ein entfernbares GRUB-Bootmedium (Diskette, CD/DVD) in Reserve halten. Wir gehen in das Verzeichnis mit den fünf selbstgebackenen Debian-Paketen, beispielsweise /usr/src. Dort rufen wir als Root auf: debian:~# dpkg --install linux-image-....deb wobei die Pünktchen für die Versionsbezeichnung stehen. Das Vorgehen unterscheidet sich nicht vom Einrichten originaler Debian-Pakete. Bevor der Kern kopiert wird, überprüft das preinst-Skript des Paketes, ob bereits ein Kern derselben Version installiert ist. Falls dies der Fall ist, erfolgt ein
15.1 Erstellen des Kerns
703
Hinweis, dass es hierdurch zu Problemen kommen kann, wenn sich die Module des bereits installierten Kerns von denen im zu installierenden Paket unterscheiden. In einer solchen Situation sollten Sie dem Vorschlag des Skripts folgen und die Einrichtung abbrechen. Verschieben Sie dann dass Modulverzeichnis des alten Kerns an einen anderen Ort, indem Sie folgendes Kommando eingeben: debian:~# mv /lib/modules/2.6.18 /lib/modules/2.6.18.old 2.6.18 entspricht hierbei der Versionsnummer des betreffenden Kerns. Installieren Sie den neuen Kern danach erneut. Weil in diesem Fall nach der Installation des neuen Kerns die Eigenschaften des laufenden Kerns nicht mehr mit den Modulen im Modulverzeichnis übereinstimmen, sollten Sie nach Abschluss der Installation baldmöglichst einen Neustart des Systems durchführen. Das Sicherungsverzeichnis können Sie löschen, sobald gewährleistet ist, dass der neue Kern richtig funktioniert. Anschließend hat das Verzeichnis /boot Zuwachs bekommen, und die Konfigurationsdatei /boot/grub/menu.lst verzeichnet unseren Grand Cru an erster Stelle. Rebooten, bei Problemen mit der Grafik (X11) im Single User Mode. Mit dem Aufruf: joe@debian:~$ dmesg | head oder: joe@debian:~$ uname -a ermitteln wir, welcher Kern geladen worden ist. 15.1.8 Probleme Keine Ausgabe auf dem Bildschirm Die wahrscheinlichste Erklärung für diesen Fehler ist, dass sich der Treiber für die Konsole nicht im Kern befindet. Booten Sie den alten Kern und stellen Sie sicher, dass in der Optionsgruppe Character Devices die Option Virtual Terminal sowie in der Optionsgruppe Console Drivers die Option VGA text console aktiviert ist. Übersetzen und installieren Sie den Kern erneut. Kein Zugriff auf das Rootdateisystem Wenn der neue Kern normal startet, jedoch mit einer Meldung der Art: VFS: Unable to mount root fs on 0807 stehen bleibt und diese Meldung mit dem alten Kern nicht aufgetreten ist, dann haben Sie vermutlich vergessen, die Treiber für den Zugriff auf das Wurzeldateisystem fest in den Kern zu integrieren. Starten Sie das System mit dem alten Kern und überprüfen Sie, ob sich die Unterstützung für IDE- bzw. SCSI-Adapter im Kern befindet, ob der richtige Hardwaretreiber für den im Rechner vorhandenen Adapter/Chip im Kern ist und ob der Treiber für das ext3-Dateisystem eingebunden wurde.
704
15 Kerne und Kernmodule
Module können beim Systemstart nicht geladen werden Wenn Sie bestimmte Treiber bisher automatisch während des Systemstarts aus Modulen geladen haben und diese Treiber beim neuen Kern entweder nicht mehr vorhanden oder fest in den Kern integriert worden sind, treten beim Systemstart unter Umständen Fehlermeldungen folgender Art auf: Loading modules: foobar modprobe: Can’t locate module foobar wobei foobar durch den Namen des Moduls zu ersetzen ist, das nicht geladen werden kann. Bei diesen Fehlermeldungen handelt es sich um Schönheitsfehler. Module, die beim Systemstart geladen werden sollen, sind in der Datei /etc/modules eingetragen. Um die Fehlermeldungen in Zukunft zu vermeiden, können Sie die Datei mit einem Texteditor öffnen und die Einträge auskommentieren (Doppelkreuz). Treiber werden nicht geladen In einigen Fällen ist es notwendig, Treibern Parameter zu übergeben, damit diese die von ihnen kontrollierte Hardware richtig erkennen. Wenn solche Treiber mit dem alten Kern in Form von Modulen geladen wurden, so haben Sie die entsprechenden Parameter wahrscheinlich mit dem Programm modconf angegeben. Die entsprechenden Parameter sollten sich dann in der Datei /etc/modutils/modconf befinden. Das Verfahren funktioniert nicht mit Treibern, die sich fest im Kern befinden. Die Parameter müssen solchen Treibern am Bootprompt übergeben werden. 15.1.9 Aktualisieren des Kerns mit apt-get 15.1.10 Aktualisieren des Kerns mit Patchdateien Neben komprimierten tar-Archiven mit dem Kernquellcode werden auf http:// www.kernel.org/ Patchdateien bereitgestellt, mit denen der vorhandene Quellcode einer älteren Version auf eine neuere aktualisiert werden kann. Die Patchdateien liegen ebenfalls in komprimierter Form vor und sind deutlich kleiner als die kompletten Archive. Es ist allerdings nicht empfehlenswert, den durch die kernel-source-Pakete bereitgestellten Quellcode mit Patchdateien zu aktualisieren. Der von Debian bereitgestellte Quellcode enthält bereits Änderungen gegenüber der offiziellen Version des Quellcodes. Die in den Patchdateien beschriebenen Änderungen lassen sich deswegen nicht auf den Debian-Quellcode anwenden. Patchdateien werden immer zur Aktualisierung von einer Kernversion auf die nächste angeboten. Wenn von einem Kern der Version 2.6.18 auf die Version 2.6.20 aktualisiert werden soll, dann wird ein Patch zur Aktualisierung von 2.6.18 auf 2.6.19 und ein weiterer zur Aktualisierung von 2.6.19 auf 2.6.20 benötigt. Die Patchdateien liegen auf dem Server www.kernel.org im selben Verzeichnis wie die kompletten Archive. Sie tragen Dateinamen wie patch-2.
15.1 Erstellen des Kerns
705
6.19.bz2, wenn sie mit dem Werkzeug bzip2 komprimiert wurden, oder patch-2.6.19.gz, wenn Sie mit gzip komprimiert wurden. Die Versionsnummer bezeichnet die Version des Kerns, auf die mit dem Patch aktualisiert wird (Zielversion). Zur Anwendung eines Patches ist zunächst die Patchdatei zu dekomprimieren: joe@debian:~$ bunzip2 patch-2.6.19.bz2 Die Verwendung des Kommandos setzt voraus, dass sich die Patchdatei im Arbeitsverzeichnis befindet. Der Dateiname patch-2.6.19.bz2 ist an die jeweilige Patchdatei anzupassen. Im Falle einer mit gzip komprimierten Patchdatei ist anstelle von bunzip2 das Programm gunzip zu verwenden. Im nächsten Schritt muss in das Basisverzeichnis des Kernquellcodes gewechselt werden. Vorausgesetzt, das Verzeichnis heißt linux-2.6.18 und befindet sich unterhalb des Arbeitsverzeichnisses, wird dazu eingegeben: joe@debian:~$ cd linux-2.6.18 Der Patch wird dann durch die Eingabe des folgenden Kommandos angewandt: joe@debian:~$ patch -p1 < ../patch-2.6.19 Dies setzt voraus, dass sich der Patch eine Verzeichnisebene unter dem Basisverzeichnis des Kernquellcodes befindet. Der Dateiname patch-2.6.19 ist auch hier anzupassen. Wenn mit mehreren Patchdateien über mehrere Versionen hinweg aktualisiert werden soll, so sind die einzelnen Patches in der Reihenfolge ihrer Versionsnummern anzuwenden. Nach Anwendung des Patches sollte der Name des Quellcodeverzeichnisses der neuen Version angepasst werden. Auch der symbolische Link /usr/src/linux muss aktualisiert werden. Im Fall der Aktualisierung von Version 2.6.18 auf 2.6.19 geschieht dies mit folgenden, von Root aufzurufenden Kommandos: cd mv rm ln cd
.. linux-2.6.18 linux-2.6.19 /usr/src/linux -s ‘pwd‘/linux-2.6.19 /usr/src/linux linux-2.6.19
Die Kommandos sind bei Verwendung anderer Verzeichnisnamen anzupassen. Nach Anwendung des Patches empfiehlt es sich, den Quellcodebaum von alten temporären Dateien zu bereinigen: debian:~# make clean Zum Schluss muss die Konfiguration des Quellcodes an die neue Version angepasst werden. Dies kann mit make menuconfig oder durch das Kommando: debian:~# make oldconfig geschehen. Nach Eingabe des Kommandos werden nur solche Fragen gestellt, die bei der alten Version noch nicht beantwortet wurden.
706
15 Kerne und Kernmodule
15.1.11 Austauschen des Kerns Der Standardkern zur Zeit der Niederschrift dieser Zeilen ist die Version 2.6.18. Will man von einem 2.6.18-Kern auf einen neueren wechseln, ist folgende Zeile einzugeben: debian:~# apt-get install linux-image-2.6-686 Das Paket ist ein Meta- oder Dummy-Paket, das keine Daten enthält, sondern nur Abhängigkeiten von den eigentlichen Datenpaketen. Nach einem Warmstart bietet GRUB den neuen Kern an erster Stelle an. Der alte Kern ist weiterhin verfügbar, weshalb man in der Wurzelpartition etwas Luft braucht, mindestens für zwei Kerne samt Zubehör. Nach einer Probezeit entfernt man den nicht länger benötigten Kern, wobei die genaue Kernversion anzugeben ist.
15.2 Konfiguration von Kern und Kernmodulen beim Start 15.2.1 Grundbegriffe Wie vielen Anwendungsprogrammen können auch dem Kern beim Start Parameter übergeben werden. Die meisten Parameter dienen dazu, bestimmten Hardwaretreibern mitzuteilen, wo sich die von ihnen gesteuerte Hardware befindet, wie sie zu initialisieren oder im weiteren Verlauf zu betreiben ist. Eine Reihe anderer Parameter beeinflusst das Verhalten des Kerns. Eng verwandt mit den Kernparametern sind Parameter, die beim Laden eines Kernmoduls übergeben werden. Wenn beispielsweise ein Hardwaretreiber einen Hinweis benötigt, welche Ein- und Ausgabeadresse die von ihm gesteuerte Hardwarekomponente verwendet, dann muss dem Treiber diese Information in Form eines Kernparameters übergeben werden, wenn er sich fest im Kern befindet. Liegt der Treiber jedoch in Form eines Kernmoduls vor, dann wird die entsprechende Komponente nicht während des Systemstarts initialisiert und die Information noch nicht benötigt. Der betreffende Parameter für den Treiber wird dann später beim Laden des Kernmoduls angegeben. Beim Laden eines Kernmoduls werden die Parameter in der Kommandozeile des Modulladeprogramms übergeben. Ein Kernparameter muss hingegen vom Bootloader übergeben werden. In vielen Fällen unterscheidet sich die Syntax der Parameterübergabe. Darüber hinaus können einer Reihe von Kernmodulen Optionen übergeben werden, die nicht zur Verfügung stehen, wenn sich der betreffende Bestandteil fest im Kern befindet. In diesem Abschnitt wird zunächst dargestellt, wie Kern- und Kernmodulparameter übergeben und fest eingestellt werden können. Im weiteren Verlauf werden einige allgemeine und hardwarespezifische Parameter beschrieben. Grundsätzlich sollte beachtet werden, dass die meisten Treiber über Autoprobing verfügen, das heißt, sie erkennen selbst, welche Ressourcen sie zu verwenden haben und wie die betreffende Hardware zu initialisieren ist. Durch die ausdrückliche Angabe der Ressourcen mittels Parametern wird das Autoprobing abgeschaltet.
15.2 Konfiguration von Kern und Kernmodulen beim Start
707
Im Zweifelsfall empfiehlt es sich, einen Treiber ohne Angabe von Parametern zu laden und dem Autoprobing zu vertrauen. Erst wenn hiermit nicht die gewünschten Ergebnisse erzielt werden, sollte man versuchen, die betreffende Kernkomponente auf die zu verwendenden Ressourcen hinzuweisen. Heutige Treiber sind intelligenter als frühere, und die Hardware ist besser darauf vorbereitet, sich mit Treiber oder Betriebssystem zu verständigen. Es ist nur noch selten erforderlich, Treiber ausdrücklich zu konfigurieren. 15.2.2 Der Bootprompt – Übergabe von Parametern an den Kern Wie beschrieben müssen die Kernparameter zu Gebot stehen, bevor der Kern gestartet ist. Es stellt sich die Frage, wie das geschieht, weil zu diesem Zeitpunkt noch kein Betriebssystem läuft und somit auch keine Shell, an der Parameter eingegeben werden könnten. Bootloader wie GRUB, LILO oder Syslinux stellen deswegen eine eigene einfache Kommandozeile bereit, die der Auswahl des zu startenden Kerns und der Übergabe von Parametern an den Kern dient. Hinter der Kommandozeile von GRUB verbirgt sich fast schon eine Bash. Bei Verwendung von Loadlin ist die Situation anders. Weil es sich bei Loadlin um ein DOS-Programm handelt, steht eine Shell (der DOSKommandointerpreter command.com) zur Verfügung, und Kernparameter können an der Loadlin-Kommandozeile oder durch eine Parameterdatei übergeben werden. Mehr über die Einrichtung von Bootloadern finden Sie in Abschnitt 11 Systemstart ab Seite 465. Ferner können die genannten Bootloader so konfiguriert werden, dass regelmäßig benötigte Parameter automatisch übergeben werden. Dies ist dann hilfreich, wenn bestimmte Parameter erforderlich sind, um das System überhaupt starten zu können und der Systemstart automatisch – nicht im Dialog – erfolgen soll. Im Allgemeinen ist zu empfehlen, Parameter zunächst im Dialog zu übergeben und auszuprobieren, ob sie die gewünschte Wirkung zeigen. Wenn dies der Fall ist, kann der Bootloader so konfiguriert werden, dass er die Parameter ohne unser Zutun übergibt. Syntaktischer Aufbau von Kernparametern Grundsätzlich gibt es zwei Gruppen von Kernparametern: • •
Parameter, die nur aus einem einzigen Wort bestehen, etwa no387 oder debug. Mit diesen Parametern wird eine Eigenschaft ein- oder ausgeschaltet. Parameter, die sich aus einem Schlüsselwort, einem Gleichheitszeichen und parameterspezifischen Angaben zusammensetzen. Beispiele dafür sind aha152x=0x340,10 oder video=vesa:ywrap,mtrr. Diese Parameter dienen dazu, bestimmten Treibern Angaben über zu verwendende Hardwareressourcen oder die gewünschte Benutzung der Hardware zu übergeben.
Wenn mehr als ein Parameter übergeben werden soll, sind die einzelnen Parameter durch Leerzeichen zu trennen. Damit der Kern die Parameter voneinander unterscheiden kann, ist darauf zu achten, dass kein Parameter selbst Leerzeichen enthält. Falsch wäre also folgende Parameterangabe:
708
15 Kerne und Kernmodule
no387 video=vesa: ywrap,mtrr Der Kern würde hier von drei Parametern ausgehen und die Angabe ywrap,mtrr nicht dem mit video= beginnenden Parameter zuordnen. Damit die Parameter richtig verstanden werden, muss die Angabe folgendermaßen aussehen: no387 video=vesa:ywrap,mtrr Der Kern speichert alle beim Start übergebenen Parameter in der Datei /proc/ cmdline. Anhand der Datei lässt sich prüfen, ob alle Parameter syntaktisch richtig übergeben wurden. Dies geschieht mit folgendem Kommando: joe@debian:~$ cat /proc/cmdline Wir sollten die Angaben aus der kernel-Zeile der Datei /boot/grub/menu. lst wiederfinden. Kernparameter und GRUB Der Bootloader GRUB – siehe Abschnitt 11.3 GRUB – der Grand Unified Bootloader auf Seite 473 – ermöglicht, in seiner Konfigurationsdatei /boot/grub/ menu.lst Vorgaben für Kernoptionen in Zeilen anzugeben, die mit kopt beginnen, dazu Optionen für einzelne Kerne in Zeilen wie: kernel
/boot/vmlinuz
root=/dev/hda1
ro
single
Hier wird der unter /boot/vmlinuz abgelegte Kern geladen. Dabei wird dem Kern die Gerätedatei der Wurzelpartition mitgeteilt, mittels ro befohlen, das Wurzeldateisystem zunächst nur read-only einzuhängen und schließlich die Option single an den init-Prozess weiterzugeben. Damit sind auch schon die am häufigsten gebrauchten Optionen genannt. Wählt man aus dem GRUB-Menü mittels Cursortasten einen Kern aus und tippt dann <e> wie edit ein, bietet GRUB die zugehörigen Zeilen zum Ändern oder Ergänzen an. Man kann beispielsweise Kernoptionen vorübergehend hinzufügen; sie werden nicht in der Konfiguratiosndatei gespeichert. Mittels wird eine Änderung übernommen, durch Eingabe von <esc> der Editiermodus verlassen und der Systemstart fortgesetzt. Daneben kennt GRUB eine Kommandozeile zum interaktiven Systemstart, hinter der eine vereinfachte Bash steckt. Wir erhalten sie durch Eingabe von wie command, während das Menü auf dem Schirm steht. Hier können wir Zeilen eingeben, wie sie in der Konfigurationsdatei vorkommen, aber auch einige Shellkommandos, darunter help. Alles in allem eine einfache Angelegenheit, wenn man weiß, was man will. Kernparameter und LILO Angenommen, LILO wurde mit der folgenden Konfigurationsdatei (/etc/lilo. conf) konfiguriert und installiert:
15.2 Konfiguration von Kern und Kernmodulen beim Start
709
boot=/dev/hda2 delay=20 image=/vmlinuz root=/dev/hda2 label=linux image=/vmlinuz.old root=/dev/hda2 label=linuxAlt Bei dieser Konfiguration stehen zwei Kerne zur Auswahl: /vmlinuz und /vmlinuz.old, die sich am Bootprompt mit den Namen linux und linuxAlt auswählen lassen. Aufgrund der Anweisung delay=20 wartet LILO zwei Sekunden lang darauf, dass der Bootprompt aktiviert wird und bootet den mit linux bezeichneten Kern automatisch, falls dies nicht geschieht. LILO wählt diesen Kern aus, weil er in der Konfigurationsdatei als erster genannt wird. Wenn der zweite konfigurierte Kern linuxAlt mit den beiden Parametern root=/dev/hda6 und single gestartet werden soll, ist der Bootprompt zu aktivieren und Folgendes einzugeben: linuxAlt root=/dev/hda6 single Bootparameter sind hinter den Namen eines vorkonfigurierten Kerns zu schreiben. Zur Entgegennahme von Eingaben an LILOs Bootprompt werden BIOS-Routinen verwendet, die von einem US-amerikanischen Tastaturlayout ausgehen. LILO lässt sich für die Verwendung mit anderen Tastaturen konfigurieren. Eine Reihe von Parametern übergibt LILO dem zu startenden Kern in Abhängigkeit von seiner Konfiguration automatisch. So bewirkt die Anweisung read-only in der Konfigurationsdatei /etc/lilo.conf, dass dem Kern der Parameter ro übergeben wird. Eine Anweisung wie root=/dev/hda2, mit der das vom Kern einzuhängende Wurzeldateisystem ausgewählt wird, wird ebenfalls als Parameter an den Kern übergeben. Darüber hinaus lassen sich alle Parameter durch die append=-Anweisung in LILOs Konfigurationsdatei spezifizieren. Um Syntaxfehler zu vermeiden, sollten die mit append= übergebenen Parameter durch Anführungszeichen von den übrigen Anweisungen in der Konfigurationsdatei abgegrenzt werden. Wenn besonders viele oder lange Parameter zu übergeben sind, können diese auf mehrere Zeilen der Konfigurationsdatei verteilt werden. Dazu ist an das Ende jeder Zeile, die in der nächsten Zeile fortgesetzt wird, ein Backslash zu setzen: boot=/dev/hda2 delay=20 image=/vmlinuz root=/dev/hda2 append= "aha152x=0x340,10 \ debug ether=10,0x280"
710
15 Kerne und Kernmodule
Kernparameter und Loadlin Wenn Sie Loadlin verwenden, werden die Kernparameter direkt an der DOSKommandozeile hinter dem Dateinamen des zu startenden Linux-Kerns angegeben: C:\> loadlin vmlinuz root=/dev/hda2 ro ether=10,0x280 Eine Kommandozeile darf unter DOS nicht länger als 128 Zeichen sein. Bei Verwendung vieler oder langer Parameter reicht dies gelegentlich nicht aus. Die Parameter sind dann in eine Parameterdatei zu schreiben. Der Name der Parameterdatei wird Loadlin folgendermaßen übergeben: C:\> loadlin @params.txt Kernparameter und Syslinux Syslinux ist der auf den Einrichtungs- und Rettungsdisketten verwendete Bootloader. Das Programm stellt wie LILO einen Bootprompt bereit, mit welchem der zu startende Kern ausgewählt wird und diesem Parameter übergeben werden. Syslinux ist auf der Debian-Rettungsdiskette so konfiguriert, dass der Bootprompt in jedem Fall erscheint. Bei anderen Konfigurationen muss er gegebenenfalls durch Drücken der Tasten <shift> oder oder durch Aktivieren von oder <scroll lock> angefordert werden. Am Bootprompt von Syslinux muss zunächst der zu startende Kern (das ist der Name der Kernabbilddatei auf der Diskette) gefolgt von eventuell benötigten Optionen angegeben werden: linux root=/dev/hdb2 ro Das Programm ist über eine Datei konfigurierbar. Sie muss den Namen syslinux. cfg tragen und sich im Wurzelverzeichnis der Diskette befinden. In dieser Datei lassen sich wie bei LILO durch eine append-Anweisung als Vorgabe zu verwendende Kernparameter benennen. Kernparameter mit rdev setzen Für die Voreinstellungswerte einiger Kernparameter gibt es genau definierte Positionen in den Kernabbilddateien. Sie lassen sich deswegen mit dem Werkzeug rdev ändern. Zu den mit rdev einstellbaren Parametern gehört die für das Wurzeldateisystem zu verwendende Partition oder der standardmäßig zu verwendende Videomodus. Das Programm rdev ist nützlich, wenn Linux direkt aus dem Bootsektor einer Diskette gestartet und kein Bootloader verwendet wird. 15.2.3 Verarbeitung von Parametern durch den Kern Während seiner Startphase untersucht der Kern jeden Parameter daraufhin, ob er ihn kennt. Wenn dies der Fall ist, wird er an den Teil des Kerns übergeben, der für den
15.2 Konfiguration von Kern und Kernmodulen beim Start
711
Parameter zuständig ist. Dies ist meist ein im Kern vorhandener Hardwaretreiber. Der betreffende Parameter wird danach als erledigt angesehen. Alle Parameter, die während dieser Phase nicht verarbeitet wurden, werden folgendermaßen behandelt: •
•
Parameter, die ein Gleichheitszeichen enthalten, werden als Umgebungsvariable gesetzt. Wenn dem Kern der Parameter doit=yes übergeben wird, bewirkt dies, dass eine Umgebungsvariable mit dem Namen doit erzeugt wird, die den Wert yes erhält. Umgebungsvariable können von beliebigen Programmen ausgewertet werden. Parameter, die kein Gleichheitszeichen enthalten, werden als Argument dem Programm übergeben, dass vom Kern als erstes aufgerufen wird. Dies ist in der Regel das Programm init, das den Start des Systems organisiert, nachdem die Startphase des Kerns abgeschlossen ist. Ein Beispiel für einen solchen Parameter ist single. Dieser Parameter wird nicht vom Kern ausgewertet, sondern an init übergeben, das den Rechner mit diesem Parameter im Single-User-Modus startet.
Parameter für Kernbestandteile, die nicht in den Kern integriert wurden, werden vom Kern nicht erkannt und deswegen wie oben beschrieben behandelt. Achten Sie deswegen darauf, dem Kern nur solche Parameter zu übergeben, für die sich auch die entsprechenden Bestandteile im Kern befinden. Wenn Sie einen neuen Kern erstellen und einen Treiber als Kernmodul übersetzen, der bisher fest im Kern vorhanden war, müssen Sie die Parameter für diesen Treiber aus der Parameterliste für den Kern entfernen und sie beim Laden des Kernmoduls übergeben. 15.2.4 Kernmodule Manuelles Laden und Entfernen Kernbestandteile, die in Form von Kernmodulen vorliegen, können zur Laufzeit des Systems von Hand ge- und entladen werden. Dabei lassen sich über Kommandozeilenargumente Parameter angeben, die von den Kernmodulen während ihrer Initialisierung ausgewertet werden. In vielen Fällen sind hierbei dieselben Parameter verwendbar, die als Kernparameter angegeben werden können, wenn der entsprechende Kernbestandteil fest integriert ist. In einer Reihe von Fällen unterscheidet sich die Syntax allerdings. Ein Vorteil bei der Verwendung von Kernmodulen besteht darin, dass Parameter leichter ausprobiert werden können. Während die Parameter für einen fest integrierten Treiber nur beim Systemstart übergeben werden, kann ein Kernmodul entladen und mit neuen Parametern wieder geladen werden. Zum Laden von Modulen dienen die Programme insmod und modprobe. Sie unterscheiden sich wesentlich: •
Das Programm insmod lädt ein Kernmodul in den Kern und übergibt ihm in der Kommandozeile eingegebene Parameter. Dabei kommt es vor, dass das Kernmodul die Funktionalität eines anderen Kernmoduls benötigt und nicht erfolgreich initialisiert wird, weil das andere Kernmodul fehlt.
712
•
15 Kerne und Kernmodule
Vorstehendes Problem wird von modprobe gelöst. Das Programm greift auf eine Datenbank von Modulabhängigkeiten zu, der es entnimmt, welche Kernmodule vor dem angeforderten Kernmodul zu laden sind. Die Datenbank wird während des Systemstarts automatisch durch Aufruf des Programms depmod erzeugt. Zusätzlich kann in einer Konfigurationsdatei angegeben werden, wo Kernmodule zu suchen sind, mit welchen Parametern sie zu laden sind oder dass bestimmte Programme vor oder nach dem Laden eines Kernmoduls auszuführen sind. Letztere Möglichkeit vereinfacht die Initialisierung mancher Hardwarekomponenten. So ist es bei einigen Soundkarten notwendig, Soundfonts auf die Karte zu laden, bevor bestimmte Eigenschaften genutzt werden können. Der Aufruf des entsprechenden Programms kann dann mit modprobe automatisiert werden.
Im Allgemeinen sollte modprobe zum Laden von Kernmodulen bevorzugt werden. Die Programme insmod und modprobe gehören neben weiteren zum Paket modutils und sind Bestandteil jeder Debian-GNU/Linux-Installation. Ab Kern 2.6 nimmt man besser das Paket module-init-tools mit einer ähnlichen Auswahl an Werkzeugen. Um das Kernmodul zur Unterstützung des CD-Dateisystems nach ISO 9660 zu laden, ist folgendes Kommando einzugeben: debian:~# modprobe isofs Wenn einem Kernmodul Parameter übergeben werden, sind diese hinter den Modulnamen zu schreiben: debian:~# modprobe aha152x aha152x=0x340,10 Das erste Argument aha152x bezeichnet den Modulnamen, das zweite aha152x=0x340,10 den Parameter für diesen Treiber. Zum Anzeigen der nachgeladenen Kernmodule dient das Programm lsmod: joe@debian:~$ lsmod das die im Kern befindlichen Module auflistet, wie sie in der Datei /proc/ modules genannt sind, nur leserlicher. Außerdem wird angezeigt, ob die betreffenden Kernmodule zur Zeit benutzt werden. Für Kernmodule, die von anderen Kernmodulen benutzt werden, wird ausgegeben, welche das sind. Zum Entfernen von Kernmodulen werden die Werkzeuge rmmod und modprobe mit der Option -r benutzt. Auch hier empfiehlt sich die Verwendung von modprobe, weil dann weitere Kernmodule entfernt werden, die nur benötigt wurden, damit das zu entfernende Modul geladen werden konnte. Um das Kernmodul isofs zu entfernen, ist folgendes Kommando einzugeben: debian:~# modprobe -r isofs Hierbei kommt es immer dann zu einem Fehler, wenn das zu entfernende Kernmodul von einem Programm oder einem anderen Kernmodul benötigt wird. Haben Sie beispielsweise eine CD in das Dateisystem eingebunden, können Sie den Treiber für das CD-Dateisystem nicht entfernen. Sie müssen die CD zuerst aus dem Dateisystem aushängen und können danach das Kernmodul entfernen.
15.2 Konfiguration von Kern und Kernmodulen beim Start
713
Kernmodulverwaltung mit modconf Eine bequeme Methode zum Laden von Kernmodulen wird mit dem Programm modconf bereitgestellt. Das Programm kennen wir schon von der Grundeinrichtung her. Mittels modconf ausgewählte Kernmodule werden während des Systemstarts geladen und bleiben so lange geladen, bis sie von Hand entfernt werden oder das System heruntergefahren wird. Die Liste der zu ladenden Kernmodule wird von modconf in der Datei /etc/modules gespeichert. Automatisches Laden und Entfernen Linux-Kerne der 2.4.x-Serie und später besitzen die Fähigkeit, Kernmodule automatisch zu laden, sobald auf eine bestimmte Eigenschaft des Kerns zugegriffen wird, die in einem Kernodul vorhanden ist. Der Modulloader des Kerns heißt kmod. Bei der Konfiguration selbst erstellter Kerne muss die Option Kernel module loader aktiviert werden, um kmod verwenden zu können. Die Standardkerne sind mit dieser Option übersetzt worden (CONFIG_KMOD=y). Wenn der Kern feststellt, dass ein bestimmtes Kernmodul geladen werden muss, ruft er über kmod das Programm modprobe auf. Dadurch werden die von dem zu ladenden Kernmodul benötigten weiteren Kernmodule ebenfalls geladen und externe Programme zur Initialisierung der Hardware oder zu anderen Zwecken ausgeführt, falls modprobe entsprechend konfiguriert ist. Die Verwendung von kmod ist unbedingt zu empfehlen. Bei richtiger Konfiguration von modprobe ist es überhaupt nicht mehr notwendig, Kernmodule von Hand zu laden. Der Kern speichert zu jedem Kernmodul, ob es automatisch entfernt werden darf, wenn es eine Zeitlang nicht benötigt worden ist. Dies gilt als Vorgabe für alle Kernmodule, die automatisch mittels kmod geladen worden sind, nicht aber für Kernmodule, die von Hand nachgeladen wurden. Durch die Option -k, die von den Programmen modprobe und insmod verstanden wird, lassen sich jedoch auch manuell Kernmodule mit dieser Eigenschaft laden. Obwohl der Kern dieses Attribut speichert, entlädt er Kernmodule nie selbst. Hierzu dient ebenfalls das Programm modprobe, das alle unbenutzten und als autoclean markierten Kernmodule entlädt, wenn es auf die folgende Weise aufgerufen wird: debian:~# modprobe -r Der Vorgang lässt sich durch den folgenden Eintrag in der Datei /etc/crontab automatisieren: */5 * * * * root /sbin/modprobe -rs Die Option -s bewirkt, dass Meldungen von modprobe nicht auf die Konsole geschrieben werden, sondern an den Syslog-Dämon zwecks Protokollierung in /var/log/syslog weitergereicht werden.
714
15 Kerne und Kernmodule
15.2.5 Allgemeine Kernparameter •
•
•
•
•
•
•
•
root=Gerätedatei Über diesen Parameter wird dem Kern mitgeteilt, auf welchem Datenträger sich das Wurzeldateisystem befindet. Dies ist normalerweise eine Festplattenpartition, kann aber auch eine Ramdisk sein. Der Parameter ist für den Start des Kerns unbedingt erforderlich. Er muss entweder durch den Bootloader, manuell am Bootprompt oder mit dem Programm rdev festgelegt werden. Beispiel: root=/dev/hda2. ro Der Kern wird angewiesen, das Wurzeldateisystem nur zum Lesen zu öffnen. Dies ist erforderlich, damit das Wurzeldateisystem während des Systemstarts auf Fehler überprüft werden kann. Nach der Überprüfung wird das Wurzeldateisystem im weiteren Verlauf des Systemstarts zum Lesen und Schreiben eingehängt. mem=Speichergröße Es kommt vor, dass der Kern die Menge des im Rechner vorhandenen Arbeitsspeichers (RAM) nicht richtig erkennt. In solchen Fällen wird er mit diesem Parameter auf die tatsächliche Größe hingewiesen. Der mit Speichergröße angegebenen Zahl kann der Buchstabe k (Kilobyte) oder m (Megabyte) folgen. Beispiel: mem=512m. Mit Kernen ab 2.4.x ist die Angabe des vorhandenen Speichers normalerweise nicht notwendig. Falsche (zu hohe) Angaben führen meist zu Systemabstürzen. init=Programm Nach seiner Startphase ruft der Kern das Programm init auf, das den weiteren Verlauf des Systemstarts steuert. Mit diesem Parameter wird dem Kern angegeben, an Stelle von init ein anderes Programm aufzurufen. Dadurch kann nach dem Start des Kerns eine Shell aufgerufen werden, wenn das System ansonsten nicht mehr startfähig ist. Beispiel: init=/bin/bash. So ist es möglich, ohne Passwort mit den Rechten des Verwalters auf den Rechner zuzugreifen. kbd-reset Der Tastaturcontroller soll normalerweise vom BIOS während des Systemstarts zurückgesetzt werden. Bei einigen fehlerhaften BIOS funktioniert dies nicht. Mit diesem Parameter setzt der Kern den Tastaturcontroller beim Start zurück. no387 Moderne Intel-386-kompatible Prozessoren sind mit einem mathematischen Coprozessor ausgestattet. Wenn dieser defekt ist, kann Linux mit diesem Parameter dazu gebracht werden, ihn nicht zu benutzen, obwohl er erkannt worden ist. Der Kern muss dann mit der Option Math emulation übersetzt worden sein. maxcpus=Anzahl Legt bei Multiprozessorsystemen fest, wieviele Prozessoren initialisiert und benutzt werden sollen. Standardmäßig verwendet Linux alle CPUs. panic=Sekunden Im Falle einer Kern-Panik, einem internen Fehler im Kern, der so schwerwiegend ist, dass alle Prozesse angehalten werden, gibt Linux eine Fehlermeldung aus und wartet, bis das System von Hand neu gestartet wird. Dieser Parameter bewirkt, dass das System nach der mit Sekunden angegebenen Anzahl von Sekunden automatisch neu gestartet wird. Der Wert 0 bewirkt, dass das System nicht neu gestartet wird (Vorgabe).
15.2 Konfiguration von Kern und Kernmodulen beim Start
•
•
•
715
no-hlt Wenn das System nichts zu tun hat, führt Linux normalerweise die hlt-Anweisung aus, die den Prozessor in einen stromsparenden und wenig Wärme erzeugenden Schlafmodus versetzt. Einige Prozessoren (frühe Modelle der Intel 486DX100-Reihe) haben mit dieser Anweisung Probleme. Mit dem Parameter no-hlt führt Linux die Anweisung nicht aus, sondern wartet in einer Endlosschleife. reboot=w Wenn der Kern den Rechner neu startet, führt er einen Kaltstart durch, bei dem das BIOS erneut den Arbeitsspeicher testet und alle Hardwarekomponenten zurücksetzt. Mit reboot=w wird beim Neustart ein Warmstart durchgeführt, bei dem die Hardware nicht zurückgesetzt wird und kein Speichertest stattfindet. Systemstarts benötigen somit weniger Zeit. Bestimmte Hardwarekomponenten erfordern jedoch einen Kaltstart, um zu funktionieren. reserve=Speicheradresse,Größe[,Speicheradresse, Größe,...] Eine Reihe von Hardwaretreibern versucht beim Systemstart automatisch festzustellen, welche Ein-/Ausgabeadressen (IO-Ports) die von ihnen gesteuerte Hardware benutzt. Dabei werden die in Betracht kommenden Adressen getestet. Der Vorgang wird Autoprobing genannt. Er ermöglicht die automatische Initialisierung von Treibern ohne Angabe zu verwendender Ressourcen über Parameter. Es kommt dabei jedoch vor, dass ein Treiber beim Autoprobing auf eine Adresse zugreift, die von einer anderen Hardwarekomponente benutzt wird, für die noch kein Treiber eingerichtet wurde. In ungünstigen Fällen interpretiert die betreffende Hardwarekomponente die zum Aufspüren einer anderen Komponenten an sie geschickten Befehle falsch und fängt an, verrückt zu spielen. Mit dem reserveParameter werden bestimmte Adressen vom Autoprobing ausgeschlossen. Der Treiber, der die reservierte Adresse benutzt, muss dann mit einem anderen Parameter explizit auf die zu verwendende Adresse hingewiesen werden; er kann sie ebenfalls nicht per Autoprobing herausbekommen. Dem Parameter muss mit Speicheradresse die Basisadresse des auszuschließenden Bereichs und mit Größe seine Größe übergeben werden. Die beiden Angaben dürfen sich wiederholen, um mehrere Adressbereiche vom Probing auszuschließen: reserve=0x340,32 aha152x=0x340,10
•
Mit dem ersten Parameter wird verhindert, dass irgendein Treiber im Adressbereich von 0x340 bis 0x35f nach Hardwarekomponenten sucht. Mit dem zweiten Parameter wird dem Treiber aha152x mitgeteilt, seine Hardware an dieser Stelle zu suchen. single Bei diesem Parameter handelt es sich nicht um einen Kernparameter. Er wird nach dem Start des Kerns an das Programm init übergeben. Das Programm startet den Rechner im Single-User-Modus, wenn es mit dem Parameter single aufgerufen wird.
716
15 Kerne und Kernmodule
15.2.6 Parameter für Treiber Hier werden einige Parameter für Treiber aufgelistet und beschrieben. Treiberoptionen, die zusammen mit einem Parameter in eckigen Klammern angegeben werden, sind optional. Die folgenden Optionen können sehr vielen Treibern übergeben werden; sie werden deshalb nicht für jeden Treiber einzeln erklärt: • • • •
•
Adresse Mit dem Parameter wird angegeben, welche Speicheradresse ein Gerät für die Ein- und Ausgabe benutzt (IO-Port oder IO-Adresse). IRQ Hiermit wird der von einem Gerät verwendete Interrupt benannt. DMA Gibt den von einem Gerät zu verwendenden DMA-Kanal an. par Gibt bei SCSI-Adaptern an, ob zur Kommunikation mit SCSI-Geräten Paritätswerte benutzt werden sollen. Der Wert 1 für par bedeutet, dass Parität benutzt werden soll, 0 bedeutet keine Parität. SCSI-ID Gibt bei SCSI-Adaptern an, welche SCSI-ID der Adapter hat. Üblicherweise ist dies die ID 7.
Weiterführende Hinweise zu vielen Parametern finden sich im Bootprompt-HOWTO sowie im Dokumentationsverzeichnis des Kernquellcodes. Im Zweifelsfall lohnt es sich auch, direkt in die Quellcodedatei eines Treibers zu sehen. Dort finden sich oft Erklärungen zu Parametern in Form von Kommentaren. (E)IDE-Festplatten und -CD/DVDs Der (E)IDE-Treiber unterstützt eine Anzahl von Optionen, mit denen sowohl die (E)IDE-Adapter selbst als auch die angeschlossenen Geräte konfiguriert werden. In der Regel ist die Angabe von Parametern nicht erforderlich. Die meisten Rechner sind heute mit zwei IDE-Adaptern ausgestattet, an die sich jeweils zwei Geräte anschließen lassen, wobei das erste als Master und das zweite als Slave betrieben wird. Viele Parameter des IDE-Treibers lassen sich zur Laufzeit mit dem Programm hdparm einstellen. Der Treiber ist in der Datei Documentation/ ide.txt im Quellcodeverzeichnis des Kerns dokumentiert. •
idebus=Geschwindigkeit Weist den IDE-Treiber darauf hin, mit welcher Geschwindigkeit der VL- oder PCI-Bus betrieben werden soll. Mögliche Werte sind 20, 25, 33 und 66 MHz. Im Zweifelsfall sollte 33 MHz benutzt werden.
Adapter-Parameter Parameter für den oder die IDE-Adapter werden durch ein Schlüsselwort bestehend aus den Buchstaben ide und der Adapternummer eingeleitet (ide0= oder ide1=). Es können mehrere Parameter benutzt werden, die verschiedene Einstellungen desselben Adapters spezifizieren. Im Folgenden wird idex= verwendet. Der Buchstabe x ist durch die Nummer des Adapters auszutauschen, für den die Einstellung gelten soll.
15.2 Konfiguration von Kern und Kernmodulen beim Start
• •
•
•
• • •
717
idex=noprobe Verhindert, dass der Treiber den mit x bezeichneten Adapter benutzt. idex=Adresse[,Kontrollregister[,Interrupt]] Gibt IOAdresse, Adresse des Kontrollregister und Interrupt des mit x bezeichneten Adapters an. Übliche Werte für die Basisadresse sind 0x1f0 und 0x170, für Kontrollregister 0x3f6 und 0x376 sowie die Interruptnummern 14, 15, 11 und 10. idex=autotune Weist den Treiber an, die Geschwindigkeit für Datentransfers auf den höchsten, von allen angeschlossenen Geräten unterstützten Wert zu setzten. Die Option kann mit älteren IDE-Adaptern zu Problemen führen. idex=noautotune Der Treiber versucht nicht, die Geschwindigkeit selbst festzulegen. Dies ist die Voreinstellung für alle Adapter mit Ausnahme von CMD640-basierten IDE-Adaptern. idex=reset Der Adapter wird während der Initialisierung zurückgesetzt. idex=serialize Es werden keine zeitgleichen Operationen auf dem mit x bezeichneten und dem nächsten Adapter durchgeführt. idex=dma Der Treiber versucht die Benutzung von DMA automatisch zu konfigurieren.
Die folgenden Parameter können nur für den ersten Adapter angegeben werden. Sie dienen dazu, den Treiber auf einen bestimmten fehlerhaften Chipsatz hinzuweisen. Falls einer dieser Parameter benutzt wird, dürfen die Einstellungen für IO-Adresse und Kontrollregister nicht verändert werden. • • •
• •
ide0=dtc2278 Unterstützung für DTC2278-basierte Adapter. ide0=ht6560b Unterstützung für HT6560B-basierte Adapter. ide0=cmd640_vlb Unterstützung für CMD640-basierte Adapter, die über den Vesa-Local-Bus (VLB) angeschlossen sind. Der Parameter muss bei solchen Adaptern angegeben werden, damit sie erkannt werden. ide0=qd6580 Unterstützung für QD6580-basierte Adapter. ide0=ali14xx Unterstützung für ALI14xx-basierte Adapter.
Geräte-Parameter Parameter, mit denen Einstellungen für an einen IDE-Adapter angeschlossene Geräte verändert werden, werden mit einem Schlüsselwort bestehend aus den Buchstaben hd und einem weiteren Buchstaben, welcher das Gerät spezifiziert, angegeben. Beispiele sind hda=, um eine Einstellung für das erste Gerät zu treffen, oder hdd= für Einstellungen am vierten Gerät (dem zweiten Gerät am zweiten Adapter). Im Folgenden wird hdx verwendet. Der Buchstabe x ist anzupassen. •
•
hdx=none Das durch x gekennzeichnete Gerät ist nicht vorhanden. Der Parameter kann benutzt werden, um zu verhindern, dass Fehler bei der Suche nach nicht vorhandenen Geräten auftauchen. hdx=noprobe Das durch x gekennzeichnete Gerät ist vorhanden, der Treiber soll jedoch nicht danach suchen.
718
• •
•
•
•
15 Kerne und Kernmodule
hdx=nowerr Das WRERR_STAT-Bit soll bei diesem Gerät ignoriert werden. hdx=cdrom Bei dem mit x gekennzeichnete Gerät handelt es sich um ein CDLaufwerk. Der Parameter ist zu verwenden, wenn das CD-Laufwerk nicht automatisch erkannt wird. hdx=Zylinder,Köpfe,Sektoren Gibt die Geometrie der mit x bezeichneten Festplatte an. Notwendig, wenn der Treiber die Festplattengeometrie falsch erkennt. hdx=autotune Weist den Treiber an, das Gerät mit der höchstmöglichen Geschwindigkeit zu betreiben. Der Parameter kann Probleme mit einigen älteren, fehlerhaften IDE-Adaptern verursachen. hdx=slow Nach jedem Zugriff auf das spezifizierte Gerät werden längere Pausen eingelegt. Nur verwenden, wenn das betreffende Gerät anderweitig nicht zu betreiben ist.
Beispiel: ide0=autotune ide1=autotune ide1=reset hda=1111,255,63 hdc=cdrom Die Parameter weisen den Kern an, die Geschwindigkeit des ersten und des zweiten IDE-Adapters automatisch zu optimieren. Der zweite Adapter soll nach der Initialisierung zurückgesetzt werden. Das erste Gerät am ersten Adapter ist eine Festplatte mit der Geometrie 1111 Zylinder, 255 Köpfe und 63 Sektoren. Das erste Gerät am zweiten Adapter ist ein CD-Laufwerk. Wenn der Treiber als Modul geladen wird, muss den Parametern das Schlüsselwort options= vorangestellt werden. Alle Parameter müssen dann in einer durchgehenden Zeichenkette übergeben werden. Kommata sind durch Semikolons zu ersetzen: debian:~# modprobe ide options="ide0=autotune hda=1111;255;63" Diskettenlaufwerke Der Treiber für Standard-Diskettenlaufwerke wird über den Parameter floppy= konfiguriert. Dem Schlüsselwort ist eine von verschiedenen Optionen nachzustellen. Wenn mehrere Optionen benötigt werden, muss der floppy-Parameter mehrmals angegeben werden. Die Parameter sind in der Datei /drivers/block/README. fd im Quellcodeverzeichnis des Kerns dokumentiert: • •
•
floppy=0,daring Das Diskettenlaufwerk wird besonders vorsichtig benutzt. Der Parameter kann Probleme bei fehlerhaften Laufwerken ausbügeln. floppy=[Adresse,]two_fdc Teilt dem Treiber mit, dass es im Rechner zwei Diskettenlaufwerkcontroller gibt. Optional wird mit Adresse die IOAdresse des zweiten Controllers übergeben. floppy=thinkpad Ältere IBM-Laptops vom Typ Thinkpad müssen mit diesem Parameter benutzt werden, weil die Diskettenlaufwerke in diesen Rechnern anders geschaltet sind.
15.2 Konfiguration von Kern und Kernmodulen beim Start
• •
• • •
719
floppy=nodma Es soll kein DMA für Datentransfers benutzt werden. Der Parameter ist beispielsweise bei Laptops vom Typ HP Omnibook erforderlich. floppy=broken_dcl Weist den Treiber an, die Disk-Change-Line (dcl) nicht zu verwenden. Es wird dann bei jedem Zugriff auf eine Diskette davon ausgegangen, dass die Diskette gewechselt wurde. floppy=nofifo Schaltet den FIFO-Baustein des Controllers ab. floppy=IRQ,irq Gibt mit IRQ den vom Controller benutzten Interrupt an. floppy=DMA,dma Gibt mit DMA den vom Controller benutzten DMA-Kanal an.
Beispiel: floppy=0,daring floppy=thinkpad Wenn der Treiber als Modul geladen wird, ist das Schlüsselwort floppy= nur einmal aufzuführen. Alle Parameter müssen dann in einer durchgehenden Zeichenkette übergeben werden: debian:~# modprobe floppy "floppy=0,daring thinkpad" SCSI-Subsystem SCSI-Controller und -Geräte bilden ein eigenes Susbsystem mit einer Vielfalt von Konfigurationsmöglichkeiten: •
•
max_scsi_luns=Anzahl Einige SCSI-Geräte können mehrere logische Geräte (logical unit, LU) beinhalten. Dies wird normalerweise für jedes SCSI-Gerät bei der Initialisierung geprüft. Das Problem dabei ist jedoch, dass einige fehlerhafte Geräte bei dieser Prüfung falsch antworten und das System durcheinander bringen. Mit Anzahl wird angegeben, nach wievielen logischen SCSI-Geräten bei jedem Gerät gesucht wird. st=Puffergröße,Schwellenwert[,Maximale Pufferanzahl] Der Parameter gibt dem Treiber für SCSI-Bandlaufwerke die Größe des zu verwendenden Datenpuffers (Puffergröße) in Kilobyte, den Schwellenwert, bei dessen Überschreiten der Inhalt des Puffers auf Band geschrieben wird (Schwellenwert) in Kilobyte und die maximale Anzahl von Datenpuffern (Maximale Pufferanzahl) an.
Für SCSI-Adapter vom Typ Adaptec AHA151x, AHA152x, AIC6260, AIC6360, Soundblaster 16 SCSI und andere gelten folgende Einstellungen: •
aha152x=Adresse[,IRQ[,SCSI-ID[,rec[,par]]]] Dieser SCSIChip befindet sich in vielen billigen SCSI-Adaptern und oft auf Soundkarten mit SCSI-Interface. Einige der SCSI-Karten mit diesem Chip besitzen ein eigenes SCSI-BIOS und werden automatisch erkannt. Bei den anderen ist es notwendig, zumindest mit Adresse die verwendete Speicheradresse und mit IRQ den verwendeten Interrupt anzugeben. Für rec können die Werte 1 oder 0 übergeben werden. Damit wird gesteuert, ob der Adapter Disconnect/Reconnect unterstützen soll.
720
15 Kerne und Kernmodule
Wenn der Treiber als Modul geladen wird, ist der Parameter in derselben Form zu übergeben. Hier ist es möglich, auch einen Parameter für einen zweiten Adapter desselben Typs zu übergeben. Dazu ist das Schlüsselwort aha152x1= an Stelle von aha152x= zu verwenden: debian:~# modprobe aha152x aha152x=0x340,10 aha152x1=0x300,11 Das Kommando lädt das Treibermodul und weist es an, zwei SCSI-Adapter dieses Typs zu steuern, welche die angegebenen Ressourcen benutzen. SCSI-Adapter der Typen Adaptec AHA1540 und AHA1542 kennen folgende Einstellungen: •
aha154x=Adresse[,buson,busoff[,DMA Geschwindigkeit]] Mit den Parametern buson und busoff wird festgelegt, wie lange der ISABus durch den Adapter belegt wird. Die voreingestellten Werte sind 11 µs (buson) und 4 µs (busoff). Mit DMA Geschwindigkeit wird festgelegt, wie schnell Daten über den DMA-Kanal geschickt werden. Voreinstellung ist 5 MB/s.
SCSI-Adapter der Typen Adaptec AHA274x, AHA284x, AHA294x, AIC7xxx und andere benötigen unter Umständen folgende Einstellungen: •
aic7xxx=option[,option ...] Dies ist ein Treiber für einen weitverbreiteten SCSI-Chip, der auch auf vielen Mainboards mit eingebauter SCSIUnterstützung vorhanden ist. Er wird automatisch erkannt, die Angabe von Optionen ist in den meisten Fällen nicht notwendig. Optionen können in beliebiger Reihenfolge angegeben werden. Ihnen kann ein Wert folgen, der vom Optionsnamen durch einen Doppelpunkt zu trennen ist. – extended Aktiviert die Übersetzung der Festplattengeometrie (extended:1 oder extended) oder schaltet sie ab (extended:0). – no_reset Verhindert, dass der SCSI-Bus während der Initialisierung des Treibers zurückgesetzt wird (no_reset oder no_reset:1). Die Option kann bei manchen Systemen einen Hänger während des Starts vermeiden. – verbose Erzeugt zusätzliche Status- und Fehlerausgaben des Treibers. – reverse_scan Wenn mehr als ein SCSI-Adapters dieses Typs in den Rechner eingebaut ist, wird die Reihenfolge, in der die Adapter gefunden werden, durch die Option umgekehrt. Adapter mit ausgeschaltetem BIOS werden immer als letzte erkannt. – pci_parity PCI-Paritätsprüfung löst keine Probleme, kann aber bei fehlerhaften PCI-Chipsätzen eine Menge falscher Fehlermeldungen erzeugen. Die Paritätsprüfung wird mit pci_parity eingeschaltet. Mit pci_parity:1 wird Paritätsprüfung mit umgekehrter Polarität benutzt.
BusLogic SCSI-Adapter erwarten möglicherweise folgende Einstellungen: •
BusLogic=Option1[,Option2 ...] Dem Treiber kann eine Anzahl von Optionen in beliebiger Reihenfolge übergeben werden. Zu einigen Optionen muss ein Wert angegeben werden, der von dem Optionsnamen durch einen Doppelpunkt zu trennen ist. Wenn mehrere Adapter in dem Rechner vorhanden sind,
15.2 Konfiguration von Kern und Kernmodulen beim Start
721
kann der Parameter BusLogic mehrmals wiederholt werden, um mehrere Adapter zu konfigurieren. – IO:Adresse Gibt die zu verwendende IO-Adresse an (nur für ISAKarten). – NoProbeISA Auf dem ISA-Bus wird nicht nach Adaptern dieses Typs gesucht. – NoProbePCI Auf dem PCI-Bus wird nicht nach Adaptern dieses Typs gesucht. Eine Anzahl weiterer Parameter finden Sie am Ende der Datei drivers/ scsi/BusLogic.c im Quellcodeverzeichnis des Kerns. SCSI-Adapter der Typen Future Domain TMC-8xx und TMC-950 brauchen gegebenenfalls folgende Werte: •
tmc8xx=Adresse,IRQ Der Treiber sucht während der Initialisierung nach dem SCSI-BIOS auf diesen Karten. Wenn die Karte kein eigenes BIOS hat oder das BIOS nicht erkannt wird, müssen die zu verwendende IO-Adresse mit Adresse und der Interrupt mit IRQ angegeben werden.
Für SCSI-Adapter der Typen Future Domain TMC-16xx, TMC-3260 und Adaptec AHA-2920 gelten folgende Parameter: •
fdomain=Adresse,IRQ,SCSI-ID Der Treiber erkennt die betreffenden SCSI-Adapter normalerweise anhand des SCSI-BIOS auf den Karten.
Wird der Treiber als Modul geladen, wird die Basisadresse mit dem Parameter port_base übergeben: debian:~# modprobe fdomain port_base=0x300 Für NCR5380-basierte SCSI-Adapter gilt: •
ncr5380=Adresse,IRQ,DMA Für Karten, die keinen Interrupt benutzen, kann der IRQ-Wert 255 benutzt werden. Der IRQ-Wert 254 bewirkt, dass der Treiber versucht, selbst den richtigen Interrupt zu finden.
ebenso für NCR53c400-basierte SCSI-Adapter: •
ncr53c400=Adresse,IRQ Auch bei diesem Treiber können für IRQ die Werte 255 (kein Interrupt) und 254 (automatische Interrupterkennung) benutzt werden.
Hingegen gilt für NCR53c406A-basierte SCSI-Adapter: •
ncr53c406a=Adresse[,IRQ[,fastpio]] Für IRQ kann der Wert 0 benutzt werden, wenn der Adapter keinen Interrupt benutzt. Wenn für fastpio der Wert 0 eingesetzt wird, verwendet der Adapter keinen schnellen PIO-Modus.
Für den ziemlich betagten und seinerzeit beliebten, weil preiswerten SCSI-Adapter Seagate ST-0x sind folgende Einstellungen möglich: •
st0x=Adresse,IRQ
722
15 Kerne und Kernmodule
Im Laufe der Jahre und Jahrzehnte sind weitere SCSI-Adapter auf den Markt gekommen. Sie verlieren jedoch an Bedeutung und sind im SOHO-Bereich kaum noch anzutreffen. Leistungsfähige moderne SCSI-Adapter verfügen über ein eigenes BIOS mit Konfigurationsdialog und verlangen keine Kern- oder Modulparameter. Ethernet-Adapter Abhängig davon, ob ein Treiber für eine Ethernetkarte als Kernmodul oder als fester Kernbestandteil vorliegt, unterscheidet sich die Form der Parameterübergabe. Die Treiber für Ethernetkarten liegen bei Standardkernen in Form von Kernmodulen vor. Für fest in den Kern einkompilierte Treiber gibt es einen einzigen Parameter ether=, der für alle Treiber gilt. Wenn sich mehrere Karten im Rechner befinden und für diese Karten Treiber im Kern vorhanden sind, so ist der Parameter ether= mehrfach zu verwenden: •
ether=IRQ,Adresse[,Option1[,Option2 ...],Name Alle Ethernetkarten benutzen eine IO-Adresse und einen Interrupt. Außerdem wird ihnen vom Kern ein Name zugeteilt. Die ersten beiden Angaben werden mit IRQ und Adresse vorgenommen. Die Namen lauten eth0 für die erste Karte, eth1 für die zweite usw. Wenn für IRQ oder Adresse der Wert 0 angegeben wird, bedeutet dies, dass die Werte automatisch festgestellt werden sollen (was nicht bei allen Karten funktioniert). Mit Option1, Option2 usw. lassen sich kartenspezifische Angaben machen.
Als Vorgabe sucht der Kern beim Start nur nach einer Netzkarte. Wenn auch eine zweite Karte gefunden werden soll, ist folgender Parameter zu verwenden: ether=0,0,eth1 Weil nach der ersten Karte (eth0) automatisch gesucht wurde, wird dem Kern hiermit mitgeteilt, die zweite Karte (eth1) zu suchen. Wenn für die erste Ethernetkarte Angaben über IO-Adresse und IRQ vorgenommen werden sollen und nach der zweiten Karte automatisch gesucht werden soll, wären folgende Parameter denkbar: ether=15,0x280,eth0 ether=0,0,eth1 Wenn Kernmodule für Ethernetkarten eingebunden werden sollen, kann den Modulen in der Regel die IO-Basisadresse (eingeleitet mit dem Schlüsselwort io=) sowie der benutzte Interrupt (irq=) übergeben werden. Zusätzlich gibt es einige kartenspezifische Angaben. Zum Laden des Treibers für SMC-Ultra-Karten kann folgendes Kommando dienen: debian:~# modprobe smc-ultra io=0x300 irq=10 Der Name der Karte wird dann vom Kern automatisch festgelegt. Weitere Informationen enthält das Ethernet-HOWTO (2003) von PAUL G ORTMAKER (/usr/share/doc/HOWTO/en-txt/Ethernet-HOWTO.txt.gz aus dem Paket Paket doc-linux-text). Wenn Sie das Programm modconf zum Laden von Modulen verwenden, finden Sie dort nach Auswahl eines Moduls in den meisten Fällen Beschreibungen der verfügbaren Optionen.
15.2 Konfiguration von Kern und Kernmodulen beim Start
723
Parallele Schnittstellen Die parallelen Schnittstellen werden zum einen von einem Lowlevel-Treiber angesteuert, zum anderen stehen neben Lowlevel-Treibern verschiedene Treiber für Geräte zur Verfügung, die sich an parallele Schnittstellen anschließen lassen, zum Beispiel das Kernmodul lp für Drucker. Die parallele Schnittstelle verliert an Bedeutung. Für den Lowlevel-Treiber parport_pc gilt: •
parport=Adresse,IRQ Gibt mit Adresse und IRQ IO-Adresse und IRQ einer parallelen Schnittstelle an. Der Parameter kann wiederholt werden, um Angaben für mehrere parallele Schnittstellen vorzunehmen. Der Parameter parport=0 bewirkt, dass die Unterstützung für parallele Schnittstellen abgeschaltet wird. Mit parport=auto erkennt der Kern die verwendeten Ressourcen selbstständig. Das Schlüsselwort auto kann auch für den zu verwendenden Interrupt angegeben werden. Mit dem Wort none für IRQ wird eine parallele Schnittstelle so konfiguriert, dass kein Interrupt benutzt wird.
Wird der Treiber als Kernmodul geladen, werden die Optionen folgendermaßen übergeben: Hinter dem Schlüsselwort io= werden alle IO-Adressen in ihrer Reihenfolge aufgeführt und hinter dem Schlüsselwort irq= die Interrupts: debian:~# modprobe parport_pc io=0x378,0x278 irq=7,auto Für den Druckertreiber lp gilt: •
lp=Schnittstelle Dem Treiber wird mit Schnittstelle der Name der zu verwendenden Schnittstelle übergeben. Die Namen lauten parport0 für die erste Schnittstelle, parport1 für die zweite usw. Der Parameter kann wiederholt werden, um mehrere Schnittstellen für die Verwendung mit dem lp-Treiber zu konfigurieren.
Falls der Treiber als Kernmodul geladen wird, ist hinter dem Schlüsselwort parport eine Liste der Schnittstellennummern zu übergeben: debian:~# modprobe lp parport=0,1 Soundkarten Es ist zwar möglich, Treiber für Soundkarten fest in den Kern zu kompilieren, jedoch wird hiervon abgeraten. Die Syntax, mit der den Soundkartentreibern Parameter übergeben werden, ist komplex, und außerdem gehören Soundkarten nicht zu den Geräten, die zum Starten des Systems benötigt werden. Wer sich für die Parametersyntax für Soundtreiber am Bootprompt interessiert, sei auf das BootpromptHOWTO verwiesen. Die modulare Soundunterstützung besteht aus einigen Modulen, welche die allgemeine Infrastruktur im Kern bereitstellen. Diese müssen geladen werden, bevor der karten- oder chipspezifische Treiber an die Reihe kommt. Bei der Verwendung von modprobe geschieht dies automatisch. In vielen Fällen muss daraufhin die
724
15 Kerne und Kernmodule
Unterstützung für bestimmte Funktionen oder Chips geladen werden. So befindet sich auf Soundblaster-kompatiblen Karten oft ein UART401-Chip, weswegen das Modul uart401 geladen sein muss, bevor der Soundblaster-Treiber geladen werden kann. Der kartenspezifische Treiber wird im nächsten Schritt geladen. Dabei ist es erforderlich, die von der Karte verwendeten Hardwareressourcen anzugeben, also IO-Adresse, Interrupt und verwendete DMA-Kanäle. Bei vielen Modulen ist es nicht notwendig, alle verfügbaren Parameter tatsächlich zu verwenden. Manche Karten besitzen besondere Eigenschaften, sind aber ansonsten baugleich mit einem anderen Typ. Für solche Eigenschaften steht ein zusätzliches Modul zur Verfügung, welches nach dem Kartentreiber geladen werden kann. So werden Karten vom Typ Soundblaster AWE(32) wie die meisten Soundblaster-Karten vom Treiber im Modul sb angesteuert. Für den Sequencer auf diesen Karten steht jedoch ein zusätzliches Modul awe_wave zur Verfügung. ISA-Plug-and-Play-Soundkarten müssen zunächst mit dem Programm isapnp konfiguriert werden, bevor die Soundtreiber geladen werden können.
16 Netzdienste
Das Internet stellt eine Reihe von Diensten bereit, deren Verständnis und Nutzung bei vielen Tätigkeiten im beruflichen und privaten Leben verlangt wird. Wir richten Server und Clients der wichtigsten Dienste ein.
16.1 Grundkonfiguration 16.1.1 Netzadapter Bei Konfigurationsarbeiten an der Netzverbindung eines Rechners braucht man Werkzeuge zum Einstellen und Überprüfen. Der Entwicklung der Netze folgend ändern sich auch die Werkzeuge im Lauf der Jahre. Im Debian-Paket net-tools sind nachstehende Werkzeuge enthalten, die zum Teil durch Werkzeuge aus iproute oder anderen Paketen abgelöst worden, aber noch in Gebrauch sind: • • • • • • •
•
netstat gibt vielfältige Verbindungsdaten aus, ifconfig setzt oder liest die Konfiguration der Netzadapter, abgelöst durch ip addr, siehe unten, ipmaddr setzt oder liest IP Multicast Asressen, kein Manual, abgelöst durch ip maddr, iptunnel verpackt Daten in IP-Pakete und tunnelt sie durch das IP-Netz, kein Manual, abgelöst durch ip tunnel, mii-tool setzt oder liest den Status des Media Independent Interfaces (MII) eines Netzadapters, abgelöst durch ethtool aus einem eigenen Paket, nameif ordnet Adapternamen und MAC-Adressen einander zu, abgelöst durch ifrename aus einem eigenen Paket, plipconfig konfiguriert PLIP-Geräte (Parallel Line Internet Protocol, siehe Linux PLIP Mini-HOWTO von 1998), Internet über parallele Schnittstelle, wird hoffentlich nicht mehr gebraucht, rarp obsolet, ändert die RARP-Tabelle (Reverse Address Resolution Protocol) des Kerns,
726
• • •
16 Netzdienste
route ändert oder liest die IP Routing Tabelle des Kerns, abgelöst durch ip route, slattach Netzverbindung über serielle Schnittstelle, verschiedene Protokolle, wird hoffentlich nicht mehr gebraucht, arp ändert oder liest den ARP-Cache des Kerns (Address Resolution Protocol), abgelöst durch ip neigh.
Mittels arp kann man für die sich selten ändernden Knoten des lokalen Netzes statische Einträge in die ARP-Caches aller Netzteilnehmer schreiben: debian:~# arp -s hostname macadresse und so vermeiden, dass unnötig ARP-Broadcasts ins LAN geschickt und womöglich von einem Bösewicht mitgelesen und irreführend beantwortet werden. In den Debian-Paketen iproute, anderenorts iproute2, sowie netwox/netwag kommen weitere Werkzeuge mit. Das letztere Paket beinhaltet 222 Einzelkommandos, die im GUI durch Klicken ausgewählt werden. Im Paket iproute, das moderner ist als net-tools, werden folgende Werkzeuge angeboten: •
• • • • • • • • • • • •
ctstat (connection status) ein Symlink auf lnstat, kein Manual. Es gibt mehrere Werkzeuge dieses Namens; wenn Sie etwas von Prozessen und Kontrakten lesen, haben Sie den falschen Dampfer erwischt. ifstat liest SNMP-Zähler des Kerns betreffend das Netz-Interface aus, in einem eigenen Debian-Paket enthalten, nicht in iproute, ip vielseitiges Werkzeug zum Setzen und Lesen der Netzkonfiguration, zahlreiche Optionen, probieren Sie ip addr aus, lnstat gibt Statistiken aus, ersetzt rtstat, siehe unten, netbug Shellskript, das eine Übersicht an eine zu benennende Email-Anschrift schickt, kein Manual, Skript lesen, nstat liest SNMP-Zähler im Kern aus und zeigt Netzstatistiken an, kein Manual, routef eine Komponente von ip route, leert (flush) die Routingtabelle, kein Manual, routel eine Komponente von ip route, listet die Routingtabelle auf, kein Manual, rtacct liest SNMP-Zähler im Kern aus, kein Manual, rtmon beobachtet den Rtnetlink-Socket (man 7 rtnetlink), überwacht das Routing, rtstat zeigt Routing-Statistiken an, siehe lnstat oben, kein Manual, ss (socket statistics) gibt Statistiken der Sockets aus ähnlich wie netstat zu Netzverbindungen, siehe oben, tc (traffic control) konfiguriert den Verkehrsfluss im Kern (Quality of Service; Shaping, Scheduling, Policing, Dropping), um eine gegebene Bandbreite besser zu nutzen, vergleichbar den Ampeln einer Straßenkreuzung, siehe http: //lartc.org/.
Eine Erläuterung zu dem Werkzeugkoffer gibt M ATTHEW G. M ARSH auf http: //www.policyrouting.org/. Die Sites http://etcnet.org/, http:
16.1 Grundkonfiguration
727
//www.nwlab.net/ und http://linux-net.osdl.org/ sind ebenfalls im vorliegenden Zusammenhang interessant. Die Debian-Pakete nictools-pci und nictools-nopci bringen Diagnostik-Werkzeuge für bestimmte, eher ältere Typen von Ethernetkarten mit. Andere häufig gebrauchte Werkzeuge sind hostname, ifup und ifdown aus dem Paket ifupdown, mii-diag, tunctl, ping, arping, iftop oder ntop, ifplugstatus aus dem Paket ifplugd, ipcalc oder sipcalc, ipv6calc, packit und nmap. Die Ausgabe (gekürzt): lo: SIOCETHTOOL: link beat detected SIOCGMIIPHY failed (Operation not supported) Wireless failed. IFF_RUNNING: link beat detected eth1: SIOCETHTOOL: link beat detected SIOCGMIIPHY: unplugged Wireless failed. IFF_RUNNING: unplugged eth0: SIOCETHTOOL: link beat detected SIOCGMIIPHY: link beat detected Wireless failed. IFF_RUNNING: link beat detected von ifplugstatus zeigt eine Übersicht über den Status der Netzadapter; der Rückgabewert lässt sich in Shellskripts abfragen. In obigem Beispiel ist der zweite Netzadapter zwar konfiguriert, aber nicht mit dem Netz verbunden (kein Kabel angeschlossen). Die Ausgabe (ebenfalls gekürzt): The autonegotiated media type is 100baseTx-FD. Basic mode control register 0x1000: Auto-negotiation enabled. You have link beat, and everything is working OK. Your link partner advertised 45e1: Flow-control 100baseTx-FD 100baseTx 10baseT-FD 10baseT, w/ 802.3X flow control. von mii-diag zeigt an, wie ein Netzadapter augenblicklich eingestellt ist, und ermöglicht festzustellen, ob sich zwei Netzadapter schlecht verstehen und ausbremsen (Duplex Mismatch). Das Werkzeug ethtool meint zum Interface eth0: Supported ports: [ TP ] Supported link modes: 10baseT/Half 10baseT/Full 100baseT/Half 100baseT/Full 1000baseT/Half 1000baseT/Full Supports auto-negotiation: Yes Advertised link modes: 10baseT/Half 10baseT/Full 100baseT/Half 100baseT/Full
728
16 Netzdienste
1000baseT/Half 1000baseT/Full Advertised auto-negotiation: Yes Speed: 100Mb/s Duplex: Full Port: Twisted Pair Transceiver: internal Auto-negotiation: on Supports Wake-on: g Wake-on: d Link detected: yes Wie zu sehen ist, unterscheiden sich die Werkzeuge in Einzelheiten. Wichtig ist, dass das Gegenüber am anderen Ende des Kabels ebenso mit Auto-Negotiation arbeitet – oder beide mit derselben festen Einstellung – und beide sich auf dieselben Einstellungen einigen. Da hier der Rechner zwar Gigabit-Ethernet beherrscht, der Switch jedoch nur Fast Ethernet, arbeitet die Verbindung mit 100 Mb/s Full Duplex. Funknetze erfordern eigene Werkzeuge wie iwconfig aus dem Paket wireless-tools und wavemon. Läuft alles, kommen Überwachungswerkzeuge wie Argus, Cheops, Nagios, Spong oder Zabbix zum Zuge. Der erste Schritt zur Konfiguration der Netzverbindung ist, die Unterstützung für das Netzinterface (Karte, Adapter) bereitzustellen. In den meisten Fällen handelt es sich um Ethernet-Technik (Kabel, seltener Glasfaser), Wireless LAN (Funk) ist auch verbreitet und eine eigene Baustelle, andere Techniken sind die Ausnahme. Das Interface besteht aus einer Einsteckkarte für den PCI-Bus – früher war der ISA-Bus gebräuchlich – oder ist in die Hauptplatine integriert. Der Schritt besteht darin, das Treibermodul für die Netzkarte mit den richtigen Parametern zu laden. Meist wird der Treiber als nachladbares Kernmodul eingerichtet, kann aber auch in den Kern eincompiliert werden, was bei Servern Sinn macht. Falls Sie eine alte ISA-Karte einzurichten haben, finden Sie Hinweise im Linux Ethernet-Howto von 2003 oder davor. Die für den gegenwärtig aktuellen Kern verfügbaren Treiber liegen im Verzeichnis /lib/modules/2.6.18-3-686/kernel/drivers/net und tragen die Dateikennung ko. Ihr Quellcode ist in /usr/src/linux-source-2. 6.18/drivers/net zu finden. Das Angebot ist so umfangreich, dass es nur mit exotischen Ethernet-Karten Probleme gibt. Nicht ganz offensichtlich ist die Zuordnung eines Treibers zu einer gegebenen Karte. Hilfe bieten die Texte im Verzeichnis /usr/src/linux-source-2.6.18/Documentation/networking, die sich ein Verwalter auch dann durchlesen sollte, wenn es keine Schwierigkeiten mit der Netzverbindung gibt. In den meisten Fällen findet der Kern von sich aus das passende Kernmodul und geeignete Werte für die Parameter. Von Hand wird ein Kernmodul mittels modprobe geladen, nachprüfbar mit lsmod. Nachdem der Treiber geladen ist, weiß der Kern von der Existenz des Netzinterfaces, es kann nun benutzt werden. Allerdings müssen noch eine Reihe weiterer Einstellungen vorgenommen werden. Die wichtigste ist, dem Interface eine IP-Adresse zuzuweisen. Der Kern verwaltet für jedes Netzinterface einen internen Namen, der
16.1 Grundkonfiguration
729
benutzt wird, um das Interface anzusprechen oder um es zu konfigurieren. Einige der Namen sind: • • • • • • • • • •
lo für das lokale Loopback-Interface, mit dem nur Verbindungen innerhalb des eigenen Kerns aufgebaut werden, auch ohne Netzkarte, eth0 für die erste Ethernet-Netzkarte, eth1 für die zweite Ethernet-Netzkarte, tr0 für die erste Token-Ring-Netzkarte, ppp0 für das erste PPP-Interface, ippp0 für das erste ISDN-PPP-Interface, wlan0 für das erste WLAN-Interface (andere Bezeichnungen wie ath0 kommen vor), sit0 für IPv6-über-IPv4-Tunnelling, tap0 für das erste Tunnel-Interface, Ethernet-Pakete, Layer 2. tun0 für das erste Tunnel-Interface, IP-Pakete, Layer 3.
Die Interface-Namen sind keine Dateinamen aus dem /dev-Verzeichnis. Nachdem der Treiber für die erste und oft einzige Ethernetkarte geladen worden ist, lässt sich diese mit dem Namen eth0 ansprechen. Dem Interface wird eine IP-Adresse zugewiesen, wozu das Kommando ifconfig (Interface Configuration) benutzt wird. Mit ifconfig lassen sich mehrere Einstellungen für Netzinterfaces vornehmen. Für den Anfang reicht es aus, die IP-Adresse sowie die Netzmaske festzulegen. Die IP-Adresse kann dem Kommando direkt übergeben werden, während die Netzmaske nach dem Schlüsselwort netmask angegeben wird: debian:~# ifconfig eth0 192.168.1.1 netmask 255.255.255.0 up Das optionale Schlüsselwort up bewirkt, dass das Interface aktiviert wird. Um ein Netzinterface zu deaktivieren, ist das Schlüsselwort down zu benutzen: debian:~# ifconfig eth0 down alternativ geht: debian:~# ifdown eth0 Nach Eingabe des Kommandos werden über das Interface eth0 keine Daten mehr verschickt. Wenn dies das einzige Netzinterface des Rechners ist, bedeutet das zwangsläufig, dass der Rechner softwaremäßig vom Netz getrennt ist. Das Interface könnte nun mit einer anderen IP-Adresse wieder aktiviert werden: debian:~# ifconfig eth0 192.168.1.2 netmask 255.255.255.0 up Im Routinebetrieb wird die IP-Adresse eines ortsfesten Rechners selten geändert. Das Kommando ifconfig kann auch benutzt werden um anzuzeigen, welche Interfaces aktiviert sind. Hierzu ist es ohne Angabe von Parametern zu benutzten: joe@debian:~$ /sbin/ifconfig
730
16 Netzdienste
erforderlichenfalls mit der Option -a (all, auch deaktivierte Interfaces). Ähnliche Auskünfte liefert: joe@debian:~$ ip address show Es erscheint eine Ausgabe, die ungefähr wie folgt aussieht: lo Link encap:Local Loopback inet addr:127.0.0.1 Mask:255.0.0.0 UP LOOPBACK RUNNING MTU:3924 Metric:1 RX packets:59148 errors:0 dropped:0 overruns:0 TX packets:59148 errors:0 dropped:0 overruns:0 collisions:0 txqueuelen:0 eth0 Link encap:Ethernet HWaddr 00:00:E8:6A:C7:5A inet addr:192.168.1.1 Bcast:192.168.1.255 Mask:255.255.255.0 UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1 RX packets:1105305 errors:0 dropped:0 overruns:0 TX packets:579947 errors:0 dropped:0 overruns:2 collisions:0 txqueuelen:100 Interrupt:10 Base address:0x0300 Der Ausgabe ist zu entnehmen, dass in dem Rechner zwei Netzinterfaces aktiviert sind (lo und eth0). Für jedes Interface werden dahinter spezifische Informationen ausgegeben. Hinter der Angabe inet addr: finden sich die IP-Adressen der Interfaces, hier 127.0.0.1 für das Loopback-Interface und 192.168.1.1 für die Ethernet-Karte, hinter Bcast: findet sich die Broadcastadresse und hinter Mask: die Netzmaske. Die mit RX packets: und TX packets: beginnenden Zeilen zeigen an, wieviele Paket mit dem jeweiligen Interface seit dem Systemstart empfangen (RX, received) oder gesendet (TX, transmitted) worden sind. Für das Ethernet-Interface wird zusätzlich ausgegeben, welchen Interrupt und welche IO-Adresse es verwendet. Weitere Einstellungen, die mit ifconfig vorgenommen werden, sind folgende: •
•
• •
mtu Zahl legt mit Zahl die MTU (Maximal Transfer Unit) des Interfaces fest. Vorgabe ist 1500. Das ist die Datenmenge in Byte, die maximal in einem Paket übertragen wird. Gelegentlich wird ein anderer Wert benötigt. broadcast Adresse legt mit Adresse die Broadcastadresse des Netzes fest. Vorgabe ist die höchste im Netz verfügbare IP-Adresse, beispielsweise 192.168.1.255 bei einer Netzadresse 192.168.1.0 und einer Netzmaske 255.255.255.0. pointopoint Adresse legt bei Point-To-Point-Interfaces die Netzadresse der Gegenstelle fest. metric Zahl legt mit Zahl die Metric des Interfaces fest. Wenn der Parameter nicht angegeben wird, wird der Metric-Wert 1 benutzt. Der Metric-Wert wird
16.1 Grundkonfiguration
731
vom Linux-Kern nicht ausgewertet. Bei Betriebssystemen, die den Metric-Wert beachten, lässt sich bei mehreren Routen zu demselben Netz jeder Route ein Kostenwert zuordnen und erreichen, dass billige Routen (niedriger Wert) bevorzugt werden. Hängt mit dem Routing Information Protocol (RIP) zusammen. Nachdem das Netzinterface eine IP-Adresse hat, kann getestet werden, ob es möglich ist, Datenpakete an die Adresse zu schicken und von dort zu beziehen. Hierzu dient das Kommando ping, das in regelmäßigen Abständen ICMP-Datenpakete an eine angegebene Adresse sendet, die von dem Adressaten zurückgeschickt werden. Sobald ein Paket wieder eintrifft, zeigt ping dies an. Man beginnt mit der LoopbackAdresse, die auch dann funktionieren sollte, wenn der Rechner nicht an ein Netz angeschlossen ist: joe@debian:~$ ping 127.0.0.1 Um den eigenen Rechner mit der IP-Adresse 192.168.1.1 anzupingen, ist einzugeben. joe@debian:~$ ping 192.168.1.1 Weil ping solange Datenpakete abschickt und empfängt, bis es manuell beendet wird, sollte es nach einiger Zeit durch die Tastenkombination + abgebrochen werden. Alternativ gibt man die Option -c n (count) mit einer kleinen Zahl n mit. Die Ausgabe sieht etwa so aus: PING 192.168.1.1 (192.168.1.1): 56 bytes of data 64 bytes from 192.168.1.1: icmp_seq=1 time=0.048 ms 64 bytes from 192.168.1.1: icmp_seq=2 time=0.042 ms 64 bytes from 192.168.1.1: icmp_seq=3 time=0.028 ms --- 192.168.1.1 ping statistics --3 packets transmitted, 3 packets received, 0% loss round-trip min/avg/max = 0.028/0.039/0.048 ms Die Zeilen in der Ausgabe, die mit 64 bytes from beginnen, zeigen an, dass Datenpakete von der angegebenen Adresse zurückgeschickt und empfangen wurden. Zum Schluss wird eine Statistik ausgegeben, die anzeigt, wieviele Pakete abgeschickt, empfangen und verloren wurden. Der Verlust sollte in einem Kabelnetz bei 0 % liegen, sonst ist etwas faul. In Funknetzen ist ein mäßiger Verlust nicht ungewöhnlich. Außerdem wird die Zeit angezeigt, die minimal, durchschnittlich und maximal zwischen dem Abschicken und dem Empfangen eines Paketes vergangen ist (round trip time). Das Kommando ping hat einige Verwandte: arping sendet ICMP- oder ARP-Anfragen an Namen, IP- oder MAC-Adressen, dhcping fragt einen DHCP-Server, httping klopft bei einem Webserver an, fping und oping pingen mehrere Knoten gleichzeitig an, echoping wendet sich gezielt an auswählbare Dienste, sing sendet vielerlei ICMP-Pakete usw. Falls keine Pakete von den eigenen Interfaces (lo, eth0) zurückkommen, deutet dies auf einen Fehler der Hardware, bei der Konfiguration des Treibers oder bei der
732
16 Netzdienste
Konfiguration des Interfaces mit ifconfig hin. Sollte das eigene Interface funktionstüchtig sein, wird getestet, ob andere Knoten im lokalen Netz erreichbar sind. Falls es an dieser Stelle hapert, überprüfen Sie Folgendes: •
• •
Ist Ihr Rechner richtig mit dem Netz verbunden? Stimmen alle Steckverbindungen? Die Ethernet-Stecker (RJ-45, Western Modular) sind nicht die Krone der Robustheit. Befindet sich der angepingte Knoten in demselben physikalischen Netz? Falls nicht, können Sie ihn noch nicht erreichen. Lässt sich der Zielknoten von anderen Rechnern aus mit ping erreichen? Auch andere Betriebssysteme wie MS Windows oder Mac OS sind mit pingWerkzeugen ausgestattet.
Nachdem sichergestellt ist, dass Sie die Knoten im lokalen Netz erreichen, kann nun gegebenenfalls das Standard-Gateway/Router konfiguriert werden. Dabei handelt es sich um einen Knoten im lokalen Netz, an den alle Pakete geschickt werden, von denen Ihr Rechner nicht weiß, wie sie zugestellt werden sollen. Das Gateway kann ein Rechner sein, aber auch ein eigenständiges Gerät, beispielsweise ein DSL-Gateway. Die Konfiguration des Routings – auf das wir in Abschnitt 4.3.3 Netzmasken auf Seite 247 schon kurz eingegangen sind – geschieht mit dem Kommando route. Das Programm fügt der Routing-Tabelle des Kerns Informationen zu oder entfernt sie. Das nackte Kommando zeigt die aktuellen Routing-Informationen an: joe@debian:~$ /sbin/route alternativ geht auch: joe@debian:~$ ip route oder: joe@debian:~$ netstat -rn Wir erhalten beispielsweise die Ausgabe: Kernel IP routing table Ziel Router 192.168.1.0 * default 192.168.1.250
Genmask 255.255.255.0 0.0.0.0
Flags U UG
Iface eth0 eth0
In der Tabelle finden sich zwei Einträge. Der erste Eintrag wurde der Routing-Tabelle automatisch hinzugefügt, als das Interface eth0 mit ifconfig konfiguriert wurde. Die erste Spalte (Ziel) zeigt Netze oder Rechner, für die der entsprechende Eintrag gelten soll. Der erste Eintrag gilt für das lokale Netz 192.168.1.0. In der nächsten Spalte wird die Adresse eines Gateways/Routers ausgegeben, falls ein solches benutzt werden muss, um das Netz bzw. den Rechner zu erreichen. Für das lokale Netz wird kein Gateway benötigt, weil der Rechner direkt mit diesem Netz verbunden ist. In der nächsten Spalte Genmask (generality mask, Allgemeinheit des Ziels) ist die Netzmaske des Zielnetzes angegeben. Wenn der Eintrag nur für einen einzelnen Rechner gilt, findet sich hier der Wert 255.255.255.255. Die Flags bedeuten:
16.1 Grundkonfiguration
• • • •
733
G die Route führt durch ein Gateway, U das zu verwendende Interface ist aktiv (up), H über die Route ist nur ein einziger Knoten (host) zu erreichen, D und M die Route wurde von einer ICMP Redirect Message erzeugt oder geändert.
Die letzte Spalte bezeichnet das Interface, über das Datenpakete zu dem entsprechenden Rechner bzw. dem jeweiligen Netz geschickt werden sollen. Der Rechner könnte ja für verschiedene Netze verschiedene Interfaces verwenden. Hier verfügt der Rechner nur über eine Karte, über die alle Pakete laufen. Der zweite Eintrag des Beispiels bezeichnet das Standardgateway. Hier wird bei Ziel kein Netz oder Rechner, sondern das Schlüsselwort default ausgegeben. Alle Datenpakete, für die in den vorhergehenden Zeilen keine Route benannt ist, werden an den Knoten mit der Adresse 192.168.1.250 geschickt. In der Spalte Genmask findet sich hier der Wert 0.0.0.0, was bedeutet, dass der Eintrag für alle Pakete gilt, die es bis in die Zeile geschafft haben. Der Kern arbeitet die Routing-Tabelle von oben nach unten ab. Wenn ein Paket an die Adresse 192.168.2.12 geht, wird geprüft, ob der erste Eintrag für diese Adresse zutrifft. Das ist nicht der Fall, weil der erste Eintrag die Adressen 192.168.1.1 bis 192.168.1.255 erfasst. Also wird der nächste Eintrag getestet. Hierbei handelt es sich um den Defaulteintrag, der für alle Pakete gilt. Das Paket wird an den Knoten mit der Adresse 192.168.1.250 geschickt. Falls überhaupt kein Eintrag vorhanden ist, der für das betreffende Paket geeignet ist, kann das Paket nicht auf den Weg geschickt werden, und es wird eine Fehlermeldung (Network unreachable) zurückgegeben. Die vollständige Syntax sowie einige Beispiele zum Kommando route finden Sie in seiner Manualseite. Um eine Routing-Information hinzuzufügen, ist das Programm mit dem Schlüsselwort add aufzurufen. Zusätzlich kann das Schlüsselwort default benutzt werden, um die Default-Route (das Standard-Gateway) festzulegen. Ein Gateway wird mit route angegeben, indem der Adresse des Gateways das Schlüsselwort gw vorangestellt wird. Soll unser Rechner die Adresse 192.168.1.250 als DefaultGateway verwenden, so ist das Kommando wie folgt aufzurufen: debian:~# route add default gw 192.168.1.250 Sie machen die Einstellung rückgängig, indem Sie die Standard-Route mit dem Schlüsselwort del entfernen: debian:~# route del default Wenn das Default-Gateway gesetzt ist, sollten Sie in der Lage sein, mit allen Rechnern und Netzen zu kommunizieren, die mit Ihrem Netz verbunden sind. Falls Ihr Netz mit dem Internet verbunden ist, bedeutet dies, dass Sie nun alle Rechner in den unendlichen Weiten des Internets erreichen. Sie testen dies ebenfalls mit dem Werkzeug ping. Der Debian-Spiegel ftp.de.debian.org hat zur Zeit (2007-01-18-15-33 UTC) die IP-Adresse 141.76.2.4. Versuchen Sie, den Rechner anzupingen:
734
16 Netzdienste
joe@debian:~$ ping -c 4 141.76.2.4 Beim Zweitautor kam eine Round Trip Time von 60 ms heraus. In vielen lokalen Netzen besteht eine indirekte Internetanbindung über Proxies und/oder Firewalls. Bei einer solchen Vernetzung ist es wahrscheinlich, dass die von ping verschickten Pakete nicht in das Internet weitergeleitet werden und deswegen auch nicht zurückkommen. Ein Knoten lässt sich auch dahingehend konfigurieren, dass er auf pingPakete (ICMP-Pakete) nicht reagiert. 16.1.2 Namensauflösung Möglichkeiten Um einen Rechner im Netz anzusprechen, werden vom Benutzer in der Regel keine IP-Adressen verwendet, sondern Rechnernamen. Rechner und weitere Geräte im Netz gebrauchen unter sich jedoch IP-Adressen. Deshalb muss der Kern die IPAdresse eines Knotens kennen, um eine Verbindung mit ihm aufzubauen. Wir haben bereits in Abschnitt 4.3.8 Namensauf lösung und DNS auf Seite 254 die beiden Wege kennen gelernt, auf denen Namen in IP-Adressen aufgelöst werden und umgekehrt: • •
Auf jedem Rechner im Netz wird eine Datei /etc/hosts gepflegt, welche die Zuordnungen von Namen zu IP-Adressen enthält. Ein Rechner im Netz wird als DNS-Server oder Nameserver eingerichtet. Alle Teilnehmer können IP-Adressen dann bei diesem Server erfragen.
Welches Verfahren ein Rechner zur Namensauflösung benutzt, wird in der Datei /etc/nsswitch.conf festgelegt. Dort findet sich folgender Eintrag: hosts:
files dns
Das Schlüsselwort files steht für die Verwendung einer lokalen Datei, das Schlüsselwort dns bedeutet, dass ein DNS-Server benutzt werden soll. In dem Beispiel sind beide Verfahren ausgewählt. Zunächst wird in der lokalen Datei /etc/hosts nachgesehen und – wenn ein Knoten dort nicht eingetragen ist – der DNS-Server nach der gesuchten Adresse befragt. Dies ist eine sinnvolle Vorgabe, weil sie gewährleistet, dass Rechnernamen, die lokal bekannt sind, auch dann noch aufgelöst werden können, wenn die Verbindung zum Nameserver nicht funktioniert. Lokale Namenszuordnungen Die lokale Tabelle von Rechnernamen und zugehörigen IP-Adressen steht in der Datei /etc/hosts. Jede Zeile dieser Datei enthält eine IP-Adresse und durch Leerzeichen getrennt einen oder mehrere Namen, die an Stelle der IP-Adresse benutzt werden können. Außerdem darf die Datei Leerzeilen und Kommentare enthalten, die mit einem Doppelkreuz eingeleitet werden:
16.1 Grundkonfiguration
735
# Eintrag für das Loopback-Interface 127.0.0.1 localhost # Eintraege für beliebige Knoten inkl. eigener Adresse 192.168.1.1 server1.beiuns server www 192.168.1.2 pcjoe.beiuns 192.168.1.9 laserjet9.beiuns ljet9 lp9 141.76.2.4 ftp.de.debian.org Unterhalb der Zeilen finden sich noch Einträge für IPv6-Adressen. Diese Einträge werden während der Einrichtung des Debian-Paketes netbase angelegt. IPv6 ist der zukünftige Internet-Standard, der zur Zeit erst wenig verwendet wird. Sie können die Einträge ignorieren (nicht löschen). Der erste Eintrag 127.0.0.1 nennt die Adresse des Loopback-Interfaces, das als localhost bezeichnet wird. Der Eintrag sollte sich in der Datei /etc/hosts jedes Rechners befinden. Darunter stehen zwei Einträge für Rechner mit den IPAdressen 192.168.1.1 und 192.168.1.2. Der ersten Adresse sind drei Namen zugeordnet, nämlich zum einen ein voll qualifizierter IP-Domänen-Name (FQDN) und einfache Rechnernamen (Aliasnamen) für den Gebrauch im lokalen Netz. Der dritte Knoten ist ein Drucker mit Ethernet-Anschluss im lokalen Netz, der vierte ein besonders wichtiger Rechner außerhalb des lokalen Netzes. Die Reihenfolge der Zeilen ist unerheblich, sodass sich dieselbe Datei im ganzen lokalen Netz verwenden lässt. Per DHCP vergebene Adressen dürfen nicht eingetragen werden, ansonsten ist alles erlaubt, was stimmt. Alle in der Datei aufgeführten Knoten sind ohne DNS zu erreichen. Wie erwähnt können Netze ebenso Namen tragen wie Rechner. Zur Festlegung von Netznamen dient die Datei /etc/networks. Im Gegensatz zur Datei /etc/ hosts werden hier zunächst die Namen und dann die IP-Nummern genannt: loopback privat.de firma.de
127 192.168.1.0 192.168.2.0
privat firma
Hiermit wird dem Netz 192.168.1.0 der Name privat.de und dem Netz 192.168.2.0 der Name firma.de zugeordnet. Auf vielen Rechnern fehlt die Datei, da man den DNS bemüht, sowie man das eigene Netz verlässt. Sinnvoll ist unter Umständen die Trennung des lokalen kabelgebundenen Netzes vom lokalen Funknetz. Verwenden eines DNS-Servers Neben dem entsprechenden Eintrag in der Datei /etc/nsswitch.conf ist es erforderlich, dem System mitzuteilen, welche IP-Adresse (!) der zu verwendende DNS-Server hat. Diese Angabe wird in die Datei /etc/resolv.conf eingetragen. Dort muss sich eine Zeile folgender Art finden: nameserver
192.168.1.100
736
16 Netzdienste
Der Eintrag bewirkt, dass der DNS-Server mit der IP-Adresse 192.168.1.100 befragt wird, um Rechnernamen in IP-Adressen aufzulösen. Wenn Ihnen mehrere DNS-Server zur Verfügung stehen, können Sie bis zu drei Einträge untereinander angeben. Es wird zunächst versucht, eine Adresse beim ersten Nameserver aufzulösen, dann beim zweiten usw. Der schnellste Nameserver sollte deswegen den ersten Eintrag bekommen. In der Datei können Sie Ihre Domäne (etwa firma.de oder beiuns) angeben. Dann können auch kurze Namen von Rechnern in Ihrer Domäne aufgelöst werden (server1 oder pcjoe). Ohne einen Domänen-Eintrag in dieser Datei müssen Sie die voll qualifizierten Namen verwenden, damit sie vom DNS-Server aufgelöst werden können. Unbeeinflusst von dem Domänen-Eintrag sind kurze Aliasnamen, die in /etc/hosts aufgelöst werden. Außerdem ist es möglich, dass neben der eigenen Domäne auch Rechnernamen in anderen Domänen durchsucht werden können. Dazu dient das Schlüsselwort search. Wenn die Datei ermöglichen soll, dass Rechner der eigenen Domäne firma.de und Rechner der Domäne konkurrenz.de, die vermutlich nicht in Ihrem lokalen Netz beheimatet sind, mit kurzen Namen gefunden werden, sehen die Einträge so aus: domain firma.de search konkurenz.de Es können auch mehrere Domänen durchsucht werden; sie sind durch Leerzeichen getrennt hinter dem Schlüsselwort search aufzulisten. Bei gleichen Kurznamen hat die eigene Domäne Vorrang. Konfiguration des eigenen Rechnernamens Der letzte Teil der Namenskonfiguration betrifft den eigenen Rechner, der wissen muss, wie er heißt. Dazu ist dem Programm /bin/hostname der einfache Name des Rechners zu übergeben: debian:~# hostname pcjoe Der Name landet in der Datei /etc/hostname. Während des Systemstarts wird das Kommando automatisch ausgeführt. Es steht im Skript /etc/init.d/ hostname.sh. Ohne Optionen aufgerufen zeigt das Programm den Namen des Rechners an, beim Umherirren im Netz hilfreich. Mit der Option -d erfahren wir den Namen der DNS-Domäne, mit der Option -f den vollen Namen des Rechners. 16.1.3 Automatische Netzkonfiguration während des Systemstarts Alle Einstellungen werden während des Systemstarts durch das Skript /etc/ init.d/networking automatisch vorgenommen. Damit dies funktioniert, muss jedoch sichergestellt sein, dass der oder die Treiber für die Netzkarten sich entweder im Kern befinden oder automatisch geladen werden können. Im Fall von Treibermodulen ist dies gegeben, wenn Sie die Module mit modconf eingerichtet haben. Ansonsten müssen Sie die Einstellungen eventuell selbst vornehmen.
16.1 Grundkonfiguration
737
Dann müssen alle netzspezifischen Angaben in die Datei /etc/network/ interfaces eingetragen werden. Die Einträge beginnen jeweils mit dem Schlüsselwort iface und der Bezeichnung des betreffenden Interfaces wie eth0. Darauf folgt für Interfaces, die mit dem Internet-Protokoll benutzt werden, das Wort inet und schließlich ein Schlüsselwort, durch das bestimmt wird, wie das entsprechende Interface konfiguriert wird. Für Ethernetkarten mit fest zugewiesenen IP-Adressen ist dort das Schlüsselwort static anzugeben. Wenn Sie die Netzkonfiguration während der Grundeinrichtung durchgeführt haben, findet sich in der Datei bereits ein Eintrag für das entsprechende Interface. Unter einer solchen Interfacebeschreibung wird mit verschiedenen Schlüsselwörtern und Werten angegeben, mit welchen Werten das Interface zu aktivieren ist. Die Datei darf Kommentare und leere Zeilen enthalten: # Konfiguration einer Ethernetkarte iface eth0 inet static address 192.168.10.20 netmask 255.255.255.0 network 192.168.10.0 broadcast 192.168.10.255 gateway 192.168.10.250 Zur Konfiguration von Ethernetkarten mit statischen Adressen stehen folgende Optionen zur Verfügung: • • • • •
• •
•
address Hinter dem Schlüsselwort wird die IP-Adresse angegeben, die dem Interface zugewiesen wird. Die Angabe der IP-Adresse ist notwendig. netmask Hier wird die Netzmaske des Netzes angegeben, an welches das Interface angeschlossen ist. Die Angabe ist ebenfalls notwendig. network Nach diesem Schlüsselwort wird die Adresse des Netzes angegeben. Als Vorgabe errechnet sich die Adresse aus IP-Adresse und Netzmaske. broadcast Hiermit wird die Broadcastadresse angegeben, die in dem Netz benutzt wird. Als Vorgabe ist dies die höchste in dem Netz verfügbare Adresse. gateway Wenn ein Default-Gateway benutzt wird, muss die Adresse des Gateways hinter diesem Schlüsselwort angegeben werden. In den meisten Fällen notwendig, keine Vorgabe. auto Das Interface wird beim Systemstart automatisch konfiguriert, meistens gewünscht. up Hinter diesem Schlüsselwort werden Kommandos angegeben, die ausgeführt werden, wenn das Interface aktiviert wird. Dadurch lassen sich beispielsweise besondere Routen setzen. Es dürfen mehrere up-Zeilen aufeinander folgen. Die Kommandos werden in der angegebenen Folge ausgeführt. down Hier werden Kommandos angegeben, die ausgeführt werden, wenn das Interface deaktiviert wird. Wie bei up dürfen mehrere Zeilen angegeben werden.
An Stelle von IP-Adressen dürfen in der Datei Namen genannt werden. Diese müssen in den Dateien /etc/hosts und /etc/networks definiert worden sein, um ohne DNS aufgelöst werden zu können. Beispiel:
738
16 Netzdienste
iface eth1 inet static address vw-router network verwaltung netmask 255.255.255.0 up echo "1" > /proc/sys/net/ipv4/ip_forward down echo "0" > /proc/sys/net/ipv4/ip_forward Sobald sich die Informationen in der Datei befinden, können die Interfaces mit dem Kommando ifup aktiviert und mit dem Kommando ifdown deaktiviert werden. Den Kommandos ist entweder der Name des Interfaces zu übergeben oder die Option -a für alle Interfaces: debian:~# ifup eth0 Das Kommando aktiviert das erste Ethernet-Interface mit den gespeicherten Werten. Überprüfen Sie mit den Kommandos ifconfig und route, ob alle Einstellungen stimmen. Andere Konfigurationsmethoden Nicht in allen Fällen ist es notwendig oder erwünscht, die IP-Adresse und andere Einstellungen eines Netzinterfaces festzulegen. Ein simples Beispiel hierfür ist das Loopback-Interface. Es wird immer mit denselben Einstellungen benutzt, die Angabe bestimmter Optionen zur Konfiguration ist nicht notwendig. Das Interface wird in der Datei /etc/network/interfaces folgendermaßen eingerichtet: iface lo inet loopback Mit dem Schlüsselwort loopback im Gegensatz zu static in den vorherigen Beispielen wird festgelegt, dass die bekannten, einheitlichen Einstellungen für das Loopback-Interface zu verwenden sind. 16.1.4 Dynamische Konfiguration mittels DHCP Wenn in Ihrem Netz ein DHCP-Server (Dynamic Host Configuration Protocol) arbeitet, der lokalen Knoten IP-Adressen und andere Netzeinstellungen zuweist, können Sie dies in der Datei /etc/network/interfaces ebenfalls angeben: iface eth0 inet dhcp weiter nichts, da die Angaben vom DHCP-Server geliefert werden. Es ist in einem lokalen Netz ohne Weiteres möglich, einige Knoten statisch, andere dynamisch zu konfigurieren. Hat Ihr Rechner zwei Interfaces, können sie das eine statisch, das andere dynamisch über DHCP konfigurieren. Es darf nur nicht eine IP-Adresse doppelt vergeben werden. Das ist eine Frage der Konfiguration des DHCP-Servers. Falls Ihr Clientrechner wider Erwarten nicht mit DHCP klar kommt, kann es notwendig sein, zusätzlich DHCP-Clientprogramme einzurichten. Diese Programme sind in den Paketen pump, dhcp-client oder udhcpc enthalten. Im Allgemeinen ist die Verwendung von pump zu empfehlen. Wie bei der Konfigurationsmethode static ist es auch hier möglich, einige zusätzliche Angaben zu machen:
16.1 Grundkonfiguration
• •
739
hostname Name Gibt den für diesen Rechner gewünschten Namen an. leasehours Zeit Gibt mit Zeit die gewünschte Leasetime (Lebensdauer der dynamisch zugewiesenen IP-Adresse) an.
Wenn Sie ein anderes DHCP-Clientpaket als pump verwenden, finden Sie in der Manualseite zu ifup Hinweise, welche Optionen benutzt werden können. Beim Einsatz von pump wird die Datei /etc/resolv.conf überschrieben, um das System für den Einsatz des richtigen DNS-Servers zu konfigurieren. Eigene Einstellungen können verloren gehen. Findet ein DHCP-Client keinen DHCP-Server in seinem lokalen Netz – was nicht vorkommen dürfte – ist es möglich, dass er auf einen Mechanismus zurückfällt, der als Automatic Private IP Addressing oder APIPA bezeichnet wird. Der Client sucht sich eine zufällige Adresse aus dem Bereich 169.254.0.0/16, testet durch Broadcasten eines ARP-Probe-Paketes, ob sie noch frei ist, und übernimmt sie gegebenenfalls. Näheres in der deutschen Wikipedia unter dem Suchbegriff Zeroconf. Auf Apple-Rechnern ist das Vorgehen unter den Namen Rendezvous oder Bonjour bekannt, auf MS-Windows-Rechnern gibt es Ähnliches, in der Linux/UNIX-Welt kommt das Verfahren selten vor. Bei Debian gibt es einige Pakete mit zeroconf im Namen oder in der Beschreibung zum Aufbau spontaner Netze. Arbeiten mit unterschiedlichen Konfigurationen Wenn Sie mit Ihrem Rechner gelegentlich von einem Netz zu einem anderen umziehen, wie es bei Laptops vorkommt, benötigen Sie unterschiedliche Einstellungen für unterschiedliche Standorte. Deshalb lassen sich in der Datei /etc/ network/interfaces Schemata angeben, die jeweils einer Konfiguration oder einem Standort entsprechen. Die Schemata sind mit dem Schlüsselwort scheme und einem Namen einzuleiten: # /etc/network/interfaces für zwei Konfigurationen # (daheim und auf Arbeit) # Das Loopback-Interface wird immer benötigt iface lo inet loopback # Konfiguration für daheim scheme daheim iface eth0 inet static address 192.168.10.15 netmask 255.255.255.0 gateway 192.168.10.250 # Konfiguration für den Arbeitsplatz scheme arbeit iface eth0 inet dhcp
740
16 Netzdienste
Das Loopback-Interface wird in jeder Konfiguration gleich benutzt. In dem Schema daheim wird eine statische Konfiguration verwendet, während in dem Schema arbeit die Konfiguration über DHCP bezogen wird. Konfigurationen, die Schemata zugeordnet sind, werden während des Systemstarts nicht automatisch aktiviert. Im Beispiel würde während des Systemstarts nur das Loopback-Interface automatisch aktiviert werden. Dann wählt man mit dem Kommando ifup und der Option -s die Konfiguration aus, am Arbeitsplatz: debian:~# ifup -a -s arbeit Und zu Hause angekommen – der Rechner braucht nicht heruntergefahren zu werden – ist folgendes Kommando einzugeben, um die Einstellungen für das heimische Netz wirksam werden zu lassen: debian:~# ifup -a -s daheim 16.1.5 DNS-Proxy (dnsmasq) Der leichtgewichtige Server dnsmasq ist vielseitig und schon in kleinen Netzen ohne eigene DNS-Verwaltung gut zu gebrauchen. Er erfüllt folgende Aufgaben: •
•
DNS-Server ohne eigenen Datenbestand, der Anfragen an einen echten DNSServer weiterleitet, sich die Anworten für eine gewisse Zeit merkt (DNS-Proxy), unsinnige DNS-Anfragen abblockt und zusäztlich die Datei /etc/hosts auf seiner Maschine kennt, DHCP-Server mit vielfältigen Einstellungen, die über die Möglichkeiten von in DSL-Routern integrierten DHCP-Servern deutlich hinausgehen.
Seine Konfiguration steht in /etc/dnsmasq.conf, einer reichlich kommentierten, editierbaren Textdatei. Man richtet ihn zweckmäßig auf einer durchlaufenden Maschine ein, wobei sicherzustellen ist, dass in einem lokalen Netz nur ein DHCPServer das Sagen hat. Ein etwaiger DHCP-Server in einem Gateway oder Access Point ist stillzulegen. Einige der DNS-Optionen sind: • • •
• •
domain-needed DNS-Anfragen nach Namen oder Nummern ohne einen Punkt werden nicht weitergeleitet. bogus-priv DNS-Anfragen nach Adressen in privaten Adressbereichen (10, 172, 192) werden nicht weitergeleitet. resolv-file=/etc/resolv.dnsmasq Verwende die genannte Datei für Anfragen an echte DNS-Nameserver; hier ist beispielsweise die lokale IPAdresse des DSL-Routers einzutragen, der Anfragen an den ihm dynamisch vom Versorger zugeteilten DNS-Nameserver weiterleitet (ohne die Antworten zu cachen). local=/beiuns/ Anfragen nach Namen mit dieser Domäne werden aus der Datei /etc/hosts oder aus der DHCP-Datei beantwortet. address=/doubleclick.net/127.0.0.1 Anfragen betreffend Knoten aus der Domäne doubleclick.net werden mit localhost beantwortet und damit verhindert, dass sie Erfolg haben.
16.2 Modem-Einwahlverbindungen (PPP)
•
741
addn-hosts=/etc/hosts.dnsmasq Berücksichtige zusätzlich zur Datei /etc/hosts die Datei /etc/hosts.dnsmasq
Ein Vorteil von dnsmasq ist die Zusammenführung von Informationen aus der für das LAN gültigen Datei /etc/hosts und aus dem DNS des Internets. Die lokalen Clients brauchen nur eine kurze Datei /etc/hosts auf ihrer Platte. In der Datei /etc/resolv.conf der Clients steht der dnsmasq-Server an erster Stelle, an zweiter kommt der DSL-Router, an dritter folgt – wenn überhaupt – ein externer Nameserver. Weitere Optionen betreffen den DHCP-Server: •
•
•
•
• • •
dhcp-range=192.168.1.101,192.168.1.199,12h Dynamisch vergebene IP-Adressen werden aus dem angegebenen Bereich gewählt und für 12 Stunden zugewiesen. Soll der Server mehrere Netze versorgen, sind mehrere Zeilen einzutragen. dhcp-range=wlan,192.168.1.201,192.168.1.220,4h Hier wird zusätzlich ein Netz-ID vergeben, der dazu dient, später bestimmte Optionen nur für dieses Netz zu verwenden. dhcp-host=00:50:da:3f:6a:b2,exjoe,192.168.1.117,1h Der angegebenen MAC-Adresse wird immer der Name exjoe und die lokale IPAdresse 192.168.1.117 zugewiesen. Das sind praktisch statische Adressen mit dem Vorteil, dass sie zentral verwaltet werden und auf dem Client ein Minimum an Konfiguration in /etc/network/interfaces erfordern. dhcp-option=42,0.0.0.0 Setzt die Adresse des von den Clients zu verwendenden Zeitservers auf die Adresse der Maschine, auf der auch dnsmasq läuft, oft sinnvoll, könnte aber auch eine andere Maschine sein. Die Bedeutung der Zahlen wie 42 steht im RFC 2132, auszugsweise auch im Kommentar von dnsmasq.conf. dhcp-option=40,alex setzt die NIS-Domäne, sofern benötigt. dhcp-option=wlan,3,192.168.1.253 Setzt für das Netz mit dem ID wlan – siehe oben – den Default-Router auf die angegebene Adresse. dhcp-boot=/tftpboot/debian-installer/i386/pxelinux.0, server,192.168.1.1 Setzt für das Booten von Clients über Netz (BOOTP, PEX) erforderliche Werte.
Das waren noch nicht alle Konfigurationsmöglichkeiten. Für die meisten werden vernünftige Werte vorgegeben, sodass man dnsmasq in Betrieb nehmen kann, ohne alle Einzelheiten verstanden zu haben. Man tastet sich dann langsam zu den Raffinessen vor.
16.2 Modem-Einwahlverbindungen (PPP) 16.2.1 Konfiguration der seriellen Schnittstelle Um das Point-to-Point Protocol (PPP, RFC 1661 mit zahlreichen Ergänzungen) zu benutzen, richten Sie das Paket ppp ein, welches das Programm pppd sowie zusätzliche Werkzeuge und Dateien enthält. Außerdem muss der Kern PPP und serielle
742
16 Netzdienste
Schnittstellen unterstützen, was vermutlich der Fall ist, siehe /boot/config. Zur Konfiguration von Einwahlverbindungen über PPP steht unter Debian GNU/Linux ein Werkzeug namens pppconfig zur Verfügung. Lesenswert sind das Linux PPP HOWTO (2000) von C ORWIN L IGHT-W ILLIAMS und J OSHUA D RAKE und das Modem-HOWTO (2007) von DAVID S. L AWYER bei TLDP. Im Paket ppp ist die Datei /usr/share/doc/ppp/FAQ.gz enthalten, die Antworten auf häufig gestellte Fragen enthält. Serielle Schnittstellen werden durch Gerätedateien im Verzeichnis /dev dargestellt. Ihre Namen lauten ttyS0 für die erste serielle Schnittstelle, ttyS1 für die zweite und so weiter. Die Schnittstelle, die unter DOS oder MS-Windows über die Bezeichnung COM1 angesprochen wird, heißt unter GNU/Linux ttyS0. Der Treiber für serielle Schnittstellen kann entweder fest in den Kern eingebaut oder als Modul nachgeladen werden. Die Standardkerne verwenden ein Modul, das automatisch geladen wird, sobald auf die serielle Schnittstelle(n) zugegriffen wird. Sie müssen wissen, an welche serielle Schnittstelle Ihr Modem angeschlossen ist. Beim Start des Kerns bzw. beim Laden des Kernmoduls wird versucht, die seriellen Schnittstellen automatisch zu erkennen. Dies gelingt nicht in jedem Fall, weswegen die Schnittstelle, an der sich das Modem befindet, erforderlichenfalls von Hand konfiguriert werden muss. Hierzu dient das Werkzeug setserial. Welche seriellen Schnittstellen konfiguriert sind, wird während des Systemstarts ausgegeben. Sie können die Ausgabe wiederholen: debian:~# setserial -gb /dev/ttyS* Die Ausgabe sollte sinngemäß so aussehen: /dev/ttyS0 at 0x03f8 (irq = 4) is a 16550A /dev/ttyS1 at 0x02f8 (irq = 3) is a 16550A Hier wird angezeigt, dass die seriellen Schnittstellen /dev/ttyS0 und /dev/ ttyS1 erfolgreich konfiguriert wurden. Weiter wird ausgegeben, welche I/OAdressen und welche Interrupts durch diese Schnittstellen belegt sind. Schließlich wird des Typ des UART-Chips der Schnittstellen angezeigt (16550A). Wenn sich die Schnittstelle, an die das Modem angeschlossen ist, nicht in der Liste befindet, müssen Sie diese manuell mit setserial konfigurieren. In der Regel reicht es aus, dem Programm die I/O-Adresse und den Interrupt der Schnittstelle zu übergeben. Gelegentlich ist jedoch auch die Angabe des UART-Typs erforderlich. Um die dritte serielle Schnittstelle mit der Basisadresse 0x3e8 und dem Interrupt 6 zu konfigurieren, ist das Werkzeug so aufzurufen: debian:~# setserial /dev/ttyS2 port 0x3e8 irq 6 autoconfigure Mehr Informationen zu setserial finden Sie im Manual. Die Einstellungen der seriellen Schnittstellen werden während des Systemabschlusses automatisch gesichert und bei einem erneuten Systemstart wieder geladen. Sie brauchen keine Konfigurationsdateien zu verändern, um Ihre Einstellungen zu sichern. Nur wenn das automatische Laden der Einstellungen nicht klappt, das Gerät
16.2 Modem-Einwahlverbindungen (PPP)
743
aber per Hand mit setserial zu konfigurieren ist, müssen Sie die Optionen, mit denen setserial aufgerufen wurde, in die Datei /etc/serial.conf eintragen und dort die Zeile löschen, in der AUTOSAFE steht. 16.2.2 PPP-Konfiguration Das Werkzeug pppconfig
Abb. 16.1: Screenshot des Hauptmenüs des Werkzeugs pppconfig
Sie starten die Konfiguration des PPP-Systems mittels des Aufrufs: debian:~# pppconfig Es erscheint der in Abbildung 16.1 dargestellte Bildschirm. Das Programm führt Sie mit einer Reihe von Fragen durch die Konfiguration des Zugangs. Es wird benutzt wie das Installationsprogramm des Grundsystems: Mit den Pfeiltasten wird in Listen zwischen verschiedenen Punkten gewechselt, mit der -Taste kann zwischen Feldern auf dem Bildschirm (beispielsweise einem Eingabefeld und der Option OK) gewechselt werden, und mit wird eine Angabe oder Auswahl bestätigt. Nachdem alle Fragen beantwortet sind, können die einzelnen Angaben nochmals eingesehen und korrigiert werden, sodass ein Fehler nach Beantwortung aller Fragen behoben werden kann. Das Werkzeug bietet in seinem Hauptmenü folgende Punkte zur Auswahl: • •
Create neue Verbindung konfigurieren, Change bereits konfigurierte Verbindung ändern,
744
• •
16 Netzdienste
Delete Verbindung löschen, Quit Werkzeug verlassen.
Viele PPP-Konfigurationsprogramme funktionieren nur dann, wenn in der Datei /etc/ppp/options der Eintrag auth auskommentiert wird. Dies gilt nicht für pppconfig. Konfigurieren einer neuen Verbindung Nach Auswahl des Punktes Create muss der neuen Verbindung ein Name zugewiesen werden. Die Verbindung, die Sie als Vorgabe benutzen, sollte den Namen provider tragen. Alle anderen Verbindungen müssen eindeutige Namen haben, über die später die zu benutzende Verbindung ausgewählt wird. Als Nächstes wählen Sie ein Verfahren zur DNS-Nameserver-Konfiguration aus. Es stehen drei Verfahren zur Verfügung: • • •
Static Sie geben einen oder mehrere DNS-Server an, die benutzt werden, wenn die Verbindung zu dem Versorger aufgebaut worden ist. Dynamic Die zu verwendenden Nameserver werden nach dem Verbindungsaufbau automatisch vom Versorger erfragt. None Beim Verbindungsaufbau erfolgt keine automatische Konfiguration eines Nameservers. Sie müssen sich selbst um die Konfiguration kümmern, beispielsweise durch Angaben in der Datei /etc/resolv.conf.
Im Allgemeinen ist das Verfahren Dynamic zu empfehlen, vorausgesetzt, Ihr Versorger unterstützt die automatische Konfiguration. Wenn nicht, sollten Sie das Verfahren Static wählen, Sie benötigen dann die IP-Adresse des DNS-Servers Ihres Versorgers. Das Verfahren None ist nicht zu empfehlen, weil hier für jeden Versorger derselbe Nameserver benutzt wird. Eine Ausnahme hiervon bildet die Verwendung eines eigenen, lokalen DNS-Servers. Entscheiden Sie sich für das Verfahren Static, werden Sie aufgefordert, die IP-Adresse (!) des Nameservers einzugeben, den Sie für diese Verbindung verwenden wollen. Sie können einen zweiten Nameserver benennen. Nach der Nameserver-Konfiguration wird ausgewählt, welches Verfahren zur Authentifizierung mit dem Versorger benutzt werden soll. Die meisten Versorger teilen Ihnen einen Benutzernamen und ein Passwort mit, die während des Verbindungsaufbaus benötigt werden. Das Authentifizierungsverfahren ist das Verfahren, mit welchem dem Versorger diese Informationen während des Verbindungsaufbaus übermittelt werden: • • •
PAP: Password Authentication Protocol nach RFC 1334, das Standardprotokoll unter MS-Windows, von den meisten Versorgern unterstützt. CHAP: Challenge Handshake Authentication Protocol nach RFC 2433, ein gegenüber PAP sichereres Protokoll, ebenfalls von vielen Versorgern unterstützt. Chat: Skriptgesteuerte Anmeldung. Es findet ein Dialog (Chat) mit der Gegenstelle statt, bei der diese die Aufforderung sendet, den Benutzernamen anzugeben, woraufhin Ihr Rechner antwortet. Unter Umständen müssen auch noch spezielle Kommandos an den Rechner auf der anderen Seite gesendet werden, damit
16.2 Modem-Einwahlverbindungen (PPP)
745
dieser PPP startet. Diese Form der Anmeldung nennt man skriptgesteuert, weil die Kommunikation zwischen den beteiligten Rechnern über ein Skript gesteuert wird, das von dem Programm chat ausgeführt wird. Ihr Versorger sollte Ihnen ein Authentifizierungsprotokoll vorschlagen. Wenn Sie CHAP verwenden können, sollten Sie dieses Protokoll wählen. Wenn Sie sich nicht sicher sind, wählen Sie PAP. Die skriptgesteuerte Anmeldung ist bei so gut wie keinem Versorger mehr notwendig. Gleich, welches Authentifizierungsverfahren Sie gewählt haben, müssen Sie nun Ihren Benutzernamen bei dem Versorger angeben. Löschen Sie den vorgegebenen Text replace_with_your_login_name mit der Z URÜCK-Taste und geben Sie den Benutzernamen ein, den Sie von Ihrem Versorger bekommen haben (nicht den Linux/UNIX-Benutzernamen auf Ihrem System). Danach folgt die Aufforderung zur Angabe des Passworts. Auch hier müssen Sie den vorgegebenen Text replace_with_your_password mit der Z URÜCK-Taste löschen und das Passwort eingeben, das Sie von Ihrem Versorger bekommen haben. Danach ist einzustellen, mit welcher Geschwindigkeit die serielle Schnittstelle betrieben werden soll, an die das Modem angeschlossen ist. Die hier einzustellende Geschwindigkeit ist von der Geschwindigkeit des Modems zu unterscheiden. Weil Modems Daten komprimieren können, wird für die Strecke vom Rechner zum Modem eine höhere Geschwindigkeit eingestellt, als das Modem zum Datentransfer nach außen benutzt. Der Vorgabewert (115200) passt in der Regel. Danach wird angegeben, welches Wahlverfahren Sie benutzen wollen. Das Mehrfrequenzwahlverfahren (MWV) wird heute von allen Vermittlungsstellen der Telekom unterstützt, so dass Sie hier Tone auswählen sollten. Nur wenn dies nicht funktioniert (weil Sie eine alte Nebenstellenanlage benutzen), sollten Sie es mit Pulse versuchen. Der Verbindungsaufbau dauert beim Pulse-Verfahren spürbar länger. Nun folgt die Angabe der Telefonnummer zur Einwahl bei Ihrem Versorger. Löschen Sie den Vorgabewert replace_with_number mit Hilfe der Z URÜCKTaste und tragen Sie die Telefonnummer ein. Schließlich muss das Programm wissen, an welche serielle Schnittstelle das Modem angeschlossen ist. Hier besteht die Möglichkeit der automatischen Erkennung sowie der manuellen Auswahl. Falls Sie sich nicht sicher sind, wählen Sie die automatische Erkennung aus. Der Erkennungsvorgang kann bis zu eine Minute beanspruchen. Nach der Erkennung erscheint ein Menü, in dem alle gefundenen Schnittstellen zur Auswahl stehen. Die Schnittstelle, an der das Programm ein Modem gefunden hat, ist bereits ausgewählt, sodass Sie im günstigsten Fall lediglich OK auswählen. Wenn das Modem nicht gefunden wurde, ist der Menüpunkt Manual auszuwählen, um den Namen der seriellen Schnittstelle von Hand einzugeben. Die Konfiguration ist nun abgeschlossen, und es erscheint ein Bildschirm, in dem die vorgenommen Einstellungen im Überblick dargestellt werden. Durch Auswahl mit den Pfeiltasten lassen sich einzelne Einstellungen auswählen und ändern. Nach Auswahl des Punktes Advanced lassen sich weitere Einstellungen vornehmen:
746
• •
•
•
•
•
•
• •
•
•
16 Netzdienste
Modeminit Hiermit wird die Zeichenkette eingestellt, die zur Initialisierung an das Modem geschickt wird. Die Vorgabe ATZ ist meist richtig. ISPConnect Bei der skriptgesteuerten Anmeldung ist es gelegentlich erforderlich, eine bestimmte Zeichenkette an die Gegenstelle zu senden, um sie aufzufordern, mit der Authentifizierung zu beginnen. Pre-Login Wenn bei der skriptgesteuerten Anmeldung vor der Authentifizierung ein Dialog zwischen Ihrem Rechner und der Gegenstelle notwendig ist, geben Sie hier an, welche Zeichenketten von der Gegenstelle erwartet werden und was zu senden ist, wenn die entsprechenden Zeichenketten eingetroffen sind. Defaultroute Normalerweise sollen alle IP-Pakete, die im lokalen Netz nicht zugestellt werden können, an den Internetversorger geschickt werden. Falls Sie dies nicht wünschen, wählen Sie hier den Wert nodefaultroute aus. Ipdefault Üblicherweise wird Ihrem Rechner bzw. seinem PPP-Interface nach dem Verbindungsaufbau vom Versorger eine IP-Adresse dynamisch zugewiesen. Im Gegensatz dazu ist es möglich, statische IP-Adressen zu verwenden, wobei die eigene Adresse sowie die Adresse des Versorgers schon vor dem Verbindungsaufbau feststehen. Das Verfahren wird von den meisten Versorgern nur gegen Aufpreis unterstützt. Wenn Sie die zu verwendende IP-Adresse selbst festlegen wollen, geben Sie diese hier an. Debug Als Vorgabe werden beim Verbindungsauf- und -abbau etwaige Fehlermeldungen ausgegeben. Wenn Sie die Option Debug auswählen, unterbinden Sie das Verhalten. Demand Nach Auswahl der Option können Sie angeben, ob die Verbindung im Dial-On-Demand-Modus betrieben werden soll. Sie sollten diese Option erst dann aktivieren, wenn Sie wissen, dass die Verbindung im konventionellen Modus funktioniert. Nameservers Über den Menüpunkt erreichen Sie die Konfiguration von DNSServern, die Sie von der Grundkonfiguration der Verbindung her kennen. Add-User Nach Auswahl der Option können Sie Namen von Benutzern angeben, die berechtigt sein sollen, Einwahlverbindung auf- und abzubauen. Die Benutzernamen müssen auf dem System bereits bekannt sein. Post-Login Entsprechend der Option Pre-Login ist es bei Verwendung des skriptgesteuerten Authentifizierungsverfahrens möglich zu konfigurieren, welche Kommunikation nach der eigentlichen Anmeldung zwischen Gegenstelle und Ihrem Rechner stattfinden soll. Idle-Timeout Hiermit bestimmen Sie, nach wieviel Sekunden Inaktivität die Verbindung automatisch abgebaut werden soll. Falls Sie nicht wünschen, dass die Verbindung automatisch abgebaut wird, lassen Sie das Feld leer.
Wenn alle Einstellungen richtig sind, sichern Sie die Auswahl und beenden das Programm. Ändern der Konfiguration einer Verbindung Um die Konfiguration einer bereits erstellten Verbindung zu ändern, wählen Sie im Hauptmenü von pppconfig den Menüpunkt Change aus. Sie können dann die zu
16.2 Modem-Einwahlverbindungen (PPP)
747
ändernde Verbindung auswählen. Danach springt das Programm in das Einstellungsmenü. Wählen Sie die zu ändernde Einstellung aus oder die Option Advanced, wodurch Sie die vorstehend beschriebenen Einstellungen ändern können. 16.2.3 Testen und Benutzen von PPP-Verbindungen Sobald eine Verbindung fertig konfiguriert ist, aktivieren Sie diese mit folgendem Kommando: pon [versorgername] Wenn Sie die Defaultverbindung (deren Name provider ist) benutzen wollen, reicht es aus, das Kommando ohne Parameter einzugeben: debian:~# pon Um die Verbindung zu einem anderen Versorger aufzubauen, übergeben Sie dem Kommando den Namen des Versorgers, den Sie benutzen möchten, beispielsweise: debian:~# pon t-offline Nach Eingabe des Kommandos pon wird das Programm pppd gestartet. Das Programm ist das eigentliche Kontrollprogramm für PPP-Verbindungen. Es bezieht seine Konfiguration aus einer Datei im Verzeichnis /etc/ppp/peers, welche den Namen des Versorgers enthält, zum Beispiel /etc/ppp/peers/provider. Zum Beenden der Verbindung dient das Kommando poff. Er wird folgendermaßen aufgerufen: poff [versorgername] Falls nur eine einzige Verbindung besteht, reicht es aus, das Kommando ohne Angabe eines Versorgers aufzurufen. Während des Auf- und Abbaus von Verbindungen werden die Ausgaben der Programme chat und pppd in die Datei /var/log/syslog geschrieben. Falls es zu einem Problem kommt, das nicht auf falsche Angaben bei der Benutzung von pppconfig zurückzuführen ist, sollte zunächst der Inhalt dieser Datei untersucht werden.
Abb. 16.2: Ein- und Ausschalten von Verbindungen mit gpppon.
Für Benutzer, die ungern Kommandozeilen verwenden, gibt es das Programm gpppon, mit dem die Kommandos pon und poff per Mausklick ausgeführt werden, siehe Abbildung 16.2. Das Programm ist in dem Paket gpppon enthalten.
748
16 Netzdienste
Bei Verwendung eines externen Modems sehen und hören Sie, wie das Modem die Verbindung zu dem Versorger aufbaut. Zum Testen sollten Sie ebenso vorgehen wie beim Testen einer Netzverbindung über Ethernet. Zunächst ist zu prüfen, ob das Netzinterface erfolgreich konfiguriert wurde. Dazu dient das Kommando ifconfig: joe@debian:~$ /sbin/ifconfig In der Ausgabe findet sich ein Eintrag für das Netzinterface ppp0, der sinngemäß so aussieht: ppp0 Link encap:Point-to-Point Protocol inet addr:145.253.71.145 P-t-P:145.253.1.165 Mask:255.255.255.255 UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1500 RX packets:12 errors:1 dropped:0 overruns:0 frame:1 TX packets:14 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:10 Dem Eintrag entnehmen Sie die IP-Adresse, die dem Interface zugewiesen wurde. Im Beispiel ist dies die Adresse 145.253.71.145. Die Adresse der Gegenstelle findet sich hinter dem Eintrag P-t-P: (Point-To-Point), hier 145.253.1.165. Wenn das Interface ppp0 bei der Ausgabe von ifconfig fehlt, ist das ein Zeichen dafür, dass der Verbindungsaufbau oder die Authentifizierung nicht funktioniert. Im nächsten Schritt prüfen Sie mit dem Kommando route, ob die Verbindung in die Routingtabelle des Rechners aufgenommen worden ist: joe@debian:~$ /sbin/route Es sollte folgende Ausgabe erscheinen: Destination 134.102.6.11 default
Gateway * 134.102.6.11
Genmask 255.255.255.255 0.0.0.0
Flags Iface UH ppp0 UG ppp0
Die IP-Adressen hängen vom Versorger ab. Der Ausgabe ist zu entnehmen, dass es einen Routing-Eintrag zur Adresse 134.102.6.11 gibt. Pakete zu dieser Adresse werden über das Interface ppp0 geleitet. Darüber hinaus wurde die Default-Route so gelegt, dass alle Pakete, die Ihr Rechner nicht direkt verschicken kann, an die Adresse 134.102.6.11 geleitet werden. Dies bedeutet, dass Ihr Rechner die Einwahlverbindung als Standard-Verbindung für alle nicht lokalen IP-Pakete benutzt. Wenn Sie neben der PPP-Verbindung noch über einen Anschluss für das lokale Netz verfügen, finden sich in der Ausgabe weitere Routing-Einträge. Falls die Default-Route nicht über das Interface ppp0 geht, handelt es sich vermutlich um einen alten Eintrag für die Default-Route, der gelöscht werden muss, bevor die Verbindung aufgebaut wird. Im nächsten Schritt ist zu überprüfen, ob Sie andere Rechner über die Verbindung erreichen können. Hierzu dient das Programm ping. Der FTP-Server ftp.de. debian.org hat gegenwärtig die IP-Adresse 141.76.2.4. Um ihn anzupingen, ist folgendes Kommando einzugeben:
16.2 Modem-Einwahlverbindungen (PPP)
749
joe@debian:~$ ping -c 4 141.76.2.4 Der letzte Schritt besteht darin zu testen, ob Sie den konfigurierten Nameserver benutzen können. Hierzu ist ein Rechner mit seinem Namen anzupingen: joe@debian:~$ ping ftp.de.debian.org Funktioniert auch dies, spricht alles dafür, dass die Verbindung ordnungsgemäß arbeitet. Wenn Sie das statische oder dynamische DNS-Verfahren benutzen, wird die Datei /etc/resolv.conf nach der Einwahl gegen eine Version ausgetauscht, die der Konfiguration des entsprechenden Versorgers entspricht. Die alte Version der Datei wird unter dem Namen /etc/resolv.conf.ppp.bak gesichert. Nach Abbau der Verbindung wird die alte Version wieder zurückbenannt. Stehen in der Originalversion domain- oder search-Einträge, sind diese so lange wirkungslos, wie die Verbindung aufgebaut ist. Falls Sie dieses Verhalten stört, konfigurieren Sie die Verbindung so um, dass keine automatische DNS-Serverkonfiguration stattfindet. DNS-Server Ihres Versorgers müssen Sie dann selbst in die Datei /etc/resolv. conf eintragen. 16.2.4 Weitere Konfigurationsprogramme Neben dem Programm pppconfig stehen weitere Werkzeuge zur Konfiguration von PPP-Verbindungen mit einem Modem zur Verfügung. Sie sind in der Abteilung Communication Programs der Paketliste zu Hause. KDE-Benutzer interessieren sich vielleicht für das Programm kppp, das sich durch eine einfache Verbindungskonfiguration sowie eine komfortable Funktion zur Protokollierung von Verbindung und Verbindungsgebühren auszeichnet. Zur Arbeitsplatzumgebung GNOME gehört das Programm gnome-ppp, das eine ähnliche Konfiguration wie kppp ermöglicht und konfiguriert wird, indem unter Account der Menüpunkt New ausgewählt wird. Daraufhin erscheint das in Abbildung 16.3 gezeigte Fenster. Ein halbautomatisches Programm für den skriptgesteuerten Verbindungsaufbau ist das Programm wvdial. Während der Einrichtung des Paketes wird erfragt, ob die Konfiguration sofort vorgenommen werden soll. Dies ist in der Regel zu empfehlen, weil das zu dem Paket gehörende Konfigurationsskript lediglich das Modem automatisch konfiguriert, aber keine Benutzerdaten erfragt. Sie werden nach der Telefonnummer des Versorgers sowie nach Ihrem Benutzernamen und dem Passwort bei Ihrem Versorger gefragt. Danach wird das Skript wvdialconf aufgerufen, das zu ermitteln versucht, an welchen Anschluss das Modem angeschlossen ist und wie es initialisiert werden muss. Diese Angaben sollten wvdial genügen. Sie können die Verbindung nun durch Eingabe des Kommandos wvdial aufbauen. Um die Verbindung zu beenden, wird in dem Terminal, in dem das Kommando eingegeben wurde, die Tastenkombination + betätigt. Seine Einstellungen speichert das Programm in der Datei /etc/wvdial.conf. Es handelt sich dabei um eine Textdatei, die Sie editieren können, um Einstellungen zu ändern.
750
16 Netzdienste
Abb. 16.3: Konfiguration von PPP-Verbindungen mit gnome-ppp.
16.3 ISDN-Subsystem für Einwahlverbindungen Die Konfiguration von Einwahlverbindungen über ISDN ist nicht so einfach wie die von Verbindungen über ein Modem: • • •
ISDN ist weltweit gesehen nicht so verbreitet wie herkömmliche Telefonverbindungen, außerdem nicht einheitlich standardisiert, ISDN bietet deutlich mehr Möglichkeiten, die konfiguriert werden können, für ISDN-Karten wird ein Treiber benötigt, was bei Modems nicht der Fall ist, weil sie über die serielle Schnittstelle angescprochen werden.
Neuere ISDN-Anschlüsse verwenden das Protokoll EURO-ISDN (EDSS1). Informationen findet man bei http://www.isdn4linux.de/ und http://www. linuxhaven.de/dlhp/HOWTO/. Das Thema verliert an Bedeutung, weil Benutzer von einem analogen Anschluss mit Modem häufig gleich auf DSL umsteigen und sich den Zwischenschritt über ISDN ersparen. Deshalb fassen wir uns kurz.
16.3 ISDN-Subsystem für Einwahlverbindungen
751
Die Konfiguration und Einrichtung einer ISDN-Verbindung vollzieht sich in folgenden Schritten: • • •
•
Zunächst muss der Treiber für die ISDN-Karte geladen werden. Ein ISDN-Netzgerät in /dev wird eingerichtet. Das Programm ipppd wird gestartet, das die Verbindungen kontrolliert. Hierbei handelt es sich um eine abgewandelte Form des Programms pppd, das speziell für ISDN-Verbindungen geeignet ist. Wie auch bei Modemverbindungen konfiguriert das PPP-Programm dann das Netzinterface und richtet die Routing-Tabelle ein.
Sie müssen für Ihre ISDN-Karte eine MSN (Multiple Subscriber Number) festlegen. Verwenden Sie dazu eine der Telefonnummern, die Sie von Ihrem Telefon-Anbieter mit dem ISDN-Anschluss erhalten haben. Am besten ist es, eine Nummer zu nehmen, die keinem anderen Telekommunikationsgerät zugewiesen ist. Auch bei ISDNVerbindungen ist es möglich, mit Dial-On-Demand zu arbeiten. Dies ist hier sogar besonders reizvoll, weil ISDN-Verbindungen sehr schnell auf- und abgebaut werden und das Verfahren den Benutzern des Systems deswegen das Gefühl vermittelt, sie seien dauerhaft mit dem Netz verbunden. Um das ISDN-System zu verwenden, benötigen Sie eine von Linux unterstützte ISDN-Karte und den zugehörigen Treiber. Ferner ist das Paket isdnutils einzurichten, das alle Programme zur Konfiguration, Verbindungsdurchführung und Überwachung enthält, zweckmäßig zusammen mit dem Paket isdnutils-doc. Außerdem wird dringend empfohlen, das Paket ppp einzurichten. Für ISDN wird zwar ein eigenes PPPProgramm benutzt, das im Paket isdnutils vorhanden ist, aber nicht die Infrastruktur enthält, die zusätzlich für PPP benötigt wird. In etch stehen 12 Pakete zur Verfügung, die isdn im Namen tragen, darunter ein Anrufbeantworter. Weitere 30 Pakete haben irgendetwas mit ISDN zu tun. Die meisten ISDN-Karten basieren auf einem Chipsatz der Firma Siemens (HSCX). Diese Karten werden durch den hisax-Treiber unterstützt, der auch den Standardkernen als Modul beiliegt. Aufgrund der Verbreitung des Kartentyps wird die Treiberkonfiguration im Folgenden exemplarisch für diesen Chipsatz beschrieben. Wenn Sie eine andere ISDN-Karte besitzen, sollten Sie im Unterverzeichnis isdn des Kerndokumentationsverzeichnisses nachsehen, wie die Treiber zu laden sind. Eine vereinfachte ISDN-Konfiguration und -Verwaltung ermöglicht das Programm kisdn für die Arbeitsplatzumgebung KDE, das unter http: //sourceforge.net/projects/kisdn/ bezogen werden kann. 16.3.1 Konfiguration der Treiber Wenn Sie einen Standardkern verwenden, liegen die notwendigen Treiber für das ISDN-System bereits in Form von Modulen vor. Grundsätzlich wird empfohlen, ISDN-Treiber in Form von Modulen zu erstellen. Damit das ISDN-System genutzt werden kann, müssen zwei unterschiedliche Module geladen werden. Zum einen das Modul isdn.ko, das die eigentliche ISDN-Unterstützung enthält, und zusätzlich
752
16 Netzdienste
ein Modul, das den Treiber für die ISDN-Karte im Rechner enthält. Für HiSaxbasierte Karten ist dies das Modul hisax.ko. Das Modul isdn.ko wird ohne Parameter geladen: debian:~# modprobe isdn Dann wird das Treiber-Modul für die ISDN-Hardware geladen. Diesem Modul müssen einige Parameter übergeben werden, damit die Hardware richtig erkannt und initialisiert wird. Das hisax-Modul wird mit folgender Syntax geladen: modprobe hisax io=I/O-Adresse irq=IRQ mem=Adresse type=Kartentyp protocol=D-Kanal-Protokoll id=ID Dabei ist es vom Typ der verwendeten Karte abhängig, welche Parameter benutzt werden müssen. Einige Karten verwenden mehrere I/O-Adressen. Bei diesen müssen an Stelle des Parameters io= die Parameter io0= und io1= benutzt werden. Das für den D-Kanal zu verwendende Protokoll ist grundsätzlich bei jeder Karte anzugeben. Hier ist der Wert 1 zur Verwendung des alten Protokolls 1TR6, der Wert 2 für EURO-ISDN (EDSS1) und der Wert 3 anzugeben, wenn kein D-Kanal Protokoll benutzt werden soll. Mit dem Parameter id= wird optional eine Zeichenkette angegeben, über welche die betreffende ISDN-Karte angesprochen werden kann. Um den hisax-Treiber zu laden und für die Verwendung mit einer ISDN-Karte vom Typ Fritz!-PCI (Typ 27) mit Verwendung des D-Kanal-Protokolls EURO-ISDN zu konfigurieren, ist folgende Kommandozeile zu verwenden: debian:~# modprobe hisax type=27 protocol=2 Der Treiber für eine Karte vom Typ Fritz! ISA-Classic (Typ 5), die den Interrupt 3 und die I/O-Adresse 0x300 verwendet und ebenfalls mit dem D-Kanal-Protokoll EURO-ISDN benutzt werden soll, ist mit diesem Kommando zu laden: debian:~# modprobe hisax type=5 irq=3 io=0x300 protocol=2 Wird der Treiber ohne Fehlermeldung geladen, ist das ein Zeichen dafür, dass die richtigen Parameter verwendet wurden. Ansonsten sollten Sie prüfen, ob die angegebenen Ressourcen und der Kartentyp stimmen. Bei ISA-Plug-and-Play-Karten müssen zum Laden des Treibers immer die Ressourcen benutzt werden, für deren Verwendung die Karte mit isapnp konfiguriert wurde. Wenn der Treiber erfolgreich geladen wurde, sollten Sie eine Datei /etc/ modutils/isdn mit den Parametern anlegen, damit es in Zukunft möglich ist, das Modul ohne Angabe von Parametern zu laden. In die Datei sollten auch AliasDefinitionen aufgenommen werden, damit der Kern das Modul isdn und das Treibermodul für die ISDN-Karte automatisch lädt. Bei Verwendung einer ISDN-Karte vom Typ Fritz! ISA-Classic, sieht die Datei so aus: option hisax type=5 irq=3 io=0x300 protocol=2 alias ippp0 isdn alias char-major-43 hisax
16.3 ISDN-Subsystem für Einwahlverbindungen
753
alias char-major-44 hisax alias char-major-45 hisax Führen Sie das Kommando update-modules aus, nachdem Sie die Datei erzeugt haben. 16.3.2 Basiskonfiguration einer ISDN-Einwahlverbindung Mit der Einrichtung des Paketes isdnutils wird auch ein Skript konfiguriert, das Beispiele für die benötigten Konfigurationsdateien erzeugt. Die mit dem Skript erzeugten Dateien müssen in jedem Fall manuell nachbearbeitet werden. Das Skript wird folgendermaßen aufgerufen: debian:~# isdnconfig Danach erscheint ein Menü, aus dem Konfigurationsdateien für verschiedene Zwecke ausgewählt werden können. Zur Konfiguration einer Netz-Einwahlverbindung wählen Sie zuerst Menüpunkt 1 (network devices). Sie werden nach dem Namen des Netzinterfaces gefragt, für das Sie die Konfigurationsdatei erstellen wollen. Geben Sie hier ippp0 ein. Die Datei wird erstellt, und Sie werden aufgefordert, die Taste zu betätigen. Wählen Sie dann Menüpunkt 2 (synchronous ppp daemon) aus. Die Frage nach dem Namen der zu erstellenden Konfiguration benatworten Sie mit ippp0 ein. Es erscheint wieder die Aufforderung, die Taste zu betätigen. Verlassen des Programms mit (Quit). Dabei sind zwei zusätzliche Konfigurationsdateien /etc/isdn/device.ippp0 und /etc/isdn/ipppd.ippp0 angelegt worden. Mit der ersten Datei wird das Netzinterface ippp0 konfiguriert, mit der zweiten Datei das PPP-Programm ipppd, welches das Netzinterface ippp0 kontrolliert. Beide Dateien müssen von Hand angepasst werden. 16.3.3 Starten und Testen der Verbindung Nach Abschluss der Bearbeitung der Konfigurationsdateien starten Sie das ISDNSystem: debian:~# /etc/init.d/isdnutils restart Danach sollten Sie der Ausgabe des Kommandos ifconfig entnehmen können, dass das Netzinterface ippp0 konfiguriert und bereit ist. Das Kommando route sollte eine Route zur IP-Adresse der Gegenstelle anzeigen, außerdem sollte die Default-Route auf das Interface ippp0 zeigen. Falls Sie kein Dial-on-Demand verwenden, muss die Verbindung nun manuell aufgebaut werden: debian:~# isdnctrl dial ippp0 Jetzt können Sie testen, ob Sie andere Rechner erreichen. Versuchen Sie zunächst einen Rechner über seine IP-Adresse anzupingen und dann mit seinem Namen. Die Verbindung wird entweder nach dem in der Datei /etc/isdn/device.ippp0 konfigurierten Timeout automatisch beendet oder manuell:
754
16 Netzdienste
debian:~# isdnctrl hangup ippp0 Um das gesamte ISDN-System zu stoppen, verwenden Sie: debian:~# /etc/init.d/isdnutils stop Wenn Sie es danach wieder starten wollen, verwenden Sie dasselbe Kommando mit dem Parameter start an Stelle von stop. Sie müssen dieses Kommando auch dann verwenden, wenn Sie eine Konfigurationsdatei des ISDN-Systems geändert haben. In solchen Fällen benutzen Sie das Kommando mit dem Parameter restart. Falls die Konfiguration nicht funktioniert, sollten Sie folgende Fragen überprüfen: • • •
• •
• • • • •
Sind beim Laden des Moduls Fehler aufgetreten? Stimmen alle Parameter? Gibt es Konflikte zwischen Hardwareressourcen? Haben Sie beim Laden des Treibermoduls das richtige D-Kanal-Protokoll ausgewählt? Hat die Konfigurationsdatei für das Netzinterface den Namen device.ippp0 und hat die Konfigurationsdatei für das PPP-Programm den Namen ipppd.ippp0? Falls nicht, verschieben Sie die Dateien oder erzeugen Sie mit isdnconfig neue Dateien. Stimmen die angegebenen Telefonnummern? Stimmt der name-Eintrag in der Datei ipppd.ippp0 mit dem Benutzernamen in der Datei /etc/ppp/pap-secrets bzw. /etc/init.d/ chap-secrets überein? Stimmen Benutzername und Passwort? Haben Sie Benutzername und Passwort in die Datei eingetragen, die für das Authentifizierungsverfahren zuständig ist, das Ihr Versorger verwendet? Haben Sie die DNS-Server-Daten Ihres Versorgers in die Datei /etc/resolv. conf eingetragen? Steht eine freie Leitung zur Verfügung? Ein Standard-ISDN-Anschluss stellt nur zwei Kanäle zur Verfügung. Und schließlich: Stimmen die physikalischen Verbindungen (Kabel, Stecker)?
Im Fehlerfall ist auch bei ISDN-Verbindungen zu empfehlen, die Zeilen in der Datei /var/log/syslog zu untersuchen. Fehler werden dort mit einem cause (Grund) und einer darauffolgenden vierstelligen Zahl ausgegeben. Die Bedeutung der Zahlen ist in der Manualseite mit dem Titel isdn_cause aufgelistet. 16.3.4 Überwachen der Verbindung Die Verwendung eines externen Modems hat den Vorteil, dass man hört und sieht, wann eine Verbindung auf- und abgebaut wird. Bei ISDN ist das anders: Der Verbindungsaufbau geht geräuschlos und schnell. Gerade bei Verwendung des Dial-onDemand-Verfahrens kommt deswegen leicht Unsicherheit auf, ob man verbunden ist und Gebühren zahlt oder nicht. An der Kommandozeile können Sie sich den Status der Verbindung anzeigen lassen:
16.4 DSL-Gateway (DSL-Router)
755
debian:~# isdnctrl status all Es erscheint für jedes konfigurierte ISDN-Interface eine Statusausgabe. Im Paket isdnutils sind außerdem zwei Programme für X11 enthalten, mit dem der Status der Verbindung in einem Fenster beobachtet werden kann: •
•
xisdnload Das Programm zeigt in einem Fenster den Status der Verbindung an. Über die Konfigurationsdateien /etc/isdn/xisdnload-netup und /etc/isdn/xisdnload-netdown lässt sich bestimmen, welche Aktionen nach einem Mausklick auf das Fenster ausgeführt werden sollen. Per Voreinstellung werden Verbindungen beendet. xmonisdn Das Programm eignet sich dafür, in Kontroll-Panels von KDE oder GNOME eingebettet zu werden. Es zeigt den Status der Verbindung mit einem veränderlichen Icon an. Auch bei diesem Programm lässt sich über die Konfigurationsdateien /etc/isdn/xmonisdn-netup und /etc/isdn/ xmonisdn-netdown festlegen, welche Aktionen per Mausklick auf das Icon ausgeführt werden sollen.
Es sei daran erinnert, dass es für alle Arten von Wählverbindungen – analog oder digital – Schadprogramme (Dialer) gibt, die unaufgefordert teure Verbindungen herstellen. Die Überwachung von Wählverbindungen ist daher dringend geboten.
16.4 DSL-Gateway (DSL-Router) 16.4.1 Innenseite Ein Gateway verbindet zwei oder mehr Netze. Dabei achtet es auf die Empfängeradressen der Datenpakete – nimmt also Routeraufgaben wahr – und passt Adressen, Protokolle und andere Dinge in den Netzen aneinander an. DSL-Gateways – oft nicht ganz zutreffend als DSL-Router bezeichnet, weil sie mehr als Routing leisten – die ein lokales Netz (Intranet, Local Area Network, LAN) mit dem bösen Internet (Wide Area Network, WAN) verbinden, arbeiten zugleich als Firewall1 und wehren ungebetene Besucher ab. Die Konfiguration wird meist mittels eines Web-Browsers durchgeführt; das Gateway verfügt zu diesem Zweck über einen eingebauten Webserver. Alternativ ist bei einigen Modellen auch der Zugang über telnet oder eine serielle Schnittstelle möglich. In den wesentlichen Punkten gleichen sich die Gateways; in zusätzlichen Eigenschaften unterscheiden sie sich. Derartige Geräte verwenden eine eingebaute Software (Firmware), die durch eine Versionsnummer gekennzeichnet ist. Es empfiehlt sich, auf der Website des Herstellers nachzuschauen, ob die eigene Firmware aktuell ist und sich erforderlichenfalls aktualisieren (flashen) lässt. Insbesondere die Firewall-Funktionen werden hinzukommenden Bedürfnissen angepasst;
1
wall.
Eine Firewall ist kein Spamfilter für unerwünschte Mails. Und ein Spamfilter keine Fire-
756
16 Netzdienste
das Arbeiten mit einer deutlich veralteten Firmware ist ein Sicherheitsrisiko. Wir beschreiben hier die Konfiguration eines Linksys BEFSX41, siehe Abbildung 16.4, ohne damit eine Empfehlung auszusprechen. Das Gerät beinhaltet einen Fast-EthernetSwitch mit vier Anschlüssen, aber kein Wireless LAN.
Abb. 16.4: DSL-Gateway Linksys BEFSX41, Wandmontage im Keller nahe der Einführung des Telefonkabels. Links von oben nach unten: Patchkabel zum DSL-Modem (nicht integriert), Patchkabel zum LAN-Switch (der eingebaute Vierfach-Switch wird nicht benutzt), Stromversorgung durch Steckernetzteil.
Das Gateway kommt mit einer Werkseinstellung (factory default). Davon sind als erstes die innere IP-Adresse (192.168.1.1) sowie Name (leer) und Passwort (admin) des Verwalters wichtig, die man der Dokumentation entnimmt. Dann braucht man von einem Rechner eine Netzverbindung zu der IP-Adresse des Gateways, wozu unter Umständen die IP-Adresse des Rechners vorübergehend auf eine Adresse aus demselben Netz wie die Default-Adresse des Gateways zu setzen und das Gateway über ein Patchkabel direkt mit dem Rechner zu verbinden ist. Im ersten Schritt setzt man die innere IP-Adresse (Adresse im LAN) des Gateways auf ihren endgültigen Wert. Das kann dazu führen, dass die Verbindung vom Rechner (mit der vorübergehenden Adresse) zum Gateway abbricht. Wenn der Rechner auf seine richtige Adresse zurückgestellt ist, sollte die Verbindung zum Gateway wieder klappen, da beide Knoten jetzt in demselben lokalen Netz zu Hause sind, beispielsweise im Netz 192.168.2.0. Von nun an geht die Konfiguration im lokalen Netz von statten. Die mit einem Web-Browser einzustellenden oder auszulesenden Eigenschaften des genannten Gateways sind: •
Setup – Basic Setup: Protokoll (PPPoE), Benutzername und Passwort beim Versorger, Connect on Demand oder Keep Alive (bei Flatrate vorzuziehen), Local
16.4 DSL-Gateway (DSL-Router)
•
• •
•
•
757
IP Address (192.168.2.254), Subnetzmaske (255.255.255.0), DHCP Settings (es darf im LAN nur einen DHCP-Server geben), Time Zone, NTP-Server (Default). – DDNS Dynamisches DNS, wird benötigt, um das Gateway von außen anzusprechen, für den Anfang nicht erforderlich. – MAC Address Clone nur nötig, falls der Versorger eine MAC-Adresse sehen will. – Advanced Routing NAT üblicherweise aktivieren (enable), Dynamic Routing und Static Routing nicht. Security – Firewall aktivieren, zusätzliche Filter vorläufig nicht, Block Anonymous Internet Requests eventuell aktivieren (verhindert Pings von außen, kein wirksamer Schutz vor Einbrechern), Rest vorläufig belassen. – VPN Passthrough Virtual Private Networks (VPN) sind eine Baustelle für sich, vorläufig nichts aktivieren. Restrict Access – Internet Access lokalen Benutzern Zugang zum Internet verweigern. Applications & Gaming – Port Range Forwarding statisches Port Forwarding, wird unten erklärt, für den Anfang nichts eintragen. – Port Triggering dynamisches Port Forwarding, wird unten erklärt, für den Anfang nichts eintragen. – UPnP Forwarding vorbereitetes Port Forwarding, in erster Linie für ein anderes Betriebssystem, brauchen wir nicht, macht nur Trojanern das Leben leichter, nichts aktivieren. – DMZ demilitarisierte Zone, siehe unten, nichts für den Anfang und vermutlich auch nichts für später. – QoS Quality of Service, Bevorzugung bestimmter Dienste wie VoIP oder Videokonferenzen, kann warten. Administration – Management das Verwalter-Passwort für den Router (wichtig), den Rest nicht aktivieren (disabled), bis wir mehr davon verstehen, Simple Network Management Protocol (SNMP) kann unterhaltsam sein. – Log Email Alert, falls Sie von Angriffen per Email benachrichtigt werden möchten; Log zum Protokollieren aller Vorgänge auf einem lokalen Rechner, auf dem die Logviewer-Software läuft, die MS Windows verlangt. Am besten beides deaktivieren. – Diagnostics vom Gateway ausgehender Ping-Test. – Factory Defaults alle Einstellungen auf die Factory Defaults zurücksetzen, beispielsweise vor einer Veräußerung des Gerätes. – Firmware Upgrade Aktualisieren (Flashen) der Firmware, nur nach gründlicher Vorbereitung und zu einer ruhigen Stunde. Status
758
16 Netzdienste
–
–
Router ungefährliche Informationen auslesen, insbesondere die momentane äußere IP-Adresse (Internet-Adresse) wie 84.163.222.113. die vom Versorger zugewiesenen DNS-Server und die äußere MAC-Adresse. Local Network Informationen von der Innenseite des Gateways.
Andere Fabrikate weisen ähnliche Möglichkeiten auf, mit abweichenden Bezeichnungen und Einteilungen. Oft gibt es zu jedem Punkt online eine kurze Erklärung. Das auf der dem Gateway beiliegenden CD befindliche Installationsprogramm hilft uns nicht; wir brauchen es auch nicht. Eine etwaige PDF-Datei mit einem User Guide kann nützlich sein und ist oft leicht verstaubt, also nicht wörtlich zu nehmen. Was wir zu Anfang stets brauchen, sind die vom Werk voreingestellte IP-Adresse und das Passwort des Verwalters, mehr nicht. Abbildung 16.5 zeigt einen Bildschirm aus der Konfiguration eines T-Com Speedports. Leider war die Firmware nicht dazu zu bewegen, den Bildschirm ganz auszunutzen und die Schrift etwas größer darzustellen. Das DSL-Gateway ist besser als sein Web-Design und verfügt über ein eingebautes DSL-Modem sowie über Telefonanschlüsse, die VoIP mit analogen Telefonapparaten ermöglichen. Es wird direkt an den Splitter angeschlossen. LAN-seitig nur ein Ethernet-Anschluss für einen einsamen Rechner oder einen Switch.
Abb. 16.5: Screenshot einer Webseite aus der Konfiguration des DSL-Gateways T-Com Speedport 500V
16.4 DSL-Gateway (DSL-Router)
759
16.4.2 Außenseite Zur Konfiguration der Außenseite des Gateways (Basic Settings oder Internet Setup) benötigen wir Angaben von unserem Internet-Versorger (Internet Service Provider, ISP): • • •
Name oder Protokoll des Dienstes: in Deutschland und der Schweiz PPPoE, in Österreich, Italien und Belgien PPTP, Benutzername (Login) und Passwort beim Versorger, die IP-Adresse des äußeren DNS-Servers, meist automatisch vom Versorger zugewiesen,
Mit diesen Einstellungen sollte das Gateway seinen Dienst aufnehmen. Damit wird es höchste Zeit, das Passwort des Verwalters auf dem Gateway zu ändern. Man schalte auch die Möglichkeit der Verwaltung aus der Ferne (remote administration) ab, wenn man sie nicht dringend braucht. Damit ist die Verwaltung aus dem Internet gemeint, nicht der Web-Zugriff aus dem lokalen Netz. Die äußere IP-Adresse des Gateways vergibt der Versorger dynamisch, das heißt, es hat keine feste von außen erreichbare IP-Adresse. Nach außen tritt das Gateway als DHCP-Client auf, nach innen kann es ein DHCP-Server sein. Falls Sie gelegentlich das Gateway oder einen der lokalen Rechner erreichen wollen, müssen Sie einen dynamischen DNS-Dienst wie http://www.DynDNS.org/ bemühen. Einige Versorger bieten gegen Aufpreis feste äußere IP-Adressen an. Alle ausgehenden Datenpakete bekommen als Absender die vom Versorger zugeteilte äußere IP-Adresse des Gateways. Eingehende Antwortpakete adressiert das Gateway um an die lokale IP-Adresse, die die Antwort veranlasst hat (Network Address Translation, NAT). Damit ist das lokale Netz vor der Außenwelt verborgen, auch ohne Firewall. Das ist jedoch nur eine schwache, für sich allein nicht ausreichende Sicherheitsmaßnahme. Genau genommen handelt es sich hierbei um Network Address Port Translation (NAPT), da nicht nur Adressen, sondern auch Portnummern umgeschrieben werden. NAPT wird gelegentlich als Masquerading bezeichnet und ist im RFC 3022 beschrieben. Neben vielen Vorteilen hat NAPT auch Nachteile, vor allem bei Diensten, die eine direkte Verbindung der Partner voraussetzen (end to end connectivity) oder die die Datenpakete mittels Prüfsummen sichern (IPsec). 16.4.3 Firewall Die Firewall im DSL-Gateway soll auf jeden Fall aktiviert werden, es sei denn, man betreibe einen eigenen Firewall-Rechner, über den der gesamte Verkehr nach und von draußen geht. Selbst dann kann es zweckmäßig sein, die gröbsten Angriffe vom DSL-Gateway abwehren zu lassen und dem Firewall-Rechner die Feinarbeit zu übertragen. Bei dieser doppelten Absicherung begint das LAN nicht gleich hinter dem DSL-Gateway, sondern erst hinter dem Firewall-Rechner. Zwischen Gateway und Firewall-Rechner liegt eine schwächer geschützte Zone, in der man keine oder nur bestimmte Server ansiedelt. Wir unterscheiden zwischen eingehenden (inbound)
760
16 Netzdienste
und ausgehenden (outbound) Diensten. Wenn nicht besondere Gründe dagegen sprechen, lässt man ausgehend alle Dienste von allen lokalen Knoten zu. Das kann eingeschränkt werden, wenn beispielsweise alle ausgehenden Mails über einen lokalen Mailserver oder alle Web-Zugriffe über einen lokalen Proxy laufen sollen. Von außen kommende Antworten auf Datenpakete, die aus unserem lokalen Netz stammen, werden üblicherweise unbeschränkt durchgelassen. Dies wird Stateful Packet Inspection genannt. Die Firewall merkt sich ausgehende Verbindungen und lässt den zugehörigen eingehenden Verkehr passieren, bis die Verbindung beendet wird oder ohne Datenverkehr ein Zeitlimit überschreitet. Näheres siehe die englische Wikipedia unter Stateful firewall. Bei eingehenden Diensten – also Diensten, bei denen der Datenaustausch von außen angestoßen wird – sei man zurückhaltend mit Bewilligungen. Das sind Löcher in der Firewall. Beispielweise könnte der Dienst SSH (Secure Shell, siehe Abschnitt 16.9.3 Secure Shell auf Seite 789) auf Port 22 zu einem bestimmten lokalen Rechner gestattet werden. Damit kann ein Benutzer von außerhalb mittels slogin auf den lokalen Rechner zugreifen. Der Zugriff kann auf feste Zeiten und Adressen (Adressbereiche) im WAN begrenzt werden und sollte das nach Möglichkeit auch. Je enger die Löcher in der Firewall sind, desto besser. Gerade am SSH-Port klopfen oft ungebetene Gäste an, die der lokale SSH-Server abwehren muss, wenn es nicht die Firewall tut. Das Öffnen bestimmter Ports für den Verkehr von draußen nach drinnen wird als Port-Durchleitung oder Port Forwarding bezeichnet. Port Triggering ist eine besondere Form des Port Forwardings, die es ermöglicht, bei Bedarf vorübergehend Ports für ankommende Datenpakete zu öffnen. Es ist die dynamische Ergänzung des statischen Port Forwardings. Ausgehender Verkehr auf festgelegten Ports (triggering port) öffnet andere, ebenfalls vorkonfigurierte Ports zu dem triggernden Rechner im lokalen Netz, der von Fall zu Fall wechseln kann. Die Vorteile gegenüber Port Forwarding sind: • •
Die Ports in der Firewall sind nicht ständig offen, sondern nur nach Triggern durch einen lokalen Rechner. Bei Nichtbenutzung werden sie geschlossen. Von außen kommende Datenpakete können nicht nur an einen, in der Konfiguration der Firewall festgelegten lokalen Rechner weitergeleitet werden, sondern an einen beliebigen, nämlich den triggernden.
Natürlich gibt es auch Anwendungsfälle, in denen nur das statische Port Forwarding eine Lösung bietet. Port Triggering ist bei im Netz verteilten Spielen ein Weg. Manche Gateways bieten eine Demilitarized Zone (DMZ) oder einen Exposed Host (EH) an. Das ist ein Teilbereich des lokalen Netzes, für den schwächere Firewall-Regeln gelten. Ein solches Gateway verfügt demtentsprechend über drei Netzanschlüsse: einen nach draußen zum WAN (Internet), einen zum lokalen, stark geschützten Netz (LAN) und einen zum lokalen, weniger geschützten Netz (DMZ). In einer DMZ halten sich typischerweise Server auf, die von außen und innen sichtbar sein müssen (Email, Web), während das LAN von außen nicht zu sehen ist. Ein Exposed Host ist die Sparversion einer DMZ, ein bestimmter lokaler Rechner, für den alle Ports durchgeleitet werden. Ein solcher Host muss sich selbst schützen und sollte nicht gerade die Datenbank des Unternehmens beherbergen. Wird ein EH ge-
16.5 WLAN-Access-Point
761
knackt, ist das lokale Netz in Gefahr, während bei einer echten DMZ immer noch eine Firewall zwischen dem geknackten Server und dem lokalen Netz wacht. Das Konzept der DMZ lässt sich ausbauen, siehe die deutsche Wikipedia unter Demilitarized Zone.
16.5 WLAN-Access-Point Ein WLAN Access Point ist ein Sender/Empfänger für Funkverbindungen an Stelle von drahtgebundenen Ethernet-Verbindungen. Oft ist ein DSL-Gateway mit einem Access Point kombiniert. Ein Access Point soll ungefähr in der Mitte des zu versorgenden Gebietes angebracht sein (Sichtkontakt ist optimal), während ein DSLGateway eher in der Nähe der Einführung des Telefon- oder Fernsehkabels in das Gebäude zu finden ist, also im Keller. In solchen Fällen ist die Trennung der beiden Geräte ratsam. Die Trennung hat den weiteren Vorteil, dass sich das drahtlose Netz vom drahtgebundenen lokalen Netz abkoppeln lässt, was aus Sicherheitsüberlegungen zu wünschen ist (verschiedene Subnetze mit einer Firewall dazwischen). Wir sprachen in Abschnitt 4.3.7 Wireless Local Area Network auf Seite 252 bereits über das Konzept eines WLANs. Im Folgenden gehen wir die Konfiguration eines Access Points vom Typ Linksys WAP54G durch, ohne damit eine Empfehlung auszusprechen. Das Gerät ist ein reiner Access Point mit einer maximalen Bruttoübertragungsrate von 54 Mbit/s nach dem Standard IEEE 802.11. Das Gerät lässt sich mit einem Web-Browser auf Port 80 konfigurieren, wie sein DSL-Kollege. Die Konfiguration soll aus Sicherheitsgründen drahtgebunden über Ethernet vorgenommen und geändert werden, nicht über Funk. Als Erstes ist daher eine Ethernet-Verbindung von einem lokalen Rechner zu dem Gerät zu schaffen, am einfachsten direkt mit einem Patchkabel ohne Umwege über Switches oder Router. Dann ist erforderlichenfalls dem Rechner eine IP-Adresse aus dem Subnetz des Access Points zuzuweisen: debian:~# ifconfig eth0 192.168.1.1 up Wir testen mit einem Broadcast-Ping, ob sich der Access Point meldet: debian:~# ping -b -c 4 192.168.1.255 und geben nach Erfolg in einem Web-Browser auf dem Rechner einen URL mit der IP-Adresse des Access Points ein, der darauf mit einer Webseite zur Konfiguration antworten sollte. Wir stellen die endgültige IP-Adresse des Access Points und das Verwaltungspasswort ein. Dann bauen wir den Access Point in das lokale drahtgebundene Netz ein, setzen den Rechner auf seine gewöhnliche IP-Adresse zurück und nehmen die weitere Konfiguration mittels Web-Browser über das lokale Netz vor: •
Setup – Basic Setup lokale IP-Adresse, Netzmaske und Default-Gateway, alternativ Vergabe per DHCP, sowie für die drahtlose Seite Mode (mixed = B + G = 11 + 54 Mb/s; bei einem reinen G-Netz besser G wählen), SSID (auch ESSID,
762
• •
•
16 Netzdienste
Service Set Identification, frei wählbarer Name des WLANs), Channel (Frequenzkanal, von 1 bis 13) und Wireless Security, die unbedingt zu aktivieren und zu editieren ist. Letztere umfasst den Security Mode (WPA Pre-shared Key), WPA Algorithm (TKIP oder AES), den WPA Shared Key, das heißt ein Passwort, das nicht verraten wird, und eine Zeitangabe wie 300 s für das Group Key Renewal. In großen Funknetzen lässt sich die Authentifizierung durch einen Radius-Server durchführen, siehe Abschnitt 12.10 Remote Authentication Dial In User Service auf Seite 560. – Password das Verwalter-Passwort, das man möglichst bald von der werkseitigen Vorgabe auf eine raffiniertere Zeichenkette setzt. – AP Mode meist Access Point (Vorgabe), aber auch AP Client, Wireless Repeater oder Wireless Bridge ist möglich, was in ausgedehnten Funknetzen interessant ist, siehe unten. – Log Protokollieren des Verkehrs auf einem lokalen Rechner, wenn man es denn unbedingt möchte. Status ungefährliche Informationen über beide Seiten des Access Points. Advanced – Filters Zulassen oder Abweisen von WLAN-Teilnehmern mit bestimmten MAC-Adressen, eine schwache, aber einfache Sicherheitsmaßnahme. – Advanced Wireless verschiedene Einstellungen, bei denen man die Vorgaben übernimmt. – SNMP das Simple Network Management Protocol, zunächst uninteressant (Disable). Help Einige URLs und ein Knopf zum Aktualisieren (Flashen) der Firmware, wozu das Wichtigste beim DSL-Gateway gesagt wurde.
Zum Zurücksetzen auf die Factory Defaults (192.168.1.245, leerer Name, Passwort admin) dient ein von außen zugänglicher kleiner Schaltknopf (reset button). Andere Fabrikate bieten ähnliche Möglichkeiten der Einstellung. Wichtig ist die Verschlüsselung mittels Wi-Fi Protected Access (WPA oder WPA2). Wired Equivalent Privacy (WEP) gilt heute als unsicher. WPA bietet zusätzlichen Schutz durch dynamische Schlüssel nach dem Temporal Key Integrity Protocol (TKIP) und Authentifizierung von Benutzern mittels Pre-shared Keys (PSK) oder nach dem Extensible Authentication Protocol (EAP). Ohne Verschlüsselung zu arbeiten ist eine Einladung an böse oder neugierige Buben und Mädchen. Ein anderer Access Point brachte einen DHCP-Server mit, der deaktiviert werden musste, weil bereits einer im LAN aktiv war. Ferner musste auf den teilnehmenden Rechnern im Funknetz als Default Gateway in einem Fall das DSL-Gateway des drahtgebundenen LANs eingestellt werden, in einem anderen Fall der Access Point. Da hilft nur Ausprobieren. Unter dem Punkt AP Mode lassen sich folgende Betriebsarten beim Betrieb nach IEEE 802.11g (54 Mb/s) auswählen: •
Access Point Vorgabe, der Kasten arbeitet als Verbindung zwischen einem drahtgebundenen Ethernet-Netz (Kabel von Modularbuchse zu Switch) und einem Funknetz (Antennen). Die Rechner im Funknetz verwenden beliebige standardkonforme WLAN-Adapter.
16.5 WLAN-Access-Point
•
•
•
763
AP Client der Kasten wird an die Ethernet-Buchse eines Rechners angeschlossen und arbeitet als externer WLAN-Adapter, ohne eigene Treiber in dem Rechner zu benötigen; der Rechner muss nur seinen Ethernet-Adapter steuern. Dieser Fall ist zu unterscheiden von einem externen WLAN-Adapter, der über USB an einen Rechner angeschlossen ist und typspezifische Treiber erfordert. Wireless Repeater der Kasten kommuniziert mit einem anderen Access Point und wiederholt dessen Signale, um das versorgte Gebiet zu vergrößern. In diesem Modus redet der Linksys WAP54G jedoch nur mit seinesgleichen. Wireless Bridge mit einem Partner zusammen verbindet der Kasten drahtlos zwei räumlich voneinander getrennte drahtgebundene Ethernet-Netze, beispielsweise in zwei Gebäuden. In diesem Modus redet der WAP54G ebenfalls nur mit seinesgleichen.
Zu den jeweiligen Einstellungen lese man die online angebotenen Hilfetexte oder den User’s Guide. Beim Funken spielen die Antennen eine entscheidende Rolle. Durch Ändern des Standortes lässt sich manchmal die Verbindung deutlich verbessern. Auch gibt es Ersatzantennen, die vielleicht ihren höheren Preis wert sind. Für feste Punkt-zu-PunktVerbindungen (Bridge) ist an Richtantennen zu denken. Ein erfahrener Funkamateur oder Antennenbauer ist in solchen Fragen eine Hilfe. Rechnerseitig ist nach Einrichten eines Treibers für den WLAN-Adapter die Verbindung zum Access Point zu konfigurieren, wobei dieser die Werte für Kanalnummer, SSID usw. vorgibt. Hierbei helfen die Werkzeuge: • • • • • •
iwconfig Konfigurieren des WLAN-Adapters, ähnlich wie mit ifconfig in der Drahtwelt, iwevent Anzeigen von Wireless Events, iwgetid Anzeigen von SSID und weiteren Werten, iwlist Anzeigen bestimmter Werte des Adapters, beispielsweise die Liste erreichbarer Access Points, iwpriv Konfigurieren optionaler Parameter des Adapters, iwspy Anzeigen von Statistiken aus dem WLAN.
aus dem Debian-Paket wireless-tools. Sie liegen im Verzeichnis /sbin und damit nicht im Befehlspfad gewöhnlicher Benutzer, sind aber von diesen ausführbar. Ihr Heimathafen ist die Website http://www.hpl.hp.com/personal/Jean_ Tourrilhes/Linux/ von J EAN T OURRILHES, wo noch mehr zum Thema Wireless Linux herumliegt, beispielsweise das Linux Wireless LAN Howto (1999), immer noch eine Pflichtlektüre für Funker. Die zu einem WLAN-Interface gehörende Strophe in /etc/network/interfaces könnte so aussehen: # WLAN interface (Linksys WUSB54G) auto wlan0 # iface wlan0 inet dhcp iface wlan0 inet static address 192.168.0.42 netmask 255.255.255.0
764
16 Netzdienste
gateway 192.168.0.254 mtu 1454 wireless-essid ALEX wireless-channel 7 wireless-mode Managed wireless-nick WLWulf wireless-ap 00:12:17:70:BA:AD Weitere Werkzeuge wie den WLAN-Sniffer airsnort oder das Monitorprogramm wavemon findet man durch Suchen nach dem Begriff wireless in den Beschreibungen der Pakete in der Debian-Paketliste. Unter anderem lässt sich mittels wavemon, das curses-Fenster verwendet, der optimale Standort einer Antenne (höchste Feldstärke) bestimmen. Die Bluetooth-Technik arbeitet zwar auch per Funk, ist aber nicht zum Aufbau eines Rechnernetzes gedacht, sondern zum Anschluss von Peripheriegeräten an einen Rechner auf einer Fläche von wenigen Metern Durchmesser. Dass sich in einem auf Bluetooth beruhenden Piconetz auch mehrere Rechner befinden können, steht auf einem anderen Blatt. Am anderen Ende der Reichweiten-Skala (Meilen statt Metern) stehen Bemühungen, die man unter den Schlagworten WiMAX und Wireless MAN sowie im Standard IEEE 802.16 findet. Die Technik ist beispielweise interessant für die DSLVersorgung von Gebieten, in denen ein Kabelnetz unrentabel ist. In Deutschland gibt es diesbezügliche Versuche in einigen Städten. Im Gegensatz zur WLAN-Technik oder zu Bluetooth geht hier nichts ohne eine Lizenz der Bundesnetzagentur. Bei Debian ist kein Paket zu dieser Technik beheimatet.
16.6 Firewalls und Network Address Translation (Masquerading) 16.6.1 Grundbegriffe Eine Firewall (F: pare-feu) blockt Datenpakete mit bestimmten Eigenschaften ab und schützt so einen Rechner oder ein LAN vor einer Vielzahl von Belästigungen. Das funktioniert rein wie raus, kann also auch ein Netz vor den Absonderungen eines wild gewordenen lokalen Programms bewahren. Oder verhindern, dass ein Schadprogramm über dunkle Kanäle Informationen preisgibt. Sinnvoll schon am Arbeitsplatz, nötig auf Gateways zum Internet. Network Address Translation (NAT, F: traduction d’adresse réseau) ermöglicht, mehrere Rechner – ein ganzes lokales Netz vorzugsweise mit privaten IP-Adressen – unter einer einzigen äußeren IP-Adresse anzusprechen. Dies ist unumgänglich, wenn mehrere Rechner eines privaten Netzes gleichzeitig eine einzige Internetanbindung über einen Internet-Versorger benutzen. NAT ist ein Sammelbegriff für mehrere Verfahren, die im RFC 2663 erläutert werden. Wir betrachten nur Traditional/Outbound NAT, noch genauer Network Address Port Translation (NAPT), ausführlich beschrieben im RFC 3022 und in vielen DSLGateways (DSL-Routern) eingesetzt. Masquerading ist eine Form von Absender-
16.6 Firewalls und Network Address Translation (Masquerading)
765
oder Source-NAT; die Bezeichnung hebt hervor, dass mit dieser Technik ein lokales Netz (Intranet) vor einem äußeren Netz (Internet) verborgen wird, indem die Absenderadresse der von innen kommenden Pakete ersetzt wird. Es gibt auch ein Empfänger- oder Destination-NAT im Zusammenhang mit Port Forwarding, Load Sharing oder transparenten Proxies. Dabei wird die Zieladresse umgeschrieben. NAT hat Gemeinsamkeiten mit Firewalls und Routing. Wir haben NAT bereits einige Male kurz erwähnt – zuletzt in Abschnitt 16.4.2 Außenseite auf Seite 759 – hier geht es um die Einrichtung von NAT und Drumherum auf einem PC, der im lokalen Netz die Funktion eines DSL- oder sonstigen Gateways wahrnimmt. Ein solcher Rechner wird als Bastion (E: bastion host, F: bastion) bezeichnet. Bei TLDP liegen ein IP-Maquerade-HOWTO (2005) von DAVID A. R ANCH und ein MaqueradingSimple-HOWTO (2004) von J OHN TAPSELL und weiteren Autoren, auf http: //www.netfilter.org/ mehrere einschlägige Tutorials, HOWTOs und FAQs sowie auf http://iptables-tutorial.frozentux.net/ ein umfangreiches Tutorial (2006) von O SCAR A NDREASSON in mehreren Formaten, bei dessen Lektüre der Leser auch Einiges über die Technik des Internet lernt. Das noch junge Open-Router-Projekt veröffentlicht unter http://www.open-router.org/ eine GNU/Linux-Distribution eigens für Linux-Router, während das Linux-RouterProjekt keine Lebenszeichen mehr von sich gibt. Wenn in einem lokalen Netz die Verbindung nach draußen über einen Rechner geht, nicht über ein eigenes DSL-Gateway, muss dieser NAT- und Firewall-Aufgaben wahrnehmen. Er schreibt Adressen und Portnummern aus- und eingehender Datenpakete um und führt zu diesem Zweck über die Verbindungen Buch. Bei der Einrichtung von NAT ist Folgendes zu beachten: • •
•
NAT darf nur auf dem Rechner eingerichtet werden, der als Gateway zwischen Internet-Versorger (ISP) und internem Netz dient. Alle anderen lokalen Rechner brauchen nichts von NAT zu wissen. Für die anderen Rechner sieht der NAT-Rechner wie ein gewöhnlicher Router aus. NAT funktioniert mit allen Rechnern, die TCP/IP benutzen. Sie können deswegen auch einen Rechner unter Debian GNU/Linux verwenden, um ein lokales Netz aus MS-Windows- und Macintosh-Rechnern an das Internet anzuschließen. Aus dem Prinzip des NAT folgt die Einschränkung, dass über den NAT-Rechner hinweg von außen keine internen Dienste angesprochen werden können. Wenn Sie in Ihrem internen Netz einen Web- oder Emailserver betreiben, kann dieser nicht aus dem Internet angesprochen werden, es sei denn, der Server habe einen eigenen Internet-Anschluss. Mit Hilfe des Port Forwarding ist es jedoch möglich, Zugriffe auf bestimmte Ports (= Dienste) an bestimmte Rechner im lokalen Netz weiterzuleiten. Aus dem lokalen Netz heraus lassen sich alle Netzdienste im Internet ansprechen, falls nicht per Konfiguration unterbunden.
Viele Hochschulen und Firmen sind dazu übergegangen, ihr gesamtes lokales Netz hinter einem NAT-Rechner zu schützen. Der Schutz setzt voraus, dass im lokalen Netz nicht wieder einzelne Rechner über eigene Internet-Verbindungen (Modem, ISDN, DSL, WLAN) verfügen. Wenn in kleinen Netzen (SOHO = Small Office + Home) der Internet-Anschluss zwar über ein NAT-fähiges DSL-Gateway läuft, da-
766
16 Netzdienste
neben aber für den Fax-Verkehr eine ISDN-Verbindung eingerichtet ist, muss diese so eingezäunt werden, dass über sie nichts Anderes als Faxverkehr in das interne Netz gelangen kann. Schleichwege um das Gateway herum sind ein Sorgenkind der Verwalter. Firewall-Funktionen ohne NAT dagegen sind mitunter auch auf dem Arbeitsplatz sinnvoll, wenn man dem lokalen Netz und seinen Bewohnern nicht traut. 16.6.2 Einrichten von Netfilter/Iptables Die Linux-Software für NAT und Firewalls seit Kernversion 2.4 heißt Netfilter/Iptables, wobei der erste Teil den Kern (Kernmodule) betrifft und der zweite den Userspace (Werkzeug). Die Software geht auf den Australier PAUL ’RUSTY ’ RUSSELL zurück, der auch den Vorgänger ipchains entwickelt hat. Der Heimathafen ist http://www.netfilter.org/. Bei TLDP liegt ein Ethernet Bridge + netfilter Howto (2005) von N ILS R ADTKE; auch das Advanced Routing & Traffic Control HOWTO (2002) von B ERT H UBERT berührt das Thema. Netfilter untersucht die Header (Adressen, Protokolle, laufende Nummern usw., nicht den eigentlichen Inhalt, die Nutzlast) von Datenpaketen, die dem Kern unter die Finger kommen, und stellt nach bestimmten Regeln etwas mit den Paketen an, im einfachsten Fall sangund klanglos weiterreichen. Der Kern muss Netfilter unterstützen. Zeigt das Kommando lsmod das Kernmodul iptable_filter an, ist die Unterstützung in Form ladbarer Kernmodule vorhanden. Andernfalls steht Backen eines angepassten Kerns mit diesbezüglichen Networking Options bevor, siehe Abschnitt 15 Kerne ab Seite 679. Die von Debian gelieferten Kerne sind auf das Netfilter-System vorbereitet. Der Mechanismus ist überschaubar. Trotzdem raten wir, die ersten Erfahrungen auf einem Experimentierrechner zu sammeln und in kleinen Schritten vorzugehen. Das Netfilter ist ein Verkehrsknotenpunkt im Kern, und Fehler in der Konfiguration führen leicht zu Blockaden. Bei Debian vertretene Frontends zu iptables, mit dem man natürlich auch ohne Frontend aus der Kommandozeile arbeiten kann, sind: • •
• • • • •
Shorewall, Pakete shorewall, shorewall-doc und shorewall-lite, Heimathafen http://shorewall.net/, GNOME-Lokkit, Paket gnome-lokkit, ein GUI zum Konfigurieren des Netfilters, einfach zu benutzen und geeignet, sich einen Anfangsvorrat an Regeln zu verschaffen, benutzt curses oder GTK, richtet ein Startskript samt Symlinks ein, scheint obdachlos geworden zu sein, siehe Abbildung 16.6, Firehol, Paket firehol, Heimathafen http://firehol.sourceforge. net, Firewall Builder, Paket fwbuilder und weitere, mächtig und lernbedürftig, Heimathafen http://www.fwbuilder.org/, Firestarter, Paket firestarter, GTK-GUI Knetfilter, Paket knetfilter, für KDE, Heimathafen http://www.seacow. net/tony/knetfilter/, Kmyfirewall, Paket kmyfirewall, für KDE, Heimathafen http://kde-apps. org/,
16.6 Firewalls und Network Address Translation (Masquerading)
767
Abb. 16.6: Screenshot des iptables-GUIs GNOME-lokkit zum einfachen Erstellen komplizierter Netfilter-Regeln
•
Arno’s Iptables Firewall, Paket arno-iptables-firewall, arbeitet mit cursesFenstern wie der Installer, richtet ein Startskript samt Symlink in /etc/rcS.d ein, Heimathafen http://rocky.eld.leidenuniv.nl/.
Vermutlich gibt es noch einige Frontends inner- und außerhalb von Debian; suchen Sie nach firewall in den Beschreibungen der Debian-Pakete. Sind die Frontends einfach zu benutzen, hat man wenig Einfluss auf die Regeln. Erlauben sie, die Regeln vielfältig zu gestalten, wird ihr Gebrauch so mühsam, dass man gleich das Werkzeug iptables ohne Frontend einsetzen kann. Wir holen uns die Manualseite zu iptables in ein Fenster, geben als Root in einem anderen Fenster folgendes ungefährliche Kommando ein: debian:~# iptables --table filter --list und erfahren, welche Filterregeln2 bereits existieren (Lieferzustand von Debian GNU/Linux): Chain INPUT (policy ACCEPT) target prot opt source
destination
Chain FORWARD (policy ACCEPT) 2
Wenn eine Netzverbindung nicht funktioniert, denken Sie auch an die Netfilter-Regeln.
768
16 Netzdienste
target
prot opt source
Chain OUTPUT (policy ACCEPT) target prot opt source
destination
destination
Netfilter arbeitet mit vier Tabellen, von denen wir oben eine mittels der Option --table eine ausgewählt haben: • • • •
filter Paketfilter für Firewalls, durch das alle Pakete hindurchgehen, Vorgabe. nat für Pakete, die eine neue Verbindung aufbauen und NAT brauchen. mangle für besondere Zwecke, siehe Manual, weniger wichtig. raw Tabelle mit hoher Priorität zur Definition von Ausnahmen, siehe Manual, weniger wichtig.
Wir wiederholen obigen Aufruf von iptables mit jedem Tabellennamen und erhalten ähnliche Antworten. Sofort darauf fragen wir die Kernmodule ab: joe@debian:~$ lsmod | grep ipt und sehen, welche Kernmodule geladen worden sind, um unsere Fragen zu beantworten. Bei einem Kern von der Debian-Stange ist das ein Dutzend. In jeder Tabelle gibt es Ketten (chain) von Regeln, in der Tabelle filter beispielsweise die Ketten: • • •
INPUT für eingehende Pakete, FORWARD für durchzuleitende (zu routende) Pakete, OUTPUT für ausgehende Pakete.
Außer den vorgegebenen (built-in) Ketten sind auch benutzerdefinierte Ketten möglich. In den anderen Tabellen sehen die Ketten zum Teil anders aus, wie wir eben festgestellt haben. Jede Kette besteht aus Zeilen mit je einer Regel. Eine Regel setzt sich aus einer Anweisung (target) und einem mehrteiligen Kriterium zusammen. Ein Datenpaket wird nacheinander mit jeder Regel verglichen. Trifft ein Kriterium auf ein Datenpaket zu, wird mit dem Paket gemäß der Anweisung verfahren und in den meisten Fällen die Kette verlassen (terminating target). Fällt ein Datenpaket durch alle Regeln durch, greift die Policy der Kette. Die Policy ist eines der üblichen Targets (DROP, ACCEPT), jedoch niemals ein Sprung zu einer anderen Kette. Obige Ausgabe zeigt, dass die Tabelle filter mangels Regeln an chronischem Durchfall leidet und alle Pakete infolge der Policy akzeptiert werden. Deshalb bemerken wir auf einem derart konfigurierten Rechner Netfilter nicht. Sehen wir uns einige Regeln aus der Tabelle filter nach einer individuellen Konfiguration an: Chain INPUT (policy target prot opt ACCEPT tcp -ACCEPT udp -ACCEPT icmp -DROP 0 -DROP 0 --
DROP) source server1.beiuns server1.beiuns anywhere anywhere anywhere
destination anywhere anywhere anywhere 255.255.255.255 192.168.1.255
16.6 Firewalls und Network Address Translation (Masquerading)
769
Die erste Regel besagt Akzeptiere hereinkommende Datenpakete des Protokolls TCP mit dem Absender server1.beiuns und einem beliebigen Empfänger. In einer sechsten, nicht in jeder Zeile gefüllten und hier nicht wiedergegebenen Spalte (Match Extensions) wird die Auswahl auf Pakete mit TCP-Flags wie SYN eingeschränkt. In der Spalte lassen sich protokollbezogene Zusatzbedingungen unterbringen. Die zweite Zeile bewirkt dasselbe für UDP-Pakete, die dritte nimmt ICMP-Pakete (Pings) aus allen Richtungen an. Die vierte verwirft Pakete aller Protokolle mit der Empfängeradresse 255.255.255.255, die fünfte ebenso für die Empfängeradresse 192.168.0.255 (Broadcasts). Pakete, die durch alle Regeln der Kette hindurchfallen, werden gemäß der Policy DROP entsorgt. Ein ACCEPT an dieser Stelle würde Pakete, die von keiner Regel erfasst werden, weiterleiten, und das wäre ein Sicherheitsrisiko. Stellen wir fest, dass irgendwelche legalen Pakete nicht durchkommen, fügen wir eine ACCEPTRegel hinzu. Da die Zeilen der Reihe nach bis zum ersten Treffer abgearbeitet werden, ist es sinnvoll, jedoch nicht notwendig, die häufigsten Fälle an den Anfang zu stellen. Folgende Targets sind zulässig: • • • • • •
•
ACCEPT lässt das Paket hindurch, DROP verwirft das Paket, REJECT wie DROP, jedoch mit einer Rückmeldung an den Absender des Paketes, nicht in allen Ketten verwendbar, QUEUE reicht das Paket an eine Anwendung (queue handler) weiter, RETURN verlässt die Kette und macht mit der Policy bzw. der nächsten Regel der übergeordneten Kette weiter, LOG veranlasst einen Eintrag im Syslog und macht in der Kette weiter (!), beispielsweise zu verwenden vor einer DROP-Zeile, füllt möglicherweise die Protokolldateien rasch, nur bei wirklichem Bedarf setzen, der Name einer benutzerdefinierten Kette in derselben Tabelle.
Weitere Targets sind auf der Manualseite unter der Überschrift TARGET EXTENSIONS aufgelistet und erklärt. Ein Verwalter kann zusätzlich eigene Ketten definieren. Diese kennen keine Policy. Wird aus einer eingebauten Kette in eine benutzerdefinierte Kette verzweigt, so geht es bei Durchfall weiter mit der nächsten Zeile der eingebauten Kette. Man kann jedoch in einer benutzerdefinierten Kette etwas Ähnliches wie eine Policy erreichen, indem man in der letzten Zeile ein Kriterium verwendet, das auf alle Pakete zutrifft (die es bis dahin geschafft haben). #!/bin/sh # Shellskript zum Leeren der IPTables (Lieferzustand) /sbin/iptables - -table filter - -policy INPUT ACCEPT /sbin/iptables - -table filter - -policy OUTPUT ACCEPT /sbin/iptables - -table filter - -policy FORWARD ACCEPT /sbin/iptables - -table nat - -policy PREROUTING ACCEPT /sbin/iptables - -table nat - -policy POSTROUTING ACCEPT /sbin/iptables - -table nat - -policy OUTPUT ACCEPT
770
16 Netzdienste
/sbin/iptables - -table filter - -flush /sbin/iptables - -table filter - -delete-chain /sbin/iptables - -table nat - -flush /sbin/iptables - -table nat - -delete-chain # bei Bedarf weitere Tabellen und Ketten anfuegen # IP-Forwarding ruecksetzen /sbin/sysctl -w net.ipv4.ip forward=0 > /dev/null /sbin/sysctl -w net.ipv4.ip dynaddr=0 > /dev/null Quelle 16.1 : Shellskript ipt-reset.sh zum Löschen aller Ketten in den Tabellen filter und nat samt Zurücksetzen der Policies auf ACCEPT. Optionen in Langform mit doppelten Strichen.
Nun fügen wir in obige, freizügige Konfiguration zum Üben einige Regeln für ICMP-Pakete ein. Zuvor sorgen wir vorsichtshalber für die Herstellung des Zustands nach der Ersteinrichtung, indem wir als Root das Shellskript 16.1 aufrufen, das in den Tabellen filter und nat alle Ketten löscht und die Policies auf ACCEPT setzt, ein ungeschützter Zustand. Als erstes entsorgen wir eingehende ICMP-Pakete: debian:~# iptables --table filter --append INPUT --protocol ICMP -jump DROP schauen uns mit: debian:~# iptables --list --verbose die Änderung an und lassen ein Ping zu einem üblicherweise antwortenden Rechner los: joe@debian:~$ ping -c 2 ftp.de.debian.org Der Rest ist Schweigen, weil die Antwortpakete gedroppt werden, 100 % Packet Loss. Wir möchten den Verlust in /var/log/syslog protokollieren, also geben wir ein: debian:~# iptables --table filter --insert INPUT --protocol ICMP -jump LOG überzeugen uns von der neuen, vorangestellten Filterregel und pingen erneut mit demselben Erfolg. Dann schauen wir uns das Systemprotokoll an: joe@debian:~$ tail /var/log/messages und finden gegen Ende zwei Kernmeldungen zum Protokoll ICMP und der Herkunft (SRC) 141.76.2.4, das ist der Debian-Server. Beim Zweitautor stellte sich dabei heraus, dass sein DSL-Gateway alle 30 s ein unvollständiges ICMP-Paket (Keep-alivePaket) an den lokalen Rechner schickt, das natürlich auch protokolliert und gedroppt wird. Um das Protokollieren loszuwerden, geben wir ein:
16.6 Firewalls und Network Address Translation (Masquerading)
771
debian:~# iptables --table filter --delete INPUT --protocol ICMP -jump LOG Anschließend unterbinden wir auch das Droppen: debian:~# iptables --table filter --delete INPUT --protocol ICMP -jump DROP und pingen wie in alten Zeiten. Dann wenden wir uns der OUTPUT-Kette zu: debian:~# iptables --table filter --append OUTPUT --protocol ICMP -jump DROP und fangen uns erwartungsgemäß bei einem Versuch zu pingen eine Fehlermeldung ein. Das gilt auch für Root. Damit sollte der Netfilter-Mechanismus klarer geworden sein. Richtet man auf einem Rechner einen neuen Dienst ein und dieser nimmt trotz richtiger Konfiguration keine Verbindung zur Außenwelt auf, denke man an Netfilter. Die Regeln könnten für den neuen Dienst zu eng gefasst sein. Die mit iptables vorgenommenen Änderungen werden nicht dauerhaft gespeichert und gehen mit einem Systemhalt verloren. Da man eine umfangreiche Konfiguration ohnehin nicht zeilenweise eintippt, sondern in ein Shellskript schreibt, brauchen wir nur das Shellskript in die Form eines Startskripts im Verzeichnis /etc/init.d zu bringen und dieses wie gewohnt beim Booten aufzurufen. Werkzeuge wie Lokkit gehen ebenso vor mit dem Unterschied, dass sie die Konfiguration in einer eigenen Datei ablegen, die von dem Startskript gelesen wird. Will man eine aktuelle Konfiguration auslesen und speichern, hilft das Werkzeug iptables-save mit Umlenkung in eine Datei, die mittels iptables-restore wieder eingelesen wird. Eigentlich geht ein sicherheitsbewusster Verwalter so vor, dass er alles verbietet und dann Ausnahmen erlaubt. Ein Netfilter-Anfänger hat so jedoch einige Zeit lang keine Freude an seinem Rechner. Belässt man die Policies auf ACCEPT und fügt vorsichtig eine Regel nach der anderen hinzu, bleibt die Netzfähigkeit des Rechners weitgehend erhalten. Erst wenn man meint, alle Regelfälle abgedeckt zu haben, setzt man die Policies auf DROP. Eine andere Möglichkeit ist die Verwendung eines Frontends zu iptables. Das hat den Vorteil, dass wir uns nicht um Einzelheiten und Syntax zu kümmern brauchen, und den Nachteil, dass wir nur das machen können, was das Frontend vorsieht. Nach Einrichten des Frontends Lokkit finden wir eine Konfiguration vor, die viele Wünsche berücksichtigt, aber in einzelnen Punkten (Regeln) sicher der Korrektur bedarf. Die Ausgabe von iptables --list nach einer Konfiguration mit Lokkit ist verständlich, aber nicht trivial, da Lokkit mehrere benutzerdefinierte Tabellen verwendet. Die nachfolgend beschriebenen Schritte brauchen nur auf dem Rechner ausgeführt zu werden, der gleichzeitig mit dem Internet-Versorger und mit dem lokalen Netz verbunden ist (Gateway- oder Router-PC). Sie entfallen beim Einsatz eines eigenen DSL-Gateways (DSL-Routers). Das Netz ist zunächst wie üblich aufzubauen. Dabei ist sicherzustellen, dass von dem Gateway-PC aus sowohl die Rechner im lokalen Netz als auch Rechner im Internet erreicht werden (ping). Die Default-Route
772
16 Netzdienste
auf dem Gateway-PC muss auf den Versorger zeigen. Wenn Sie auf dem Gateway Dial-on-Demand verwenden, muss die Default-Route auf das Netzinterface zeigen, über das die Verbindung bei Bedarf aufgebaut wird (ppp0 oder ippp0). Zunächst ist der Kern auf dem Gateway-PC davon zu unterrichen, dass er empfangene Pakete, die nicht für ihn selbst bestimmt sind, weiterleiten (routen) soll: debian:~# echo 1 > /proc/sys/net/ipv4/ip_forward Alternativ geht auch: debian:~# sysctl -w net.ipv4.ip_forward=1 Der Wert 0 schaltet das Routing wieder ab Wollen Sie sich alle Kernparameter aus der Gruppe ansehen, hilft der Aufruf: debian:~# sysctl -A | grep ipv4 | less Es sind über 200. Wenn Sie von Ihrem Internet-Versorger dynamische IP-Adressen zugewiesen bekommen, wie es üblich ist, geben Sie noch folgendes Kommando ein: debian:~# echo 7 > /proc/sys/net/ipv4/ip_dynaddr alternativ: debian:~# sysctl -w net.ipv4.ip_dynaddr=7 Dies führt dazu, dass IP-Pakete automatisch neue Absenderadressen bekommen, wenn sich Ihre IP-Adresse ändert, etwa weil das Gateway nach einer erneuten Einwahl eine neue äußere Adresse zugewiesen bekommen hat. Einige Probleme mit dynamischen Adressen und Dial-on-Demand werden dadurch jedoch nicht gelöst. Ein oft beobachtetes Problem besteht darin, dass eine Anwendung auf eine Antwort aus dem Internet wartet, die Verbindung abgebaut und dann immer wieder aufgebaut wird, um der Gegenstelle zu signalisieren, dass weiterhin auf die Antwort gewartet wird. Die Antwort der Gegenstelle kann nicht eintreffen, weil sie an die alte Adresse gegangen ist. Solche toten Verbindungen werden nach einem Timeout automatisch vom Kern beendet. Bei den zunehmend verwendeten dauernd aktiven DSL-Verbindungen tritt das Problem nur einmal am Tag auf, wenn der Versorger die Verbindung nach 24 h abbricht. Das Netfilter-System wird durch folgenden Aufruf zu NAT beziehungsweise Masquerading bewogen: debian:~# iptables --table nat --append POSTROUTING --out-interface eth0 --jump MASQUERADE Durch den Eintrag in der Kette POSTROUTING der Tabelle nat wird festgelegt, dass Pakete, die das Netzinterface eth0 verlassen, entsprechend dem Target MASQUERADE behandelt werden. Für eth0 ist das Interface einzusetzen, das zum Versorger führt, gegebenenfalls also eth1, ppp0 oder ippp0. Da das Gateway normalerweise zugleich als Firewall arbeitet, können Konflikte mit Firewallregeln auftreten. Bei einem solchen Verdacht setzt man kurzzeitig die Firewall mit Hilfe
16.6 Firewalls und Network Address Translation (Masquerading)
773
des Shellskripts 16.1 auf den Lieferzustand zurück, in dem alle Pakete durchgelassen werden. Ein anderes Problem können zu große Datenpakete bereiten. Jedes Netzelement hat eine Obergrenze (Maximum Transmission Unit, MTU) für die Größe der Datenpakete. In einem Weg von einem Knoten zu einem anderen ist die kleinste MTU auf der Strecke maßgebend für die ganze Verbindung. Diese zu ermitteln wird Path MTU Discovery genannt, siehe RFC 1191. Einzelheiten hierzu sind im Adv-RoutingHOWTO, ausführlich Linux Advanced Routing & Traffic Control HOWTO, (2002) auf TLDP oder http://laric.org/howto/ zu finden, speziell zu PMTU auf http://www.netheaven.com/pmtu.html. Abhilfe bei zu großen Datenpaketen schafft folgender, nur bei offensichtlichem Bedarf einzugebender einzeiliger Hack aus dem HOWTO: debian:~# iptables --append FORWARD --protocol tcp --tcp-flags SYN,RST SYN --jump TCPMSS --clamp-mss-to-pmtu Damit wird die lokale Maximum Segment Size (MSS) an die Path Maximum Transmission Unit (PMTU) gebunden. Nachdem das Masquerading auf dem Gateway-PC eingerichtet ist, testen Sie das System von einem anderen Rechner in Ihrem internen Netz aus. Stellen Sie dabei zunächst sicher, dass die grundlegenden Netzeinstellungen dieses Rechners stimmen und dass es möglich ist, das Gateway unter seiner lokalen IP-Adresse zu erreichen (ping). Weiter muss die Default-Route des Testrechners auf das Gateway zeigen. Danach testen Sie, ob Sie einen Rechner im Internet über das Gateway erreichen. Versuchen Sie, die IP-Adresse eines Rechners im Internet anzupingen: joe@debian:~$ ping -c 2 141.76.2.4 Erhalten Sie keine Antwort, prüfen Sie folgende Punkte: • • •
Stimmt die angepingte IP-Adresse? Lässt sich die Adresse aus anderen Netzen anpingen? Funktioniert das ping-Kommando vom Gateway aus? Falls nicht, überprüfen Sie die Verbindung zwischen Gateway und Internet-Versorger. Lässt das Gateway ICMP-Pakete durch? Blockt eventuell eine Firewall-Regel ein- und/oder ausgehende ICMP-Pakete ab?
Wenn Sie keinen Fehler finden, sollten Sie die Einrichtung des Gateways nochmals durchgehen und prüfen, ob die Netzeinstellung des Testrechners stimmt. 16.6.3 Startskript zum Aufbau von Firewall und NAT Wenn wir uns nicht auf ein Frontend wie Lokkit verlassen wollen, müssen wir das Startskript für NAT und Firewall im Verzeichnis /etc/init.d selbst verfassen. Wir gehen alle Schritte durch; ein fertiges, auf Ihr System passendes Skript können wir nicht anbieten. Als Erstes überlegen wir uns, was wir wollen:
774
• • • •
16 Netzdienste
Welche Dienste (Protokoll, Port, ein/ausgehend, Zusatzbedingungen) wollen wir zulassen? Wollen wir Dienste ausdrücklich sperren oder alles, was nicht erlaubt ist, der Policy überantworten? Welche Policies sollen die Ketten bekommen? Brauchen wir Masquerading? Nur auf Gateway-Rechnern, die unser lokales Netz mit einem Internet-Versorger verbinden, der uns eine einzige IP-Adresse dynamisch oder statisch zuteilt.
Dann schreiben wir uns ein Shellskript zum Rücksetzen aller Regeln nach dem Muster des Shellskripts 16.1 . Die Vorlage ist erforderlichendfalls um Tabellen und Ketten zu erweitern. Das Skript brauchen wir als Retter aus Fehlkonfigurationen und im Startskript. Ein geeigneter Pfad wäre /usr/local/sbin/ipt-reset.sh, Rechte 755/root/root. Das Skript sollte wie auch die folgenden einzeln durch Aufruf von Hand getestet werden. Die Hauptmühe macht das Shellskript zum Setzen der Regeln für die Firewall. Das Shellskript 16.2 kann als Ausgangspunkt dienen und ist auf jeden Fall an die lokalen Erfordernisse anzupassen. Ein geeigneter Pfad wäre /usr/local/sbin/ ipt-set.sh, Rechte 755/root/root. #!/bin/sh # Shellskript zum Setzen der IPTables-Firewall # exit auskommentieren, falls Firewalling gewuenscht # exit 0 # Policies spaeter auf DROP setzen! /sbin/iptables - -table filter - -policy INPUT ACCEPT /sbin/iptables - -table filter - -policy OUTPUT ACCEPT /sbin/iptables - -table filter - -policy FORWARD DROP # Filterregeln, bei Bedarf erweitern: /sbin/iptables - -table filter - -append INPUT - -protocol icmp - -jump ACCEPT /sbin/iptables - -table filter - -append INPUT - -protocol tcp - -jump ACCEPT /sbin/iptables - -table filter - -append INPUT - -protocol udp - -jump ACCEPT /sbin/iptables - -table filter - -append OUTPUT - -protocol icmp - -jump ACCEPT /sbin/iptables - -table filter - -append OUTPUT - -protocol tcp - -jump ACCEPT /sbin/iptables - -table filter - -append OUTPUT - -protocol udp - -jump ACCEPT # eingige Ports rein und raus sperren (/etc/services):
16.6 Firewalls und Network Address Translation (Masquerading)
775
for PORT in 23 70 137 138 139 194 213 445 518 1214; do /sbin/iptables - -table filter - -insert INPUT - -protocol tcp - -in-interface eth0 - -dport $PORT -jump DROP /sbin/iptables - -table filter - -insert INPUT - -protocol udp - -in-interface eth0 - -dport $PORT -jump DROP /sbin/iptables - -table filter - -insert OUTPUT - -protocol tcp - -out-interface eth0 - -dport $PORT -jump DROP /sbin/iptables - -table filter - -insert OUTPUT - -protocol tcp - -out-interface eth0 - -dport $PORT -jump DROP done Quelle 16.2 : Shellskript ipt-set.sh zum Setzen der Ketten in der Tabelle filter samt Setzen der Policies. Optionen in Langform mit doppelten Strichen.
Das Masquerading packen wir in ein eigenes Shellskript, da es nicht auf jeder Maschine gebraucht wird. Eine Anregung bietet das Shellskript 16.3 . Ein geeigneter Pfad wäre /usr/local/sbin/ipt-masqu.sh, Rechte 755/root/root. Auf Grund des Startskripts muss das Skript auch auf Rechnern vorhanden sein, die nicht als Gateway arbeiten. In diesem Fall reicht die exit-Zeile als einziger Inhalt aus. #!/bin/sh # Shellskript zum Konfigurieren des Masquerading # Firewall-Regeln sind in ipt-set.sh anzugeben # exit auskommentieren, falls Masquerading gewuenscht # exit 0 /sbin/iptables - -table nat - -policy PREROUTING ACCEPT /sbin/iptables - -table nat - -policy POSTROUTING ACCEPT /sbin/iptables - -table nat - -policy OUTPUT ACCEPT # out-interface anpassen! /sbin/iptables -table nat -append POSTROUTING -out-interface ppp+ -jump MASQUERADE # IP-Forwarding setzen: /sbin/sysctl -w net.ipv4.ip forward=1 > /dev/null /sbin/sysctl -w net.ipv4.ip dynaddr=7 > /dev/null Quelle 16.3 : Shellskript ipt-masq.sh zum Konfigurieren des Maquerading in der Tabelle nat samt Setzen zweier Kernparameter. Optionen in Langform mit doppelten Strichen.
776
16 Netzdienste
Wenn die drei Shellskripte das tun, was sie sollen, gehen wir an das Startskript. Das Skript startet oder stoppt nichts – das Netfilter-System ist immer aktiv, solange wir nichts am Kern ändern – sondern konfiguriert nur. Ausgangspunkt ist die gut kommentierte Vorlage /etc/init.d/skeleton, die wir in eine Datei mit einem Namen unserer Wahl kopieren, sagen wir mynetfilter, Rechte wie die Nachbarn. Die Vorlage ist darauf ausgerichtet, einen Dämon zu starten und stoppen. Für unseren Zweck erübrigen sich viele Zeilen, siehe das Shellskript 16.4 . Zum Testen rufen wir das Startskript von Hand auf: debian:/etc/init.d# ./mynetfilter start und sehen uns den Erfolg mittels: debian:~# iptables --table filter --list an, auch für andere Tabellen, soweit wir sie geändert haben. Dasselbe machen wir mit den Optionen stop und restart. Die Skripte sind bewusst einfach gehalten und kein Vorbild. Wiederkehrende Zeichenketten (Kommandos, Optionen) sollten in Variable gepackt werden, um bei Änderungen nur wenige Stellen editieren zu müssen. Durch Verwendung benutzerdefinierter Ketten für wiederholte Kommandofolgen lässt sich Schreibarbeit sparen, ähnlich wie mit Funktionen in Programmen. #! /bin/sh ### BEGIN INIT INFO # Provides: # Required-Start: # Required-Stop: # Default-Start: # Default-Stop: # Short-Description: # Description: # ### END INIT INFO
mynetfilter $local fs $remote fs $local fs $remote fs 2 3 4 5 0 1 6 Configures netfilter Configures netfilter firewalling and masquerading
PATH=/sbin:/usr/sbin:/bin:/usr/bin DESC="Netfilter configuration" NAME=mynetfilter DAEMON1=/usr/local/sbin/ipt-reset.sh DAEMON2=/usr/local/sbin/ipt-set.sh DAEMON3=/usr/local/sbin/ipt-masq.sh SCRIPTNAME=/etc/init.d/$NAME # # [ [ [
Exit if the package is not installed DAEMON3 maybe nearly empty, but must exist -x "$DAEMON1" ] || exit 0 -x "$DAEMON2" ] || exit 0 -x "$DAEMON3" ] || exit 0
# Load the VERBOSE setting and other rcS variables . /lib/init/vars.sh
16.6 Firewalls und Network Address Translation (Masquerading)
777
# Define LSB log * functions # Depend on lsb-base to ensure that this file is present . /lib/lsb/init-functions # # Function that starts the daemon/service # do start() { $DAEMON1 && $DAEMON2 && $DAEMON3 || return 1 return 0 } # # Function that stops the daemon/service # do stop() { $DAEMON1 || return 1 return 0 } case "$1" in start|restart) [ "$VERBOSE" != no ] && log daemon msg "Start $DESC" do start case "$?" in 0) [ "$VERBOSE" != no ] && log end msg 0 ;; 1) [ "$VERBOSE" != no ] && log end msg 1 ;; esac ;; stop) [ "$VERBOSE" != no ] && log daemon msg "Stop $DESC" do stop case "$?" in 0) [ "$VERBOSE" != no ] && log end msg 0 ;; 1) [ "$VERBOSE" != no ] && log end msg 1 ;; esac ;; *) echo "Usage: $SCRIPTNAME {start|stop|restart}" >&2 exit 3 ;; esac Quelle 16.4 : Startskript mynetfilter zum Konfigurieren des Netfilter-Systems beim Systemstart und von Hand.
Schließlich legen wir in den Runlevel-Verzeichnissen /etc/rc*.d Symlinks auf das Startskript an, einzeln von Hand oder einfacher mit dem Aufruf:
778
16 Netzdienste
debian:~# update-rc.d mynetfilter defaults 10 50 Das Netfilter-System sollte konfiguriert sein, bevor die zugehörigen Dienste starten, und beim Herunterfahren oder Umschalten in den Single User Mode auf den Lieferzustand gebracht werden, nachdem die Dienste gestoppt sind. Andernfalls gibt es kurzzeitig eine Lücke in der Firewall, aber das beeinflusst das Funktionieren nicht. Bleibt als Aufgabe das Verfeinern der Firewall-Regeln in dem Shellskript ipt-set.sh, was sich vermutlich hinzieht. 16.6.4 Testwerkzeuge Zum Testen und Untersuchen von Firewalls oder des Netzverkehrs allgemein gibt es eine Reihe kleiner oder umfassender Werkzeuge: • •
• •
•
•
•
netcat oder nc zum Schreiben und Lesen auf UDP- oder TCP-Verbindungen, auch für IPv6 verfügbar. netgrep ist ein grep fürs Netz, nicht bei Debian, aber im C-Quellcode von http://www.ussrback.com/UNIX/unixscanners.htm erhältlich. Es gibt auch ein Shellskript gleichen Namens bei http://www.unix. ms/netgrep/. tcpdump zum Beobachten der Datenpakete verschiedener Protokolle, ein Klassiker mit Heimathafen http://www.tcpdump.org/. Das Packet Toolkit aus dem Debian-Paket packit mit dem Heimathafen http://www.intrusense.com/software/packit/ und dem Kommando packit zum Verschicken und Abfangen von Datenpaketen. Paketto Keiretso aus dem Debian-Paket paketto, Heimathafen http://www. doxpara.com/paketto/, bringt vier Werkzeuge zum Verschicken und Verfolgen von Paketen mit (scanrand, minewt, linkcat, paratrace), dazu ein fünftes für OpenQVis (Visualisierung von Daten, bei Sourceforge). APSR nicht bei Debian, sondern als Tarball beim Projekt auf http://www. aa-security.de/ zu haben, mit den Werkzeugen apsend und aprecv zum Senden und Empfangen von Datenpaketen zahlreicher Protokolle, Packet Sniffer wie darkstat, ettercap, hunt, nast, scapy, sniffit, tcpick oder Wireshark, ein Abkömmling von Ethereal.
Unter Umständen empfiehlt es sich, einen gut gesicherten Rechner im LAN nur für die Überwachung abzustellen. Dieser beobachtet Dämonen und Datenverkehr und schlägt bei Auffälligkeiten per Email oder auf einer Konsole Alarm.
16.7 Zugangskontrolle 16.7.1 tcpd Das Programm tcpd überprüft, ob ein fremder Rechner, der auf einen bestimmten Port per TCP zugreift und dadurch signalisiert, dass er den zugeordneten Dienst benutzen will, dazu berechtigt ist. Das entsprechende Server-Programm wird erst aufgerufen, wenn die Berechtigung des fremden Rechners geklärt ist. Stellen Sie sich
16.7 Zugangskontrolle
779
vor, jemand versucht per Telnet auf Ihren Rechner zuzugreifen. Die Strategie des Eindringlings besteht darin, immer wieder neue Kombinationen aus Benutzernamen und Passwörtern auszuprobieren, bis er Zugriff auf Ihren Rechner hat. Wenn Sie gute Passwörter verwenden, kann es sein, dass der Angreifer die Passwörter überhaupt nicht rät und scheitert. Allerdings verbraucht er während der gesamten Zeit seines Angriffs Ressourcen Ihres Rechners, weil ständig neue Prozesse gestartet werden, um auf die Zugriffe zu reagieren und die Authentifizierung durchzuführen. Durch den Einsatz des tcpd wird verhindert, dass überhaupt Prozesse gestartet werden, wenn von Rechnern aus, denen Sie nicht vertrauen, auf den Telnet-Port zugegriffen wird. Die Berechtigungen werden in den beiden Dateien /etc/hosts.allow und hosts.deny festgelegt. Das Programm tcpd untersucht zunächst die Datei hosts.allow und erlaubt den Zugriff, wenn der zugreifende Rechner in der Datei aufgeführt ist. Danach wird die Datei hosts.deny untersucht und der Zugriff verweigert, wenn der Rechner in dieser Datei aufgeführt ist. Wenn der Rechner in keiner der beiden Dateien aufgeführt ist, wird der Zugriff gestattet, siehe im Manual zu hosts_access und hosts_options. Eine nicht vorhandene Datei wird wie eine leere Datei angesehen. Damit der tcpd überhaupt benutzt wird, muss er in der Datei /etc/inetd. conf eingetragen sein. Um den Service telnet durch das Programm tcpd zu sichern, hat der Eintrag folgendermaßen auszusehen: telnet stream
tcp
nowait telnetd /usr/sbin/tcpd /usr/sbin/in.telnetd
Wenn auf den Telnet-Port zugegriffen wird, wird nicht das Programm /usr/sbin/ in.telnetd gestartet, sondern /usr/sbin/tcpd. Das Programm überprüft wie beschrieben die Zugangsberechtigung anhand der Dateien hosts.allow und hosts.deny und startet das Programm /usr/sbin/in.telnetd nur, wenn es die Berechtigung festgestellt hat. Als Vorgabe werden bei Debian GNU/Linux fast alle Dienste durch den tcpd gesichert. Allerdings finden sich in den Dateien hosts.allow und hosts.deny nach der Ersteinrichtung keine Zugangsbeschränkungen. Beide Dateien haben dasselbe Format: Server-Name [Server-Name ...] : Rechner-Name [Rechner-Name ...] [ : Shell-Kommando ] Zeilen, die mit einem Doppelkreuz beginnen, und leere Zeilen dienen zur Strukturierung und Kommentierung der Datei und haben sonst keine Bedeutung. Mit Server-Name werden ein oder mehrere Name(n) von Programme(n) angegeben, die von dem zugreifenden Rechner aus benutzt werden sollen. Dies sind die Namen der Programme, die auch in der Datei /etc/inetd.conf angegeben sind. Mit Rechner-Name werden die Namen der Rechner angegeben, denen der Zugriff erlaubt bzw. verwehrt wird. Optional wird dahinter der Name eines Kommandos angegeben, das ausgeführt wird, wenn die Regel zutrifft, also wenn einer der angegeben Rechner eines der Server-Programme benutzen will.
780
16 Netzdienste
Um nicht jeden Rechner einzeln angeben zu müssen, ist für Rechner-Name folgende Syntax erlaubt: •
•
•
• • • •
Rechnernamen, die mit einem Punkt beginnen, treffen auf alle Rechner zu, deren Namen mit der angegeben Zeichenkette enden. So bewirkt die Angabe .firma.de in der Datei hosts.deny, dass kein Rechner, dessen Name auf firma.de endet, einen bestimmten Dienst benutzen darf. An Stelle von Rechnernamen dürfen IP-Adressen benutzt werden. Hier hat der Punkt am Ende einer IP-Adresse eine ähnliche Bedeutung. Die Angabe 134.102. in der Datei hosts.allow bewirkt, dass alle Rechner, deren IPAdresse mit 134.102 beginnt, einen bestimmten Dienst benutzen dürfen. Auch Kombinationen aus IP-Adressen und Netzmasken lassen sich angeben. Beide Angaben müssen durch einen Schrägstrich voneinander getrennt sein. Die Angabe 192.168.0.32/255.255.255.224 bezeichnet die IP-Adressen 192.168.0.32 bis 192.168.0.63. Das Schlüsselwort ALL trifft auf alle Rechner zu. Mit dem Schlüsselwort PARANOID werden Rechner bezeichnet, deren DNSName nicht zu ihrer IP-Adresse passt. Mit dem Schlüsselwort LOCAL werden Rechner bezeichnet, deren Namen keinen Punkt enthält. Mit dem Schlüsselwort EXCEPT werden einzelne Rechner oder Gruppen von Rechnern aus einer zuvor definierten Gruppe ausgeschlossen.
Weitere Möglichkeiten finden sich in den Manualseiten zu hosts_access und hosts_options. Der Eintrag ALL: ALL in der Datei hosts.deny bewirkt, dass kein Rechner irgendeinen Dienst benutzen kann, der mit tcpd gesichert ist, es sein denn, es gibt in der Datei hosts.allow einen Eintrag, der den Zugriff erlaubt. Der gleiche Eintrag ALL: ALL in der Datei hosts.allow hingegen bewirkt, dass jedem Rechner der Zugriff erlaubt wird. Einträge in hosts.deny wären dann wirkungslos. Angenommen, Sie möchten allen Rechner bis auf solche, die die Domäne raffke.com verwenden, den Zugriff auf Ihren FTP-Server gestatten und außerdem Rechnern, welche die Domäne linux.com verwenden, den Zugriff auf Ihren Telnetserver erlauben. Alle anderen Dienste sollen nur von Rechnern mit IPAdressen, die mit 192.168.0 beginnen, benutzt werden dürfen. Dann schreiben Sie in die Datei hosts.allow folgende Zeilen: in.ftpd: ALL EXCEPT raffke.com in.telnetd: .linux.com ALL: 192.168.0. In der Datei hosts.deny sollte sich dieser Eintrag finden: ALL: ALL
16.7 Zugangskontrolle
781
16.7.2 identd TCP-basierte Dienste können zusätzlich durch das IDENT-Protokoll abgesichert werden. Dabei sendet der tcpd bei der Überprüfung eine Anfrage an den zugreifenden Rechner, ob der Zugriff tatsächlich von diesem Rechner aus durchgeführt wurde und welcher Benutzer den Zugriff gestartet hat. Wenn der vermeintlich zugreifende Rechner antwortet, dass er den Zugriff nicht durchgeführt hat, ist dies ein Zeichen dafür, dass der Angreifer die Absenderadresse der IP-Pakete gefälscht hat (Spoofing). Eine positive Antwort des zugreifenden Rechners ist noch kein Beweis dafür, dass die Absenderadresse nicht gefälscht worden ist, weil ein Angreifer auch IDENT-Anfragen abfangen und falsch beantworten kann. Dies ist jedoch mit Aufwand verbunden. Die Überprüfung funktioniert nur dann, wenn auf den zugreifenden Rechnern der IDENT-Dienst zur Verfügung steht. Dies sollte bei Linux/UNIXRechnern der Fall sein (Serverprogramm identd). Um die Überprüfung per IDENT zu aktivieren, ist den Rechnernamen in den Dateien hosts.allow bzw. hosts.deny der Name eines Benutzers voranzustellen. Rechnernamen und Benutzernamen sind durch das @-Zeichen voneinander zu trennen. Sinnvolle Schlüsselwörter für Benutzernamen sind KNOWN und UNKNOWN. KNOWN bezeichnet alle Zugriffe, für die vom zugreifenden Rechner per IDENT eine Benutzer-ID geliefert wird. UNKNOWN bezeichnet alle Zugriffe, für die vom zugreifenden Rechner keine Benutzer-ID angegeben wird. Um den FTP-Dienst nur dann freizugeben, wenn der zugreifenden Rechner den Zugriff bestätigt und per IDENT eine Benutzer-ID zurückgibt, ist in der Datei hosts.allow folgender Eintrag vorzunehmen: in.ftpd: KNOWN@ALL Natürlich muss in der Datei hosts.deny ein Eintrag vorhanden sein, der den Zugriff in allen anderen Fällen verbietet. Denken Sie daran, dass Betriebssysteme wie MS Windows nicht immer über den IDENT-Dienst verfügen und diesen Rechnern mit solchen Definitionen der Zugriff verwehrt wird. Der Dämon identd verwirklicht das Identification Protocol – früher Authentication Server Protocol genannt – nach RFC 1413. Er läuft entweder selbständig oder als Knecht des Super-Dämons inetd und teilt auf Anfrage an Port 113 mit, welchem Benutzer eine TCP-Verbindung zwischen zwei Ports gehört. Er wird in der Datei /etc/identd.conf konfiguriert. In der Konfigurationsdatei sollte man einstellen, dass nur Benutzernummern (UID) mitgeteilt und Anfragen protokolliert werden: result:uid-only = yes result:syslog-level = info Beobachtet man die Protokolldatei /var/log/syslog längere Zeit auf Einträge des identd hin, kann man entscheiden, ob man den Dämon braucht oder nicht. Die anderen Punkte sind unkritisch oder selbsterklärend. Ein identd lässt sich mit telnet testen: joe@debian:~$ telnet localhost 113
782
16 Netzdienste
Sowie die Verbindung steht, gibt man ein durch Komma getrenntes Paar beliebiger Portnummern ein: 6191, 23 und erhält eine verständliche Antwort, vermutlich eine Fehlermeldung. Anschließend ist der telnet-Client zu beenden. Auf die Auskünfte eines fremden identd ist kein Verlass. Manche Internetdienste (IRC, SMTP . . . ) verlangen, dass bei ihren Clients ein identd antwortet. Falls dies nicht der Fall ist, läuft ein Timeout in der Größenordnung von 10 s ab, der die Hauptverbindung verzögert. Firewalls lassen üblicherweise identd-Anfragen nicht durch, oder sie übersetzen Ports zwischen drinnen und draußen (NAPT). Auf jeden Fall ist mit Schwierigkeiten zu rechnen. Manchmal hilft es, in der Konfiguration des identd diesen anzuweisen, in jedem Fall mit einer unbedenklichen Auskunft zu antworten (zu lügen, to fake). Einige Ident-Dämonen beherrschen das. Man kann auch versuchen, die Firewall so einzustellen, dass sie Anfragen an Port 113 nicht stillschweigend ignoriert (drop), sondern aktiv zurückweist (reject). Dann weiß der Anfragende sofort, woran er ist. Bei Debian stehen mehrere Pakete mit Identservern zur Auswahl: •
• •
•
• • •
bidentd und midentd kommen mit Masquerading (Übersetzen von Adressen und Ports, NAPT) zurecht, http://bisqwit.iki.fi/source/ bidentd.html bzw. http://panorama.sth.ac.at/midentd/, gidentd behrrscht auch IPv6-Adressen, nullidentd ist ein kleiner, schneller und sicherer Dämon, der auf jede Anfrage dieselbe Auskunft erteilt (siehe oben), http://www.tildeslash.org/ nullidentd.html, oidentd ist ein leistungsfähiger, umfassend konfigurierbarer Dämon, der sich ebenfalls auf IPv6 und das Lügen versteht, http://ojnk.sourceforge. net/, pidentd kann DES-verschlüsseln, http://www.lysator.liu.se/ ~pen/pidentd/, sidentd beherrscht auch SASL/Ident, http://www.eyrie.org/ ~eagle/software/sident/, slidentd klein, sicher, ähnlich wie pidentd, rückt keine kritischen Informationen heraus.
Dem ersten Anschein nach ist oidentd der vielseitigste Dämon und nullidentd die minimale Lösung. In einer Standardinstallation von sarge wurde pidentd als /usr/sbin/identd eingerichtet und funktionierte. Absolut sicher ist das IDENT-Verfahren nicht. Um sich noch wirkungsvoller vor Angriffen zu schützen, sind Paketfilter und/oder eine Firewall einzusetzen.
16.8 Der Super-Dämon inetd
783
16.8 Der Super-Dämon inetd 16.8.1 Was macht der Super-Dämon? Auf einem Linux/UNIX-Rechner können gleichzeitig unterschiedliche ServerProgramme ausgeführt werden, beispielsweise ein FTP-Server, ein Telnetserver, ein Webserver usw. Wenn auf die Server-Dienste nur selten zugegriffen wird, bedeutet dies, dass die Server-Programme unnütz Speicher belegen und keine sinnvolle Funktion wahrnehmen, außer einen bestimmten Port zu überwachen. Aus diesem Grund gibt es ein besonderes Programm, den Internet-Dämon, der gleichzeitig alle Ports überwacht, die sonst von einzelnen Server-Programmen überwacht werden, und erst beim Zugriff auf einen Port das zugehörige Server-Programm ausführt. Der HTTP-Dämon auf ausgesprochenen Webservern und Emailserver (MTA) laufen jedoch immer selbständig (standalone). Der Internet-Dämon inetd wird über die Datei /etc/inetd.conf konfiguriert. In der Datei findet sich die Information, welche Ports zu überwachen sind und welches Programm beim Zugriff auf einen bestimmten Port zu starten ist. Jeder Eintrag in der Datei besteht aus sechs durch Leerzeichen voneinander getrennten Feldern: • •
•
•
•
•
Service Das erste Element bezeichnet den Name eines Dienstes (Service). Daraus folgt für inetd, welcher Port beobachtet werden soll. Socket Typ Der Eintrag beschreibt den Typ von Sockets, die für den Dienst benutzt werden. TCP-basierte Dienste benutzen den Typ stream und UDPbasierte Dienste den Typ dgram. Protokoll Hiermit wird der Typ des Protokolls benannt, das für den Dienst genutzt wird. Für TCP-basierte Dienste ist tcp und für UDP-basierte Dienste udp anzugeben. Für Dienste, die Sun-RPCs (Remote Procedure Call) verwenden, ist rpc/tcp bzw. rpc/udp einzutragen. Flags Hiermit wird bestimmt, was passieren soll, wenn ein Zugriff auf einen Port erfolgt ist, das entsprechende Server-Programm gestartet ist und ein neuer Zugriff auf denselben Port stattfindet, bevor das gestartete Server-Programm sich beendet hat. Wenn ein neuer Prozess gestartet werden soll, solange noch einer ausgeführt wird, ist nowait anzugeben. Dies sollte für alle Dienste der Fall sein, die keine Datagramm-Sockets verwenden. Für Dienste mit dem Socket-Typ dgram muss in vielen Fällen wait angegeben werden. Zusammen mit nowait ist es möglich anzugeben, wieviele Server-Prozesse maximal pro Minute gestartet werden dürfen. Diese Zahl ist von dem Schlüsselwort nowait durch einen Punkt zu trennen: nowait.60. Vorgabe ist 256. Benutzer Hier ist der Name des Benutzers anzugeben, mit dessen Identität der Server-Dienst ausgeführt werden soll. Die meisten Dienste werden mit den Rechten des Verwalters ausgeführt, damit sie die Möglichkeit haben, die Benutzer-ID zu wechseln. In diesen Fällen ist root anzugeben. Hinter den Benutzernamen kann durch einen Punkt getrennt ein Gruppenname angegeben werden. Programmname In diesem Feld wird der Name des Programms angegeben, das beim Zugriff auf den betreffenden Port gestartet wird. Der Programmname ist mit vollem Pfad anzugeben: /usr/sbin/in.telnetd. Alle Zeichenketten, die
784
•
16 Netzdienste
hinter dem Programmnamen angegeben werden, werden dem Server-Programm als Argumente übergeben. Einige Dienste stellt das Programm inetd selbst zur Verfügung, es braucht kein externes Programm gestartet zu werden. Für diese Dienste ist das Schlüsselwort internal anzugeben.
Zwei Beispiele für Einträge in der Datei /etc/inetd.conf: telnet stream tcp nowait root /usr/sbin/in.telnetd talk dgram udp wait nobody.tty /usr/sbin/in.talkd Die erste Zeile gibt an, dass beim Zugriff auf den TCP-Port telnet (die Portnummer steht in der Datei /etc/services) das Programm /usr/sbin/in. telnetd mit den Rechten des Verwalters gestartet werden soll. Sobald das Programm gestartet ist, werden neue in.telnetd-Prozesse gestartet, falls weitere Zugriffe auf den Port erfolgen. Im zweiten Beispiel wird das Programm /usr/sbin/ in.talkd mit den Rechten des Benutzers nobody und der Gruppe tty gestartet, sobald ein Zugriff auf den UDP-Port talk erfolgt. Ein neuer in.talkd Prozess wird erst gestartet, wenn der laufende beendet ist. Die Datei /etc/inetd.conf zeigt, über welche Dienste von fremden Rechnern aus auf Ihren Rechner zugegriffen werden kann, auch wenn die entsprechenden Programme gar nicht ausgeführt werden. Sie sollten alle Dienste, die Sie nicht benötigen, in dieser Datei auskommentieren, indem sie den entsprechenden Zeilen ein Doppelkreuz voranstellen. Das Programm inetd wird wie alle anderen Dienste oder Dämonen während des Systemstarts über ein Skript im Verzeichnis /etc/init.d/ gestartet. Der Name des Skriptes lautet inetd. Wenn Sie die Datei /etc/inetd.conf verändert haben, müssen Sie inetd veranlassen, die Konfiguration neu einzulesen: debian:~# /etc/init.d/inetd reload Das Argument restart beendet den Dienst und startet ihn dann erneut, funktioniert auch. Einige einfache Aufgaben (Internal Services) erledigt der Super-Dämon selbst. Auf diese wird mittels eines telnet-Clients folgendermaßen zugegriffen: joe@debian:~$ telnet server dienst Als server ist der Name oder die IP-Adresse der Maschine anzugeben, auf dem der Super-Dämon läuft, als dienst der Name oder die Portnummer des gewünschten Dienstes. Diese sind: • •
•
echo Port 7, nach RFC 862, echot die ankommenden Zeichen, bis der telnetClient beendet wird, time Port 37, nach RFC 868, gibt die Zeit in Sekunden seit dem 1. Januar 1900 als maschinenlesbare Dualzahl mit 32 Stellen zurück, beendet sich selbst, ein Vorläufer des Network Time Protocols (NTP), daytime Port 13, nach RFC 867, anwortet mit Datum und Uhrzeit in Form einer lesbaren ASCII-Zeichenkette, beendet sich selbst,
16.9 Fernbenutzung von Rechnern
• •
785
chargen Port 19, nach RFC 864, verschluckt ankommende Zeichen und antwortet mit einem eigenen Zeichenstrom, bis der telnet-Client beendet wird, discard Port 9, nach RFC 863, verschluckt ankommende Zeichen, gibt keine Antwort, bis der telnet-Client beendet wird.
Die Dienste sind in der Konfiguration des Super-Dämons auszukommentieren oder freizuschalten: debian:~# update-inetd -enable daytime Sie müssen auch in /etc/services bekannt sein. Da sie heute keine Rolle mehr spielen, kann man sie bedenkenlos stilllegen, vielleicht mit Ausnahme von daytime über TCP, mit dessen Hilfe man feststellen kann, ob ein ferner SuperDämon munter ist: joe@debian:~$ netcat example.com 13 netcat oder nc ist wie cat ein einfaches, vielseitig verwendbares Werkzeug. 16.8.2 Konfiguration mit update-inetd Besonders einfach lassen sich von inetd kontrollierte Dienste ein- oder ausschalten, wenn man das Programm update-inetd verwendet. Um den FTP-Dienst abzuschalten, ist es folgendermaßen aufzurufen: debian:~# update-inetd --disable ftp Wenn der Dienst später wieder verfügbar gemacht werden soll, wird dieses Kommando benutzt: debian:~# update-inetd --enable ftp Das Programm veranlasst auch, dass inetd die veränderte Konfigurationsdatei neu einliest, sodass die Verwendung weiterer Kommandos nicht notwendig ist. Außerdem kann update-inetd Einträge löschen oder hinzufügen. Näheres in der Manualseite zum Programm.
16.9 Fernbenutzung von Rechnern 16.9.1 Telnet Telnet ist ein altes Internet-Protokoll nach RFC 854, mit dem ein Rechner von einem anderen Rechner im Netz aus gesteuert werden kann. Dabei wird auf dem zu steuernden Rechnern ein Serverprogramm, der Telnet-Dämon, ausgeführt. Das Clientprogramm nimmt die Verbindung zu dem Server auf und meldet sich dort an, wobei der Benutzer des Telnet-Clients nach Benutzernamen und Passwort auf dem fernen Rechner gefragt wird. Der Telnetserver startet dann ein Programm, dessen Ausgaben an den Clientrechner geschickt und dort ausgegeben werden. Ebenso werden nach
786
16 Netzdienste
dem Aufbau der Verbindung alle am Clientrechner vorgenommenen Eingaben an den fernen Rechner geschickt. Als Vorgabe wird auf dem fernen Rechner eine Shell gestartet, mit der es sich genauso arbeitet, wie es der Fall ist, wenn man direkt vor dem fernen Rechner sitzt. Die Einrichtung eines Telnetservers beschränkt sich im Wesentlichen auf das Einrichten des entsprechenden Paketes. Der Telnetserver wird über den Super-Dämon inetd gestartet und durch tcpd gesichert. Zur Durchführung der Authentifizierung benutzt der Telnet-Dämon das Programm login, also dasselbe Programm, das auch benutzt wird, wenn ein Benutzer sich an der Konsole anmeldet. Das Programm erlaubt die Anmeldung des Systemverwalters nur von den (virtuellen) Terminals aus, die in der Datei /etc/securetty eingetragen sind. Per Vorgabe kann sich der Verwalter deswegen über Telnet nicht am System anmelden. Er kann sich aber mit einem gewöhnlichen Benutzerkonto über Telnet einloggen und dann mit sudo Kommandos eingeben oder mit su die Benutzeridentität wechseln, wobei wertvolle Passwörter über die Leitung gehen. Bei Debian stehen drei Varianten des Telnetclients und -servers zur Auswahl: • • •
In dem Paketpaar telnet und telnetd die klassische BSD-Variante, in dem Paketpaar inetutils-telnet und inetutils-telnetd eine verbesserte Variante aus dem GNU-Projekt, in dem Paketpaar telnet-ssl und telnetd-ssl eine Variante, die von Verschlüsselung mittels Secure Sockets Layer (SSL) Gebrauch macht, aber auch mit nichtverschlüsselnden Kollegen redet.
Telnet-SSL wird von dem Alternativen-System erfasst, sodass ein Benutzer mit dem Kommando telnet in Wirklichkeit /usr/sbin/telnet-ssl erwischt: joe@debian:~$ ls -l /etc/alternatives/telnet Außer ein paar zusätzlichen Bemerkungen beim Aufbau der Verbindung merkt der Benutzer nichts von der Verschlüsselung. Secure Sockets Layer (SSL) oder Transport Layer Security (TLS) ist ein Verschlüsselungsprotokoll zwischen Transportund Anwendungsschicht und eignet sich zum Absichern unsicherer Protokolle wie Telnet oder HTTP. SSL stammt von Netscape, TLS von der IETF (RFC 4346). Bekannte Implementierungen sind die Funktionsbibliotheken OpenSSL (http:// www.openssl.org/) und GnuTLS (http://www.gnu.org/software/ gnutls/). Das Programm telnet wird mit dem Namen des Rechners, zu dem die Verbindung aufgebaut werden soll, als Parameter aufgerufen. Um eine Telnet-Verbindung zu dem Rechner verwaltung.firma.de aufzubauen, ist folgendes Kommando einzugeben: joe@debian:~$ telnet verwaltung.firma.de Sobald die Verbindung steht, meldet sich auf der anderen Seite der Telnetserver und fragt nach Benutzernamen und Passwort. Nach erfolgreicher Authentifizierung startet er eine Shell. Dann können Kommandos eingegeben werden, die auf dem fernen Rechner ausgeführt werden.
16.9 Fernbenutzung von Rechnern
787
Normalerweise versucht Telnet, eine Verbindung mit Port 23 des Zielrechners aufzubauen. Dies ist der Port, den ein Telnetserver beobachtet. Sie können Telnet aber auch verwenden, um eine Verbindung zu einem anderen Port (Dienst) aufzubauen, indem Sie hinter dem Rechnernamen die Nummer des Ports angeben. Wenn Sie sich dafür interessieren, wie Ihr SMTP-(Mail-)Server auf Verbindungen antwortet, geben Sie folgendes Kommando ein: joe@debian:~$ telnet localhost 25 Damit wird eine Verbindung auf Port 25 aufgebaut. Das ist der Port, den ein SMTPServer auf eingehende Verbindungen hin beobachtet. Sie können über die TelnetVerbindung das ganze Mail-Protokoll von Hand fahren3 , die unbequemste Art Mail zu versenden, aber für Testzwecke hilfreich. Ein moderneres Werkzeug für diese Zwecke ist nc oder netcat (Symlink auf nc) aus dem Debian-Paket netcat. Der Nachteil des normalen Telnet-Protokolls besteht darin, dass der Datenaustausch zwischen Client und Server unverschlüsselt über die Leitung geht. Auch Passwörter werden im Klartext verschickt, sodass man das Programm in unsicheren Netzen wie dem Internet nicht benutzen soll. Dasselbe gilt auch für die Berkeleyr-Kommandos (rsh, rcp, rlogin) und für den Netzverkehr von X11. Auswege bieten Telnet-SSL und die Secure Shell (SSH), siehe Abschnitt 16.9.3 Secure Shell auf Seite 789. 16.9.2 Berkeley-r-Kommandos Gelegentlich möchte man den Zugriff auf Rechner vereinfachen. Wenn in einem kleinen, abgeschotteten Netz eine Reihe von Benutzern gleichzeitig mit verschiedenen Rechnern arbeitet, kann es als ausreichend sicher angesehen werden, wenn die Benutzer sich einmal an einem der Rechner anmelden und danach nicht mehr an jedem weiteren Rechner authentifizieren müssen. Zu diesem Zweck stehen die Berkeley-r-Kommandos (r = remote) zur Verfügung. Dabei handelt es sich um eine Reihe von Server- und Clientprogrammen, mit denen auf andere Rechner zugegriffen werden kann, ohne dass eine erneute Anmeldung erforderlich ist. Während Telnet ein Internet-Protokoll ist, beschränken sich die Berkeley-r-Kommandos auf die Linux/UNIX-Welt. Der Einsatz dieser Programme ist nur dann sinnvoll, wenn auf allen beteiligten Rechnern dieselben Benutzernamen und Passwörter eingesetzt werden: •
rsh/in.rshd Das Paar erlaubt, ein bestimmtes Programm auf einem fremden Rechner aufzurufen. Dabei stellt das Programm rsh die Verbindung zu einem durch einen Parameter angegebenen Rechner her. Auf dem Zielrechner überprüft das Programm in.rshd, ob der Zugriff erfolgen darf und führt dann ein Programm aus, das an der rsh-Kommandozeile mit einem weiteren Parameter angegeben wurde. Die Standard-Ein- und -Ausgabe dieses Programms wird mit der Standard-Ein- und -Ausgabe von rsh verbunden, sodass das Programm wie ein 3
weil SMTP ein ASCII-Protokoll ist, das im Dialog gewöhnlichen Text verwendet.
788
•
•
16 Netzdienste
lokal ausgeführtes Programm benutzt wird. Wenn kein Programm angegeben ist, wird die Standardshell des aufrufenden Benutzers ausgeführt. rlogin/in.rlogind Die beiden Programme ermöglichen, ähnlich wie Telnet Sitzungen an einem fernen Rechner zu starten. Wie üblich dient das Programm rlogin dazu, von einem Clientrechner aus eine Verbindung zu initiieren, während das Programm in.rlogind das entsprechende Server-Programm darstellt und rlogin-Zugriffe beantwortet. rcp Das Programm erlaubt, Dateien von einem Rechner zu einem anderen zu kopieren. Zu dem Programm gibt es kein spezielles Server-Programm, vielmehr benutzt es den rsh-Dienst, um auf fremde Rechner zuzugreifen.
Die Zugriffssteuerung für die r-Kommandos erfolgt über die Datei /etc/hosts. equiv. Einträge in der Datei haben folgendes Format: [+ | -] [Rechnername] [Benutzername] Zusätzlich darf die Datei leere Zeilen und Kommentarzeilen enthalten. Kommentare werden mit einem Doppelkreuz eingeleitet. Um Benutzern von bestimmten Rechnern den Zugriff auf den eigenen Rechner zu gestatten, sind die Namen der Rechner in der Datei mit Rechnername anzugeben. Angenommen, in der Datei befinde sich folgende Zeile: verwaltung.firma.de dann können alle Benutzer, die am Rechner verwaltung.firma.de angemeldet sind, auf den eigenen Rechner zugreifen. Dabei wird auf beiden Rechnern dasselbe Benutzerkonto verwendet. Wenn sich Benutzer joe an dem Rechner buchhaltung.firma.de angemeldet hat und dann per rsh auf verwaltung.firma.de zugreift, wird er dort automatisch mit dem Namen joe angemeldet. Falls es auf verwaltung.firma.de kein Benutzerkonto mit dem Namen joe geben sollte, schlägt die Anmeldung fehl. Wenn in der Datei /etc/hosts.equiv hinter einem Rechnernamen ein Benutzername angegeben ist, wird dem Benutzer erlaubt, ohne ein Passwort jedes Benutzerkonto zu verwenden, das auf dem lokalen Rechner vorhanden ist mit Ausnahme des Verwalter-Kontos. Diese Einstellung sollte vermieden werden. Aus Sicherheitsgründen empfiehlt es sich auch, in der Datei /etc/hosts.equiv nur voll qualifizierte Rechnernamen zu verwenden. Außerdem sollten die Dienste mit dem Programm tcpd vor unbefugtem Zugriff geschützt werden. Neben den systemweiten Einstellungen in der Datei /etc/hosts.equiv kann jeder Benutzer in seinem Home-Verzeichnis eine Datei mit dem Namen .rhosts anlegen, die eine ähnliche Wirkung hat. Das Format der Datei ist: Rechnername [Benutzername] Der Benutzer, dem die Datei gehört, erlaubt damit, dass von dem mit Rechnername spezifizierten Rechner aus auf sein Konto auf diesem Rechner zugegriffen wird. Auch hierbei ist es erforderlich, dass die Benutzernamen auf beiden Rechnern gleich sind. Wenn hinter dem Rechnernamen ein Benutzername
16.9 Fernbenutzung von Rechnern
789
angegeben ist, kann auf das Konto von dem mit Rechnername angegebenen Rechner aus auf diesen Rechner zugegriffen werden, wenn dort das Konto mit dem mit Benutzername angegebenen Namen benutzt wird: verwaltung.firma.de buchhaltung.firma.de joe Hiermit erlaubt der Besitzer der Datei .rhosts, dass auf sein Konto auf diesem Rechner von dem Rechner verwaltung.firma.de zugegriffen wird, wenn dort das Benutzerkonto mit dem gleichen Namen benutzt wird, den sein Benutzerkonto auf diesem Rechner hat. Außerdem gestattet er den Zugriff vom Rechner buchhaltung.firma.de aus, wenn von dort mit dem Benutzerkonto des Benutzers joe zugegriffen wird. Wenn der Verwalter eine Datei .rhosts in seinem Home-Verzeichnis anlegt, wird diese aus Sicherheitsgründen nicht beachtet. Das Programm checkrhosts sollte gelegentlich vom Verwalter aufgerufen werden. Es gibt Hinweise zu Sicherheitsproblemen, die durch die .rhosts-Dateien der Benutzer verursacht werden. Die r-Protokolle sind unsicher. Daten, Benutzernamen und Passwörter werden unverschlüsselt im Netz übertragen. Sie sollten deswegen nicht auf unsicheren Strecken (Internet) benutzt werden. Eine sichere Alternative für die Protokolle steht mit der Secure Shell (SSH) zur Verfügung. Die Programme dieses Paketes können so konfiguriert werden, dass sie ebenfalls die Dateien /etc/hosts.equiv bzw. .rhosts benutzen. Am besten lässt man von dem ganzen r-Zeug die Finger, es passt nicht in heutige Netze. 16.9.3 Secure Shell (SSH) Die Secure Shell (SSH) ist kein Gesprächspartner wie die Bash, sondern ein Protokoll für Netzverbindungen und darauf aufbauend eine Handvoll von Programmen, ursprünglich um 1995 von TATU Y LÖNEN entwickelt, später im RFC 4251 beschrieben. Leider bestehen mehrere miteinander unverträgliche Versionen. Version 1 (SSH1) war der Anfang und wurde nach wenigen Jahren von der Version 2 (SSH2) abgelöst, da sie Sicherheitsmängel aufwies. Aus der Version 2 leitet sich das OpenSSH-Projekt her, das für uns die wichtigste Quelle darstellt. Eine dritte Generation von SSH (SSH G3) kam 2005 auf den Markt. Der Heimathafen von OpenSSH ist http://www.openssh.org/. OpenSSH entwickelt sich in zwei Linien: die erste besteht aus reinem OpenBSD-Code, die zweite fügt Code hinzu, der es ermöglicht, OpenSSH auf möglichst viele Betriebssysteme zu portieren. Die Debian-Pakete beruhen auf der zweiten Linie. In einer Versionsbezeichnung wie 4.3p2 weist das p auf die Portabilität hin. Wie bei Telnet und vielen anderen Netzdiensten läuft auf dem fernen Rechner ein Server oder Dämon, der sshd, und lokal ein Client, hier ssh. Mit Hilfe des Clients kann sich ein Benutzer auf der fernen Maschine einloggen, dort Kommandos ausführen, Dateien hin- und herkopieren sowie X11-Verbindungen oder beliebige TCP/IPPorts sichern. Damit stellt SSH einen zeitgemäßen Ersatz für Telnet, die meisten
790
16 Netzdienste
Berkeley-r-Kommandos und teilweise FTP zwischen sich nicht vertrauenden Rechnern über einen unsicheren Kanal dar. Eine Secure Shell erfüllt zwei voneinander unabhängige Aufgaben: • •
Sie authentifiziert einen Benutzer oder einen Host, sie verschlüsselt den Datenaustausch zwischen Client und Server.
Die SSH-Authentifizierung erfolgt hostbasiert (/etc/shosts.equiv, $HOME/ .shosts), über ein Schlüsselpaar oder – wenn nichts anderes Erfolg hat – über Benutzername und Passwort, siehe man ssh. Client und Server handeln asymmetrisch verschlüsselt (RSA = R IVEST, S HAMIR, A DLEMAN, siehe Wikipedia unter RSAKryptosystem) einen temporären Schlüssel aus, mit dem die Sitzung symmetrisch verschlüsselt wird (mehrere Verfahren zur Auswahl wie 3DES, AES, Blowfish). Auf dem fernen Rechner ist ein Dämon namens sshd aus dem Paket opensshserver einzurichten und lokal ein Client namens ssh aus dem Paket openssh-client. Das Paket ssh dient nur noch für eine Übergangszeit als Hülle für die beiden erstgenannten Pakete und soll nicht mehr verwendet werden. Das Clientpaket bringt einige Anwendungen und Werkzeuge mit, weitere findet man in den Paketlisten, indem man nach Paketnamen mit ssh sucht. Die systemweite Konfiguration ist im Verzeichnis /etc/ssh zu finden, die benutzereigene im Verzeichnis .ssh im Home-Verzeichnis. Nach der Einrichtung müssen mittels ssh-keygen der Verwalter ein systemweites und jeder Benutzer ein persönliches Schlüsselpaar für die unsymmetrische Verschlüsselung erzeugen. Zum Anmelden an einem fernen Rechner dient das Kommando slogin, das ähnlich wie telnet oder rlogin zu gebrauchen ist. Auch TCP/IP- oder X11Verbindungen lassen sich durch eine verschlüsselte SSH-Verbindung durchschleusen (tunneln). Einzelheiten auf den Manualseiten zu den Kommandos ssh, sshd, ssh-keygen, scp und sftp. Die vom Benutzer mittels ssh-keygen erzeugten Schlüssel werden im persönlichen Konfigurationsverzeichnis in je einer Datei abgelegt, wovon die nichtöffentliche die Zugriffsrechte 600 und die öffentliche die Rechte 644 haben sollen. Eine im übrigen richtige Konfiguration auf Client- und Serverseite vorausgesetzt kann sich dann ein Benutzer auf einem fernen Rechner einloggen: joe@debian:~$ slogin rechnername slogin ist ein anderer Name für das Kommando ssh ohne ein auszuführendes Kommando als Argument. Bei der ersten Verbindung wird gefragt, ob der öffentliche Schlüssel des fernen Rechners gespeichert werden soll, was zu bejahen ist, falls keine Zweifel an der Verbindung bestehen. Der Schlüssel wird in der Datei .ssh/known_hosts im Home-Verzeichnis gespeichert. Der Verwalter kann den Schlüssel bereits im systemweiten Konfigurationsverzeichnis hinterlegt haben, dann entfällt die Abfrage. Ändert der ferne Rechner seinen Schlüssel, was bei Neuinstallationen vorkommt, verursacht der nunmehr veraltete Schlüssel eine Warnung. Am einfachsten löscht man mit einem Texteditor die ungültig gewordene Zeile in known_hosts und beginnt ein neues Verhältnis. Beendet wird die sloginVerbindung mit exit, nicht anders als ein lokales Textterminal.
16.9 Fernbenutzung von Rechnern
791
Auch das Fernkopieren mit der Secure Shell geht denkbar einfach. Mittels des Kommandos: joe@debian:~$ scp lokale_datei user@ferner_rechner:ferner_pfad kopiert man eine lokale Datei unter dem angegebenen Benutzernamen auf den fernen Rechner in den genannten Pfad. In umgekehrter Richtung sind die beiden Argumente zu vertauschen. Es lassen sich sogar von einem Rechner aus Fernkopien zwischen einem zweiten und einem dritten Rechner austauschen. Das Kommando sftp verhält sich ähnlich wie ftp und setzt auf der Gegenseite einen SFTP-Server voraus, kommuniziert also nicht mit unsicheren FTP-Servern herkömmlicher Art. 16.9.4 Virtual Network Computing Virtual Network Computing (VNC) ist eine nach dem Client-Server-Modell aufgebaute Software, die den Bildschirminhalt eines fernen Rechners (VNC-Server) auf den lokalen Rechner (VNC-Client oder -Viewer) bringt und im Gegenzug Tastaturund Mauseingaben vom lokalen Rechner zum fernen Rechner schickt. Die beteiligten Rechner dürfen unterschiedliche Betriebssysteme fahren. Das ist auch die vorwiegende Anwendung. In einer reinen Linux/UNIX-Umgebung stehen mit telnet/rlogin/slogin für Textfenster und X11 für grafische Fenster andere Wege offen. Die Software wird oft zur Fernwartung von Rechnern eingesetzt, ist aber nicht darauf beschränkt. Das Original von AT&T ist unter dem Namen RealVNC auf http://www. realvnc.com/ zu finden – auch in einer Version zum kostenfreien Download nach der GPL. Bei Debian liegen mehrere diesbezügliche Pakete mit der Zeichenfolge vnc im Namen. Es gibt auch einen in Java geschriebenen Viewer, der mit jedem java-fähigen Web-Browser verwendet werden kann. Probleme sind zu erwarten, wenn sich ein Proxy zwischen VNC-Server und Web-Browser schiebt. Auf Linux/UNIX-Maschinen macht VNC von X11 Gebrauch. Richten wir auf der fernen Maschine RealVNC oder das Debian-Paket vncserver ein, so legt der erstmalige Aufruf: joe@debian:~$ vncserver ein Verzeichnis $HOME/.vnc an und fragt nach einem Benutzerpasswort. Das Passwort ist unabhängig vom Linux/UNIX-Passwort und kann später mit dem Kommando vncpasswd geändert werden. Dann meldet es, dass ein Desktop (Display) mit einem Namen wie server:1 und ein Startskript $HOME/.vnc/xstartup eingerichtet seien. Das Startskript setzt einige X11-Variable und ruft per Default xterm (Terminal-Emulator, siehe Abschnitt 3.12 Terminal-Emulatoren auf Seite 225) und twm (Fenster-Manager, siehe Abschnitt 3.6 Fenster-Manager auf Seite 201) auf, sofern vorhanden. Auf reinen Server-Maschinen ohne X11 sind die beiden Pakete nachzurüsten, auf Arbeitsrechnern dürften sie vorhanden sein. In xstartup lassen sich auch andere oder zusätzliche X-Clients eintragen. In seinem Aufbau gleicht es einer .xinitrc-Datei. Der VNC-Server verhält sich zu X-Clients auf seiner Maschine
792
16 Netzdienste
Abb. 16.7: Screenshot eines VNC-Viewers, der ein fernes xterm, darin top, und eine ferne dclock darstellt
wie ein X-Server, steuert jedoch kein reales Terminal, sondern ein virtuelles, auf das lokal oder über das Netz mittels eines VNC-Viewers zugegriffen wird. Beenden des VNC-Servers mit: joe@debian:~$ vncserver -kill :1 vor Ort oder im Viewer. Die 1 ist die Nummer des Displays. Auf unserem Arbeitsplatz ist ein VNC-Viewer einzurichten, beispielweise aus dem Debian-Paket xvncviewer. Es stehen mehrere zur Auswahl. Der Aufruf: joe@debian:~$ xvncviewer server:1 (für server ist der Name der fernen Maschine einzusetzen) zaubert uns nach Eingabe des oben erwähnten VNC-Passworts ein X-Terminal auf den Schirm, das auf dem fernen Rechner läuft, wie man mit dem Kommando hostname feststellt. Abbildung 16.7 zeigt das Ergebnis. Auf dem fernen Rechner (server1) läuft kein X-Server wie XFree86 oder X.org. Beabsichtigt man, VNC intensiv zu nutzen, sollte man die Belastung der Rechner und des Netzes minimieren, indem man einige Einstellungen wie die Farbtiefe auf erforderliche Werte zurückschraubt. Das VNC-Protokoll kennt weder eine ordentliche Authentifizierung – das VNCPasswort kann man kaum als solche bezeichnen – noch eine Verschlüsselung des Datenverkehrs. In einer unsicheren Umgebung ist die VNC-Verbindung ähnlich wie
16.10 Fernkopieren (FTP)
793
eine X11-Verbindung durch eine Secure Shell zu tunneln. Angenommen die beteiligten Rechner sehen sich im Netz, dann richten wir einen SSH-Tunnel von unserer Maschine zu der fernen Maschine namens server ein, auf der vncserver laufen soll : joe@debian:~$ ssh -L 15901:server:5901 server Nach Eingabe des Linux/UNIX-Passwortes für die ferne Maschine wird lokal ein Port mit der weitgehend frei wählbaren Nummer 15901 geöffnet, der über SSH zum Port 5901 auf dem fernen Server führt. Das ist der Tunnel. Der VNC-Server ist per Default mit dem Port 590x verbunden, wobei x die Nummer des Desktops ist, beim ersten Desktop also 1. Über die SSH-Verbindung starten wir unseren VNC-Server auf der fernen Maschine, siehe oben. Anschließend starten wir lokal den Viewer und verbinden ihn mit dem lokalen Port 15901: joe@debian:~$ xvncviewer localhost:15901 Nach Eingabe des VNC-Passwortes erhalten wir ein xterm, das auf dem fernen Server läuft. Bei dieser Gelegenheit lassen sich die Reiter von GNOME bzw. die Befehlsfenster von KDE gut gebrauchen. Wollen wir die Verbindung beenden, killen wir zuerst wie oben beschrieben in xterm den VNC-Server und schließen dann in dem Fenster oder Reiter, in dem wir den VNC-Server gestartet haben, mittels ˜. (Tilde Punkt) den SSH-Tunnel.
16.10 Fernkopieren (FTP) 16.10.1 FTP-Server Das File Transfer Protocol (FTP) nach RFC 959 dient zum Übertragen (Fernkopieren) von beliebigen Dateien im Netz in beide Richtungen (hochladen, herunterladen). Es handelt sich dabei um ein Client-Server-Protokoll. Mit einem Client-Programm bezieht man Dateien von einem Rechner, auf dem ein FTP-Server ausgeführt wird. Außerdem können Dateien mit dem Client auf den Server kopiert werden oder dort gelöscht werden. FTP ist im Gegensatz zu HTTP ein zustandsbehaftetes Protokoll, es wird eine Verbindung oder Sitzung zwischen Client und Server aufgebaut und beendet. Das bedeutet, dass Sie – anders als beim Surfen im Web – während einer Verbindung keine Kaffeepause einlegen sollen. Voraussichtlich beendet der Server nach längerer Ruhe auf der Strecke die Verbindung von sich aus (Timeout). Das Protokoll belegt zwei Ports, einen für die Verhandlung (21) und einen für die Daten (20), siehe /etc/services. FTP ist wie Telnet ein unsicheres Protokoll. Benutzernamen, Passwörter und Daten werden unverschlüsselt übertragen. Es sollte deswegen nicht benutzt werden, um vertrauliche Informationen über unsichere Strecken zu transportieren. Eine verschlüsselte Alternative bietet der Client sftp an Stelle von ftp. Weil dieser Aspekt beim anonymen FTP jedoch keine Rolle spielt (kein echtes Passwort erforderlich, die
794
16 Netzdienste
Daten sind öffentlich), ist das Protokoll weit verbreitet, auch zum Herunterladen von Debian-Paketen. Die Einrichtung eines FTP-Servers ist einfach. Wir beschreiben hier das Vorgehen beim pure-ftpd, der eine schlanke, anpassungsfähige und sicherheitsbewusste Lösung darstellt, Heimathafen http://www.pureftpd.org/. Bei Debian findet sich ein Dutzend Alternativen in der Abteilung Network der Paketliste, beispielsweise The Very Secure FTP Daemon im Paket vsftpd. Wir benötigen die Debian-Pakete pure-ftpd und pure-ftpd-common, dazu gegebenenfalls besondere Pakete zur Benutzer-Authentifizierung gegen Datenbanken. Der Dämon wird in /etc/default/pure-ftpd-common konfiguriert und weiter über Optionen beim Aufruf, als Knecht des inetd-Dämons durch eine Zeile in der Datei /etc/inetd.conf, als Solist durch eine Zeile im Startskript /etc/init.d/ pure-ftpd. Im Verzeichnis /etc/pure-ftpd stehen auch noch einige Angaben. Vorgänge werden in /var/log/syslog protokolliert, alternativ im Verzeichnis /var/log/pureftpd/ (Option -O). Die Option -A trägt zur Sicherheit bei, indem sie jeden Benutzer mittels chroot auf sein Home-Verzeichnis beschränkt, sodass er nicht wie unter Linux/UNIX sonst üblich im ganzen Dateisystem lustwandeln kann. Wir gehen auf diese Möglichkeit in Abschnitt 18.5 Gefängnisse auf Seite 930 näher ein. Der Server lässt sich dazu bewegen, mittels SSL/TLS zu verschlüsseln. Dann können alle auf dem Server eingetragenen Benutzer per FTP auf das ganze Dateisystem bzw. nur auf ihre Home-Verzeichnisse zugreifen. Eine Ausnahme stellen die Benutzer dar, deren Namen in der Datei /etc/ftpusers eingetragen sind. Diese Benutzer können nicht per FTP zugreifen. Aus Sicherheitsgründen sind der Verwalter und seine Dämonenschar in die Datei eingetragen. 16.10.2 Anonymous-FTP Damit auf Ihren Server per Anonymous-FTP – ohne Passwort – zugegriffen werden kann, ist zusätzlicher Konfigurationsaufwand notwendig. Zunächst müssen eine Gruppe und ein Benutzerkonto mit dem Namen ftp eingerichtet werden: debian:~# adduser --system --group --home /var/pub ftp Die Option --system bewirkt, dass ein Systembenutzer angelegt wird, kein gewöhnlicher Benutzer. Unter anderem bekommt der Benutzer /bin/false als Shell und kann sich nicht einloggen. Die Option --group führt zur gleichzeitigen Einrichtung der Gruppe ftp. Das Home-Verzeichnis dieses Benutzers ist das Verzeichnis, das beim anonymen Zugriff als Wurzelverzeichnis gesehen wird. Falls es bereits existiert, wird gewarnt, aber das hat seine Richtigkeit. Der Benutzer ftp soll nichts dürfen oder besitzen, insbesondere nicht sein Home-Verzeichnis und dessen Inhalt. Als dessen Besitzer bieten sich Benutzer wie ftpadm oder wwwadm an. Oft fallen Webspace und Anonymous-FTP-Space zusammen, beide sind öffentlich lesbar. Dann ist die Konfiguration von pure-ftpd so einzustellen, dass sie anonymes Lesen zulässt.
16.10 Fernkopieren (FTP)
795
Wenn nun jemand mit dem Benutzernamen ftp auf den FTP-Dienst zugreift, wechselt der FTP-Server in das Verzeichnis /var/pub und macht es zu seinem Wurzelverzeichnis. Danach kann der FTP-Server nur noch auf Dateien und Verzeichnisse zugreifen, die sich in diesem Verzeichnis befinden. Gelegentlich ist das Programm ls aufzurufen, weswegen es erforderlich sein kann, dieses Programm und einige andere Dateien innerhalb von /var/pub als Kopie (nicht als Link) zur Verfügung zu stellen. Der pure-ftpd beherrscht das Kommando jedoch selbst. Er verlangt auch von einem anonymen Benutzer kein irgendwie geartetes Passwort, das ohnehin zu nichts taugt. Dateien, die Sie anderen auf dem Server zugänglich machen wollen, sind im Verzeichnis /var/pub abzulegen. Sie können dort Unterverzeichnisse anlegen, um Ordnung zu halten. Alle Verzeichnisse innerhalb von /var/pub müssen lesund durchsuchbar für alle Benutzer sein (755). Dateien sollten lesbar für alle Benutzer sein (644). Wenn Sie ein Verzeichnis einrichten möchten, in das Benutzer Ihres Servers Dateien hochladen dürfen (/var/pub/incoming oder /var/pub/ upload), dann soll das Verzeichnis mit Schreibrechten für alle Benutzer ausgestattet sein (733). Es versteht sich, dass dieses Verzeichnis sorgfältig beobachtet werden muss, damit sich dort keine unerwünschten Gäste breit machen. Mit der Option -s sorgt der pure-ftpd dafür, dass hochgeladene, im Besitz von ftp befindliche Dateien nicht anonym gelesen werden dürfen. Andernfalls kämen Sie in Kürze mühelos zu einer Tauschbörse. 16.10.3 FTP-Clients Es gibt eine Reihe von FTP-Clientprogrammen. Auch viele Web-Browser beherrschen FTP. In Netscape oder Abkömmlingen ist zu diesem Zweck ein URL einzugeben, der das File Transfer Protocol bezeichnet, etwa ftp://ftp.de.debian. org/. Als Vorgabe verwenden die Programme Anonymous FTP. Der klassische FTP-Client ist das Kommandozeilenprogramm ftp. Dem Programm wird der Name des FTP-Servers als Argument mitgegeben. Um eine FTPVerbindung zu dem Rechner ftp.de.debian.org aufzubauen, ist folgendes Kommando einzugeben: joe@debian:~$ ftp ftp.de.debian.org Das Programm ftp baut die Verbindung auf. Als Benutzername ist ftp einzutippen, als Passwort am einfachsten nur . Sobald die Verbindung steht, wird ein Gruß des fernen Servers ausgegeben: Connected to ftp.de.debian.org. 220- FTP Server ftp.de.debian.org ready. 230- Welcome to ftp.de.debian.org, hosted at Dpt. of CS, Technical University of Dresden, Germany. 230- Anonymous access granted, restrictions apply. Remote system type is UNIX. Using binary mode to transfer files. ftp>
796
16 Netzdienste
Die Authentifizierung ist abgeschlossen, die Verbindung steht, es kann auf dem fernen Rechner gearbeitet werden. Dazu erscheint der Prompt des Programms ftp. Am Prompt lassen sich verschiedene FTP-Kommandos eingeben, mit denen die Verzeichnisse auf dem fremden Rechner angezeigt, Dateien übertragen oder Einstellungen verändert werden können. Die FTP-Kommandos tragen zum Teil dieselben Namen wie Linux/UNIX-Kommandos, sind aber von diesen zu unterscheiden. Sie werden vom FTP-Serverprogramm, nicht von einer Shell entgegengenommen. Die wichtigsten FTP-Kommandos sind: • • • • • • • • •
pwd print working directory, wie Linux/UNIX, ls list directory, keine Optionen oder Aliasse, cd change directory, wie Linux/UNIX, get hole, Argument ein Dateiname auf dem Server, put lade hoch, Argument ein lokaler Dateiname, ascii schalte in den ASCII-Modus, siehe unten, binary oder image schalte in den binären Modus, siehe unten, ? oder help zeige die dem Server bekannten FTP-Kommandos an, quit beende Sitzung und Client.
Die Kommandos get und put verstehen ein zweites Argument, das den Namen der übertragenen Datei auf dem Zielrechner darstellt, praktisch, falls die Datei dort einen anderen Namen erhalten soll: ftp> put strato.html index.html Von den beiden Kommandos gibt es eine Variante, die Jokerzeichen wie die Shell versteht: ftp> mget *.tex lädt alle .tex-Dateien des aktuellen Verzeichnisses herunter, fragt aber jedesmal nach. Will man sich die Fragerei ersparen, gibt man vorher das FTP-Kommando prompt ein, das zwischen Fragen und Nicht-Fragen hin und her schaltet. Im Binary- oder Image-Modus werden die Daten als ein zusammenhängender Strom von Bits, zu je acht in ein Byte gebündelt, verschickt. Die lokale Kopie ist ein bit-getreues Abbild der Datei auf dem Server. Das ist in jedem Fall richtig, weil man etwaige Transformationen der Daten auch nachträglich lokal vornehmen kann. Die Darstellung von Zeichen einschließlich Zeilenwechsel variiert in den verschiedenen Rechnerwelten erheblich. Texte sollten daher im ASCII-Modus von FTP übertragen werden. Dabei setzt der Server seine lokale Zeichendarstellung in NVT-ASCII (Network Virtual Terminal ASCII, eine Untermenge von 7-Bit-US-ASCII) um und schickt den Text in diesem Format auf die Reise. Der Client transformiert die empfangenen Zeichen in sein lokales Format, falls erforderlich. Nur zwischen gleichartigen Rechnern (Linux/UNIX zu Linux/UNIX) kann auf die Unterscheidung zwischen Image- und ASCII-Modus verzichtet werden. Überträgt man eine binäre Datei (alles, was nicht Text ist) im ASCII-Modus, kann man die Kopie wegwerfen, sie ist nicht zu retten. Die Vorgabe sollte der Image-Modus (binary mode) sein, wie es oben der Fall ist.
16.11 Electronic Mail
797
Liegt der lokale Rechner hinter einer Firewall (DSL-Gateway/Router mit Firewall), muss zum Übertragen FTP im passiven Modus aufgerufen werden. Dazu dient die Option - p oder während der Verbindung das FTP-Kommando passive. Der FTP-Server muss das FTP-Kommando unterstützen, was nicht immer der Fall ist. Falls Sie die Firewall samt NAT selbst gezimmert haben, können Sie auch am NAT drehen, Netfilter kennt das Problem. Mit dem Kommandozeilenprogram wget werden Daten über das Web-Protokoll (HTTP) oder über FTP unbeaufsichtigt heruntergeladen. Dabei ist es möglich, ganze Webserver zu spiegeln oder Seiten rekursiv mit allen Links herunterzuladen. Insbesondere wird wget dazu eingesetzt, Web-Seiten während einer kurzen Online-Zeit herunterzuladen und dann Offline zu lesen. Durch eine Funktion, mit der unterbrochene Downloads automatisch an der Stelle wieder aufgenommen werden, an der sie unterbrochen wurden, lassen sich große Dateien herunterladen. Im Paket gwget ist ein GNOME-Frontend zu wget enthalten. Die Benutzung von Proxies wird bei wget mit den gleichen Umgebungsvariablen konfiguriert, die für den Web-Browser lynx beschrieben wurden, siehe Abschnitt 16.14.3 Andere Browser auf Seite 864. Außerdem ist die Konfiguration über systemweite und persönliche Konfigurationsdateien möglich, siehe Manual. Komfortables Arbeiten mit FTP unter X11 ermöglicht das Programm gftp aus dem Paket gftp-ftk, Heimathafen http://www.gftp.org/, siehe Abbildung 16.8. Um eine anonyme Verbindung zu einem Rechner aufzubauen, reicht es, im Menü Remote den Punkt Open URL auszuwählen und dann den Namen des fernen Rechners einzugeben. Wenn Sie sich mit Benutzername und Passwort an einem Rechner anmelden wollen, geben Sie die entsprechenden Werte in die Felder im oberen Bereich des Fensters ein. Wenn Sie das Feld Port: leerlassen, wird der StandardPort für FTP (21) benutzt. Unter dem Menü Bookmarks finden Sie eine Reihe wichtiger FTP-Server. Die Verbindung zu diesen Servern bauen Sie einfach per Auswahl aus dem Menü auf. Über Add Bookmark und Edit Bookmarks bearbeiten Sie die Liste der vorgefertigten Verbindungen. Die Benutzung des Programms ist einfach: Auf der linken Seite des Fensters sehen Sie die Dateien auf Ihrem lokalen Rechner und auf der rechten Seite die Programme auf dem fernen Rechner. Sie können sich nun wie in einem Dateimanager auf beiden Seiten im Verzeichnisbaum bewegen. Dateien werden mit der Maus markiert und dann mit den Pfeiltasten vom lokalen Rechner auf den fernen oder umgekehrt übertragen. In der Datei /usr/share/doc/gftp/USERS-GUIDE.gz finden Sie eine ausführliche Anleitung. Unter KDE bietet der Dateimanager Konqueror eine ähnliche Funktionalität.
16.11 Electronic Mail 16.11.1 Transportwege Email ist einer der ältesten und wichtigsten Dienste im Internet. Wenn die Email streikt, steht zehn Minuten später eine Schlange von Benutzern vor der Tür des
798
16 Netzdienste
Abb. 16.8: Screenshot des grafischen Werkzeugs gftp zum Fernkopieren mittels des File Transfer Protocol (FTP). Links das lokale Verzeichnis, rechts das ferne Verzeichnis, unten Protokoll-Meldungen.
Verwalters. Der Dienst ermöglicht einen preiswerten und schnellen Austausch von Nachrichten unabhängig vom Standort des jeweiligen Empfängers und Senders. Gegenüber dem Telefon hat Email bei hoher Geschwindigkeit den Vorzug, dass Sender und Empfänger nicht gleichzeitig am Apparat zu hängen brauchen. Im Internet werden Mails sofort befördert und nicht für längere Zeit (Stunden) zwischengelagert. Das war in den Jahren von UUCP und Wählverbindungen anders. Außerdem lässt sich Email speichern oder zu Papier bringen. Unter Linux/UNIX wird Email darüber hinaus verwendet, um Ausgaben von Programmen an den Verwalter zu senden. Seit etwa zehn Jahren leidet Email an einer Überschwemmung durch unerbetene Werbung (Spam) sowie an Versuchen, den Empfängern vertrauliche Daten zu entlocken (Phishing) oder ihnen einen Virus unterzujubeln. Eine gründliche Lösung dieser Probleme ist nur auf Protokollebene möglich, aber das dauert. Wir verstehen unter Email den Dienst, die einzelne Mitteilung nennen wir Mail. Bei der Schreibweise folgen wir D ONALD E. K NUTH (http://www-cs-faculty.stanford.edu/ ~knuth/email.html), nicht dem Duden. Als Genus bevorzugen wir das Femininum, vermutlich in Anlehnung an die Post. Andere sehen das anders. Das Protokoll zum Empfangen und Versenden von Email ist das Simple Mail Transfer Protocol (SMTP) nach RFC 2821, der Aufbau von Mails wird im RFC 2822 beschrieben. Allgemeine Erläuterungen zum Thema Email unter Linux finden Sie in zwei HOWTOs,
16.11 Electronic Mail
799
nämlich dem Mail-Administrator-HOWTO (2000) von G UYLHEM A ZNAR und dem Mail-User-HOWTO (2003) von E RIC S TEVEN R AYMOND (ESR). Die Dokumente liegen außer auf TLDP im Verzeichnis /usr/share/doc/HOWTO/en-html, sofern das Paket doc-linux-html eingerichtet ist. Heute nehmen Mails verschlungene Wege. Verfolgen wir beispielhaft den Weg einer Mail des Zweitautors an sich selbst über verschiedene Email-Anschriften bei zwei Internet-Versorgern. Auf dem Arbeitsplatz daheim – wo diese Zeilen aus den Tasten strömen – läuft ein einfaches, textorientiertes Emailwerkzeug namens mutt, ein sogenannter Mail User Agent (MUA), zuhause auf http://www.mutt. org/, mit umfangreichen Erläuterungen zu mutt und Email auf dem MuttWiki http://wiki.mutt.org/. Die fertige Mail schickt der MUA an einen ebenfalls auf dem Arbeitplatz laufenden Mail Transfer Agent (MTA) namens exim4 mit Heimathafen http://www.exim.org/, der so konfiguriert ist, dass er ausgehende, nicht für das lokale Netz bestimmte Mails per Simple Mail Transfer Protocol (SMTP) nach RFC 2821 und zahlreichen Erweiterungen durch das DSL-Gateway an einen Smarthost des Internet-Versorgers (DSL-Versorger) schickt. Gelegentlich wird noch zwischen Message Submission Agent (MSA) an erster Stelle und MTA an zweiter unterschieden. Der Smarthost kennt sich mit der Verteilung von Mails im Internet aus. Nun verlieren sich die Spuren der Mail in den unendlichen Weiten des Internets, bis sie in der Mailbox des Zweitautors bei dem zweiten Versorger (Webhoster) landet. Dort läuft ein POP- oder IMAP-Server. POP bedeutet Post Office Protocol nach RFC 1939 (Version 3), IMAP Internet Message Access Protocol nach RFC 3501. Auf einem Server im lokalen Netz des Zweitautors wacht jede Viertelstunde ein Werkzeug namens fetchmail auf, Heimathafen http://www.fetchmail. info/, das die Mailboxen der lokalen Benutzer bei verschiedenen Versorgern abklappert und frisch eingetroffene Mails auf den lokalen Server holt, ein Mail Retrieval Agent (MRA). Beim Versorger werden sie dann üblicherweise gelöscht (flush), da sonst irgendwann die dortigen Mailboxen randvoll sind und keine Mails mehr angenommen werden. fetchmail ist ein POP/IMAP-Client, der auch Verschlüsselung und Authentifizierung kennt. Er übergibt die Mails per SMTP dem auf dem lokalen Server laufenden MTA, wieder ein exim4. Dieser sortiert die Mails in die Briefkästen der Benutzer auf dem lokalen Server ein, filtert sie jedoch vorher durch ein Spamfilter wie SpamAssassin (http://spamassassin.apache.org/), muss nicht sein, ist aber sinnvoll. Dies wäre auch die Stelle, um ein Virenfilter einzuschleifen. Virenfilter behandeln wir im Abschnitt 18.3.4 Viren (Malware) auf Seite 907. Das Debian-Paket amavisd-new enthält ein Skript, das sowohl ein Virenfilter wie ClamAV als auch SpamAssassin mit einem MTA wie Exim verbindet, eine in vielen Fällen zweckmäßige Kombination. Das Verzeichnis /var/mail mit den Mailboxen auf dem lokalen Server wird per NFS auf den Arbeitsplätzen der Benutzer eingehängt. Von dort holt sie sich der MUA, wenn er eine Mail zum Lesen öffnen soll. Das Verteilen von Mailboxen im Mbox-Format über NFS ist problematisch und setzt voraus, dass der NFS Lock Manager richtig arbeitet. Der Weg lässt sich variieren, obiges Muster trifft aber auf viele Fälle zu. Für jedes der genannten Werkzeuge finden sich bei Debian Pakete und Al-
800
16 Netzdienste
ternativen. Für die Hausbriefkästen im Verzeichnis /var/mail haben sich zwei Mailbox-Formate durchgesetzt: •
•
Beim Berkeley Mbox-Format wird für jeden Benutzer in besagtem Verzeichnis eine Datei angelegt, die hintereinander durch je eine Trennzeile (From...) getrennt alle Mails eines Benutzers enthält; in der Linux/UNIX-Welt weit verbreitet, beschrieben im RFC 4155. Die Dateien sollen nicht direkt, sondern mit einem Email-Programm (MUA) bearbeitet werden. Allgemein werden solche Formate als Flat-File-Formate bezeichnet, MMDF und Babyl sind weitere Beispiele. Beim Maildir-Format wird für jeden Benutzer in besagtem Verzeichnis ein Unterverzeichnis angelegt. Dieses enthält in drei weiteren Unterverzeichnissen die Mails in jeweils eigenen Dateien. Von Qmail und Courier verwendet, Postfix und Exim können damit umgehen. Beschrieben auf http://cr.yp.to/proto/ maildir.html. Ein ähnliches Format ist MH.
Man kann sich vorstellen, dass das Löschen einer einzelnen Mail beim Mbox-Format das Neuschreiben der ganzen Datei erfordert, während beim Maildir-Format einfach eine Datei gelöscht wird. Aus diesem Grund dürfen niemals zwei Programme (MTA und MUA) gleichzeitig ändernd auf eine Mbox-Datei zugreifen. Andererseits geht das Suchen nach Zeichenketten in einer einzigen Datei schneller vor sich. Im Netz finden sich quantitative Vergleiche beider Formate – wobei auch der Typ des Dateisystems eine Rolle spielt – die aber nur für hoch belastete Mailserver von Bedeutung sind. Das bei Debian vertretene Perlskript mb2md wandelt eine Mbox-Datei in das Maildir-Format um, aber nicht zurück. Jeder SMTP-Server (exim . . . ) auf dem Weg – auch als Relais bezeichnet – fügt der Mail eine Kopfzeile mit einem Zustellvermerk hinzu, der jüngste zuoberst. An Hand der Zeilen lässt sich der Weg der Mail im Internet verfolgen, Die Kopfzeilen werden vom MUA nicht in voller Pracht angezeigt, stehen aber nach Abspeichern der Mail in einer Datei zur Verfügung, bei Mutt auch nach Betätigen der Taste . Hier nur die den Transport betreffenden Zeilen obiger Selbstmail: Received: from localhost.beiuns by server1.beiuns with esmtp (Exim 4.50) Received: from post.strato.de by localhost with POP3 (fetchmail-6.2.5) Received: from mailout09.sul.t-online.com by mailin.webmailer.de Received: from fwd32.aul.t-online.de by mailout09.sul.t-online.com Received: from pcwulf.beiuns by fwd32.sul.t-online.de Received: from wulf by pcwulf.beiuns local (Exim 4.66) Das ist von unten nach oben folgendermaßen zu verstehen: •
Der MTA Exim 4.66 hat auf dem Arbeitsplatz pcwulf.beiuns die Mail lokal vom MUA des Benutzers wulf entgegengenommen,
16.11 Electronic Mail
• • • • •
801
sie dann weitergeleitet an fwd32.sul.t-online.de, den Smarthost von TOnline, beim Kunden unter dem Alias mailto.t-online.de bekannt, innerhalb von T-Online ist die Mail per SMTP von dem Eingangsserver fwd32 zu dem Ausgangsserver mailout09.sul.t-online.de befördert worden, die Mail hat T-Online verlassen über den Server mailout09 in Richtung auf den Email-Eingangsserver mailin.webmailer.de des zweiten Versorgers, den zweiten Versorger hat sie verlassen über den POP-Server post.strato. de aufgrund einer fetchmail-Anfrage von localhost, dem lokalen Server, fetchmail hat sie per SMTP dem lokalen MTA Exim 4.50 übergeben, der sie zu ihrer letzten Ruhe auf /var/mail geleitet hat (server1 = localhost).
Die offensichtliche Verwandlung von fwd32.sul.t-online.de zu fwd32. aul.t-online.de lässt sich nicht klären; große Versorger zaubern viel mit Load Balancing und DNS. Der Weg innerhalb des zweiten Versorgers ist nicht protokolliert; möglicherweise läuft er nicht über SMTP. Die SMTP-Frachtführer schreiben zwar die Zeilen, interessieren sich aber nicht weiter dafür. Für den Transport ist ausschließlich die Anschrift auf dem Briefumschlag (Envelope-to) maßgeblich, nicht das, was im Briefkopf steht. Obige Received-Zeilen sind auf das Wesentliche zusammengestrichen. Ungekürzt sieht in den meisten Fällen eine Zeile so aus: Received: from 64.202.166.12 (HELO smtp.secureserver.net) by mvm.uni-karlsruhe.de with esmtp (XG261)NA0 9@79) id 297Q4--7)A7PD-48 for [email protected]; Fri, 16 Mar 2007 10:05:58 -0900 und bedeutet im Einzelnen: •
• • • •
von dem Mailserver mit der IP-Adresse 64.202.166.12, der sich beim Aufbau der Verbindung in der HELO-Zeile als smtp.secureserver.net vorgestellt und nicht gelogen hat (nachprüfbar mittels host) hat der Mailserver mvm.uni-karlsruhe.de (?, nur eine Email-Domäne, keine Maschine) per Extended Simple Mail Transfer Protocol (ESMTP), auf das sich beide Partner geeinigt haben, unter dem für uns bedeutungslosen Identifier 29..48 für den auf dem Umschlag genannten Empfänger (Envelope-To) webmaster@ mvm.uni-karlsruhe.de zu dem genannten Zeitpunkt, bei dem die nicht zu Karlsruhe passende Zeitzone auffällt, die Mail erhalten.
Das Format der Zustellvermerke ist nicht streng einheitlich. Das Beispiel war der unterste, älteste Vermerk einer Mail. Der Anschluss zum nächsten Vermerk passte nicht. Im X-Spam-Report gab es dafür mit der Bemerkung Forged Received header found (E: to forge = fälschen) Strafpunkte, die sich schließlich auf
802
16 Netzdienste
35 Punkte aufsummierten, was eindeutig auf Spam hinwies. Wir wollen den EmailKrimi nicht vertiefen, ein paar Hinweise finden sich auf http://www.cert. org/tech_tips/email_spoofing.html. 16.11.2 Mail Transfer Agents (MTA) Exim Version 4 Wegen der Bedeutung von Email ist es schon in mittleren Netzen zweckmäßig, für diesen Dienst eine eigene Maschine zu reservieren, auf der möglichst wenig Anderes läuft. NTP ist ein bescheidener Dienst und würde dazu passen, aber ein Webserver nicht. Der vorgegebene MTA unter Debian GNU/Linux ist Exim von P HI LIP H AZEL aus der University of Cambridge/UK. Aktuell ist Version 4, die sich von ihrem Vorgänger deutlich unterscheidet und in eigene Pakete abgefüllt ist. Neben dem oben genannten Heimathafen ist für Debianer http://wiki.debian. org/PkgExim4 eine wichtige Informationsquelle. Das Debian-Metapaket exim4 zieht die benötigten Pakete ein. Man kann aber auch die Pakete exim4-base, exim4config und wahlweise exim4-daemon-light oder exim4-daemon-heavy einrichten. Als Vorgabe wird das Leichtgewicht eingerichtet. Beabsichtigt man, Spamfilter und/oder Virenscanner einzusetzen, ist das Schwergewicht besser vorbereitet. Eines der exim4doc-Pakete sollte man auch auswählen. Die Manualseite zu exim4 ist knapp gehalten; wir kommen nicht umhin, uns in die Dateien /usr/share/doc/exim4-base/README.Debian und spec.txt ebendort zu vertiefen. Eine HTML-Fassung der Spezifikation liegt unter /usr/share/doc/exim4-doc-html/html/spec.html. Die DebianKonfiguration von Exim4 weicht von der anderenorts vorgegebenen ab, deshalb brauchen wir beide Dokumente. Exim4 kennt drei Wege der Konfiguration: •
•
•
eine einzige, mit einem Texteditor zu bearbeitende Datei /etc/exim4/ exim4.conf, macht nicht vom Debconf-System Gebrauch, Beispiel in /usr/ share/doc/exim4-base/examples, hat im Zweifelsfall Vorrang vor der auf den folgenden Wegen erzeugten Datei, eine einzige Vorlagedatei /etc/exim4/exim4.conf.template, die von dem Shellskript update-exim4.conf ausgewertet wird, das die Konfigurationsdatei /var/lib/exim4/config.autogenerated erzeugt, der auf Debian-Systemen am häufigsten beschrittene Weg. Die Datei config.autogenerated nur lesen, niemals editieren. ein Verzeichnis /etc/exim4/conf.d, in dessen Unterverzeichnissen rund 50 kleine Dateien zu jeweils einem Punkt der Konfiguration liegen, ebenfalls von dem genannten Shellskript ausgewertet, flexibel, aber auch empfindlich gegen Inkonsistenzen.
Dazu zieht das Shellskript noch die Datei /etc/exim4/update-exim4. conf.conf heran, siehe seine Manualseite. Das Werkzeug eximconfig gibt es in Exim4 nicht mehr. Falls Exim4 bereits auf dem Rechner läuft, erfahren wir die verwendete Konfigurationsdatei mittels:
16.11 Electronic Mail
803
joe@debian:~$ /usr/sbin/exim4 -bV Wollen wir umkonfigurieren, ist: debian:~# dpkg-reconfigure exim4-config der Aufruf unserer Wahl. Die Eingaben landen in der Datei /etc/exim4/ update-exim4.conf.conf und können dort editiert werden. Die Ersteinrichtung läuft genauso ab. Als Vorschlag erscheint die aktuelle Einstellung; der Aufruf ist daher ungefährlich und ändert nichts, wenn man alles abnickt. Vorgeschlagen wird die Arbeit mit einer einzigen Datei. Die Vor- und Nachteile der Lösungen werden in README.Debian diskutiert. Dann folgen die Einstellungen: •
• •
Art der E-Mail-Einstellungen (general type) Zusammenhang, in dem Exim4 arbeitet, bestimmt die weiteren Fragen: – Internet-Server unwahrscheinlich, der Rechner muss mit fester IP-Adresse unmittelbar im Internet sichtbar sein; er empfängt Mails für die von ihm vertretenen Domänen und verschickt ausgehende Mails selbständig ins Internet; etwas für Mailserver von Rechenzentren. – Sendezentrale (smart host), Empfang mit SMTP in einem LAN wahrscheinlich, der Rechner empfängt Mails für die von ihm vertretenen Domänen – gegebenenfalls via fetchmail – und schickt ausgehende, nicht für eine lokale Anschrift bestimmte Mails ausnahmslos an den Smarthost eines Internet-Versorgers. Rechner läuft vermutlich ständig, um jederzeit Mails annehmen zu können. – Versand wie vorstehend, kein Empfang Arbeitsplatzrechner in einem LAN, der Mails verschickt, aber keine per SMTP empfängt, weil den Empfang ein Server im LAN oder sonstwo gemäß vorstehendem Punkt erledigt. Abholen von Mails per POP/IMAP ist davon unberührt. Rechner läuft vermutlich nicht ständig. – nur lokale Zustellung unwahrscheinlich, nur lokaler Versand und Empfang möglich, müsste ein unscheinbarer Rechner sein, beispielsweise zur Messwerterfassung oder ein reiner Datei- oder Datenbankserver. Emailmäßig ist der Rechner unvernetzt. – keine Festlegung wir kümmern uns später mit dpkg-reconfigure um die Konfiguration, kann man bei der Ersteinrichtung wählen, um schnell voran zu kommen. lokal bedeutet hier auf demselben Rechner, nicht im lokalen Netz (LAN). Das gilt auch für andere Dokumente betreffend Email. E-Mail-Name des Systems vollständiger Name (FQDN) des Rechners, kann (soll) in der Absenderangabe ausgehender Mails umgeschrieben werden. IP-Adressen eingehender SMTP-Verbindungen falls leer, lauscht Exim auf allen Netzadaptern (eth0 usw.); die Adresse 127.0.0.1 führt dazu, dass Exim auf keinem Netzadapter lauscht, sondern Mails nur von auf demselben Rechner laufenden Programmen wie fetchmail oder MUAs annimmt; andernfalls die mit einem Netzadapter verknüpfte(n) IP-Adresse(n).
804
•
•
•
•
16 Netzdienste
Weitere Domänen über localhost und den unter Punkt 2 genannten Rechnernamen hinausgehende Domänen, für die der Rechner die Endstation eingehender Mails darstellt. Falls leer, liefert Exim keine Mails in Mailboxen aus. Sichtbarer Domänenname Domänenname (nach dem Klammeraffen), in den der Absender ausgehender Mails umgeschrieben wird, in der Regel eine im Internet gültige Email-Domäne. Sendezentrale (smart host) vom Internet-Versorger benannter Rechner, an den alle das lokale Netz verlassende Mails geschickt werden (SMTP-Server), beispielsweise mailto.t-online.de. DNS-Anfragen minimieren falls der Zugriff auf einen DNS-Nameserver über eine von Fall zu Fall aufzubauende, kostenpflichtige Wählverbindung geht, minimieren. Falls Rechner oder LAN ständig mit dem Internet verbunden ist (DSL), nicht minimieren.
Der Dämon startet anschließend erneut. Das war der bequeme und sichere Weg. Sie können aber auch mit Ihrem Lieblingseditor die Konfigurationsdatei /etc/ exim4/exim4.conf anlegen und bearbeiten. Die Schritte dazu sind im README.Debian erläutert. Wer sendmail bezwungen hat, braucht vor diesem Weg nicht zurückzuschrecken. Im einfachsten Fall editieren Sie die Vorlage /etc/exim4/ exim4.conf.template und rufen dann: debian:~# update-exim4.conf --keepcomments -o /etc/exim4/exim4.conf auf. Näheres im Manual zu update-exim4.conf. Auf diesem Weg können Sie mehr und schwierigere Dinge einrichten als über dpkg, Arbeitsunfähigkeit des Dämons eingeschlossen. Es kann sinnvoll sein, alle das LAN verlassende Mails durch einen lokalen Smarthost zu schicken. Lokale Arbeitplätze verkehren dann nur mit dem lokalen Mailserver als Smarthost und dieser als einziger mit dem Smarthost des Versorgers. Das bietet Möglichkeiten der zentralen Filterung und Statistik. Dem Postmaster im LAN ist dieser Weg lieber, er muss dann aber auch dafür sorgen, dass der lokale Mailserver immer läuft. Als Maschine bietet sich der Server an, auf dem auch fetchmail die Mails holt und die Mailboxen liegen. Nur in großen LANs wird man die Server für ein- und ausgehende Mails trennen. Nachdem Exim eingerichtet ist, testen wir die wichtigsten Funktionen. Als Erstes schauen wir nach, ob der Dämon läuft: joe@debian:~$ ps -ef | grep exim Die Antwort könnte lauten: Debian-exim
15823
1
....
/usr/sbin/exim4 -bd -q30m
und besagt, dass Exim als Dämon im Hintergrund läuft und alle 30 min den Pool unerledigter Aufträge abarbeitet. Normalerweise ist der Pool leer, nur falls sich Mails nicht zustellen lassen, sammeln sich Aufträge an. Beim Umschreiben von Anschriften sind anfangs Abweichungen vom erwarteten Verhalten zu befürchten. Wir testen verschiedene Anschriften mit einem beliebigen MUA als gewöhnlicher Benutzer.
16.11 Electronic Mail
805
Richten Sie den MUA so ein, dass zum Empfang eingegangener Mails die lokale Mailspool-Datei benutzt wird und Mails über den lokalen MTA (nicht über SMTP) versendet werden. Dann beginnt der Test: • •
•
•
•
•
Schicken Sie eine Mail an sich selbst. Geben Sie dazu als Email-Anschrift nur Ihren Benutzernamen an ohne Klammeraffen und ohne Rechnernamen. Prüfen Sie, ob Sie die Mail erhalten. Falls nicht, sehen Sie in der Datei /var/log/exim4/mainlog nach, ob die Mail von Exim überhaupt bearbeitet wurde. In dem Verzeichnis /var/log/exim4 finden sich zwei weitere Log-Dateien, nämlich paniclog und rejectlog. In der ersten Datei werden Zustände protokolliert, mit denen Exim aufgrund fehlerhafter Konfiguration nicht umgehen konnte. In der zweite Datei wird protokolliert, wenn eine Mail von Exim abgewiesen wurde. Läuft alles glatt, sind beide Dateien leer. Schicken Sie eine Mail an root. Die Mail sollten Sie auf dem Benutzerkonto empfangen, das Sie bei der Frage, an welchen Benutzer Mail an root gehen soll, angegeben haben. Wenn Sie Exim so konfiguriert haben, dass es ausgehende Mail via Smarthost oder direkt versenden soll, schicken Sie eine Mail an einen Benutzer außerhalb Ihres Rechners, beispielsweise an Ihr Benutzerkonto bei Ihrem Versorger. Voraussetzung ist, dass Sie über eine aktive Internet-Anbindung verfügen. Schauen Sie nach, ob die Mail angekommen ist. Wenn dies nicht zutrifft, überprüfen Sie zunächst wieder die Log-Dateien. Wenn Sie Exim für die Benutzung eines Smarthosts konfiguriert haben, sollten Sie prüfen, ob Sie tatsächlich berechtigt sind, den Smarthost zu verwenden. Viele Mail-Versorger verwenden aus Sicherheitsgründen SMTP after POP, das bedeutet, dass der Smarthost erst dann benutzt werden darf, wenn vorher per POP nachgesehen wurde, ob Mail vorhanden ist. Testen Sie dies, in dem Sie zunächst per POP-Client eine Verbindung zum Mail-Versorger aufbauen und danach erneut versuchen, ausgehende Mail zu versenden. Falls Exim auch eingehende Mail empfangen soll, konfigurieren Sie Ihren MUA nun so um, dass er zum Mailversand SMTP benutzt. Geben Sie dabei als Mailserver den Rechnernamen localhost an. Danach senden Sie sich eine weitere Testmail. Schließlich senden Sie sich von einem anderen Rechner aus eine Mail an Ihren Rechner. Dies funktioniert nur, wenn Ihr Rechner einen Namen hat, der im DNSServer des anderen Rechners eingetragen ist oder dessen Smarthost bekannt ist.
Sehen Sie sich die Received-Zeilen im Kopf der Mails an und versuchen Sie nachzuvollziehen, was wo an welche Anschrift gegangen ist und warum Anschriften umgeschrieben worden sind. Dazu ist es zweckmäßig, den MUA vorübergehend so zu konfigurieren, dass er die Received-Zeilen anzeigt (die im Normalbetrieb selten interessieren). Die Datei /etc/aliases dient zur systemweiten Umleitung von Mails. In jeder Zeile dieser Datei, die nicht leer ist oder einen Kommentar beinhaltet, steht eine Anweisung zur Umleitung. Die Anweisungen bestehen aus einem Empfängernamen, einem Doppelpunkt und dahinter einer Liste von Empfängernamen oder sonstigen
806
16 Netzdienste
Anweisungen, mit denen festgelegt wird, was mit Mails, die an den angegebenen Empfänger adressiert sind, geschehen soll: root: joe Die Anweisung bewirkt, dass Mails, die an den Empfänger root auf dem lokalen System adressiert ist, an den Empfänger joe ebendort weitergeleitet wird. In obigem Fall wäre der Eintrag: root: real-joe besser, der verhindert, dass eine etwaige .forward-Datei von joe ausgewertet wird und Mails an Root auf Abwege geraten. Empfänger brauchen nicht als Benutzer auf dem System vorhanden zu sein. Beispielsweise gibt es auf jedem Rechner, auf dem ein MTA läuft, einen Mailempfänger namens postmaster, aber so gut wie nie einen gleichnamigen Benutzer. Irgendwann aber muss die Kette der Empfänger in der Mailbox eines wirklichen, des Lesens kundigen Benutzers enden. Mit dem Verfahren lassen sich zusätzliche Email-Anschriften einrichten. Häufig werden auf diese Weise Empfänger wie info, sekretariat, bibliothek oder webmaster geschaffen. Man kann auch mehrere Empfänger angeben: webmaster: karl, susanne, marc Die Anweisung hat zur Folge, dass jede Mail, die an den Empfänger webmaster geschickt wird, gleichzeitig an die Empfänger karl, susanne und marc ausgeliefert wird, die sich die Arbeit des Webmasters teilen. Auf diese Weise schafft man sich einen einfachen Verteiler für Rundschreiben, ein Schritt in Richtung Listen. Auf der rechten Seite darf auch eine vollständige Email-Anschrift stehen, beispielsweise wenn ein Mitarbeiter die Firma gewechselt hat und Mails an seine ehemalige Anschrift an die neue weiter geleitet werden sollen. Auch Mailschleifen lassen sich leicht erzeugen, aber da passen moderne MTAs auf. Wenn Sie sich die standardmäßig erstellte Datei /etc/aliases ansehen, stellen Sie fest, dass von MehrfachUmleitungen Gebrauch gemacht wird. Mail an eine ganze Reihe von Empfängern wird zunächst an root umgeleitet und dann mit einer einzigen Anweisung an einen echten Benutzer weiter geleitet. Es gibt auch Pseudoempfänger wie :unknown:, :blackhole: oder :fail:, Näheres dazu siehe im Dokument spec.txt oder spec.html. Sie können Mail an Programme weiterleiten, bei Exim4 im Lieferzustand wegkonfiguriert, weil anders gelöst (Router, Transport). Dazu ist das Pipe-Zeichen zu verwenden: auto-answer: "| /usr/local/bin/some_script argument" Die Anweisung bewirkt, dass Mail an den Empfänger auto-answer in die Standardeingabe des Programms oder Skripts /usr/local/bin/some_script gegeben wird. Im Beispiel wird das Programm mit dem Parameter argument aufgerufen. Ein solches Skript könnte die Mail automatisch verarbeiten und Antworten erzeugen, die es ebenfalls automatisch verschickt. Genau so gut könnte das Programm die Kaffeemaschine einschalten, wenn Mail eintrifft.
16.11 Electronic Mail
807
Wenn Sie nur über eine temporäre Internetverbindung verfügen, ist es sinnvoll, einige Anpassungen an der Datei /etc/exim4/exim.conf vorzunehmen. Insbesondere dann, wenn Sie Dial-On-Demand benutzen, ist es unerwünscht, dass Exim für jede auszuliefernde Mail eine Internetverbindung aufbaut. Mit der folgenden Anweisung wird erreicht, dass ausgehende Mails, die nicht lokal zugestellt werden, gesammelt werden: queue_remote_domains * Ausgehende Mails werden mit dieser Einstellung erst dann ausgeliefert, wenn Exim versucht, bisher nicht ausgelieferte Mails zuzustellen. Dies erfolgt, wenn exim mit dem Parameter -q aufgerufen wird. Als Vorgabe geschieht dies infolge der Option -q30m alle 30 Minuten. Wenn Sie die Einwahlverbindung per Modem-PPP oder per ISDN-PPP aufbauen, wird die Zustellung nach dem Verbindungaufbau automatisch ausgeführt. Hierfür ist das Skript /etc/ppp/ip-up.d/exim zuständig, in dem sich das Kommando exim -qf verbirgt. Die zusätzliche Option -f bewirkt, dass auch solche Mail ausgeliefert wird, die normalerweise noch nicht an der Reihe ist. Wenn Sie fetchmail verwenden, um Mail vom Versorger abzuholen, kommt es vor, dass fetchmail hintereinander eine Vielzahl von Mails übergibt. Als Vorgabe liefert Exim nur die ersten zehn Mails sofort aus. Um alle Mails sofort auszuliefern, passen Sie den Wert für smtp_accept_queue_per_connection in der Konfigurationsdatei an: smtp_accept_queue_per_connection = 100 Die Zeile kommt beispielsweise in den main-Teil von /etc/exim4/exim4. conf.template. Erklärung in spec.txt oder spec.html. Ein System mit temporärer Internet-Verbindung hat normalerweise keinen festen Namen, der DNS-Servern bekannt ist. Das bedeutet, dass keine Mail an solche Systeme geschickt werden kann. Viele Email-Programme benutzen den eigenen Rechnernamen jedoch, um automatisch die Absenderadresse für ausgehende Mail zu erzeugen. Wenn der Name des Systems im LAN pcjoe lautet und der Benutzername joe, wäre die lokale Email-Anschrift joe@pcjoe. Damit die lokale Email-Anschrift nicht als Absenderanschrift auf Mails erscheint, die das lokale Netz verlassen, wird sie umgeschrieben. Hierzu benutzt Exim die Datei /etc/email-adresses. Die Datei kann für jeden Benutzer einen Eintrag in einer Zeile enthalten. Dabei wird zunächst der lokale Name des Benutzers, dann ein Doppelpunkt und nach einem Leerzeichen die Email-Anschrift angegeben, die auf ausgehenden Mails von diesem Benutzer als Absender erscheinen soll: joe: [email protected] Das Werkzeug eximon4 erlaubt die Überwachung vom Exim sowie die Manipulation noch nicht ausgelieferter Mails. Als Vorgabe zeigt das Programm im oberen Teil seines Fensters Statistiken zum Mailverkehr. Im mittleren Teil werden dieselben Meldungen dargestellt, die auch in der Datei /var/log/exim/mainlog protokolliert werden, und im unteren Teil werden alle Nachrichten angezeigt, die noch
808
16 Netzdienste
Abb. 16.9: Screenshot des Werkzeugs geximon zur Überwachung des MTA Exim4, der hier auf einem anderen Rechner im LAN läuft. Im schwarzen Fenster oben eine Grafik zur Belastung des Dämons, in der Mitte die jüngsten Protokollmeldungen und im unteren Fenster die noch nicht ausgelieferten Mails.
nicht ausgeliefert wurden oder auf Grund eines Fehlers nicht ausgeliefert werden können. Nach gleichzeitigem Betätigen der Taste <shift> und Anklicken einer dort angezeigten Mail wird ein Menü angezeigt, mit dem sich die betreffende Mail manipulieren, sofort ausliefern oder löschen lässt. Dasselbe leistet geximon hinter einer GUI, siehe Abbildung 16.9. Der Screenshot zeigt geximon auf einem Arbeitsplatz bei der Überwachung eines Servers mit Exim4 an anderer Stelle im LAN. Andere MTAs Neben Exim4 stehen unter Debian GNU/Linux weitere MTA-Programme zur Verfügung. Die Frage, welcher MTA der richtige ist, hat schon manch sonst friedliches Gemüt erhitzt, sie kann nicht abschließend beantwortet werden. Hier eine Liste der unter Debian GNU/Linux verfügbaren MTAs: •
•
•
Courier ein SMTP-, POP3- und IMAP4-Server aus der Groupware-Ecke, auf http://www.courier-mta.org/ zu Hause und bei Debian durch mehrere Pakete vertreten. Sendmail Das Programm ist der Klassiker unter den MTAs und hat Geschichte geschrieben. Es gilt als schwierig zu konfigurieren und weist ein paar Schwächen auf, die dazu geführt haben, dass alternative MTAs entwickelt wurden. Heimathafen http://www.sendmail.org/. qmail zeichnet sich durch modularen Aufbau und besondere Sicherheitseigenschaften aus, auf http://cr.yp.to/qmail.html zu Hause. Das Pro-
16.11 Electronic Mail
•
•
•
•
809
gramm darf nur im Quellcode verteilt werden und befindet sich unter Debian GNU/Linux in der Abteilung non-free im Paket qmail-src. Postfix von W IETSE Z WEITZE V ENEMA, bei dessen Programmierung einige Qmail-Ansätze aufgegriffen wurden und der sich durch eine einfache Konfiguration auszeichnet. Ausdrücklich als Ersatz für Sendmail gedacht. Heimathafen http://www.postfix.org/. Smail war über einen gewissen Zeitraum der vorgegebene Mailer unter Debian GNU/Linux. Zu Hause auf http://www.weird.com/~woods/ projects/smail.html, noch am Leben. MasqMail Als Ersatz für die Großen gedacht und an die Bedürfnisse angepasst, die auf Systemen mit temporärer Internet-Anbindung (Einwählverbindung) vorhanden sind. Die Startseite soll http://innominate.org/ kurth/masqmail/ sein, meldet sich nicht. ssmtp ein simpler MTA, der lediglich Mail von Benutzern entgegennimmt und sie an einen Smarthost leitet. Das Programm kann keine Mails empfangen und auch keine Mailspool-Dateien pflegen. Es eignet sich für den Einsatz in Netzen, wo ein Rechner für den Mailversand und -Empfang verantwortlich ist und alle anderen Rechner das Mailspool-Verzeichnis dieses Rechners über NFS einhängen. Kein Heimathafen zu entdecken. Nicht verwandt mit dem Secure Simple Mail Transfer Protocol nach RFC 3207.
Daneben finden sich Werkzeuge bei Debian und im Netz, die einzelne Funktionen eines MTA verwirklichen. Beispielsweise ist Dovecot ein POP3/IMAP-Server, der Mails von einem MTA übernimmt und per POP3 oder IMAP entsprechenden Clients aushändigt. Bei Debian vertreten, im Web durch http://www.dovecot.org/. 16.11.3 Mail Delivery Agents und Filter (Procmail, Spamassassin) Procmail ist ein Mail Delivery Agent (MDA) und Filter (mail processor), der Mails von einem MTA übernimmt, nach Regeln (recipe) aus einer Steuerdatei bearbeitet und in die Briefkästen der Empfänger einreiht oder in /dev/null. Er ist bei Debian durch ein gleichnamiges Paket vertreten; sein Heimathafen ist http: //www.procmail.org/. Ein Verwalter richtet Procmail systemweit in Verbindung mit dem MTA ein, ein Benutzer erreicht das Werkzeug über seine .forwardDatei. Einen Teil der Funktionalität von Procmail bringen moderne MTAs oder MUAs mit, sodass man das Werkzeug nicht auf jedem Mailsystem findet. Beispielsweise kann Procmail ein Spamfilter wie SpamAssassin aufrufen, das kann aber ein MTA wie Exim auch allein. Ein Vorteil der Procmail-Lösung ist die deutlichere Aufgabentrennung zwischen MTA und MDA, dafür hat man einen Dämon mehr zu pflegen. Die im Internet beförderte Email besteht zu mehr als der Hälfte aus unerwünschter Werbung, Spam genannt oder genauer Unsolicited Bulk Email (UBE, unaufgefordert zugesandte Massen-Mail). Das ist etwas anderes als Malware (Viren), obwohl sich beide oft verbünden. Wer sich für Einzelheiten interessiert, findet in der deutschen Wikipedia unter dem Suchbegriff Spam und in der englischen unter E-mail
810
16 Netzdienste
spam reichlich Information. Ferner gibt es ein umfassendes Email Abuse FAQ an mehreren Stellen im Netz. Da auf Protokollebene Spam schwierig von erwünschter Mail zu unterscheiden ist und außerdem ein Wegfiltern durch die Mailserver einer Zensur bedenklich nahe kommt, muss jeder einzelne Benutzer sich um das Behandeln seiner eingehenden Mails kümmern. Zu diesem Zweck richtet der Postmaster oder Verwalter auf dem Mailserver, auf dem die Mails eingehen, ein Filter ein, das die Mails hinsichtlich Spamverdacht bewertet, aber nicht aussondert (tag only mode). Jeder Benutzer muss dann ein eigenes, kleines Filter einschalten, das je nach Spamwert die Mails sortiert und falls gewünscht entsorgt (devnullt). Damit ist dem Vorwurf der Zensur der Wind aus den Segeln genommen. In einem LAN ist es zweckmäßig, alle ein- und ausgehenden Mails durch einen zentralen Server zu leiten und dort die Mails auf Spam und gegebenenfalls Viren zu untersuchen. In großen LANs ist auch der interne Mailverkehr zu beobachten. Leider gibt es kein einzelnes Kriterium zur Unterscheidung erwünschter von unerwünschter Mail. Ein Filtern auf die Zeichenkette sex schlösse Mails über die Sextener Dolomiten und das Sextental, die Familie Sexauer, Sextaner und Sextanten (nautisches Instrument), Sextakkorde, Sextolen und Sextette sowie über die Grafschaften Sussex und Wessex von Email aus. Deshalb bewerten Filter verdächtige Zeichenketten in den Kopfzeilen (header) und im Inhalt (body, content) einer Mail mit Punkten, ziehen weitere Merkmale heran und kennzeichnen die Mail mit einem aus vielen Kriterien gebildeten Spamwert (score). Am Empfänger liegt es dann, sein persönliches Filter auf einen Schwellwert einzustellen, von dem ab eine Mail als Spam in ein besonderes Mailverzeichnis einsortiert oder sang- und klanglos gelöscht wird. Gefürchtet sind falsche positive Bewertungen, also fälschliche Bewertungen unschuldiger Mails als Spam. Deshalb legt man die Schwelle hoch und nimmt dafür in Kauf, dass hie und da Spam durchrutscht. Die Spampunkte beruhen nicht auf einer internationalen Maßeinheit, sondern hängen vom bewertenden Programm und seiner Konfiguration ab, deshalb sind die Schwellwerte auf jedem Mailserver zu überprüfen und anzupassen. Sicher als Spam erkannte Mails entsorgt man am besten schnellstmöglich, man devnullt sie. Alle anderen Maßnahmen wie Zurückweisen oder Teergrubing treffen oft den Falschen und verursachen unnötigen Verkehr im Netz. Wenn eine als Spam erkannte Mail an den Absender zurückgeschickt wird – der so gut wie immer gefälscht ist – wird entweder ein Unschuldiger belästigt oder eine Unzustellbarkeitsmeldung an den Zurückweisenden erzeugt. Diese ist eine legale Mail und wird von einem Spamfilter als Ham bewertet – es kommt ja vor, dass man eine Mail an eine veraltete oder vertippte Anschrift schickt. Mails in einem Übergangsbereich zwischen Ham und Spam kann man in eine besondere Ablage einordnen und nach einigen Wochen automatisch löschen. Die Entscheidung über die Maßnahmen hat letztlich der Empfänger zu treffen, allenfalls der Verwalter in Absprache mit den Empfängern in seinem LAN. Im Netz werden umfangreiche Schwarze Listen (blacklist, auch blocklist) mit Anschriften von Mailservern geführt, die als Spam-Versender aufgefallen sind, beispielsweise auf http://www.spamhaus.org/ oder http://www. mail-abuse.com/. Umgekehrt kann ein Verwalter lokal eine Weiße Liste (whi-
16.11 Electronic Mail
811
telist) mit Absendern einrichten, deren Mails auf jeden Fall weitergereicht werden. Dann gibt es noch Graue Listen (greylist). Dabei wird eine eingehende Mail zunächst vorübergehend wie bei einer Betriebsunterbrechung zurückgewiesen; Empfängeranschrift, Absenderanschrift und Absender-IP-Adresse werden jedoch gespeichert. Bei protokollgemäßem Verhalten versucht der absendende Mailserver nach einer Stunde oder so noch einmal, den Rückläufer zuzustellen. Da der empfangende Mailserver die Mail bereits kennt, nimmt er sie jetzt an, ebenso alle künftigen Mails mit demselben Triplett von Anschriften. Spam-Versender hingegen verzichten meist auf einen zweiten Versuch. Dieses Greylisting funktioniert nur auf SMTP-Servern, die unmittelbar im Netz arbeiten, nicht auf lokalen Mailservern, die ihre Mails per POP oder IMAP (fetchmail) abholen. In diesem Fall ist die Mail bereits vom Server angenommen, wenn die POP/IMAP-Anfrage kommt. Im Debian-Paket spamassassin – Heimathafen http://spamassassin. apache.org/ – ist ein Mailfilter enthalten, das an zentraler Stelle eingerichtet werden sollte, nicht von jedem Benutzer für sich. Der Besuch des Heimathafens wird dringend angeraten, weil Email ohnehin ein anspruchsvolles Thema ist. In den dortigen FAQs findet man auch Anleitungen zum Abfassen ordentlicher Mails, unabhängig von Spam beherzigenswert. Alternativen zu SpamAssassin sind SpamBayes, in Python geschrieben, mit anderen Algorithmen, zu Hause auf http://spambayes.sourceforge.net/, sowie Bogofilter, zu Hause auf http://bogofilter.sourceforge.net/. Nach Herunterladen und Einrichten der SpamAssassin-Pakete ist in der Datei /etc/default/spamassassin die Variable ENABLED auf 1 (true) zu setzen, eventuell die NICE-Zeile zu entkommentieren und durch den Aufruf: debian:/etc/init.d# ./spamassassin start das Filter als Dämon erstmals zu starten. Bei einem künftigen Systemstart sorgen Symlinks in /etc/rc*.d für den Aufruf des Dämons. In der Prozessliste findet man anschließend einen alleinerziehenden spamd mit einigen Kindern. Wir testen den Dämon mit einer Testmail (beliebiger kurzer Text): debian:~# spamc < test.mail | grep ’ˆX-Spam’ und sollten eine nichtleere Antwort erhalten. Konfiguration wie üblich systemweit im Verzeichnis /etc/spamassassin, persönlich in $HOME/.spamassassin. An den wenigen systemweiten Einstellungen ändern wir zunächst nichts. Zur persönlichen Konfiguration legt ein Benutzer ein Verzeichnis $HOME/ .spamassassin an, kopiert die Datei /usr/share/spamassassin/user_ prefs.template dorthin und benennt sie in user_prefs um. Zunächst ändert man nichts und später wenig. Interessant sind die Zeilen: # requires_score
5.0
am Anfang und # whitelist_from
[email protected]
812
16 Netzdienste
Die Score-Zeile enthält den Schwellwert für die Anerkennung einer Mail als Spam. Entkommentiert man sie und setzt den Wert herab (4.5), wird die Auswahl strenger, womit das Risiko von falschen positiven Bewertungen steigt. Der vorgegebene Wert 5.0 ist vorsichtig gewählt; man wird ihn eher herab- als heraufsetzen. Viel bringt das jedoch nicht; kommt zu viel Spam durch, verbessere man die Spamtests (lernen lassen). Eine Übersicht über die voreingestellten Tests findet sich auf http: //spamassassin.apache.org/tests_3_1_x.html. Das Sündenregister ist lang. Die Whitelist-Zeile benennt durch Leerzeichen getrennte Email-Anschriften – auch mit Jokern der Form *@uni-karlsruhe.de – deren Mails ungeprüft durchgereicht werden, Diplomatengepäck sozusagen. Nun müssen wir SpamAssassin irgendwo in den Weg unserer Mails einschleifen. D ERRICK H UDSON hat dazu auf http://dman13.dyndns.org/~dman/ config_docs/exim-spamassassin/ eine Hilfe veröffentlicht. Wir können unmöglich alle denkbaren Kombinationen erläutern und beschränken uns auf ein typisches Beispiel, das bei H UDSON nur kurz wegkommt. Wir brauchen Exim4 der Version 4.50 oder jünger aus dem heavy-Paket. Erst dieser hat den so genannten exiscan-Patch bereits eingebaut. Die Mail werde per fetchmail von den Mailservern der Versorger abgeholt und Exim4 als lokalem Mail Transfer Agent auf Port 25 überreicht. Der MTA macht keinen Unterschied zwischen Mails, die er von fetchmail bekommt, und Mails, die er möglicherweise direkt per SMTP irgendwoher empfängt. Das vereinfacht die weitere Behandlung. Exim4 veranlassen wir zur Zusammenarbeit mit SpamAssassin, indem wir im Verzeichnis /etc/exim4/conf.d/acl die Datei 40_exim4-config_ check_data beziehungsweise bei Konfiguration in einer einzigen Datei exim4.conf.template deren Abschnitt ACL CONFIGURATION, Unterabschnitt 40_exim4-config_check_data editieren. Hier stehen Access Control Lists (ACL), die von Exim4 nach Empfang aller Daten abgearbeitet werden, das heißt, wenn die Mail lokal vollständig vorliegt. Wir fügen vor dem vorletzten Block (vor This hook ...) folgende Zeilen ein: # hinzugefuegt Joe Debian 2007-03-20 wegen SpamAssassin warn spam = nobody:true message = X-Spam-Score: $spam_score warn spam = nobody message = Subjekt: ++SPAM++ $header_Subject: \n\ X-Spam-Status: SPAM\n\ X-Spam-Report: $spam_report Die Zeilen bedeuten: •
warn das ACL verb führt dazu, dass, wenn die nachstehenden Bedingungen wahr sind, der ACL modifier message ausgeführt wird.
16.11 Electronic Mail
•
•
• •
813
spam = nobody:true die Bedingung (ACL condition) ruft als Benutzer nobody den SpamAssassin (spamc) auf. Normalerweise ist dessen Ergebnis (Spam true/false) das Ergebnis der Bedingung; hier wird jedoch das Ergebnis true erzwungen, die Bedingung ist bei jeder Mail erfüllt (true). Wir benötigen die Zeile, damit SpamAssassin einige Variable mit Werten versieht. message = X-Spam-Score: der Modifier fügt der Mail eine Kopfzeile hinzu, die nach einer Zeichenkette den Wert der Variablen spam_score anzeigt. Künftig soll im vorliegenden Zusammenhang der Modifier add_header gebraucht werden, der jedoch bei Debian-Exim4 Version 4.50 aus sarge noch zu einer Fehlermeldung führte. spam = nobody die Bedingung ist nur dann erfüllt, wenn SpamAssassin Spam meldet (Erreichen oder Überschreiten des Schwellwerts). message = Subjekt: ... bei erfüllter Bedingung werden der Mail drei Kopfzeilen hinzugefügt: – Subjekt: ... es wird eine zweite Subjekt-Zeile (absichtlich mit k geschrieben, wegen Wiedererkennen) hinzugefügt, die mit der Zeichenkette ++SPAM++ beginnt und dann das bisherige Subjekt wiederholt. – X-Spam-Status: ... die Kopfzeile enthält die Zeichenkette SPAM, auf die hernach die persönlichen .forward-Filter zwecks Einsortieren der Mail ansprechen. – X-Spam-Report: ... ausführliche Darstellung der einzelnen Tests von SpamAssassin, bei Fehlbeurteilungen hilfreich.
Da in diesem Block am Weg der Mail nichts geändert wird, läuft sie weiter zum nächsten Block (This hook ...), der einen Punkt darstellt, um eine eigene Datei einzubinden, was auch eine Möglichkeit für unsere Ergänzung wäre, und schließlich zum ACL-Verb accept. Damit ist der ACL-Abschnitt beendet. In der Datei etc/default/spamassassin sollte man noch in der OPTIONS-Zeile die Option --create-prefs auf --nocreate-prefs ändern, um zu verhindern, dass SpamAssassin bei jedem Aufruf vergebens versucht, für den Benutzer nobody eine persönliche Konfigurationsdatei anzulegen. Dann ist Exim mittels update-exim4.conf oder dpkg-reconfigure exim4-config mit unseren Schöpfungen bekannt zu machen und über das Startskript in /etc/init.d erneut zu starten. Ein Blick in /var/log/exim4/ mainlog kann nicht schaden. In den Zeilen der Datei findet man den jeweils für eine Mail verwendeten Router (R=) samt Transport (T=) und weitere Informationen. Zu einer Mail gehören mehrere Zeilen, die mit einer Completed-Zeile abgeschlossen sind. Nun machen wir erst einmal Pause und beobachten. Exim und/oder SpamAssassin fügt den Mails, die er für Spam ansieht, einige Zeilen im Kopf hinzu, die später zum Sortieren genutzt werden: • • • •
X-Spam-Flag nur bei Spam gesetzt, X-Spam-Score der für eine Mail berechnete Spamwert, X-Spam-Report ein ausführlicher Bericht, was alles missfallen hat; kann man sich ansehen, um die Wirkungsweise von SpamAssassin zu verstehen, X-Spam-Status ähnlich wie das Flag, nur mit Zahlenwerten,
814
•
16 Netzdienste
X-Spam-Level eine Veranschaulichung des Spam-Wertes durch eine entsprechende Anzahl von Sternchen.
Sehen wir uns die Spam betreffenden Kopfzeilen eines aus dem Leben gegriffenen Beispiels an (einige Zeilen abgeschnitten): To: [email protected] X-Spam-Flag: YES X-Spam-Report: 1.1 EXTRA_MPART_TYPE Header has extra Content-type: 3.0 BOTNET Relay might be a spambot 0.8 DATE_IN_PAST_06_12 Date: is hours before Received: 3.0 BAYES_99 BODY: Bayesian spam probability (noch viele Zeilen) X-Spam-Status: yes, hits=44.7 required=5.0 X-Spam-Level: ***************************************** X-Scan-Server: spametec X-TOI-SPAM: u;0;2007-03-22T16:43:38Z X-TOI-VIRUSSCAN: unchecked X-TOI-MSGID: 754c0a0a-d503-4685-ac6b-a3a82e7b0700 X-Spam-Score: 8.9 Subjekt: ++SPAM++ Need some help? X-Spam-Status: SPAM X-Spam-Report: Software zur Erkennung von "Spam" auf dem Rechner server1.beiuns hat die eingegangene E-mail als mögliche "Spam"-Nachricht identifiziert. Inhaltsanalyse im Detail: (8.9 Punkte, 5.0 benötigt) Pkte Regelname Beschreibung ---- ----------------- ------------------------------0.2 EXTRA_MPART_TYPE Unnötige Parameter in "ContentType"-Kopfzeile ("...type=") 1.4 DOMAIN_RATIO BODY: Nachrichtentext erwähnt viele Internet-Domänen (noch einige Zeilen) Der Empfänger ist der Zweitautor unter seiner ehemaligen, aber noch gültigen Dienstanschrift. In der Universität Karlsruhe geht die Mail durch einen Rechner namens spametec, der die Mail als Spam bewertet, aber entsprechend der persönlichen Konfiguration nichts unternimmt und die Mail weiterleitet an eine Anschrift beim Versorger T-Online. Dort durchläuft die Mail einen Check, der die mit X-TOI beginnenden Zeilen hinzufügt. Vom Versorger holt sie fetchmail per POP ab und übergibt sie dem lokalen Exim4 samt seinem SpamAssassin auf dem Rechner server1.beiuns. Dieser bewertet die Mail mit 8.9 Spampunkten. Da die Schwelle auf 5.0 eingestellt ist, wird die Mail mit weiteren Spam-Zeilen verziert und genäß dem persönlichen Filter $HOME/.forward in ein Spam-Verzeichnis im Maildir-Format einsortiert. Man erkennt, dass der Rechner spametec fortgeschrit-
16.11 Electronic Mail
815
tener ist als server1, der noch zu lernen hat. Die Zeilen variieren je nach MTA, Spamfilter und deren Konfiguration. Nachdem Exim4 mit SpamAssassin zusammenarbeitet und Spam auszeichnet, muss jeder Empfänger selbst entscheiden, was damit geschehen soll. Zweckmäßig beobachtet man zunächst einmal seine Mails und sieht sich die Bemerkungen von Exim4/SpamAssassin an. Entsprechen sie den Erwartungen, geht man an das Aussortieren. Diesem Zweck dient die traditionelle Datei $HOME/.forward, die folgende Zeilen enthält: # Exim filter
PASS * fetchmail: POP3< +OK karl.meier has 2 messages (3063 octets). fetchmail: POP3> STAT fetchmail: POP3< +OK 2 3063 2 messages for karl.meier at pop.coldmail.com (3063 octets). fetchmail: POP3> LIST fetchmail: POP3< +OK 2 messages (3063 octets) fetchmail: POP3< 1 2077 fetchmail: POP3< 2 986 fetchmail: POP3< . fetchmail: POP3> RETR 1 fetchmail: POP3< +OK 2077 octets reading message 1 of 2 (2077 octets) fetchmail: SMTP< 220 example.home ESMTP Exim 3.12 #1 Tue, 22 Feb 2000 14:22:53 +0100 fetchmail: SMTP> EHLO localhost fetchmail: SMTP< 250-example.home Hello mail at localhost
822
16 Netzdienste
fetchmail: fetchmail: fetchmail: fetchmail:
SMTP< 250-SIZE SMTP< 250-PIPELINING SMTP< 250 HELP SMTP> MAIL FROM:<[email protected] > SIZE=2077 fetchmail: SMTP< 250 <[email protected] > is syntactically correct fetchmail: SMTP> RCPT TO: fetchmail: SMTP< 250 is syntactically correct fetchmail: SMTP> DATA fetchmail: SMTP< 354 Enter message, ending with "." on a line by itself #***************************fetchmail: SMTP>. (EOM) fetchmail: SMTP< 250 OK id=12NFHB-0005ld-00 flushed fetchmail: POP3> DELE 1 fetchmail: POP3< +OK Message 1 has been deleted. Im oberen Teil der Ausgabe wird angezeigt, dass fetchmail Kontakt mit dem Server pop.coldmail.com aufnimmt und sich dort mit dem Benutzernamen karl.meier anmeldet. Danach fragt es den Server, wieviele Nachrichten für diesen Benutzer vorliegen. Im Beispiel sind das zwei Nachrichten. Nun wird die erste Mail abgeholt (reading message 1 of 2) und dann eine SMTP-Verbindung zum lokalen MTA (example.home) aufgebaut. Dem MTA wird die Mail übergeben. Als Absender wird dabei die Original-Absenderadresse und als Empfänger die lokale Email-Adresse des Benutzers ([email protected]) angegeben. Nachdem der MTA bestätigt hat, dass er die Mail entgegengenommen hat, wird sie auf dem POP-Server beim Versorger gelöscht. Dieser Vorgang wird für alle Mails wiederholt, die beim Versorger lagern. Wenn die Ausgabe von fetchmail nicht auf Fehler deutet, ist als nächster Schritt die Log-Datei des MTAs zu überprüfen, im Fall von Exim4 also /var/log/ exim4/mainlog. Am Ende der Datei findet sich nach der Zustellung sinngemäß folgender Eintrag: 2000-02-22 14:22:53 12NFHB-0005ld-00 karl D=localuser T=local_delivery 2000-02-22 14:22:53 12NFHB-0005ld-00 Completed Es wird angezeigt, dass Exim4 eine Mail von [email protected] entgegengenommen und diese an [email protected] ausgeliefert hat. Falls der entsprechende Eintrag in der Datei nicht vorhanden ist, ist in den Dateien /var/
16.11 Electronic Mail
823
log/exim4/rejectlog bzw. /var/log/exim4/paniclog nach dem Fehler zu suchen. Automatisches Abholen der Mail Mit dem oben gezeigten Verfahren kann jeder Benutzer seine Mails von einem oder mehreren Versorgern abholen, dem lokalen MTA übergeben und sie dann mit dem MUA seiner Wahl lesen. Bequemer und einfacher ist es, die Mails für alle Benutzer automatisch von allen Email-Versorgern abzuholen, sobald eine Internet-Verbindung besteht. Dazu sollte eine LAN-weite Konfigurationsdatei für fetchmail angelegt werden, in der sich die Konfiguration für alle Benutzer befindet. Diese Datei wird unter dem Namen /etc/fetchmailrc gespeichert. Sie ist genauso aufgebaut wie die Datei .fetchmailrc im Home-Verzeichnis eines Benutzers: set syslog set postmaster "postmaster" set daemon 2000 poll pop.coldmail.com proto POP3 user "karl.meier" there password "???" is karl here user "suse254" there password "???" is susanne here user "ralf.schulze" there password "???" is ralf here poll imap.slowmail.de proto IMAP user "juergenZ" there password "???" is joe here poll pop.mymail.com port 995 proto POP3 user "meier25" there password "???" ssl is karl here Mit dieser Konfigurationsdatei werden Mails für die Benutzer karl, susanne und ralf vom Versorger pop.coldmail.com abgeholt. Mails für den Benutzer joe werden vom Server [email protected] bezogen. Der Benutzer karl hat einen zweiten Mail-Versorger pop.mymail.com, von dem ebenfalls Mails abgeholt werden, und zwar SSL-verschlüsselt. Die Option set syslog bewirkt, dass die Ausgaben von fetchmail an den Syslog-Dämon weitergeleitet werden und in der Datei /var/log/messages erscheinen. Mit set daemon 2000 wird erreicht, dass fetchmail sich nicht beendet, nachdem es Mails von den angegebenen Servern abgeholt hat, sondern im Hintergrund schläft und alle 2000 Sekunden erneut aufwacht und Mails abholt. Aus Sicherheitsgründen darf die Datei /etc/fetchmailrc nur für ihren Besitzer lesbar sein (600, in der Datei befinden sich die Benutzernamen und Passwörter der einzelnen Benutzer bei ihren Versorgern im Klartext). Nun sind zwei Skripte zu erstellen, mit denen fetchmail gestartet wird, wenn ein Verbindungsaufbau stattgefunden hat bzw. beendet wird, wenn die Verbindung wieder abgebaut wurde. Das Startskript ist im Verzeichnis /etc/ppp/ip-up.d abzulegen. Es könnte den Namen W20fetchmail tragen:
824
16 Netzdienste
#!/bin/sh # Skript zum Starten von fetchmail nach # Verbindungsaufbau über PPP (Modem oder ISDN) test -r /etc/fetchmailrc && fetchmail - -fetchmailrc /etc/fetchmailrc Mit der test-Anweisung wird geprüft, ob die Datei /etc/fetchmailrc existiert. Falls ja, wird fetchmail aufgerufen. Die Option - -fetchmailrc teilt dem Programm die Konfigurationsdatei mit. Aufgrund der oben gezeigten Konfigurationsdatei wird fetchmail alle zehn Minuten versuchen, Mail abzuholen, weswegen bei einer Dial-On-Demand-Konfiguration alle zehn Minuten eine Netzverbindung aufgebaut werden würde. Falls dies nicht gewünscht ist, muss fetchmail nach Beendigung der Verbindung ebenfalls beendet werden. Dies geschieht mit folgendem Skript: #!/bin/sh # Skript zur Beendigung von fetchmail # nach Abbau der Internetverbindung test -x /usr/bin/fetchmail && fetchmail -q Es muss im Verzeichnis /etc/ppp/ip-down.d gespeichert werden und könnte den Namen B20fetchmail bekommen: Das Skript ist genauso aufgebaut wie das Startskript. Mit dem Parameter -q wird ein laufender fetchmail-Prozess des aufrufenden Benutzers beendet. Beide Skripte müssen ausführbar sein (755). Ist das lokale Netz über ein DSL-Gateway ständig mit dem Internet verbunden, entfällt zwar der Unterbruch der Wählverbindung, aber das LAN ist nur über eine dynamisch zugeteilte IP-Adresse erreichbar. Auch in diesem Fall ist man auf einen festen Mailserver beim Versorger angewiesen, von dem man periodisch per fetchmail die Mails auf einen lokalen Mailserver holt oder für jeden Benutzer einzeln bei Bedarf. Es entfallen die beiden Skripte bei Verbindungsauf- und -abbau. 16.11.5 Mail Clients (Mail User Agents) Textorientierte MUAs (mail, mutt) Man kann mit telnet zu Port 25 Mails versenden und abholen, weil das Simple Mail Transfer Protocol ein ASCII-Protokoll ist und der Dialog zwischen Client und Server in Textform geführt wird. Das wäre die unterste Stufe. Auch die MTAs – sendmail auf jeden Fall – lassen sich dazu missbrauchen. Ein Verwalter beschreitet gelegentlich diesen Weg, um eine Verbindung zu testen. Richtige Email beginnt mit dem UNIX-Klassiker mail, der auch heute noch in Shellskripts eine Rolle spielt. Der Aufruf: joe@debian:~$ echo "Hallo Joe"| mail -s "Gruss" [email protected] schickt eine Mail mit dem Subject Gruss an Freund J OE. Will man nur schnell eine Textdatei als Mail verschicken, geht das mittels:
16.11 Electronic Mail
825
joe@debian:~$ mail -s "Gruss" [email protected] < datei.txt schneller als der Aufbau einer grafischen Benutzeroberfläche. Das Werkzeug mailx ist heutzutage ein Symlink auf mail. Das Manual erklärt den Gebrauch ausreichend. Das dort erwähnte Mail Reference Manual (1997) von K URT S HOENS gibt es als pdf-Datei unter anderem auf http://docs.freebsd.org/. Der Mutt Mail User Agent ist ein leistungsfähiges Email-Programm für Konsole oder Terminalfenster, das zur Benutzung mit Mailspool-Dateien und einem lokalen MTA konzipiert ist. Nach Einrichten des Paketes mutt findet sich in der Datei /usr/share/doc/mutt/html/manual.html eine ausführliche Anleitung. Mutt beherrscht alles, was man von einem MUA erwartet, nur eben keine Grafik. Wer mit elm gearbeitet hat, gewöhnt sich schnell an mutt. Falls Sie einmal etwas von Pine hören: das ist eine nicht im Sinne von Debian freie Alternative zu Mutt, zu Hause auf http://www.washington.edu/pine/, deren Entwicklung zu Gunsten von Alpine eingestellt worden ist. Alpine steht unter einer Apache-Lizenz (Apache license Pine) und ist in Debian unstable bereits verfügbar. Die Editoren Emacs und XEmacs sind mit eigenen Mailprogrammen ausgestattet. Wer sowieso viel mit diesen Editoren arbeitet, braucht zur Benutzung der MailProgramme kaum neue Tastaturbefehle zu lernen. Open Office veschickt ein Dokument als Mail nach Anklicken des Menüpunktes Datei -> Senden. Icedove Der Emailer und Newsreader des Mozilla-Projektes heißt Thunderbird. Auf Grund von Meinungsverschiedenheiten über Markenrechte und freie Software hat Debian seine Abfüllung im Jahr 2006 in Icedove umbenannt. Thunderbird-Pakete bei Debian sind seither nur noch Übergangspakete zu Icedove. Technisch gleichen sich Icedove und Thunderbird bis auf ein paar Kleinigkeiten, die die Anpassung an das DebianSystem erfordert. Die Situation ist dieselbe wie bei den Web-Browsern Firefox und Iceweasel. Das Programm: • • • • • • • • • •
bringt ein eigenes Spamfilter und einen Phishing-Schutz mit, unterstützt Verschlüsselung und elektronische Signatur, stellt HTML-Inhalte dar, legt virtuelle Ordner an, die unabhängig von der tatsächlichen Verzeichnisstruktur Mails nach bestimmten Kriterien zusammenfassen, kommt mit mehreren POP3- oder IMAP-Konten klar, kennt Themes zwecks schönerem Aussehen, verfügt über eine Suchfunktion, arbeitet mit einer Rechtschreibprüfung, integriert ein RSS-Lesewerkzeug (Real Simple Syndication), lässt sich erweitern.
Adressbuch und Kalender sind im Werden. Der deutschsprachige Heimathafen von Thunderbird ist http://www.mozilla-europe.org/de/.
826
16 Netzdienste
GNOME Evolution Das Email-Programm Evolution gehört zur Arbeitsumgebung GNOME und stammt aus einer Groupware-Suite. Infolgedessen nimmt es sich auch des Terminkalenders und der Kontaktpflege (Adressbuch) an. Sein Heimathafen ist http://www. novell.com/products/evolution/, beim GNOME-Projekt liegt die Seite http://www.gnome.org/projects/evolution/. Es unterstützt die Verwendung lokaler Mailspool-Dateien sowie beliebig vieler POP3/IMAP-Server. Der Versand ausgehender Mail kann über den MTA auf demselben Rechner oder über den SMTP-Server eines anderen Rechners im LAN oder beim Versorger geschehen. Evolution kommt am nächsten an einen freien Ersatz für Microsoft Outlook heran.
Abb. 16.11: Screenshot des GNOME-Email-Clients Evolution, Erklärung im Text
In Abbildung 16.11 sehen wir oben die übliche Werkzeugleiste. links ein schmales Fenster zur Auswahl des Verzeichnisses, darunter fünf Schaltflächen für die Grundfunktionen E-Mail, Kontakte, Aufgaben, Kalender und Notizen, rechts im Hauptfeld oben einen Ausschnitt aus der Liste der Mails und darunter eine Mail, beginnend mit den wichtigsten Kopfzeilen (header). Insgesamt hinterließ das Programm einen ordentlichen Eindruck, wenn man über Kleinigkeiten hinwegsieht. So wirkte sich die Einstellung der Schriftgröße zwar auf die Wiedergabe von Mails aus, aber nicht auf die Anzeige von Kontakten, die die Augen strapazierte. Das Geburtsdatum ließ sich ebendort auch nicht im ISO-Format eingeben. Ein Knopf dafür, dass
16.11 Electronic Mail
827
ein Empfänger Mails im HTML-Format wünscht, war vorhanden, jedoch nicht für das Gegenteil. Wer die Kombinationen von Funktionen nutzt, ist mit Evolution gut bedient, wer nur Mails lesen und schreiben will, kann bei Mutt bleiben. KDE KMail Wie GNOME ist auch die Arbeitsplatzumgebung KDE mit einem eigenen EmailClient ausgestattet. Das Programm namens KMail unterstützt lokale MailspoolDateien sowie POP3- und IMAP-Server. Der Versand kann über SMTP sowie den lokalen MTA erfolgen. Weiter besteht die Möglichkeit, Filterregeln zu definieren, und es gibt eine Schnittstelle zu den Chiffrier-Programmen pgp und gnupg. Der Konfigurationsteil des Programm wird über das Menü Datei -> Einstellungen erreicht. Es erscheint ein Fenster mit Indexzungen, in denen die Einstellungen unter Identität (persönliche Einstellungen Name, Email-Anschrift usw.) und Netz (MailEmpfang und -Versand) geprüft und angepasst werden sollten. Der Bildschirm sieht ähnlich wie bei Evolution aus, die Auswahl zwischen den fünf Funktionen fehlt, da KMail ein reiner Mailer ist. Das waren bei weitem nicht alle Email-Clients aus der Debian-Paketliste. Einige Web-Browser beherrschen Email mehr oder weniger. Groupware enthält stets ein Email-Modul. Die Szene ändert sich schnell. In der Abteilung Mail der Paketliste sind auch Hilfswerkzeuge wie Adressbücher, Verschlüsseler oder Filter zu finden. Signieren und Verschlüsseln Der Transport von Mail über das Internet ist unsicher, eine Mail ist eine Postkarte. In vielen Fällen ist es deswegen erwünscht, Mail vor dem Transport zu verschlüsseln und beim Empfänger wieder zu entschlüsseln. Auch wenn keine Verschlüsselung benötigt wird, ist es dennoch oft notwendig, Mail eindeutig zu signieren, sodass der Empfänger sicher sein kann, dass eine Mail wirklich von dem angegebenen Absender stammt. Zu beiden Zwecken steht das Programm gnupg (GNU Privacy Guard, Paket gnupg) bei Debian zur Verfügung. Auf das Programm soll hier nicht weiter eingegangen werden. Bei der Auswahl eines Email-Clients kann es jedoch eine Rolle spielen, ob und wie gut Verschlüsselungswerkzeuge integriert sind. Das einfache mail weiß nichts von Verschlüsselung, die anderen Werkzeuge bieten Signieren und/oder Verschlüsseln an. Wenn die Kopfzeilen einer Mail die Zeichenkette DKIM verbunden mit einigen Informationen, die nach Datenbank aussehen, enthalten, handelt es sich um eine Domain Key Identified Mail. Das ist ein neuer Ansatz, um das Fälschen von Absendern zu verhindern. Der Ansatz ist im Frühjahr 2007 von der IETF als Proposed Standard angenommen worden. Näheres bei http://dkim.org/. MIME-Typen Email wird häufig auch zum Versand von beliebigen Dateien benutzt, obwohl das nicht der ursprüngliche Zweck war. Dabei wird einer Mail eine Datei kodiert angehängt; man spricht von Attachment. Damit Absender- und Empfängerprogramm
828
16 Netzdienste
die angehängten Dateien auf gleiche Weise kodieren und dekodieren, bedarf es eines Standards. Hier haben sich die Multipurpose Internet Mail Extensions (MIME) nach RFC 2045 und weiteren durchgesetzt. Von dem archaischen mail abgesehen sind die vorstehend aufgezählten Email-Programme in der Lage, mit der Erweiterung umzugehen. 16.11.6 Webmail Email hat mit dem Web nichts zu tun, das sind verschiedene Protokollwelten. Dass einige Web-Browser wie Netscape auch Email-Protokolle beherrschen, ändert nichts daran. Nun wäre es gelegentlich – vor allem unterwegs – praktisch, wenn man mittels eines Web-Browsers seine irgendwo aufgelaufenen Mails lesen und umgekehrt auch Mails schreiben und versenden könnte. Zwischen Protokollwelten vermittelnde Werkzeuge hat es immer wieder gegeben, beispielsweise um Anonymous-FTPServer per Email anzusprechen. Wenn wir mit einem Browser Mails abholen wollen, wenden wir uns per HTTP an einen Webserver. Dieser fragt per Formular unsere Identität ab und wendet sich dann mittels eines Email-Protokolles (POP- oder IMAP-Client) an den Mailserver, auf dem die für uns bestimmten Mails lagern, holt sie ab – gegebenenfalls als Kopie – bereitet sie als Webseite auf und schickt sie unserem Browser zu. Dass dabei einige Funktionalitäten, die wir bei Email erwarten, auf der Strecke bleiben, liegt nahe. In umgekehrter Richtung fordert der Browser vom Webserver ein Formular an, in das wir Empfängeranschrift und Inhalt unserer Mail eintragen. Der Browser schickt das ausgefüllte Formular an den Webserver zurück, der daraus eine Mail erzeugt und sie per SMTP entweder selbst verschickt oder einem Smarthost übergibt. Auch hier dürfen wir nicht die Leistungen ausgewachsener MUAs und MTAs verlangen. Wir brauchen also für beide Richtungen je eine Erweiterung des Webservers. Viele Erweiterungen bedienen sich der Sprache PHP. Der Browser merkt nichts davon, dass die dargestellten Webseiten Email betreffen. Da sich ein Benutzer ausweisen muss (Benutzername, Passwort), soll man Webmail nur über verschlüsselte Verbindungen (SSL, https) benutzen. Eine kleine, einfache Lösung bietet SquirrelMail (http://squirrelmail. org/), eine leistungsfähige, nicht so einfache das Horde Project (http:// horde.org/). Beide sind bei Debian mit Paketen und bei der deutschen Wikipedia mit eigenen Einträgen vertreten. Weniger verbreitet, aber bei Debian verfügbar sind IlohaMail (http://ilohamail.org/main.php), Postman aus der Universitat de València (http://www.uv.es/postman/) und Mailreader (http://mailreader.com/), ein Perl-cgi-Skript von K IM H OLVIALA. Schauen wir uns SquirrelMail näher an. Wir brauchen einen Webserver, der PHP ab Version 4.1.2 beherrscht, beispielweise einen aktuellen Apache2, ferner Zugang zu einem IMAP-Server (IMAP ab Version 4.1), POP versteht SquirrelMail nicht. Auf der Maschine mit dem Apachen richten wir mittels apt-get das Debian-Paket squirrelmail ein, was geräuschlos vonstatten geht. Der Aufruf des Perl-Skriptes: debian:~# sqirrelmail-configure
16.11 Electronic Mail
829
Abb. 16.12: Screenshot SquirrelMail, Abfassen einer Mail
holt ein Textmenü auf den Schirm, in dem wir uns mittels der Tastatur bewegen. Wir tragen nur unseren IMAP-Versorger ein, alles Andere bleibt vorläufig. SMTP-Verkehr soll über denselben lokalen Server gehen, auf dem auch der Apache, SquirrelMail und Exim4 laufen. Die Einträge finden sich in der Datei /etc/squirrelmail/config.php wieder. Benutzerdaten liegen in /var/ lib/squirrelmail/data. Dann machen wir den Apachen mit SquirrelMail bekannt, indem wir in der Datei /etc/apache2/apache2.conf folgende Strophe einfügen: # /usr/share/squirrelmail hinzugefuegt, Joe 2007-03-23 Alias /sqm/ "/usr/share/squirrelmail/" Options Indexes AllowOverride None DirectoryIndex index.php Order allow,deny Allow from 192.168.1.0/24 dort wo die Aliasse beispielweise für /usr/share/doc oder /usr/share/ apache2/icons anfangen. In der Allow-Zeile sind die Rechner oder Netze
830
16 Netzdienste
einzutragen, von denen aus der Webzugriff auf SquirrelMail erlaubt sein soll. Die Strophe ist nötig, weil das Verzeichnis nicht im normalen Webspace /var/www liegt. Den Apachen restarten. Anschließend rufen wir in einem Browser die Webseite /sqm/src/configtest.php auf unserem Webserver auf und sollten sie samt vielen OKs und ohne Fehlermeldungen zu Gesicht bekommen. Auf Dauer ist es jedoch besser, stattdessen die Datei /etc/squirrelmail/apache.conf zu editieren und in die Konfigurationsdatei von Apache2 einzubinden. Es steht ein bisschen mehr als obige Strophe darin. Ging bisher alles klar, rufen wir nun die Webseite /sqm/ auf und sitzen vor einem Anmeldebildschirm, in den wir Namen und Passwort bei unserem IMAPVersorger eingeben. Wird die Anmeldung angenommen, können wir Mails lesen und abfassen, siehe Abbildung 16.12. Eine über SquirrelMail an den lokalen Exim-Server als Smarthost verschickte Mail hinterlässt eine Spur in dessen Logdatei. In über SquirrelMail verschickten Mails triit dieser als MUA in der untersten ReceivedZeile auf. Von SquirrelMail per IMAP abgeholte Mails gehen an Exim vorbei, anders als bei fetchmail. Da SquirrelMail im Beispiel auf einem Server im lokalen Netz läuft, ist seine Benutzung witzlos – wir können ja direkt auf den lokalen Mailserver zugreifen – und nur ein Proof of Concept. Um sinnvoll nutzbar zu sein, muss der Webmailer auf einem öffentlich erreichbaren Webserver eingerichtet werden, womit Fragen der Verschlüsselung, Authentifizierung und Filterung an Gewicht zunehmen. Will man einen eigenen, sinnvoll verwendbaren Webmailer betreiben, so ist in einer DMZ des lokalen Netzes ein Webserver einzurichten, der vom Internet aus erreichbar ist, gegebenenfalls per DynDNS. Auf diesem Webserver läuft dann auch der Webmailer. Für kleinere Betriebe ist das Anmieten von Webspace bei einem Web-Versorger meist zweckmäßiger. Die Versorger stellen in Verbindung mit dem Webspace auch Mailboxen und einen Webmailer bereit. 16.11.7 Listen (Mailman) Eine Mailingliste (E: electronic mailing list, F: liste de diffusion), kurz Liste genannt, ist ein Verteiler für Rundschreiben. Eine Liste hat einen Namen, eine eigene Email-Anschrift und einen Teilnehmerkreis. Ein Teilnehmer der Liste schickt eine Mail an die Liste, der Listendämon schickt sie an alle Teilnehmer der Liste. Soweit ließe sich der Mechanismus mit Einträgen in der Datei /etc/aliases oder einer persönlichen Konfigurationsdatei eines MUA verwirklichen. Größere Listen mit höheren Ansprüchen erfordern ein Serverprogramm (mailing list manager) wie Majordomo (klassisch, allmählich veraltend), minimalist oder Mailman, nebst anderen bei Debian zu haben. Ein Benutzer meldet sich bei einer Liste an (abonniert sie), empfängt alle Rundschreiben und darf selbst schreiben oder antworten. Es gibt öffentliche und geschlossene, moderierte und nicht-moderierte, lokale und globale Listen. Das Debian-Projekt betreibt selbst mehrere Listen, siehe http://www. debian.org/MailingLists/ oder http://lists.debian.org/. Als Debian-Listen-Server wird SmartList eingesetzt, natürlich als Debian-Paket verfügbar.
16.11 Electronic Mail
831
Abb. 16.13: Screenshot der Webseite zur Verwaltung des Listenmanagers Mailman
Beim Eintragen in eine Liste muss man darauf achten, unter welcher EmailAnschrift man das erledigt. Nur von dieser Anschrift kann man hernach auch Mails an die Liste senden. Bei den meisten Listen muss der Benutzer unterscheiden zwischen einer Mail an die Liste, das heißt an die Teilnehmer oder Abonnenten, und einer Mail an das Listenprogramm, betreffend administrative Fragen wie Abmelden oder Hilfe. Bei einer Antwort auf ein Rundschreiben muss er unterscheiden zwischen einer Mail an den Autor des Rundschreibens und einer Mail an die ganze Liste. Bei allem, was man ins Netz schickt, sollte man sich über den Empfängerkreis klar sein. Nach Herunterladen des Mailman-Paketes beginnt die Einrichtung mit einer Frage nach der Sprache. Es dürfen mehrere ausgewählt werden. Dann wird man darauf hingewiesen, dass noch keine Site-Liste existiere, und gebeten, folgendes Kommando einzugeben: debian:~# newlist mailman Das Kommando fragt nach der Email-Anschrift des künftigen Listenverwalters (listowner) und nach einem Passwort. Hier sollte man kein bereits in Gebrauch befindliches, wertvolles Passwort eingeben, sondern sich eines nur für die Listenverwaltung ausdenken. Das Passwort geht später im Klartext per Email an den Listenverwalter. Dann starten wir die Listenverwaltung wie gewohnt: debian:/etc/init.d# ./mailman start
832
16 Netzdienste
und sehen uns den Erfolg mittels: joe@debian:~$ ps -ef | grep mailman an. Unsere Dämonenschar hat sich um ein Kontrollprogramm und acht qrunner für verschiedene Aufgaben vergrößert, geschrieben in Python. In den Verzeichnissen /etc/rc*.d finden wir die üblichen Symlinks auf das Startskript. Der angehende Listenverwalter wird in einer Mail von mailman-admin über die neue Liste namens mailman informiert, insbesondere über das zugehörige Passwort und die Konfigurationsmöglichkeiten: • • •
http://example.com/cgi-bin/mailman/admin/mailman ist eine Webseite für den Listenverwalter zwecks Konfiguration, http://example.com/cgi-bin/mailman/listinfo/mailman ist die Webseite für Teilnehmer an der Liste, [email protected] ist eine Email-Anschrift für Teilnehmer an der Liste, die mit dem Subject help einer Mail Informationen anfordern.
Wir müssen noch den Mailman mit dem MTA (Exim4) verheiraten. Hierzu: • •
•
lesen wir zuerst die Datei /usr/share/doc/exim4-config/README. system_aliases, lesen wir die Datei /usr/share/doc/mailman/README.EXIM und übertragen einige geheimnisvolle Zeilen aus dem Abschnitt Main configuration settings in die Datei /etc/exim4/exim4.conf.template, rufen wir: debian:~# dpkg-reconfigure exim4-config
•
auf und verfolgen alle Protokolldateien in /var/log/exim4 und /var/log/ mailman.
Bei den geheimnisvollen Zeilen handelt es sich um einige harmlose Makrodefinitionen, einen Router und einen Transport für Exim4. Die Verbindung zwischen Listenmanager und Exim4 läuft anders als früher bei Majordomo, falls sich jemand daran erinnert, und hat nichts mehr mit /etc/aliases und Pipes zu tun. Von nun an geht alles über das Web oder Email. Dem Verwalter steht jetzt das Anlegen und Feinkonfigurieren von Listen bevor. Ein Teilnehmer in spe ruft die zweite Webseite auf, siehe Abbildung 16.14, kann sich dort ansehen, welche Listen auf dem Server angeboten werden, Listen abonnieren oder sich austragen. Beide Webseiten erklären ausführlich, was zu tun ist. Wer noch nie eine Liste eingerichtet und verwaltet hat, fängt am besten mit einer kleinen Liste im Freundeskreis an. Zuschriften an eine von Mailman geführte Liste sind als Mail an: [email protected] zu richten, aber das steht auch auf der Webseite und wird in einer Mail nach der Anmeldung mitgeteilt.
16.11 Electronic Mail
833
Abb. 16.14: Screenshot der Webseite für Teilnehmer an Mailman-Listen
Mailman ist ein leistungsfähiger Listen-Manager, vergleichbar mit Majordomo, auch hinsichtlich des Lernbedarfs. Teilen wir die bei Debian erhältlichen ListenManager in zwei Leistungsklassen ein, gelangen wir zu folgendem Ergebnis: •
•
Manager für kleine Listen: – Minimalist geschrieben in Perl, Heimathafen http://www.mml.org. ua/, – mlmmj mailing list managing made joyful, unabhängig von einem MTA, mit Web-Interface in PHP, scheint aus dem nahen Norden zu stammen: http: //mlmmj.mmj.dk/, – Quickml aus Japan, Heimathafen http://quickml.com/quickml/, Manager für große Listen: – Ecartis Heimathafen http://www.ecartis.org/, – Mailman geschrieben in wenig C und viel Python, zu Hause auf http: //www.gnu.org/software/mailman/, – SmartList setzt auf Procmail auf, Dokumentation liegt auf http://www. animalgenome.org/SmartList/. – Sympa Système de Multi-Postage Automatique, geschrieben in Perl, beheimatet auf http://www.sympa.org/.
834
16 Netzdienste
Majordomo ist noch im Quellcode auf http://www.greatcircle.com/ majordomo/ zu haben. Ein Nachfolger namens Majordomo 2 liegt auf http: //www.mj2.org/. Meist wird man jedoch Mailman oder eine seiner Alternativen bevorzugen, wenn es um mittlere bis große Listen geht. Ein weit verbreitetes kommerzielles Produkt ist LISTSERV von L-Soft International.
16.12 Netnews (Usenet) 16.12.1 News-Server News sind ein Netzdienst, bei dem Nachrichten mit Client-Programmen (Newsreader) von einem Server (Newsserver) abgerufen und angezeigt werden. Gleichzeitig ist es möglich, mit dem Newsreader neue Nachrichten oder Antworten auf vorhandene Nachrichten zu schreiben und an den Newsserver zu schicken. Nachdem der Server eine solche Nachricht erhalten hat, stellt er sie dem Netz zur Verfügung. Bei den Nachrichten handelt es sich mit wenigen Ausnahmen um reine ASCII-Texte, anders als im Web. Im Internet heißt der Dienst Netnews. Da aber auch Rechner außerhalb des Internets seit Anbeginn daran teilnehmen, nennt sich das Netz aller News-Teilnehmer Usenet, siehe Wikipedia. Die technische Seite wird vom Network News Transfer Protocol (NNTP) nach RFC 3977 beschrieben. Während Email eine Benutzer-zu-Benutzer-Kommunikation darstellt, sind die Netnews eine Benutzerzu-Öffentlichkeit-Kommunikation, was Bedacht bei Meinungsäußerungen verlangt. Man kann sich die News als eine Zeitung vorstellen, die nur aus Leserbriefen besteht und fortlaufend erscheint. Auf diese Weise ist es möglich, öffentliche Diskussionen über verschiedene Themen zu führen oder Fragen zu stellen und zu beantworten. Nach Mailing-Listen sind Netnews das wichtigste Medium zur öffentlichen Kommunikation im Internet. Weil es unbegrenzt viele Themen gibt, an denen Menschen interessiert sind, werden Netnews in Rubriken oder Gruppen (Newsgroup) unterteilt. Es gibt: • • •
Internationale Gruppen, deren Sprache Englisch ist und die auf jedem Newsserver geführt werden sollten, nationale Gruppen, in unserem Fall besser deutschsprachige Gruppen genannt, die nur im deutschen Sprachraum und im grenznahen Ausland verfügbar sind, lokale Gruppen, die sich auf eine Stadt wie Karlsruhe oder Bremen und deren Umland beschränken.
Die internationalen Gruppen werden seit altersher in die Großen Acht gegliedert: • • • • • • •
comp Computer Science, Informatik, humanities Geisteswissenschaften, misc Miscellaneous, Vermischtes, Sonstiges, news Themen zu den Netnews selbst, rec Recreation, Freizeit, sci Science, Naturwissenschaften, Medizin und Mathematik, soc Society, Gesellschaftswissenschaften, Politik,
16.12 Netnews (Usenet)
•
835
talk Diskussionen aller Art.
Dazu kommen alternative internationale Gruppen (alt), die nicht überall gehalten werden. Eine neue Gruppe unterhalb der Big Eight zu gründen, ist ein langwieriger Vorgang, aber die Gruppe erlangt schnell eine weite Verbreitung. Bei den altGruppen ist es umgekehrt, die Gründung geht flott über die Bühne, aber das Bekanntwerden zieht sich hin. Einzelheiten auf http://www.newsgruppen.de/. Die Namen der nationalen Newsgruppen beginnen mit einem Sprachkürzel: de für Deutsch, fr für Französisch. Bei den deutschsprachigen Gruppen richtet sich die nächste Gliederungsebene nach den Großen Acht. Die Namen deutschsprachiger Gruppen, die sich mit Informatik befassen, beginnen dementsprechend mit de.comp. Je nach Bedarf setzt sich die Unterteilung noch über mehrere Ebenen fort. Einige Beispiele: • •
• •
comp.os.linux.setup ist die internationale Newsgruppe Computer Science – Operating Systems – Linux – Setup (Einrichtung). soc.culture.nordic ist die internationale Newsgruppe Society – Culture – Nordic Countries, in der kulturelle Fragen aus den skandinavischen Ländern einschließlich Island und Finnland diskutiert werden, vorwiegend auf Englisch. de.rec.fahrrad ist die deutschsprachige Gruppe, in der sich alles um das Fahrrad dreht. ka.uni.studium ist eine lokale, auf Karlsruhe beschränkte Newsgruppe, in der Fragen zum Studium an der Universität Karlsruhe abgehandelt werden.
Weltweit gibt es eine unbekannte Anzahl von Newsgruppen. Große Newsserver führen etwa hundertausend. Verfolgen kann eine einzelne Person vielleicht ein Dutzend. Ein Anfänger sollte mit einer Newsgruppe beginnen, die für Neulinge (newusers) eingerichtet ist. Im Zusammenhang mit Linux ist die Newsgruppe de.comp. os.unix.linux.newusers interessant, für deutschsprachige Debian-Benutzer linux.debian.user.german. Ihr Internet-Versorger sollte Ihnen einen Newsserver nennen, den Sie benutzen, um Newsgruppen zu abonnieren (subskribieren) und eigene News zu versenden. Falls dies nicht der Fall ist, versuchen Sie, einen freien, nicht unbedingt kostenfreien Newsserver zu finden. Dabei hilft die Suchmaschine http://www. findolin.com/. Ein Suchergebnis war der kostenpflichtige Server http:// www.disputo.de/. Kleine Newsserver zur Einrichtung in lokalen Netzen finden sich in den Debian-Paketen cnews + nntp, inn oder leafnode, einen großen Newsserver bringt inn2 mit, alle aus der Abteilung Newsgroups der Paketliste. 16.12.2 News-Clients (Newsreader) Übersicht Um an den Netnews teilzunehmen, brauchen Sie auf dem Arbeitsrechner ein Programm, einen Newsreader (F: lecteur de nouvelles). Die wichtigsten Funktionen von Newsreadern bestehen darin festzulegen, welche Newsgruppen gelesen werden sollen. Diesen Vorgang nennt man abonnieren (E: to subscribe, F: abonner). Ebenso ist
836
16 Netzdienste
es möglich, das Abonnement einer Newsgruppe wieder zu kündigen. Aus den abonnierten Gruppen kann eine zum Lesen ausgewählt werden, woraufhin alle oder ein Teil der darin enthaltenen Artikel angezeigt werden. Eine wichtige Funktion ist dabei das Threading. Das ist die Fähigkeit des Newsreaders, Artikel zu einem bestimmten Thema (Thread) so untereinander anzuordnen, dass man sieht, wer mit einem Thema begonnen hat und wer welche Antworten (Follow-Ups) geschickt hat. Darüber hinaus erlauben Newsreader das Anzeigen von Artikeln sowie das Verfassen von neuen Artikeln oder von Antworten. Hierzu rufen manche Newsreader einen externen Editor auf, was den Vorteil hat, dass man beim Schreiben von Artikeln sein gewohntes Werkzeug verwenden kann. Fortgeschrittene Funktionen, die nur einige Newsreader besitzen, sind der Umgang mit einem Killfile und das Scoring. Beides sind Verfahren, mit denen nach Regeln, die vom Benutzer festgelegt werden, Artikel entweder gar nicht oder nur mit geringer Priorität angezeigt werden. Dadurch werden Artikel von unbeliebten Verfassern ausgeblendet oder Artikel zu besonders interessanten Themen hervorgehoben. Auf einem Newsserver bleibt ein Artikel zwischen drei Tagen und drei Monaten verfügbar. Die Zeitspanne liegt im Ermessen des Verwalters. Kein Server im Internet archiviert alle Beiträge unbegrenzt lange. Es gibt jedoch voneinander unabhängige Teilarchive. Eines der größten ist http://groups.google.com/. Bevor Sie das erste Mal eigene Artikel in eine Newsgroup schicken, sollten Sie eine Zeitlang in der betreffenden Gruppe mitlesen, um sicherzustellen, dass Sie mit Ihrer Frage oder Mitteilung in der richtigen Gruppe sind. Testen Sie die Einstellungen Ihres Newsreaders und Ihre persönlichen Fähigkeiten, indem Sie ein Posting an die Newsgruppe de.test schicken. Dort lesen nur geduldige Programme (Reflektoren) mit, die Ihnen als Antwort Ihren eigenen Beitrag zurückschicken. Ihre Nachricht in gewöhnlichen Gruppen ist allen Internet-Nutzern zugänglich, wird von verschiedenen Rechnern archiviert und von einer großen Anzahl von Menschen gelesen. Wenn Sie technische Fragen haben, sollten Sie Ihr Problem genau beschreiben und darstellen, was Sie bereits versucht haben, um es zu lösen. In vielen Newsgroups gibt es FAQs (Frequently Asked Questions). Das sind Dokumente, die häufig gestellte Fragen und Antworten darauf enthalten. Diese Dokumente werden regelmäßig (wöchentlich bis monatlich) in die zugehörige Gruppe gesendet. Sie machen sich unbeliebt, wenn Sie Fragen stellen, die in der FAQ der Gruppe bereits ausführlich beantwortet werden. Die allgemeine UNIX-FAQ-Sammlung umfasst ausgedruckt 250 Seiten A4 und kommt an ein Buch heran. Viele FAQs stehen auf http://www.faqs.org/ ständig bereit. Vermeiden Sie, zu große Mitteilungen oder etwas Anderes als Text zu versenden; viele News-Benutzer verfügen nur über einen langsamen Internet-Zugang, für den sie bezahlen müssen, und ärgern sich dann über den Aufwand, Ihre Nachricht herunterladen zu müssen. Wenn Sie Ihre Meinung zu einem Thema mitteilen, dann halten Sie sich an allgemeine Grundsätze im Umgang mit Anderen wie Respekt und Höflichkeit. Die Regeln über den Umgang im Netz bezeichnet man als Netiquette. Fragen und Antworten zu Netiquette findet man in der Newsgruppe de.newusers.questions und auf Web-Seiten wie:
16.12 Netnews (Usenet)
• • •
837
http://rn.informatik.uni-bremen.de/service/news/info. html http://www.stud.uni-hannover.de/stud/info/ http://www.dana.de/mod/
tin/rtin Der Newsreader tin beziehungsweise rtin ist ein einfaches Textwerkzeug, um News aus einer lokalen Datei wie /var/spool/news zu lesen oder von einem Newsserver zu beziehen. Er ist das Werkzeug der Wahl, wenn man sich nur für die Newsgruppe linux.debian.announce interessiert. Die systemweite Konfiguration steht in der Datei /etc/tin/tin.defaults, persönliche Informationen in $HOME/.tin. Der zu verwendende Newsserver wird bei der Einrichtung oder in der Umgebungsvariablen NNTPSERVER festgelegt. Netscape News Die communicator-Variante von Netscape ist mit einem Newsreader ausgestattet. Nachfolger wie Epiphany, Firewall oder Iceweasel beschränken sich wieder auf das Web. Der Communicator wird ebenfalls über das zentrale Fenster zur Konfiguration des Programms konfiguriert (Edit -> Preferences). In der Kategorie Mail & Newsgroups befindet sich unter Newsgroup Servers ein Dialog, in den Sie den Newsserver eintragen, von dem Nachrichten bezogen und an den ausgehende Nachrichten geschickt werden. Den Newsreader selbst erreichen Sie, in dem Sie im Menü Communicator den Menüpunkt Messenger aufrufen. Es erscheint dann das gleiche Fenster, in dem auch Ihre Email dargestellt wird. Wenn Sie dann im Menü File den Menüpunkt Subscribe auswählen, können Sie Newsgruppen angeben. Dabei ist es auch möglich, alle auf dem Server vorhandenen Newsgruppen anzeigen zu lassen und nach Stichwörtern zu durchsuchen. Gnus Das Programm gnus ist Teil der Editoren Emacs und Xemacs. Es handelt sich dabei um einen bequem zu benutzenden Newsreader mit fast allen Eigenschaften, die man sich wünschen kann. Dazu gehört übersichtliches Threading, gute Integration von Email-Funktionen und ein ausgeklügeltes Scoring-Konzept. Um Gnus mitzuteilen, welchen Newsserver Sie benutzen wollen, schreiben Sie folgende Zeile in die Datei .emacs in Ihrem Home-Verzeichnis: (setq gnus-select-method ’(nntp "news.provider.com")) Hierbei ersetzen Sie news.provider.com durch den Namen des betreffenden Newsservers. Für die Absenderadresse in von Ihnen verfassten Artikeln verwendet (X)Emacs normalerweise Ihre lokale Email-Adresse, die Adresse, welche sich aus dem Namen Ihres Rechners und Ihrem Benutzernamen auf dem Rechner zusammensetzt. Wenn Sie eine andere Absenderadresse verwenden wollen, weil Sie unter
838
16 Netzdienste
dieser Adresse keine Email von außen empfangen können, müssen Sie (X)Emacs die zu verwendende Adresse mit folgender Zeile in der Datei .emacs bekannt machen: (setq user-mail-address "[email protected]") Dabei ist [email protected] durch die richtige Adresse zu ersetzen. Gnus lässt sich aus dem Menü Apps, Menüpunkt Usenet News in xemacs heraus starten oder durch das Emacs-Kommando +<x> gnus. Um eine Gruppe zu abonnieren, ist aus dem Menü Groups, Untermenü Subscribe der Punkt Subscribe to a group auszuwählen oder die Taste zu betätigen. Danach ist der Name der gewünschten Gruppe einzugeben. Eine Liste aller verfügbaren Newsgruppen wird angezeigt, wenn aus dem Menü Groups, Untermenü Listing der Punkt Describe all groups ausgewählt wird oder die Tastenkombination + betätigt wird. In die Anzeige der abonnierten Gruppen gelangen Sie durch Betätigung der Taste . In der Liste der abonnierten Newsgruppen wird eine zu lesende Gruppe mit der mittleren Maustaste oder den Pfeiltasten ausgewählt. Das Programm zeigt die in der Gruppe verfügbaren Artikel im oberen Teil des Fensters an. Einzelne Artikel lassen sich ebenfalls mit der mittleren Maustaste oder den Pfeiltasten selektieren. Sie werden dann im unteren Teil des Fensters angezeigt. Um alle Artikel einer Gruppe als gelesen zu markieren, ist die Taste zu betätigen. Einen neuen Artikel können Sie verfassen, wenn Sie die Taste drücken. Eine Antwort auf den markierten Artikel kann nach Betätigung der Taste erstellt werden. Selbst erstellte Nachrichten werden mit dem Kommando + + abgeschickt. Das Programm wird durch Betätigung der Taste verlassen. Zu Gnus gibt es eine ausführliche Dokumentation im Info-Format. Weil Gnus Teil von Emacs bzw. Xemacs ist, befindet sich die Dokumentation in den Abschnitten des Info-Systems zu den Editoren. Knews Bei diesem Programm handelt es sich um einen schlanken Newsreader für X11 mit allen notwendigen Funktionen. Das Programm bezieht die Information, welcher Newsserver benutzt werden soll, aus der Datei /etc/news/server. In dieser Datei sollte sich lediglich eine Zeile befinden, die den Namen des Newsservers enthält. Wenn das Programm mit einem anderen Server benutzt werden soll, ist ihm der Name des Servers an der Kommandozeile nach der Option -nntpServer zu übergeben: joe@debian:~$ knews -nntpServer news.provider.com Die Email-Adresse für das Absenderfeld selbst erstellter Artikel konstruiert das Programm aus dem Rechnernamen sowie dem Namen des Benutzers, der gerade mit dem Programm arbeitet. Konfiguriert wird das Programm durch X-Ressourcen sowie über Newsserver-spezifische Konfigurationsdateien, die sich im Verzeichnis .knews im Home-Verzeichnis des Benutzers befinden und Namen tragen, die sich aus der Zeichenkette .config- sowie dem Namen des betreffenden Newsservers
16.12 Netnews (Usenet)
839
Abb. 16.15: Screenshot des Newsreaders Knode aus dem KDE-Projekt beim Abonnieren einer Newsgruppe
zusammensetzen. Um den Benutzerteil der Email-Adresse des Absenders zu überschreiben, ist die X-Ressource Knews.mailName zu setzen. Dazu wird der Datei .Xresources im Home-Verzeichnis folgende Zeile zugefügt: Knews.mailName: karl.mustermann Hierbei ist karl.mustermann durch den tatsächlichen Benutzerteil in der EmailAdresse zu ersetzen. Existiert die Datei .Xresources noch nicht, ist sie anzulegen. Der Rechnerteil der Email-Adresse lässt sich mit dem Programm nur durch Änderung der Datei /etc/mailname ändern. Aufgabe der Datei ist es, den Rechnernamenteil der Email-Adressen lokaler Benutzer global zu überschreiben, falls dieser nicht mit dem Rechnernamen übereinstimmt. Die Information wird auch von einer Reihe anderer Programme benutzt. Überprüfen Sie deswegen nach eine Änderung der Datei, ob der Mail-Versand auf dem System noch wie erwartet funktioniert. Weitere Informationen zu knews finden Sie in der Manualseite. Knode Knode ist der Newsreader des KDE-Projekts, siehe Abbildung 16.15. Das Programm beherrscht alle wichtigen Funktionen für die Arbeit mit News und lässt sich vollständig über Menüs konfigurieren. Angenehm ist, dass das Programm keine dauerhafte
840
16 Netzdienste
Verbindung zu einem Newsserver benötigt und deswegen gut für Rechner geeignet ist, die nur über eine zeitbegrenzte Internetanbindung verfügen. Eine Suche in den Paketlisten förderte nichts Vergleichbares aus dem GNOME-Projekt zu Tage.
16.13 Netzgeschwätz (IRC und IM) 16.13.1 Internet Relay Chat Der Internet Relay Chat (F: service de clavardage IRC), kurz Chat oder IRC genannt, nach RFC 1459 ist ein textbasierter Kommunikationsweg, auf dem mehrere Teilnehmer in Echtzeit per Bildschirm und Tastatur miteinander diskutieren. Die Weiterentwicklung führt zu Videokonferenzen. Am besten funktioniert der Chat, wenn sich Leute regelmäßig treffen, die sich kennen. Das Linux IRC mini-HOWTO (2005) bereitet darauf vor. Wie bei den Netnews braucht ein Teilnehmer eine Netzverbindung zu einem IRCServer und lokal einen IRC-Client. Es gibt öffentliche Server – Tendenz weniger werdend – und die Möglichkeit, im LAN einen kleinen, lokalen Server einzurichten (Debian-Paket ircd mit Varianten). Einige, teilweise beschränkt öffentliche Server sind: • • •
chat.t-online.de mit Website http://community.t-online. de/, irc.oftc.net mit Website http://www.oftc.net/, irc.debian.org mit Website http://channel.debian.de/, wo eine Netiquette & HOWTO für den Kanal #debian.de liegt.
Auf den Websites geht es auch zu Informationen über den Internetdienst allgemein. An Clients stehen unter anderem folgende Debian-Pakete zur Verfügung: • •
• • • • • • • • • •
cgiirc, http://cgiirc.sourceforge.net/, zum Chatten mittels eines Web-Browsers, ircii, Kommando ircII, wird als klassisch bezeichnet, darauf aufbauend BitchX, http://www.bitchx.org/, dort Quellcode und Binaries als Tarball verfügbar, epic4, auf ircII aufbauend, ksirc aus dem KDE-Projekt, kvirc und kvirc-doc, ein grafischer Client, lostirc für X11, pork, ncurses-basiert, ähnlich wie ircII, sirc, Simple IRC, mit Perl-Skripten erweiterbar, tinyirc, schlanker als ircII, sonst ähnlich, tirc, mit Anklängen an den Editor vi, weechat, Wee Enhanced Environment for Chat, schnell, leichtgewichtig und ausbaufähig, Heimathafen http://weechat.flashtux.org/, xchat, für X11.
16.13 Netzgeschwätz (IRC und IM)
841
Wer nur einmal schnuppern will, wählt einen schlanken Client, wer dagegen voll einzusteigen beabsichtigt, greift zu einem durch Skripte erweiterbaren oder von sich aus mächtigen Client. Zum Aufbau eines eigenen IRC-Servers stehen mehrere Debian-Pakete zur Verfügung: • • • •
dancer-ircd, früher FreeNode genannt, iacd, Heimathafen http://iacd.reeler.org/, ircd, ein Klassiker mit mehreren Varianten, ngircd, die nächste Generation, Heimathafen http://ngircd.barton. de/.
Daneben gibt es Proxies aus Paketen wie bip oder znc, die unter anderem ermöglichen, eine vergangene Diskussion noch einmal abzuspielen oder eine laufende Diskussion in Abwesenheit des Benutzers weiter zu verfolgen. Das Netzgeschwätz wird – ähnlich wie die News in Newsgruppen – in Gesprächskreise, Kränzchen oder Kanäle (E: channel, F: canal) eingeteilt, wobei nicht jeder Kanal auf jedem Server verfügbar ist. Ein Kanal wird einmal von einem Teilnehmer eingerichtet, der meist zugleich der Operator mit erweiterten Rechten ist, und bleibt bestehen, bis er gelöscht wird. In die lebhafteren Kanäle sind oft einige Teilnehmer unter ihren Nicknamen eingeloggt. Es gibt aber auch Kanäle, auf denen sich die Teilnehmer nur zu bestimmten Zeiten treffen. Hat man das Debian-Paket tinyirc eingerichtet, so verbindet der Aufruf: joe@debian:~$ tinyirc den Benutzer mit dem Server irc.debian.org. Nachdem man einen eindeutigen Nicknamen gewählt hat, kann man das Kommando /list eingeben, das die verfügbaren Kanäle auflistet. Mittels /join #debian.de verbindet man sich mit dem Kanal #debian.de – bei entsprechender Reife eher mit #debian.de.rentner – und sollte die Beiträge der anderen Teilnehmer über seinen Bildschirm scrollen sehen. Was man selbst ohne führenden Schrägstrich eintippt, wird an die Runde verteilt, als erstes sinnvollerweise eine Begrüßung und Vorstellung. Die Runde verlässt man mit dem Kommando /quit. Man vergesse nicht, dass die Teilnehmer im wirklichen Leben ganz anders aussehen können als sie sich auf dem Bildschirm geben. Nichts und niemand garantieren die Wahrheit des Geflimmers. IRC-Nachrichten gehen von Haus aus unverschlüsselt über das Netz und sind daher nicht mehr zeitgemäß. Das Secure Internet Live Conferencing (SILC) arbeitet verschlüsselt und soll IRC ablösen, ist aber noch nicht verbreitet (http://www. silcnet.org/). Clients sind Gaim (http://gaim.sourceforge.net/) und Silky (http://silky.sourceforge.net/), bei Debian erhältlich. 16.13.2 Instant Messaging Instant Messaging (F: messagerie instantanée) ist eine Mischung aus talk, Internet Relay Chat (IRC), Email und File Transfer (FTP), deren Nutzen nicht offensichtlich,
842
16 Netzdienste
deren Erfolg aber um so deutlicher ist. Sicherheitsverantwortliche ergrauen seit dem Aufkommen von IM deutlich schneller. Die IM-Dienste sind teilweise im Internet zu Hause (durch RFCs beschrieben, Jabber), teilweise sind sie zwar öffentlich und benutzen das Internet, folgen aber proprietären Protokollen (AOL Instant Messenger, Microsoft MSN Messenger), teilweise sind sie kommerziell und nur für den Einsatz in einem LAN oder Intranet gedacht (IBM Lotus Domino Messaging). Etwas Licht in den Nebel bringt die deutsche Wikipedia. Ein Unterschied zum IRC liegt darin, dass man sich nicht an vorgegebene Gesprächsrunden anschließt bzw. eine solche gründet, sondern mit einer selbst zusammengestellten Liste von Bekannten (Buddies) tratscht. Man kann aber auch einen Chatroom gestalten, der Ähnlichkeiten mit einem IRC-Channel aufweist. Auf jeden Fall hat der einzelne Benutzer mehr Einfluss auf seinen Freundeskreis und darauf, wer ihn als Freund bezeichnen darf. Wir beschränken uns auf für Debian GNU/Linux verfügbare, durch RFCs beschriebene Protokolle verwendende Werkzeuge. Der textbasierte IM-Client mICQ ist nicht bei Debian, aber als Debian-Paket bei http://www.micq.org/ zu haben. Die Einrichtung mittels dpkg -i verlief ohne Zwischenfall. Dann liest man das Manual, Sektionen 1 und 7. Der erstmalige Aufruf: joe@debian:~$ micq legt wie üblich im Home-Verzeichnis ein Verzeichnis .micq an, in dem die Konfiguration und weitere Daten gespeichert werden. Der Client verlangt ein Passwort (nicht das wertvolle Systempasswort nehmen) und beantragt eine Benutzernummer bei login.icq.com. Geht der Versuch schief, löscht man das Verzeichnis .micq und fängt noch einmal an. Geht die Verbindung zum Internet über eine Firewall, muss diese den Verkehr durchlassen (Port Forwarding/Triggering). Innerhalb eines lokalen Netzes, in dem ein IM-Server (Debian-Paket jabber) werkelt, entfällt die Hürde. IMcom ist ein in Python geschriebener, textbasierter Jabber-Client mit Ähnlichkeiten zu mICQ. Beliebt ist der Jabber-Client psi, zu dem man noch das Debian-Paket psitranslations nehmen sollte. Der Client setzt X11 und Qt voraus. Einen Eindruck vermittelt Abbildung 16.16. Man meldet sich bei einem öffentlichen Jabber-Server wie swissjabber.de oder jabber.ccc.de an und ist damit für die JabberWelt unter einem URL (Jabber ID, JID) wie [email protected] erreichbar. Dieser URL ist keine Emailanschrift, er kann nur von einem Jabber-Client verwendet werden. Die Jabber-Server verfügen über Gateways zu anderen IM-Welten wie AOL, teilweise mit eingeschränkter Durchlässigkeit. Es erleichtert den Start, wenn man schon den Jabber-URL eines Bekannten kennt und so gezielt eine Verbindung suchen kann. Ein Roster ist nicht nur eine Thüringer Rostbratwurst, sondern auch eine Liste von Personen, Kontakten oder Buddies, im Englischen eigentlich ein Dienstplan. Wer bereits eine Anschriftenliste auf Papier oder im Rechner führt, kennt das. Ein Jabberglossar findet man bei http://web.amessage.info/Service/ glossar. Gaim setzt X11 und GTK+ voraus, ist modular aufgebaut – hat daher einige zusätzliche Pakete mit Plugins – und beherrscht mehrere IM-Protokolle, nämlich
16.13 Netzgeschwätz (IRC und IM)
843
Abb. 16.16: Screenshot des Instant-Messaging-Clients Psi beim Jabbern. Im oberen Fenster der bisherige Dialog, im unteren die nächste mit abzuschickende Nachricht.
AIM, ICQ, Yahoo!, MSN, IRC, Jabber, Gadu Gadu und Zephyr. Wenn man AOL Instant Messaging (AIM) bevorzugt, ist er der Debian-Client der Wahl. Näheres bei http://gaim.sourceforge.net/. Gaim ist auch ein Client für Secure Internet Live Conferencing (SILC). Kopete ist ebenfalls ein Multi-Protokoll-IM-Client und stammt aus dem KDEProjekt. Näheres bei http://www.kopete.org/. Um diese Kommunikationsmöglichkeit zu beurteilen, hilft nur eines: Ausprobieren. Der Erfolg hängt stark von den Partnern ab, deshalb möglichst nicht als Einzelkämpfer starten. Will man einen Server im lokalen Netz aufsetzen, bietet das Debian-Paket xtell (Client und Server) eine einfache Möglichkeit. Das Paket jabber samt Zusatzpaketen ermöglicht den Aufbau eines lokalen Jabbernetzes. Groupware wie egroupware bringt teilweise ebenfalls Möglichkeiten zum Diskutieren mit. Auf dem Gebiet der Online-Kommunikation sind noch nicht alle Möglichkeiten ausgeschöpft; es ist noch viel im Fluss. Während alte Dienste wie Email zunehmend unter Missbrauch leiden – wogegen Mittel auf Protokollebene gefunden werden müssen – fällt bei neuen Diensten die Wahl vorläufig schwer.
844
16 Netzdienste
16.14 World Wide Web 16.14.1 Webserver Einrichten des Webservers Apache Für einen Webserver eine eigene Maschine abzustellen, auf der nichts oder wenig Anderes läuft, ist eine gute Idee. An die Hardware werden keine hohen Anforderungen gestellt. Der Zweitautor hat jahrelang einen Webserver für eine ganze Fakultät mit einem ausrangierten Arbeitsplatz-PC betrieben, auf dem vor der Umwidmung nur die Festplatte erneuert wurde. Die Maschine erfüllte keine weiteren Aufgaben, X11 war nicht eingerichtet, SSH wurde gebraucht, weil sie von mehreren Webmastern ferngefüttert wurde, ansonsten war jeder nicht benötigte Dienst stillgelegt. Sie arbeitete schnell und zuverlässig, bis alle Netzdienste auf dem Campus zentralisiert wurden. In einem kleinen lokalen Netz kann man die Servermaschine für weitere Dienste einsetzen, und schließlich kann man auf einem Arbeitsplatz bei Bedarf einen minimalen Webserver einrichten, der nur ein einziges Verzeichnis lokal zugänglich macht. Bei Web-Providern sieht die Sache anders aus, da sie auf einer Maschine mehrere virtuelle Server einrichten, die zusammen eine hohe Last erzeugen.
Abb. 16.17: Screenshot der von einem frisch eingerichteten Apachen gelieferten Webseite, Datei /var/www/apache2-default/index.html.en
16.14 World Wide Web
845
Beim Betrieb eines Webservers unterscheiden wir drei Aufgabenbereiche, die drei getrennten Personen zugeordnet sein können, auf kleinen Servern jedoch in einer Hand liegen: • •
•
Einrichten und Betreiben der Maschine: Aufgabe von Root, Kenntnisse von GNU/Linux erforderlich, Betreiben des Webservers: Aufgabe des technischen Webmasters, der damit Ansprechpartner bei technischen Mängeln ist (File not found . . . ), Kenntnisse von Apache erforderlich, Schaffen und Pflegen der Inhalte: Aufgabe des inhaltlichen Webmasters, Ansprechpartner bei fehlenden, falschen oder veralteten Informationen; Kenntnisse von HTML erforderlich.
Mietet man Webspace bei einem Versorger, bleibt einem im einfachsten Fall nur die dritte Aufgabe. Dazu kommt bei öffentlichen Angeboten die rechtlich verantwortliche Person, die im Impressum genannt wird. Mit dem Webserverprogramm apache (HTTP-Dämon) der Apache Software Foundation (http://www.apache.org/) steht unter Debian GNU/Linux der im Internet am häufigsten eingesetzte Webserver zur Verfügung, siehe die deutsche Wikipedia unter dem Suchbebegriff Apache HTTP Server. Obwohl sich die Software für Server mit Millionen Zugriffen täglich eignet, ist sie für einen kleinen lokalen Server kein zu schwerer Hammer. Der Server ist modular aufgebaut und weitgehend konfigurierbar. Er kommt mit Vorgaben, die in den meisten Fällen vernünftig sind und einen sofortigen Start erlauben. Das Programm ist im Paket apache enthalten, zur Zeit in der Version 1.3.34. Im Paket apache2 steht die nächste Generation des Webservers bereit, Version 2.2.3. Wer mit Apache anfängt, wähle gleich das neuere Paket. Auf einem laufenden Rechner wird der Webserver mit folgendem Kommando eingerichtet: debian:~# apt-get install apache2 Man kann jedoch schon bei der Grundeinrichtung die Software auswählen. Während der Einrichtung wird nichts gefragt. Erwartungsgemäß finden wir anschließend ein Startskript /etc/init.d/apache2 sowie ein Konfigurationsverzeichnis /etc/apache2 vor, dessen Inhalt in der zugehörigen README-Datei erläutert wird. Jetzt sollte ein Web-Browser auf derselben Maschine unter dem URL http://localhost/ eine vorbereitete Meldung von Apache anzeigen, die darauf hinweist, dass noch keine Webseiten eingerichtet sind. Dann versuchen wir von einer anderen Maschine im Netz aus Kontakt aufzunehmen, zuerst mit ping, dann mittels eines Browsers. Auch hier sollten wir die genannte Seite zu Gesicht bekommen, siehe Abbildung 16.17. Der Apache läuft. Nach dem Schnellstart stehen uns zwei Aufgaben bevor, die sich länger hinziehen: • •
das Füllen des Webspaces, der Web-Verzeichnisse mit Inhalt und die Feinabstimmung der Konfiguration.
846
16 Netzdienste
Das Schreiben von Webseiten ist nicht Thema unseres Buches. Sie finden eine gute Anleitung von S TEFAN M ÜNZ auf http://www.selfhtml.org/ und im Buchhandel. Als einfache Vorlagen zum Abkupfern können die Seiten auf http: //www.abklex.de/ dienen. Man versäume nicht, eigene Webseiten mittels des Werkzeugs tidy und der Website http://validator.w3.org/ auf syntaktische Richtigkeit zu prüfen. Auf serverseitig erzeugte dynamische Inhalte gehen wir in Abschnitt 16.14.1 Dynamische Webseiten auf Seite 851 ein. Das Konfigurationsverzeichnis /etc/apache2 enthält folgende Dateien und Unterverzeichnisse: • • • • • • • • • •
•
•
apache2.conf Haupt-Konfigurationsdatei, angucken, conf.d anfangs leer; für den Fall, dass man die Konfiguration in viele kleine Dateien aufteilt, die von der Haupt-Konfigurationsdatei eingezogen werden, envvars anfangs leer; für etwaige Umgebungsvariable, httpd.conf anfangs leer, ehemalige Konfigurationsdatei, wird von der HauptKonfigurationsdatei eingezogen, könnte lokale Besonderheiten aufnehmen, magic Angaben für das Apache-Modul mod_mime_magic, in Ruhe lassen, mods-available Verzeichnis mit Skripten zum Laden der verfügbaren Apache-Module, automatisch erzeugt, angucken, mods-enabled Verzeichnis mit Symlinks auf Dateien im vorgenannten Verzeichnis, soweit das jeweilige Apache-Modul geladen werden soll, ports.conf Datei mit Zeilen für jeden Port, auf dem Apache lauscht, vorgegeben Port 80, README kurze Textdatei, aus der wir gerade abschreiben, gründlich lesen, sites-available Verzeichnis mit Dateien mit der Konfiguration des Webspaces virtueller Server (virtual host), anfangs nur mit der Datei default gefüllt, sites-enabled Verzeichnis mit Symlinks auf Dateien im vorgenannten Verzeichnis, soweit der jeweilige virtuelle Server aktiviert werden soll, anfangs nur mit einem Symlink auf sites-available/default, ssl anfangs leeres Verzeichnis zur Konfiguration der Secure Socket Layer, falls gewünscht.
Die Konfiguration steht größtenteils in der reichlich mit Kommentar gespickten Datei apache2.conf: • • • • • •
ServerRoot Verzeichnis, in dem die Konfiguration des Servers liegt, nicht der Webspace (Verzeichnis mit Webseiten), vorgegeben /etc/apache2. LockFile Pfad der Sperrdatei, vorgegeben /var/lock/apache2/ accept.lock. PidFile Pfad der Datei mit der Prozess-ID des Servers, vorgegeben /var/ run/apache2.pid. Timeout Anzahl der Sekunden bis zum Timeout einer Verbindung, KeepAlive Schalter betreffend das Aufrechterhalten einer Verbindung mittels Senden von KeepAlive-Paketen durch einen Browser. MaxKeepAliveRequests maximale Anzahl von Keepalive-Paketen einer Verbindung.
16.14 World Wide Web
• •
847
KeepAliveTimeout maximale Anzahl der Sekunden bis zum Eintreffen des nächsten KeepAlive-Paketes. Zumindest früher war es auf Servern, die mit Server Side Includes arbeiteten, erforderlich, folgende Direktiven zu ergänzen: ExtendedStatus On XbitHack On
•
• • • • • •
•
•
Die erste Direktive bewirkt, dass erweiterte Informationen zum Status jeder Anfrage verfolgt werden. Die Fähigkeit erfordert das Apache-Module mod_status. Die zweite Direktive führt dazu, dass jede Webseite, für deren Datei das Owner-executable-Bit gesetzt ist, als server-parsed HTML-Dokument angesehen wird, das heißt als ein Dokument, das der Server auf ausführbare Anweisungen hin durchsuchen soll. Erfordert Apache-Modul mod_include. Empfehlung: zunächst weglassen oder auf Off setzen, bei Problemen mit SSIs daran denken. Server Pool Size Regulation Apache hält mehrere Serverprozesse als Kindprozesse unter Dampf, um auf Anfragen schnell reagieren zu können. Hier werden Zahlenwerte für untere und obere Grenzen festgelegt. Auf hoch belasteten Servern – mit einer angemessenen Ausstattung an Arbeitsspeicher – sind die Grenzen zu erhöhen. In kleinen lokalen Netzen ließen sich die Grenzen etwas herabsetzen; man gewinnt aber nicht viel damit. MPM bedeutet Multi Processing Module. User und Group Benutzer und Gruppe, unter der die Serverprozesse laufen, niemals root, vorgegeben www-data für beide Einträge. LogFormat Definition einiger Formate für Protokolleinträge. ErrorLog Pfad der Fehler-Protokolldatei, vorgegeben /var/log/ apache2/error.log. Include ... Hereinziehen weiterer Konfigurationsdateien. Alias /icons/ Aliasname und Attribute für das vorgegebene Verzeichnis mit Icons (Symbole, Sinnbilder). Set up the default error docs durch die Internationalisierung unübersichtlich gewordene Zeilen mit Vorgaben für Webseiten, die bei Fehlern verschickt werden. Der häufig vorkommende Fehler 404 besagt, dass eine Webseite angefordert wurde, die auf dem betroffenen Webserver nicht existiert. Die vorgegebenen Fehlermeldungen lassen sich durch eigene Schöpfungen ersetzen. DirectoryIndex Wenn ein Leser von einem Webserver ein Verzeichnis anfordert (keine Webseite *.html), liefert der Server als Vorgabe eine Datei zurück, deren Namen samt Varianten hier aufgezählt sind. Beabsichtigt ist, dass die Seite mit dem Dateinamen index.html oder ähnlich eine Übersicht über das Verzeichnis bietet, daher der Name, aber sie kann jeden beliebigen Inhalt haben oder fehlen. Unter Umständen ist die Aufzählung um Dateinamen wie index.shtml oder start.html zu erweitern. UserDir war ein Weg, um jedem Benutzer auf der Servermaschine zu ermöglichen, innerhalb seines Home-Verzeichnisses ein allgemein zugängliches Webverzeichnis namens public_html einzurichten. Das sind die Verzeichnisse,
848
•
• • •
• • • • • • •
• • •
• •
•
16 Netzdienste
die in einem URL mit Tilde-Benutzername angegeben werden. Wird heute durch Konfigurieren und Aktivieren des Apache-Moduls userdir erledigt und ist grundsätzlich aus Sicherheitsgründen bedenklich (Zugriffsrechte sorgfältig einstellen). Wo kämen wir denn hin, wenn jeder Benutzer . . . AccessFilename In jedem Verzeichnis im Webspace kann sich eine Datei .htaccess befinden, die den Zugriff auf das Verzeichnis rekursiv in vielfältiger Weise beschränkt. Näheres unter http://httpd.apache.org/docs/ 2.2/de/howto/htaccess.html. Änderungen einer .htaccess-Datei werden sofort wirksam. Der Mechanismus ist einfacher und feinkörniger als eine Änderung der Konfiguration des Webservers. Nachteilig ist, dass jeder einzelne Zugriff auf eine Datei aus dem Verzeichnis über die .htaccess-Datei geht, was Zeit kostet. Eher ein Notnagel als ein Allheilmittel. UseCanonicalName ein Schalter, der bestimmt, wie der Server seinen Namen und seinen Port ermittelt. TypesConfig Pfad zur Datei mime.types. HostnameLookups Schalter, der ermöglicht oder verhindert, dass IPAdressen per DNS-Abfrage zu Namen aufgelöst werden, was Zeit kostet, daher Vorgabe Off. IndexOptions bestimmt, wie Verzeichnisse aufgelistet werden. AddIcon ordnet Dateitypen bestimmte Icons zu. HeaderName und ReaderName Dateien, die bei einer Auflistung eines Verzeichnisses an oberster bzw. unterster Stelle kommen. IndexIgnore Dateien, die bei einer Auflistung eines Verzeichnisses übergangen werden (Verwaltungsdateien, Backups . . . ). AddEncoding ordnet eine Datei-Kennung einem MIME-Encoding-Typ zu. AddLanguage ordnet eine Datei-Kennung einem MIME-Language-Typ zu. LanguagePriority falls eine Webseite in mehreren Sprachen verfügbar ist und der Browser keine Sprache bevorzugt, wird hier die Reihenfolge der Sprachen festgelegt. Vorgegeben ist en an erster Stelle, de wäre denkbar. AddCharset ordnet eine Dateikennung einem Zeichensatz zu. AddType ordnet eine Dateikennung einem MIME-Application-Typ zu. FilesMatch legt fest, dass Dateien mit der Kennung shtml vom Server gelesen und vor dem Versand durch das Filter INCLUDES geschickt werden sollen, was nicht das übliche Verhalten und für den Gebrauch von Server Side Includes erforderlich ist. BrowserMatch legt das Verhalten des Servers in Abhängigkeit von einigen Browsern fest. Ein Browser übermittelt bei einer Anfrage seinen Typ. als Vorgabe deaktiviert; erlaubt die Abfrage des Serverstatus aus einer bestimmten IP-Domäne heraus, üblicherweise der Domäne, in der der Webmaster arbeitet (sein LAN). Über einen URL wie http://www.beiuns/server-status erfährt man, wie sich der Webserver fühlt. als Vorgabe deaktiviert; wie vorstehend, jedoch mit Informationen zur Konfiguration des Servers, URL wie http://
16.14 World Wide Web
•
849
www.beiuns/server-info. Recht nützlich um herauszufinden, wie der Server seine Konfiguration sieht, insbesondere die Module. Zum Schluss wird das Verzeichnis sites-enabled gelesen, in der virtuelle Hosts aktiviert werden, beginnend mit dem vorgegebenen Host default.
Die meisten Zeilen lassen wir, wie sie sind. Immer nur eine Änderung auf einmal vornehmen. Betreibt man einen öffentlich zugänglichen Webserver, empfiehlt es sich, die Änderungen vorher auf einem weniger wichtigen Webserver auszuprobieren, ebenso wie neue Webseiten oder Programme. Dann wenden wir uns dem Verzeichnis /etc/apache2/sites-available zu. Dort werden virtuelle Server definiert. Die Dateinamen sind unabhängig von den Namen der Server; einen Server namens default betreiben wir vermutlich nicht. Die Datei default enthält folgende Anweisungen: •
• • • • •
•
•
• •
NameVirtualHost die IP-Adresse, unter dem sich der jeweilige Webserver meldet, eventuell erweitert um eine Portnummer. Vorgegeben ist ein Sternchen, auf Maschinen mit nur einer IP-Adresse ausreichend. Es folgen Strophen für die virtuellen Hosts, im Minimum eine. leitet Direktiven ein, die für eine bestimmte IPAdresse (siehe oben) oder einen bestimmten Hostnamen gelten. ServerName Rechnername und gegebenenfalls Port, mit dem sich der Server meldet, oft www. Hierin unterscheiden sich die virtuellen Hosts eines Apachen. ServerAlias Zweitnamen des Servers, beispielsweise web. ServerAdmin Email-Anschrift des (technischen) Webmasters, wird in Fehlerseiten (404 . . . ) verwendet. DocumentRoot Das ist der Systempfad des obersten Verzeichnisses im Webspace, also das oberste Verzeichnis, das Webseiten (HTML-Dateien) und Unterverzeichnisse mit Webseiten enthält, vorgegeben /var/www. Hierin unterscheiden sich die virtuellen Hosts. bis Strophen (Container) mit Anweisungen zu einzelnen Verzeichnissen im Webspace, angegeben durch ihren absoluten Pfad im Dateisystem. Wir gehen anschließend auf die Anweisungen (Direktiven) ein. ScriptAlias /cgi-bin/ setzt einen vom Server verwendeten Zweitnamen für das Verzeichnis /usr/lib/cgi-bin, in dem Programme liegen, die der Server beim Bau dynamischer Webseiten ausführt. CGI bedeutet Common Gateway Interface und bezieht sich auf die Schnittstelle zwischen Webserver und Programm. Die Programme müssen die Formalien der Schnittstelle einhalten, dürfen in einer beliebigen Programmiersprache geschrieben und müssen ausführbar sein. Perl ist eine Möglichkeit, aber C/C++ geht auch. Der CGI-Mechanismus ist nicht der schnellste. Betreibt man einen hoch belasteten Server mit vielen dynamischen Webseiten, sollte man das Thema vertiefen. ErrorLog Systempfad zur Fehler-Protokolldatei, um die Ausgaben der virtuellen Server trennen zu können. LogLevel Ausführlichkeit der Fehlermeldungen, vorgegeben warn (Warnungen und alles, was schwerer wiegt).
850
• •
•
16 Netzdienste
CustomLog Name und Format der Protokolldatei mit den Zugriffen, auszuwerten mit Statistik-Werkzeugen wie analog. ServerSignature Schalter, der bestimmt, ob der Server von ihm erzeugten Seiten eine Fußzeile mit Absenderangaben hinzufügt. Das ist beispielsweise bei Fehlerseiten hilfreich, wenn die Seite durch mehrere Proxies geht, um zu erkennen, wer die Fehlerseite erzeugt hat. Vorgabe On. Alias /doc/ vom Server verwendeter Zweitname für das Verzeichnis /usr/ share/doc, das üblicherweise im lokalen Netz per Web zur Verfügng gestellt wird. Der Zweitname kann auf ein anderes Verzeichnis verweisen oder fehlen.
Damit ist die Konfiguration eines virtuellen Servers abgeschlossen, und der nächste kommt an die Reihe. Arbeitet man mit mehreren virtuellen Hosts, sind deren Namen im Netz bekannt zu machen, im einfachsten Fall durch Eintrag in die Datei /etc/hosts, andernfalls im DNS. Schon der default-Host ist ein virtueller Host; insofern arbeitet jeder, der den Apachen benutzt, mit virtuellen Hosts oder Servern, die Frage ist nur, mit wievielen. Die Strophen (Container) mit Anweisungen für jeweils ein Verzeichnis wiederholen sich. Deshalb beschreiben wir sie hier gemeinsam: •
•
•
leitet eine Verzeichnisstrophe ein. pfad bezeichnet den absoluten Pfad des Verzeichnisses im Dateisystem, also nicht vom Verzeichnis DocumentRoot aus gesehen. Der Name darf Jokerzeichen enthalten. Die Optionen gelten für das benannte Verzeichnis und seine Unterverzeichnisse. Options benennt verschiedene Optionen; die wichtigsten sind: – All Alle Optionen bis auf MultiViews werden ausgewählt. – Indexes Die automatische Erzeugung von Verzeichnisindices wird aktiviert. – Includes erlaubt, durch bestimmte Direktiven in den Dokumenten beim Abruf Daten einzufügen (Server Side Includes, SSI). – IncludesNOEXEC Das Einfügen wird mit Ausnahme der Anweisungen exec und include erlaubt. – FollowSymLinks Symbolischen Links wird gefolgt. – SymLinksIfOwnerMatch Symbolischen Links wird nur dann gefolgt, wenn der Besitzer von Link und Datei oder Verzeichnis, auf die der Link zeigt, übereinstimmen. – MultiViews Wenn ein bestimmter Inhalt in mehreren Formen (Sprachen, mit/ohne Grafik, mit/ohne Frames) vorliegt, dürfen Browser und Server aushandeln, welche Version benutzt wird. – ExecCGI CGI-Programme dürfen ausgeführt werden. AllowOverride None Bestimmt, welche Zugriffseinschränkungen und Optionen durch die mit AccessFileName bestimmten Dateien überschrieben werden dürfen. Folgende Angaben sind möglich: – All Alle Einstellungen dürfen überschrieben werden. – None Keine Einstellung darf überschrieben werden. – Limit Die Zugriffsbeschränkungen (deny, allow, order) dürfen überschrieben werden.
16.14 World Wide Web
•
• • • •
851
– Indexes Die Einstellungen zur Erzeugung von Indices dürfen überschrieben werden. – FileInfo Einstellungen zu Dokumenttypen dürfen überschrieben werden. Order deny,allow Mit dieser Anweisung wird festgelegt, wie Zugriffsbeschränkungen verstanden werden. Wenn allow,deny angegeben ist, wird zunächst davon ausgegangen, dass ein Client nicht zugangsberechtigt ist. Dann wird nach einer allow-Anweisung gesucht, die für den Client gilt (nach dieser Prüfung ist er unter Umständen zugangsberechtigt) und zum Schluss wird nach einer deny-Regel gesucht, die für ihn gilt (nun ist er möglicherweise nicht mehr zugangsberechtigt, die allow-Regel wurde überschrieben). Bei deny,allow läuft es umgekehrt. Zunächst wird davon ausgegangen, dass der Client zugreifen darf, dann wird nach deny-Anweisungen gesucht (aufgrund derer er nicht zugreifen darf) und danach nach allow-Regeln geschaut (mit denen die denyRegeln wieder durchlöchert werden). Deny from all Allow from 127.0.0.0/255.0.0.0 Allow from all ohne Argument schließt die Strophe ab.
Gleichartige Strophen gibt es auch für Files und für Location. Files-Strophen beziehen sich auf durch ihren Basisnamen (keinen Pfad) gekennzeichnete Dateien und treten sowohl eigenständig wie auch innerhalb von Directory-Strophen auf. Eine Location-Strophe gilt für einen URL; sie kommt seltener vor als die beiden anderen. Über das Zusammenspiel von Containern untereinander und mit .htaccess-Dateien lese man in der Apache-Dokumentation nach. Die Dokumentation zum Apachen findet sich im Paket apache2-doc. Nach dessen Einrichtung liegen die Dateien im Verzeichnis /usr/share/doc/ apache2-doc mit einem Unterverzeichnis manual, das zahlreiche HTMLDateien enthält. Die Dokumentation im HTML-Format wird mit einem WebBrowser durch Öffnen des URLs http://servername/doc/apache2-doc/ manual/ gelesen, vorausgesetzt auf der Maschine läuft ein Apache, in dessen Konfigurationsdatei /etc/apache2/sites-available/default eine Alias-doc-Strophe eingerichtet ist, die den Zugriff auf das Verzeichnis gestattet. Abbildung 16.18 zeigt die Startseite des Manuals, das in mehreren Sprachen vorliegt. Dynamische Webseiten (SSI, cgi-bin, PHP) Eine Webseite besteht im einfachsten Fall aus einer Datei im Webspace, die auf eine Anfrage hin unverändert übertragen wird. Man spricht dann von einem statischen (unveränderlichen) Inhalt. Der Inhalt einer Webseite lässt sich aber auch teilweise oder ganz erst nach der Anfrage erzeugen, was erwünscht ist, wenn die Webseite aktuelle Informationen enthalten soll. Solche dynamischen Inhalte lassen sich grundsätzlich vom Server oder vom Browser (Client) erzeugen. Wir befassen uns hier nur mit serverseitig erzeugten Inhalten, die vom Server letzlich als statische Seiten auf die Reise ins Netz geschickt werden und daher von jedem Browser verarbeitet werden. Sie sind unbedenklich, weil sie beim Versand keine aktiven Inhalte mitführen
852
16 Netzdienste
Abb. 16.18: Screenshot der Startseite der Online-Dokumentation des Webservers Apache2, angezeigt durch den Web-Browser Iceweasel
und auf der Clientmaschine nichts tun. Für diesen Zweck stehen drei Mechanismen zur Verfügung: • • •
Server Side Includes (SSI), cgi-bin-Skripte, PHP-Skripte.
Der Webserver muss dazu über die entsprechenden Fähigkeiten (Module) verfügen, was bei größeren Servern wie Apache gegeben ist. Server Side Includes sind bestimmte Variable in einer Webseite, die erst beim Aufruf der Webseite ihren Wert erhalten. Die Auswahl an Variablen und ihren Gebrauch gibt der Server vor; der Webmaster kann daran nichts ändern. Die wichtigsten sind: • • •
Zeitstempel des jüngsten schreibenden Zugriffs auf die Datei index.html, setzt die Ausgabe eines Programms ein, hier das Ergebnis eines in Perl geschriebenen Zählers.
Da die SSIs die Form eines HTML-Kommentars haben, werden sie von Servern, die keine SSIs kennen, als solcher überlesen. Ein Beispiel, die Fußzeile einer Webseite: by Hier werden ein Datumsformat festgelegt sowie der Zeitpunkt der Abfrage, die Quelle der Abfrage – wie sie der Server sieht – und der Name des Servers in die Webseite eingesetzt. Da Webserver normalerweise nicht in Webseiten hineinschauen, muss man sie darauf hinweisen, in Einzelfällen von ihrer Gewohnheit abzuweichen. Wie man dies bewerkstelligt, finden Sie Informationen in der Dokumentation zum Apachen. Obige Zeilen sind nur ein Anreiz, sich mit dem Thema zu befassen. cgi-bin-Skripte sind beliebige ausführbare Programme – nicht nur Skripte – die in einem bestimmten Verzeichnis liegen und bei Aufruf eine vollständige Webseite ausgeben, die der Server auf die Reise schickt. Verbreitet sind Perl-Skripte, aber genau so gut – bloss deutlich schneller – arbeiten übersetzte C-Programme. Wenn Sie sich die Webseite http://www.abklex.de/abklex/ ansehen, finden Sie zuoberst eine Suchfunktion. Diese begann als Perl-Skript, wurde zwecks Beschleunigung auf C umgeschrieben und musste beim Umzug der Seiten zu einem kommerziellen Webhoster auf PHP umgestellt werden. Die Geschwindigkeit des PHP-Skriptes liegt zwischen Perl und C. Beim Schreiben von cgi-bin-Skripten muss man sich genau an die Formalien der Schnittstelle (Common Gateway Interface) zum Webserver halten, der Rest ist gewöhnliches Programmieren. Die Skriptsprache PHP hat den Vorzug, dass der Code in eine Webseite (HTMLSeite) eingebettet wird, sodass man mit einer einfachen statischen Webseite beginnt und nach und nach den PHP-Code einfügt oder erweitert. Die Schnittstellen für Einund Ausgabe sind einfach; außerdem gibt es Hunderte vorgefertiger Funktionen für alle gängigen Aufgaben. Die Syntax erinnert an C/C++; man könnte von C/C++ für HTML-Seiten sprechen. Die wichtigste Quelle der Erleuchtung ist http://www. php.net/. So einfach es ist, den Apachen zum Laufen zu bringen und eine erste Webseite zu schreiben, so schwierig werden die Aufgaben mit wachsenden Ansprüchen. Ein Webmaster kommt aus dem Lesen, Lernen und Ausprobieren nie heraus. Lokale Suchmaschinen (htdig) Ohne Suchmaschinen findet ein Leser im Web kaum die Informationen, die er braucht. Das gilt schon auf einer einzelnen größeren Website. Es ist daher guter Brauch, auf der Startseite oder einer eigenen Seite eine lokale Suche anzubieten, hinter der eine lokale Suchmaschine mit ihrem Index werkelt. Bei Debian stehen folgende Werkzeuge für diesen Zweck in der Abteilung Web Software bereit:
854
•
• •
•
16 Netzdienste
htdig eine Suchmaschine besonders für Intranets oder kleinere öffentliche Webserver, aber kein Ersatz für Google und Genossen, Heimathafen http: //www.htdig.org/, die jüngsten Recent News stammen von 2004, MnogoSearch eine ausgewachsene Suchmaschine mit Heimathafen http:// search.mnogo.ru/, Estraier in unstable und Hyper Estraier, Volltext-Suchmaschinen für Websites, Dateiserver, Mailboxen; mit Heimathafen http://hyperestraier. sourceforge.net/. Xapian, eine Search Engine Library, kein fertiges Werkzeug, Heimathafen http://www.xapian.org/.
Abb. 16.19: Screenshot eines Ergebnisses der lokalen Suchmaschine htdig
Daneben kommen allgemeine Suchmaschinen wie Glimpse oder Lookup in Betracht, die eine Dateihierarchie nach Stichwörtern durchsuchen. Eine solche Maschine müsste in Skripte verpackt werden. Suchmaschinen für binäre Inhalte – also keine Texte – gibt es vereinzelt, siehe gnuift. Das sind jedoch alles keine fertigen Lösungen.
16.14 World Wide Web
855
Wikis Ein Wiki, auch WikiWiki oder WikiWeb genannt, eignet sich dazu, Texte und Grafiken – alles was das Web verkraftet – einer Leserschaft zur Verfügung zu stellen und durch die Leser erweitern zu lassen. Eines der ältesten Wikis ist das Wiki Wiki Web mit dem URL http://c2.com/cgi/wiki und umfangreichen Erklärungen auf Englisch. Das bekannteste Beispiel sind die Wikipedien; es geht aber auch kleiner. Dazu läuft irgendwo im Netz ein Wiki-Server entweder solo oder in Zusammenarbeit mit einem Webserver; als Client dient ein beliebiger Web-Browser. Wiki-Server (Wiki engines) finden sich in mehreren Debian-Paketen: • • • • • • •
• •
aswiki eine in Ruby geschriebene Wiki Engine, Heimathafen http: //aswiki.sourceforge.net/, didiwiki einfache, in C geschriebene Wiki Engine mit eingebautem Webserver, Heimathafen http://www.didiwiki.org/, ewiki ErfurtWiki, in PHP geschriebenes Wiki, Heimathafen http:// erfurtwiki.sourceforge.net/, hiki noch eine in Ruby geschriebene Maschine, aus Japan, Heimathafen http: //hikiwiki.org/en/, jspwiki einfaches in Java geschriebener Wiki mit Heimathafen httP;//www. jspwiki.org/, libkwiki-perl ist eine in Perl geschriebene, modular aufgebaute Implementation, Heimathafen http://www.kwiki.org/, auch bei CPAN vertreten, moinmoin-common leistungsfähig und viel benutzt, in Python geschrieben, braucht weitere Debian-Pakete, mit eigenem Eintrag in der deutschen Wikipedia, Heimathafen http://moinmoin.wikiwikiweb.de/, twiki auf cgi-bin-Skripten beruhender Wiki, der ausdrücklich mit Apache zusammenarbeitet, Heimathafen http://twiki.org/, wiliki geschrieben in Scheme, besonders für Intranets geeignet, Heimathafen http://sourceforge.net/projects/wiliki/.
Daneben bringen der Emacs, der Apache und Groupware-Pakete Wikis mit. Der Debian Wiki http://wiki.debian.org/ bezieht seine Kraft aus MoinMoin. Betreibt man einen Apachen, bietet sich zum Ausprobieren der ApacheMiniWiki an, geschrieben in Perl. Näheres zum Apache-MiniWiki findet man auf der Seite http://search.cpan.org/~kerw/Apache-MiniWiki-0. 92/MiniWiki.pm von W IM K ERKHOFF. Wer keinen Webserver im Keller hat, bekommt mit dem DidiWiki ein kleines selbständiges Wiki. Nach Einrichten des Paketes didiwiki tummelt sich ein weiterer Dämon auf unserem Rechner, lauscht per Vorgabe auf Port 8000 und wird von einer Manualseite in aller Kürze erklärt. Hilfe bekommt man auch durch Aufrufen des URLs http://localhost:8000/WikiHelp, siehe Abbildung 16.20. Aufregendere Seiten muss man selbst verfassen. Im Konfigurationsverzeichnis /etc/didiwiki liegt ein vorgefertigtes Stylesheet styles.css; das Webverzeichnis und der Port werden bei Bedarf durch Optionen eingestellt.
856
16 Netzdienste
Abb. 16.20: Screenshot der selbständig ohne Webserver laufenden Wiki Engine DidiWiki wenige Sekunden nach Einrichten mittels apt-get. Gezeigt wird die Hilfeseite.
Web-Statistiken (analog, webalizer) Jeder Zugriff auf den Apachen schreibt eine Zeile in die Datei /var/log/ apache2/access.log. Die Zeilen enthalten Informationen des Servers und des Clients (einzeilig): 192.168.0.41 - - [08/Feb/2007:11:50:36 +0100] "GET /doc/apache2-doc/manual/howto/ssi.html HTTP/1.1" 200 24216 "http://www.beiuns/doc/apache2-doc/manual/" "Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.8.0.9) Gecko/20061205 (Debian-1.8.0.9-1) Epiphany/2.14" Die Bedeutung der Teile ist im Abschnitt Log-Format der Apache-Dokumentation erklärt; im Wesentlichen handelt es sich um die IP-Adresse des Clients, den Zeitpunkt der Anfrage, das Kommando der Anfrage und den Typ des Browsers. Die beiden Bindestriche nach der IP-Adresse stehen für remote logname und remote user, zwei Angaben, die ein Browser üblicherweise nur dann übermittelt, wenn eine Authentifizierung des Lesers verlangt wird. Hier wurde offenbar innerhalb eines lokalen Netzes die Seite ssi.html der Apache-Dokumentation von einem Epiphany-Browser angefordert. Zum Auswerten der Informationsflut dienen Werkzeuge wie:
16.14 World Wide Web
857
Abb. 16.21: Screenshot des Anfangs der Ausgabe des Werkzeugs Analog zur Auswertung von Zugriffsprotokollen eines Webservers
•
• • • • •
Analog aus der Universität Cambridge/UK, mit ausführlichen Ergebnissen als Zahlen, Balken und Torten, siehe Abbildung 16.21, weitgehend konfigurierbar, Heimathafen http://www.analog.cx/, bezeichnet sich als The most popular logfile analyser in the world und lässt in der Tat kaum Wünsche offen, AWFFull ein Ableger des Webalizers, Heimathafen http://www.stedee. id.au/awffull/, AWStats liefert Statistiken auch für FTP- oder Emailserver, Heimathafen http: //awstats.sourceforge.net/, Visitors ein schneller Analyzer mit Heimathafen http://www.hping.org/ visitors/, Webalizer vielseitiges Werkzeug mit Heimathafen http://www.mrunix. net/webalizer/, auch unter Webmin nutzbar, siehe Abbildung 16.22, Webdruid erzeugt XHTML-Ausgaben, der Heimathafen ist http:// www.webdruid.org/ oder http://sourceforge.net/projects/ webdruid/, keinesfalls zu verwechseln mit einer australischen Firma gleichen Namens.
858
16 Netzdienste
Im Interesse der Fertigstellung des Buches verzichten wir auf längere Testreihen. Positive Erfahrungen liegen mit mehreren Versionen von Analog vor, aber das spricht nicht gegen die anderen Werkzeuge.
Abb. 16.22: Screenshot des Anfangs der Ausgabe des Werkzeugs Webalizer unter Webmin zur Auswertung von Zugriffsprotokollen eines Webservers
Wie bei jeder Statistik sehe man sich die Definition der ausgegebenen Größen genau an; Fehlinterpretationen sind leicht möglich. Ein Zugriff ist kein Besucher. Ausgangspunkt sind die Daten in den Protokolldateien. Was dort nicht drinsteht, kann ein Statistikprogramm nur unter Zuhilfenahme von mehr oder weniger berechtigten Annahmen dazurechnen. Immerhin taugen die Auswertungen dazu, sich ein ungefähres Bild über die Last des Servers und die Top Ten der Webseiten zu verschaffen. Andere Webserver Der Apache hat sich zwar weltweit durchgesetzt, dennoch kann es in einzelnen Fällen sinnvoll sein, einen der folgenden, bei Debian verfügbaren Server vorzuziehen: •
AOL Web Server 4, Paket aolserver4, enthält den von AOL (America Online) eingesetzten Webserver. Er zeichnet sich dadurch aus, sehr viele Benutzer und
16.14 World Wide Web
• • • • •
•
• •
•
•
•
•
• •
859
viele virtuelle Domänen gleichzeitig bedienen zu können. Heimathafen http: //www.aolserver.com/. Araneida in LISP geschriebener, programmierbarer Webserver mit dem Heimathafen http://www.common-lisp.net/projects/araneida/. Boa schlanker, schneller Webserver, der für den Einsatz auf Rechnern mit knappen Ressourcen geeignet ist. Näheres unter http://www.boa.org/. Caudium erweiterbarer, vom Roxen WebServer abgeleiteter Server, bei Debian mit mehreren Paketen vertreten, zu Hause auf http://caudium.net/. Cherokee schneller und vielseitiger Webserver, Heimathafen http://www. cherokee-project.com/. dhttpd einfacher Webserver, der sich zur Veröffentlichung von statischen Dokumenten, aber nicht viel mehr eignet. Näheres unter http://dhttpd. sourceforge.net/. fnord schlanker Webserver, der als Knecht unter einem Superdämon wie tcpserver (Paket ucspi-tcp-src) oder tcpsvd (Paket ipsvd) läuft, möglicherweise auch unter einem schlichten inetd, Heimathafen http://www.fefe. de/fnord/. lighttpd kleiner, schneller Webserver mit geringem Arbeitsspeicherbedarf, Heimathafen http://www.lighttpd.net/. micro-httpd winziger Webserver (200 Zeilen C-Quellcode), der als Knecht des inetd läuft und sich gut dazu eignet, ein Verzeichnis auf einem Rechner mit minimalem Aufwand für Browser zugänglich zu machen, siehe Abbildung 16.23. Die Konfiguration besteht in der Angabe des Verzeichnisses in der zugehörigen Zeile in /etc/inetd.conf. Manualseite mittels man micro_httpd mit Unterstrich. Heimathafen http://acme.com/ software/micro_httpd/. mini-httpd großer Bruder des micro-httpd, mit erweiterten Fähigkeiten, aber immer noch bescheiden, Heimathafen http://acme.com/software/ mini_httpd/. Nginx Webserver, der auch als Reverse Proxy arbeitet, beheimatet auf http:// nginx.net/, weitere Informationen auf http://wiki.codemongers. com/ und http://www.nginx.de/. Die Roxen WebServer zeichnen sich durch einfache Konfiguration und Pflege aus. Näheres unter http://www.roxen.com/products/webserver/. Das Paket roxen4 ist zur Zeit nur in sarge und lenny enthalten, nicht in etch, in den Paketlisten nachschauen, bei dringendem Bedarf vom Heimathafen herunterladen. thttpd kleiner, schneller, sicherer Webserver mit geringen Anforderungen an den Arbeitsspeicher, auf zwei Debian-Pakete verteilt, Heimathafen http://acme. com/software/thttpd/. webfs einfacher Webserver für statische Inhalte, keine Konfigurationsdatei, Heimathafen http://linux.bytesex.org/misc/webfs.html. Yaws yet another web server, in Erlang (nicht in Erlangen) geschrieben, Heimathafen http://yaws.hyber.org/.
860
16 Netzdienste
Einen Vergleich zahlreicher Webserver findet man in der englischen Wikipedia unter dem Suchbegriff Comparison of web servers. Die Unterschiede zwischen den Servern lassen sich zum Teil nicht einfach durch Zahlen ausdrücken, sondern betreffen Konzepte, deren Diskussion den Rahmen des Buches sprengen würde.
Abb. 16.23: Screenshot einer von einem als Knecht des inetd laufenden, auf Port 8888 lauschenden Micro-Httpd gelieferten Webseite. Sein Webspace ist das Verzeichnis /usr/ share/doc. Ein minimaler Webserver.
16.14.2 Web-Proxies Proxies sind Rechner, die sich im Netz zwischen Client und Server schieben, meist in der Nachbarschaft (proximity) des Clients, und bestimmte Protokolle bedienen. Sie können aber auch vor einem Server arbeiten und ihm einen Teil der Last abnehmen (reverse proxy cache, web server acceleration; die statischen Webseiten liefert der Proxy, die dynamischen der Webserver). Ein Reverse Proxy muss auf einer anderen Maschine als der hoch belastete Webserver laufen, sonst bringt er nichts. Eine kurze Erklärung bietet die Dokumentation zum Apache Module mod_proxy. Proxies erfüllen mehrere Aufgaben: •
Sie beantworten Anforderungen des Clients aus ihrem eigenen Speicher (Cache), soweit möglich, verringern damit die Netzlast und verkürzen die Antwortzeiten,
16.14 World Wide Web
• • •
861
bei einem Unterbruch der Verbindung zum Server halten sie eine Zeitlang einen eingeschränkten Betrieb aufrecht, sie verdecken die Identität des Clients vor dem Server, die Anfrage scheint vom Proxy zu stammen, sie filtern Anfragen und Antworten und können mit einer Firewall zusammenarbeiten.
Das Einrichten eines Web-Proxies (forward proxy) ist schon für kleine lokale Netze angebracht, sofern überhaupt Web-Anfragen nach draußen gehen. Anfragen an lokale Webserver werden üblicherweise nicht geproxied, lohnt nicht. Der bekannteste Web-Proxy ist Squid, bei Debian mit mehreren Paketen vertreten und auf http: //www.squid-cache.org/ sowie auf http://www.squidportal.de/ zu Hause. Eine Stärke von Squid ist, dass sich aus benachbarten Squids ProxyVerbünde aufbauen lassen, aber ein alleinstehender Squid ist bereits ein Gewinn. Squid kommt auch als Reverse Proxy in Betracht. Weitere Web-Proxies bei Debian sind: •
•
•
•
•
•
•
•
anon-proxy ein Werkzeug zum Verschleiern der Herkunft einer Web-Anfrage, siehe http://anon.inf.tu-dresden.de/, nicht ein Proxy im üblichen Sinn, ffproxy ein filternder Proxy, Näheres auf http://sourceforge.net/ projects/ffproxy/ und http://directory.fsf.org/ffproxy. html, filterproxy ein Perlskript mit Schwerpunkt Filtern von Inhalten (Löschen von Werbung, Komprimieren), durch Module erweiterbar, Heimathafen http:// filterproxy.sourceforge.net/, micro-proxy ein minimaler Web-Proxy, der als Knecht des inetd und entsprechend langsam läuft, Heimathafen http://www.acme.com/software/ micro_proxy/, oops ein schneller Web-Proxy mit Heimathafen http://zipper.paco. net/~igor/oops-eng/ (kaum lesbar: hellblaue Schrift auf mittelblauem Grund), polipo ein kleiner, schneller Caching Web Proxy mit Filterfähigkeiten, Anlehnungen an Squid und WWWOFFLE (World Wide Web Offline Explorer, bei Debian nur in sarge und lenny) und dem Heimathafen http://www.pps. jussieu.fr/~jch/software/polipo/, privoxy ein Web Proxy mit umfangreichen Filterfähigkeiten zum Schutz der Privatsphäre ähnlich dem Internet Junkbuster (bei Debian nur in woody), Heimathafen http://www.privoxy.org/, Varnish ein Reverse Proxy oder HTTP Accelerator, der ab Kernversion 2.6 einen Webserver beschleunigt, nach eigener Aussage der Squid für HTTP-Server, Näheres auf http://varnish.projects.linpro.no/ und http:// sourceforge.net/projects/varnish/.
Wie zu erkennen unterscheiden sich die Ziele erheblich; ein Proxy ist einfach ein Zwischenrechner oder -server.
862
16 Netzdienste
Auch das Ajax-Konzept lässt sich als ein Proxy auffassen, der sich als AjaxEngine nahe dem Browser zwischen Browser und Webserver schiebt. Der Zweck des Konzeptes ist die Entlastung des Netzes und des Webservers von Aufgaben, die sich beim Aufbau einer Webseite ebenso gut oder besser lokal auf der Clientseite erledigen lassen. Einzelheiten in der deutschen Wikipedia unter dem Suchbegriff Ajax (Programmierung). Bei Debian findet sich eine Handvoll diesbezüglicher Pakete. 16.14.3 Web-Browser Mozilla und Verwandtschaft Eine Webseite ist zunächst eine in HTML, XML oder einer ähnlichen Sprache geschriebene Textdatei. Mit den meisten Browsern kann man sich den Quelltext einer Webseite unter einem Menüpunkt wie View -> Page Source oder Ansicht -> Quelltext anschauen. Die Umsetzung der Textdatei in den gewohnten Anblick einer Webseite besorgt eine Rendering Engine, auch Layout Engine genannt, eine Software, die HTML-Befehle etc. ausführt und den eigentlichen Inhalt entsprechend darstellt. Eine verbreitete Rendering Engine ist Gecko aus dem Mozilla-Projekt (http://www.mozilla.org/). Sie wird von Browsern wie Netscape Navigator, Firefox, Camino, SeaMonkey, Iceweasel, Galeon oder Epiphany verwendet, die Gecko mit eigenen Zutaten anreichern, um einen ausgewachsenen Browser daraus zu machen. Lesezeichen (bookmarks) beispielsweise haben nichts mit einer Rendering Engine zu tun, gehören aber zu einem Browser. Auch Dateimanager wie Nautilus oder Email-Clients wie Thunderbird setzen Gecko ein. Browser wie Konqueror oder Opera dagegen bringen eigene Rendering Engines mit (KHTML bzw. Presto). Der am häufigsten eingesetzte Browser unter Linux war lange Zeit der Netscape Navigator. Nach der Version 4.77, die bei Debian noch in woody vertreten ist, gab es technische und wirtschaftliche Probleme. Seit 1998 gehört die Marke Netscape der Firma AOL und spielt bei Browsern keine Rolle mehr. Die Nachfolge hat das noch von Netscape ins Leben gerufene Mozilla-Projekt angetreten, das mittlerweile unabhängig von AOL ist und unter dem Dach der 2003 gegründeten Mozilla Foundation arbeitet. Der Name Mozilla war die firmeninterne Bezeichnung des Netscape Navigators seit der Version 1. Die Stiftung übernahm die Rendering Engine Gecko sowie das Bug Tracking System Bugzilla und brachte die Mozilla Application Suite heraus, eine Sammlung von Internet-Clients, die heute unter der Bezeichnung SeaMonkey von einer Gruppe freier Entwickler gepflegt wird (http://www.mozilla.org/projects/seamonkey/). Bei Debian heißt die aktuelle Version infolge von Streitigkeiten über Marken, Namen, Logos und Patches Iceape Internet Suite, in etch mit einer Handvoll Pakete vertreten, darunter der Internet-Browser Iceape Navigator. Nach der Aufgabe der Mozilla Application Suite konzentrierte sich das MozillaProjekt auf die Entwicklung des Browsers Firefox, des Email-Clients Thunderbird und einiger kleinerer Werkzeuge. Firefox ist in etch vertreten, aber nur mit Paketen, die den Übergang zu Iceweasel erleichtern, der wegen besagter Streitigkeiten notwendig gewordenen Debian-Abfüllung des Firefox. Den originalen Firefox müsste
16.14 World Wide Web
863
Abb. 16.24: Screenshot des Web-Browsers Iceweasel mit einem Fenster zur Konfiguation
man sich als Tarball bei Mozilla holen. Gleiches gilt für Thunderbird5 , der bei Debian unter Icedove firmiert. Zum Firefox und vermutlich genauso zum Iceweasel liegen auf http://addons.mozilla.org/ einige Ergänzungen zwecks Einrichtens eines Kiosk-Modus der Browser. Das GNU-Projekt (http://www.gnu.org/) hat aus der Mozilla Application Suite durch Beseitigen nicht-freier Erweiterungen einen Browser namens Gnuzilla abgeleitet, der bei Debian nicht vertreten ist. Das Gnuzilla-Projekt hat ferner aus Firefox einen Browser namens IceWeasel (Schreibung beachten, http: //www.gnu.org/software/gnuzilla/) abgeleitet, der mit dem Iceweasel von Debian nichts als die Ahnengalerie gemein hat. Es ist vorstellbar, dass sich die GNU- und die Debian-Entwickler eines Tages zusammensetzen, da sie ähnliche Vorstellungen von freier Software hegen. Auf der Arbeitsplatzumgebung GNOME und der Rendering Engine Gecko baut der Browser Galeon auf, der sich auf das Web konzentriert und schlank und schnell zu sein verspricht. Er steht für Debian GNU/Linux zur Verfügung. Näheres bei http://galeon.sourceforge.net/. Das GNOME-Projekt bietet auch den Browser Epiphany aus dem Debian-Paket epiphany-browser an, der sich von Galeon abgespalten hat und ebenfalls Gecko verwendet. Epiphany gilt als der offizielle 5
Firebird hingegen ist eine auch bei Debian vertretene Datenbank mit Heimathafen http://www.firebirdsql.org/.
864
16 Netzdienste
Abb. 16.25: Screenshot des Web-Browsers Epiphany mit seiner Startseite
Browser von GNOME und wird wohl Galeon ersetzen (http://www.gnome. org/projects/epiphany/). Abbildung 16.25 zeigt den Browser bei der Darstellung seiner Startseite (homepage). Andere Browser Das Programm lynx ist ein nicht-grafikfähiger Web-Browser für die Konsole oder ein Terminalfenster, ein lebendes Fossil. Das Programm hat zwar gegenüber modernen Browsern erhebliche Einschränkungen, braucht aber weniger Systemressourcen und keine grafische Oberfläche (X11). Das Programm eignet sich dafür, Dokumentationen zu lesen, die im HTML-Format vorliegen. Mit dem Browser lassen sich Webseiten auf Eignung für blinde Benutzer testen, die auf einen Screenreader (Vorlese-Programm) angewiesen sind. Auch in Shellskripten hat er seinen Platz. Die Optionen des Programms sind seiner Manualseite beschrieben. Sein Heimathafen ist http://lynx.browser.org/. Der Web-Browser der KDE-Arbeitsumgebung ist der Konqueror, siehe Abbildung 16.26. Er ist zugleich der Dateimanager unter KDE und in den Debian-Paketen konqueror sowie konq-plugins enthalten. Näheres unter http://www.kde.de/ oder http://www.konqueror.org/.
16.14 World Wide Web
865
Abb. 16.26: Screenshot des Web-Browsers und Dateimanagers Konqueror 3.3.2
Nicht von Debian, aber kostenfrei ist der Browser Opera aus Norwegen zu beziehen. Er gilt als schnell und hält sich strikt an die W3C-Standards, was nicht selbstverständlich ist (http://www.webstandards.org/action/acid2/). Damit ist er auch ein Werkzeug zum Testen eigener HTML-Seiten. Opera war der erste Browser, der Cascading Style Sheets (CSS) unterstützte. Ende 2006 wurde ein Phishing-Filter in den Browser integriert. Er kennt einen Kiosk Mode, in dem einem anonymen Benutzer eine Reihe von Möglichkeiten verwehrt bleibt, beispielsweise die Website zu wechseln, siehe unten. Weiteres unter http://www.opera.com/ linux/ oder http://www.opera-browser.de/. Weil ein Browser Verwaltungsinformationen speichert, soll auf einer Maschine für einen Benutzer zu einem Zeitpunkt immer nur ein Exemplar des jeweiligen Browsers laufen. Zu diesem Zweck legt der Browser beim Start eine Sperrdatei an und verweigert den Start eines weiteren Exemplars. Zumindest war das früher so. Wird der Browser gewaltsam beendet, bleibt die Sperrdatei übrig und ist von Hand zu löschen. Dagegen ist es unproblematisch, gleichzeitig je ein Exemplar verschiedener Browser unter Dampf zu haben, da sie verschiedene Verwaltungsdateien führen. Nach dem Einrichten eines Browsers ist der erste Schritt die Anpassung an die persönlichen Wünsche eines Benutzers. Hierzu dienen Menüpunkte wie Bearbeiten -> Einstellungen, Tools -> Appearance, Tools -> Preferences, Edit -> Preferences und weitere wie Ansicht, Einstellungen oder Extras. Die Browser unterschei-
866
16 Netzdienste
Abb. 16.27: Screenshot des Web-Browsers Opera 9.1 mit der Startseite von Opera
den sich sowohl in ihren Fähigkeiten wie in den Bezeichnungen und der Gliederung der Menüpunkte. Kiosksysteme Ein Kiosk oder Kiosksystem ist ein öffentlich zugänglicher Rechner, auf dem nur bestimmte Anwendungen laufen, oft ein Web-Browser. Auf diese Weise lassen sich Internetdienste anonymen Benutzern zugänglich machen. Ein Kiosksystem wird meist nur kurzzeitig und im Stehen benutzt, wie ein öffentliches Telefon. Es versteht sich, dass Hard- und Software gegen Missbrauch und Beschädigung besonders geschützt sein müssen. Softwareseitig ist der Schutz im Wesentlichen eine Frage der Konfiguration, beim Bootvorgang angefangen. Der Web-Browser Opera bringt einen vorkonfigurierten Kiosk Mode mit. An Debian-Paketen speziell für Kiosksysteme stehen zur Verfügung: • • •
kiosktool Werkzeug für das KDE Kiosk Framework, ab etch, siehe Abbildung 16.28, matchbox ein minimales X Window System, bestehend aus mehreren Paketen, xvkbd eine virtuelle Tastatur unter X11, die mit einem Zeigegerät (Maus, Touchscreen) gehandhabt wird.
16.15 Virtuelle private Netze (VPN)
867
Abb. 16.28: Screenshot des KDE-Werkzeugs Kiosktool zum Konfigurieren eines Kioskes
Als erste Informationsquellen können dienen: • • •
zur Einführung das Skript zu einem Seminar unter http://i31www.ira. uka.de/docs/mm+ep/ (1996/97), http://developer.kde.org/documentation/tutorial/ kiosk/, ein Tutorial, bei TLDP das Kiosk HOWTO (1999) von G ENE W ILBURN und das Public WebBrowser HOWTO (2000) von A NTON C HUVAKIN.
Kiosksysteme begegnen uns in vielerlei Formen vom Bankautomaten über das Infoterminal im Museum bis zur elektronischen Zimmervermittlung. Anstelle einer Abbildung verweisen wir auf http://www.itoperations.de/ oder http: //www.surfterminal.de/, ohne damit eine Empfehlung auszusprechen.
16.15 Virtuelle private Netze (VPN) Als Virtuelles Privates Netz (VPN) bezeichnet man ein geschlossenes, privates Netz, das seinen Verkehr über ein zweites, unsicheres Netz wie das Internet abwickelt. Dazu werden Authentifizierung (access control), Verschlüsselung (data confidentiality) und Integritätsprüfung (validation, data integrity) gebraucht. Eine Verbindung zwischen zwei Teilnehmern eines VPN kann man sich als einen Tunnel durch das Internet vorstellen, zu dem kein Unbefugter Zutritt hat. Das unsichere Netz kann auch
868
16 Netzdienste
ein Funknetz (WLAN) oder das lokale Netz sein, dem man nicht traut. Ein typisches Szenario ist ein lokales Netz, zu dem eine Außenstelle via Internet einen sicheren Zugang bekommen soll. Die Endstellen einer VPN-Verbindung sind Rechner mit VPNSoftware oder VPN-fähige Router (Gateways)6 . Schon eine SSH-Verbindung kann als Tunnel angesehen werden, wird jedoch wegen einiger Einschränkungen nicht als VPN bezeichnet, siehe Abschnitt 16.9.3 Secure Shell auf Seite 789. Eine Übersicht zum Thema VPN findet man auf http://linuxwiki.de/VPN und in der englischen Wikipedia. Sobald die Außenstelle durch den Tunnel mit dem LAN verbunden ist, gehört sie zum LAN und muss ebenso sorgfältig gegen Einbruchsversuche etc. geschützt sein wie dieses. Es gibt mehrere Möglichkeiten (Technologien), ein VPN aufzubauen. Die Suche nach vpn in den Beschreibungen der Debian-Paketlisten fördert einige Server und Clients ans Licht: •
•
Punkt-zu-Punkt-Verbindungen zwischen zwei Rechnern: – SSH baut eine enfache, sichere Verbindung zwischen zwei Rechnern auf, die jedoch noch nicht als VPN bezeichnet wird. – SSH mit PPP Secure Shell mit Point-to-Point Protocol, beschrieben im VPN HOWTO (2002, für Kernversion 2.2) von M ATTHEW D. W ILSON, DebianPaket secvpn. – PPTP Point-to-Point Tunneling Protocol, ein Microsoft-Produkt, beschrieben im RFC 2637 und auf http://pptpclient.sourceforge. net/, dessen Sicherheit vor allem von guten und ausreichend langen Passwörtern abhängt, Debian-Pakete pptpd und pptp-linux. Client-Server-Verbindungen: – TUN/TAP-Verbindungen benutzen einen virtuellen Netzadapter, das TUN/TAP-Gerät, verwirklicht durch einen Treiber (Kernmodul). Verwendet von den Debian-Paketen vtun und tinc. OpenVPN benutzt die OpenSSLBibliothek zur Authentisierung und Verschlüsselung, läuft als Anwendung im Userspace. – CIPE Crypto Internet Protocol Encapsulation, erläutert im Linux CIPE+Masquerading mini-HOWTO (1999, für Kernversion 2.2), entwickelt aus Erfahrungen mit SSH und PPP, einfacher als IPsec, arbeitet mit verschlüsselten IP-Paketen, die in UDP-Pakete eingewickelt werden, http://sourceforge.net/projects/cipe-linux/, DebianPakete cipe-common und cipe-source. – IPsec Internet Protocol Security, eine Protokollfamilie, erläutert in RFC 2401 und RFC 3457 sowie auf http://www.ipsec-howto.org/ (2005, Kernversion 2.6), bei Debian vertreten durch Openswan und Strongswan, erfüllt höhere Ansprüche an die Sicherheit. – L2TP Layer 2 Tunneling Protocol, ein Produkt von Cisco und Microsoft, beschrieben im RFC 2661, Version 3 im RFC 3931, mit Erweiterungen für VPNs im RFC 4667, Debian-Paket l2tpd oder alternativ l2tpns, 6
Nicht jedes DSL-Gateway ist VPN-fähig. Die Eigenschaft wird eigens im Datenblatt genannt.
16.15 Virtuelle private Netze (VPN)
–
869
Cisco Client Debian-Paket vpnc mit einem Cisco-kompatiblen Client; Cisco-Dokumentation bei http://www.cisco.com/univercd/cc/ td/doc/product/vpn/.
Da es verschiedene Verfahren zur Authentisierung, Verschlüsselung und Integritätsprüfung gibt und diese auf verschiedenen Schichten des OSI-Modells arbeiten, ist die Anzahl der Kombinationen beträchtlich. Zum Kennenlernen und Ausprobieren bieten sich Punkt-zu-Punkt-Verbindungen an, sind MS-Windows-Rechner dabei, liegt PPTP nahe, bei hohen Anforderungen ist an IPsec zu denken. Im Folgenden gehen wir auf einige Möglichkeiten ein, nicht auf alle. Das Debian-Paket secvpn verwirklicht ein VPN mittels SSH und PPP und bezieht sich ausdrücklich auf das oben erwähnte HOWTO. Der Heimathafen könnte http: //alioth.debian.org/projects/secvpn/ werden, es wird noch gebaggert. Die Debian-Pakete pptp-linux und pptpd enthalten Client und Server für das Point-to-Point Tunneling Protocol, das vor allem in Microsoft-lastigen Netzen anzutreffen ist. Die Heimathäfen sind http://pptpclient.sourceforge.net/ und http://www.poptop.org/ (Server). Ein ähnlich einfaches Werkzeug, jedoch mit eigenem Protokoll, ist VTun (virtual tunnel), mit dem man durch ein TCP/IP-Netz einen geschützten Tunnel zwischen zwei Knoten baut. Sein Heimathafen isr http://vtun.sourceforge.net/. Die Verschlüsselung gilt als unsicher. Es benötigt das Kernmodul tun.ko: joe@debian:~$ /sbin/modprobe -nv tun vergleiche in der Datei /boot/config die Zeile: CONFIG_TUN=m In neueren Versionen von Debian ist das Kernmodul als nachladbar zum Kern konfiguriert. Das Kernmodul erzeugt einen virtuellen Netzadapter namens: • •
tap0, wenn Ethernet-Pakete (OSI-Schicht 2) getunnelt werden, tun0, wenn IP-Pakete (OSI-Schicht 3) getunnelt werden,
der von Anwendungen wie ein realer Adapter (eth0) angesprochen wird. Bei mehreren gleichartigen Adaptern wird hochgezählt bis 15. Die Anwendungen erzeugen oder löschen die virtuellen Adapter nach Bedarf, weshalb wir sie mittels: joe@debian:~$ /sbin/ifconfig -a nur zu Gesicht bekommen, wenn sie in Gebrauch sind. Übungshalber erzeugen wir mit folgendem Aufruf von tunctl aus dem Paket uml-utilities: debian:~# tunctl einen dauerhaften (persistenten) virtuellen Adapter namens tap0. Der Aufruf: debian:~# tunctl -t tun0 erzeugt einen virtuellen Adapter namens tun0. Geben wir nun: joe@debian:~$ /sbin/ifconfig -a
870
16 Netzdienste
ein, sehen wir den virtuellen Adapter, aber er ist down und noch nicht konfiguriert. Gelöscht wird tun0 mittels: debian:~# tunctl -d tun0 Nun konfigurieren wir tun0 wie jeden anderen Netzadapter: debian:~# ifconfig tun0 192.168.0.241 mit einer freien IP-Adresse aus dem lokalen Netz und finden ihn anschließend mit dem nackten ifconfig-Kommando samt allen Angaben wie bei eth0, ausgenommen den Interrupt. Mittels: joe@debian:~$ /sbin/route stellen wir fest, dass ifconfig gleichzeitig einen Eintrag in die Routing-Tabelle geschrieben hat, der sich allerdings nicht auswirkt, weil er an zweiter Stelle nach eth0 steht. Das Interface tun0 wird von Werkzeugen wie ethtool oder Wireshark genauso gesehen wie eth0. Der Unterschied zwischen dem virtuellen Interface tap0 oder tun0 einerseits und dem realen Interface eth0 andererseits besteht darin, dass vom realen Interface ein Kabel nach draußen führt, dessen Rolle beim virtuellen Interface ein Anwendungsprogramm übernimmt, das etwas mit den Datenpaketen anstellt und sie dann weiterleitet. Nehmen wir beispielsweise lc (linkcat) aus dem Debian-Paket paketto und lassen es an tun0 im Hintergrund lauschen: debian:~# lc -l tun0 & Dann schicken wir ein Ping an eine beliebige Adresse im lokalen Netz: debian:~# ping -c 1 192.168.0.215 das unbeantwortet bleibt, weil keine Verbindung von tun0 ins reale Netz besteht. Wir bekommen aber von lc drei Pakete angezeigt. Wiederholen wir das Spiel mit Wireshark, erfahren wir, dass es sich um drei ARP-Broadcasts betreffend die Adresse 192.168.0.215 handelt. Mit einer Anwendung, die Datenpakete in beiden Richtungen zwischen tun0 und eth0 weiterleitet, könnten wir über tun0 arbeiten. Eine solche Anwendung ist VTun, das auch das Tuntap-Interface erzeugt (was wir oben mit tunctl usw. gemacht haben). Nach Einrichten des Debian-Paketes vtun auf Client und Server sind die Maschinen zu konfigurieren. Die Datei /etc/ vtund.conf ist reichlich kommentiert. Wir fügen am Ende folgende Zeilen hinzu: options { port syslog ifconfig } default { compress encrypt speed
5000; daemon; /sbin/ifconfig;
no; no; 0;
16.15 Virtuelle private Netze (VPN)
keepalive stat
871
yes; yes;
} tunnel7 { passwd ?????; type tun; proto tcp; up { ifconfig "%d 192.168.33.241 pointopoint 192.168.33.215 mtu 1450"; }; down { ifconfig "%d down"; # route del; }; } Die Gruppe options enthält allgemeine Optionen für vtund, vor allem die Portnummer sowie die absoluten Pfade für später verwendete Kommandos. In der Gruppe default finden wir Vorgaben für alle Tunnel oder Sitzungen. Die dritte Gruppe beginnt mit einem eindeutigen Namen eines Tunnels und führt dann für diesen Tunnel spezifische Einstellungen auf, voran das Passwort. Die Schreibweise pointopoint ist richtig. In der Untergruppe up sind die Kommandos aufgelistet, die beim Aufbau des Tunnels auszuführen sind; entsprechend in der Untergruppe down die Kommandos für den Abbau. Man beachte die Semikolons nach jeder Angabe, aber nicht nach den Gruppen. Die IP-Adressen sind die Adressen der virtuellen Schnittstellen. Sie dürfen nicht anderweitig belegt sein und brauchen nicht aus dem lokalen Netz zu stammen; der Tunnel ist ein Netz für sich. Das waren die Einstellungen für den Server. Beim Client können einige Zeilen entfallen, stören aber nicht; die beiden IP-Adressen sind zu vertauschen. Will man den Tunnel beim Systemstart aufbauen, ist noch die Datei /etc/default/vtun zu editieren. Ansonsten starten wir den Server mit: debian:~# vtund -s den Client mit: debian:~# vtund tunnel7 realer_servername und finden auf beiden Maschinen mittels: joe@debian:~$ /sbin/ifconfig die virtuelle Netzschnittstelle tun0 und mittels: joe@debian:~$ /sbin/route den zugehörigen Eintrag in der Routing-Tabelle. Ein Ping testet in beiden Richtungen die Erreichbarkeit des Partners. Mit dem Tunnel arbeiten wir nun, als ob er ein Kupferkabel zum Partner wäre. Beispielsweise können wir eine Telnet-Verbindung
872
16 Netzdienste
darüber aufbauen. Bei Problemen untersuche man die Zugänglichkeit des Servers auf Port 5000 mittels Telnet im normalen Netz und denke an etwaige Netfilter-Regeln. Ein Tunnel wird wieder zugeschüttet, indem man auf der Serverseite den zugehörigen Prozess killt. Auf http://www.ryanbreen.com/vtun/ findet man ein Shellskript, das die Tunnelei elegant verpackt. Mit obigen, einfachen Einstellungen ist der Tunnel witzlos und nur ein proof of concept. Erst mit Kompression, Verschlüsselung und einer Verbindung zu einem ganzen lokalen Netz durch eine Firewall hindurch zeigt er seine Vorteile. Konfigurationsbeispiele sind im Internet zu finden, ausgehend von Sourceforge. VTun eignet sich wegen seines einfachen Aufbaus und seiner Flexibilität gut zum Experimentieren. Ein ähnliches Werkzeug kommt mit dem Debian-Paket tinc, Heimathafen http://www.tinc-vpn.org/, ausführlich dokumentiert. OpenVPN (http://openvpn.net/) ist eine vielseitige und portable Lösung, die von der OpenSSL-Bibliothek Gebrauch macht und als Anwendung im User Space zwischen einem virtuellen und einem realen Netzinterface läuft. Bei Debian ist sie mit dem Paket openvpn vertreten. Das Paket carpaltunnel enthält ein Skript zur Konfiguration, das Paket kvpnc mehrere KDE-VPN-Clients, darunter einen für OpenVPN. Besonders interessant in gemischten Umgebungen. CIPE setzt ein Kernmodul voraus, das auf der jeweiligen Maschine aus den Kernquellen und dem Paket cipe-source zu kompilieren ist; ein neuer Kern ist nicht erforderlich. Der Versuch auf einem Rechner mit Kernversion 2.6.18-3-686 endete mit der Fehlermeldung Unsupported kernel version. Ein Blick in die configure-Datei zeigte, dass mit 2.5 Schluss war. Ein Heraufsetzen der Grenze – ein hoffnungsvoller Hack – führte zwar weiter, aber beim Übersetzen zu einer Reihe schwerwiegender Fehlermeldungen. Bei Erfolg hätte man sich noch die Pakete cipe-common und pkcipe geholt und damit übungshalber ein VPN zwischen zwei Rechnern im lokalen Netz aufbauen können. Hilfen finden sich in den README.Debian-Dateien in /usr/share/doc/cipe-source und pkcipe. Openswan aus dem gleichnamigen Debian-Paket ist ein Nachfolger von FreeS/Wan und implementiert IPsec, auch für 2.6-Kerne, ist also aktuell. Der Heimathafen von Openswan ist http://www.openswan.org/; auf der Site http://www.freeswan.org/ rührt sich seit 2004 nicht mehr viel. Die Alternative strongSwan ist auf http://www.strongswan.org/ zu finden. Ein Vergleich zwischen Openswan und dem Kraftschwan auf dessen Webseite fällt zu seinen Gunsten aus, aber das muss nicht viel bedeuten. Beide Pakete eignen sich für größere Umgebungen mit hohen Sicherheitsanforderungen, verlangen eine gewisse Einarbeitung und sind gut dokumentiert. Auf der Website von strongSwan werden Testszenarien unter User Mode Linux angeboten, die beim Einarbeiten oder im Unterricht helfen. Mit dem Debian-Paket l2tpd kommt ein Dämon für das Layer 2 Tunneling Protokoll nach RFC 2661 und RFC 3931, Alterssitz http://l2tpd.sourceforge. net/. Nachfolger ist der Roaring Penguin auf http://sourceforge.net/ projects/rp-l2tp/, der es jedoch noch nicht bis zu Debian geschafft hat. Bei Sourceforge liegt ein Tarball von 2004 zum Herunterladen bereit, auch kein Zeichen von Munterkeit. Eine Firma gleichen Namens hat nichts mit dieser Software zu tun.
16.16 Verwalten über das Netz
873
Im RFC 3193 wird beschrieben, wie das L2TP über IPsec gesichert werden kann. Die Situation sieht verfahren aus.
16.16 Verwalten über das Netz 16.16.1 Shellskripte und kleine Werkzeuge Die Überwachung von Rechnern und Diensten mittels handgeschnitzter Shellskripte ist eine einfache Möglichkeit, auf Probleme aufmerksam zu werden. Auch spezielle Fragen lassen sich untersuchen, sofern ein Kommandozeilen-Werkzeug dafür existiert. Eine elegantere, leistungsfähigere und dennoch kaum aufwendigere Möglichkeit, die ähnlich aussieht, bietet das Werkzeug Monit, siehe weiter unten.
Abb. 16.29: Screenshot des Werkzeugs iptotal zur Anzeige des Verkehrs durch eine Netzschnittstelle über Zeitspannen von zwei Stunden bis zu einem Jahr mittels Web
An Kommandozeilen-Werkzeugen zur Untersuchung eines Linux/UNIXRechners stehen zur Verfügung: • • •
ps Prozessliste, pwck und grpck Prüfen der Benutzer- und Gruppendatei, uptime Betriebsdauer des Systems,
874
• • • • • • • •
16 Netzdienste
lastlog jüngste Anmeldung von Benutzern, lastb erfolglose Anmeldeversuche, sxid Dateien mit SUID/SGID überwachen, ypwhich Verbindung zu einem NIS-Server, ifconfig Status der aktiven Netzschnittstellen, iwconfig Status der WLAN-Schnittstelle, ping prüft Erreichbarkeit anderer Knoten im Netz, netstat Informationen zu Netzverbindungen.
Diese und weitere Programme zusammen mit einigen Werkzeugen zur Verarbeitung der Protokolldateien in ein Shellskript gepackt, das von cron regelmäßig aufgerufen wird und seine Ergebnisse an die verantwortlichen Benutzer mailt, erleichtern die Arbeit des Verwalters. In Quelle 18.1 auf Seite 918 finden Sie ein gekürztes Beispiel, das zu eigenen Skripten anregen soll. Das Beispiel dient seit vielen Jahren zur Überwachung ferner Server und meldet jeden Morgen zwischen 5 und 6 Uhr dem Verwalter deren Befinden.
Abb. 16.30: Screenshot des Systemüberwachungswerkzeugs phpsysinfo, obere Hälfte der Webseite
Das einfach einzurichtende und zu benutzende Werkzeug iptotal beobachtet den Verkehr durch eine Ethernet-Schnittstelle, ohne auf SNMP zurückzugreifen. Stattdessen benutzt es die ipcap-Bibliothek (http://www.tcpdump.org/).
16.16 Verwalten über das Netz
875
Sein Heimathafen ist http://dingetje.homeip.net/iptotal/. Es gibt die Datenraten für eingehenden, ausgehenden und gesamten Verkehr aus, gemittelt über eine konfigurierbare Zeit (Vorgabe 60 s). Mit Hilfe eines vorbereiteten cgi-binSkriptes lässt sich das Ergebnis ins Web stellen, siehe Abbildung 16.29.
Abb. 16.31: Screenshot des Sniffers Wireshark, Anzeige der rohen Paketdaten. Die Protokolle werden farblich unterschieden.
Das ebenfalls einfach einzurichtende Debian-Paket phpsysinfo zeigt in Verbindung mit einem Webserver wie Apache statische und dynamische Informationen des Rechners an, auf dem die Software läuft. Von seinem Ergebnisverzeichnis /usr/share/phpsysinfo wird ein Symlink in den Webspace gelegt, der von jedem Browser im lokalen oder globalen Web dargestellt wird. Abbildung 16.30 zeigt das Ergebnis. Wir sehen Informationen zu Hardware, Betriebssystem, Netzverkehr, Arbeitsspeicher, Dateisystemen und – falls eingerichtet – Temperaturen, Drehzahlen und Spannungen (lm-sensors). Die Konfiguration des Werkzeugs liegt in /etc/phpsysinfo, ist simpel und erfordert keinen Eingriff. Auf der beobachteten Maschine startet kein neuer Dämon; die Webseite wird bei Abruf erzeugt und nicht automatisch nachgeführt. Man lasse sich nicht dadurch verwirren, dass der Arbeitsspeicher (Physikalischer Speicher) nach kurzer Betriebsdauer immer zu beinahe 100 % ausgelastet und rot markiertt ist; Linux verwendet nicht von Prozessen belegten Arbeitsspeicher für Puffer. Man könnte sich noch eine Anzeige der aktiven Dä-
876
16 Netzdienste
monen wünschen. Vielleicht ein Anlass, PHP zu lernen; Vorlagen für Skripte liegen in /usr/share/phpsysinfo/includes/xml. 16.16.2 Sniffer Sniffer (wörtlich Schnüffler) sind Werkzeuge zum Untersuchen des Netzverkehrs in einem LAN (LAN-Analyse). Zu den ehrenwerten Aufgaben eines Sniffers gehören die Diagnose von Problemen im Netz, das Entdecken von Eindringlingen und das Erstellen von Verkehrsstatistiken. Ein Sniffer sieht sich die Datenpakete an, ohne sie zu verändern, und protokolliert mit, was er entdeckt. Bei der Menge an Datenpaketen, die an ihm vorbei zieht, muss er schnell zwischen harmlosen und verdächtigen Paketen unterscheiden können. In einem LAN mit Hubs geht jedes Paket an jeden Knoten. Ein Sniffer auf einem Rechner kann daher den gesamten Datenverkehr verfolgen. Gebräuchlicher sind heute jedoch Switches. Dann kommt bei einem Knoten nur der für ihn bestimmte Datenvekehr einschließlich Broadcasts an, sodass ein Sniffer nur den Datenvekehr dieses Knotens beobachten kann. Will man das ganze LAN sehen, braucht man verwaltbare Switches mit der Möglichkeit, alle Datenpakete zu analysieren. Es gibt allerdings faule Tricks, um Switches zu hintergehen, sodass man sich auch in einem geswitchten LAN nicht zu sicher fühlen sollte. Ein bekannter, auch bei Debian verfügbarer Sniffer ist Wireshark, ehemals Ethereal, mit dem Heimathafen http://www.wireshark.org/. Nach der Einrichtung startet man als Root das Werkzeug, legt unter dem Menüpunkt Edit -> Preferences -> Capture ein Default Interface fest, beispielsweise eth0, und klickt auf Anwenden und OK. Zum Starten klickt man auf den Menüpunkt Capture -> Start. Dann macht sich Wireshark an die Arbeit. Ein Ergebnis zeigt Abbildung 16.32. Wireshark ist ein recht lehrreiches Werkzeug und erlaubt unter anderem, den Verkehr der Rechner untereinander zu betrachten, natürlich nur insoweit er den Ethernet-Adapter erreicht. Die Info-Spalte seiner Ausgabe trägt zu mancher Erkenntnis bei. Um das Werkzeug voll auszunutzen, ist Lesen und Üben angesagt. Snort mit dem Heimathafen http://www.snort.org/ ist ein Sniffer mit dem Ziel, Eindringlinge aufzuspüren. Er bezeichnet sich als network intrusion prevention and detection system. Snort kann mit Datenbanken wie MySQL oder PostgreSQL zusammenarbeiten, um die Ergebnisse abzulegen und künftig zu berücksichtigen. Das Debian-Paket darkstat enthält einen Sniffer, der im Hintergrund Statistiken ähnlich wie ntop führt und sie über einen eigenen Webserver auf Port 666 ins lokale Web stellt. Sein Heimathafen ist http://purl.org/net/darknet. Man startet ihn auf dem interessierenden Rechner mit nohup im Hintergrund. Das Paket dsniff bringt ein Dutzend Werkzeuge mit, um im LAN macherlei Unfug anzustellen. Eine Suche in den Paketlisten mit dem Suchwort sniffer fördert noch einige Werkzeuge zu Tage.
16.16 Verwalten über das Netz
877
Abb. 16.32: Screenshot des Sniffers Wireshark bei einer einfachen Aufgabe: Statistik der Pakete nach Protokollen geordnet
16.16.3 Simple Network Management Protocol (SNMP) Das Simple Network Management Protocol wurde entwickelt, um Netzelemente wie Router, Access Points oder managebare Switches von einem zentralen Rechner (oder mehreren) im Netz aus zu überwachen (monitoring) und zu steuern (controlling). Das Protokoll ist aktuell in den RFC 3410 ff. von 2002 beschrieben. Auf dem zu überwachenden Netzelement läuft ein SNMP-Agent, auf dem zentralen Rechner (Management Station) ein SNMP-Manager. Der Agent lauscht auf Port 161, der Manager auf Port 162. Meist richtet der Manager eine Frage an die Agenten – er pollt die Agenten – aber die Agenten können auch von sich aus Meldungen (Hilferufe, Notschreie) an den Manager schicken. Bei IBM leistet das TivoliSystem diesen Dienst in einem stark erweiterten Umfang (http://www.ibm. com/software/tivoli/), bei Hewlett-Packard OpenView (http://www. openview.hp.com/); wir bescheiden uns mit kleineren Hämmern. Zur Kommunikation zwischen Manager und Agenten verfügt jeder Beteiligte über eine Management Information Base (MIB), eine Art von hierarchisch aufgebauter Liste oder Datenbank, in der für zu verwaltende Objekte (Daten, Managed Objects, MO) Namen, Nummern (Object Identifier) und Werte gespeichert sind. Die Basis zeigt Ähnlichkeiten mit LDAP – siehe Abschnitt 12.9 Lightweight Directory
878
16 Netzdienste
Abb. 16.33: Screenshot des Sniffers darkstat mit der Anzeige der Statistik über verschiedene Zeitspannen in grafischer Form
Access Protocol auf Seite 546 – und anderen Hierarchien. Die Wurzel der InternetMIB-II lautet: iso.org.dod.internet = 1.3.6.1 Dann folgen: • • • •
.1 directory, Verzeichnisdienste wie X.500, .2 mgmt, Verwaltungsdienste, .3 experimental, für bestimmte Objekte, die noch nicht reif für die vebindlichen Zweige sind, .4 private, firmenspezifische Objekte.
Eine vollständige Bezeichnung eines Managed Objects wie: 1.3.6.1.4.1.2021.10.1.5.1 bedeutet: • • •
1.3.6.1.4 = iso.org.dod.internet.private 1 = enterprises (Firmen) 2021 = ucdavis, UCD-SNMP-MIB, die SNMP-MIB der University of California at Davis
16.16 Verwalten über das Netz
• • • •
879
10 = laTable 1 - laEntry 5 = laLoadInt 1 = Eintrag Nr. 1 (von 0 bis 3 möglich)
Obige Information erhält man durch den Aufruf: joe@debian:~$ snmptranslate -Td 1.3.6.1.4.1.2021.10.1.5.1 samt einigen Attributen und der Beschreibung: The 1, 5 and 10 minute load averages as an integer. This is computed by taking the floating point loadaverage value and muliplying by 100, then converting the value to an integer. Eine Vielzahl von MIBs stellt http://www.somix.com/support/mib_ resources.php im Netz zur Verfügung. Eine allumfassende, globale MIB gibt es ebensowenig wie einen DNS-Server, der alle Knoten des Internets kennt. Die MIBs lokaler Netzelemente fragt man mit einem Aufruf wie: joe@debian:~$ snmpwalk -Os -c public -v 2c router | less ab. Das Kommando durchwandert die MIB des Gerätes mit Namen router. Die Option -Os verkürzt den Output, -Of liefert ausführliche Angaben. Die Community wird durch die Option -c public bestimmt, was das Kommando auf Lesen einschränkt. Die nächste Option -v 2c nennt die Protokollversion; mögliche Werte sind 1, 2c oder 3. Fügt man hinter dem Namen als weiteres Argument beispielsweise system an, beschränkt sich die Ausgabe auf die Systemobjekte. Andere Argumente sind host oder printer. Mit den so gewonnenen Erkenntnissen lässt sich die Überwachung auf bestimmte Werte konzentrieren. Ein Werkzeug mit grafischer Oberfläche ist mbrowse. Es machte zunächst einen guten Eindruck, fügte aber entgegen den Angaben im Manual aus dem Netz heruntergeladene MIBs verschiedener Firmen nicht in den angezeigten Baum ein. Möglicherweise lag das daran, dass die MIBs nur einzelne Produktklassen (HP Laserdrucker) betrafen, nicht einen Hersteller insgesamt. Ein ähnliches Werkzeug ist tkmib. Zwischen Manager und Agenten werden fünf Typen von Nachrichten (Protocol Data Unit, PDU) ausgetauscht: • • • • •
Get-Request: liest den Wert eines Objektes aus der MIB, Get-Next-Request: liest den Wert des nächsten Objektes aus der MIB, verwendet von snmpwalk, Set-Request: setzt den Wert eines Objektes aus der MIB, Get-Response: Antwort auf ein Get oder Set (Quittung des Agenten), Trap: Nachricht über ein Ereignis in einem Netzelement (vom Agenten zum Manager, nicht durch Polling veranlasst).
Damit werden alle Verwaltungsaufgaben zentral beherrscht, zusätzlich zu der oft gebotenen Möglichkeit über ein Web-Interface eines Netzelements.
880
16 Netzdienste
Die Community ist eine Art von einfachem Passwort. Ein Agent gehört zu einer Community und nimmt nur Anfragen von Managern derselben Community an. Ein Manager kann mehreren Communities angehören. Da die Übertragung der Datenpakete im Netz üblicherweise unverschlüsselt erfolgt, ist die Community keine wirksame Sicherheitsmaßnahme. Die Default-Community public ist vorgegeben und erlaubt nur das Lesen der meist nicht vertraulichen Daten. Die Default-Community private erlaubt Lesen und Schreiben und sollte durch eine spezifische Community ersetzt werden. Moderne Entwicklungen von SNMP erlauben eine richtige Authentifizierung und starke Verschlüsselung. Solange es um harmlose Informationen (Datendurchsatz etc.) geht, kann man bei den alten Verfahren bleiben. Was man ins lokale Web stellt, ist schwerlich ein Betriebsgeheimnis. Zuerst verschaffen wir uns einen Überblick, welche Elemente unseres Netzes überhaupt SNMP-fähig sind und aktivieren deren SNMP-Unterstützung, soweit noch nicht geschehen. Dann richten wir auf einem zentralen Rechner – der Management Station – einen Manager ein, der die Agenten (Geräte) periodisch nach ihrem Befinden fragt und die Ergebnisse hübsch aufbereitet ins lokale Web stellt. Die Hauptarbeit besteht in der Konfiguration des Managers. Die Konfiguration des Multi Router Traffic Grapher von T OBI O ETIKER steht in /etc/mrtg.cfg. Sie kann mit einem Texteditor erstellt oder geändert werden. Eine Referenz der Einträge samt Beispielen liegt auf http://www.mrtg.cz/, gleichlautend auf http://oss.oetiker.ch/mrtg/. Einen etwas anderen Inhalt bietet http://www.mrtg.com/. Zu dem Debian-Paket mrtg gehört ein Werkzeug cfgmaker, das man durch folgenden Aufruf zur Abgabe von Vorschlägen veranlasst: joe@debian:~$ cfgmaker [email protected] > router.cfg Für router.beiuns ist der Name des jeweiligen Netzelementes einzusetzen. Das kann jeder SNMP-fähige Kasten sein. Das Werkzeug schreibt seinen Vorschlag in die Datei router.cfg, woraus wir dann Zeilen in die Konfigurationsdatei übernehmen. Das ist sicherer, als cfgmaker direkt in die Konfigurationsdatei schreiben zu lassen. Der Multi Router Traffic Grapher wird nach der Einrichtung des Debian-Paketes periodisch vom cron aufgerufen. Das funktioniert, ist verständlich, passt aber nicht recht in unseren Dämonen-Zoo. Wir wollen den MRTG wie unsere anderen Dämonen über ein Start-Stop-Skript im Verzeichnis /etc/init.d starten. Als Erstes löschen wir in /etc/cron.d/ den zugehörigen Eintrag. Dann tragen wir in der Konfigurationsdatei /etc/mrtg.cfg in den ersten Zeilen die Anweisung ein, dass der Grapher sich als Dämon aufführen und alle 5 Minuten aufwachen soll: RunAsDaemon: Yes Interval: 5 Nun brauchen wir noch ein Start-Stop-Skript. Dazu kopieren wir im Verzeichnis /etc/init.d/ die Datei skeleton – eine Vorlage – nach mrtg und editieren die Kopie. Auch das Skript zu ntpdate ist einfach und kann als Vorlage herhalten.
16.16 Verwalten über das Netz
881
Abb. 16.34: Screenshot des Multi Router Traffic Graphers mit der Anzeige des Verkehr durch einen SNMP-fähigen DSL-Router. Man erkennt lebhaften Verkehr am Vorabend. Jetzt ist links.
Der Name des Dämons ist mrtg, die Pfade sind an die tatsächlichen Pfade anzugleichen, das wars. An den Anweisungen ändern wir nichts. Wir rufen das Skript probehalber von Hand auf: debian:/etc/init.d# ./mrtg restart und sollten wenigstens einen Teilerfolg verbuchen. Fehlermeldungen betreffend SNMP gehen unser Skript nichts an, sondern sind ein Problem zwischen MRTG und dem jeweiligen Gerät. Verbleibt noch, Symlinks auf das Skript in die Verzeichnisse /etc/rc2.d/ und Co. einzutragen. Es reicht, den Dämon spät zu starten: debian:/etc/rc2.d# ln -s ../init.d/mrtg S99mrtg Da drängeln sich vermutlich schon andere Dämonen, aber das ist unerheblich. Sie werden in der Reihenfolge gestartet, wie das Kommando ls die Symlinks anzeigt. Im Verzeichnis /etc/rc1.d ist der zugehörige Symlink zum Killen des Dämons anzulegen, ziemlich früh: debian:/etc/rc1.d# ln -s ../init.d/mrtg K10mrtg Entsprechend die Symlinks in den anderen rc*.d-Verzeichnissen. Am einfachsten orientiert man sich an ähnlichen Dämonen.
882
16 Netzdienste
Wir wagen uns nun an eine anspruchsvollere Aufgabe und wollen die Belastung (load) eines Servers überwachen. Die Belastung wird gekennzeichnet durch die Anzahl aktiver Prozesse (Prozesse in der Warteschlange vor der CPU), gemittelt über Zeitspannen von 1, 5 und 15 min. Die Werte findet man in der Datei /proc/loadavg; sie werden von Funktionen wie getloadavg oder Programmen wie top oder uptime angezeigt. Die Werte sind keine Prozentangaben mit 100 % als Volllast, sondern Anzahlen. Außerdem gibt es cpu-intensive Prozesse, welche die CPU hoch belasten, aber in der Warteschlange nur als ein Prozess wie jeder andere zählen. Umgekehrt zählen auch Prozesse niedriger Priorität in der Warteschlange wie jeder andere. Schließlich liegt der Engpass auf vielen Systemen nicht in der CPU, sondern im Arbeitsspeicher. Was Volllast für ein System bedeutet, ist für jedes System anders und experimentell zu ermitteln.
Abb. 16.35: Screenshot des Multi Router Traffic Graphers mit Anzeige der Systemlast eines SNMP-fähigen Servers, der sich die meiste Zeit langweilt. Jetzt ist in der Tagesübesicht rechts, in der Wochenübesicht links, schlecht konfiguriert.
Ein Rechner ist nicht von Geburt an SNMP-fähig, bestenfalls seine Ethernetkarte. Erst die Einrichtung des Debian-Paketes snmpd nimmt ihn in den Kreis der SNMP-Agenten auf. Das Paket snmp mit einigen Dienstprogrammen zum Thema holen wir uns ebenfalls. Mit ps überprüft man, ob der neue Dämon läuft. Er bindet sich an den UDP-Port 161 und wartet auf Anfragen. Trifft eine Anfrage ein – beispielsweise vom MRTG – sammelt er die erbetenen Informationen und ant-
16.16 Verwalten über das Netz
883
wortet. Seine Konfiguration findet sich in /etc/snmp/snmpd.conf. Die Datei /etc/snmp/snmptrapd.conf gehört zum Trapper, der von den Agenten veranlasste Meldungen auf UDP-Port 162 einfängt. Die Konfiguration ist ausführlich kommentiert. Uns interessiert jetzt vor allem der Abschnitt load average checks. Wir testen unseren frischgebackenen Agenten, indem wir auf ihm – localhost – ein Testwerkzeug aufrufen: joe@debian:~$ snmptest -v 1 -c public localhost und nach dem dann erscheinenden Prompt eine Anfrage angeben: Variable: system.sysDescr.0 Variable: die mittels einer leeren Anfrage () abgeschickt wird. Die Antwort von localhost lautet ungefähr: Received Get Response from 127.0.0.1 requestid 0x6AEDB50D errstat 0x0 errindex 0x0 SNMPv2-MIB::sysDescr.0 = STRING: Linux server1 2.4.26-1-386 #1 ... Mit der Eingabe $q (quit) werden wir den Test wieder los. Wir testen auch noch weitere Agenten, indem wir localhost durch ihren Namen im Netz (router.beiuns oder dergleichen) ersetzen. Dann ist der Konfiguration des MRTG das neue Gerät hinzuzufügen. Bei Druckern interessieren neben dem Durchsatz Störungsmeldungen wie Papiermangel oder -marmelade. Bei derartigen Vorkommnissen erzeugt der Agent aus eigenem Antrieb eine Trap-Nachricht und wartet nicht, bis er vom Manager gepollt wird. Die Trap-Nachricht wird von einem snmptrapd aufgefangen, der sie zu Protokoll nimmt und eine konfigurierbare Aktion einleitet, beispielsweise eine Mail an den Verwalter schickt. Der snmptrapd kommt zusammen mit dem snmpd in einem Karton und wird in denselben Verzeichnissen konfiguriert wie dieser. Man kann den snmpd ohne den Trapper laufen lassen, aber nicht umgekehrt den Trapper ohne den snmpd. 16.16.4 Webmin Das Konzept von Webmin überzeugt, die Ausführung ist stellenweise verbesserungsfähig und wird auch im Lauf der Jahre besser werden. Das Werkzeug wurde von JAMIE C AMERON im Jahr 1999 in die Welt gesetzt; mittlerweile arbeiten weitere Entwickler mit. Webmin besteht aus einem kleinen Webserver, der auf Port 10000 lauscht, und einer erweiterbaren Menge von Modulen, die großenteils aus PerlSkripten bestehen. Die Module dienen der Bearbeitung von Konfigurationsdateien und zur Auswertung verschiedener Informationsquellen. Auf diese Weise lässt sich mit einem Web-Browser, der Forms, Tables und möglichst auch Java beherrscht, von einem beliebigen Arbeitsplatz im Netz aus ein Server steuern und überwachen. Dank der Module können vergleichsweise einfach neue Funktionalitäten hinzugefügt
884
16 Netzdienste
Abb. 16.36: Screenshot der Startseite des Verwaltungswerkzeugs Webmin
und alte erweitert werden. Webmin greift dabei auf die herkömmlichen Dateien von Linux/UNIX zurück – es führt für die von ihm verwalteten Dienste keine eigenen Konfigurationsdateien – und verträgt sich mit der klassischen Konfigurationsweise mittels eines Texteditors. Falls eine Funktionalität noch nicht in Webmin verfügbar ist, kann der Verwalter immer auf seinen Lieblingseditor und die Kommandozeile zurückgreifen. Alternativ lassen sich auch eigene Module schreiben. Der Heimathafen von Webmin ist http://www.webmin.com/. Die Manualseite zu webmin ist nahezu informationsfrei und verweist auf die Hilfe, die der lokale Webmin-Server bietet, sofern er läuft. Auch wer Webmin verwendet, sollte wissen, welche Konfigurationsdateien von einem Modul bearbeitet bzw. von einem Dienst gebraucht werden, um bei Problemen nicht hilflos dazustehen. Perl-Kenntnisse sind nützlich, um Fehlern auf den Grund zu gehen. Schließlich muss auf dem überwachten Server ein Dämon mit webmin im Pfad laufen – beispielsweise /usr/share/webmin-1.320/miniserv.pl – damit der Web-Browser einen Ansprechpartner findet. Das besorgt wie üblich ein Startskript namens webmin im Verzeichnis /etc/init.d samt seinen Symlinks. Der Apache ist in diesem Zusammenhang nicht gefragt. Anfangs hat nur root mit seinem Passwort Zugriff auf Webmin, kann den Benutzerkreis jedoch differenziert erweitern.
16.16 Verwalten über das Netz
885
Abb. 16.37: Screenshot der Webmin-Seite zu einem NIS-Server (Network Information Service)
Nach der Einrichtung von Webmin auf dem zu überwachenden Server ist in einem Web-Browser ein URL wie http://server:10000/ oder wegen Verschlüsselung besser https://server:10000/ aufzurufen. Man gelangt damit zur Anmeldeseite, in die Benutzername und Passwort einzugeben sind. Nach erfolgreicher Anmeldung stellt sich die Startseite von Webmin dar, die einige anklickbare Icons zur Konfiguration von Webmin selbst sowie fünf Reiter zu übergeordneten Sachgebieten enthält, siehe Abbildung 16.36. Von dort geht es weiter zu einzelnen Aufgaben wie der Konfiguration des SSH-Dämons oder der Anzeige des SMARTFestplattenstatus. Das Aussehen der Seiten ist vielfältig konfigurierbar. Die Zuordnung mancher Dienste ist zuweilen nicht offensichtlich – so wird NTP (Zeitdienst im Netz) unter Hardware geführt, nicht unter Server – aber im großen Ganzen ist die Einteilung übersichtlich. Wir verzichten auf die Beschreibung aller Module. Die meisten sind sofort verständlich, wenn man den Server vorher schon mittels Kommandozeile und Texteditor verwaltet hat. Webmin fügt nichts Neues hinzu, im Gegenteil, eher fehlen Funktionalitäten. Abbildung 16.37 zeigt als Beispiel die Webseite zur Verwaltung eines NISServers, Abbildung 16.38 die Webseite zur Verwaltung eines Apache-Webservers. Wir erkennen mehrere anklickbare Icons zur Verwaltung von Prozessen, Maximalwerten, Netzadressen, MIME-Typen, Verzeichnissen, Modulen usw. Eine statistische
886
16 Netzdienste
Auswertung der Protokolldateien (Webzugriffe) ist nicht vorgesehen, das ist Aufgabe eines anderen Moduls (webalizer), siehe Abbildung 16.22 auf Seite 858. Im einfachsten Fall ist ein Modul ein Verzeichnis von cgi-Skripten, geschrieben in Perl, samt einigen Zutaten. Eine Anleitung zum Schreiben von Modulen findet sich auf der genannten Website. Einige Regeln sind im Interesse der reibungslosen Zusammenarbeit mit dem Webmin-Server und der Portabilität auf verschiedene Betriebssysteme einzuhalten.
Abb. 16.38: Screenshot der Webmin-Seite zur Konfiguration des Apache-Webservers
Mit Webmin kommt ein Satz von Standardmodulen mit. Darüber hinaus finden sich Module von Drittanbietern im Netz, großenteils bei http://www.webmin. com/ aufgelistet. Die Einrichtung eines solchen Drittanbieter-Moduls haben wir in Abschnitt 10.3.2 Einrichten eines lokalen Zeitdienstes auf Seite 443 kennen gelernt. Kleinere Mängel muss man hinnehmen oder selbst beheben, was Kenntnisse in Perl erfordert. Der Vorzug von Webmin ist, dass der Verwalter eine Vielzahl von Aufgaben mit einer einheitlichen, anpassungs- und erweiterungsfähigen Oberfläche über das Netz erledigen kann. Trotz offener Wünsche könnte sich auch ein eingefleischter Anhänger der Kommandozeile an Webmin gewöhnen.
16.16 Verwalten über das Netz
887
16.16.5 Monit Monit ist ein als Debian-Paket erhältliches Management System, das nicht nur den Zugriff mittels Browser auf Port 2812 erlaubt, sondern auch einfache Verwaltungsaufgaben und Reparaturen wie das Wiederbeleben dahingeschiedener Prozesse automatisch erledigt, Heimathafen http://www.tildeslash.com/monit/. Monit überwacht Prozesse, Dateien, Verzeichnisse und Geräte, aber keine Benutzerzugriffe oder Viren. Bei Änderungen verschickt es Mails. Der Absender monit sollte in /etc/aliases auf root weitergeleitet werden, damit etwaige Rückläufer irgendwo landen und nicht als unzustellbar durch die Gegend irren. Die Manualseite beschreibt mehr Möglichkeiten als wir auf den nachfolgenden Zeilen. Weitere Dokumentation ist in der reichlich kommentierten Konfigurationsdatei /etc/monit/monitrc. sowie im Heimathafen zu finden. Abbildung 16.39 zeigt den Zugriff auf eine Servermaschine mittels eines Browsers von einem Arbeitsplatz aus.
Abb. 16.39: Sreenshot des UNIX Management Systems Monit, Zugang mittels Web-Browser
Zur systemweiten Konfiguration dient die Datei /etc/monit/monitrc. Die anfängliche Arbeit besteht darin, einige Zeilen der im Kommentar enthaltenen Beispiele zu kopieren, zu entkommentieren und mit lokalen Werten zu versehen. Das Ergebnis sieht ungefähr wie folgt aus: set daemon 1000
888
16 Netzdienste
set logfile /var/log/monit.log set mailserver localhost set alert joe@localhost set httpd port 2812 allow localhost allow pcjoe.beiuns allow admin:????? check process exim4 with pidfile /var/run/exim4/exim.pid start program = "/etc/init.d/exim4 start" stop program = "/etc/init.d/exim4 stop" if failed port 25 then restart if 2 restarts within 3 cycles then timeout group server Die ersten Zeilen legen allgemeine Eintellungen fest. Monit soll als Dämon laufen und alle 1000 s aufwachen. Er soll eine eigene Protokolldatei /var/log/monit. log führen, als Mailserver seinen eigenen Rechner benutzen und alarmierende Mails an den Benutzer joe schicken. Ferner soll er seinen Webserver auf Port 2812 lauschen lassen und verschiedenen Rechnern oder Benutzern den Zugriff gestatten. Bei einem Benutzer steht das Passwort in Klartext; deshalb soll die Datei monitrc die Zugriffsrechte 700 haben. Man sollte hier auch nicht root mit seinem Passwort eintragen. Es folgt ein minimaler Check, ob der Prozess exim4 läuft. Dateien sind mit absolutem Pfad anzugeben. Dann geht man nach /etc/init.d, wo apt-get install bereits ein Skript namens monit eingerichtet hat, und prüft die Syntax der Konfiguration: debian:/etc/init.d# ./monit syntax Das Skript prüft nur die syntaktische Richtigkeit, falsche Namen oder Adressen erkennt es nicht. Geht alles gut, setzen wir in der Datei /etc/default/monit die Variable startup auf 1. Zurück in /etc/init.d rufen wir das Startskript mit anderem Argument auf: debian:/etc/init.d# ./monit start Anschließend wäre ein Blick in /var/log/monit.log angebracht. Der Dämon wird beim Systemstart durch einen Symlink in Verzeichnissen wie /etc/rc2.d/ gestartet, sinnvollerweise als letzter Dämon, weil er andernfalls versuchen würde, noch nicht betriebsklare Dämonen zu starten. In einem Server-Cluster kann man sogar mittels Monit beim Ableben eines Dienstes auf einem Server den Dienst auf einem zweiten Server hochfahren.
17 Cluster
Rechnercluster sind ein technisch und wirtschaftlich interessanter Weg zur Bewältigung umfangreicher Aufgaben. Debian GNU/Linux begleitet Sie ein Stückchen auf dem Weg.
17.1 Was sind Cluster? Ein Cluster ist im Englischen ein Schwarm oder Haufen. Ein Cluster von Rechnern (F: grappe de serveurs, ferme de serveurs) besteht aus mindestens zwei vernetzten Rechnern, die sich gemeinsam einer Aufgabe widmen und eng zusammenarbeiten. Fasst man den Begriff weit, beginnt er bei einem Zentralprozessor mit zwei Prozessorkernen (core) und endet beim weltumspannenden Grid Computing (http://gridcafe.web.cern.ch/). Auch der Begriff verteiltes Rechnen gehört in diese Schublade. Bei Clustern denkt man an räumlich benachbarte Maschinen, andererseits zeigt das Internet, dass räumliche und logische Nähe weitgehend unabhängig voneinander sind. Hohe Verfügbarkeit setzt sogar eine räumliche Trennung voraus, damit bei einem Brand in einem Gebäude nicht der ganze Cluster ausfällt. Mit Clustern verfolgt man drei voneinander unabhängige Ziele: •
•
•
ein Lastverteilungs-Cluster (load balancing cluster) verteilt anfallende Rechenlast gleichmäßig auf seine Knoten. Typische Anwendung: hoch belastete Webserver. ein Hochverfügbarkeits-Cluster (high availability cluster) verringert die Ausfallzeiten wichtiger Server. Typische Anwendungen: Rechner in Banken und Versicherungen, Reaktorsteuerung. ein Hochleistungs-Cluster (high performance cluster) erhöht die Rechenleistung für bestimmte, zur Parallelverarbeitung geeignete Aufgaben. Typische Anwendungen: Simulation des Wetters, Renderfarmen.
In allen Fällen ist eine schnelle Verbindung zwischen den Prozessoren oder Knoten wesentlich. Bei hohen Anforderungen werden hierfür besondere Komponenten verwendet, die in Geschwindigkeit und Preis deutlich über Gigabit-Ethernet hinausge-
890
17 Cluster
hen (Infiniband, Myrinet, QsNet und andere). Bei weniger hohen Ansprüchen reicht eine Verbindung der Cluster-Rechner mittels Gigabit-Ethernet, wobei ein eigenes, dem Clusterverkehr vorbehaltenes Netz zu erwägen ist. Auch Portbündelung ist ein Weg zur Steigerung der Bandbreite. Schnelle äußere Verbindungen sind aber nur ein Faktor unter mehreren, auch die inneren Verbindungen in den Rechnern müssen mitziehen. PCI-Express ist ein Schritt in diese Richtung, von dem nicht nur Cluster profitieren. Ferner ist eine gewisse Bürokratie für die Verteilung der Rechenleistung und die Sicherung des Datenverkehrs erforderlich, sodass eine Verdoppelung der Mitgliederzahl zu weniger als einer Verdoppelung der Leistung führt. Ein Cluster skaliert gut, wenn eine Vergrößerung zu einer annähernd gleichen Erhöhung der Leistung führt. Neben der Verteilung und Überwachung der Aufträge ist die Synchronisation der Datenbestände ein zentrales Problem in Clustern. Einige Projekte, die sich mit Linux-Clustern befassen, stellen sich auf folgenden Websites dar: •
•
•
•
•
•
Beowulf http://www.beowulf.org/ die bekanntesten, auf Linux aufsetzenden Hochleistungs-Cluster, siehe Abbildung 17.1; keine Pakete bei Debian außer einigen mathematischen Anwendungen, was nicht ausschließt, dass die Mitglieder eines Clusters unter Debian GNU/Linux laufen. Reichlich dokumentiert. Cluster-Knoppix http://clusterknoppix.sw.be/ eine abgewandelte Knoppix-Distribution, die den openMosix-Kern verwendet. Läuft bei Bedarf von DVD, wie Knoppix. Debian Cluster Components http://dcc.irb.hr/ eine auf Debian aufsetzende Software-Sammlung zum Bau von Linux-Clustern, als Alternative zur Red Hat Cluster Suite geplant. Maui Cluster Scheduler http://mauischeduler.sourceforge. net/, läuft unter POSIX-konformen Betriebssystemen, darunter Linux und FreeBSD, braucht eine Java Virtual Machine und verteilt Aufgaben im Cluster. Nicht bei Debian vertreten. openMosix http://openmosix.sourceforge.net/ eine Erweiterung des Linux-Kerns, um ihn in Clustern einzusetzen, siehe oben unter ClusterKnoppix, das nicht die einzige Anwendung von openMosix ist. Bei Debian in woody vertreten, nicht in jüngeren Versionen. Ein openMosix HOWTO (2004) von K RIS B UYTAERT liegt bei TLDP. Red Hat Cluster Suite http://www.redhat.com/software/rha/ cluster/ kommerziell, für Red Hat Enterprise Linux, sowie http:// sources.redhat.com/cluster/ mit Quellcode für offengelegte Kernmodule und Werkzeuge. Letztere sind bei Debian vertreten.
Fängt man mit Clustern an, ist es ratsam, mit einem kleinen Cluster (4 bis 16 Mitglieder) Erfahrungen zu sammeln. Große Cluster haben ihre eigenen Probleme.
17.2 Lastverteilung
891
17.2 Lastverteilung Es gibt Aufgaben, die einen Rechner derart belasten, dass auch schnelle Hard- und Software nicht mehr mitkommt. Beispielsweise sind die Wikipedia-Server gelegentlich überlastet, weil die Flut der Anfragen schneller steigt, als Hardware nachgerüstet werden kann. Auch Spamfilter für ein ganzes Netz erzeugen oft eine hohe Last. In solchen Fällen verteilt man die Last auf mehrere Maschinen, die nach außen wie eine einzige Maschine auftreten. Es gibt mehrere Stufen und Mechanismen der Lastverteilung (E: load balancing, load sharing, F: répartition de charge): •
•
•
bei Rundlauf-Verfahren (Round-Robin-Verfahren) mittels DNS werden einem Rechnernamen mehrere IP-Adressen verschiedener Rechner zugeordnet. Der DNS-Server antwortet auf eine Anfrage mit einer regelmäßig umgeordneten Liste von IP-Adressen, von der ein Client üblicherweise die erste nimmt. dem Cluster ist ein Direktor (front server, director) vorgeordnet, der einkommende Aufträge auf die Mitglieder seines Clusters (real-server) verteilt. Die vorgeordnete Maschine kann ein virtueller Server (virtual IP address, VIP) sein. Peer-to-Peer-Cluster, auf jedem Mitglied läuft ein Programm, das über die Auslastung und Leistungsfähigkeit aller Mitglieder informiert ist und lokal entstehende Aufträge an das Mitglied weiterreicht, das sich am meisten langweilt. Nur in kleinen Clustern machbar.
Mischformen kommen vor, ebenso Überschneidungen mit den anderen Zielen. Rundlauf-DNS setzt Zugang zum DNS-Server voraus, was nur in großen Netzen mit eigener DNS-Verwaltung gegeben sein dürfte. Eine kurze Diskussion der Vor- und Nachteile findet sich in der englischen Wikipedia unter dem Suchwort Round robin DNS. Der DNS-Server Berkeley Internet Name Domain (BIND) aus dem Debian-Paket bind beziehungsweise bind9, Heimathafen http://www.isc. org/index.pl?/sw/bind/, unterstützt Load Balancing mittels Rundlauf. Hinter dem Rechnernamen db.de.clamav.net – die Signatur-Datenbank eines Virenscanners – steckt vermutlich Rundlauf-DNS; das Kommando host liefert zu dem Namen zwölf IP-Adressen in wechselnder Folge. Der Linux Virtual Server (LVS, http://www.linuxvirtualserver. org/) löst die Aufgabe der Lastverteilung und sorgt zugleich für eine hohe Verfügbarkeit, indem mehrere Maschinen (Hardware) zu einem virtuellen Server zusammengefasst werden. Wichtigste Informationsquelle ist das LVS-HOWTO (2007, bei http://www.austintek.com/) von J OSEPH M ACK. Ein anderer Linux Virtual Server (Linux Vserver, http://linux-vserver.org/) macht genau das Umgekehrte: aus einer Maschine (Hardware) mehrere virtuelle Server, nicht verwechseln. Für Lastverteilungs-Cluster stehen bei Debian mehrere Pakete mit Werkzeugen bereit: •
GNU Queue ist ein einfacher Load Balancer, dessen Client einen Auftrag einem Mitglied aus einem Pool von Maschinen übergibt, auf denen Queue-Server laufen. Bei Debian nur in woody verfügbar, weil zur Zeit im Umbau begriffen, Heimathafen http://www.gnuqueue.org/. Eine Peer-to-Peer-Lösung.
892
•
• • • •
17 Cluster
drqueue DrQueue ist ein verteilter Render Queue Manager, also ein Werkzeug zum Einrichten von Renderfarmen unter anderem für die Renderer Blender (bei Debian verfügbar, mehr als ein Renderer) und Pixie. ipvsadm mit dem gleichnamigen Kommando zum Einrichten eines LVS, hinter dem mehrere Maschinen stehen, siehe das oben genannte HOWTO. mon, Heimathafen http://www.kernel.org/software/mon/, zur Überwachung (monitoring) der Cluster-Mitglieder von einem Arbeitsplatz aus. keepalived ein Monitor für LVS-Cluster, der auch das Virtual Router Redundancy Protocol nach RFC 2338 beherrscht. ldirectord und ldirectord-2 Monitore für LVS-Cluster.
Bei Webservern kommen außer Lastverteilung auch andere Mechanismen wie ein Reverse Proxy in Frage, siehe Abschnitt 16.14.2 Web-Proxies auf Seite 860.
17.3 Hochverfügbarkeits-Cluster Doppelt genäht hält besser. Ist man auf die Dienste eines Servers dringend angewiesen, stellt man zwei oder drei gleichartige Maschinen ins Netz. Streikt eine oder ist wegen Wartungsarbeiten vorübergehend unklar, sorgen die Kollegen dafür, dass der Betrieb weitergeht. Bei bescheidenen Ansprüchen hält sich der Aufwand in Grenzen, Ganz ohne Maßnahmen zur Steigerung der Verfügbarkeit von Hardware, Software und Daten wird man heute kein Netz mehr betreiben, dazu hängt unser Alltag schon viel zu sehr von den Rechnern und Netzen ab. Mit wachsenden Ansprüchen steigen auch die Anschaffungs- und die Betriebskosten. Typische Anwendungen sind die Steuerungsrechner (Prozessrechner) in Flugzeugen oder Reaktoren, aber auch Banken oder Versicherungen können sich einen Ausfall ihrer Rechner nicht lange leisten. Wir kommen auf das Thema Verfügbarkeit noch einmal in Abschnitt 18.2 Betriebssicherheit auf Seite 900 zu sprechen. Unter Verfügbarkeit (E: availability, F: disponibilité) versteht man die Zeitspanne, in der ein Rechner oder ein Netzelement verfügbar ist, bezogen auf eine vereinbarte Zeitspanne wie ein Jahr. Zu unterscheiden sind: • • •
die Verfügbarkeit in der Vergangenheit, die eine genaue, gemessene Größe ist, von der in der Zukunft, die eine Wahrscheinlichkeit darstellt, geplante Betriebspausen – beispielsweise für regelmäßige Wartungsarbeiten – von ungeplanten und daher unangenehmeren Ausfällen, Systeme, die rund um die Uhr laufen, von solchen, die regelmäßig außer Betrieb genommen werden, sodass Reparaturen etc. möglicherweise in die Aus- oder Restzeit verschoben werden können.
Tabelle 17.1 zeigt für ein durchlaufendes System die Ausfallzeiten bei bestimmten Verfügbarkeiten bezogen auf eine Woche und auf ein Jahr von 365 Tagen. Das Herz eines Menschen, das eine Minute vor seinem hundertsten Geburtstag zu schlagen aufhört, hat auf die hundert Jahre bezogen eine Verfügbarkeit von 0,99999998 gehabt. Weitere Größen im Zusammenhang mit Verfügbarkeitsgarantien sind beispielsweise die maximale Dauer eines Ausfalls, Haupt- und Nebenbetriebszeiten oder die
17.3 Hochverfügbarkeits-Cluster
893
Frage, ob ein Ausfall auch die Datenintegrität betrifft oder nur das Funktionieren des Rechners. Es gibt eine Vielzahl von Begriffen auf diesem Gebiet. Bei der Interpretation einer in einem Angebot oder einem Vertrag genannten Verfügbarkeit muss man genau hinschauen, was gemeint ist, und außerdem hinterfragen, was wie statistisch begründet oder überhaupt begründbar ist. Lesen Sie den RFC 3439 und fragen Sie die englische Wikipedia nach Myth of the nines. Tab. 17.1: Verfügbarkeit eines durchlaufenden Systems bezogen auf eine Woche (1) und ein Jahr (2), Werte abgerundet Verfügbarkeit 0,90000 0,95000 0,99000 0,99900 0,99990 0,99999
Ausfallzeit(1)/min
Ausfallzeit(2)/min
1008 (16 h) 504 (8 h) 100 10 1 -
52560 (876 h) 26280 (438 h) 5256 (87 h) 526 (8 h) 52 5
Hochverfügbarkeits-Cluster sind nur ein Baustein auf dem Weg zu ausfallsicheren Systemen. Das High-Availability Linux Project mit der Website http: //ha-linux.org/ widmet sich der Software für solche Cluster, allem voran dem Heartbeat-Subsystem, das bei Debian vertreten ist. Für Neueinrichtungen sollte man das Paket heartbeat-2 wählen. Das System umfasst: • • • • •
das eigentliche Heartbeat-Programm zum Überwachen der Cluster-Mitglieder, einen einfachen Local Resource Manager, der Befehle (starten, stoppen, Status abfragen) zum Verwalten lokaler Ressourcen ausführt, einen Cluster Resource Manager, der clusterweite Verwaltungsaufgaben erledigt, eine Cluster Information Base mit statischen Konfigurations- und dynamischen Zustandsdaten des Clusters, den STONITH-Dämon, der dafür sorgt, dass aufmüpfige Cluster-Mitglieder heruntergefahren oder zurückgesetzt werden.
Das Projekt meint, dass sich sich die Verfügbarkeit eines Linux-Systems durch den Einsatz eines auf Heartbeat beruhenden Clusters um eine Neun – siehe Tabelle 17.1 – verbessern lasse. Eine Zusammenarbeit mit dem LVS von J OSEPH M ACK wird angestrebt, da sich beide Projekte ergänzen. Wackamole ist eine Anwendung, die ein Bündel virtueller IP-Adressen verwaltet. Die Adressen werden realen Servern zugewiesen – womit eine gewisse Lastverteilung einhergeht – und beim Ableben eines Servers auf einen noch lebenden übertragen. Das Werkzeug arbeitet in einem Cluster aus gleichartigen Mitgliedern auf Peer-to-Peer-Basis, also ohne einen vorgeordneten Server (director). Jedes Mitglied schnappt sich beim Start eine von ihm bevorzugte virtuelle IP-Adresse, prüft, ob sie noch frei ist und übernimmt sie gegebenenfalls. In gleicher Weise geht es mit den
894
17 Cluster
übrigen virtuellen Adressen weiter. Jedes Mitglied muss jede Aufgabe übernehmen können. Solange noch ein realer Server lebt, wird jede virtuelle Adresse bedient. Die Anwendung benötigt den Spread Messaging Daemon aus dem Debian-Paket spread. Die Lösung ist einfach und arbeitet nur mit dem Abbilden virtueller IP-Adressen auf reale. Der Heimathafen ist http://www.backhand.org/wackamole/.
Abb. 17.1: Beowulf-Cluster der Pulsar Group, McGill University, Montreal, mit 52 Knoten, ein vergleichsweise kleiner Cluster, der für astronomische Rechnungen eingesetzt wurde. Dass es sich um einen Cluster handelt, ist eine Frage der Software, und die sieht man nicht. Aufnahme (2005) entnommen den Wikimedia Commons.
Die Red Hat Cluster Suite (http://www.redhat.com/software/rha/ cluster/) dient sowohl der Steigerung der Verfügbarkeit als auch der Lastverteilung in Clustern aus Rechnern unter dem kommerziellen Red Hat Enterprise Linux. Die beiden Hauptkomponenten sind ein Cluster Manager, der die Verfügbarkeit verbessert, und ein IP Load Balancer, früher Piranha genannt, der wie oben für den LVS erläutert IP-Adressen aufeinander abbildet, um Lasten zu verteilen. Bei einem Ausfall eines Mitglieds verlagert der Cluster Manager die dort abgebrochenen Dienste (Anwendungen, IP-Adressen, Einhängepunkte . . . ) auf ein anderes Mitglied und startet sie erneut. Dieser Vorgang wird als failover bezeichnet. Bei Debian sind folgende Pakete aus der Suite verfügbar:
17.4 Hochleistungs-Cluster
• • • •
895
redhat-cluster-modules prozessorspezifische Kernmodule, die den Cluster Manager im Kern verwirklichen, cman Werkzeuge zur Steuerung des Cluster Managers, ccs das Cluster Configuration System, fence zum Isolieren fehlerhaft arbeitender Mitglieder.
Das Distributed Replicated Block Device (DRBD) ist ein als Kernmodul verwirklichtes Block-Gerät, das es ermöglicht, eine Platte über das Netz zu spiegeln, RAID1 über Netz sozusagen. Damit lässt sich innerhalb eines Hochverfügbarkeits-Clusters das Problem des Massenspeichers lösen. Die beteiligten realen Massenspeicher kommunizieren über Ethernet und dürfen daher räumlich weit voneinander entfernt aufgebaut sein. Für einen vollständigen Cluster braucht man noch einen Cluster Manager wie Heartbeat. Der Heimathafen von DRBD ist http://www.drbd.org/, bei Debian sind Pakete verfügbar. Ein anderes verteiltes, für Cluster verwendetes Dateisystem ist das Andrew File System. Wir erwähnten es auf Seite 13.9.4 Andrew File System, Coda auf Seite 616.
17.4 Hochleistungs-Cluster Bei bestimmten Rechenaufgaben – beispielsweise mit Matrizen – fallen sehr viele Zahlen an, Zwischenergebnisse sind aber unabhängig voneinander. Statt wie üblich einen Rechenschritt nach dem anderen auszuführen, lassen sich viele Schritte gleichzeitig – parallel – abarbeiten. Eine typische Anwendung sind Modellrechnungen in der Klimaforschung oder die Auswertung umfangreicher kernphysikalischer Beobachtungen. Auch beim Rechnen mit großen Primzahlen – im Zusammenhang mit Verschlüsselung interessant – wird die vereinte Rechenkraft vieler PCs eingesetzt. Eine fertige, mittels APT herunterzuladende Lösung gibt es nicht, dafür ist die Aufgabe zu umfangreich. Folgende Hilfen stehen im Netz bereit: • • • • •
•
•
das Cluster HOWTO (2005) von R AM S AMUDRALA bei TLDP. das Beowulf-HOWTO (2005) von K URT S WENDSON bei TLDP, das Parallel Processing HOWTO (2004) von H ANK D IETZ bei TLDP, die Debian-Beowulf-Liste nicht moderiert und etwas verwahrlost, mit viel Spam, auf http://lists.debian.org/debian-beowulf/, die Berkeley Open Infrastructure for Network Computing (BOINC), http: //boinc.berkeley.edu/, ein allgemeiner Ansatz für verteiltes Rechnen auf leerlaufenden Maschinen, mit mehreren Paketen bei Debian vertreten, das Parallel Virtual File System (VFS), http://www.pvfs.org/, nicht bei Debian vertreten, aber als Tarball unter der GPL vom Heimathafen herunterzuladen, das OpenMP Application Program Interface bietet eine Programmschnittstelle für parallele Anwendungen in C/C++ oder Fortran für viele Systeme, Heimathafen http://www.openmp.org/. Die Schnittstelle besteht aus Compileranweisungen, einer Funktionsbibliothek und Umgebungsvariablen, ist also etwas
896
17 Cluster
für Programmierer. Bei Debian zur Zeit erst in experimental vertreten (Open MPI ist etwas Anderes). Einige leichter verständliche Aufgaben für verteilte oder Hochleistungs-Cluster sind: •
• •
das Knacken verschlüsselter Passwörter; hierzu das Debian-Paket medussa, ein verteiltes System im Stil von SETI@home mit Heimathafen http://www. bastard.net/~kos/, der Wettbewerb RSA Factoring Challenge auf http://www.rsa.com/ rsalabs/node.asp?id=2093, die Suche nach großen Primzahlen: GIMPS, die Great Internet Mersenne Prime Search auf http://prime.haugk.co.uk/, oder http://perso. orange.fr/yves.gallot/.
Bei Debian finden sich einige Pakete namens gromacs-* zur Simulation der Dynamik von Molekülen unter Verwendung parallel arbeitender Prozessoren oder Rechner (http://www.gromacs.org/). Ansonsten liegt es in der Natur der Aufgaben für Hochleistungs-Cluster, dass sie eine gewisse Einarbeitung erfordern.
18 Sicherheit
In dem Maß, in dem unsere Abhängigkeit von der Computerwelt wächst, nimmt auch unser Bedürfnis nach Sicherheit zu. Wir sehen uns einige unter Debian mögliche Schritte zur Erhöhung der Betriebs- und der Datensicherheit an.
18.1 Allgemeine Fragen Einzelne, die Sicherheit eines Rechners oder eines Netzes berührende Themen haben wir bereits in vorangegangenen Abschnitten behandelt: • • • • • • • •
Passwörter, Passphrasen in Abschnitt 2.1 Anmelden auf Seite 27, Dienste, überflüssige, in Abschnitt 4.4 Dienste, Ports und Protokolle auf Seite 258, Verschlüsselung in den Abschnitten 4.7 Informationssicherheit, Verschlüsselung auf Seite 269 und 16.9.3 Secure Shell auf Seite 789, Firewalls und Netfilter in Abschnitt 16.6 Firewalls und Network Address Translation auf Seite 764, TCP-Wrapper in Abschnitt 16.7 Zugangskontrolle auf Seite 778, Virtual Private Networks in Abschnitt 16.15 Virtuelle private Netze auf Seite 867, Hochverfügbarkeits-Cluster im gleichnamigen Abschnitt 17.3 auf Seite 892, Sicherungskopien (Backups, Hardware) in Abschnitt 6.4.7 Datensicherung auf Seite 318.
Im folgenden Kapitel geht es um einen Überblick und um noch offene Fragen. Unter Sicherheit verstehen wir, dass ein Rechner oder ein ganzes Netz so funktionieren, wie es ihre rechtmäßigen Besitzer und Benutzer erwarten, und das über Jahre. Die Sicherheit lässt sich einteilen in: •
die Betriebssicherheit, das heißt das ordnungsgemäße Funktionieren der Hardund Software,
898
•
18 Sicherheit
die Datensicherheit, das heißt der Schutz der Daten vor Verlust, Verfälschung und Missbrauch.
Wenn eine Festplatte ihren Geist aufgibt oder ein Zentralprozessor nur vormittags funktioniert, ist das eine Frage der Betriebssicherheit. Wenn ein Schurke ein Passwort ausspäht und Unfug anstellt oder keine Backups durchgeführt werden, ist das eine Frage der Datensicherheit. Das Anzapfen eines Ethernetkabels durch einen Unbefugten gehört beiden Gebieten an. Wir unterscheiden ferner Maßnahmen, die Störungen: • • •
vorbeugen (passiver Schutz), entdecken (Alarmanlagen), bekämpfen (aktiver Schutz).
Kombinationen sind häufig. Mit einem guten Passwort und vorsichtiger Vergabe der Zugriffsrechte verhindern wir weitgehend den unbefugten Zugriff auf unsere Daten, aber wir können nicht entdecken, wenn sich jemand das Root-Passwort verschafft und unsere Daten kopiert hat. Dazu müssten wir die Zeitstempel auswerten, die ihrerseits keinen Schutz vor unberechtigtem Zugriff gewähren. Ein Einbruchsmelder (Intrusion Detection System, IDS) verhindert nichts, sondern benachrichtigt den Verwalter von irgendwelchen Auffälligkeiten. Eine aktive Schutzmaßnahme wäre Teergrubing. Zu einem sicheren Betrieb gehören vielerlei Maßnahmen, die sich in drei Bereiche einordnen lassen: • • •
Hardware einschließlich Gebäuden, Klimatisierung, Verkabelung usw. Software einschließlich Daten, Personen (Benutzer, Verwalter, Organisation).
Sicherheit kostet Zeit und Geld, Unsicherheit langfristig mehr Zeit, mehr Geld und Nerven. Einfache Sicherheitsmaßnahmen erfordern einen geringen Aufwand und sollten schon bei privaten Rechnern und in kleinen Netzen zur Regel gemacht werden – Linux/UNIX bietet zahlreiche Möglichkeiten – während Einrichtung und Betrieb hochsicherer Anlagen Aufgaben für Fachleute sind. Hohe Verfügbarkeit und die Abwehr gezielter Angriffe verschlingen richtig Zeit und Geld. Überlegen Sie sich auch, was zu tun ist, wenn doch einmal der Serverkeller unter Wasser oder das DSL-Gateway in Flammen steht, die Platte mit Ihren wertvollen Daten nur noch ächzt oder im lokalen Netz ein Virus wütet. Gefahren drohen aus mehreren Richtungen. Das BSI teilt sie folgendermaßen ein (wobei man im Einzelfall die Zuordnung diskutieren kann): • • • •
Höhere Gewalt: Feuer, Wasser, Sturm, Erdbeben, Krankheit des Verwalters, Organisatorische Mängel: unklare Verantwortlichkeiten und Befugnisse, lückenhafte Wartung, keine Auswertung der Log-Dateien, Menschliche Fehlhandlungen: fehlerhafte Konfigurationen, ungewolltes Löschen von Dateien (rm *), fliegende Verkabelung, Technisches Versagen: Ausfall der Stromversorgung, Plattencrash, verstaubte Kühler oder festgegangene Lüfter,
18.1 Allgemeine Fragen
•
899
Vorsätzliche Handlungen: Abhören des Verkehrs, IP-Spoofing, Missbrauch von Verwalterrechten, Social Engineering.
Das BSI nennt weit mehr Einzelpunkte. Als Social Engineering wird der Versuch bezeichnet, gutgläubigen Benutzern durch persönlichen Kontakt vertrauliche Daten (Passwörter) zu entlocken. Die Technik ist weder neu noch auf die Computerey beschränkt. Man kann kaum alle Benutzer gegen Social Engineering immunisieren, aber ein Verwalter sei gefestigt genug, solche Versuche abzuwehren, und verleite auch seine Benutzer niemals dazu, ihm gegenüber ihr Passwort preiszugeben. Eine dritte Aufgabe neben der Gewährleistung von Betriebs- und Datensicherheit ist der Datenschutz, das heißt der gesetzlich verankerte Schutz personenbezogener Daten. Ein Verwalter hat Zugang zu solchen Daten und braucht ihn zur Pflege des Netzes und der Arbeitsplätze. Deshalb sollte er die Grundzüge des Datenschutzes kennen, auf das für ihn geltende Datenschutzgesetz verpflichtet und grundsätzlich vertrauenswürdig sein. Datenschutz geht jedoch weiter und umfasst auch Fragen, wie weit der Staat im Interesse oder unter dem Vorwand der Terrorismusbekämpfung in den privaten Bereich eindringen darf, wenn andererseits viele Benutzer ihr Privatleben als Blog im Web veröffentlichen. Datenschutz fängt mit Selbstdatenschutz an. Da gäbe es manches zu diskutieren. Das Thema fällt jedoch aus dem Rahmen des Buches. Zum Thema Sicherheit wird von Einzelpersonen, Gemeinschaften, Firmen und Behörden viel veröffentlicht: •
• •
• • • •
bei TLDP: – Securing & Optimizing Linux (2002), ein Guide von G ERHARD M OURANI, – Security HOWTO (2004), von K EVIN F ENZI und DAVE W RESKI, – Secure Programming for Linux and Unix HOWTO (2003), von DAVID . A. W HEELER, – Introduction to Basic Computer Security (2002) von J ENNIFER V ESPER MAN , Linux Administrator’s Security Guide von K URT S EIFRIED unter http:// www.seifried.org/security/, Leitfaden IT-Sicherheit (2006, PDF-Datei) des Bundesamtes für Sicherheit in der Informationstechnik, http://www.bsi.bund.de/, sowohl mit dem großen Überblick wie mit praxisnahen Empfehlungen. Beim BSI liegen auch die IT-Grundschutz-Kataloge, Gefährdungskataloge, ein Webkurs IT-Grundschutz, Grundschutzprofile für kleine, mittlere und große Einrichtungen und vieles andere mehr. Alles kostenfrei beziehungsweise durch unsere Steuern bezahlt. CERT Coordination Center, USA, http://www.cert.org/, mit Reports, Präsentationen und Kursen, CERT Deutsches Forschungsnetz, http://www.dfn-cert.de/, mit Beiträgen, Bulletins und Tutorien, http://www.heise.de/security/, der Server des Heise-Verlags mit aktuellen Meldungen zu Sicherheitsthemen, http://www.linuxsecurity.com/, eine Nachrichtenzentrale,
900
•
•
•
18 Sicherheit
lesenswert, obwohl nicht vom Debian-Projekt: der Red Hat Linux Security Guide (2002) auf http://www.redhat.com/docs/manuals/linux/ RHL-9-Manual/security-guide/, das Securing Debian Manual (2007) von A LEXANDER R EELSEN und JA VIER F ERNÁNDEZ -S ANGUINO P EÑA , in mehreren Sprachen und Formaten auf http://www.debian.org/doc/manuals/ oder im Debian-Paket harden-doc, ausführlich und für Debianer die erste Lektüre, http://www.debian.org/security/, die Website mit den DebianSicherheitsmeldungen und nicht zu verwechseln mit http://security. debian.org/, dem Server mit Debian-Paketen.
Die vom BSI vorgeschlagenen Maßnahmen sind – typisch Behörde – von viel Papierkram begleitet und außerdem stark auf die Software eines bekannten Fensterherstellers ausgerichtet. Trotzdem sind die Kataloge hilfreich; man kann sich ja bei weniger relevanten Punkten kurz fassen. Ein freihändig gestricktes Sicherheitskonzept ist keines.
18.2 Betriebssicherheit Bei einem gut ausgewählten oder zusammengestellten Rechner oder Netz passen Leistungsfähigkeit und von ihm erwartete Leistungen zusammen. Das Thema kommt vor den eigentlichen Sicherheitsfragen. Wir haben es in Abschnitt 6.4 Hardware und Schnittstellen auf Seite 306 angerissen, als wir von einer runden Abstimmung der Komponenten eines Rechners im Hinblick auf seinen Einsatzzweck sprachen. Den Begriff der Verfügbarkeit haben wir im Zusammenhang mit Rechnerclustern im Abschnitt 17.3 Hochverfügbarkeits-Cluster auf Seite 892 eingeführt. Hier geht es um weitere Maßnahmen, den Gesundheitszustand eines Rechners zu überwachen und gegebenfalls zu verbessern. Neuere Hauptplatinen verfügen über einige Sensoren (Fühler) für Spannungen, Temperaturen und Drehzahlen. Das Debian-Paket lm-sensors enthält Werkzeuge, um Messwerte auszulesen. Ihr Heimathafen ist http://www.lm-sensors.org/. Nach Einrichten des Paketes ruft man: debian:~# sensors-detect auf, um zu ermitteln, was für Möglichkeiten bestehen. Das Werkzeug führt einen Dialog. In den meisten Fällen nickt man die Fragen durch bis auf die letzte, bei der es um das Eintragen einiger Kernmodule in /etc/modules geht. Hier ist die vorsichtige Vorgabe NO; beim ersten Mal wird man yes wählen. Der Erfolg wird mit lsmod überprüft. Anschließend sieht man sich die Messwerte an: joe@debian:~$ sensors Ehe man ihnen vertraut, lese man die reichlich kommentierte Datei /etc/ sensors.conf und die Dokumentation in /usr/share/doc/lm-sensors. Die Werte werden teilweise unter gewissen Annahmen errechnet und sind nicht
18.2 Betriebssicherheit
901
Abb. 18.1: Screenshot der Sensor-Anzeige xsensors mit Spannungen, Temperaturen und Drehzahlen aus dem Rechner
immer ohne Vorkenntnisse zu verstehen. In der Konfigurationsdatei lassen sich auch Grenzwerte einstellen, bei deren Überschreiten ein Alarm ausgelöst wird. Auf http://www.lathspell.de/linux/lm_sensors/ hat C HRISTIAN H AMMERS Konfigurationsdateien für einige Mainboards zusammengestellt. Die grafische Oberfläche xsensors, siehe Abbildung 18.1, verschönert die Anzeige. Die Webseite phpsysinfo – siehe Abschnitt 16.16 Verwalten über das Netz auf Seite 873 – arbeitet auf Wunsch mit sensors zusammen. Die Sensors sind vor allem bei der Fernüberwachung von Servern nützlich. Insbesondere werfe man ein Auge auf die Lüfter in den Geräten, die oft zu billig ausgeführt sind und nach wenigen Monaten Betrieb festgehen. Gegen Stromausfälle kann man sich nur durch Bereithalten eigener Stromquellen schützen. Für längere Unterbrechungen (Stunden bis Tage) kommen Generatoren in Betracht. Kurze Unterbrechungen (Minuten) lassen sich mit Akkus überbrücken. Dazu rechnet auch die Anlaufzeit eines Diesels oder die Zeitspanne zum Herunterfahren eines Servers. Sehr kurze Einbrüche (Millisekunden) bügelt ein gutes Netzteil aus. Unterbrechungsfreie Stromversorgungen (USV, E: uninterruptable power supply, F: alimentation en courant sans interruptions) arbeiten nach verschiedenen Prinzipien. Im einfachsten Fall ist die Ausgangssteckdose im Normalbetrieb auf die Eingangsleitung durchgeschaltet und wird bei Stromausfall auf einen akkugespeisten Wech-
902
18 Sicherheit
selrichter umgelegt. Die höchste Qualität der Ausgangsspannung samt den höchsten Kosten finden wir bei Stromversorgungen, die den Rechner immer aus dem Akku speisen und diesen bei Vorhandensein der Netzspannung ständig nachladen. Die Akkus sind wie andere Akkus zu pflegen und nach einigen Jahren auszuwechseln. Viele USVn schicken bei Stromausfall oder Nachlassen des Akkus ein Signal über eine serielle Schnittstelle (RS232), USB oder Ethernet an den Rechner. Eine dort laufende Software veranlasst daraufhin das Herunterfahren des Rechners. Hat man Glück, liefert der Hersteller der USV ein linuxfähiges Programm mit. Andernfalls stehen bei Debian die Network UPS Tools (NUT) in mehreren Paketen sowie der UPS Monitor Daemon im Paket upsd bereit. NUT mit dem Heimathafen http://www.networkupstools.org/ ist das umfangreichere Werkzeug. Ob sich die Rechner bei Wiederkehr des Stromes automatisch einschalten sollen oder nicht, ist zumindest in kleinen Netzen zu überlegen. Manchmal muss eine bestimmte Reihenfolge beim Einschalten der Server und der Peripherie eingehalten werden. Wenn zum Booten ein Passwort verlangt wird, ist ebenfalls ein menschlicher Eingriff vonnöten. Überspannungsableiter (E: surge protector, F: parafoudre) mit Varistoren, die zwischen Schukostecker und Schukodose eingeschleift werden, sind ein einfaches, kostengünstiges Mittel, um Rechner oder ähnliche Geräte vor Überspannungen in der Stromversorgung zu schützen. In problematischen Umgebungen (Freileitungen, Netze mit häufig geschalteten induktiven Lasten) reichen Varistoren nicht aus. In solchen Fällen ist eine erfahrene Fachkraft hinzuzuziehen. Erdung und Blitzschutz spielen mit hinein. Auf Signalleitungen treten ebenfalls Überspannungen auf. Bei der Planung eines Netzes mache man sich klar, wo Flaschenhälse auftreten, deren Versagen das ganze Netz beeinträchtigt. Solche Single Points of Failure lassen sich nicht immer vermeiden. In kleinen Netzen kann man nicht alle Komponenten einschließlich der DSL-Anbindung mehrfach vorhalten. Ein Verwalter muss sein Netz kennen und sich im Voraus überlegen, wie er einen Störfall schnell entdeckt, einen Notbetrieb aufrecht erhält und die Störung beseitigt. Man denke nicht nur an innere Fehlerursachen der Komponenten oder Stromausfall, sondern auch an Störungen am Aufstellungsort oder in seiner Nähe wie: • • • • • • • •
Blitzschlag, Wasserrohrbruch, Rückstau von Abwasser, Ausfall der Kühlanlage oder Belüftung, Brand, Baumaßnahmen, Korrosion durch Dämpfe (Salzsäure), Fraß von Nagetieren, Mardern, Insekten.
So gut sich Kellerräume wegen ihrer gleichmäßig niedrigen Temperatur für Server und dergleichen eignen, haben sie doch einige typische Risiken. Altgediente Verwalter erzählen davon Geschichten.
18.3 Datensicherheit
903
18.3 Datensicherheit 18.3.1 Benutzerkonten Der Benutzername stellt für einen Eindringling kein wirksames Hindernis dar. Trotzdem kann man einfältige Programme, die eine Liste von Namen durchprobieren, ein bisschen ärgern, wenn man folgende Arten von Namen vermeidet: • •
unveränderte, gebräuchliche Vornamen, vor allem englische: Tom, Jim, Joe . . . unveränderte Begriffe aus der Linux/UNIX-Welt: admin, linux, unix, shell, user, guest, core, info, temp . . .
Systemkonten wie bin, daemon, lp, sys, games, uucp . . . dürfen das Einloggen nicht zulassen. Das Eintragen eines Sternchens als Passwort verhindert das Einloggen. Ebenso sperrt ein Ausrufezeichen vor einem Passwort das Konto. Am einfachsten sperrt man ein Konto vorübergehend oder auf Dauer mittels (l = lock): debian:~# passwd -l joe Ein leeres Passwortfeld darf es nicht geben, das Konto wäre völlig ungeschützt. Den Status eines Kontos erfährt man mit Hilfe der Option -S. Weiteres im Manual zum Kommando passwd. Von der Passwortalterung (password aging) verspreche man sich nicht zu viel Sicherheit. Wenn Passwörter unsicher, das heißt zu einfach oder schlampig aufgehoben sind, hilft auch häufiger Wechsel nichts. Dagegen stellt der Zwang zum Wechseln für die Benutzer eine erhebliche Unbequemlichkeit dar. Auf Rechnern mit sich schnell ändernden Benutzerkreisen verhindert Passwortalterung, dass tote Konten benutzbar bleiben. Aber das darf nur eine Übergangsmaßnahme sein; tote Konten gehören nach einer Karenzzeit gelöscht. Ein Verwalter sollte seine Schäfchen bei der Auswahl von Passwörtern beraten und trotzdem gelegentlich ein Passwort-Cracker-Werkzeug über seine Systeme laufen lassen. Die Debian-Pakete crack, Heimathafen vermutlich http://www. crypticide.com/users/alecm/security/, und medussa, Heimathafen http://www.bastard.net/~kos/medussa/, untersuchen Dateien, das Paket aircrack-ng Funkverbindungen, Heimathafen http://www.aircrack-ng. org/. Falls man einen Vorgesetzten hat, lasse man sich von diesem ausdrücklich das Vorgehen genehmigen, es könnte missverstanden werden und unangenehme Folgen haben. Es ist auch nicht verkehrt, die Benutzer allgemein von dem Vorgehen zu unterrichten. 18.3.2 Dienste Wir haben bereits darauf hingewiesen, dass man nicht benötigte Dienste (Serverprogramme) stilllegen soll, indem man Zeilen auskommentiert, in einer Konfigurationsdatei eine 0 oder ein N einträgt, Symlinks in den Verzeichnissen /etc/rc*.d
904
18 Sicherheit
löscht und dergleichen. Es ist nicht erforderlich und erschwert die Wiederinbetriebnahme nur, wenn man auch die zugehörigen Dateien löscht oder Pakete deinstalliert. Bei den verbleibenden aktiven Diensten achte man auf aktuelle Versionen, dank apt-get kein Aufwand. Auch innerhalb eines lokalen, durch eine Firewall nach außen geschützten Netzes sorge man für Sicherheit. Zum einen kann Malware hintenherum über entfernbare Datenträger wie Disketten oder USB-Stöpsel ins lokale Netz gelangen, zum anderen ist keine Firewall hundertprozentig sicher. Hat ein Schadprogramm einen lokalen Rechner befallen, sind die übrigen Teilnehmer im LAN auf ihre eigenen Sicherheitsmaßnahmen angewiesen. Schließlich ist in größeren LANs auch mit bewussten Angriffen von innen zu rechnen. Erste Angriffsziele sind die Dienste Telnet, FTP und SSH, aber auch kleine, kaum bemerkbare Dienste wie NTP lassen sich missbrauchen. 18.3.3 Backup Ein alte Weisheit besagt, dass eine Datei, die nur einmal existiert, gar nicht existiert. Während man Debian GNU/Linux jederzeit von Debian wieder bekommt, steckt in den Konfigurationsdateien – überwiegend im /etc-Zweig – eine Menge Arbeit, und die Homes der Benutzer sind sogar Unikate, wenn auch von gelegentlich fragwürdigem Wert. Aber darüber hat der Verwalter nicht zu befinden. Er hat dafür zu sorgen, dass jeder Benutzer nach einem GAU möglichst bald wieder auf seine Daten zugreifen kann. Man braucht mindestens eine Sicherungskopie der wertvollen Dateien, in der Regel mehrere. Das Problem dabei ist die stark gewachsene Kapazität moderner Platten. 500 GB lassen sich nicht eben mal schnell auf DVD brennen. Band-Farmen sind unbezahlbar. Bleibt nur das Sichern auf andere Platten. Am bequemsten und zugleich bezahlbar sind externe Platten mit USB-, Serial-ATA- oder Firewire-Anschluss. Haben wir eine neue USB-Platte angeschlossen, informieren wir uns mittels: debian:~# lsusb -v darüber, ob sie erkannt wird. Dann ermitteln wir die zugehörige Gerätedatei, indem wir fdisk mit vermuteten Gerätedateinamen als Argument aufrufen: debian:~# fdisk /dev/sda In /var/log/messages findet man meist einen Hinweis auf die Gerätedatei. Das Paket usbmount enthält ein Werkzeug zum automatischen Einhängen von USBStöpseln. USB-Speicher werden oft als SCSI-Geräte eingebunden. Im Lieferzustand sind sie meist mit einem FAT-Dateisystem formatiert. Damit kommt Linux zurecht, aber bei einem Backup-Medium macht sich ein Linux-Dateisystem besser. Bei einem Transport-Medium ist ein FAT-Dateisystem auch von Nicht-Linux-Rechnern lesbar. Mittels fdisk oder cfdisk löschen wir die vorhandenen Partitionen und legen eine neue primäre für Linux an. Schließlich richten wir mit: debian:~# mkfs -t ext3 /dev/sdb1
18.3 Datensicherheit
905
Gerätedatei anpassen – und etwas Geduld ein ext3-Dateisystem ein, das sich einhängen und mit den gewohnten Kommandos wie cd, ls, cp oder df benutzen lässt. Im Vergleich zu internen Platten sind externe spürbar langsamer, was jedoch bei einem Backup unerheblich ist. Nach Sichern und gegebenenfalls Überprüfen hängen wir die externe Platte aus, schalten sie ab und verbringen sie an einen sicheren Ort, zumindest dann, wenn sie das Haupt-Backup des Verwalters enthält. Was Benutzer mit ihren externen Platten anstellen, bleibt ihnen überlassen. Unter der Bezeichnung Network Attached Storage (NAS, LAN-Disk) werden Platten verstanden, die mit Hilfe von ergänzender Hard- und Software einen eigenen Knoten im Netz bilden. Auch sie bieten sich als Backup-Medium an. Es ist jedoch zu erwägen, ob nicht ein einfacher, kleiner Dateiserver unter Debian GNU/Linux die bessere Lösung ist. Preislich kaum teurer und technisch weitaus flexibler. Soll ein Backup auch Archivzwecken dienen und über Jahre hinweg aufbewahrt werden, ist an die Lebensdauer der Datenträger und die Verfügbarkeit der zugehörigen Laufwerke und Leseprogramme zu denken, ebenso an Prüfsummen, Schlüssel und dergleichen organisatorische Anforderungen. Lochkarten haben zwar eine hohe Lebensdauer, aber es dürfte schwierig sein, einen Lochkartenleser aufzutreiben. Bei magnetischen Datenträgern ist nach fünf Jahren mit Ausfällen zu rechnen, außerdem folgen die Laufwerke der technischen Entwicklung; mit 8-Zoll-Disketten steht man heute ziemlich hilflos da. Bei geschützt aufbewahrten CDs rechnet man mit zehn Jahren, bei DVDs – fürchtet man – sind es weniger. Festplatten erreichen im Dauerbetrieb eine Lebensdauer von einigen Jahren, aber auch in ausgeschaltetem Zustand altern sie. Sichern und Archivieren sollte man trennen. Die Aufgabe des Archivierens ist noch nicht abschließend gelöst. Einige Punkte werden vom RFC 4810 angesprochen. Datenverlust infolge Plattencrash ist eine Sache, versehentliches Löschen oder Beschädigen durch den Besitzer eine andere. Es ist daher nicht damit getan, blind jede Nacht die Homes auf eine zweite Platte zu kopieren. Wir müssen auch für eine gewisse Spanne der Vergangenheit ältere Fassungen der Dateien wiederherstellen können. Um Platz zu sparen, speichert man nicht jedesmal alle Dateien ab, sondern einmal alle (vollständiges Backup) und dann nur noch geänderte (inkrementelles Backup). Das Zeitschema lässt sich ausbauen (stündlich – täglich – wöchentlich – monatlich – halbjährlich). Wenn alles eingerichtet ist, soll man unbedingt wenigstens einmal das Wiederherstellen testen. Nach Möglichkeit sollen Verzeichnisse wie .Trash, vielleicht auch tmp, vom Backup ausgeschlossen werden. Wir sehen uns eine kleine Lösung an, die für eine externe Platte am Arbeitplatz oder einen Backup-Server im lokalen Netz geeignet ist und von folgenden Werkzeugen Gebrauch macht: • •
• •
rsync, das Werkzeug, das die Arbeit erledigt, grsync, ein optionales grafisches Frontend zu rsync, das gegenwärtig noch nicht alle Funktionen der Kommandozeile anbietet, aber für einfache Aufgaben reicht; alternativ QSync oder Zynk, beide nicht bei Debian, rsnapshot, ein Bündel von Perl-Skripten, die das Backup steuern, ssh, die Secure Shell, die bei der Übertragung im Netz die Daten verschlüsselt.
906
18 Sicherheit
Abb. 18.2: Screenshot des Werkzeugs rsync mit grafischer Benutzeroberfläche grsync nach einem simulierten Lauf
Das Kommando rsync verfügt über eine Unmenge von Optionen, siehe Manual, und ermöglicht beliebige Kombinationen von lokalen und fernen Verzeichnissen. Im Grunde stellt es ein Kopierkommando dar: joe@debian:~$ rsync quelle ziel Der Aufruf: joe@debian:~$ rsync -av /home/joe/ /exthd/joe.0 kopiert den Inhalt des Verzeichnisses /home/joe/ in das Verzeichnis /exthd/ joe.0, das auf einer eingehängten externen Festplatte existiert. Das erste Argument endet mit einem Schrägstrich, das zweite nicht. Wäre das erste Argument nicht mit einem Schrägstrich abgeschlossen, würde das Verzeichnis /home/joe unter dem Ziel angelegt, was unerwünscht wäre. Die Option -a (archive mode) verlangt die Beibehaltung aller Attribute, die Option -v (verbose) wie üblich die Abgabe begleitender Anmerkungen. Mittels --exclude=... lassen sich ähnlich wie bei dem Kommando tar Dateien vom Kopieren ausschließen, beispielsweise Dateien aus den Verzeichnissen .Trash/, was den Zeitbedarf verringert. Nun wollen wir nicht jedesmal bei einem Backuplauf unser ganzes HomeVerzeichnis kopieren, sondern – nach einem ersten vollständigen Backup – nur die
18.3 Datensicherheit
907
geänderten Dateien. Zu diesem Zweck bringen wir rsync mittels Option dazu, für unveränderte Dateien im neuen Verzeichnis nur einen harten Link auf die Dateien im alten Verzeichnis anzulegen; geänderte Dateien werden kopiert: joe@debian:~$ rsync -av --link-dest=/exthd/joe.0 /home/joe/ /exthd/joe.1 rsync schaut nicht in die Dateien hinein, sondern stellt Änderungen an Hand der Datei-Attribute (Zeitstempel, Größe) fest. Mit Hilfe der Option -c lässt sich aber erzwingen, dass Prüfsummen über die Dateiinhalte berechnet und ausgewertet werden. Das kostet Zeit. Auf die Weise ersparen wir uns unnötiges Kopieren und zugleich bei einer Wiederherstellung das Hantieren mit Differenzen-Dateien. Das zweite BackupVerzeichnis ist vollständig und kann jederzeit ohne Zugriff auf das erste benutzt werden. Eine versehentlich gelöschte Datei fehlt im jüngsten Backup, ist aber in den älteren so lange enthalten, bis wir alle Backup-Verzeichnisse löschen, in denen die Datei vorkommt. Ein Nachteil des Verfahrens ist, dass bei vielen sich schnell ändernden Dateien – wie im Verzeichnis /var/log – doch jedesmal ein fast vollständiges Backup abgelegt wird, aber für andere Systemverzeichnisse und die Homes passt es. Jetzt steht noch aus, das Kommando rsync in ein Zeitschema einzubauen. Das leistet rsnapshot, Heimathafen http://www.rsnapshot.org/. Seine Konfiguration findet sich in /etc/rsnapshot.conf, gut kommentiert. Mit rsync hat man dann direkt nichts mehr zu tun. rsnapshot ruft rsync auf, hält eine konfigurierbare Anzahl von Backups im Massenspeicher, rotiert sie und erledigt weitere Kleinigkeiten. Die eigentliche Zeitsteuerung übernimmt der Cron-Dämon, siehe Abschnitt 10.3.3 Zeitdämon auf Seite 446. Eine bei Debian verfügbare Alternative zu rsnapshot ist dirvish, mit mehr Möglichkeiten. Zum Zurückspielen einer Sicherungskopie nimmt man cp , scp oder rsync mit den entsprechenden Optionen und Argumenten. Das Ganze lässt sich hinter der grafischen Benutzeroberfläche grsync verstecken, die bei alltäglichen Aufgaben recht bequem ist. Ein Screenshot der Oberfläche ist in Abbildung 18.2 wiedergegeben. Links oben sehen wir das Eingabefenster von grsync, rechts unten die Ausgabe von rsync nach einer Simulation. Einzelheiten werden im Druck kaum zu lesen sein, die Fenster wirken aufgeräumt, die Sprache ist ein Durcheinander von Deutsch und Englisch, aber das muss man bei so jungen Programmen hinnehmen. 18.3.4 Viren (Malware) Viren oder allgemein gesprochen bösartige Software (Malicious Software, Malware) umfasst: •
Viren. Das sind unselbständige Programmschnipsel, die sich in Ihr System einschleichen, in ein Programm einnisten und sofort oder später unerwünschte Aktionen durchführen: dumme Meldungen auf den Bildschirm schreiben, die Platte aufräumen oder Hintertüren (backdoors) öffnen, durch die jemand Ihr System ausspionieren kann.
908
•
•
•
•
18 Sicherheit
Trojanische Pferde (Trojaner) sind selbständige Programme, die versuchen, unter dem Deckmantel eines ehrenwerten Programms an Informationen über Ihr System zu gelangen, vor allem an Passwörter. Meist nicht fortpflanzungsfähig. Rootkits sind Pakete von Programmen oder Kernmodulen, die nach ihrer Einrichtung einem Unbefugten Root-Zugang zum System verschaffen und zugleich alle Spuren ihrer Tätigkeit verwischen, indem sie übliche Linux/UNIX-Software durch verfälschte Versionen ersetzen. Würmer richten keinen unmittelbaren Schaden an, vermehren sich aber rasend schnell und verstopfen Rechner und Netz. Sie können sich nur in einem Netz ausbreiten. Hoaxe sind falsche Warnungen vor Malware, oft als dringende Mails getarnt, nicht gefährlich, aber lästig. Die meisten fallen dem gefinkelten Leser durch ihren Stil auf. Klarheit schafft die Anfrage bei einer zuverlässigen Informationsquelle im Web.
Kombinationen kommen vor. Kein Betriebssystem ist sicher vor Malware. Die Linux-Welt wurde im Herbst 2002 von einem Wurm namens Slapper heimgesucht, der vernachlässigte Webserver befiel, siehe Wikipedia. Linux/UNIX macht es jedoch Schädlingen schwer, einzudringen und sich auszubreiten, während andere Betriebssysteme unter dem Vorwand der Benutzerfreundlichkeit die Sicherheit hintanstellen. Sicherheit ist immer mit Aufwand und Unbequemlichkeiten verbunden. Wenn Ihre Haustür kein Schloss hätte, könnten Sie Ihren Haustürschlüssel niemals vergessen oder verlieren. Während früher Malware über Disketten oder FTP in den Rechner geriet, ist heute Email der bevorzugte Weg. Das Web bietet sich auch an, vor allem Webseiten mit aktiven Inhalten (Javascript, Java Applets und dergleichen; jeder Code, der auf dem Clientrechner ausgeführt wird). Einige Tipps zum Schutz vor Ansteckung: • • • • • • • •
• •
Keinen Gastbenutzer (Benutzer ohne Passwort) einrichten. Tote Konten erst sperren, nach einer Karenzzeit löschen. Die Arbeit als gewöhnlicher Benutzer von der Arbeit als Verwalter trennen. Möglichst wenig als Root erledigen. Zugriffsrechte auf Verzeichnisse und Dateien zurückhaltend vergeben (Vorgabe: 700, umask 077). Ungesicherte Dienste (Telnet, rlogin) vermeiden, abschalten, stattdesen SSH oder SSL verwenden. Das Booten von entfernbaren Medien einschränken (BIOS: Bootreihenfolge, Passwort). Alle nicht benötigten Dienste (Dämonen, Server) und Ports stilllegen. Rechner mit öffentlichem Zugang (Webserver, AFTP-Server, Email-Server) trennen von Arbeitsplatzrechnern und internen Servern (Dateiserver, Datenbank, interne Listen). Öffentlich sichtbare Server einfach gestalten. Von Einschränkungen wie in /etc/hosts.allow Gebrauch machen, Netfilter einrichten. Lokale Netze nur über eine Firewall ans Internet anschließen. Keine Lecks (Nebenwege, Schleichpfade) im lokalen Netz dulden.
18.3 Datensicherheit
• •
• • •
909
Protokolldateien in /var/log lesen, eventuell automatisch auswerten. Regelmäßig Werkzeuge zur Untersuchung des Systems wie chkrootkit (http://www.chkrootkit.org/) benutzen, per cron aufrufen. Ein Virenscanner, der unter der GPL und bei Debian zur Verfügung steht, ist ClamAV. System aktuell halten (apt-get upgrade usw.). Keine Software zweifelhafter Herkunft einrichten. Über dem Schutz des LANs vor Angriffen von außen nicht die Gefahren von innen vergessen.
Linux/UNIX-Systeme gelten ohne zusätzliche Maßnahmen nicht als sicher gemäß den Common Criteria (CC) bzw. ISO 15408 (http://csrc.nist.gov/cc/ index.html). Bei Befolgen obiger Regeln reicht ihre Sicherheit aber für unkritische Anwendungen aus. Ein Rootkit war ursprünglich eine Sammlung von Werkzeugen für den Verwalter, beginnend mit Programmen wie ps, w und netstat. Heute versteht man darunter ein Stück Software, das auf den üblichen Wegen in einen Rechner eindringt, sich dort festsetzt und auf verschiedene Weise versucht, einem unberechtigten Benutzer RootRechte zu verschaffen. Dazu gehört, dass der Rootkit sich bemüht, möglichst wenig aufzufallen und seine Spuren zu verwischen, im Gegensatz zu legalen, vom Verwalter benutzten Werkzeugen. Ein Rootkit verfolgt ähnliche Ziele wie ein Trojaner oder eine Backdoor, die Übergänge sind fließend. Man findet zuweilen die Bezeichnung Stealth Malware, also böswillige Software, die sich zu verbergen oder tarnen trachtet. Es sind auch Kopierschutzmechanismen bekannt geworden, die ohne Wissen oder Zustimmung des Benutzers ein Rootkit einrichten, was von den Herstellern natürlich nicht so gesehen oder bezeichnet wird. Das bewusste Einbauen von Rootkits in allgemeine Software durch Firmen in Verfolgung wirtschaftlicher Ziele ist ein Grund mehr für offene Software, in der nichts versteckt werden kann. Im Gegensatz zu Viren sind die heutigen Rootkits nicht ansteckend, sie vermehren sich nicht selbst. Eine Kombination von Virus und Rootkit ist jedoch denkbar. Das Shellskript chkrootkit ruft nacheinander verschiedene Werkzeuge auf, die das Dateisystem auf Spuren bekannter Rootkits absuchen, ein einfacher Test, den man regelmäßig von Hand oder als Cronjob durchführen sollte. Eine Meldung Remaining time gegen Ende der Ausgabe rührt von dem Werkzeug /usr/ lib/chkrootkit/chklastlog her, ist etwas rätselhaft, jedenfalls keine Zeit in Sekunden und bedeutungslos, wie ein Blick in die Quelle zeigt. Hat man sich einen Rootkit eingefangen, nimmt man den befallenen Rechner sofort vom Netz, startet von einer Live-CD/DVD, sichert die Benutzerdaten und richtet das System von Grund auf neu ein. Alles andere ist unsicher und verursacht ebenso viel Arbeit. Es ist bekannt, dass chkrootkit gelegentlich einen Fehlalarm auslöst – Rootkits sind nicht an einem eindeutigen Merkmal zu erkennen – insbesondere betreffend einen Rootkit namens bindshell. Dieses Programm bindet eine Shell an einen TCP- oder UDP-Port und ermöglicht, Netzverbindungen ähnlich wie Telnet herzustellen. Auf einem Rechner hat es nichts verloren. Bei einem solchen oder ähnlichen Alarm sieht man sich mittels: joe@debian:~$ grep portnummer /usr/sbin/chkrootkit
910
18 Sicherheit
an, was chkrootkit untersucht hat, ermittelt per: debian:~# lsof -i :portnummer welches Kommando den Port geöffnet hat, überprüft die Auskunft mittels: debian:~# netstat -apn | grep portnummer und entscheidet dann, ob dem Verdacht nachzugehen ist. Oft steckt hinter dem Port ein anständiges Programm. Ein weiteres Werkzeug zum Aufspüren von Rootkits ist rkhunter, Heimathafen http://www.rootkit.nl/, bei Debian ab etch verfügbar. Die Einrichtung und der anschließende Aufruf: debian:~# rkhunter --checkall --nocolors verliefen problemlos. Die zweite Option war notwendig, da sich gelbe Schrift auf weißem Hintergrund schlecht liest. Vorbeugend kann der Verwalter auf Maschinen, deren Software sich selten ändert, von jeder Datei im Systemzweig mittels einer Hash-Funktion einen Fingerabdruck erzeugen, diesen extern speichern und regelmäßig mit aktuellen Fingerabdrücken vergleichen. Das schließt Änderungen an Dateien nicht aus, führt aber zu einem Alarm, und da der Verwalter der Einzige ist, der Systemdateien ändern darf, sollte er wissen, was er geändert hat. Ein einfaches Hilfsmittel für diese Aufgabe ist das Perlskript fcheck, dessen Konfiguration sich in /etc/fcheck/fcheck.cfg findet. Beim ersten Aufruf: debian:~# fcheck -cadsx legt es eine Datenbank /var/lib/fcheck/fcheck.dbf an, gegen die später mittels Aufruf ohne die Option -c verglichen wird. Es braucht einige Minuten und erkannte zuverlässig das Löschen einer leeren Zeile in einer Datei in /etc. Durch die Konfigurationsdatei und die Optionen lässt sich das Werkzeug den eigenen Wünschen anpassen, insbesondere der zu überwachende Ausschnitt aus dem Dateisystem angeben. Es wird manuell oder als Cronjob aufgerufen. Da heute Malware bevorzugt über Email in einen Rechner gelangt, brauchen wir neben einem Spamfilter auch ein Virenfilter. Falls Ihnen eine Mail verdächtig erscheint, reicht als Sofortmaßnahme, die Mail ungelesen abzuspeichern und dann mit less oder einem Texteditor zu öffnen. Sie begeben sich damit der Vorzüge eines bequemen MUAs – können also nicht einfach antworten – haben jedoch die Gewissheit, dass kein Code ausgeführt wird, weil die Textwerkzeuge dafür nicht eingerichtet (zu dumm) sind. Wer selbst auf Virenjagd gehen will oder muss, findet Hilfe bei: •
•
dem European Institute for Computer Antivirus Research (EICAR), http: //www.eicar.org/, mit dem EICAR Standard Anti-Virus Test File, ansonsten noch ausbaufähig, dem Open Anti-Virus Project, http://www.openantivirus.org/, mit vielen guten Ansätzen,
18.3 Datensicherheit
•
•
911
Debian in den Paketen amavis*, die ein Interface zwischen einem MTA wie Exim4 oder Postfix und gängigen Virenscannern von ClamAV bis Sophos einrichten, Debian in den Paketen, deren Name die Zeichenkette clamav enthält. ClamAV von T HOMASZ KOJM mit dem Heimathafen http://www.clamav.net/ ist ein ausgewachsener Virenscanner für Mails auf Mailservern.
Da ein Virenscanner Dateien auf verdächtige Bytefolgen (Signaturen) untersucht, die er einer Datenbank entnimmt, ist die regelmäßige Aktualisierung der Datenbank entscheidend. Regelmäßig bedeutet stündlich oder täglich, mindestens aber wöchentlich, ein Fall für cron (/etc/cron.d). Die Datenbank von ClamAV enthält über 100.000 Signaturen. ClamAV lässt sich auf demselben Wege wie ein Spamfilter in Exim4 (heavy) einschleifen, nämlich über ACLs, siehe Abschnitt 16.11 Electronic Mail auf Seite 797. Für den Anfang brauchen wir die Pakete clamav-base, clamav-daemon, clamavfreshclam und sinnvollerweise auch clamav-docs. Während des Einrichtens hat man die Wahl zwischen verschiedenen Wegen der Aktualisierung der Signatur-Datenbank mittels freshclam: Dämon oder Cronjob ist zweckmäßig. Als Spiegel der Signaturen kommt db.de.clamav.net in Betracht. Kein Proxy, wenn nicht vom Versorger verlangt. Auf Grund der regelmäßigen Anfragen weiß der Spiegel, wer ClamAV einsetzt, aber eine Zusammenarbeit ist schwer vorstellbar, ohne dass die Beteiligten vorneinander wissen. Versuchen wir nun, den clamd zu starten, bekommen wir vermutlich eine Fehlermeldung betreffs einer veralteten ClamAV Engine. Nicht nur die Signaturen, auch der Dämon muss aktuell sein. Wir folgen dem Hinweis, geraten nicht in Panik, lesen die FAQ und fügen unserer Datei /etc/apt/sources.list eine Zeile folgender Art hinzu: deb http://ftp.de.debian.org/debian-volatile/ etch/volatile main anzupassen an die Debian-Version auf unserem Server. Was es mit volatile auf sich hat, lese man bei http://www.debian.org/devel/debian-volatile/ nach. Dann aktualisieren wir ClamAV mittels apt-get und verfolgen, wie die Software auf Vordermann gebracht wird. Mittels less sehen wir uns die Konfigurationsdateien im Verzeichnis /etc/clamav und die Logdateien in /var/log/ clamav an. Bei Bedarf umkonfigurieren mittels: debian:~# dpkg-reconfigure clamav-base Wir testen auch den Signature-Updater mittels: debian:~# freshclam -v und lassen die Dämonen mittels ps zum Appell antreten. In der Konfigruationsdatei /etc/clamav/freshclam.conf ist als Argument der Option NotifyClamd anstelle von true der Pfad /etc/clamav/clamd.conf einzutragen, damit der Dämon von jeder Aktualisierung der Datenbank benachrichtigt wird.
912
18 Sicherheit
Bleibt noch, ClamAV mit Exim4 zu verheiraten. Lotse ist – wie schon beim SpamAssassin – die Specification of the Exim Mail Transfer Agent, diesmal Abschnitt 41.1. In der Konfigurationsdatei /etc/exim4/exim4.conf. template gleich am Anfang bei den MAIN CONFIGURATION SETTINGS fügen wir eine Zeile hinzu: av_scanner = clamd:/var/run/clamav/clamd.ctl natürlich mit gebührendem Kommentar. Dann begeben wir uns zur DATA ACL (acl_check_data) und fügen vor der mit This hook allows ... beginnenden Zeile ein (gegebenenfalls vor SpamAssassin): deny message = Virus-Check: ($malware_name) malware = */defer_ok Eigentlich kann man statt deny gleich discard schreiben; dann wird die verviruste Mail angenommen und ohne Rückmeldungen etc. sofort vernichtet. Die letzte Spur ihres Erdenwandels ist eine Zeile in /var/log/exim4/mainlog. Will man auch guten Mails einen Gruß von ClamAV hinzufügen, verlängert man obigen Eintrag um: warn message = X-Virus-Check: kerngesund !malware = */defer_ok Wenn der Test malware nicht true ergibt, fügt warn die Message als Kopfzeile hinzu und tut sonst nichts, das heißt, es geht weiter in der ACL, vermutlich mit SpamAssassin. Weitere Anregungen liefern die Zeilen für den SpamAssassin. Die Konfiguration ist zu aktiveren und Exim4 zu restarten: debian:~# dpkg-reconfigure exim4-config Kontrolle der Logdateien wie gewohnt. Jetzt fehlt uns noch eine verseuchte Mail zum Testen. Das Debian-Paket clamav-testfiles, auf einem beliebigen Rechner im LAN eingerichtet, versorgt uns mit verseuchten Dateien, die in /usr/share/ clamav-testfiles abgelegt werden. Wir schicken Mails, in die eine dieser Dateien als Anhang eingebunden ist, über den Mailserver an uns und finden in der Datei /var/log/clamav/clamav.log diesbezügliche Zeilen wie: Sat Apr 7 16:40:44 2007 -> /var/spool/exim4/scan/1HaC5p-0000W9-1f/1HaC5p-0000W9 -1f.eml: HTML.Phishing.Pay-272 FOUND Sat Apr 7 20:41:01 2007 -> /var/spool/exim4/scan/1HaFqP-00017U-Cf/1HaFqP-00017U -Cf.eml: ClamAV-Test-File FOUND Die erste Zeile gilt einem echten Virus, die zweite einem ClamAV-Test. In /var/ log/exim4/mainlog stehen Zeilen wie:
18.3 Datensicherheit
913
2007-04-07 20:41:01 1HaFqP-00017Q-9Q H=pcwulf.beiuns [192.168.0.41] U=Debian-exim F=<[email protected]> discarded after DATA: Virus-Check: ++VIRUS++ (ClamAV-Test-File) Anders als Spam werden verviruste Mails abgewiesen oder vernichtet, nicht in ein besonderes Verzeichnis einsortiert. Die harte Reaktion ist dadurch gerechtfertigt, dass ein Virus eine Gefahr darstellt, Spam nur eine Belästigung. Die Kopfzeilen zurückgewiesener Mails sind in /var/log/exim4/rejectlog zu besichtigen. Bei Problemen mit Zugriffsrechten – weil ClamAV nicht mehr wie einst unter Root läuft – füge man den Benutzer clamav der Gruppe Debian-exim hinzu: debian:~# adduser clamav Debian-exim überprüfe, ob in clamav.conf die Option AllowSupplementaryGroups gesetzt ist und sorge dafür, dass clamav in das Verzeichnis /var/spool/exim4/ scan schreiben darf: debian:~# chmod 770 /var/spool/exim4/scan Daneben beobachte man die Logdateien sorgfältig, bis alles so läuft, wie es soll. 18.3.5 Funkverbindungen (WLAN) Funkverbindungen wie Wireless LAN (WLAN), Bluetooth oder UWB sind ein Sorgenkind der Sicherheitsverantwortlichen. Bei einer Draht- oder Glasfaserverbindung weiß man, wo man zu suchen hat, Funkwellen breiten sich in alle Richtungen aus. Ein Lauscher kann in einem Auto auf der Straße oder im Haus gegenüber hocken und mit bescheidenem technischen Aufwand den Datenverkehr mitschneiden. Die Sicherheitsvorkehrungen bestehen im Wesentlichen aus vier Maßnahmen: • •
• •
Einschränken des Zugangs zum Funknetz so weit wie möglich, Filtern von MACAdressen. Verschlüsseln des Funkverkehrs; Wired Equivalent Privacy (WEP) gilt nicht mehr als sicher, es sollte Wi-Fi Protected Access (WPA oder WPA2, meist als WPA Pre-Shared Key) sein. Mitprotokollieren der Verbindungen (Log Enable), Überwachen mittels SNMP. Trennen des Funknetzes vom drahtgebundenen Netz, Verbinden über eine Firewall.
Dazu gehört auch, dass der Zugriff – oft mittels eines Web-Browsers – auf die Konfiguration der Access Points durch ein Passwort geschützt ist, das ähnlich sorgfältig zu verwahren ist wie das von Root. Keinesfalls die Fabrikeinstellungen weiter verwenden. Bei Debian sind folgende Werkzeuge speziell zur Überwachung von WLANs zu haben: •
airsnort ein WLAN-Sniffer und -Monitor, der WEP-Passwörter zu knacken versucht, Heimathafen http://airsnort.shmoo.com/; eine Verbindung zu Snort ist nicht zu erkennen,
914
• •
18 Sicherheit
ap-utils Werkzeuge zur Verwaltung und Überwachung von Access Points mittels SNMP, kismet ebenfalls ein Sniffer und Monitor, mit einer etwas anderen Zielsetzung als AirSnort, Heimathafen http://www.kismetwireless.net, in aktiver Entwicklung.
Daneben ist ein Projekt Snort-Wireless mit http://snort-wireless.org/ im Web vertreten, das das bekannte IDS Snort auf drahtlose Netze übertragen hat. Die jüngsten News stammen allerdings von 2005. Bei Debian kein Paket.
18.4 Systemüberwachung 18.4.1 Einzelwerkzeuge In diesem Abschnitt geht es um kleine Werkzeuge, die einzelne Vorgänge oder Zustände eines Rechners oder Netzes überwachen, im Gegensatz zu umfassenden Lösungen. Das Werkzeug uptime aus dem Paket procps, Heimathafen http: //sourceforge.net/projects/procps/, informiert über einen Rechner; die Ausgabe: 21:00:21 up 14 days,
7:55, 1 user, load average: 0.04, 0.01, 0.00
enthält: • • • •
die aktuelle Uhrzeit, die Dauer des ununterbrochenen Betriebs (Systembetriebsdauer), die Anzahl der momentan angemeldeten (eingeloggten) Benutzer, die Last in Form der über die jüngsten 1, 5 und 15 Minuten gemittelten Anzahlen lauffähiger Jobs.
Die Lastangeben sind keine Relativwerte mit Volllast = 1. Man muss für jeden Rechner einzeln ermitteln, ab welchem Wert er spürbar zäher antwortet. Die gleiche Information liefern die Kommandos w oder top, vermehrt um Angaben zu Benutzern und Prozessen. Dagegen verfolgt der Dämon uptimed lokale uptimeRekorde. Eine lange Uptime ist wünschenswert, extrem lange Zeiten deuten jedoch darauf hin, dass der Kern seit langem nicht aktualisiert wurde. Es gab im Web ein Uptime Project, das solche Rekorde sammelte und veröffentlichte. Bei http://uptime.netcraft.com/ findet man Ähnliches samt einem Feld zur Eingabe des Namens eines Servers, über den man eine Auskunft wünscht, eine interessante Site. Das Werkzeug ruptime aus dem Paket rwho ist ein uptime ferner Maschinen über das Netz. Die Werkzeuge vmstat aus dem Paket procps, iostat aus dem Paket sysstat und dstat zeigen ebenfalls Statistiken zu Prozessor, Arbeitsspeicher, Prozessen und dergleichen an, entweder einmalig oder periodisch wiederholt. Der Heimathafen von dstat ist http://dag.wieers.com/home-made/dnstat/, der
18.4 Systemüberwachung
915
von iostat http://perso.orange.fr/sebastien.godard/. Die Definitionen der angezeigten Werte lese man in den jeweiligen Manualseiten nach. Das Werkzeug ifstat überwacht die ein- und ausgehenden Datenströme der Ethernet-Adapter und lässt sich durch zahlreiche Optionen an individuelle Wünsche anpassen. Mittels SNMP können auch ferne Rechner erfasst werden. Das Gleiche leistet bwm-ng. Beenden mit +. Der ständig auf einem Rechner im LAN laufende Dämon arpwatch verfolgt ARP-Datenpakete und führt Buch über Zuordnungen von MAC- und IP-Adressen. Bei Neuigkeiten benachrichtigt er den Verwalter durch eine Mail der Form: Subject: new station (hpwulf.beiuns) eth0 hostname: hpwulf.beiuns ip address: 192.168.0.12 interface: eth0 ethernet address: 0:60:b0:f9:52:d ethernet vendor: Hewlett-Packard Co. [Hewlett-Packard] timestamp: Wednesday, February 21, 2007 11:15:12 In folgendem Beispiel erkennen wir, dass ein Apple-Rechner per Bonjour versucht, ein Ad-hoc-Netz aufzubauen oder sich in Ermangelung eines DHCP-Servers selbst eine IP-Adresse aus dem Bereich 169.254.0.0/16 zuzuweisen: Subject: new station eth0 hostname: ip address: 169.254.191.58 interface: eth0 ethernet address: 0:d:93:7e:16:1e ethernet vendor: Apple Computer timestamp: Sunday, February 25, 2007 12:50:58 am Nameserver vorbei und daher nicht zu einem Rechnernamen aufgelöst. Auf diesem Weg lässt sich in kleinen Netzen die unberechtigte Nutzung von Adressen feststellen. In großen müsste man die Auswertung automatisieren. # Shellscript syswatch zur Ueberwachung von Servern # Zeitspanne anpassen an logrotate-System (1 Tag) # neues Logfile wird ca. 6.30 angelegt EXIMLOG=/var/log/exim4/mainlog.1 PANICLOG=/var/log/exim4/paniclog SYSLOG=/var/log/syslog.0 AUTHLOG=/var/log/auth.log FST="fstype ext3" ECHO="echo -e" DATE="/bin/date" UNAME="/bin/uname -a" GREP="/bin/grep" IGREP="/bin/grep -v"
916
18 Sicherheit
FIND="/usr/bin/find" CAT="/bin/cat" PS="/bin/ps -e" SORT="/usr/bin/sort -bnr +2 -3" SED="/bin/sed" AWK="/usr/bin/mawk" DF="/bin/df" WC="/usr/bin/wc -l" PWCK="/usr/sbin/pwck -r" GRPCK="/usr/sbin/grpck -r" LLOG="/usr/bin/lastlog" BLOG="/usr/bin/lastb" YPWH="/usr/bin/ypwhich" TAIL="/usr/bin/tail -3" HEAD="/usr/bin/head -3" IFCON="/sbin/ifconfig" IFCON0="/sbin/ifconfig eth0" IFCON1="/sbin/ifconfig eth1" ROUTE="/sbin/route" LOGGER="/usr/bin/logger" # Umgebungsvariable voruebergehend geaendert, weil # Logfiles englische Monatsnamen etc. verwenden: LC TIME=C; export LC TIME # voruebergehende Umgebungsvariable: GESTERN=‘$DATE -d yesterday +"%b %d"‘; export GESTERN # Anzahl der legalen suid/gid-Files (anzupassen) SUID=65 # Liste der Daemonen (anzupassen, nur netz-relevante D.) LISTE="cron ntpd dnsmasq queued cupsd xfs exim4 ...." # Liste der von find auf suid/sgid zu durchsuchenden # Verzeichnisse FINDLISTE="/bin /etc /sbin /usr" $ECHO "\nsyswatch on ‘hostname‘ ‘date‘" $UNAME # Email (exim4, fetchmail, spamassassin, clamav) $ECHO "\nEmail:" $ECHO "Exim4 PANIC (0): \c" $CAT $PANICLOG | $WC $ECHO "Exim4 Completed: \c" $GREP " Completed" $EXIMLOG | $WC $ECHO "Exim4 rejected: \c" $GREP " rejected" $EXIMLOG | $WC $ECHO "Exim4 bypassed: \c" $GREP "*bypassed" $EXIMLOG | $WC
18.4 Systemüberwachung
917
$ECHO "Exim4 discarded: \c" $GREP " discarded" $EXIMLOG | $WC # FTP # Daemonen $ECHO "\nDaemonen:" for DAEMON in $LISTE do X=‘$PS | $GREP $DAEMON | $GREP -v grep‘ if test -n "$X" then $ECHO "$DAEMON ok" else $ECHO "$DAEMON NICHT OK" fi done # Zombies $ECHO "\nZombies (0):" $PS | $GREP zombie | $GREP -v grep # CPU-Zeit, die hungrigsten Prozesse $ECHO "\nCPU-Zeit: " $PS | $SED ’s/://g’ | $SORT | $HEAD # Dateisysteme $ECHO "\nDateisysteme (max. 90%):" $DF | $AWK ’{printf("%-16s %4s\n", $6, $5)}’ # SUID-Dateien etc., nur einmal woechentlich pruefen # kratzt ziemlich auf der Platte herum if test ‘$DATE +%a‘ = "Mon" then $ECHO "\nSUID/SGID-Dateien ($SUID): \c" $FIND $FINDLISTE \( -perm -4000 -o -perm -2000 \) -type f -print | $WC fi # Benutzercheck (passwd, group) $ECHO "\nBenutzercheck:" $PWCK $GRPCK $ECHO
918
18 Sicherheit
$LLOG | $IGREP "**N" $ECHO $BLOG | $TAIL # Login-Versuche (auth.log) $ECHO $ECHO $GREP $ECHO $GREP $ECHO $GREP
"\nVerdaechtige Zugriffe:" "Illegal: \c" "$GESTERN" $AUTHLOG | $GREP legal | $WC "BREAKIN: \c" "$GESTERN" $AUTHLOG | $GREP BREAK | $WC "Scanned: \c" "$GESTERN" $AUTHLOG | $GREP canned | $WC
# Backupcheck (ADSM/Tivoli) # # # #
$ECHO "\nBackup (ADSM/Tivoli):" $CAT $ADSMLOG | $GREP completed | $TAIL $ECHO $CAT $ADSMERRLOG | $TAIL
# NIS-Check $ECHO "\nNIS-Server: \c" $YPWH # Ethernet $ECHO "\nEthernet:" $IFCON0 | $HEAD $ECHO # $IFCON1 | $HEAD # $ECHO $ROUTE $LOGGER /root/syswatch beendet. $ECHO "\nsyswatch beendet ‘date‘\n" Quelle 18.1 : Shellskipt syswatch.sh zum periodischen Abfragen eines Servers
In vielen Fällen wird man die Einzelwerkzeuge nach eigenem Bedarf zu einem Shellskript zusammenfassen und dieses als Cronjob aufrufen. Das Shellskript 18.1 ist gekürzt und soll zu eigenen Erweiterungen anregen. Es wird auf zentralen Servern jeden Morgen aufgerufen und schickt an ausgewählte Benutzer eine Mail mit den Ergebnissen. Auf diese Weise erkennen die Verantwortlichen, ob bei Arbeitsbeginn alles im grünen Bereich liegt. Anlass für das Skript war vor vielen Jahren der Missbrauch eines Servers als Mail-Relais, der das Mailaufkommen verdreifacht hatte, was auffiel. Auf die Web-Anwendung phpsysinfo mit ähnlichen Informationen sind wir in Abschnitt 16.16 Verwalten über das Netz auf Seite 873 eingegangen.
18.4 Systemüberwachung
919
18.4.2 Dateiintegrität Es gibt Werkzeuge, die überwachen, ob sich eine Datei geändert hat. Sie eignen sich für Server, die lange Zeit ohne Änderungen betrieben werden, weniger für die Homes der Benutzer oder für experimentelle Rechner. Der File Alteration Monitor (FAM) aus dem Paket fam, Heimathafen http://oss.sgi.com/projects/fam/, läuft als Dämon famd, der den Status von Dateien oder Verzeichnissen abfragt (pollt) oder Änderungen vom Kern erfährt. Seine Informationen stellt er anderen Anwendungen über eine Schnittstelle (API) zur Verfügung. Der Dämon arbeitet unter dem inetd oder selbständig. Zum Schreiben von Anwendungen, die auf FAM zugreifen, steht eine C-Funktionsbibliothek bereit. Die Programmiersprache PHP (http://de.php.net/) brachte bis zur Version 5.0 ebenfalls FAMFunktionen wie fam_open mit. Diese sind in die PHP Extension Code Library (PECL) ausgelagert worden, http://pecl.php.net/. Das Paket python-fam enthält Python-Funktionen, die auf FAM zugreifen. Fertige Clients für FAM sind fileschanged und die lokale Suchmaschine doodle. Eine Alternative zu FAM ist Gamin, http://www.gnome.org/~veillard/gamin/. Während sich FAM oder Gamin um Änderungen kümmern, um Anwendungen davon zu unterrichten, überprüfen Werkzeuge wie integrit (http:// integrit.sourceforge.net/) oder bsign (ftp://ftp.buici.com/ pub/bsign/) wichtige Systemdateien auf unbefugte Änderungen nach einem vermuteten Einbruch, damit nicht der Verwalter mit verfälschten Werkzeugen auf die Suche geht. integrit legt dazu eine kleine Datenbank an, die an einem sicheren Ort aufzubewahren ist. bsign versieht die Dateien mit Hashwerten (SHA1), die digital signiert werden (Gnu Privacy Guard), kommt also ohne zusätzliche Dateien aus, ist jedoch auf ausführbare Dateien vom ELF-Typ (Programme, Biliotheken, Kernmodule) begrenzt. Open Source Tripwire (tripwire = Stolperdraht) aus dem Paket tripwire ist das umfangreichste der hier vorgestellten Werkzeuge, Heimathafen http:// tripwire.sf.net/. Das Werkzeug legt eine Datenbank mit Hashwerten der Dateien und Verzeichnisse des zu überwachenden Dateisystems an und vergleicht bei einem erneuten Durchlauf die neuen Werte mit den an sicherer Stelle abgelegten. Tripwire wird außer beim Initialisieren als Cronjob aufgerufen. Die Ausgabe von Tripwire geht üblicherweise per Email an den Verwalter; man kann sie aber auch auf einem Systemdrucker (/dev/lp) auf Papier festhalten, wo sie vor dem Zugriff von Crackern sicher ist. Die feinkörnige und daher Zeit kostende Konfiguration liegt im Verzeichnis /etc/tripwire. Tripwire kommt nahe an ein Intrusion Detection System wie AIDE, Prelude oder Samhain heran, siehe Abschnitt 18.4.4 Intrusion Detection/Prevention auf Seite 922. 18.4.3 Portscanner Portscanner klopfen einen Rechner im Netz auf unverschlossene Fenster und Türen ab. Das sollte ein Verwalter innerhalb seines Verantwortungsbereiches von Zeit
920
18 Sicherheit
zu Zeit tun. Da auch böse Buben mit solchen Werkzeugen ihre Streifzüge beginnen, wird das Scannen fremder Rechner als unfreundlicher Akt angesehen und ist zu vermeiden. Es gibt Werkzeuge, die einen Portscan entdecken und Alarm schlagen, beispielsweise PortSentry oder PADS.
Abb. 18.3: Screenshot des Portscanners nmap mit grafischem Frontend. Oben ist der Zielrechner einzugeben, in der unteren Hälfte erscheint das Ergebnis, ganz unten kann man das verwendete Kommando nachlesen.
Ein vielseitiger Portscanner ist in den Debian-Paketen nmap und nmapfe (aka xnmap, grafisches Frontend) enthalten, Heimathafen http://www.insecure. org/nmap/. Das Frontend erspart das Eintippen zahlreicher Optionen in der Kommandozeile und ist übersichtlich aufgebaut. Nur die Ausgabe erscheint in einer mühsam zu lesenden Schrift; da müsste man sich X11 und das Locale ansehen. Nach Einrichten der beiden Pakete kann man – als gewöhnlicher Benutzer eingeschränkt – sofort einen Portscan des lokalen Rechners starten, siehe Abbildung 18.3. Es gibt nichts zu konfigurieren. Über Menüs lassen sich die Optionen erreichen, insbesondere der Scan Type, der dem Verwalter eine große Auswahl bietet. Das Passive Asset Detection System (PADS) aus dem Paket pads, Heimathafen http://passive.sourceforge.net/, arbeitet im Gegensatz zu einem Portscanner rein passiv. Es verschickt keine Pakete, sondern lauscht an einem Netzinterface, das im Promiscous Mode arbeitet, also alle vorbeikommenden Datenpakete annimmt. Mit Asset (Besitz) ist das lokale Netz gemeint. Die Konfiguration liegt in
18.4 Systemüberwachung
921
der gut kommentierten Datei /etc/pads/pads.conf. Das Protokoll wird in eine Textdatei geschrieben – vorgegeben /var/lib/pads/assets.csv – deren Auswertung außerhalb von PADS vorzunehmen ist. Eine Originalzeile daraus: 88.198.48.3,80,6,www,Apache 2.0.54 (Debian GNU/Linux), 1175596246 die von dem im Paket mitgelieferten Werkzeug pads-report in folgende Information umgewandelt wird: pads-report - PADS Text Reporting Module 1.2 - 06/17/05 Matt Shelton <[email protected]> 1 ----------------------------------------------IP: 88.198.48.3 DNS: einstein.djpig.de Port 80
Service www
Application Apache 2.0.54 (Debian GNU/Linux)
Die nach IP-Adresse und Portnummer (80) angegebene Zahl (6) bezeichnet das Transportprotokoll gemäß /etc/protocols, hier TCP. Die rohen Zeilen lassen sich auch mit gängigen Linux/UNIX-Werkzeugen wie awk auswerten. Nun zu den Portscan-Wächtern. Der Dämon scanlogd läuft nach seiner Einrichtung ständig und schreibt eine Zeile in /var/log/syslog, wenn eine Quelle innerhalb kurzer Zeit mehrere Pakete an verschiedene TCP-Ports des Rechners schickt. Er benötigt einen eigenen Benutzer namens scanlogd samt Gruppe, ein Home-Verzeichnis /usr/lib/scanlogd, keine Konfigurationsdatei. Sein Heimathafen ist http://www.openwall.com/, wo weitere sicherheitsrelevante Software herumliegt. Der Dämon verhindert keine Portscans, er protokolliert sie nur und kann sich auch irren, worauf im Manual ausdrücklich hingewiesen wird. Ein von einem gewöhnlichen Benutzer gestarteter Portscan mittels nmap erzeugte erwartungsgemäß einen Eintrag mit einigen Informationen im Syslog. Das muss sich der Verwalter ansehen, sonst kann er auf den Dämon verzichten. Ein gleichartiges Werkzeug ist scandetd. Es bringt keine Manualseite mit – in /usr/doc/scandetd steht ein bisschen – wird in /etc/scandetd.conf konfiguriert, definiert einen Portscan geringfügig anders und schickt zusätzlich zu einem kurzen Eintrag im Syslog eine Mail an root@localhost. Es lässt sich dazu bewegen, alle ankommenden TCP- und UDP-Verbindungen zu protokollieren. In der vorgegebenen Konfiguration sprach es nicht auf Verbindungen von localhost an, weswegen ein Portscan mittels nmap auf demselben Rechner nicht beanstandet wurde. Erst nach Auskommentieren der betreffenden Zeile in der Konfigurationsdatei wurden auch Portscans vom eigenen Rechner aus beanstandet. Im Vergleich zu scanlogd erscheint scandetd vielseitiger, aber auch etwas schwieriger zu benutzen, wegen der erforderlichen Konfiguration. Ein dritter Portscan-Wächter ist portsentry. Der ursprüngliche Hersteller Psionic ist 2002 von Cisco übernommen worden; der gegenwärtige Heimathafen
922
18 Sicherheit
ist http://sourceforge.net/projects/sentrytools/. Seine Konfiguration ist auf /etc/default/portsentry und /etc/portsentry verteilt. Die Konfigurationsdateien sind gut kommentiert und ermöglichen eine genaue Anpassung an die Bedürfnisse mit dem Risiko, sich zu verkonfigurieren. Die vorgegebenen Einstellungen sind aber für den Anfang brauchbar. Er bringt eine kurze Manualseite mit und kann im Gegensatz zu den beiden vorherigen Werkzeugen Verbindungen von einer belästigenden IP-Adresse blocken. Da Portscans häufig von dynamisch vergebenen IP-Adressen kommen, sollte man das Blockieren zeitlich begrenzen – eine Stunde reicht – sonst hat man bald Unmengen an blockierten Adressen gespeichert. Man sollte auch anfangs die blockierten Adressen überprüfen, da Irrtümer (false positives) nicht auszuschließen sind. portsentry ist das Werkzeug der Wahl, wenn man von Portscans wirklich belästigt wird und deren Abwehr teilautomatisieren will. Mit der Verbreitung von Firewalls haben die Portscan-Wächter an Bedeutung eingebüßt, aber Portscans können auch aus dem lokalen Netz kommen und Firewalls Löcher haben. 18.4.4 Intrusion Detection/Prevention, Netzmonitore Einbruchsmelder oder Intrusion Detection Systeme (IDS) verhindern zwar keinen Einbruch – das ist Aufgabe einer Firewall – aber sie sorgen dafür, dass ein Einbrecher sich nicht unbemerkt seines Erfolges freuen kann. Außerdem machen sie auf Systemprobleme beliebiger Ursachen (Abweichungen von einem Normalzustand) aufmerksam. Bei Debian stehen ausgefuchste IDS von AIDE bis Snort zur Verfügung, von denen einige ganze Netze beobachten, dazu Werkzeuge zum Testen der Einbruchsmelder. Auf Servern ist ein IDS kein übertriebener Aufwand. In größeren lokalen Netzen stellt man einen weitgehend unzugänglichen Server nur zum Beobachten und Alarmieren ab. Die Software Samhain – benannt nach einem keltisches Fest, ähnlich Halloween – überwacht sowohl die Integrität von Dateien wie auch Einbruchsversuche, bevorzugt von einem zentralen Rechner im LAN aus. Eine Web-Oberfläche bringt Beltane mit, nicht bei Debian vertreten. Beider Heimathafen ist http://la-samhna. de/, wo auch ein Vergleich von sieben quelloffenen Integritätsprüfern veröffentlicht ist, der verständlicherweise zu Gunsten von Samhain ausfällt. Samhain läuft unter POSIX-konformen Betriebssystemen und unterstützt verschiedene Protokollmöglichkeiten von einer einfachen Datei bis zu einer Datenbank. Für ein kleines LAN vermutlich ein zu schwerer Hammer. Das Advanced Intrusion Detection Environment (AIDE) aus dem Paket aide, Heimathafen http://sourceforge.net/projects/aide, sieht sich als Alternative zu Tripwire, einem host-basierten IDS. Snort ist ein verbreiteter Packet Sniffer, der als einfaches IDS und mittlerweile sogar als Intrusion Prevention System eingesetzt werden kann, Heimathafen http://www.snort.org/. Der Name bedeutet ungefähr Rüssel, auch schnauben oder schnüffeln; das Maskottchen der Software ist entsprechend ein Ferkel mit einem kräftigen Rüssel. Nach entsprechender Konfiguration beherrscht Snort eine Vielzahl von Aufgaben. Mit dem Paket
18.4 Systemüberwachung
923
snort-doc kommt eine umfangreiche Dokumentation, die man durchblättern sollte, ehe man Snort einrichtet. Ein weiteres, bei Debian mit Paketen vertretenes IDS ist Prelude, Heimathafen http://www.prelude-ids.com/. Es wird als hybrid bezeichnet, weil es sowohl hostbasiert (HIDS) wie netzbasiert (NIDS) arbeitet, und scheint leistungs- und anpassungsfähig zu sein. Ein Netzmonitor überwacht ein lokales Netz und entdeckt dabei auch Einbruchsversuche, aber seine Aufgabe ist weiter gefasst. Er meldet Engpässe, Ausfälle, Überlastungen, Schwachstellen, misst Datenströme und informiert den Netzverwalter bei Auffälligkeiten. Den Anfang macht ein selbstgeschriebenes Shellskript mit ping, aber es gibt leistungsfähige fertige Lösungen. Das einst populäre Security Administration Tool for Analyzing Networks (SATAN) ist heute weitgehend abgelöst durch Nessus, den Security Auditor’s Research Assistant (SARA, Freeware, http://www.arc.com/) oder das Security Administrator’s Integrated Network Tool (SAINT, kommerziell).
Abb. 18.4: Screenshot der Ausgabe von Nessus nach einem Portscan. Links oben das untersuchte Subnetz, darunter der untersuchte Host, in der Mitte die offenen Ports, momentan hervorgehoben Port 23, rechts ein Hinweis auf eine etwaige Bemerkung (security note), rechts unten die Bemerkung.
Nessus ist ein Security/Vulnerability Scanner oder Network Security Auditor, aufgeteilt in einen Server und einen Client mit GUI und daher netzfähig. Die Software ist auf http://www.nessus.org/ zu Hause. Beim Einrichten des Dämons aus dem Paket nessusd werden ein paar einfache Fragen gestellt. Die Konfiguration ist auf die Verzeichnisse /etc/default und /etc/nessus verteilt. Weitere Daten
924
18 Sicherheit
liegen in /var/lib/nessus. Der Dämon erledigt die eigentliche Arbeit. Mittels nessus-adduser sind die Benutzer anzulegen, die Nessus benutzen dürfen. Auf einem beliebigen Arbeitsplatz im Netz ist dann der Client aus dem Paket nessus einzurichten. In den Startbildschirm des Clients gibt man Server, Port, Benutzername und Passwort ein, meldet sich beim Server an und wird über weitere Bildschirme zu verschiedenen Einstellungen und Aufgaben geführt. Abbildung 18.4 zeigt das Ergebnis eines Portscans eines einzelnen Rechners im LAN, der sich über mehrere Minuten hinzog. Offensichtlich wurde ein Telnet-Dämon auf Port 23 entdeckt, ein Sicherheitsrisiko. Was Nessus nicht entdecken konnte, ist, dass es sich um den sicheren telnetd-ssl handelt, wie aus der Datei /etc/inetd.conf auf dem gescannten Rechner hervorgeht. Nagios ist der Nachfolger von Netsaint. Das Werkzeug überwacht Rechner, Dienste und Netze, ein Frühwarnsystem für vielerlei Probleme. Die Website http: //www.nagios.org/ zählt eine Menge von Einsatzmöglcihkeiten auf, die durch Plugins erweitert werden kann. Wegen seiner Vielseitigkeit ist Nagios nicht das erste Werkzeug auf der Laufbahn eines Netzverwalters. Das Werkzeug Hogwash – bei Debian mit dem Paket hlbr in testing vertreten – fällt aus dem bisherigen Rahmen. Es arbeitet in der ISO-Schicht 2 als EthernetBridge: der Hogwash-Rechner braucht also keine IP-Adresse und ist damit auf den höheren Netzschichten unsichtbar. Die Bridge filtert Ethernet-Pakete nach bestimmten Regeln und erkennt so einen Einbruch (Intrusion Detection System). Sie kann auch verdächtige Verbindungen abbrechen (Intrusion Prevention System) und schließlich verdächgtige Pakete zu einem Honeypot umleiten. Die Regeln erfassen Signaturen bösartiger Datenpakete ähnlich wie ein Virenscanner. Der Heimathafen des Projektes Hogwash Light Brazil ist http://hlbr.sourceforge.net/, das Original ist auf http://hogwash.sourceforge.net/oldindex. html zu finden, hat jedoch augenscheinlich Probleme. Ein anderes Intrusion Prevention System ist Snort Inline, eine Erweiterung des IDS Snort, zu finden auf http://www.snort-inline.com/. Die Erweiterung verbindet Snort mit Netfilter und ist ab Version 2.3 (sarge) in Snort integriert. 18.4.5 Datenrettung und Computerforensik The Coroner’s Toolkit (TCT) – der Werkzeugkoffer des Leichenbeschauers – enthält Instrumente, um einen verseuchten oder dahingeschiedenen Rechner zu untersuchen. Die Ziele sind: • • •
Wiederbeleben des Rechners oder wenigstens Retten der Daten1 , Gewinnen von Erkenntnissen zwecks Verbesserung der Schutzmaßnahmen, Sicherstellen gerichtsverwertbarer Daten von Rechnern, die entweder Opfer oder Werkzeug einer Straftat waren (E: Digital/Computer/Network Forensics).
Je nach Ansprüchen erfordert die Untersuchung Zeit und Erfahrung. Wer sich erst in einer akuten Notlage mit den Werkzeugen beschäftigt und dann noch hofft, dass 1
Eng verwandt ist die Frage, wie man Daten so sicher löscht, dass sie kein Werkzeug wieder herstellen kann, siehe wipe oder shred.
18.4 Systemüberwachung
925
nach wenigen Stunden die Welt wieder in Ordnung ist, wird sich wundern. Der Heimathafen des Toolkits ist http://www.porcupine.org/forensics/tct. html; auf der Site liegen weitere einschlägige Webseiten. Die Sofortmaßnahme bei einem Verdacht besteht immer darin, die drahtgebundenen und drahtlosen Verbindungen des betroffenen Rechners zum lokalen Netz zu kappen, den Rechner aber nicht auszuschalten. Das weitere Vorgehen ist Aufgabe der Fachleute. Im DebianPaket tct finden sich folgende Programme: • • • • • • • •
grave-robber ein übergeordnetes Werkzeug, dass vielerlei Informationen sammelt, ils listet Inodes auf, als Vorgabe die Inodes gelöschter Dateien, ils2mac wandelt ils-Daten in mactime-Daten um, inode-cat schreibt durch ihre Inode-Nummer bezeichnete Dateien nach stdout, lazarus versucht, Daten, deren Struktur verloren gegangen ist, wiederzubeleben, mactime wertet die Zeitstempel der Inodes aus, pcat kopiert den zu einem Prozess gehörenden Arbeitsspeicher nach stdout, unrm kopiert Datenblöcke, um deren Daten zu retten; kein einfaches Umkehren eines Löschvorgangs mittels rm.
Kenntnisse über Dateisysteme sind beim Gebrauch der Werkzeuge hilfreich, siehe Abschnitt 13 Dateisysteme ab Seite 563. The Sleuth Kit (TSK) aus den Debian-Paketen sleuthkit und autopsy (GUI) ist eine ähnliche Werkzeugsammlung, zu Hause auf http://www.sleuthkit. org/. Sleuth ist ein Wort für Detektiv. Die Sammlung konzentriert sich auf die Analyse von Dateisystemen. 18.4.6 Logbücher (/var/log) An Bord eines Schiffes wird von Kapitän und Erstem Steuermann ein Logbuch (Schiffstagebuch) geführt, in dem alle wichtigen Vorkommnisse festgehalten werden. Auf Linux/UNIX-Systemen verhält es sich ähnlich mit dem Unterschied, dass es mehrere Logdateien für verschiedene Zwecke gibt und die Log-Dateien von Dämonen nachgeführt werden. Manche Ereignisse werden gleichzeitig in mehrere Dateien eingetragen. Einen Einstieg in das Logsystem bieten die Manualseiten zu syslog und syslog.conf, da viele Logdateien vom syslog-Dämon geführt werden. Die zum Teil nur von Root lesbaren Dateien – überwiegend Textdateien – sind im Verzeichnis /var/log versammelt: • •
•
apache2 ein Verzeichnis mit den Logs des Webservers Apache2, falls dieser eingerichtet ist. auth.log vom syslog-Dämon geführte Datei mit Meldungen zur Benutzerauthentifizierung durch login, su, sudo, ssh, PAM, gelegentlich wichtig, um böse Buben und Mädchen zu erwischen. boot Meldungen des bootlog-Dämons während des Systemstarts.
926
•
• • • • • • • • •
• •
•
• • • • • • • • •
18 Sicherheit
btmp Einträge missglückter login-Versuche (bad login attempt), muss eigens mittels touch angelegt werden mit den Rechten 660 root:utmp, zu lesen mit dem Werkzeug lastb. cups ein Verzeichnis mit den Logs des Common UNIX Printing Systems, interessant, weil es beim Drucken im Netz immer Probleme gibt. daemon.log vom Syslog-Dämon im Auftrag von Dämonen wie ntpd oder usbmgr geschriebene Meldungen. dmesg Kopie des Ringpuffers im Kern nach dem Booten. dpkg-log Tätigkeitsnachweis von dpkg. exim4 ein Verzeichnis mit den Logs des MTA exim4, auch interessant, weil Email oft Probleme mit sich bringt. faillog ähnlich wie btmp, zu lesen mit faillog, siehe man 5 faillog. fontconfig.log Meldungen von Defoma und anderen Font-Werkzeugen. fsck ein Verzeichnis mit Ergebnissen des jüngsten File System Checks, meist in Verbindung mit dem jüngsten Systemstart. gdm ein Verzeichnis mit den Logs des GNOME Display Managers, sofern dieser benutzt wird. Da X11 erst von einem Display Manager gestartet wird, können diese Meldungen nicht unter dem Log eines X-Servers erscheinen, sind jedoch ähnlich aufgebaut. installer ein Verzeichnis mit Protokolldateien von der jüngsten Einrichtung des Systems (Debian-Installer). kern.log Meldungen des Kernellog-Dämons, beginnt mit der Startmeldung des klogd beim Booten; Meldungen auch in syslog zu finden, aber vermischt mit vielen anderen Meldungen. ksymoops ein Verzeichnis mit besonderen Fehlermeldungen des Kerns, zu lesen mit ksymoops. Ein Oops ist im Englischen ein kleiner Fehler, ein Schnitzer, siehe die englsiche (oops!) Wikipedia. lastlog verzeichnet die jeweils jüngste Anmeldung aller Benutzer, soll nicht rotiert werden und wird mit lastlog gelesen. messages Informationen und Meldungen allgemeiner Art aus dem System, deckt sich weitgehend mit syslog, für alle Benutzer lesbar. news ein Verzeichnis mit Logdateien des inn-Servers, eines lokalen NetnewsServers, sofern eingerichtet. ntpstats ein Verzeichnis mit rohen statistischen Daten des NTP-Dämons, uninteressant. Seine gewöhnlichen Meldungen gehen nach syslog. samba ein Verzeichnis mit zahlreichen Logdateien des Samba-Dienstes, sofern eingerichtet. scrollkeeper.log Tätigkeitsbericht des ScrollKeepers, einem Mitarbeiter des Hilfesystems, siehe man scrollkeeper. syslog die übliche Datei für Systemmeldungen und Warnungen aller Art, auch vertraulichen Charakters (640 root:adm), wichtigst. user.log Meldungen von Benutzerprogrammen via syslog-Dämon. utmp liegt im Verzeichnis /var/run und nennt die augenblicklich angemeldeten Benutzer, zu lesen mit who oder w.
18.4 Systemüberwachung
• •
927
wtmp zeichnet alle Systemstarts und -stopps, Anmeldungen und Abmeldungen auf, zu lesen mit last. XFree86.0.log oder Xorg.0.log das Log des X-Servers, bei Problemen mit X11 die erste Anlaufstelle.
Wie die Einträge erzeugt und verarbeitet werden, ist eine Frage, die vor allem Programmierer betrifft. Ein Verwalter kann einen Blick auf die Manualseiten zum System Logger syslogd und zum Kernel Logger klogd werfen, um eine Vorstellung von dem Mechanismus zu gewinnen. Manche Dateien oder Verzeichnisse werden routinemäßig angelegt, aber nicht benutzt, beispielsweise weil das Drucken nicht über den lpd erfolgt, sondern über CUPS. Einige der Dateien werden immer nur überschrieben und behalten ihre Größe, anderen werden neue Einträge hinzugefügt. Diese Dateien würden wachsen, bis das Dateisystem platzt. Deshalb gibt es das logrotate-System, siehe man logrotate. Nach den Vorgaben in /etc/logrotate.conf und paketbezogen in /etc/logrotate.d werden die Log-Dateien beispielsweise wöchentlich archiviert und neue Log-Dateien begonnen. Alte Archive werden nach einer gewissen Zeit gelöscht. Die Rotation wird von cron gemäß dem Eintrag in /etc/cron-daily/logrotate veranlasst. Zur Erhöhung der Sicherheit kann man wichtige Protokolldateien – zum Beispiel auth.log und syslog – zusätzlich auf einen zweiten, gut gesicherten Rechner (Loghost) schreiben. Ein Eindringling kann dann zwar auf dem geknackten Rechner die Protokolldateien manipulieren, aber hoffentlich nicht auf dem zweiten Rechner. Als Loghost eignet sich ein einfacher Rechner, der für den Arbeitsplatz zu langsam geworden ist. Auf dem Server ist der syslog-Dämon mit der Option -r (receive) zu starten, einzutragen in der Datei /etc/init.d/sysklogd. Ferner ist bei Server und Clients in der Datei /etc/services eine Zeile: syslog
514/udp
einzutragen oder zu entkommentieren. Bei den Clients ist in /etc/syslog.conf eine Zeile wie: *.*
@loghost.beiuns
einzutragen. Im Beispiel werden alle syslog-Meldungen an den Loghost geschickt. Meldungen dürfen mehrfach verschickt werden. Einzelheiten im Manual zu syslog, syslogd und syslog.conf. Ferner sollte in /etc/hosts der Loghost eingetragen werden, um Probleme beim Ausfall des DNS-Servers zu vermeiden. Wir haben auch schon vorübergehend die Einträge in auth.log gleichzeitig auf einen Drucker geschrieben, wofür ein alter Nadeldrucker ausreichte. Die Zeilen: auth,authpriv.* auth,authpriv.*
/var/log/auth.log /dev/lp0
in der Datei /etc/syslog.conf führen dazu, dass Authentifizierungsmeldungen beispielsweise vom SSH-Dämon wie üblich in eine Protokolldatei und zusätzlich auf einen eigens dafür abgestellten Drucker /dev/lp0 gelangen. Ein Bösewicht müsste in die Protokollierungssoftware eingreifen, um sich zu verbergen; Löschen oder Überschreiben von auth.log reicht nicht.
928
18 Sicherheit
Abb. 18.5: Screenshot der Einträge des laufenden Tages in einer Protokolldatei, dargestellt durch GNOME System Log
Das Schreiben des Logbuches ist eine Sache, das Auswerten eine andere. Ein Verwalter kann unmöglich jeden Tag alle neuen Einträge lesen; das muss man automatisieren. Ein Weg dazu sind selbstgeschriebene Shellskripte nach der Art der Quelle 18.1 auf Seite 918. Es gibt aber auch fertige Werkzeuge. Für bestimmte Dienste mit hohem Logdatenaufkommen (Webserver, Mailserver, Firewalls) sind eigene Werkzeuge geschaffen worden. Allgemeine Logdateien werden entweder laufend beobachtet oder periodisch (täglich, wöchentlich, monatlich) ausgewertet und zusammengefasst: •
•
• •
gnome-system-log aus dem Paket gnome-utils zeigt die Einträge eines Tages aus auswählbaren Logdateien an, siehe Abbildung 18.5, keine Datenkonzentration, nur Auswahl, lire, Heimathafen http://www.logreport.org/, ein größerer Brocken mit zahlreichen Einstellungen, der einmalig oder periodisch die Logdateien analysiert, log-analysis ein Perl-Skript, das die Dateien syslog, wtmp und sulog untersucht, logcheck aus derselben Familie wie PortSentry, zu Hause auf http:// sourceforge.net/projects/sentrytools/, beobachtet Logdateien und benachrichtigt den Verwalter per Email von Auffälligkeiten,
18.4 Systemüberwachung
•
•
•
•
• •
•
929
logtool, http://xjack.org/logtool/, geht Logdateien in der Art von syslog durch und erzeugt daraus Berichte in einer Reihe von Formaten (ASCII, CSV, HTML) zum Lesen, Drucken oder Weiterverarbeiten mittels einer Tabellenkalkulation, logwatch, http://www.logwatch.org/, geht die Logdateien durch und erstellt Berichte, konfigurierbar in /etc/logwatch oder durch Optionen in der Kommandozeile, leicht in Shellskripte einzubauen, multitail, http://www.vanheusden.com/multitail/, zeigt in mehreren curses-Fenstern gleichzeitig die jüngsten Einträge aus verschiedenen Dateien an, auch als vielseitiger Ersatz fur tail verwendbar, remstats, http://remstats.sourceforge.net/, ein auf mehrere Debian-Pakete verteiltes Remote Statistics System, das mehr kann als nur die Logdateien auszuwerten, syslog-summary fasst gleichartige Einträge in einer Logdatei zusammen, geschrieben in Python, xlogmaster, http://www.gnu.org/software/xlogmaster/, liest alles, was mittels cat gelesen werden kann, versteht reguläre Ausdrücke und kann beim Eintreffen bestimmter Ereignisse Aktionen auslösen, vielseitig, xwatch, braucht X11 und GTK+, verfolgt Logdateien.
Das Spektrum der Fähigkeiten ist breit. Trotzdem wird ein Verwalter oft auf eigene Skripte zurückgreifen. 18.4.7 Honeypotting und Teergrubing Ein Honeypot oder Honigtopf (F: pot de miel) ist ein Rechner im Netz, der Angriffsversuche auf sich zieht, protokolliert und so den Verwalter bei der Abwehr unterstützt. Zu diesem Zweck bietet er gängige Dienste an, verhält sich ansonsten unauffällig und ist rechtmäßigen Benutzern des Netzes unbekannt. Ein Angreifer, der das Netz auf Schwachstellen abklappert, kommt auch beim Honeypot vorbei und wird protokolliert. Schon die Tatsache, dass der Honeypot angesprochen wurde, ist ein Verdachtsmoment, da rechtmäßige Benutzer gar keinen Grund haben, sich an den Honeypot zu wenden. In einem LAN bemerkt der Honeypot auch Angriffsversuche von innen. Ein zu diesem Zweck eingesetzter Rechner darf keine anderen Aufgaben haben und ist (fast) genauso zu schützen wie alle anderen Rechner im Netz. Das Konzept lässt sich ausbauen bis hin zu Honeypots, die einem Angreifer einen echten Dienst – jedoch mit wertlosen Daten – anbieten und versuchen, möglichst viel über ihn herauszubekommen. Ein Honeypot muss beobachtet werden, sonst nützt er nichts. Das Konzept lässt sich auf Honeynetze erweitern. Bei Debian stehen zwei Pakete mit Honeypots bereit: •
honeyd mit honeyd-common, Heimathafen http://www.honeyd.org/, ein kleiner Dämon, der in einem Netz einen virtuellen Host erzeugt. Der Host kann als Honeypot eingerichtet, aber auch allgemein für Simulationen verwendet werden. Beipielsweise können Sie mit honeyd Ihr kleines LAN kostengünstig um Tausende von virtuellen Knoten erweitern.
930
•
18 Sicherheit
tinyhoneypot, Heimathafen http://www.alpinista.org/thp/, mit der Möglichkeit, in Zusammenarbeit mit Netfilter auch auf einem Arbeitsplatz zu laufen, was uns nicht als optimal erscheint.
Ein vielseitiger und leistungsfähiger, nicht bei Debian vertretener Honeypot ist die Sebek Suite mit Heimathafen http://www.honeynet.org/, wo weitere interessante Werkzeuge liegen. Der Aufwand lohnt sich in kleinen Netzen nicht, aber als Verwalter kann man sich einmal ansehen, was machbar wäre. Unter dem Namen BackTrack ist eine Linux Live Distribution entstanden, welche die Werkzeuge aus der Auditor Security Collection und aus Whax vereint. Sie steht auf http: //www.remote-exploit.org/ als ISO-Abbild zum Herunterladen bereit. Eine kurze Information bietet die englische Wikipedia unter dem Suchbegriff Backtrack LiveCD. Wenn ein Server auf unerwünschte Anfragen absichtlich zäh antwortet, bezeichnet man ihn als Teergrube (E: tarpit, F: fosse de goudron) und sein Verhalten als Teergrubing, auch in der angloamerikanischen Welt. Ein Webserver kann auf Besuche von Harvestern – das sind Automaten, die Webseiten auf Email-Anschriften durchsuchen – seine Antwortzeiten verlängern, unsinnige Pakete verschicken, Wiederholungen verlangen usw. Ein Mailserver kann dasselbe Verhalten beim Eintreffen von Spam entwickeln. Würmer, die von schneller Vermehrung leben, werden gebremst. Der Zweck ist, den Belästiger mit Unsinn zu beschäftigen und daran zu hindern, in vernünftiger Zeit seine Aufgabe zu vollenden. Man muss sich genau überlegen, gegen wen man Teergrubing einsetzt. Dem Internet-Versorger gegenüber wäre Teergrubing fehl am Platze und würde ihn nur verärgern. Bei Debian bringt das Paket labrea das bekannte Honeypot- und Teergrubing-Werkzeug LaBrea mit, benannt nach dem Ort La Brea auf der Karibikinsel Trinidad, wo ein natürlicher Asphaltsee zu Tage tritt, oder nach den La Brea Tar Pits in Los Angeles/USA. Heimathafen der Software ist http://labrea.sourceforge.net/. Das Debian-Paket sugarplum enthält Software, die ähnlich wie Teergrubing arbeitet; sie vegiftet die Antworten an Harvester.
18.5 Gefängnisse (chroot) Root ist auf einem System allmächtig. Der Gedanke, dass sich ein Eindringling RootRechte verschaffen könnte – insbesondere auf öffentlich zugänglichen Servern – ist beunruhigend. Die erste Maßnahme besteht darin, auf solchen Maschinen nichts anderes als den jeweiligen Dienst laufen zu lassen und die Verbindung ins lokale Netz sorgfältig zu überwachen. Die Server werden auch als Exposed Hosts bezeichnet. Sie sind zwar Mitglieder des lokalen Netzes, aber im Gegensatz zu den anderen Mitgliedern von außen zu erkennen, siehe Abschnitt 16.4.3 Firewall auf Seite 759. Einzelheiten dazu sind unter dem Begriff Demilitarized Zone (DMZ) zu suchen, unter anderem in der Wikipedia. Eine Software-Maßnahme besteht darin, anfällige Dienste in einem MiniDateisystem (Subsystem) unterzubringen, das mittels chroot innerhalb des nor-
18.5 Gefängnisse (chroot)
931
malen Systems eingerichtet wird. Böse Buben oder Mädchen legen dann möglicherweise das Mini-System lahm, nicht aber den ganzen Rechner. Den eingegrenzten Bereich nennt man Gefängnis (E: jail, prison, F: prison). Das Gefängnis muss alle Verzeichnisse und Dateien als Kopien (nicht als Links) enthalten, die das auszuführende Programm – meist ein Dämon – zum Leben braucht. Das bedeutet unter Umständen, dass einige Programme statisch zu linken sind oder die benötigten Bibliotheken mitzukopieren. Kein Insasse darf unter der UID 0 (Root) laufen, sonst besteht die Gefahr eines Ausbruchs. Um einen Server rundum abzusichern, sind weitere Maßnahmen erforderlich, chroot ist nur eine unter vielen. Eine typische Anwendung ist ein FTP-Server. Eingetragene Benutzer, deren Name und Passwort übertragen werden, sollen verschlüsselte Alternativen wie sftp oder scp wählen. Anonyme Benutzer hingegen dürfen unverschlüsselt arbeiten, sollen aber auf jeden Fall in das öffentliche Verzeichnis eingesperrt werden und nicht auf dem ganzen System spazieren gehen dürfen. Auf dem Server laufe /usr/sbin/pure-ftpd als Dämon, entweder als Knecht des inetd oder solo. Wir kennen ihn bereits aus Abschnitt 16.10 Fernkopieren auf Seite 793. Der Dämon sperrt mit der Option -A jeden Besucher in ein chroot-Subsystem ein, einzutragen als Option in den Aufruf, beispielsweise in /etc/inetd.conf. Eingetragene Benutzer landen in ihrem Home-Verzeichnis und können daraus nicht entweichen. Anonyme Benutzer mit dem Namen ftp oder anonymous sind in das HomeVerzeichnis des Benutzers ftp eingesperrt, oft ein Unterverzeichnis im Webspace, beispielsweise /var/www/public. Beide Personenkreise sehen als Namen ihres Home-Verzeichnisses nur einen Schrägstrich, nämlich das mittels chroot erzeugte, vergitterte Wurzelverzeichnis. Ältere FTP-Server benötigen einige Dateien oder Kommandos wie /bin/ls, die deshalb in die chroot-Umgebungen kopiert werden müssen. Der pure-ftpd braucht nichts dergleichen. Seine Manualseite erklärt das Aufsetzen des FTPDienstes ausführlich. In ähnlicher Weise – meist mit etwas mehr Handarbeit – lassen sich auch andere Dienste (Web, Email) hinter Gitter bringen. Die Manualseite von chroot gibt nicht viel her; bei http://www.linuxfocus. org/Deutsch/January2002/article225.shtml finden sich Anregungen, ebenso bei FreeBSD unter dem Stichwort Jail. Bei TLDP liegt ein ChrootBIND-HOWTO (2001) von S COTT W UNSCH. Drei Debian-Pakete erleichtern den Einsatz von chroot zum Einsperren von Dämonen: • • •
jailer, ein Perlskript /usr/sbin/jailer mit Konfiguration in /etc/ jailer.conf und einem weiteren Werkzeug /usr/sbin/updatejail, jailtool mit einem einzigen Werkzeug /usr/sbin/update-jail, ebenfalls ein Perlskript, ohne Manualseite, makejail ein Pythonskript /usr/sbin/makejail mit Konfiguration in /etc/makejail, das eine gewisse Eigeninitiative beim Zusammensuchen der Insassen des Gefängnisses entwickelt.
Die Skripte bevölkern das Gefängnis durch Kopieren entsprechender Dateien aus dem System-Dateibaum. Ihr Gebrauch empfiehlt sich insofern, als man bei der Ein-
932
18 Sicherheit
richtung eines Gefängnisses nicht so leicht sicherheitskritische Einstellungen übersieht. Da es sich bei den Werkzeugen um Skripte handelt, lassen sie sich an eigene Vorstellungen anpassen.
18.6 Hardening 18.6.1 Debian-Paket harden Unter Hardening (Härten) oder Tightening (Dichtmachen) eines Betriebssystems versteht man ein Bündel aufeinander abgestimmter Maßnahmen, das Angriffe verschiedener Art abwehrt. Die Maßnahmen bringen für den Verwalter einen gewissen Aufwand und für die Benutzer einige Unbequemlichkeiten mit sich. Sie sind außerdem in einen organisatorischen Rahmen zu stellen – beispielsweise betreffend die Zugangskontrolle zu Serverräumen und die Aufgabenverteilung unter den Verwaltern – um nicht die durch Software geschaffene Sicherheit auf anderen Wegen umgehen zu können. Sicherheit ist ein Konzept, kein Flickenteppich aus einzelnen Maßnahmen. Das Debian-Paket harden-doc bringt das Securing Debian Manual (2007) in mehreren Sprachen und Formaten mit, das auch im Web bereit liegt. Die anderen harden-Pakete enthalten keine eigene Software, sondern arbeiten mittels Abhängigkeiten von Werkzeugen wie debsums und mittels Unverträglichkeiten mit unsicheren Clients und Servern wie telnet. Richtet man das Paket harden-servers auf einem Arbeitsplatz ein, werden beispielsweise folgende Pakete zum Entfernen vorgeschlagen: cfs (Cryptograhic Filesystem), nfs-common (Network File System), nfs-kernel-server (Network File System, Server), nis (Network Information System), pidentd (TCP/IP IDENT Protocol server) und portmap (Portmapper für RPC und andere Dienste). Da dies im Beispiel einer Stilllegung gleichgekommen wäre – einfacher durch Ziehen des Schukosteckers zu erreichen – wurde auf das Fortsetzen der Einrichtung von harden-servers verzichtet. Immerhin bekommt man Hinweise, wo Sicherheitslücken bestehen könnten. 18.6.2 Bastille Linux Bastille Linux aus dem Debian-Paket bastille mit dem Heimathafen http://www. bastille-linux.org/ geht einen anderen Weg. Nach dem Einrichten mittels APT hat sich zunächst einmal nichts verändert. Ruft man als Verwalter Bastille mit grafischer Oberfläche (X11, Tk) nur zum So-tun-als-ob auf: debian:~# bastille -x --log öffnet sich ein Fenster wie in Abbildung 18.6. Links sind die zu Modulen zusammengefassten Sicherheitsthemen zu sehen, im rechten Teil oben erscheinen Fragen, in der Mitte ein Kommentar dazu, und unten werden unsere Antworten erwartet. Leider hing die grafische Oberfläche mehrmals fest, ein Arbeiten war nicht möglich. Mit einer curses-Oberfläche (Option -c statt -x) lief die Arbeit besser.
18.6 Hardening
933
Abb. 18.6: Screenshot des Werkzeugs Bastille zum Erhöhen der Sicherheit eines DebianRechners. Die Fragen in der Zeile rechts oben kann man nur ahnen (grau in grau).
Bastille ändert eine Reihe von Konfigurationsdateien und Einstellungen, nach Rückfrage. Man hat also immer die Möglichkeit, eine Änderung abzulehnen. Schließlich lässt sich das Werkzeug mit der Option -r (revert) aufrufen, um alle Änderungen zu widerrufen. Das setzt voraus, dass man nicht in der Zwischenzeit an Bastille vorbei weitere Änderungen beispielsweise mit einem Texteditor vorgenommen hat. Die Konfiguration des Werkzeugs liegt im Verzeichnis /etc/Bastille. Das Konzept überzeugt, die grafische Oberfläche noch nicht. 18.6.3 Security-Enhanced Linux (SELinux) Das Security-Enhanced Linux (SELinux), bei Debian mit einem Dutzend Paketen vertreten, besteht aus einer Erweiterung des Kerns, ab Version 2.6 in den Kern fest integriert und nur noch zu aktivieren. Dazu kommen erweiterte Werkzeuge als Ersatz für klassische Werkzeuge wie ls. Das Projekt geht auf die National Security Agency (NSA) zurück und wird auf http://www.nsa.gov/selinux/ beschrieben. Vereinfacht gesagt beruht SELinux auf stark ausgedehnten und verfeinerten Zugriffsrechten für Benutzer beziehungsweise deren Prozesse, die in einer Policy festgelegt werden. Als Vorgabe ist alles verboten. SELinux macht Arbeit, falls es die Sicherheit wirklich verbessern soll, und ist eher für Server in großen Netzen geeignet als für Arbeitsplätze oder kleine LANs. Die Einrichtung von selinux-doc verpflichtet zu nichts und lädt einige Dokumente in mehreren Formaten auf den Rechner, die man unbedingt lesen sollte, ehe man sich an die Software wagt.
934
18 Sicherheit
Eine Alternative zu SELinux ist AppArmor, heute im Besitz von Novell, quelloffen, Informationen auf http://en.opensuse.org/Apparmor. Im Netz finden sich mehrere Vergleiche von SELinux und AppArmor, die Unterschiede gehen tief. Wenn man AppArmor einführt, braucht man nicht gleich das ganze System auf einen Schlag umzustellen, sondern kann sich zunächst auf einzelne, besonders gefährdete Anwendungen beschränken. Bei Debian nicht vertreten; auf http://wiki.debianforum.de/AppArmor liegt jedoch eine kurze Anleitung. Wir sind am Ende. Es gäbe noch viel zu sagen, aber wie beim Zusammenstellen einer Debian-Distribution muss man gelegentlich einen Schlussstrich ziehen und weitere Themen auf die nächste Ausgabe verweisen. Außerdem hoffen wir unseren Lesern gezeigt zu haben, wie man selbständig voran kommt.
Teil IV
Anhang
19 Kommandoübersicht
Die folgende Kommandoübersicht beschreibt in alphabetischer Reihenfolge Kommandos aus dem Aufgabenbereich des Verwalters. Da nicht alle Optionen erläutert werden, lohnt sich zusätzlich das Nachlesen im Manual.
addgroup Paket: adduser
Benutzergruppe anlegen Benutzerverwaltung
addgroup [- -gid GID] Gruppe Das Kommando erstellt eine neue Gruppendefinition in der Datei /etc/group. Die neue Gruppe enthält noch keine Benutzer. Die neue Gruppe wird als Systemgruppe (Gruppen-ID zwischen 101 und 999) angelegt, wenn nicht mit --gid eine andere Gruppen-ID angegeben wird. Falls die angegebene Gruppen-ID oder der gewünschte Gruppenname bereits existiert, wird eine Fehlermeldung ausgegeben. - -gid GID Die anzulegende Gruppe erhält die Gruppen-ID GID. addgroup scanner Legt eine Systemgruppe mit dem Namen scanner an. addgroup - -gid 2000 bwg Legt eine Benutzergruppe mit dem Namen bwg an. Siehe auch: adduser, groupadd, groupdel.
adduser Paket: adduser
Benutzer einrichten Benutzerverwaltung
adduser [- -home DIR] [- -uid ID] [- -ingroup GROUP | - -gid ID] [- -disabled-password] [- -gecos GECOS] [Benutzername] Legt ein gewöhnliches Benutzerkonto an. adduser - -system [- -home DIR] [- -uid ID] [- -group | - -ingroup GROUP | - -gid ID] [- -disabled-password] [- -gecos GECOS] Benutzer
938
19 Kommandoübersicht
Legt ein Systembenutzerkonto an. adduser - -group [- -gid ID] Gruppe Fügt dem System eine neue Benutzergruppe zu. adduser Benutzer Gruppe Benutzer wird Gruppe hinzugefügt. Das Kommando adduser richtet neue Benutzerkonten und Gruppendefinitionen auf dem System ein. Wenn ihm ein neuer Benutzername übergeben wird, wird ein Benutzerkonto mit dem angegebenen Namen eingerichtet. Wenn kein Benutzername angegeben wird, wird dieser erfragt. Per Vorgabe werden dabei ein Home-Verzeichnis für den neuen Benutzer im Verzeichnis /home mit dem Namen des Benutzers angelegt und die Ausgangskonfigurationsdateien aus /etc/skeleton in dieses Verzeichnis kopiert. Gleichzeitig wird eine neue Benutzergruppe angelegt, in welcher der neue Benutzer Mitglied ist und die ebenfalls den Namen des Benutzers trägt (dies kann in der Datei /etc/adduser.conf abgeschaltet werden). Per Vorgabe wird ein Passwort für den neuen Benutzer erfragt. Information über den neuen Benutzer (bürgerlicher Name etc.) können interaktiv eingegeben oder dem Programm mit dem Parameter - -gecos übergeben werden. Wird adduser mit einem bereits vorhandenen Benutzernamen als erstem Parameter und einem bereits vorhandenen Gruppennamen als zweitem Parameter aufgerufen, so fügt das Programm den Benutzer der Gruppe als sekundärer Gruppe zu. - -home DIR Der neue Benutzer erhält das Home-Verzeichnis DIR anstelle des Standardverzeichnisses. - -uid UID Der Benutzer erhält die Benutzer-ID UID, anstelle der ersten freien Benutzer-ID. - -ingroup GROUP Der Benutzer wird Mitglied der Gruppe GROUP und erhält keine eigene Gruppe. - -gid GID Wenn eine neue Gruppe angelegt wird, erhält sie die ID GID und nicht die erste freie ID. - -disabled-password Für den neuen Benutzer wird kein Passwort vergeben. Das neue Konto kann erst benutzt werden, wenn es ein Passwort erhalten hat. - -gecos GECOS Zusätzliche Benutzerinformationen (Telefonnummer etc.) werden nicht erfragt, sondern es wird der mit GECOS angegebene Benutzername übernommen. Dazu wird das Kommando chfn -f automatisch aufgerufen. - -system Es wird ein Systembenutzerkonto angelegt. Systembenutzerkonten werden benutzt, um bestimmte Aufgaben mit gesonderten Rechten und nicht mit Verwalterrechten auszuführen. Sie haben eine Benutzer-ID unter 1000. - -group Es wird eine neue Gruppe angelegt. Das Kommando hat dann die gleiche Wirkung wie addgroup. adduser gustav Dem System wird ein Benutzerkonto mit dem Namen gustav hinzugefügt. Es werden ein Passwort sowie einige optionale Daten über den neuen Benutzer erfragt. Gleichzeitig wird für ihn ein Home-Verzeichnis angelegt. adduser - -ingroup verkauf - -disabled-password - -gecos "Gustav Meier" meier
19 Kommandoübersicht
939
Dem System wird ein Benutzerkonto mit dem Namen meier hinzugefügt. Der Benutzer wird Mitglied der Gruppe verkauf, und sein wirklicher Name wird im Informationsfeld der Datei /etc/passwd vermerkt. Es erfolgt keine Passwortabfrage, und das Konto kann erst benutzt werden, wenn der Verwalter es mit passwd meier freigeschaltet hat. Der Vorteil dieser Methode ist, dass adduser so keine Benutzermitwirkung erfordert. Siehe auch: passwd, addgroup, deluser, chfn, userdel, groupdel.
alien Paket: alien
Fremde Pakete einrichten Systemverwaltung, Paketverwaltung
alien [Optionen] Paketdatei Das Programm ermöglicht, Pakete unterschiedlicher Linux-Distributionen umzuwandeln. Unterstützt werden zur Zeit das Slackware- (*.tgz), das Redhat(*.rpam), das Stampede-Format (*.slap) und das Debian-Format (*.deb). alien kann ein Paket im distributionsfremden Format auch gleich einrichten. Bei der Konvertierung vom Redhat- in das Debian-Format wird geprüft, ob sich im Verzeichnis /var/lib/alien eine Datei befindet, die bei der Konvertierung vorzunehmende Anpassungen für das Paket enthält. Wird eine solche Patch-Datei gefunden, werden die darin beschriebenen Änderungen durchgeführt. Das Originalpaket wird nicht verändert. Das Programm sollte nur als letzter Ausweg zur Einrichtung eines Paketes verwendet werden, falls kein Debian-Paket und kein Quellcode zu bekommen ist. Andere Distributionen verwenden teilweise andere Speicherplätze für Konfigurationsdateien, andere Bibliothekenbezeichnungen oder erwarten andere Verzeichnisstrukturen. Dies alles kann zu Problemen führen. -d | - -to-deb Die Ausgangsdatei wird in das Debian-Format umgewandelt. Dies ist die Voreinstellung. -r | - -to-rpm Die Ausgangsdatei wird in das Redhat-Format umgewandelt. Die Ergebnisdatei wird in dem der jeweiligen Rechnerarchitektur entsprechenden Unterverzeichnis von /usr/src/redhat/RPMS, beispielsweise /usr/ src/redhat/RPMS/i386, abgelegt. - -to-slp Die Ausgangsdatei wird in das Stampede-Format umgewandelt. -i | - -install Nach der Konvertierung wird das Paket eingerichtet. Hinterher wird die umgewandelte Fassung gelöscht. -g | - -generate Es wird eine Verzeichnisstruktur erzeugt, aus der das Paket im neuen Format erzeugt werden kann. Dies ist nützlich, wenn außer der Konvertierung noch manuelle Anpassungen vorgenommen werden müssen. Ein Debian-Paket wird in dem Verzeichnis durch folgendes Kommando erstellt: debian:~# debian/rules binary - -patch Patch Anstatt in /var/lib/alien nach einer passenden PatchDatei zu suchen, wird die mit Patch bezeichnete Datei benutzt.
940
19 Kommandoübersicht
alien -i applix_4.3-2.rpm Konvertiert das RPM-Paket applix_4.3-2.rpm in das Debian-Format, richtet das Paket ein und löscht die umgewandelte Fassung alien - -to-rpm samba_1.9.18p10-7.deb Erzeugt aus dem Debian-Paket samba_1.9.18p10-7.deb ein RPM-Paket und legt dieses im Verzeichnis /usr/src/redhat/RPMS/<arch> ab, wobei <arch> für die Rechnerarchitektur steht, für die das Paket bestimmt ist. Siehe auch: dpkg, dselect, rpm, diff, patch.
apropos Paket: man-db
In Programmkurzbeschreibungen suchen Dokumentation
apropos [Optionen] Suchbegriff Das Programm gibt die Bezeichnungen und Kurzbeschreibungen von Manualseiten aus, die in der Indexdatenbank des Manual-Systems enthalten sind. Standardmäßig werden die Kurzbeschreibungen von Manualseiten ausgegeben, in denen der mit Suchbegriff angegebene Suchbegriff vorkommt oder auf die Suchbegriff selbst zutrifft. -e | - -exact Es werden nur solche Kurzbeschreibungen ausgegeben, bei denen der Suchbegriff mit einem ganzen Wort im Namen oder der Kurzbeschreibung übereinstimmt. -r | - -regex Suchbegriff wird als regulärer Ausdruck aufgefasst. -w | - -wildcard Suchbegriff enthält Metazeichen (*,?,[]). Beim Einsatz von Metazeichen und regulären Ausdrücken sind diese durch Anführungsstriche vor der Verarbeitung durch die Shell zu schützen. apropos ls Gibt die Kurzbeschreibungen aller Programme aus, in denen das Wort ls vorkommt. apropos -w "*ls*" Gibt Kurzbeschreibungen aller Kommandos, in denen die Zeichenkette ls vorkommt, aus. Siehe auch: man, whatis, reguläre Ausdrücke.
apt-get Paket: apt
Advanced Package Tool Systemverwaltung, Paketverwaltung
apt-get [Optionen] [update | upgrade | install pkg | remove pkg | source pkg | autoclean] Das Advanced Package Tool (APT) ist eine Sammlung von KommandozeilenWerkzeugen zur Verwaltung von Debian-Paketen. Das wichtigste Werkzeug ist apt-get. Das APT wird mit der Datei /etc/apt/apt.conf konfiguriert. In der Datei /etc/apt/sources.list sind die Quellen aufgezählt, aus denen das Werkzeug die Debian-Pakete bezieht (FTP-Server, CD . . . ). Die Unterkommandos bedeuten Folgendes:
19 Kommandoübersicht
• • • • • •
941
update: Aktualisiert die lokale Liste verfügbarer Debian-Pakete. upgrade: Aktualisiert die lokal eingerichteten Debian-Pakete. install pkg: Richtet ein Debian-Paket neu auf dem System ein. remove pkg: Entfernt ein Debian-Paket aus dem System source pkg: Richtet den Quellcode eines Debian-Paketes ein. autoclean: Löscht die lokalen Archiv-Dateien von Debian-Paketen. die auf den Debian-Servern nicht mehr verfügbar (obsolet) sind.
Vorausgesetzt, dass in sources-list zuverlässige Debian-Server eingetragen sind und man eine Internet-Anbindung hat, soll man auf einem Rechner unter Debian GNU/Linux stable etwa wöchentlich die Kommandos apt-get update und anschließend apt-get upgrade ausführen, um das System auf dem Laufenden zu halten. Etwa monatlich soll man nach dem Upgrade das Kommando apt-get autoclean geben, alles möglichst im Single-User-Modus. -h | --help Ohne weiteres Argument aufgerufen gibt das Kommando eine kurze Hilfe aus. -s | --simulate Mit einem Argument aufgerufen tut das Kommando nur so als ob. apt-get install dnsutils Richtet das Debian-Paket dnsutils ein. apt-get remove dnsutils Entfernt das Debian-Paket dnsutils aus dem System. Konfigurationsdateien bleiben erhalten. apt-get update Aktualisiert die lokale Liste der verfügbaren Debain-Pakete mit Hilfe der in sources-list aufgeführten Bezugsquellen. apt-get upgrade Aktualisiert die lokal eingerichteten Debian-Pakete mit Hilfe der in sources-list aufgeführten Bezugsquellen. Siehe auch: dpkg, tasksel.
at Paket: at
Kommandos zu einem künftigen Zeitpunkt ausführen Prozessverwaltung, Systemverwaltung
at [Optionen] Uhrzeit at -c Auftragsnummer Das Programm liest Kommandos von der Standardeingabe. Die Eingabe wird mit der Tastenkombination + beendet. Zu der mit Uhrzeit angegebenen Uhrzeit werden die gelesenen Kommandos durch /bin/sh im Arbeitsverzeichnis mit der Benutzer-ID des aufrufenden Benutzers ausgeführt. Umgebungsvariablen werden, mit Ausnahme von DISPLAY, TERM und _ wiederhergestellt. Ausgaben der dann ausgeführten Kommandos werden per Mail an den aufrufenden Benutzer geschickt. Es bestehen mehrere Möglichkeiten, die Uhrzeit anzugeben, beispielsweise
942
19 Kommandoübersicht
midnight (Mitternacht), noon (12:00 Uhr mittags) und teatime (16:00). Weiter ist die Spezifikation im Format “Stunden:Minuten“ (z. B. 17:07) möglich. Wird kein Datum angegeben, so wird der Auftrag am Tag der Eingabe ausgeführt. Ist die angegebene Zeit schon vergangen, wird der Auftrag am nächsten Tag zur angegebenen Zeit ausgeführt. Ein optionales Datum wird durch Leerzeichen getrennt nach der Uhrzeit angegeben. Eine Schreibweise ist Tag.Monat.Jahr (z. B. 09.11.07 für 9. November 2007). Darüber hinaus lässt sich das Datum relativ zum aktuellen Datum ausdrücken. Hierzu kann folgende Schreibweise benutzt werden: + Anzahl Einheit, wobei Einheit days, weeks, months oder years sein kann. -q Warteschlange Es stehen die Warteschlangen a-z und A-Z zur Verfügung. Standard ist a. Aufträge in Warteschlangen mit höheren Buchstaben werden mit geringerer Priorität ausgeführt. Durch die Option wird der Auftrag in die mit Warteschlange bezeichnete Warteschlange eingereiht. -m Es wird auch dann eine Mail verschickt, wenn der Auftrag keine Ausgaben erzeugt hat. -f Datei Die auszuführenden Kommandos des Auftrags werden nicht von der Standardeingabe gelesen, sondern aus der mit Datei bezeichneten Datei. -c Auftragsnummer Es werden keine Kommandos gelesen, vielmehr wird der Inhalt des Auftrags mit der Nummer Auftragsnummer ausgegeben. Vorhandene Auftragsnummern können mit atq ermittelt werden. at teatime Nach Eingabe des Kommandos können weitere Kommandos eingegeben werden, die um 16:00 Uhr am selben Tag oder um 16:00 Uhr am nächsten Tag, falls es bereits später als 16:00 Uhr ist, ausgeführt werden. at -q d -f jobfile midnight + two weeks Um Mitternacht in zwei Wochen werden die in der Datei jobfile stehenden Kommandos ausgeführt. Der Auftrag hat eine geringere Priorität als Standardaufträge, weil er in die Warteschlange d eingereiht wird. Siehe auch: batch, atq, atrm, atrun, atd, crontab.
badblocks Paket: e2fsprogs
Massenspeicher auf physikalische Fehler prüfen Systemverwaltung, Installation
badblocks [Optionen] Gerätedatei Blockanzahl Das Programm prüft, ob sich auf Speichermedien (Festplattenpartitionen, Disketten etc.) fehlerhafte Blöcke befinden. Es stehen zwei verschiedene Testmodi zur Verfügung. Standardmäßig wird nur versucht, die angegebenen Blöcke zu lesen. Es ist aber auch möglich, in jeden Block etwas zu schreiben und dann zu testen, ob die Information gespeichert wurde. Achtung: Das Verfahren darf nicht bei Datenträgern benutzt werden, auf denen Daten gespeichert sind. Sie werden durch den Schreibtest gelöscht. Die von badblocks erzeugte Information kann von den Programmen mke2fs und e2fsck verwendet werden, um fehlerhafte Blöcke auf der Partition zu vermer-
19 Kommandoübersicht
943
ken. Sie werden dann nicht mehr benutzt. Viele Formatierungsprogramme können badblocks auch selbst aufrufen. Gerätedatei muss ein gültiges Blockgerät wie eine Festplattenpartition (/dev/hda1) darstellen. -b Blockgröße Mit Blockgröße wird die Größe eines Blocks in Byte angegeben. Standardwert ist 1024. -o Datei Die Ausgabe wird in die Datei Datei geschrieben und nicht auf die Standardausgabe. -s Es wird angezeigt, welcher Block gerade untersucht wird. -w Es wird der Schreibtest benutzt. Die Option löscht die Daten auf der Partition, stellt aber einen besseren Test zur Verfügung. badblocks /dev/sda5 257008 Untersucht die erste logische Partition auf der ersten SCSI-Festplatte nach fehlerhaften Blöcken. Die Partition hat 257008 Blöcke (fdisk -s /dev/sda5). badblocks -w -o badblocks_hda2 -s /dev/hda1 ‘fdisk -s /dev/hda1‘ Führt einen Schreibtest auf der ersten primären Partition der ersten IDE-Festplatte durch. Fehlerhafte Blöcke werden in die Datei badblocks_hda2 geschrieben. Während des Tests erscheint eine Statusanzeige. Die Anzahl der Blöcke auf dieser Partition wird der Ausgabe von fdisk -s /dev/hda1 entnommen. Siehe auch: fdisk, mke2fs, e2fsck.
basename Paket: coreutils
Dateinamen ohne Verzeichnisteil ausgeben Shellskripte
basename Dateiname [Endung] Das Kommando entfernt den Verzeichnisteil eines Dateinamens in der Ausgabe. Wenn zusätzlich eine Dateiendung übergeben wird und die angegebene Datei diese Endung hat, wird sie ebenfalls vom Dateinamen entfernt. Das Ergebnis wird auf die Standardausgabe geschrieben. basename /usr/share/common-licenses/GPL Liefert GPL als Ergebnis. basename ../grafik/bild1.jpg .jpg Liefert bild1 als Ergebnis. Siehe auch: dirname.
batch Paket: at
Kommando bei niedriger Systemlast ausführen Prozessverwaltung, Systemverwaltung
batch [Optionen] Das Programm liest Kommandos von der Standardeingabe und erzeugt daraus einen Auftrag, der ausgeführt wird, wenn die Systemlast einen bestimmten Wert unterschreitet. Der Wert kann beim Start des zugehörigen Programms atd angegeben werden und beträgt per Vorgabe 0,8. Die zur Eingabe der Kommandos gesetzten Umgebungsvariablen sowie das Arbeitsverzeichnis werden bei Ausführung des Auftrags
944
19 Kommandoübersicht
wiederhergestellt. Es stehen verschiedene Warteschlangen zur Verfügung, durch die die Priorität, mit denen die Aufträge ausgeführt werden, festgelegt werden kann. Werden die Kommandos manuell über die Standardeingabe eingegeben, wird der Vorgang durch die Tastenkombination + beendet. Ausgaben, die während der Ausführung der angegebenen Kommandos entstehen, werden dem Auftraggeber per Mail zugesandt. -f Datei Die auszuführenden Kommandos werden nicht von der Standardeingabe, sondern aus der mit Datei bezeichneten Datei gelesen. -m Es wird auch dann eine Email an den auftraggebenden Benutzer gesandt, wenn die auszuführenden Kommandos keine Ausgabe erzeugt haben. -q Warteschlange Der Auftrag wird in die mit Warteschlange bezeichnete Warteschlange eingereiht. Es stehen die Warteschlangen a-z und A-Z zur Verfügung. Aufträge in Warteschlangen mit höheren Buchstaben werden mit geringerer Priorität ausgeführt. Vorgabewert für batch ist b. batch Es erscheint die Eingabeaufforderung von batch, an der die Kommandos des Auftrages eingegeben werden können. Die Eingabe ist mit + zu beenden. Die Kommandos werden ausgeführt, sobald die Systemlast den beim Start von atd angegebenen Grenzwert oder den Vorgabewert von 0,8 unterschritten hat. batch -f jobdatei -q z Die in der Datei jobdatei befindlichen Kommandos werden ausgeführt, sobald die Systemlast den kritischen Wert unterschritten hat. Die Kommandos werden dann mit einer geringeren Priorität als der Standardpriorität ausgeführt, weil der Auftrag in die Warteschlange z eingereiht wird. Siehe auch: atd, at, atq.
bunzip2 Paket: bzip2
Komprimierte Datei dekomprimieren Dateiverwaltung
bunzip2 [Optionen] [Datei ...] Das Programm dekomprimiert mit Datei angegebene Dateien, die mit bzip2 komprimiert worden sind. Sind keine Dateien angegeben, liest das Programm Daten von der Standardeingaben und schreibt sie dekomprimiert auf die Standardausgabe. Wenn das Programm Dateien dekomprimiert, werden die ursprünglichen Dateien gelöscht und das Ergebnis der Kompression in neue Dateien geschrieben, die den Namen der Ausgangsdatei tragen. Die Kennung .bz2 wird entfernt. -f | - -force Gewöhnlich dekomprimiert das Programm Dateien nicht, wenn bereits andere Dateien existieren, die den Namen tragen, welchen die zu erzeugende Datei bekommen soll. Diese Option erzwingt das Dekomprimieren, auch wenn dabei bereits existierende Dateien überschrieben werden. -k | - -keep Die Ausgangsdateien werden nicht gelöscht. bunzip2 patch-2.2.15.bz2
19 Kommandoübersicht
945
Dekomprimiert die zuvor mit bzip2 komprimierte Datei patch-2.2.15.bz2 und schreibt das Ergebnis in eine Datei mit dem Namen patch-2.2.15. Die Ursprungsdatei wird nach erfolgreicher Dekompression gelöscht. Siehe auch: bzip2, gunzip, unzip.
bzip2 Paket: bzip2
Datei komprimieren Dateiverwaltung
bzip2 [Optionen] [Datei ...] Das Programm komprimiert eine oder mehrere mit Datei angegebene Dateien. Wenn keine Dateien angegeben sind, liest das Programm Daten von der Standardeingabe und schreibt sie komprimiert auf die Standardausgabe. Wenn Dateien komprimiert werden, werden die Ausgangsdateien gelöscht und das Ergebnis der Kompression in Dateien gleichen Namens geschrieben, denen die Kennung .bz2 angehängt ist. Das Programm bzip2 verwendet ein anderes Kompressionsverfahren als gzip, ermöglicht eine höhere Kompression und benötigt mehr Rechenzeit. -f | - -force Gewöhnlich komprimiert das Programm Dateien nicht, wenn bereits andere Dateien existieren, die den Namen tragen, welchen die zu erzeugende Datei bekommen soll. Die Option erzwingt das Komprimieren, auch wenn dabei bereits existierende Dateien überschrieben werden. -k | - -keep Die Ausgangsdateien werden nicht gelöscht. bzip2 archiv.tar Komprimiert die Datei archiv.tar und schreibt das Ergebnis in die Datei archiv.tar.bz2. Die Datei archiv.tar wird nach erfolgreicher Kompression gelöscht. Siehe auch: bunzip2, gzip, zip.
cat Paket: coreutils
Daten auf Standardausgabe geben Textverarbeitung, Shellskripte
cat [Optionen] [Datei ...] Das Programm liest Daten aus einer oder mehreren Datei(en) und gibt diese auf die Standardausgabe aus. Wird kein Dateiname oder "-" angegeben, wird von der Standardeingabe gelesen. cat eignet sich dazu, den Inhalt kleinerer Dateien am Bildschirm zu betrachten. Die Hauptaufgabe des Programms besteht darin, den Inhalt von Dateien in eine Pipe zu schreiben, aus der andere Programme lesen. cat kann außerdem dazu verwendet werden, verschiedene Dateien zu einer zusammenzufügen, daher der Name (concatenate). -n | - -number Jeder ausgegebenen Zeile wird eine laufende Nummer vorangestellt. -b | - -number-nonblank Allen nichtleeren Zeilen wird eine laufende Nummer vorangestellt. -s | - -squeeze-blank Mehrere leere Zeilen, die aufeinander folgen, werden zu einer zusammengefasst.
946
19 Kommandoübersicht
-v | - -show-nonprinting Nicht-druckbare Zeichen werden in einem druckbaren Format ausgegeben. -E | - -show-ends An das Ende jeder Zeile wird ein $-Zeichen gesetzt. -T | - -show-tabs Für Tabulatoren wird ^I ausgegeben. cat datei1 datei2 datei3 > neu_datei Die Inhalte der Dateien datei1, datei2 und datei3 werden hintereinander in die Datei neu_datei geschrieben. cat - > brief Über die Standardeingabe eingegebener Inhalt wird in die Datei brief geschrieben. Bei manueller Eingabe kann der Vorgang durch + beendet werden. cat -n brief Der Inhalt der Datei brief wird auf die Standardausgabe gegeben. Die Zeilen werden dabei durchnummeriert. Siehe auch: split, head, tail, tac.
cfdisk Paket: util-linux
Festplatte partitionieren Systemverwaltung, Installation
cfdisk [Optionen] Gerätedatei] Das Programm ist das Standardwerkzeug zur Partitionierung von Festplatten unter Debian GNU/Linux. Es erlaubt das interaktive Neu- und Umpartitionieren von Festplatten. Standardmäßig wird versucht, die erste Festplatte zu öffnen. Das ist die durch die Gerätedatei /dev/hda dargestellte erste (E)IDE-Festplatte. Soll eine andere Festplatte bearbeitet werden, muss die entsprechende Gerätedatei angegeben werden. Falls die Geometrie der Festplatte nicht korrekt vom BIOS ermittelt werden kann, müssen cfdisk die Daten an der Kommandozeile übergeben werden. Zylinder Anzahl der Zylinder auf der Festplatte. Köpfe Anzahl der Schreib-Lese-Köpfe der Festplatte. Sektoren Anzahl der Sektoren pro Track auf der Festplatte. Nach Start des Programms werden bereits existierende Partitionen nicht angezeigt, und die Festplatte erscheint stattdessen unpartitioniert. Dieser Modus ist sinnvoll, wenn die Festplatte komplett neu partitioniert werden soll, weil das Löschen vorhandener Partitionen entfällt, oder wenn die alte Partitionstabelle nicht korrekt gelesen werden kann (etwa weil sie noch nicht existiert). -P [Optionen] Die Partitionstabelle wird ausgegeben. Es muss eine der folgenden Optionen gewählt werden: t Die rohe Partitionstabelle wird ausgegeben. r Die rohe Partitionstabelle wird in hexadezimaler Form ausgegeben, d. h. so wie sie auf die Festplatte geschrieben wird. s Die Partitionstabelle wird nach Sektoren geordnet ausgegeben. -a In der Partitionstabelle wird der ausgewählte Bereich nicht invertiert dargestellt, sondern es wird ihm ein Pfeil vorangestellt. -c -h -s -z
cfdisk /dev/sda
19 Kommandoübersicht
947
Ruft das Programm zum Bearbeiten der ersten SCSI-Festplatte auf. cfdisk -Ps /dev/hdb Gibt die Partitionstabelle für die zweite (E)IDE-Festplatte nach Sektoren sortiert aus. Siehe auch: fdisk, sfdisk.
chage Paket: passwd
Gültigkeit von Passwort anzeigen und ändern Benutzerverwaltung
chage [Optionen] Benutzername Ändert die in Optionen spezifizierten Einstellungen zur Gültigkeit des Passworts zum Benutzerkonto des mit Benutzername angegebenen Benutzers. chage -l Benutzername Gibt die Gültigkeitsinformationen zum Passwort von Benutzername aus. Mit chage lässt sich festlegen, wie lange ein Passwort gültig sein soll, wann der Benutzer vor Ablauf seines Passworts gewarnt werden soll und wann sein Benutzerkonto gesperrt werden soll, wenn er das Passwort nicht rechtzeitig geändert hat. Es lässt sich auch festlegen, wann das Konto unabhängig von Passwortänderungen gesperrt wird. Bei einigen Optionen müssen absolute Zeitangaben gemacht werden. Diese sind entweder in abgelaufener Zeit in Sekunden seit dem 1. Januar 1970 vorzunehmen oder in der Form MM/TT/JJ zu vorzunehmen. Wenn das Programm nur mit dem Namen eines Benutzerkontos und ohne weitere Optionen aufgerufen wird, erfragt es die vorzunehmenden Einstellungen. -m Tage Gibt die Anzahl von Tagen an, während der das Passwort nach einer Änderung nicht erneut geändert werden darf. -M Tage Gibt die Anzahl von Tagen an, nach denen das Passwort erneut geändert werden muss. -d Datum Ändert die Information darüber, wann das Passwort das letzte Mal geändert wurde in Datum. -E Datum Gibt an, wann das Benutzerkonto gesperrt wird. -I Tage Legt die Anzahl von Tagen fest, nach denen das Benutzerkonto gesperrt wird, wenn das Passwort nicht rechtzeitig geändert wurde. -W Tage Legt die Anzahl von Tagen vor Ablauf eines Passwortes fest, an denen der betreffende Benutzer aufgefordert wird, sein Passwort zu ändern. chage -m 2 -M 30 -I 20 -W 3 joe Das Passwort des Benutzers joe muss spätestens alle 30 Tage geändert werden. Eine Änderung innerhalb von zwei Tagen ist nicht erlaubt. Wenn das Passwort nicht rechtzeitig geändert wird, wird das Benutzerkonto 20 Tage später gesperrt. Drei Tage vor Ablauf des Passworts wird der Benutzer nach der Anmeldung aufgefordert, sein Passwort zu ändern. chage -l joe Gibt die Alterungs-Einstellungen des Passworts von Benutzer joe aus. Siehe auch: login, passwd, shadowconfig.
948
19 Kommandoübersicht
chattr Paket: Dateiverwaltung
Dateiattribute auf Ext2-Dateisystem ändern e2fsprogs
chattr [Optionen] Modus Datei [Datei ...] Das Ext2-Dateisystem erlaubt, neben den üblichen Linux/UNIX-Dateiattributen weitere Attribute zu speichern. Folgende Attribute stehen zur Verfügung: A Wenn eine Datei mit diesem Attribut geändert wird, wird der Eintrag der letzten Zugriffszeit nicht geändert. a Die Daten in Dateien mit diesem Attribut können nicht geändert werden. Es ist lediglich möglich, Daten an sie anzuhängen. Sinnvoll bei Log-Dateien, die zwar ergänzt, nicht aber gelöscht werden sollen. c Dateien mit diesem Attribut werden komprimiert gespeichert. d Dateien mit diesem Attribut werden von dem Programm dump nicht gesichert. i Dateien mit diesem Attribut dürfen nicht verändert werden. s Wenn Dateien mit diesem Attribut gelöscht werden, wird der Platz auf der Festplatte, den sie belegt haben, mit Nullen beschrieben, um jede Möglichkeit des späteren Lesens auszuschließen. S Daten von Dateien mit diesem Attribut werden während einer Schreiboperation sofort geschrieben und nicht im Schreibcache zwischengespeichert. u Daten aus Dateien mit diesem Attribut werden nicht gelöscht, wenn die Dateien gelöscht werden. Es wird lediglich der Verzeichniseintrag gelöscht, und die Dateien können wiederhergestellt werden. Dem Programm chattr werden zu verändernde Attribute ähnlich wie bei dem Kommando chmod auf die folgende Art mitgeteilt: • •
Durch die Zeichen +, - oder = wird angegeben, ob Attribute hinzugefügt (+), entfernt (-) oder genauso gesetzt werden sollen, wie sie angegeben sind (=). Dann wird eine Kombination aus den oben aufgeführten Buchstaben angegeben, die die Attribute bezeichnet, die hinzugefügt, entfernt oder gesetzt werden sollen.
Als Vorgabe ändert das Programm die Attribute einer oder mehrerer mit Datei angegebener Datei(en) so, wie es durch Modus bestimmt wird. -R Sind mit Datei Verzeichnisse angegeben, werden die Attribute des Verzeichnisses, aller darin enthaltenen Dateien sowie rekursiv aller Unterverzeichnisse und der darin enthaltenen Dateien geändert. -V Es wird ausgegeben, bei welchen Dateien Änderungen vorgenommen wurden. chattr +c * Setzt das Attribut c (Kompression) für alle Dateien im Arbeitsverzeichnis. chattr -R -Sc ./ Entfernt die Attribute S (sofort schreiben) und c (Kompression) rekursiv von allen Dateien unterhalb des Arbeitsverzeichnisses. Siehe auch: lsattr.
19 Kommandoübersicht
chfn Paket: passwd
949
Benutzerinformation ändern Benutzerverwaltung
chfn [Option] [Benutzer] Das Programm ändert das GECOS-Feld (Kommentarfeld) in der Benutzerdatei. In dem Feld werden zusätzliche Benutzerinformationen wie bürgerlicher Name, Telefonnummer usw. gespeichert. Wenn mit Benutzer kein Benutzername angegeben wird, ändert das Programm die Informationen zu dem aufrufenden Benutzer, ansonsten zu dem angegebenen. Informationen zu anderen Benutzern können nur vom Verwalter geändert werden. Wenn keine Option angegeben wurde, fragt das Programm die einzelnen Informationen nacheinander ab, ansonsten ändert es die mit Option spezifizierte Information. -f Name Ändert den bürgerlichen Namen des Benutzers in den mit Name angegebenen. -r Raumnummer Ändert die Raumnummer. -w Telefon Ändert die Telefonnummer am Arbeitsplatz. -h Telefon Ändert die Telefonnummer zuhause. -o Anderes Ändert sonstige Informationen. chfn -h "+49 40 21345218" Ändert die Privattelefonnummer des aufrufenden Benutzers in die angegebene. Siehe auch: passwd, adduser.
chgrp Paket: coreutils
Gruppenzugehörigkeit einer Datei ändern Dateiverwaltung
chgrp [Optionen] Gruppe Datei [Datei ...] Ändert die mit der Datei Datei verbundene Gruppe auf die Benutzergruppe Gruppe. Für Gruppe kann der Name einer Benutzergruppe oder die GruppenID angegeben werden. Bei Datei darf es sich auch um einen besonderen Dateityp (Verzeichnis, Gerätedatei) handeln. Die mit einer Datei verbundene Gruppe darf vom Systemverwalter verändert werden und vom Dateibesitzer, wenn er der Gruppe angehört, mit der die Datei verbunden werden soll. -R | - -recursive Im Fall von Verzeichnissen werden alle in dem betreffenden Verzeichnis und in Unterverzeichnissen dieses Verzeichnisses befindliche Dateien geändert. -c | - -changes Gibt die Namen der Dateien aus, bei denen eine Änderung vorgenommen wurde. chgrp -R /home/rechnung verwalt Ordnet das Verzeichnis /home/rechnung und alle darin enthaltenen Verzeichnisse und Dateien der Benutzergruppe verwalt zu. chgrp -c brief2 1006
950
19 Kommandoübersicht
Ordnet die Datei brief2 der Benutzergruppe mit der Gruppen-ID 1006 zu und teilt mit, ob eine Änderung vorgenommen wurde, also ob die Datei nicht schon vorher mit dieser Benutzergruppe verbunden war. Siehe auch: chown, chmod, ls.
chmod Paket: coreutils
Rechte an einer Datei ändern Dateiverwaltung
chmod [Optionen] Rechte Datei [Datei ...] Das Kommando ändert die Rechte für den Benutzer, die Benutzergruppe und/oder andere Benutzer an der oder den mit Datei bezeichneten Dateien. Für die Angabe der zu setzenden Rechte gibt es zwei Formen: 1. Die Rechte setzen sich zusammen aus: • Einer Kombination aus den Buchstaben u (user = Besitzer), g (group = Gruppe), o (others = Andere) und a (all = Alle, entspricht ugo), die bezeichnet, wessen Rechte geändert werden sollen. • Einem der Zeichen + (Rechte hinzufügen), - (Rechte entfernen) und = (Rechte setzen). • Einer Kombination aus den Buchstaben r (read = lesen), w (write = schreiben), x (execute = ausführen), X (ausführen, nur wenn der ausführende Benutzer auch Ausführungsrechte im Verzeichnis der Datei hat), s (Setzen der Benutzer- oder Gruppenidentität bei Ausführung der Datei), t (Speichern des Programms im Swap-Speicher bei Ausführung der Datei) und u, g oder o (Setzen der gleichen Rechte, die Benutzer, Gruppe oder Andere zur Zeit an der Datei haben). Hierdurch wird bezeichnet, welche Rechte erteilt, entfernt oder hinzugefügt werden sollen. Es können mehrere Angaben dieser Form hintereinander vorgenommen werden. 2. Vier oktale Zahlen (Ziffern 0-7), die sich jeweils aus der Summe der Zahlen 4, 2 und 1 zusammensetzen und folgende Bedeutung haben: Erste Ziffer: Setzen der Benutzer-ID bei Ausführung (4), Setzen der GruppenID bei Ausführung (2) und Speicherung des Programms im Swapspeicher bei Ausführung (1). Zweite Ziffer: Rechte des Benutzers: lesen (4), schreiben (2) und ausführen (1). Dritte Ziffer: Rechte der Gruppe, wie vorstehend. Vierte Ziffer: Rechte anderer Benutzer, wie vorstehend. Es brauchen nicht alle Ziffern angegeben zu werden. Fehlende Ziffern werden von links nach rechts als Null interpretiert. Oft fehlt die erste Ziffer. -R | - -recursive Im Fall von Verzeichnissen werden die Rechte aller in dem betreffenden Verzeichnis und in Unterverzeichnissen davon befindlicher Dateien und Verzeichnisse geändert. -c | - -changes Gibt die Namen der Dateien aus, bei denen eine Änderung durchgeführt wurde. chmod a=rw logfile
19 Kommandoübersicht
951
Erteilt allen Benutzern Schreib- und Leserechte für die Datei logfile. chmod 666 logfile Bewirkt dasselbe. Die erste Zahl fehlt, deswegen werden keine Rechte bezüglich des Setzens von Benutzer- oder Gruppen-ID sowie des Speicherns des Programms bei Ausführung gesetzt. Die Ziffer 6 ergibt sich aus Addition der Ziffern 4 (lesen) und 2 (schreiben). Diese Rechte werden für Besitzer, Gruppe und andere Benutzer gesetzt. chmod 4755 program Die Datei program darf von allen Benutzern gelesen und ausgeführt werden und vom Besitzer außerdem verändert werden. Bei der Ausführung wird sie mit der Benutzer-ID (d. h. mit den Rechten) ihres Besitzers ausgeführt. Erste Ziffer: 4 = Setzen der Benutzer-ID bei Ausführung. Zweite Ziffer: 7 = 4 (lesen) + 2 (schreiben) + 1 (ausführen) für den Besitzer. Dritte und vierte Ziffer: 5 = 4 (lesen) + 1 (ausführen) für die Gruppe und andere Benutzer. Ein Programm, bei dem die Rechte wie hier gesetzt sind, wird mit der Identität des Besitzers der Programmdatei ausgeführt (SetUID). Es kann beispielsweise alle Dateien, die dem Besitzer gehören, löschen. Siehe auch: chown, chgrp, install, umask.
chown Paket: coreutils
Besitzer einer Datei wechseln Dateiverwaltung
chown [Optionen] [Benutzer][:|.][Gruppe] Datei [Datei ...] Ändert den Besitzer und oder die Gruppe der mit Datei angegebenen Datei(en). Soll nur die Gruppe verändert werden, ist der Gruppenbezeichnung ein Punkt oder ein Doppelpunkt (ohne Leerzeichen) voranzustellen. Für Benutzer- und Gruppenbezeichnung können entweder die Namen oder die numerischen IDs benutzt werden. Datei darf auch ein Verzeichnis oder eine Gerätedatei sein. Der Besitzer einer Datei darf nur vom Systemverwalter verändert werden. Die zu einer Datei gehörende Gruppe darf vom Systemverwalter verändert werden und vom Dateibesitzer, wenn er der Gruppe angehört, mit der die Datei verbunden werden soll. -R | - -recursive Im Fall von Verzeichnissen werden alle in dem betreffenden Verzeichnis und in Unterverzeichnissen davon befindliche Dateien geändert. -c | - -changes Gibt die Namen der Dateien aus, bei denen eine Änderung durchgeführt wurde. chown -R /home/rechnung joe Ordnet das Verzeichnis /home/rechnung und alle darin enthaltenen Verzeichnisse und Dateien dem Benutzer joe zu. chown -c brief2 1006 Ordnet die Datei brief2 dem Benutzer mit der Benutzer-ID 1006 zu und teilt mit, ob eine Änderung vorgenommen wurde, also ob die Datei nicht schon vorher mit diesem Benutzer verbunden war. Siehe auch: chgrp, chmod, ls.
952
19 Kommandoübersicht
chsh Paket: passwd
Standardshell eines Benutzers wechseln Benutzerverwaltung
chsh [-s shell] [Benutzername] Ohne Parameter aufgerufen fragt das Programm nach dem Namen des Programms, das für den aufrufenden Benutzer als Standardshell verwendet werden soll. Vorher findet eine Passwortabfrage statt. Das als Standardshell zu verwendende Programm muss mit absolutem Pfad- und Dateinamen eingegeben werden. Außerdem muss es in der Datei /etc/shells eingetragen sein. Der Systemverwalter hat das Recht, eine Shell anzugegeben, die nicht in /etc/shells eingetragen ist, weiter kann er die Standardshell anderer Benutzer verändern, indem er mit Benutzer den Namen eines Benutzerkontos angibt. -s Shell Legt das mit shell angegebene Programm als Standardshell für den aufrufenden Benutzer oder den mit Benutzer angegebenen Benutzer fest. chsh -s /usr/bin/ksh Legt für den aufrufenden Benutzer das Programm /usr/bin/ksh (Korn-Shell) als Standardshell fest. chsh joe Führt dazu, dass das Programm nach der für den Benutzer joe zu verwendenden Standardshell fragt. Siehe auch: passwd, usermod.
cmp Paket: diff
Binärdateien vergleichen Dateiverwaltung
cmp [Optionen] Datei1 Datei2 Vergleicht die mit Datei1 und Datei2 angegebenen Dateien miteinander. Wenn beide Dateien gleich sind, erfolgt keine Ausgabe und der Rückgabewert des Programms ist 0. Wenn sich die Dateien unterscheiden, wird die Nummer des ersten Bytes, in dem sich die Dateien unterscheiden, ausgegeben. Der Rückgabewert des Programms ist dann 1. -s Auch bei einem Unterschied wird keine Ausgabe vorgenommen. Unterschiede lassen sich dann nur am Rückgabewert erkennen. cmp datei1.o datei2.o Vergleicht die beiden Dateien datei1.o und datei2.o miteinander. Siehe auch: diff.
cp Paket: coreutils
Datei kopieren Dateiverwaltung
cp [Optionen] Quelldatei Zieldatei | Zielverzeichnis Das Programm kopiert die mit Quelldatei bezeichnete Datei in die mit Zieldatei angegebene Datei. Existiert die Datei mit dem Namen von
19 Kommandoübersicht
953
Zieldatei bereits, wird diese überschrieben. Wird an Stelle von Zieldatei ein Verzeichnis angegeben, wird die mit Quelldatei bezeichnete Datei in das mit Zielverzeichnis spezifizierte Verzeichnis kopiert und erhält dort den gleichen Namen wie die Ausgangsdatei. cp [Optionen] Quelldatei Quelldatei [...] Zielverzeichnis Kopiert alle Quelldateien in das Zielverzeichnis. Die Dateien erhalten dort die gleichen Namen wie die jeweiligen Ausgangsdateien. Bereits bestehende Dateien im Zielverzeichnis werden überschrieben. -b | - -backup Bevor Dateien überschrieben werden, wird von diesen eine Sicherungskopie erstellt. Solche Sicherungskopien haben standardmäßig denselben Namen wie das Original, jedoch mit einer angehängten Tilde. -S Endung | - -suffix=Endung Zusammen mit der Option -b erhalten Sicherungskopien an Stelle der Tilde die Endung Endung. -i | - -interactive Bevor Dateien überschrieben werden, wird nachgefragt, ob dies wirklich geschehen soll. -u | - -update Es werden nur solche Dateien kopiert, deren letztes Änderungsdatum jünger ist als das der Zieldateien. -v | - -verbose Der Name jeder kopierten Datei wird ausgegeben. -p | - -preserve Die Dateiattribute der Quelldatei(en) wie Besitzer, Gruppe, Rechte und Datum der letzten Änderung bleiben erhalten. Besitzer und Gruppe können nur erhalten bleiben, wenn der Benutzer, der die Dateien kopiert, das Recht hat, Dateien mit entsprechendem Besitzer und Gruppe zu erstellen. -R | - -recursive Kopiert den Inhalt von Verzeichnissen, deren Unterverzeichnissen usw. in das Zielverzeichnis. Spezielle Dateien wie Gerätedateien oder FIFOs werden dabei an den entsprechenden Stellen im Zielverzeichnis neu erzeugt. Normalerweise werden Verzeichnisse nicht kopiert. -r Wie -R mit dem Unterschied, dass spezielle Dateien (Gerätedateien) nicht neu erzeugt werden, sondern aus den Quelldateien gelesen und das Ergebnis in gewöhnliche Zieldateien geschrieben wird. Weil cp hierbei auf Daten wartet, die beispielsweise auf einem Gerät erst zur Verfügung gestellt werden müssen, kann dies zum Hängen des Programms führen. -x | - -one-filesystem Es werden nur die Dateien kopiert, die sich auf demselben Datenträger (z. B. derselben Partition) befinden wie die erste zu kopierende Datei. -l | - -link Anstelle von Kopien werden Hardlinks auf die Originaldateien erzeugt. -s | - -symbolic-link Anstelle von Kopien werden Softlinks auf die Originaldateien erzeugt. Alle Quelldateien müssen dabei mit absoluten Pfaden angegeben werden. Alternativ kann eine Quelldatei und eine Zieldatei im gleichen Verzeichnis angegeben werden. -d | - -no-dereference Beim Kopieren von symbolischen Links werden neue symbolische Links erzeugt. Hardlinks zwischen Quelldateien bleiben auch
954
19 Kommandoübersicht
zwischen den Zieldateien erhalten. Ohne diese Option wird der Inhalt der Dateien, auf die harte oder symbolische Links zeigen, in die Zieldateien kopiert. -a | - -archive Gleichbedeutend mit der Kombination der Optionen -R, -d und -p. Es bleibt soviel wie möglich von den Merkmalen der Originaldateien erhalten. cp /usr/share/common-licenses/GPL ./ Kopiert den Inhalt der Datei /usr/share/doc/common-licenses/GPL in die Datei GPL im Arbeitsverzeichnis. cp -vi /floppy/* ~/ Kopiert alle Dateien im Verzeichnis /floppy in das Home-Verzeichnis des Benutzers, der das Kommando aufruft. Dabei werden die Namen der kopierten Dateien ausgegeben. Bevor Dateien im Zielverzeichnis überschrieben werden, wird von cp gefragt, ob dies gewünscht ist. cp -ax / /newdisk Kopiert alle Dateien des Datenträgers, auf dem sich das Wurzeldateisystem befindet, in das Verzeichnis /newdisk, in das ein anderer Datenträger eingehängt sein sollte. Besondere Dateitypen (Gerätedateien etc.) bleiben dabei erhalten. Der in newdisk eingehängte Datenträger kann nun ebenfalls als Wurzeldateisystem dienen. Gewöhnlich müssen vorher auf dem neuen Datenträger noch die Verzeichnisse angelegt werden, in die auf dem Quelldatenträger andere Dateisysteme eingehängt sind (z. B. /proc). In dieser Form kann das Programm cp zum Umziehen der Linux-Installation benutzt werden. Siehe auch: mv, ln, tar, dd.
crontab Paket: cron
Kommando regelmäßig wiederholen Systemverwaltung, Prozessverwaltung
crontab [-u Benutzer] Datei Installiert die mit Datei angegebene Datei als crontab-Datei für den mit Benutzer spezifizierten Benutzer. Wenn für Datei ein Minuszeichen angegeben wird, wird die Datei von der Standardeingabe gelesen. Wenn die Option -u Benutzer nicht verwendet wird, wird die Datei für den aufrufenden Benutzer installiert. Das Kommando prüft die syntaktische Richtigkeit der einzurichtenden Datei und verweigert die Eirnichtung, wenn Fehler vorhanden sind. Die crontab-Datei fremder Benutzer darf nur vom Systemverwalter verändert werden. crontab [-u Benutzer] Option Erlaubt eine der folgenden Aktionen mit der crontab-Datei des mit Benutzer angegebenen Benutzers oder des aufrufenden Benutzers auszuführen. -l Der Inhalt der crontab-Datei wird auf die Standardausgabe geschrieben. -r Die crontab-Datei wird entfernt. -e Es wird der Standardeditor oder der in der Umgebungsvariable EDITOR angegebene Editor mit der crontab-Datei geöffnet. Die Datei kann dann verändert werden. Nach Beendigung des Editors wird die Datei geprüft und eingerichtet.
19 Kommandoübersicht
955
echo "25 14 * * * ls -l" | crontab Installiert eine neue crontab-Datei für den aufrufenden Benutzer mit dem angegebenen Inhalt (Aufruf des Kommandos ls -l jeden Tag um 14.25 Uhr). crontab -l Gibt den Inhalt der crontab-Datei des aufrufenden Benutzers aus. Siehe auch: at.
date Paket: coreutils
Datum und Uhrzeit anzeigen oder setzen Information, Shellskripte
date MMDDhhmm[[CC]YY][.ss] Setzt die Systemzeit auf das angegebene Datum und die angegebene Uhrzeit. Dabei steht MM für Monat, DD für Tag, hh für Stunde, mm für Minute, [CC]JJ für das Jahr (und Jahrhundert) und .ss für Sekunde. Achtung: Das Programm ändert nicht die Einstellung der Hardwareuhr des Rechners. Nach einem Neustart des Systems geht die Uhr u. U. wieder falsch. Hierzu dient das Programm hwclock. date [Optionen] Ohne Optionen aufgerufen, zeigt date die aktuelle lokale Uhrzeit und das Datum an. +Format Legt das Format fest, in dem die Ausgabe erfolgen soll. Format ist eine Zeichenkette, die zum Einen aus gewöhnlichen Zeichen bestehen kann, die unverändert ausgegeben werden, und zum Anderen aus speziellen Anweisungen, in die Komponenten der auszugebenden Zeit und des auszugebenden Datums eingesetzt werden. Die Anweisungen bestehen alle aus dem Zeichen % und einem Buchstaben. Die wichtigsten Anweisungen sind: %H Ausgabe der Stunde. %M Ausgabe der Minute. %S Ausgabe der Sekunde. %A Ausgabe des Wochentags. %B Ausgabe des Monats. %Y Ausgabe der Jahreszahl. %d Ausgabe des Tages im Monat (1-31). %m Ausgabe der Monatszahl (1-12). %X Ausgabe der vollständigen Uhrzeit. %x Ausgabe des vollständigen Datums. Der als Format angegebene Ausdruck muss als ein einziges Argument übergeben werden. Leerzeichen sind durch Anführungszeichen vor der Verarbeitung durch die Shell zu schützen. -u | - -universal Die Uhrzeit wird in Universal Time Coordinated (UTC) ausgegeben oder interpretiert. -r Datei | - -reference=Datei Es wird das Datum der letzten Änderung der mit Datei angegebenen Datei ausgegeben
956
19 Kommandoübersicht
-d Datum | - -datestr=Datum Es wird das mit Datum angegebene Datum ausgegeben. Datum kann eine der folgenden Formen haben: • SS:MM:[ss] legt die anzuzeigende Uhrzeit in Stunden (SS), Minuten (MM) und Sekunden (ss) fest. • TT/MM[/JJJJ] legt das anzuzeigende Datum in Tag (TT), Monat (MM) und Jahr (JJJJ) fest. • Datum und Uhrzeit können miteinander kombiniert werden. • Die Form + | - Anzahl Einheit legt das anzuzeigende Datum ausgehend vom aktuellen Datum fest. Gültige Einheiten sind days, weeks, months und years. Der Ausdruck + 2 weeks würde das Datum in zwei Wochen bezeichnen. Die Angaben können kombiniert werden. Beispiel: + 2 weeks 3 days meint das Datum in zwei Wochen und drei Tagen. Der Ausdruck Datum ist als ein einziges Argument zu übergeben. - -set Datum Setzt die Systemzeit auf das mit Datum angegebene Datum. Es gilt das gleiche Format wie bei der Option -d. date 06061545 Legt die Systemzeit auf den 6. Juni des laufenden Jahres 15.45 Uhr fest. date "+%A, den %d. %B %Y. %H:%M Uhr" Gibt Datum und Uhrzeit in der Form Mittwoch, den 06. Juni 2007. 8:30 Uhr aus. date -d "+ 3 weeks" Gibt das Datum in drei Wochen aus. Siehe auch: ntpdate, hwclock.
dd Paket: coreutils
Daten kopieren (dumpen) Dateiverwaltung
dd [Optionen] dd liest Daten von der Standardeingabe und schreibt sie auf die Standardausgabe. Im Gegensatz zu cat kann dabei die Blockgröße sowie die Menge der zu lesenden und zu schreibenden Daten festgelegt werden. Zusätzlich können die Daten zwischendurch umgewandelt werden, wodurch das Übertragen von Daten zwischen verschiedenen Rechnerarchitekturen möglich ist. Optionen werden bei dd ohne MinusZeichen angegeben. if=Datei Es wird nicht von der Standardeingabe, sondern aus der mit Datei bezeichneten Datei gelesen. of=Datei Es wird nicht auf die Standardausgabe, sondern in die mit Datei bezeichnete Datei geschrieben. bs=Anzahl Gibt an, wieviel Byte hintereinander gelesen und geschrieben werden. Die Angabe kann ohne Einheit (Byte) und in den Einheiten k (Kilobyte), b (512 Byte) und w (2 Byte) erfolgen. Die Option bs überschreibt die Optionen ibs und obs. ibs=Anzahl Gibt an, wieviel Byte gleichzeitig gelesen werden. (Einheiten wie oben.)
19 Kommandoübersicht
957
obs=Anzahl Gibt an, wieviel Byte gleichzeitig geschrieben werden. (Einheiten wie oben.) count=Anzahl Es wird nur die mit Anzahl angegebene Menge von Blöcken, d. h. von obs-großen Einheiten kopiert. skip=Anzahl Die mit Anzahl angegebene Menge von ibs-großen Blöcken wird am Anfang beim Lesen übersprungen. seek=Anzahl Die mit Anzahl angegebene Menge von obs-großen Blöcken wird am Anfang beim Schreiben übersprungen. dd if=/dev/sda of=mbr_backup bs=512 count=1 Erstellt eine Sicherungskopie des Master-Boot-Records der ersten SCSI-Festplatte in der Datei mbr_backup. dd if=/dev/zero of=/dev/hdb bs=65536 Überschreibt die gesamte zweite EIDE-Festplatte mit Nullen. Sinnvoll vor einer Veräußerung derselben. dd if=/dev/fd0 of=floppy.image Erstellt eine Abbilddatei der Diskette im ersten Diskettenlaufwerk. dd if=floppy.image of=/dev/fd0 Schreibt die Abbilddatei auf die Diskette im ersten Laufwerk. Siehe auch: cat, cp.
depmod Paket: modutils, module-init-tools
Modulabhängigkeiten berechnen Systemverwaltung, Installation
depmod -a depmod Datei [Datei ...] Das Laden mancher Kernmodule setzt voraus, dass bestimmte Kerneigenschaften bereits vorhanden sind. Weil diese Eigenschaften ebenfalls durch Module zur Verfügung gestellt werden können, ist es u. U. notwendig, bestimmte Module vor anderen zu laden. Das Programm depmod untersucht, welche der vorhandenen Module auf andere Module angewiesen sind und hinterlegt diese Information in der Datei modules.dep im Modul-Verzeichnis des aktuell benutzten Kerns (dieses befindet sich unter /lib/modules). Das Programm wird gewöhnlich während des Systemstarts durch das Startskript /etc/init.d/modutils ausgeführt. Nur wenn dem System während der Laufzeit neue Module hinzugefügt werden, sollte depmod erneut ausgeführt werden. depmod -a Berechnet die Modulabhängigkeiten für alle Module. Siehe auch: update-modules, modprobe, insmod.
df Paket: coreutils df [Optionen] [Datei ...]
Freien Festplattenplatz anzeigen Information, Systemverwaltung
958
19 Kommandoübersicht
Das Programm gibt eine Übersicht über die vorhandene, benutzte und freie Festplattenkapazität aus. Darüber hinaus zeigt es an, welches Speichergerät (Festplattenpartition) in welches Verzeichnis eingehängt ist. Werden mit Datei eine oder mehrere Dateien angegeben, zeigt das Programm nur die Ausnutzung der Datenträger an, auf dem sich die betreffenden Dateien befinden. -h | - -human-readable Die Kapazitäten werden in sinnvolle Einheiten (Megabyte, Gigabyte etc.) umgerechnet und entsprechend angezeigt. -i | - -inodes Anstelle der benutzten Blöcke wird die Anzahl der benutzten Inodes ausgegeben. -T | - -print-type Es werden zusätzlich die Dateisystemtypen (ext2, nfs etc.) aller Datenträger ausgegeben. df Zeigt die Auslastung aller benutzten (eingehängten) Datenträger an. df -h ~ Zeigt die Ausnutzung des Datenträgers, auf dem sich das Home-Verzeichnis des aufrufenden Benutzers befindet, in einer leicht lesbaren Form an. Siehe auch: du, free, mount.
dig
DNS Abfrage Netz
Paket: dnsutils
dig [@dns-server] name [type] Der Domain Interface Groper (dig) ist ein flexibles Werkzeug zur Abfrage von DNSServern. -h Gibt eine kurze Hilfe aus. -x Sucht zu einer IP-Adresse den Namen. dig ftp.de.debian.org Liefert 141.76.2.4 als IP-Adresse zurück. dig -x 141.76.2.4 Liefert ftp.de.debian.org als Namen zurück. dig -t MX www.mvm.uni-karlsruhe.de Liefert als Mail Exchanger für den Webserver mailgate.rz.uni-karlsruhe. de zurück. dig @129.13.64.5 www.ciw.uni-karlsruhe.de MX Der DNS-Server 129.13.64.5 liefert als Mail Exchanger für den Webserver mailgate.rz.uni-karlsruhe.de zurück. Siehe auch: host.
diff Paket: diff
Textdateien vergleichen Textverarbeitung, Entwicklung
diff [Optionen] Eingangsdatei Ausgangsdatei
19 Kommandoübersicht
959
Das Programm vergleicht die mit Eingangsdatei und Ausgangsdatei bezeichneten Textdateien und erzeugt eine Ausgabe, die benutzt werden kann, um Eingangsdatei automatisch auf den Stand von Ausgangsdatei zu bringen. Die Ausgabe geht auf die Standardausgabe. Weil diff auch ganze Verzeichnisstrukturen miteinander vergleichen kann, wird es oft benutzt, um neue Versionen von Programmen und Dokumenten zu verteilen. Die von diff erzeugten Daten sind bei kleinen und mittelgroßen Änderungen in der Regel wesentlich kleiner als das gesamte Paket. Bekanntes Beispiele für die Verwendung von Diffs (von diff erzeugte Dateien) sind neue Versionen des Linux-Kerns oder die Diff-Dateien zu Debian-Quellcodepaketen. -i | - -ignore-case Unterschiede in Groß- und Kleinschreibung werden beim Vergleich nicht berücksichtigt. -b | - -ignore-space-change Unterschiede in der Menge an Leerzeichen, Tabulatoren etc. zwischen Textbestandteilen werden nicht berücksichtigt. -r | - -recursive Verzeichnisse werden rekursiv (mit allen Dateien in Unterverzeichnissen) miteinander verglichen. -N | - -new-file Wenn beim Vergleich von Verzeichnissen eine Datei nur in einem Verzeichnis existiert, wird so getan, als würde sie auch im anderen vorhanden, dort aber leer sein. -u | - -unified Die Ausgabe erfolgt im unified-Format. In diesem Format stehen die veränderten Passagen aus Eingangs- und Ausgangsdatei immer hintereinander, sodass Veränderungen leichter zu erkennen sind. diff program_orig.c program.c > program.diff Vergleicht die beiden Dateien program_orig.c und program.c miteinander und schreibt Unterschiede in die Datei program.diff. diff -rNu src_orig src > src.diff Erzeugt eine Diff-Datei (src.diff) für die Dateien unterhalb der Verzeichnisse src_orig und src. Das Diff wird im Unified-Format erzeugt. Im Verzeichnis src neu hinzugekommene Dateien werden ebenfalls im Diff berücksichtigt. Siehe auch: cmp, patch.
dmesg Paket: util-linux
Kernmeldungen anzeigen und konfigurieren Information
dmesg [Optionen] Das Kommando gibt die letzten – noch zwischengespeicherten – Meldungen des Kerns aus. dmesg kann eingesetzt werden, um während des Bootens ausgegebene Meldungen des Kerns anzuzeigen oder in eine Datei zu schreiben. Achtung: Weil der Zwischenspeicher im Kern begrenzt ist, sollte das Programm sofort nach dem Starten des Rechners aufgerufen werden, falls alle Bootmeldungen angezeigt werden sollen. Dies geschieht nach dem Systemstart einmal automatisch. Alle bis dahin erzeugten Kernmeldungen werden in der Datei /var/log/dmesg gespeichert.
960
19 Kommandoübersicht
-c Löscht den Zwischenspeicher im Kern nach Ausgabe der Meldungen. -n Stufe Legt fest, welche Meldungen des Kerns auf der Konsole erscheinen sollen. Stufe 1 schließt alle Meldungen bis auf solche über kritische Systemfehler davon aus. dmesg | tee boot.log | less Schreibt die Kernmeldungen in die Datei boot.log und zeigt sie gleichzeitig mit dem Programm less an. Siehe auch: syslog.
dosfsck Paket: dosfstools
DOS-formatierten Datenträger prüfen Systemverwaltung, Kompatibilität
dosfsck [Optionen] Gerätedatei Das Programm prüft DOS-formatierte Datenträger (Dateisysteme FAT und VFAT) auf Fehler und beseitigt sie nach Möglichkeit. Es lässt sich mit dem Programm chkdsk unter DOS vergleichen. Standardmäßig (ohne eine der Optionen -a oder -r) wird der mit Gerätedatei angegebene Datenträger geprüft, und Fehler werden berichtet, aber nicht repariert. -a Alle Fehler werden ohne Nachfrage repariert. -l Die Namen der geprüften Dateien und Verzeichnisse werden ausgegeben. -r Bevor ein Fehler repariert wird, fragt das Programm nach, ob der Fehler behoben werden soll. -u Datei Es wird versucht, die mit Datei angegebene gelöschte Datei wieder herzustellen. Datei muss mit absolutem Pfadnamen ausgehend vom Wurzelverzeichnis des betreffenden Datenträgers angegeben werden. Hiermit steht für DOS-formatierte Datenträger die gleicher Funktionalität wie mit dem DOSKommando UNDELETE zur Verfügung. -V Nach der Reparatur wird ein weiterer Prüfdurchgang gestartet, um zu testen, ob alles funktioniert hat. dosfsck -a /dev/hda1 Prüft das DOS-Dateisystem auf der ersten Partition der ersten (E)IDE-Festplatte auf Fehler und repariert diese ohne nachzufragen. dosfsck -a -u "/dokument.doc" /dev/fd0 Stellt die gelöschte Datei dokument.doc auf der Diskette im Laufwerk /dev/ fd0 wieder her, sofern möglich. Siehe auch: mcheck, mkdosfs, e2fsck.
dpkg Paket: dpkg
Debian-Pakete verwalten Systemverwaltung, Information, Installation
dpkg [Optionen] Das Programm stellt die Benutzerschnittstelle zur Paketverwaltung unter Debian GNU/Linux dar. dpkg -i Paketdatei
19 Kommandoübersicht
961
Richtet das mit Paketdatei bezeichnete Debian-Paket ein. dpkg -r Paketname Entfernt das mit Paketname bezeichnete Debian-Paket vom System. dpkg --search Suchmuster Sucht unter den eingerichteten Paketen nach solchen, die Dateien enthalten, auf deren Namen das Suchmuster zutrifft. Das Suchmuster darf Jokerzeichen der Shell enthalten. Siehe auch: apt, dselect.
dselect Paket: dpkg
Debian-Installation interaktiv verwalten Systemverwaltung, Information, Installation
dselect [Optionen] [Aktion] Das Kommando ruft das Programm zur Verwaltung der Installation auf. Standardmäßig startet das Programm im Hauptmenü. Durch die Angabe einer der Aktionen access, update, select, install, config oder remove mit Aktion springt das Programm jedoch sofort zu der gewählten Aktion und beendet sich, nachdem die Aktion abgeschlossen ist. -expert Das automatische Anzeigen eines Hilfebildschirms nach Aufruf des Bildschirms zur Paketauswahl wird unterdrückt. dselect update Führt die Aktualisierung der Liste zur Verfügung stehender Pakete durch. dselect select Springt direkt in den Auswahlbildschirm von dselect und verlässt das Programm, wenn die Auswahl beendet ist. Siehe auch: apt, dpkg.
du Paket: coreutils
Verwendeten Speicherplatz anzeigen Information, Dateiverwaltung
du [Optionen] [Datei | Verzeichnis ...] Ohne Parameter aufgerufen zeigt das Programm den von allen Verzeichnissen und deren Unterverzeichnissen inklusive der darin enthaltenen Dateien benötigten Festplattenplatz in Kilobyte (1024 Byte große Blöcke) an. Alternativ werden diese Angaben für die mit Datei oder Verzeichnis angegebenen Dateien oder Verzeichnisse ausgegeben. -a | - -all Der benötigte Platz wird auch für einzelne Dateien ausgegeben. -s | - -summarize Es wird lediglich die Summe des benötigten Platzes ausgegeben. -x | - -one-file-system Dateien und Verzeichnisse auf anderen Datenträgern als denjenigen, auf denen die spezifizierten Dateien und Verzeichnisse liegen, werden in die Berechnung nicht mit einbezogen. -h | - -human-readable Die ausgegebenen Werte werden in sinnvollen Einheiten (Kilobyte, Megabyte etc.) ausgegeben.
962
19 Kommandoübersicht
du -hs /* Gibt den benötigten Platz für alle Verzeichnisse im Wurzelverzeichnis des Dateisystems getrennt aus. (Die Berechnung kann lange dauern.) du ~/ Gibt den von allen Verzeichnissen und deren Unterverzeichnissen im HomeVerzeichnis des aufrufenden Benutzers benötigten Festplattenplatz aus. Siehe auch: df, ls.
e2fsck Paket: e2fsprogs
Ext2-Partition überprüfen Systemverwaltung
e2fsck [Optionen] Gerätedatei Der mit Gerätedatei bezeichnete Datenträger oder die Partition wird auf Fehler im Dateisystem geprüft. Der Datenträger oder die Partition muss im Ext2-Format formatiert sein. Standardmäßig wird dabei zunächst überprüft, ob der Datenträger zuletzt ordnungsgemäß aus dem Dateisystem ausgehängt wurde und keine Prüfung vorgenommen, wenn dies der Fall ist. Andernfalls wird das Dateisystem auf Inkonsistenzen geprüft und – falls solche gefunden werden – nachgefragt, ob diese behoben werden sollen. e2fsck wird beim Systemstart automatisch aufgerufen, um eventuelle Inkonsistenzen zu beheben, die nach einem Stromausfall entstanden sein könnten. Daten, die nicht mehr einem Datei- oder Verzeichnisnamen zugeordnet werden können, werden im Verzeichnis lost+found im Wurzelverzeichnis des Datenträgers abgelegt. Zur Prüfung des Dateisystems benötigt e2fsck Informationen, die sich im Superblock des Dateisystems befinden. Ist dieser zerstört, kann alternativ ein anderer Superblock angegeben werden. Achtung: Eine zu prüfende Partition soll nicht eingehängt sein. Andernfalls riskiert man Datenverluste. -c Vor der Überprüfung des Dateisystems wird badblocks aufgerufen, um den Datenträger auf fehlerhafte Blöcke zu prüfen. Eventuell gefundene fehlerhafte Blöcke werden von der weiteren Benutzung ausgeschlossen. -b Superblock Informationen über das Dateisystem werden nicht aus dem ersten Superblock, sondern aus dem mit Superblock angegebenen Superblock gelesen. Gewöhnlich sind die Blöcke 8193, 16385 usw. auch Superblöcke. -f Die Überprüfung wird auch dann durchgeführt, wenn das Dateisystem sauber aussieht und normalerweise nicht überprüft werden muss. -l Dateiname Die in der mit Dateiname angegebenen Datei enthaltenen Blöcke werden zu der Liste fehlerhafter Blöcke hinzugefügt. Eine solche Datei kann beispielsweise mit badblocks erstellt werden. -L Dateiname Die Liste fehlerhafter Blöcke wird durch die Liste in der mit Dateiname angegebenen Datei überschrieben. -n Es werden lediglich Informationen über Fehler ausgegeben, der Datenträger wird nicht verändert. -p Fehler werden automatisch und ohne Nachfrage repariert, sofern möglich.
19 Kommandoübersicht
963
-C Dateideskriptor Während des Prüfvorgangs werden Statusinformationen auf den mit Dateideskriptor bezeichneten Deskriptor geschrieben. Die Option -C 0 zeigt einen Statusindikator auf der Standardausgabe an. -y Es wird angenommen, dass alle Fragen mit y beantwortet werden. Mit dieser Option kann das Programm ohne Benutzereinwirkung ausgeführt werden. e2fsck /dev/hda3 Die dritte primäre Partition auf der ersten (E)IDE-Festplatte wird auf Fehler im Dateisystem überprüft. e2fsck -p -c -C 0 -f /dev/sdb1 Die erste primäre Partition auf der zweiten SCSI-Festplatte wird überprüft, auch wenn die Partition sauber ist. Vor der Überprüfung des Dateisystems wird badblocks aufgerufen, um nach fehlerhaften Blöcken zu suchen. Eventuelle Fehler im Dateisystem werden automatisch repariert. Während des Prüfvorgangs wird ein Statusindikator angezeigt. e2fsck -b 8193 /dev/hda5 Zur Prüfung der ersten logischen Partition auf (E)IDE-Festplatte 1 wird der Superblock in Block 8193 benutzt. Siehe auch: fsck, badblocks, mke2fs, dumpe2fs, dosfsck.
fakeroot Paket: fakeroot
Privileg vortäuschen Entwicklung
fakeroot [Optionen] [- -][Kommando] fakeroot führt das mit Kommando angegebene Programm aus. Wenn kein Programm angegeben ist, wird eine Shell ausgeführt. Dem ausgeführten Programm wird dabei der Eindruck vermittelt, es würde mit den Rechten des Verwalters (root) ausgeführt. Es kann beispielsweise den Besitzer von Dateien ändern, was normalerweise nur durch den Verwalter geschehen kann. Rechte oder Besitzer werden nicht wirklich geändert. Vielmehr speichert fakeroot die neuen Rechte und kann sie später anderen Programmen wieder mitteilen. Durch diesen Trick ist es möglich, taar-Archive zu erstellen, die Dateien beinhalten, die root oder anderen Benutzern gehören. Das Programm wird benötigt, um Debian-Pakete als gewöhnlicher Benutzer zu erstellen. fakeroot whoami Gibt root aus, obwohl als gewöhnlicher Benutzer gearbeitet wird. fakeroot Ruft eine Shell auf. Programme, die von dieser Shell aus aufgerufen werden, können Operationen durchführen, die normalerweise nur vom Verwalter durchgeführt werden können. Wenn in dieser Shell hintereinander die Kommandos ls -l, chown root.root * und ls -l eingegeben werden, dann zeigt sich, dass es beim zweiten Aufruf von ls -l tatsächlich so aussieht, als würden alle Dateien im Arbeitsverzeichnis jetzt dem Verwalter gehören. Wenn die Shell daraufhin mit exit verlassen wird und wieder ls -l eingegeben wird, wird ersichtlich, dass Besitzer und Gruppe der Dateien nicht wirklich geändert wurden. Siehe auch: su, sudo, super, tar.
964
19 Kommandoübersicht
false Paket: coreutils
Erfolgloses Nichtstun Shellskripte
false Das Kommando bewirkt nichts, außer dass es den Rückgabewert 1 liefert, wodurch aufrufenden Programmen das Auftreten eines Fehlers angezeigt wird. false; echo $? Ruft das Kommando false auf und zeigt den Rückgabewert an. Siehe auch: true.
fdisk Paket: util-linux
Festplatte partitionieren Systemverwaltung, Installation
fdisk [-u] Gerätedatei Erlaubt das Verändern der Partitionstabelle auf dem mit Gerätedatei angegebenen Blockgerät (ganze Festplatte, z. B. /dev/hda). fdisk [-u] -l Gerätedatei Gibt die Partitionstabelle des mit Gerätedatei angegeben Blockgeräts aus. fdisk [-u] -s Gerätedatei Gibt die Größe (in 1024 KB großen Blöcken) der mit Gerätedatei angegebenen Partition (z. B. /dev/hda2) aus. fdisk ist das StandardPartitionierungsprogramm für Linux. Eine komfortableres Programm steht unter Debian GNU/Linux mit dem Programm cfdisk zur Verfügung. Nach dem Aufruf von fdisk können Kommandos eingegeben werden, die durch Eingabe des Kommandos m aufgelistet werden. Nach der Eingabe eines Kommandos werden zusätzliche Informationen wie die Größe einer anzulegenden Partition erfragt. Weitere Kommandos sind: • • • • •
p Die Partitionstabelle der mit fdisk bearbeiteten Festplatte wird ausgegeben. d Löscht eine Partition. n Legt eine neue Partition an. w Schreibt die Partitionstabelle zurück auf die Festplatte. q Beendet das Programm, ohne die Partitionstabelle zu schreiben.
-u Die Größe von Partitionen wird in Sektoren und nicht in Zylindern angegeben. fdisk -s /dev/sda5 Gibt die Blockanzahl der ersten logischen Partition der ersten SCSI-Festplatte aus. fdisk /dev/hda Erlaubt das interaktive Verändern der Partitionstabelle der ersten (E)IDE-Festplatte. Siehe auch: cfdisk, sfdisk, badblocks.
file Paket: file file [Optionen] Datei [Datei ...]
Dateityp bestimmen Dateiverwaltung
19 Kommandoübersicht
965
Das Programm untersucht, welchen Typ eine Datei hat und von welcher Art die in ihr enthaltenen Daten sind, wenn es sich um eine gewöhnliche Datei handelt. Dateitypen werden von dem Programm anhand von Zeichenfolgen in den Dateien erkannt. -z | - -uncompress Bei komprimierten Dateien wird untersucht, welchen Typ die in ihnen enthaltenen unkomprimierten Daten haben. -L | | - -dereference Bei symbolischen Links wird untersucht, welchen Typ die Dateien haben, auf die die angegebenen Links zeigen. file sol.exe Gibt den Typ der Datei sol.exe im Arbeitsverzeichnis aus. file /dev/sda5 Gibt den Dateityp der Datei /dev/sda5 aus. Hier handelt es sich um eine Gerätedatei.
find Paket: findutils
Datei suchen und finden Dateiverwaltung, Systemverwaltung
find [Verzeichnis] [Optionen] [Test] [Aktion] Das Programm stellt ein vielseitiges Werkzeug zum Suchen von Dateien nach unterschiedlichen Kriterien und zum Durchführen verschiedener Aktionen mit den gefundenen Dateien dar. find durchsucht den Verzeichnisbaum ausgehend von dem mit Verzeichnis angegebenen Verzeichnis. Es können auch mehrere Verzeichnisse angegeben werden, die dann hintereinander durchsucht werden. Wird kein Verzeichnis angegeben, startet find im Arbeitsverzeichnis. Für jede Datei wird ein mit Test bezeichneter Test durchgeführt. Es können auch mehrere Tests angegeben werden, die standardmäßig alle erfüllt sein müssen, damit die betreffende Datei als gefunden gilt. Wird Test nicht angegeben, gilt jede Datei als gefunden. Mit den gefundenen Dateien können mittels Aktion angegebene Aktionen ausgeführt werden. Wenn Aktion nicht angegeben ist, werden die Namen der gefundenen Dateien auf die Standardausgabe ausgegeben. -follow Symbolische Links werden wie die Dateien oder Verzeichnisse behandelt, auf die sie zeigen. -maxdepth Anzahl Gibt an, keine Dateien zu untersuchen, die mehr als mit Anzahl angegebene Verzeichnisebenen unter dem Startverzeichnis liegen. -maxdepth 1 untersucht nur die Dateien im oder in den Startverzeichnis(sen). -xdev Es werden keine Dateien und Verzeichnisse untersucht, die auf einem anderen Datenträger als das Startverzeichnis liegen. Tests: Einigen Tests müssen numerische Argumente übergeben werden. Diese haben folgendes Format: • • •
+Zahl bedeutet „ist größer als Zahl“. −Zahl bedeutet „ist kleiner als Zahl“. Zahl bedeutet „ist genau gleich Zahl“.
-amin Zahl Die Datei wurde vor Zahl Minuten das letzte Mal benutzt.
966
19 Kommandoübersicht
-mmin Zahl Die Datei wurde vor Zahl Minuten das letzte Mal geändert. -cmin Zahl Der Status der Datei wurde vor Zahl Minuten das letzte Mal geändert. -atime Zahl Die Datei wurde vor Zahl Tagen das letzte Mal benutzt. -mtime Zahl Die Datei wurde vor Zahl Tagen das letzte Mal geändert. -ctime Zahl Der Status der Datei wurde vor Zahl Tagen das letzte Mal geändert. -anewer Datei Die Datei wurde später als Datei benutzt. -newer Datei Die Datei wurde später als Datei geändert. -cnewer Datei Der Status der Datei wurde später als der von Datei geändert. -empty Die Datei oder das Verzeichnis ist leer. -group Name Die Datei ist mit der Gruppe Name verbunden. -user Name Die Datei gehört dem Benutzer Name. -nogroup Die Datei ist mit einer Gruppe verbunden, die es auf dem System nicht gibt. -nouser Die Datei gehört einem Benutzer, den es auf dem System nicht gibt. -name Name Die Datei hat einen Namen, der Name entspricht. Name darf Metazeichen enthalten, die durch Anführungszeichen vor der Interpretation durch die Shell geschützt werden müssen. -iname Name Wie -name, jedoch ohne Beachtung von Groß- und Kleinschreibung. -regex Name Der reguläre Ausdruck Name trifft auf den Dateinamen zu. -iregex Name Der reguläre Ausdruck Name trifft ohne Beachtung von Großund Kleinschreibung auf die Datei zu. -size Größe Die Datei hat eine Größe von Größe. Größe wird standardmäßig in 512 Byte großen Blöcken angegeben. Durch Nachstellen der Buchstaben c (Byte) oder k (Kilobyte) lässt sich dies ändern. -perm Rechte Die Rechte der Datei entsprechen den mit Rechte angegebenen Rechten. Rechte können auf die beiden vom Kommando chmod bekannten Weisen angegeben werden. -type Typ Die Datei ist vom Typ Typ. Für Typ können die folgenden Buchstaben benutzt werden: b (Blockgerätedatei), c (Zeichengerätedatei), d (Verzeichnis), p (FIFO), f (gewöhnliche Datei), l (symbolischer Link) und s (Socket). Einem Test kann das Argument -not vorangestellt werden, was bedeutet, dass der Test erfüllt ist, wenn die Bedingung nicht zutrifft. Weiter können Tests durch das Argument -or verknüpft werden. Die Datei gilt dann als gefunden, wenn eine der angegebenen Bedingungen erfüllt ist. Aktionen: -print Die Dateien werden auf die Standardausgabe geschrieben (Vorgabe). -fprint Datei Die Namen der gefundenen Dateien werden in die mit Datei angegebene Datei geschrieben. Wenn Datei bereits existiert, wird sie überschrieben. -ls Die Dateien werden wie mit dem Kommando ls -dils angezeigt.
19 Kommandoübersicht
967
-printf Format Zu jeder gefundenen Datei wird eine Ausgabe gemacht, die durch Format beschrieben ist. Mögliche Anweisungen hierzu finden sich in der Manual-Seite zu find. -exec Kommando ; Für jede gefundene Datei wird das mit Kommando angegebene Kommando ausgeführt. Kommando muss mit einem Semikolon als eigenem Argument enden. Wenn das Kommando die Zeichenfolge {} enthält, wird diese durch den aktuellen gefundenen Dateinamen ersetzt. -ok Kommando Wie -exec. Es wird jedoch vor der Ausführung jedes Kommandos nachgefragt, ob das betreffende Kommando wirklich ausgeführt werden soll. find Gibt die Namen aller Dateien im und unterhalb des Arbeitsverzeichnisses aus. find /dev -type f Gibt die Namen gewöhnlicher Dateien im Geräteverzeichnis aus. Die haben dort nichts zu suchen. find ~/ -mtime 7 -type f Gibt die Namen aller Dateien unterhalb des Home-Verzeichnisses des aufrufenden Benutzer aus, die innerhalb der letzten 7 Tage geändert worden sind und bei denen es sich um gewöhnliche Dateien handelt. find / -nogroup -or -nouser | tar -cvzf backup.tgz -T Findet alle Dateien auf dem System, die keiner gültigen Benutzergruppe zugeordnet sind oder keinem existierenden Benutzer gehören. Die Namen dieser Dateien werden an tar übergeben, welches sie liest und in das komprimierte Archiv backup.tgz schreibt. Siehe auch: locate, chmod, xargs, tar.
free Paket: procps
Freien Speicher anzeigen Systemverwaltung, Information
free Optionen Das Programm zeigt an, wieviel Arbeitsspeicher (RAM) und Auslagerungsspeicher (Swap) dem System zur Verfügung steht. Weiter wird ausgegeben, wieviel Speicher benutzt wird und wieviel Speicher als Dateisystemcache und als Shared-Memory eingesetzt ist. -t Unter der Ausgabe für RAM- und Swap-Speicher wird die Summe beider Speicherarten ausgegeben. Siehe auch: df, ps, top.
fsck Paket: e2fsprogs
Dateisystem prüfen Systemverwaltung
fsck [Optionen] [Gerätedatei ...] Das Programm prüft einen oder mehrere Datenträger auf Dateisystemfehler. Dazu ruft es die Prüfprogramme für die jeweiligen Dateisysteme, mit denen die ent-
968
19 Kommandoübersicht
sprechenden Datenträger formatiert sind, auf. Der Vorteil gegenüber dem manuellen Aufruf der Prüfprogramme besteht darin, dass fsck Partitionen auf unterschiedlichen Festplatten gleichzeitig (parallel) prüft, wodurch sich Zeit sparen lässt. Das Programm wird während des Systemstarts aus den Skripten in /etc/init. d/checkroot.sh und /etc/init.d/checkfs.sh aufgerufen. Alle Optionen, die von fsck nicht interpretiert werden können, werden an das oder die aufgerufene(n) Programm(e) weitergegeben. -A Es werden alle Datenträger geprüft, die in der Datei /etc/fstab eingetragen sind. -R Zusammen mit der Option -A: Der Datenträger mit dem Wurzeldateisystem wird nicht geprüft. -t Typ Gibt mit Typ den Dateisystemtyp auf dem zu prüfenden Datenträger an. -N Es wird kein Prüfprogramm aufgerufen, sondern nur ausgegeben, welche Programme wie aufgerufen werden würden, wenn diese Option nicht benutzt worden wäre. Siehe auch: e2fsck, dosfsck.
fuser Paket: psmisc
Prozesse anzeigen, die auf bestimmte Ressourcen zugreifen Prozessverwaltung
fuser [Optionen] [Name ...] Das Programm stellt – ähnlich wie das Programm lsof – eine Möglichkeit dar herauszufinden, welcher Prozess auf Ressourcen wie Dateien, Geräte oder Netzverbindungen zugreift. Standardmäßig zeigt fuser die Prozess-IDs der Prozesse an, die auf eine oder mehrere mit Name bezeichnete Ressource(n) zugreifen. Name wird dabei als Dateiname interpretiert, wobei spezielle Dateien wie Verzeichnisse oder Gerätedateien eingeschlossen sind. Zu jeder Prozess-ID zeigt fuser durch einen Buchstaben an, auf welche Art der Prozess die Ressource benutzt: • • • • •
c – Der Prozess benutzt ein Verzeichnis als Arbeitsverzeichnis. e – Die Datei wird ausgeführt. f – die Datei ist von dem Prozess geöffnet. r – Das Verzeichnis wird von dem Prozess als Wurzelverzeichnis benutzt. m – die Datei ist im Speicher abgebildet oder wird als Bibliothek benutzt.
-k Beendet die zugreifenden Prozesse durch das Signal SIGKILL -m Zeigt alle Prozesse an, welche auf Dateien zugreifen, die sich auf dem gleichen Datenträger befinden, wie die angegebenen Dateien. Mit der Option kann auch eine Gerätedatei angegeben werden, die den Datenträger repräsentiert. Sinnvoll beispielsweise um herauszufinden, welcher Prozess auf eine Diskette zugreift, die ausgehängt werden soll. -u Zu jedem Prozess wird der Name des Benutzers angegeben, dem der Prozess gehört. -v Die Ausgabe erfolgt mit Prozess-ID, Programmnamen und Art des Zugriffs.
19 Kommandoübersicht
969
-n Namensraum Wählt einen anderen Namensraum. Zur Verfügung stehen neben dem Standard file die Namensräume udp (lokaler UDP-Port) und tcp (lokaler TCP-Port). Ressourcen werden in diesen Namensräumen auf die folgende Weise angegeben: [lokal][,[Rechner][,[fern]]], wobei lokal den lokalen Port, fern den fernen Port und Rechner den fernen Rechner, mit dem eine Verbindung besteht, beschreibt. fuser brief.txt Zeigt an, welcher oder welche Prozess(e) auf die Datei brief.txt im Arbeitsverzeichnis zugreifen. fuser -uvm /dev/sda1 Zeigt an, welche Prozesse auf Dateien, die sich auf dem Datenträger /dev/sda1 (erste primäre Partition der ersten SCSI-Festplatte) befinden, zugreifen. Dabei werden die Prozess-IDs, die Namen der Programme, die Art der Zugriffe und die Besitzer der Prozesse angezeigt. fuser -n udp 137 Gibt die Prozess-ID des Prozesses an, der den UDP-Port 137 benutzt. Siehe auch: lsof, kill.
gpasswd Paket: passwd
Verwalter von Gruppen Benutzerverwaltung
gpasswd Gruppe Fügt der mit Gruppe bezeichneten Gruppe ein Passwort zu. Alle Benutzer können dann unter Angabe dieses Passworts in die bezeichnete Gruppe wechseln (Kommando newgrp). Mitglieder der Gruppe benötigen kein Passwort. gpasswd -r Gruppe Entfernt das Passwort zu einer Benutzergruppe. Danach können nur noch Mitglieder dieser Gruppe in die bezeichnete Gruppe wechseln. gpasswd -a Benutzer Gruppe Fügt den mit Benutzer bezeichneten Benutzer der mit Gruppe angegebenen Benutzergruppe zu. gpasswd -d Benutzer Gruppe Entfernt den mit Benutzer bezeichneten Benutzer aus der mit Gruppe bezeichneten Benutzergruppe. gpasswd -A Benutzer [Benutzer ...] Gruppe Ernennt den oder die mit Benutzer angegebenen Benutzer zu Verwaltern der mit Gruppe spezifizierten Benutzergruppe. Gruppenverwalter dürfen die Passwörter von Gruppen verändern und Benutzer den von ihnen verwalteten Gruppen hinzufügen und sie wieder entfernen. gpasswd -A meier verkauf Ernennt den Benutzer meier zum Verwalter der Benutzergruppe verkauf. Benutzer meier kann dann folgende Kommandos ausführen: gpasswd verkauf Setzt ein Passwort für die Gruppe verkauf.
970
19 Kommandoübersicht
gpasswd -a schulze verkauf Fügt den Benutzer schulze der Gruppe verkauf hinzu. Siehe auch: newgrp, addgroup.
grep Paket: grep
Textdateien durchsuchen Textverarbeitung, Information, Shellskripte
grep [Optionen] [Suchbegriff] [Datei ...] Das Programm liest Daten aus einer oder mehreren mit Datei angegebenen Datei(en) oder von der Standardeingabe, wenn keine Datei angegeben ist, und durchsucht die gelesenen Daten nach der mit Suchbegriff angegebenen Zeichenfolge. Mit rgrep lassen sich Verzeichnisse rekursiv greppen. Standardmäßig werden die Zeilen ausgegeben, in denen der Suchbegriff enthalten ist. Der angegebene Suchbegriff wird ohne Angaben weiterer Optionen als regulärer Ausdruck interpretiert. Dabei ist zu beachten, dass grep zwei Formen von regulären Ausdrücken unterstützt: Einfache reguläre Ausdrücke und erweiterte reguläre Ausdrücke. Sie unterscheiden sich im wesentlichen dadurch, dass die Zeichen ?, +, {, |, ( und ) bei einfachen regulären Ausdrücken keine besondere Bedeutung haben und ihnen ein Backslash vorangestellt werden muss, um die besondere Funktionalität dieser Zeichen zu verwenden. In erweiterten regulären Ausdrücken werden diese Zeichen als Sonderzeichen regulärer Ausdrücke interpretiert. Voreinstellung ist die Interpretation des angegebenen Suchbegriffs als einfacher regulärer Ausdruck. Bei der Verwendung von Sonderzeichen ist darauf zu achten, dass diese durch Anführungszeichen vor der Interpretation durch die Shell geschützt werden müssen. -E | - -extended-regexp Der angegebene Suchbegriff wird als erweiterter regulärer Ausdruck interpretiert. -F | - -fixed-strings Sonderzeichen im Suchbegriff werden nicht interpretiert. Das heißt, es werden keine regulären Ausdrücke benutzt. -Anzahl Es wird die mit Anzahl angegebene Anzahl von Zeilen vor und nach den Zeilen ausgegeben, in denen der Suchbegriff vorkommt. -A Anzahl | - -after-context=Anzahl Es wird die mit Anzahl angegebene Anzahl von Zeilen nach den Zeilen, in denen der Suchbegriff vorkommt, ausgegeben. -B Anzahl | - -before-context=Anzahl Es wird die mit Anzahl angegebene Anzahl von Zeilen vor den Zeilen, in denen der Suchbegriff vorkommt, ausgegeben. -c | - -count Es wird nur ausgegeben, wie oft der Suchbegriff in den gelesenen Daten vorkommt. -f Datei | - -file=Datei Der Suchbegriff wird aus der mit Datei bezeichneten Datei gelesen. -h | - -no-filename Beim Durchsuchen mehrerer Dateien gibt grep gewöhnlich die Namen der Dateien mit aus, in denen der Suchbegriff vorkommt. Dieses Verhalten wird hierdurch unterdrückt. -i | - -ignore-case Bei der Suche wird nicht zwischen Groß- und Kleinschreibung unterschieden.
19 Kommandoübersicht
971
-l | - -files-with-match Es werden nur die Namen der Dateien ausgegeben, in denen der Suchbegriff enthalten ist. -n | - -line-number Es werden zusätzlich die Zeilennummern der Zeilen, in denen der Suchbegriff vorkommt, mit ausgegeben. -v | - -revert-match Es werden die Zeilen als zutreffend interpretiert, in denen der Suchbegriff nicht vorkommt. grep hallo brief.txt Gibt alle Zeilen der datei brief.txt aus, in denen das Wort hallo vorkommt. grep [dD]ebian -c /usr/share/doc/*/*txt Gibt für alle Dateien in Unterverzeichnissen von /usr/share/doc mit der Endung *txt aus, wie oft in ihnen das Wort debian vorkommt, wobei dieses Wort am Anfang auch groß geschrieben sein kann. grep -i -l beer ~/* | xargs tar -cvzf beer.tar.gz Durchsucht alle Dateien im Home-Verzeichnis des aufrufenden Benutzers (ohne Unterverzeichnisse) und übergibt die Namen der Dateien, in denen dieser Suchbegriff vorkommt, an das Programm xargs, welches damit tar aufruft, um diese Dateien in das tar-Archiv beer.tar.gz zu schreiben. Siehe auch: rgrep, zgrep, sed, xargs, find.
groupdel Paket: passwd
Benutzergruppe löschen Benutzerverwaltung
groupdel Gruppe Das Programm löscht die mit Gruppe angegebene Benutzergruppe vom System. Siehe auch: userdel, addgroup, gpasswd.
groups Paket: coreutils
Gruppenmitgliedschaft anzeigen Information, Benutzerverwaltung
groups [Benutzername] Das Kommando zeigt, in welchen Benutzergruppen der aufrufende Benutzer Mitglied ist. Wird dem Kommando ein Benutzername als Argument übergeben, zeigt es, in welchen Benutzergruppen der mit Benutzername angegebene Benutzer Mitglied ist. Siehe auch: gpasswd, newgroup.
gs Paket: gs, gs-aladdin
PostScript-Dokument umwandeln Drucken, Kompatibilität
gs [Optionen] [Datei ..] Das Programm liest eine oder mehrere mit Datei angegebene PostScript-Datei(en) und führt die darin enthaltenen PostScript-Anweisungen aus. Nach Abarbeitung aller Kommandos liest das Programm weiter von der Standardeingabe, bis es ein Dateiende (Tastenkombination +) feststellt. Das Programm wird auch durch das Kommando quit beendet. Der Hauptzweck von gs besteht in der Umwandlung
972
19 Kommandoübersicht
von PostScript-Dokumenten in ein Format, das von dem an das System angeschlossenen Drucker unterstützt wird. Hierzu muss ein Gerät ausgewählt werden, für das gs die Konvertierung durchführt. Standardmäßig benutzt gs das Gerät x11, mit dem der Inhalt von PostScript-Dateien am Bildschirm in einem X11-Fenster dargestellt wird. Zum Betrachten von PostScript-Dokumenten unter X11 stehen komfortablere Programme (ghostview oder gv) zur Verfügung, die jedoch gs zur eigentlichen Darstellung benutzen. Normalerweise braucht gs nicht vom Benutzer aufgerufen zu werden, sondern wird vom Drucksystem während des Druckens von Dokumenten automatisch aufgerufen. -sDEVICE=Gerät Wählt das mit Gerät angezeigte Gerät aus. Eine Liste unterstützter Geräte wird angezeigt. wenn gs mit der Option --help aufgerufen wird. -r XAuflösungxYAuflösung Legt die Auflösung fest, in der die Ausgabe erfolgen soll. Die Auflösung wird in dpi angegeben und muss vom Ausgabegerät unterstützt werden. Beispiel: -r 600x300 legt eine Auflösung von 600 dpi horizontal und 300 dpi vertikal fest. -sOutputFile=Datei Die Ausgabe wird in die mit Datei bezeichnete Datei geschrieben. Wenn die Datei schon existiert, wird sie überschrieben. Wird als Datei ein Minuszeichen angegeben, dann wird die Ausgabe auf die Standardausgabe gegeben. Durch das Pipe-Zeichen (|) wird die Ausgabe an ein dahinter stehendes Programm geleitet. -sPAPERSIZE=Papiergröße Legt die Papiergröße des Ausgabemediums fest. Standardmäßig wird die mit paperconfig festgelegte Papiergröße benutzt. Bekannte Papiergrößen sind in der Manualseite zu dem Programm aufgeführt. -dNOPAUSE Legt fest, dass nach der Bearbeitung einer Seite keine Pause gemacht werden soll. -dBATCH Legt fest, dass gs nach Bearbeiten der letzten Datei beendet wird. -q Unterdrückt die Meldungen, die beim Start von gs ausgegeben werden. gs -q -sDEVICE=jpeg -dNOPAUSE -dBATCH -sOutputFile=bild.ps > bild.jpg Konvertiert die mit bild.ps angegebene PostScript-Datei in die JPEG-Datei bild.jpg. gs -q -sDEVICE=pdfwrite -dNOPAUSE -dBATCH -sOutputFile=bericht.pdf bericht.ps Konvertiert die Datei bericht.ps in das PDF-Format und legt das Ergebnis in der Datei bericht.pdf ab. Siehe auch: ghostview, gv.
gunzip Paket: gzip
Datei dekomprimieren Dateiverwaltung
gunzip [Optionen] [Datei ...] Das Programm dekomprimiert die mit Datei angegebene(n) Datei(en) oder liest von der Standardeingabe, wenn keine Dateien angegeben sind. Komprimierte Da-
19 Kommandoübersicht
973
teien haben die Kennung .gz oder .Z. Beim Dekomprimieren von Dateien prüft gunzip zunächst, ob die Dateiendungen auf komprimierte Daten schließen lassen. Falls nein, gibt das Programm eine Fehlermeldung aus. Danach wird – auch bei von der Standardeingabe gelesenen Daten – anhand einer Signatur in den Daten untersucht, ob es sich tatsächlich um komprimierte Daten handelt. Auch hier erfolgt eine Fehlermeldung, wenn die Signatur nicht gefunden werden konnte. Wenn gunzip Dateien dekomprimiert, schreibt es das Ergebnis standardmäßig in Dateien mit dem gleichen Namen, von denen die Kennungen .gz, .Z usw. entfernt werden. Rechte, Besitzer und Gruppe der Dateien bleiben erhalten. Die Ausgangsdateien werden gelöscht. Bei der Dekomprimierung von Daten, die das Programm von der Standardeingabe liest, werden die dekomprimierten Daten auf die Standardausgabe geschrieben. -c | - -stdout Die dekomprimierten Daten werden immer auf die Standardausgabe geschrieben. -l | - -list Zu jeder komprimierten Datei werden einige Informationen ausgegeben (Größe vorher, Größe nachher usw.). Die Daten werden nicht dekomprimiert. -r | - -recursive Wenn es sich bei den zu dekomprimierenden Dateien um Verzeichnisse handelt, werden alle komprimierten Dateien in den Verzeichnissen und rekursiv in allen Unterverzeichnissen dekomprimiert. -t | - -test Es wird nur getestet, ob die Integrität der komprimierten Dateien gewährleistet ist. -f | - -force Dekomprimiert Daten auch dann, wenn normalerweise nicht dekomprimiert werden würde, weil eine Datei mit dem Namen der zu erzeugenden Datei bereits existiert oder die Datei mehrere Verzeichniseinträge hat. gunzip bild1.jpg.gz Dekomprimiert die Datei bild1.jpg.gz und schreibt das Ergebnis in die Datei bild1.jpg. Die Ausgangsdatei wird gelöscht. gunzip -lr ~/ Gibt für jede komprimierte Datei im Home-Verzeichnis des aufrufenden Benutzers und rekursiv in allen Unterverzeichnissen Informationen aus. cat archiv.tgz | gunzip | tar -xvf Gibt die Daten der Datei archiv.tgz in die Standardeingabe von gunzip, welches sie dekomprimiert und dann an tar weiterleitet. Dieses Programm packt die in den Daten enthaltenen Dateien aus. Siehe auch: gzip, zcat, zless, zforce, bunzip2.
gzip Paket: gzip
Datei komprimieren Dateiverwaltung
gzip [Optionen] [Datei ...] Das Programm komprimiert eine oder mehrere mit Datei angegeben Datei(en) und schreibt das Ergebnis in neue Dateien, die den gleichen Namen wie die Ausgangsdateien haben, aber die Kennung .gz erhalten. Die Ausgangsdateien werden gelöscht.
974
19 Kommandoübersicht
Besitzer, Rechte und Gruppenzuordnung bleiben erhalten. Wenn keine Dateien angegeben sind, liest das Programm von der Standardeingabe und schreibt die Daten komprimiert auf die Standausgabe. -c | - -stdout Die Daten werden in jedem Fall auf die Standardausgabe geschrieben, und die Originaldateien werden nicht verändert. -f | - -force Dateien werden auch dann komprimiert, wenn sie mehrere Verzeichniseinträge haben oder eine Datei mit dem Namen der zu erzeugenden Datei bereits existiert. -r | - -recursive Wenn es sich bei einer oder mehreren der angegebenen Dateien um Verzeichnisse handelt, werden alle Dateien darin und rekursiv in allen Unterverzeichnissen komprimiert. -Factor Gibt die Stärke der Kompression an. Erlaubte Werte für Factor sind die Zahlen 1 bis 9, wobei der Wert 1 geringste Kompression (bei höchster Geschwindigkeit) und der Wert 9 höchste Kompression (bei niedrigster Geschwindigkeit) spezifiziert. gzip bild.jpg Komprimiert die Datei bild.jpg und schreibt das Ergebnis in die Datei bild.jpg.gz. Die Ausgangsdatei wird gelöscht. gzip -r alter_kram/ Komprimiert alle Dateien im Verzeichnis alter_kram und rekursiv in allen Unterverzeichnissen dieses Verzeichnisses. cat brief.txt | gzip | gunzip | less Übergibt den Inhalt der Datei brief.txt an das Programm gzip, wo er komprimiert wird. Das Ergebnis geht weiter an gunzip, wo es wieder dekomprimiert wird, und an das Programm less, wo es schließlich angezeigt wird. Siehe auch: gunzip, zcat, zip, tar, bzip2.
halt Paket: sysvinit
System anhalten Systemverwaltung
halt [Optionen] Das Kommando fährt das System herunter und hält es an. Dann kann es ausgeschaltet oder über die Reset-Taste neu gestartet werden. Siehe auch: init, shutdown, reboot, poweroff.
hdparm Paket: hdparm
(E)IDE-Festplatteneinstellungen anzeigen und ändern Systemverwaltung
hdparm [Optionen] Gerätedatei [Gerätedatei ...] Das Programm zeigt die Einstellungen einer oder mehrerer der durch mit Gerätedatei bezeichneten Gerätedateien repräsentierten Festplatten an und kann diese verändern. Die meisten Optionen funktionieren nur mit (E)IDE-Festplatten.
19 Kommandoübersicht
975
-a [Anzahl] Legt fest, wieviele Sektoren im voraus gelesen werden sollen oder gibt diese Einstellung aus, wenn Anzahl nicht angegeben wurde. Voreinstellung ist 8 Sektoren. -c [Zahl] Schaltet den 32-Bit-Zugriff auf die entsprechende Festplatte an, wenn Zahl 1 ist oder aus, wenn Zahl 0 ist und auf einen speziellen Kompatibilitätsmodus, der von einigen Chipsätzen benötigt wird, wenn Zahl 3 ist. Wenn Zahl nicht angegeben wird, wird die momentane Einstellung ausgegeben. -C Gibt den momentanen Stromverbrauchsmodus des Laufwerks aus. -f Führt dazu, dass bei der Beendigung des Programms der Festplattencache für die entsprechende Festplatte synchronisiert wird. -g Gibt die Festplattengeometrie (Zylinder, Köpfe, Sektoren) aus. -i Zeigt die Identifikationsinformationen des Laufwerkes an. -m [Zahl] Schaltet den Block-Modus aus, wenn Zahl 0 ist oder legt fest, wieviele Sektoren gleichzeitig gelesen werden sollen, wenn Zahl größer 0 ist. Die maximale Anzahl gleichzeitig lesbarer Sektoren ist von Laufwerk zu Laufwerk unterschiedlich. -S Zahl Legt die Zeitdauer fest, nach deren Ablauf das Laufwerk auf den Bereitschaftsmodus schaltet. Wenn Zahl zwischen 1 und 240 liegt, wird sie als ein Vielfaches von 5 s interpretiert. Wenn Zahl zwischen 241 und 251 liegt, wird von ihr 240 abgezogen und das Ergebnis als ein Vielfaches von 30 Minuten interpretiert. Der Wert 0 bewirkt, dass das Laufwerk nie in den Bereitschaftsmodus schaltet. Der Wert sollte nicht zu niedrig gewählt werden, weil häufiges Anlaufen einer Festplatte den Verschleiß erhöht. -u [Zahl] Bestimmt, ob der Kern andere Interrupts behandeln darf, während ein Festplatteninterrupt bearbeitet wird. Wenn Zahl 1 ist, wird die Eigenschaft eingeschaltet und wenn Zahl 0 ist, wird sie ausgeschaltet. Wenn Zahl nicht angegeben ist, wird die momentane Einstellung ausgegeben. Die Einstellung 1 kann bei Verwendung einiger IDE-Chipsätze zu Datenverlusten führen, erhöht jedoch im allgemeinen die Gesamtleistung des Systems. -v Zeigt alle Einstellungen an. Siehe auch: fdisk, cfdisk, sync.
host Paket: dnsutils
DNS Abfrage Netz
host [Optionen] Name | IP-Adresse [DNS-Server] Das Programm ist ein einfaches Werkzeug zur Abfrage von DNS-Servern. Es ersetzt das veraltete Kommando nslookup. -t Typ des gefragten Eintrags -a Alle Einträge -v verbose, ausführlich host ftp.de.debian.org Liefert 141.76.2.4 als IP-Adresse zurück. host -av 141.76.2.4
976
19 Kommandoübersicht
Liefert ftp.de.debian.org als Namen zurück. host -t SOA debian.org Liefert raff.debian.org als Start Of Authority (SOA) zurück. Siehe auch: dig.
hostname Paket: hostname
Rechnernamen anzeigen und setzen Information, Systemverwaltung, Shellskripte
hostname [Optionen] [Rechnername] Das Kommando wird benutzt, um den Namen des Rechners, auf dem es aufgerufen wird, anzuzeigen oder zu ändern. Wird hostname ohne Parameter aufgerufen, zeigt es den Rechnernamen an. Wenn es mit einem Rechnernamen als Parameter aufgerufen wird, setzt es den Rechnernamen auf den angegebenen Wert. Dadurch wird nicht die Datei /etc/hostname verändert, die beim Systemstart benutzt wird, um den Rechnernamen zu setzen. Nach einem Systemstart ist der Rechnername wieder der alte, wenn er nicht auch in dieser Datei verändert wurde. -d | - -domain Zeigt den Namen der DNS-Domäne an, in der sich der Rechner befindet. -F Datei | - -file Datei Liest den zu setzenden Rechnernamen aus der mit Datei bezeichneten Datei. -f | - -fqdn Zeigt den vollqualifizierten Domänennnamen. Er setzt sich aus dem Rechnernamen und dem Domänennnamen zusammen und ist in der Regel der Name, unter dem ein Rechner im Internet zu erreichen ist. -i | - -ip-address Zeigt die Internetadresse ersten Netzinterfaces an. -y | - -yp Gibt den NIS-Domänennamen aus. hostname -F /etc/hostname Setzt den Rechnernamen auf den in der Datei /etc/hostname angegebenen Wert. Siehe auch: netstat, ifconfig.
hwclock Paket: util-linux
Hardware-Uhr anzeigen und stellen Systemverwaltung
hwclock [Optionen] Ohne Optionen aufgerufen zeigt das Programm die aktuelle Uhrzeit und das Datum an, wie es von der Hardwareuhr des Rechners berichtet wird. Diese Uhr wird benötigt, um die Systemzeit nach dem Einschalten des Rechners oder nach einem Neustart richtig einzustellen. - -systohc Stellt die Hardwareuhr auf die aktuelle Systemzeit. - -hctosys Stellt die Systemzeit auf die von der Hardwareuhr berichtete Zeit. - -set - -date=Datum Stellt die Uhrzeit auf das mit Datum angegebene Datum und Uhrzeit. Datum muss wie bei date angegeben werden.
19 Kommandoübersicht
977
- -adjust Das Programm speichert in der Datei /etc/adjtime, ob die Hardwareuhr vor- oder nachgeht und in welchem Umfang sie dies tut. Die Information wird bei jeder Neueinstellung der Hardwareuhr durch die Optionen - -systohc oder - -set aktualisiert. Durch den Aufruf mit - -adjust passt das Programm die Hardwareuhr um die Abweichung seit dem letzten Stellen an. Wenn dabei von der Realität abweichende Ergebnisse herauskommen, sollte die Datei /etc/adjtime gelöscht werden. hwclock - -set - -date 16:50 Stellt die Hardwareuhr des Rechners auf 16.50 Uhr ein. Das Datum wird beibehalten. Siehe auch: date, tzconfig, ntpdate.
id Paket: coreutils
Benutzer- und Gruppenzugehörigkeit anzeigen Information, Shellskripte
id [Optionen] [Benutzer] Ohne Parameter aufgerufen zeigt das Programm die Benutzer-ID des aufrufenden Benutzers sowie die Benutzergruppen-IDs der Gruppen n, denen der Benutzer angehört. Hinter jeder ID wird in Klammern der Name der betreffenden Gruppe und des Benutzers ausgegeben. Wenn dem Programm ein Benutzername übergeben wurde, gibt es diese Informationen für den mit Benutzer angegebenen Benutzer aus. Als erste Gruppen-ID wird immer die ID der Gruppe ausgegeben, welche die aktive Gruppe des Benutzers ist. -g | - -group Es wird nur die ID der aktiven Gruppe (für den aufrufenden Benutzer) oder die ID der primären Gruppe (für andere Benutzer) ausgegeben. -G | - -groups Es werden nur die IDs der Gruppen ausgegeben, denen der Benutzer angehört. -u | - -user Gibt nur die Benutzer-ID aus. -n | - -names Gibt zusammen mit einer der Optionen -g, -n oder -u die Namen des Benutzers oder der Gruppen an Stelle der IDs aus. Siehe auch: whoami, newgrp, gpasswd.
info Paket: info
Dokumentation im GNU-Info-Format anzeigen Dokumentation, Information
info [Optionen] [Menüeintrag] Das Programm dient zum Lesen von Dokumentation im GNU-Info-Format. Standardmäßig öffnet das Programm nach seinem Start die Datei /usr/info/dir, in der sich Verweise auf alle Themen und Programme, die im Info-System dokumentiert sind, finden lassen. Wird mit Menüeintrag ein Menüeintrag angegeben, springt das Programm gleich dorthin. Das Programm wird mit der Taste verlassen.
978
19 Kommandoübersicht
-f Datei Weist info an, zu Beginn die mit Datei angegebene Datei anzuzeigen. -n Abschnitt Zusammen mit der Option -f zeigt info den mit Abschnitt spezifizierten Abschnitt in der entsprechenden Datei an. -o Datei Die Informationen werden nicht angezeigt, sondern in die mit Datei angegebene Datei geschrieben. Wenn eine Datei mit diesem Namen bereits existiert, wird sie überschrieben. info ls Startet das Programm info und zeigt den Inhalt des Menüeintrags ls an. info -f coreutils -n "ls invocation" -n "rm invocation" -o hilfe.txt Gibt den Inhalt der beiden Abschnitte ls invocation und rm invocation aus der Info-Datei coreutils in die Datei hilfe.txt aus. Siehe auch: emacs, man.
init Paket: sysvinit
Runlevel wechseln Systemverwaltung
init [Runlevel | Option] Das Programm erfüllt zwei Aufgaben. Zum einen ist es das erste Programm, das nach dem Start des Kerns ausgeführt wird, alle weiteren Programme zur Systeminitialisierung ausführt und dann entsprechend seiner Konfiguration in der Datei /etc/inittab Programme startet, die Benutzern die Anmeldung am System ermöglichen (üblicherweise das Programm getty). Zum anderen wird init dazu benutzt, den Runlevel des Systems zu verändern. Ein Runlevel ist ein Status des Systems, in dem bestimmte Dienste aktiv sind. Es stehen 7 Runlevel zur Verfügung, die mit den Zahlen 0-6 bezeichnet werden. Runlevel 0 wird zum Anhalten des Systems und Runlevel 6 zum Neustarten des Systems benutzt. Der Standardrunlevel ist 2. Runlevel 1 ist der Single-User-Modus, in dem sich nur der Systemverwalter an das System anmelden kann und die meisten Dienste nicht ausgeführt werden. Dieser Runlevel kann benutzt werden, um Aufgaben der Systemverwaltung durchzuführen, während derer keine Benutzer das System verwenden dürfen. Ein Beispiel für eine solche Aufgabe ist das Prüfen von Festplattenpartitionen, auf denen sich Benutzerdaten befinden. Um den Runlevel zu verändern, wird dem Programm die Zahl des gewünschten Runlevels übergeben. Q Führt dazu, dass init seine Konfiguration neu liest und den Zustand des Systems an die neue Konfiguration anpasst. Der Runlevel wird dabei nicht geändert. R Führt dazu, dass init sich selbst neu ausführt, ohne den Runlevel zu ändern. Das Kommando ist notwendig, um das Programm init selbst zu ersetzen, ohne das System neu starten zu müssen. init 1 Bringt das System in den Single-User-Modus. init 2
19 Kommandoübersicht
979
Bringt das System in den Standard-Runlevel 2 Siehe auch: shutdown, runlevel, reboot, halt, getty.
insmod Paket: modutils
Kernmodul laden Systemverwaltung
insmod [Optionen] Modul [Parameter=Wert ...] Das Kommando lädt das mit Modul bezeichnete Modul in den Kern. Optional wird der mit Parameter angegebene Modulparameter auf den durch Wert spezifizierten Wert gesetzt. -f Versucht, das Modul auch dann zu laden, wenn Kernversion und Modulversion nicht übereinstimmen. -p Testet, ob der Kern alle Funktionen bietet, die das Modul benötigt. Der Rückgabewert des Kommandos ist 0, wenn alle Bedingungen erfüllt sind. -k Das Modul darf automatisch entfernt werden, wenn es nicht benötigt wird. insmod -f sb irq=5 dma=0 dma16=5 mpu_io=0x330 io=0x220 Lädt das Modul sb auch dann, wenn Modulversion und Kernversion nicht übereinstimmen. Die Modulparameter irq, dma, dma16, mpu_io und io werden auf die angegebenen Werte gesetzt. Siehe auch: modprobe, modconf, rmmod.
kill Paket: procps
Signal an Prozess senden Prozessverwaltung
kill [-Signalname | -n Signalnummer] Prozess-ID kill sendet ein Signal an den oder die Prozess(e) mit der oder den durch Prozess-ID bezeichneten Prozess-ID(s). Ein Signal wird durch seine Nummer wie 15 oder seinen Namen wie SIGTERM bezeichnet. Was ein Prozess mit dem Signal anfängt, steht weitgehend in seinem Belieben; im einfachsten Fall ignoriert er es. Wenn kein Signal angegeben wird, sendet kill das Signal SIGTERM (15), was in den meisten Fällen dazu führt, dass der Prozess sich geordnet beendet. Das Signal Nr. 9 mit Namen SIGKILL führt unabänderlich dazu, dass sich ein Prozess sofort beendet, wobei Überreste wie temporäre Dateien bestehen bleiben. Ein gewöhnlicher Benutzer kann nur seine eigenen Prozesse beeinflussen. Eine Liste der Signale bekommt man mit man 7 signal. Neben dem Programm /bin/kill steht ein in die bash eingebautes Kommando gleichen Namens zur Verfügung, das vorrangig aufgerufen wird und mit dem es auch möglich ist, Job-Nummern anstatt von Prozess-IDs anzugeben. JobNummern muss ein Prozentzeichen vorangestellt sein, damit sie von Prozess-IDs unterschieden werden können. kill 4711 Sendet das Signal SIGTERM (Nr. 15) an den Prozess mit dem Identifier 4711 und bittet ihn, Schluss zu machen. kill -SIGHUP 4711
980
19 Kommandoübersicht
Sendet das Signal SIGHUP (Nr. 1) an den Prozess mit dem Identifier 4711. kill -n 10 4711 Sendet das Signal Nr. 10 (SIGUSR1) an den Peozess mit dem Identifier 4711. Siehe auch: killall, ps.
killall Paket: psmisc
Prozess beenden Prozessverwaltung
killall [Optionen] Programmname [Programmname ...] Das Programm hat eine ähnliche Aufgabe wie das Programm kill mit dem Unterschied, dass ihm nicht die Prozess-IDs der Prozesse, an die Signale geschickt werden sollen, übergeben werden, sondern dass der Name der betreffenden Programme angegeben werden muss. Weil der Name eines Programms nicht eindeutig einen Prozess spezifiziert (es können mehrere gleichzeitig laufen), sendet das Programm das angegebene Signal an alle Prozesse mit den mit Programmname angegebenen Namen. Genauso wie kill benutzt killall das Signal SIGTERM, das Prozesse dazu bringt, sich zu beenden. -Signal Es wird das mit Signal angegebene Signal übermittelt. Signale können mit ihrem Namen (ohne SIG) oder mit ihrer Nummer angegeben werden. -i Bevor ein Signal an einen Prozess übermittelt wird, wird nachgefragt, ob dies tatsächlich geschehen soll. -l Alle dem Programm bekannten Signalnamen werden ausgegeben. -q Es wird keine Fehlermeldung ausgegeben, wenn kein passender Prozess gefunden wurde. killall wine Sendet an alle Prozesse, deren Programmname wine lautet, das Signal SIGTERM (Beendigung). killall -9 gnuchessx Beendet alle Prozesse, deren Programmname gnuchessx lautet, sofort und ohne ihnen Gelegenheit zur selbstständigen Beendigung zu geben. Siehe auch: kill, ps, top.
ldconfig Paket: libc6
DLL-Konfiguration aktualisieren Systemverwaltung
ldconfig [Optionen] [Verzeichnis | Datei] Das Programm aktualisiert die Information des Systems darüber, welche dynamischen Bibliotheken (DLLs) zur Verfügung stehen. Dazu liest es zum einen die Konfigurationsdatei /etc/ld.so.conf, in der Verzeichnisse mit systemweit verfügbaren Bibliotheken eingetragen sind und untersucht den Inhalt dieser Verzeichnisse sowie den der Verzeichnisse /lib und /usr/lib. Das Programm sollte immer dann ausgeführt werden, wenn allgemein zugängliche DLLs dem System hinzugefügt, entfernt oder aktualisiert worden sind. Wird dem Programm der Name eines
19 Kommandoübersicht
981
Verzeichnisses als Argument übergeben, dann werden DLLs in diesem Verzeichnis der Konfiguration hinzugefügt. Wenn der Dateiname einer Bibliothek angegeben wird, wird nur diese Bibliothek der Konfiguration hinzugefügt. -v Zeigt die Namen aller Verzeichnisse sowie alle erzeugten Symlinks an. -q Alle Warnungen werden unterdrückt. -f Datei Es wird die mit Datei bezeichnete Datei an Stelle der normalerweise benutzten Konfigurationsdatei /etc/ld.so.conf verwendet. -p Die Konfiguration wird nicht verändert. Es wird die aktuelle Konfiguration ausgegeben. Siehe auch: ldd.
ldd Paket: libc6
DLL-Abhängigkeiten ausgeben Information
ldd [Optionen] DLL | Programm Das Programm ldd zeigt an, welche dynamischen Bibliotheken (DLLs) von dem mit Programm angegebenen Programm oder der mit Bibliothek angegebenen Bibliothek benötigt werden, um ausgeführt werden zu können bzw. funktionsfähig zu sein. Wenn die benötigten Bibliotheken auf dem System vorhanden sind, wird zusätzlich ausgegeben, welche Dateien im Falle der Ausführung des angegebenen Programms oder des Ladens der angegebenen Bibliothek benutzt werden würden, um Programm oder Bibliothek funktionsfähig zu machen. Dadurch lässt sich beispielsweise erkennen, welche Bibliotheken nachinstalliert werden müssen, wenn ein selbstinstalliertes Programm nicht laufen will. Siehe auch: ldconfig.
less Paket: less
Textdatei seitenweise anzeigen Information, Textverarbeitung
less [Optionen] [Datei ...] Das Programm stellt eine Alternative zu dem Programm more dar und erlaubt ebenfalls, Textdateien bildschirmweise zu betrachten. less bietet gegenüber more mehr Funktionalität und hat gegenüber Texteditoren den Vorteil, dass es Dateien schneller lädt und startet. Standardmäßig zeigt das Programm eine oder mehrere mit Datei angegebene Dateien an oder liest von der Standardeingabe, wenn keine Dateien angegeben worden sind. less wird mit der Taste beendet. -C Der Text wird nicht gescrollt, sondern der Bildschirm wird beim Anzeigen neuer Zeilen gelöscht und neu gezeichnet. -E Bewirkt, dass less sich automatisch beendet, wenn das Ende einer Datei erreicht wird. -i Beim Suchen wird nicht zwischen Groß- und Kleinschreibung unterschieden. -p Suchbegriff Weist less an, den Teil der Datei zuerst anzuzeigen, in dem der mit Suchbegriff angegebene Suchbegriff das erste Mal vorkommt. -s Mehrere leere Zeilen hintereinander werden als eine Zeile dargestellt.
982
19 Kommandoübersicht
-X Verhindert, dass das Terminal beim Start und bei der Beendigung von less initialisiert und deinitialisiert wird. Dadurch wird erreicht, dass der zuletzt im Terminal angezeigte Text auch nach Ende des Programms sichtbar ist. -z Anzahl Legt fest, wieviele Zeilen neuen Textes nach Betätigung der L EERTaste angezeigt werden sollen. Der Standardwert entspricht der Anzahl Zeilen, die auf den Bildschirm passen. less README Zeigt die Datei README an. ls -laR | less -X Zeigt die Ausgabe des Kommandos ls -laR an und initialisiert das Terminal beim Start und bei der Beendigung des Programms nicht. Siehe auch: more, vi, zless.
lilo Paket: lilo
LILO einrichten Einrichtung, Systemverwaltung
lilo [Optionen] Das Programm richtet den Linux-Loader LILO entsprechend der Konfiguration in der Datei /etc/lilo.conf ein. Es muss jedesmal ausgeführt werden, wenn diese Datei geändert oder ein neuer Kern installiert wurde. Im Fall einer Kerninstallation mit dpkg wird lilo normalerweise automatisch ausgeführt. -C Datei Es wird die mit Datei angegebene Konfigurationsdatei an Stelle der Standard-Konfigurationsdatei /etc/lilo.conf benutzt. -v Bringt lilo dazu, anzuzeigen, was das Programm tut. Die Option kann auch mehrmals verwendet werden, um die Menge der auszugebenden Informationen zu erhöhen. -t Führt keine Installation des Loaders durch und testet lediglich die Konfiguration. Nur sinnvoll mit der Option -v. -r Verzeichnis Lässt lilo alle Aktionen ausgehend von dem mit Verzeichnis angegebenen Verzeichnis ausführen (siehe chroot). Die Option ist hilfreich, um die Bootkonfiguration des Systems von einem Diskettensystem aus zu reparieren. -s Datei Legt eine Sicherungskopie des Bootsektors in der mit Datei spezifizierten Datei an. Standardmäßig wird eine Sicherungsdatei mit dem Namen /boot/boot.NNN angelegt, wobei NNN von der internen Gerätenummer des Datenträgers abhängt, auf dem LILO installiert wird. Die Sicherungskopie wird jedoch normalerweise nicht überschrieben. Das hat den Vorteil, dass der Bootsektor so, wie er vor dem ersten Aufruf von lilo war, erhalten bleibt. Der Nachteil ist, dass standardmäßig keine Sicherungskopien von später erzeugten Bootsektoren angelegt werden. -u Gerätedatei Kopiert die Sicherungskopie des Bootsektors zurück auf die durch die mit Gerätedatei angegebene Gerätedatei. lilo Installiert LILO entsprechend der Konfiguration in /etc/lilo.conf.
19 Kommandoübersicht
983
lilo -C /mnt/etc/lilo.conf -r /mnt Installiert LILO entsprechend der Konfiguration in der Datei /mnt/etc/lilo. conf. Dabei sieht es für lilo so aus, als sei /mnt das Wurzelverzeichnis des Dateisystems. Nützlich, wenn das System von Diskette gebootet wurde und die Partition, von der normalerweise gebootet wird, in /mnt eingehängt wurde. lilo -s /root/mbr.backup /dev/hda Schreibt die Sicherungskopie des Bootsektors in der Datei /root/mbr.backup zurück in den Bootsektor der durch /dev/hda dargestellten Festplatte (erste (E)IDE-Festplatte). lilo -v -v -t Zeigt an, was einer einer Installation von LILO entsprechend der Konfiguration in der Datei /etc/lilo.conf passieren würde. Siehe auch: liloconfig.
ln Paket: coreutils
Links (Verweise) erzeugen Dateiverwaltung
ln [Optionen] Quelldatei | Quellverzeichnis Ziel Erzeugt einen Verweis (Link) auf die mit Quelldatei bezeichnete Datei oder das mit Quellverzeichnis bezeichnete Verzeichnis mit dem Namen Ziel. Wird als Ziel ein Verzeichnis angegeben, wird der neue Verzeichniseintrag in dem mit Zielverzeichnis bezeichneten Verzeichnis angelegt und erhält den gleichen Namen wie Quelldatei. Falls die mit Zieldatei bezeichnete Datei bereits existiert, wird sie überschrieben. ln [Optionen] Quelldatei | Quellverzeichnis [ Quelldatei | Quellverzeichnis ... ] Zielverzeichnis Erzeugt Verweise auf alle mit Quelldatei oder Quellverzeichnis bezeichneten Dateien und Verzeichnisse. Auch hier werden bereits existierende Dateien mit den gleichen Namen überschrieben. Standardmäßig erzeugt ln Hardlinks (zusätzliche Verzeichniseinträge) auf die Quelldateien. Dabei bestehen folgende Einschränkungen: • •
Quell- und Zieldatei müssen sich im selben Dateisystem befinden. Unter Linux ist es nicht erlaubt, Hardlinks auf Verzeichnisse anzulegen.
Diese Einschränkungen gelten nicht für symbolische Links. -s | - -symbolic Es werden symbolische Links erzeugt. -b | - -backup Bevor Dateien überschrieben werden, wird von ihnen eine Sicherungskopie erstellt. Diese hat standardmäßig den gleichen Namen wie das Original mit einer angehängten Tilde (~). -S Endung | - -suffix=Endung Zusammen mit der Option -b erhalten Sicherungskopien anstatt der Tilde die Endung Endung. -i | - -interactive Bevor Dateien überschrieben werden, wird nachgefragt, ob dies wirklich geschehen soll.
984
19 Kommandoübersicht
-v | - -verbose Der Name jeder Datei, auf die ein Verweis erzeugt wird, wird ausgegeben. -n | - -no-dereference Wenn als Zielverzeichnis ein symbolischer Link auf ein Verzeichnis angegeben wird, wird der Link normalerweise in dem Verzeichnis erstellt, auf das der Zielverzeichnis-Link zeigt. Bei Benutzung dieser Option wird der Ziellink zunächst gelöscht und ein Link mit dessen Namen auf die Quelldatei erzeugt. ln -s /usr/share/common-licenses/GPL ./ Erzeugt einen Symlink auf die Datei /usr/share/common-licenses/GPL im Arbeitsverzeichnis. ln *jpg graphics/jpegs Erzeugt zusätzliche Verzeichniseinträge aller Dateien mit der Endung jpg im Verzeichnis graphics/jpegs. Das Verzeichnis graphics/jpeg muss existieren. Siehe auch: cp, mv.
loadkeys Paket: console-tools
Tastaturbelegung einer Konsole ändern Utilities
loadkeys [Optionen] [Dateiname] Die Tastaturbelegung einer Konsole wird durch Keymaps (Tabellen) im Kern bestimmt. Das Werkzeug liest eine Keymap aus der mit Dateiname bezeichneten Datei oder ändert die Keymap im Kern. Die Änderung gilt für alle Konsolen, nicht jedoch für X11-Sitzungen. -d -h -q -u -v -m -c -s
| --default lädt die voreingestellte Keymap, meist defkeymap.kmap.gz. | --help gibt die Versionsnummer und eine Hilfe aus. | --quiet verzichtet auf die üblichen Nachrichten. | --unicode die ausgegebenen Zeichen werden in UTF-8 codiert. | --verbose wird gesprächiger; Option kann mehrmals gegeben werden. | --mktable gibt eine defkeymap.c auf der Standardausgabe aus. | --clearcompose löscht die Akzenttabelle (compose table) im Kern. | --clearstrings löscht die Stringtabelle im Kern. Ohne die Option fügt das Werkzeug nur Strings hinzu oder ersetzt sie, entfernt aber keine.
loadkeys --default --verbose | less setzt die Keymap im Kern auf die Voreinstellung zurück und sagt etwas dazu. loadkeys fr-latin1 lädt die Keymap mit dem Pfad /usr/share/keymaps/i386/azerty/ fr-latin1.kmap.gz Siehe auch: dumpkeys. showkey, setxkbmap.
locate Paket: findutils locate [Optionen] Suchbegriff
Datei suchen und finden Dateiverwaltung
19 Kommandoübersicht
985
Das Kommando locate stellt eine Alternative zum Kommando find beim Suchen von Dateien dar. locate durchsucht nicht das Dateisystem nach Dateinamen, sondern benutzt eine Datenbank mit den auf dem System vorhandenen Dateien. Die Datenbank wird durch das Programm updatedb erstellt und gepflegt. Aus diesem Grund ist locate zum einen wesentlich schneller als find, zum anderen jedoch eventuell ungenauer, da die Informationen der Datenbank nicht immer richtig sein müssen. locate durchsucht die Datenbank nach Dateinamen, auf die der mit Suchbegriff angegebene Suchbegriff zutrifft und gibt die gefundenen Namen aus. Der Suchbegriff darf Metazeichen ([], ?, *) enthalten, die durch Anführungszeichen vor der Interpretation durch die Shell zu schützen sind. Wenn der Suchbegriff Metazeichen enthält, werden nur die Einträge der Datenbank ausgegeben, die exakt mit dem Suchbegriff übereinstimmen. Enthält der Suchbegriff keine Metazeichen, werden alle Einträge ausgegeben, in denen die Zeichenfolge des Suchbegriffs vorkommt. -e | - -existing Es werden nur die Namen der Dateien ausgegeben, die existieren. locate GPL Gibt die Namen aller Dateien in der Datenbank aus, die die Zeichenfolge GPL enthalten. locate -e /usr/share/doc/*/README.txt Gibt die Namen aller Dateien in der Datenbank aus, die in einem Unterverzeichnis des Verzeichnisses /usr/share/doc liegen und den Namen README.txt tragen. Dabei wird für jeden Eintrag der Datenbank überprüft, ob die Datei existiert. Siehe auch: find, updatedb, Abschnitt 2.10.3, S. 163.
logger Paket: bsdutils
Eintrag in der System-Protokolldatei erzeugen Systemverwaltung
logger [Optionen] [Meldung ...] Das Programm gibt die mit Meldung angegebene Meldung an das SystemProtokollprogramm syslogd weiter, das diese dann entsprechend seiner Konfiguration in der System-Protokolldatei /var/log/syslog protokolliert. Wenn keine Meldung angegeben wird, liest das Programm von der Standardeingabe. -f Datei Der Inhalt der mit Datei angegebenen Datei wird protokolliert. -s Datei Die Meldung wird sowohl protokolliert als auch auf die Standardfehlerausgabe gegeben. -t Bezeichnung Die Einträge in der Protokolldatei erhalten die mit Bezeichnung angegebene Bezeichnung. -p Priorität Das Protokollsystem kennt verschiedene Prioritätsklassen und kann für Meldungen unterschiedlicher Prioritäten unterschiedliche Aktionen auslösen. Diese Option bestimmt, die mit Priorität angegebene Priorität zu verwenden. logger -t Mitteilung Nichts los hier
986
19 Kommandoübersicht
Schreibt die Meldung Nichts los hier unter der Bezeichnung Mitteilung in die System-Protokolldatei. du -hs /var/log/syslog | logger Protokolliert die Größe der Datei /var/log/syslog. Siehe auch: syslogd, /var/log/syslog.
login Paket: login
Sitzung eröffnen Prozessverwaltung
login [Benutzername] [Umgebungsvariable=Wert] Das Programm login wird während der Anmeldung zu Beginn einer Sitzung aufgerufen. Es fragt den Benutzer nach Benutzernamen und Passwort und bereitet die Sitzung vor, indem es Benutzer- und Gruppen-ID einstellt, die Umgebungsvariablen HOME, SHELL, PATH und LOGNAME setzt, den Inhalt der Datei /etc/motd ausgibt und den Status der Mailwarteschlange des Benutzers anzeigt. Zum Schluss wird geprüft, ob das Passwort des Benutzers erneuert werden muss, und dann die LoginShell des Benutzers gestartet. Während der Anmeldung können hinter den Benutzernamen die Bezeichnungen von Umgebungsvariablen und ihren Wert gesetzt werden. Diese werden vor dem Start der Login-Shell gesetzt. Die Umgebungsvariablen werden durch Leerzeichen voneinander und vom Benutzernamen getrennt. login karl KARL=MUELLER Startet eine neue Sitzung des Benutzers karl und setzt den Wert der Umgebungsvariable KARL auf MUELLER. Nach Eingabe des Kommandos ist das Passwort zu dem Benutzerkonto des Benutzers karl einzugeben. Siehe auch: su.
lp Paket: lprng
Druckauftrag erteilen Drucken
lp [Optionen] [Datei ...] Das Kommando stellt neben dem Kommando lpr eine Alternative dar, Dokumente über das Druck- und Spoolsystem auszudrucken. Das Kommando lp steht aus Kompatibilitätsgründen zur Verfügung, damit Programme, die dieses Kommando zum Drucken verwenden, drucken können. CUPS verwendet von Haus aus lp. Siehe auch: lpr.
lpq Paket: lprng
Druckwarteschlange anzeigen Drucken
lpq [Optionen] [Auftrags-ID] Das Kommando gibt den Status einer Druckwarteschlange aus und zeigt alle darin wartenden Aufträge an. Werden mit Auftrags-ID eine oder mehrere AuftragsIDs angegeben, werden nur die Aufträge mit diesen Identifiern angezeigt. Ohne Optionen wird der Inhalt der Warteschlange des Standarddruckers angezeigt.
19 Kommandoübersicht
987
-P Drucker Zeigt den Inhalt der Warteschlange des mit Drucker bezeichneten Druckers an. -a Zeigt den Inhalt der Warteschlangen aller Drucker an. -s Zeigt nur eine Übersicht über den Status der Warteschlange an. -l Erhöht die Menge der ausgegebenen Informationen. Wird die Option mehrmals angegeben, wird die Menge weiter erhöht. -t Zeit Wiederholt die Ausgabe immer wieder nach Ablauf der mit Zeit angegebenen Anzahl von Sekunden. lpq -as -t5 Zeigt alle 5 Sekunden eine Statuszeile für alle Drucker an. lpq -P colorprinter Zeigt den Inhalt der Warteschlange des Druckers colorprinter an. Siehe auch: lpr, lprm.
lpr Paket: lprng
Druckauftrag erteilen Drucken
lpr [Optionen] [Datei ...] Das Kommando reiht neue Druckaufträge in eine Druckwarteschlange ein. Wenn mit Datei nicht eine oder mehrere Dateien angegeben sind, werden die zu druckenden Daten von der Standardeingabe gelesen. CUPS versteht das Kommando, falls das Paktet cupsys-bsd eingerichtet ist. -C Priorität Legt mit Priorität die Priorität des Auftrages fest. Mögliche Werte sind die Buchstaben A bis Z, wobei A die niedrigste Priorität repräsentiert. Der Wert A ist der Standardwert. -h Unterdrückt den Druck einer Startseite (Banner) mit Auftragsinformationen. -K Anzahl Gibt mit Anzahl die Anzahl der zu druckenden Kopien an. -m Adresse Bewirkt, dass nach dem erfolgreichen Ausdruck des Auftrages eine Mail an die mit Adresse angegebene Adresse geschickt wird. -P Drucker Der Auftrag wird an den mit Drucker benannten Drucker geschickt. ls -la | lpr Druckt die Ausgabe des Kommandos ls -la auf den Standarddrucker. lpr bild.jpg -P colorprinter Druckt die Datei bild.jpg auf dem Drucker namens colorprinter aus. lpr -K 15 preise.ps Druckt 15 Kopien der Datei preise.ps auf dem Standarddrucker aus. Siehe auch: lpq, lprm.
lprm Paket: lprng lprm [Optionen] [Auftrags-ID ... | all]
Druckauftrag löschen Drucken
988
19 Kommandoübersicht
lprm löscht Druckaufträge aus der Druckerwarteschlange. Wird das Programm ohne Parameter aufgerufen, wird der als nächstes zu druckende Auftrag des aufrufenden Benutzers gelöscht. Alternativ können eine oder mehrere Auftrags-IDs angegeben werden. Die Auftrag-IDs lassen sich mit dem Kommando lpq erfragen. Für Auftrags-ID kann auch ein Benutzername angegeben werden, dann werden alle Aufträge des Benutzers gelöscht, vorrausgesetzt der aufrufende Benutzer hat die Rechte dazu. Außerdem ist es möglich, Namen mit oder ohne Metazeichen anzugeben, dann werden die Aufträge mit den entsprechenden Namen gelöscht. Durch Spezifikation des Parameters all werden alle Aufträge des aufrufenden Benutzers gelöscht, wenn das Kommando von einem gewöhnlichen Benutzer eingegeben wurde, oder alle Aufträge, falls das Kommando vom Verwalter aufgerufen wird. Das Kommando bezieht sich standardmäßig nur auf die Warteschlange des Standarddruckers. -P Drucker Die Aufträge werden von der mit Drucker angegebenen Warteschlange entfernt. Ohne die Option werden die Aufträge aus der Standardwarteschlange entfernt. -a Die Aufträge werden aus allen Druckerwarteschlangen entfernt. lprm 475 Entfernt den Druckauftrag mit der ID 475 aus der Standardwarteschlange. lprm -P laser 475 Entfernt den Auftrag 475 aus der Warteschlange laser. lprm -a all Entfernt alle Druckaufträge des aufrufenden Benutzer aus allen Warteschlangen. Siehe auch: lpq.
ls Paket: coreutils
Verzeichnis auflisten Dateiverwaltung
ls [Optionen] [Datei | Verzeichnis ...] Das Programm ls dient zum Anzeigen von Dateinamen und -informationen. Wird ls ohne Argumente aufgerufen, zeigt es die Namen der Dateien im Arbeitsverzeichnis ohne weitere Informationen an. Werden ls mit Datei oder Verzeichnis Datei- oder Verzeichnisnamen übergeben, zeigt es die Namen der angegebenen Dateien und die Namen der Dateien in den angegebenen Verzeichnissen an. -a | - -all Zeigt auch Dateien und Verzeichnisse an, deren Namen mit einem Punkt beginnen (dotfiles). -A | - -almost-all Zeigt Dateien und Verzeichnisse an, deren Namen mit einem Punkt beginnen, nicht aber die Verzeichnisse . (das betreffende Verzeichnis selbst) und .. (das darüberliegende Verzeichnis). -d | - -directory Zeigt nicht die Inhalte von Verzeichnissen, sondern die Verzeichnisse selbst an. -R | - -recursive Zeigt die Inhalte von Verzeichnissen und rekursiv den Inhalt aller Unterverzeichnisse an. -s | - -size Zeigt die Größe jeder Datei mit an.
19 Kommandoübersicht
989
-l | - -format=long Zeigt den Typ der Datei, die Rechte, die Anzahl der Verzeichniseinträge (Hardlinks), den Besitzer, die Gruppe, die Größe der Dateien, das Datum der jüngsten Änderung und den Namen zu jeder Datei an. -o Zeigt die gleichen Informationen wie mit der Option -l an, nur ohne die Gruppe. -s | - -sort=size Sortiert die Ausgabe nach der Größe der Dateien. -t | - -sort=time Sortiert die Ausgabe nach dem Datum der jüngsten Änderung. -X | - -sort=extension Sortiert die Dateien nach ihrer Kennung (Namenserweiterung, den Zeichen nach dem letzten Punkt im Namen.) - -color[=auto] Zeigt Verzeichnisse und andere spezielle Dateien farblich abgehoben an. Wird - -color=auto angegeben, erfolgt die farbliche Ausgabe nur dann, wenn auf ein Terminal ausgegeben wird. -F | - -classify Hinter jede Datei wird ein Buchstabe geschrieben, der angibt, von welchem Typ die entsprechende Datei ist. Ausführbare Dateien erhalten einen Stern, Verzeichnisse einen Schrägstrich, symbolische Links das @Zeichen usw. -k | - -kilobytes Dateigrößen werden in Kilobyte angezeigt. ls -la Zeigt alle Dateien im Arbeitsverzeichnis mit allen Zusatzinformationen an. ls -la | less Zeigt alle Dateien im Arbeitsverzeichnis mit allen Zusatzinformationen mit dem Textbetrachter less an. ls -ld /usr/src Zeigt das Verzeichnis /usr/src und nicht seinen Inhalt mit allen Zusatzinformationen an. Siehe auch: less, dir.
lsattr Paket: e2fsprogs
Dateiattribute auf ext2-Dateisystem anzeigen Dateiverwaltung
lsattr [Optionen] [Datei ...] Das Ext2-Dateisystem kann zu jeder Datei zusätzliche Attribute speichern, die bestimmen, wie mit der Datei in bestimmten Situationen umgegangen werden soll. Die Attribute sind bei dem Kommando chattr beschrieben. Das Kommando lsattr listet die Attribute der Dateien im Arbeitsverzeichnis auf, wenn mit Datei nichts anderes angegeben ist. Ansonsten werden die Attribute der mit Datei angegebenen Datei(en) aufgelistet. Wenn mit Datei der Name eines Verzeichnisses angegeben wurde, werden die Attribute der Dateien in diesem Verzeichnis aufgelistet. -R Zeigt die Attribute aller Dateien im Arbeitsverzeichnis oder in den mit Datei angegebenen Verzeichniss(en) rekursiv mit den Dateien in allen Unterverzeichnissen an. -d Zeigt die Attribute von Verzeichnissen und nicht den Inhalt der Verzeichnisse an.
990
19 Kommandoübersicht
-a Zeigt auch die Attribute solcher Dateien an, deren Name mit einem Punkt beginnt. lsattr -R Zeigt die Dateien und ihre Attribute im Arbeitsverzeichnis und in allen Unterverzeichnissen rekursiv an. Siehe auch: ls, chattr.
lsdev Paket: sysutils
Belegte Hardware-Ressourcen auflisten Information, Installation
lsdev Das Programm listet alle Hardwarekomponenten auf, die eine IO-Adresse, einen Interrupt oder einen DMA-Kanal benutzen, mit der Angabe, welche der Ressourcen von dem Gerät gebraucht wird. lsdev bietet so eine Möglichkeit, sich einen Überblick über die in einem Rechner installierte Hardware zu verschaffen. Nur solche Komponenten werden aufgelistet, die auch von Linux erkannt und in das System eingebunden worden sind. Siehe auch: procinfo.
lsmod Paket: modutils
Geladene Module anzeigen Information, Systemverwaltung
lsmod Das Kommando listet die zur Zeit im Kern befindlichen Module auf. Neben den Modulnamen werden die Anzahl der Prozesse und die Module, die das betreffende Modul benutzen, ausgegeben. Siehe auch: insmod, modprobe, modconf, rmmod, fuser.
lsof Paket: lsof
Offene Dateien anzeigen Information, Systemverwaltung
lsof [Optionen] [Name ...] Gelegentlich will man erfahren, welcher Prozess auf eine Datei oder eine andere Ressource zugreift. Ein Beispiel ist die Situation, dass man einen Datenträger aushängen möchte und die Meldung erhält, der Datenträger werde noch benutzt. Dann muss man wissen, welcher Prozess den Datenträger benutzt, um den Prozess entweder zu beenden oder ihn dazu zu bringen, den Datenträger nicht mehr zu benutzen. Wenn lsof ohne Parameter aufgerufen wird, zeigt es alle offenen Dateien inklusive spezieller Dateien wie Gerätedateien und einer Anzahl weiterer Ressourcen aller Prozesse auf dem System an. Durch die Angabe eines oder mehrerer Namen mit Name ... wird die Ausgabe auf solche Ressourcen beschränkt, welche die oder den mit Name angegebenen Namen tragen. -p Prozessliste Es werden nur Ressourcen angezeigt, die von einem Prozess benutzt werden, dessen Prozess-ID in der mit Prozessliste angegebenen
19 Kommandoübersicht
991
Liste vorkommt. Prozessliste ist eine durch Kommas getrennte Liste von Prozess-IDs; sie darf keine Leerzeichen enthalten. lsof | grep /floppy Listet alle Prozesse auf, die Ressourcen verbrauchen, deren Name die Zeichenkette /floppy enthält. Siehe auch: fuser, ps.
lspci Paket: pciutils
Listet alle PCI-Geräte auf Information, Systemverwaltung
lspci [Optionen] Als Vorgabe listet das Werkzeug alle PCI-Geräte eines Rechners auf (Brücken, Controller, Karten). Mit Optionen wird die Ausgabe ausführlicher oder in eine von anderen Werkzeugen verwendbare Form gebracht. Der Zugriff auf einige Geräte kann Root-Rechte erfordern. -v Ausgabe wird ausführlicher; Option kann verdoppelt oder verdreifacht werden. -n gibt einige Informationen als Nummern an Stelle von Namen aus. -nn gibt sowohl Nummern als auch Namen aus. -x gibt Konfiguration als hexadezimalen Dump aus. -b betrachtet die Geräte vom Bus aus anstatt vom Kern. -t zeigt die Geräte in einer Baumstruktur an. -m gibt die Information in einer maschinenlesbaren Form aus. -M ruft das Werkzeug im bus mapping mode auf, Root vorbehalten. lspci -v | less gibt eine ziemlich ausführliche Übersicht über die PCI-Geräte aus. Siehe auch: lsscsi, lsusb.
lsscsi Paket: lsscsi
Listet alle SCSI-Geräte auf Information, Systemverwaltung
lsscsi [Optionen] Das Werkzeug wertet ab Kernversion 2.6.0 die in /sysfs enthaltenen Informationen über die an einen Rechner intern oder extern angeschlossenen SCSI-Geräte aus. --classic | -c Die Ausgabe ist der aus /proc/scsi/scsi gelesenen ähnlich. --device | -d Major und Minor Numbers werden mit ausgegeben. --generic | -g Der Name des SCSI generic device wird ausgegeben. --help | -h gibt eine Hilfe aus. --hosts | -H listet die zur Zeit mit dem System verbundenen SCSI-Hosts auf. --kname | -k verwendet den vorgegebenen Algorithmus zur Namensvergabe an Stelle des Vergleichs mit dem /dev-Verzeichnis. --long | -l gibt zusätzliche Informationen aus; die Option kann mehrmals angegeben werden (-lll).
992
19 Kommandoübersicht
--verbose | -v gibt Verzeichnisnamen aus; Option kann verdoppelt werden. --version | =V gibt Versionsnummer des Werkzeugs aus. lsscsi -vv | less liefert ausführliche Inforamtionen zu den angeschlossenen SCSI-Geräten. Siehe auch: lspci, lsusb.
lsusb
Listet alle USB-Geräte auf Information, Systemverwaltung
Paket: usbutils
lsusb Das Werkzeug listet Informationen über die USB-Busse und -Geräte eines Rechners aus dem Verzeichnis /proc/bus/usb auf. --verbose | -v liefert ausführlichere Informationen. -s [[bus]:][devnum] zeigt nur Geräte des genannten Busses und/oder der Gerätenummer an. -d [vendor]:[product] zeigt nur Geräte mit dem genannten Hersteller- und Produkt-Identifier (hexadezimal) an. -D device zeigt nur Informationen zu dem genannten Gerät an, anstatt den USBBus zu scannen. -t gibt eine Baumstruktur aus. --version | -V gibt die Version des Werkzeugs aus. lsusb --verbose | less liefert ziemlich umfangreiche Auskünfte. Siehe auch: lspci, lsscsi.
mail Paket: mailx
Email anzeigen, bearbeiten und versenden Email, Shellskripte
mail [Optionen] [Email-Adresse ...] Das Programm mail aus dem Paket mailx ist ein alter, einfacher, aber vollwertiger Mail-User-Agent (MUA), ein Werkzeug zum Lesen und Schreiben von Mails. Wenn das Programm ohne Parameter gestartet wird, zeigt es den Inhalt der MailWarteschlange des aufrufenden Benutzers an und bietet die Möglichkeit, Mails zu lesen, zu beantworten und zu speichern. Die angezeigten Mails werden nach dem Verlassen des Programms standardmäßig in der Datei mbox im Home-Verzeichnis des aufrufenden Benutzers gespeichert. Dieser Teil des Programms ist im Manual ausführlich beschrieben, bietet jedoch wenig Komfort, sodass sich zum interaktiven Lesen und Bearbeiten von Mails oft der Einsatz anderer Programme empfiehlt. mail eignet sich jedoch gut zum Versenden von Mails von der Kommandozeile oder aus Shellskripten. Wenn das Programm mit der Angabe einer Emailadresse aufgerufen wird, sendet es eine Mail an die angegebene Adresse. Standardmäßig wird dann nach einer Betreffzeile (Subject) für die zu sendende Mail gefragt. Danach kann der Text der Mail eingegeben werden. Dieser Vorgang wird durch die Tastenkombination + beendet. Zum Schluss besteht die Möglichkeit, Empfänger von
19 Kommandoübersicht
993
Kopien der erzeugten Mail anzugeben (cc:). Wenn mehrere Mailadressen angegeben werden, versendet das Programm die erzeugte Mail an alle angegebenen Empfänger. Ganz ohne Benutzereinwirkung kann mail Mails versenden, wenn ihm Daten von der Standardeingabe übergeben werden. Es sendet dann die Daten an den angegebenen Empfänger und fragt nicht nach BetreffZeile oder Kopie-Adressen. mailx ist heute in Symlink auf mail. -s Betreff Gibt mit Betreff den Inhalt von Betreffzeilen für eine zu erzeugende Mail an. Wenn Betreff Leerzeilen enthält, muss das Argument durch Anführungszeichen vor der Zerlegung in mehrere Argumente durch die Shell geschützt werden. -c Liste Es werden Kopien an die mit Liste angegebenen Empfänger gesandt. Liste ist eine Komma-getrennte Liste von Emailadressen, die keine Leerzeichen enthalten darf. ls -la /home/joe | mail -s "Dein Home-Verzeichnis" joe Sendet die Ausgabe des Kommandos ls -la /home/joe an die Adresse joe mit der Betreffzeile Dein Home-Verzeichnis. Siehe auch: elm, mutt.
man Paket: man-db
Manual-Seite anzeigen und drucken Dokumentation, Information
man [Optionen] [Abschnitt] Manual-Seite Das man-System stellt eine der drei Säulen des Hilfesystems unter Debian GNU/Linux dar. Zu den meisten Programmen, Systemaufrufen und vielen Dateien oder Bibliotheksfunktionen existieren Manual-Seiten (Man-Pages), die sich mit dem Kommando man anzeigen oder ausdrucken lassen. Diese Seiten tragen in der Regel die gleichen Namen wie das zugehörige Programm, die Datei oder die Funktion selbst. Standardmäßig werden Manualseiten mit dem Standardtextbetrachter (Pager), gewöhnlich dem Programm less oder dem in der Umgebungsvariable PAGER festgelegten Programm angezeigt. Das Manual-System ist in verschiedene Abschnitte eingeteilt. Teilweise gibt es Manual-Seiten mit dem gleichen Namen in verschiedenen Abschnitten, weil ein Programm und ein Systemaufruf oder eine Datei den gleichen Namen tragen. Standardmäßig zeigt man nur die erste gefundene Seite an. Durch Angabe des Parameters Abschnitt wird bestimmt, in welchem Abschnitt gesucht werden soll. Mit dem Parameter Manual-Seite wird der Name der Seite angegeben, die angezeigt werden soll. -L Sprache | - -locale=Sprache Wenn Manual-Seiten in verschiedenen Sprachen existieren, wird die Seite in der mit Sprache angegebenen Sprache angezeigt. Die Einstellung, welche Sprache für Manualseiten verwendet werden soll, wird über die Umgebungsvariablen LANG festgelegt. -P Programm | - -pager=Programm Bestimmt, dass man das mit Programm bezeichnete Anzeigeprogramm verwenden soll. -a | - -all Bestimmt, dass alle passenden Seiten aus allen Abschnitten hintereinander angezeigt werden.
994
19 Kommandoübersicht
-TTyp | - -troff-device=Typ Die Manualseiten werden in dem mit Typ angegebenen Format auf die Standardausgabe ausgegeben. Mögliche Typen sind u. a. ps (PostScript), dvi (Device-Independent), X100 (Anzeige in einem X11Fenster), ascii (ASCII-Text) und lj4 (HP Laserjet 4 (PCL) Format). Die Option kann zum Drucken von Manual-Seiten benutzt werden. Zwischen der Option -T und Typ dürfen sich keine Leerzeichen befinden. man man Zeigt die Manual-Seite des Programms man mit dem Standardtextbetrachter an. Mit dem Kommando sollte jeder Benutzer anfangen. man ls Zeigt die Manual-Seite des Programms ls mit dem Standardtextbetrachter an. man -p xless mke2fs Zeigt die Manual-Seite des Programms mke2fs mit dem Programm xless an. man 2 open -T ps | lpr Die Manual-Seite der Funktion open im zweiten Abschnitt des Manual-Systems wird im PostScript-Format an das Programm lpr übergegeben, welches die Datei auf dem Standarddrucker ausdruckt. Siehe auch: apropos, whatis, info, less, groff.
mformat Paket: mtools
DOS-Datenträger fomatieren Kompatibilität, Systemverwaltung
mformat [Optionen] DOS-Laufwerksbuchstabe: Das Kommando erzeugt auf dem mit DOS-Laufwerksbuchstabe angegebenen Datenträger (mtools-Laufwerk) ein DOS-Dateisystem (FAT). -t -h -s -2 -l -X -F
Anzahl Gibt die Anzahl der Zylinder an. Anzahl Gibt die Anzahl der Schreib-/Leseköpfe an. Anzahl Gibt die Anzahl der Sektoren pro Spur an. Formatiert im 2M-Format. Name Gibt den Datenträgername an. Formatiert im XDF-Format. Formatiert im FAT32-Format.
mformat a: Formatiert das mtools-Laufwerk a: im DOS-Format. Siehe auch: mkdosfs, mtools, xdfcopy.
mkdir Paket: coreutils
Verzeichnis erzeugen Dateiverwaltung
mkdir [Optionen] Verzeichnis [Verzeichnis ...] Erzeugt die mit Verzeichnis angegebenen Verzeichnisse. -m Rechte| - -mode=Rechte Erzeugt Verzeichnisse mit den durch Rechte angegebenen Rechten. Rechte werden wie beim Kommando chmod ausge-
19 Kommandoübersicht
995
drückt. Vorgabe ist drwxr-xr-x (755), also Schreiben, Lesen und Ausführen für den Besitzer, Lesen und Ausführen für die Gruppe und andere Benutzer. -p | - -parents Wenn zu erzeugende Verzeichnisse Unterverzeichnisse von Verzeichnissen sind, die noch nicht existieren, werden diese ebenfalls erzeugt. -v | - -verbose Es wird ausgegeben, welche Verzeichnisse erzeugt wurden. mkdir sound_files Im Arbeitsverzeichnis wird das Verzeichnis sound_files angelegt. mkdir -m 700 ~/privat Im Home-Verzeichnis des Benutzers wird das Verzeichnis privat erzeugt, für das nur der betreffende Benutzer Schreib-, Lese- und Ausführungsrechte hat. Andere Benutzer können sich den Inhalt dieses Verzeichnisses nicht anzeigen lassen und auf keine Verzeichnisse oder Dateien in diesem Verzeichnis zugreifen. mkdir -vp briefe/gesch/finanz Erzeugt das Verzeichnis finanz im Verzeichnis gesch im Verzeichnis briefe. Wenn eines dieser Verzeichnisse nicht existiert, wird es ebenfalls erzeugt. Die Namen der erzeugten Verzeichnisse werden ausgegeben. Siehe auch: rmdir, chmod, ls.
mkfs Paket: util-linux
Datenträger formatieren Systemverwaltung
mkfs [Optionen] Gerätedatei [Größe] Das Programm ist ein Front-End für Formatierungsprogramme, mit denen Datenträger in verschiedenen Formaten formatiert werden. Es formatiert den durch die mit Gerätedatei bezeichneten Datenträger standardmäßig im LinuxDateisystemformat (ext2-Format). Bis auf die Option -t werden alle Optionen an das aufgerufene Formatierungsprogramm weitergegeben. Durch die Option Größe wird die Größe des zu erzeugenden Dateisystems festgelegt. -t Dateisystemtyp Legt den Dateisystemtyp fest, mit dem der Datenträger formatiert werden soll. Gültige Werte sind unter anderen: msdos, ext2 (Voreinstellung) und minix. mkfs -t msdos -c -v /dev/fd0 Ruft das Programm mkfs.dos auf, um den durch die Datei /dev/fd0 repräsentierten Datenträger im DOS-Format zu formatieren. Das Programm mkdosfs wird mit den Optionen -c und -v aufgerufen. Siehe auch: mke2fs, mkdosfs, mkfs.minix.
mkdosfs Paket: dosfstools
DOS-Dateisystem erzeugen Systemverwaltung, Kompatibilität
mkdosfs [Optionen] Gerätedatei [Größe] Das Programm formatiert den durch die mit Gerätedatei angegebene Gerätedatei repräsentierten Datenträger im DOS-Format (FAT). Das Format zu verwenden bietet sich bei Wechselmedien wie Disketten an, die von Betriebssystemen gelesen
996
19 Kommandoübersicht
werden sollen, die das Ext2-Dateisystem nicht unterstützen. Als Vorgabe erzeugt das Programm ein DOS-Dateisystem, das die Größe des Datenträgers voll ausnutzt. Durch die Angabe der Option Größe wird die Größe des Dateisystems in 1024 Byte großen Blöcken angegeben. -c Der Datenträger wird auf fehlerhafte Blöcke untersucht, bevor er formatiert wird. -l Datei Es wird eine Liste fehlerhafter Blöcke aus der mit Datei angegebenen Datei gelesen. Eine solche Liste kann mit badblocks erzeugt werden. -I Erzwingt die Formatierung ganzer, also unpartitionierter, nicht-wechselbarer Datenträger. Dieser Parameter ist beispielsweise bei der Formatierung unpartitionierter MO-Disks nötig, die von Linux als fest eingebaute Datenträger angesehen werden und ohne diesen Parameter mit dem Programm nicht formatiert werden können. -n Name Legt mit Name den Namen des Dateisystems fest. Name darf aus maximal 11 Buchstaben bestehen. mkdosfs -c -n DISK1 /dev/fd0 Formatiert den Datenträger in dem durch die Datei /dev/fd0 repräsentierten Diskettenlaufwerk im DOS-Dateisystem und führt vorher einen Test auf fehlerhafte Blöcke durch. Der Name des Datenträgers wird als DISK1 festgelegt. mkdosfs -I /dev/sda Formatiert den gesamten durch /dev/sda repräsentierten Datenträger (erste SCSIFestplatte) im DOS-Dateiformat. Eine eventuell auf diesem Datenträger vorhandene Partitionierung geht dabei verloren. Siehe auch: dosfsck, fdisk, mke2fs, mformat.
mke2fs Paket: e2fsprogs
Ext2-Dateisystem erzeugen Systemverwaltung, Installation
mke2fs [Optionen] Gerätedatei [Größe] Das Programm erzeugt ein Ext2- Dateisystem auf dem durch Gerätedatei dargestellten Datenträger, es formatiert ihn. Alle Daten auf dem Datenträger gehen verloren. Es können Partitionen oder gesamte Datenträger (beispielsweise Disketten) formatiert werden. Das Programm erlaubt die Angabe einiger Parameter, mit denen für unterschiedliche Anwendungen optimierte Dateisysteme erzeugt werden. Mit dem optionalen Parameter Größe kann die Größe des zu erzeugenden Dateisystems in Blöcken angegeben werden (normalerweise entspricht ein Block 1024 Byte). Als Vorgabe wird die Größe so gewählt, dass sie den zu formatierenden Datenträger optimal ausfüllt. -b Blockgröße Das Dateisystem erhält eine Blockgröße von Blockgröße Byte. Zur Zeit erlaubte Blockgrößen sind 1024, 2048 und 4096 Byte. Die Blockgröße bestimmt den Platz, den eine Datei mindestens auf der Festplatte belegt. Sollen auf dem Datenträger viele kleine Dateien gespeichert werden, wählt man eine kleine Blockgröße. Bei überwiegend großen Dateien empfiehlt sich eine höhere Blockgröße.
19 Kommandoübersicht
997
-i Bytes-pro-Inode In Inodes werden die Informationen zu einer Datei gespeichert. Mit diesem Parameter wird festgelegt, nach jeweils wieviel Byte ein Inode eingerichtet wird. Standardwert ist 4096. Damit lassen sich auf jeweils 1 MB Festplattenkapazität 256 Dateien unabhängig von ihrer Größe anlegen. Weil Inodes selbst Platz auf dem Datenträger benötigen, sollte man wenige Inodes anlegen (also einen hohen Wert angeben), wenn auf dem Datenträger besonders große Dateien gespeichert werden sollen. Auf der anderen Seite werden bei vielen kleinen Dateien mehr Inodes als üblich benötigt. -c Bevor das Dateisystem erzeugt wird, wird badblocks aufgerufen und untersucht den Datenträger im Lesemodus nach fehlerhaften Blöcken. Weil der Datenträger formatiert werden soll, empfiehlt es sich, badblocks manuell einen Schreib-Lese-Test auf dem Datenträger durchführen zu lassen. -l Dateiname Die Liste fehlerhafter Blöcke wird aus der mit Dateiname angegebenen Datei übernommen. Eine solche Datei kann mit dem Programm badblocks erzeugt werden. -m Prozentsatz Gibt an, wieviel Prozent des Speicherplatzes auf dem Datenträger für den Verwalter reserviert sein sollen. Virgabe sind 5 %. mke2fs /dev/hda7 Es wird die dritte logische Partition auf der ersten (E)IDE-Festplatte im Ext2-Format formatiert. mke2fs -l badblocks.list -i 16384 -b 4096 -m 2 /dev/sdb2 Die zweite primäre Partition auf der zweiten SCSI-Festplatte wird formatiert. Informationen über fehlerhafte Blöcke werden der Datei badblocks.list entnommen. Die Blockgröße wird auf 4096 Byte festgelegt. Es wird alle 16384 Byte eine Inode eingerichtet. Für den Systemverwalter werden 2 % des verfügbaren Platzes reserviert. Diese Einstellungen sind nur sinnvoll, wenn auf dem Datenträger besonders große Dateien gespeichert werden sollen. Siehe auch: mkfs, badblocks, fdisk, mkdosfs, e2fsck.
mknod Paket: coreutils
Gerätedatei oder andere spezielle Datei erzeugen Systemverwaltung
mknod [Optionen] Name Typ [Hauptnummer] [Unternummer] Das Programm erzeugt eine spezielle Datei mit dem durch Name angegebenen Namen. Die Art der Datei wird durch Typ spezifiziert. Folgende Typen stehen zur Verfügung: p: Erzeugung eines FIFOs. Mit dieser Typenbezeichnung hat das Kommando die gleiche Funktion wie mkfifo. b: Erzeugung einer Blockgerätedatei. Blockgerätedateien sind beispielsweise die Gerätedateien im Verzeichnis /dev, die Festplatten repräsentieren. c: Erzeugen einer gepufferten Zeichengerätedatei. Zeichengerätedateien sind solche, die Geräte repräsentieren, auf die nur sequentiell zugegriffen werden kann (z. B. parallele Schnittstellen). u: Erzeugen einer ungepufferter Zeichengerätedatei.
998
19 Kommandoübersicht
Bei der Erzeugung von Gerätedateien müssen die Major- und Minor-Nummer des Geräts angegeben werden. Eine Liste der von Linux unterstützten Geräte findet sich in der Datei devices.txtim Dokumentationsverzeichnis der Kern-Quellen. Gerätedateien sollten durch das Programm /dev/MAKEDEV erzeugt werden. -m Rechte | - -mode=Rechte Die Datei wird mit den durch Rechte spezifizierten Rechten erzeugt. Vorgabe ist rw-r- -r-, also Lesen und Schreiben für den Besitzer und nur Lesen für allen anderen Benutzer. mknod /dev/sda b 8 0 Erzeugt die Gerätedatei /dev/sda neu, wenn diese nicht mehr existiert. Siehe auch: /etc/MAKEDEV, mkfifo.
mkswap Paket: util-linux
Auslagerungsspeicher einrichten Systemverwaltung
mkswap [Optionen] Datei Größe Bereitet die mit Datei bezeichnete Partition oder Datei auf die Benutzung als Auslagerungsspeicher durch den Kern vor. Datei wird durch das Kommando swapon eingebunden. Eine Swapdatei wird mit dem Kommando dd erstellt. Folgendes Kommando erstellt eine 128 MB große Swapdatei mit dem Namen swapfile: dd if=/dev/zero of=swapfile bs=1048576 count=128 -c Prüft die vorzubereitende Partition auf fehlerhafte Blöcke und gibt deren Nummern aus. mkswap swapfile Initialisiert die Datei swapfile für die Verwendung als Auslagerungsdatei mkswap /dev/sda1 Initialisiert die erste primäre Partition auf der ersten SCSI-Festplatte zur Verwendung als Auslagerungspartition Siehe auch: swapon, swapoff, cfdisk.
mktemp Paket: mktemp
Temporäre Datei erzeugen Shellskripte, Dateiverwaltung
mktemp [Optionen] Schablone Wenn in Shellskripten Daten in temporäre Dateien geschrieben werden, steht man vor der Frage, welchen Dateinamen man für diese Dateien wählen soll. Es kommt vor, dass eine Datei mit dem gewählten Namen auf dem Rechner, wo das Skript einmal ausgeführt wird, bereits existiert und dann überschrieben wird. Das Programm mktemp erzeugt eine temporäre Datei, für die sichergestellt ist, dass ihr Name noch nicht existiert. Dem Programm wird mit Schablone eine Namensschablone übergeben, die aus einem gewöhnlichen Dateinamen mit sechs angehängten großen XBuchstaben besteht. Die X-Buchstaben werden von mktmp durch Zahlen und Buchstaben ersetzt, um einen neuen Namen zu generieren. Das Programm erzeugt die Datei und gibt ihren Namen auf die Standardausgabe aus.
19 Kommandoübersicht
999
-q Wenn die Datei nicht erzeugt werden kann, wird keine Fehlermeldung ausgegeben. Es ist dann der Rückgabewert des Programms auszuwerten. mktemp Scriptfoo.XXXXXX Legt eine temporäre Datei, deren Namen sich aus Scriptfoo. und einer von mktemp erzeugten Zeichenfolge zusammensetzt, im Arbeitsverzeichnis an. mktemp -q /tmp/zwischenXXXXXX Legt eine temporäre Datei im Verzeichnis /tmp an. Im Falle eines Fehlers wird keine Fehlermeldung ausgegeben. Siehe auch: tempfile.
modconf Paket: modconf
Kernmodul interaktiv konfigurieren Systemverwaltung
modconf [Optionen] Das Skript dient zum interaktiven Auswählen von Modulen, die geladen bzw. entfernt werden sollen. Es zeigt Informationen über verfügbare Module und unterstützte Parameter an, die während des Ladens eines Moduls angegeben werden können. Mit modconf ausgewählte Module werden während des Systemstarts geladen. Siehe auch: modprobe, insmod, rmmod.
modinfo Paket: modutils
Information über Kernmodul ausgegeben Systemverwaltung, Information
modinfo [Optionen] Moduldatei Das Programm liest Informationen aus dem mit Moduldatei angegebenen Kernmodul. -a Gibt den Autor des betreffenden Moduls aus. -p Gibt aus, welche Parameter das Modul u. U. unterstützt. -d Gibt eine Beschreibung des Moduls aus. modinfo -d /lib/modules/2.2.12/scsi/st.o Gibt eine Beschreibung des Kernmoduls in der angegebenen Datei aus. Siehe auch: modprobe, modconf.
modprobe Paket: modutils
Kernmodul laden Systemverwaltung
modprobe [Optionen] Modul [Parameter=Wert ..] Anhand der durch depmod erzeugten Informationen wird überprüft, welche Module im Kern vorhanden sein müssen, damit das mit Modul bezeichnete Modul geladen werden kann. Diese Module (und evtl. Module, von denen dieses abhängig ist) werden geladen. Danach wird Modul selbst geladen. Das Kommando bietet gegenüber insmod den Vorteil, dass vom Benutzer keine Modulabhängigkeiten beachtet werden müssen. Optional wird den mit Parameter bezeichneten Modulparametern
1000
19 Kommandoübersicht
der mit Wert angegebene Wert zugewiesen. Das Programm ist konfigurierbar und kann eine Anzahl weiterer Aktionen ausführen. modprobe [Optionen] Führt durch Optionen spezifizierte Aktionen aus: -l Listet die verfügbaren Module auf. -c Gibt die Konfiguration des Programms aus. -r Modul Entfernt das mit Modul bezeichnete Modul aus dem Kern und alle weiteren Module, die nicht mehr benötigt werden, nachdem Modul entfernt ist. -a Name Lädt alle Module, auf deren Name Name zutrifft. Name darf Metazeichen enthalten, die durch Anführungszeichen vor der Shell geschützt werden müssen. -t Name Bezieht die auszuführende Aktion nur auf ein mit Name bezeichnetes Modul-Unterverzeichnis. modprobe ppp Lädt das Modul ppp und alle Module, die von denen dieses abhängt. modprobe aha152x aha152x=0x340,10 Lädt das Modul aha152x und setzt den Modulparameter aha152x auf den Wert 0x340,10. modprobe -r ppp Entfernt das Modul ppp und alle Module, die von diesem Modul benötigt werden aus dem Kern. modprobe -a -t net \* Lädt alle Module aus dem Modul-Unterverzeichnis net und alle dazu benötigten Module in den Kern. Siehe auch: depmod, update-modules, modconf, insmod, rmmod.
more Paket: util-linux
Textdatei seitenweise anzeigen Textverarbeitung, Information
more [Optionen] [Datei ...] Das Programm liest Daten von der Standardeingabe oder von einer oder mehreren mit Datei bezeichneten Datei(en) und zeigt sie bildschirmweise an. Der Hauptgrund, der gegen den Einsatz von more spricht ist, dass mit dem Programm less ein Programm für den gleichen Zweck zur Verfügung steht, das wesentlich mächtiger und komfortabler ist. Die wichtigsten Tastaturkommandos für more sind die L EER-Taste, mit der die nächste Seite angezeigt wird und die -Taste, mit der die nächste Zeile angezeigt wird. Das Programm wird über die Taste verlassen. more liegt im Wurzelverzeichnis und steht damit früher zur Verfügung als less. -p Der angezeigte Text wird beim Blättern nicht verschoben, sondern der Bildschirm wird jedesmal gelöscht und neu mit Text gefüllt. -s Mehrere leere Zeilen hintereinander werden durch eine Leerzeile in der Anzeige ersetzt. more brief.txt
19 Kommandoübersicht
1001
Zeigt die Datei brief.txt seitenweise im Terminal an. ls -la | more Zeigt die Ausgabe des Kommandos ls -la seitenweise an. Siehe auch: less.
mount Paket: mount
Datenträger einhängen Systemverwaltung
mount -a [Optionen] Hängt alle in der Datei /etc/fstab angegebenen Datenträger in das Wurzeldateisystem ein (mountet alle Datenträger). mount [Optionen] Datenträger Verzeichnis Hängt den durch Datenträger angegebenen Datenträger in das mit Verzeichnis angegebene Verzeichnis ein. Wird mount ohne Parameter angegeben, zeigt es an, welche Datenträger eingehängt sind. Wenn mount nur mit einer Datenträgerbezeichnung oder nur mit einem Verzeichnis aufgerufen wird, sucht es einen entsprechenden Eintrag für den Datenträger oder das Verzeichnis in der Datei /etc/fstab und hängt den Datenträger dann entsprechend dem Eintrag in dieser Datei ein. Datenträgerbezeichnungen sind gewöhnlich Bezeichnungen von Gerätedateien, die physikalische Datenträger wie Festplattenpartitionen repräsentieren. Es gibt auch Ausnahmen. Soll beispielsweise ein Verzeichnis, das von einem anderen Rechner (z. B. über NFS) zur Verfügung gestellt worden ist, eingehängt werden, so muss als Datenträger der Name des Rechners und nach einem Doppelpunkt das Verzeichnis auf diesem Rechner angegeben werden. Datenträger dürfen gewöhnlich nur vom Verwalter eingehängt werden. Es besteht die Möglichkeit, in der Datei /etc/fstab zu definieren, dass bestimmte Datenträger auch von gewöhnlichen Benutzern eingehängt und wieder entfernt werden dürfen. -a Hängt alle in der Datei /etc/fstab angegebenen Dateisysteme ein. -t Dateisystemtyp Gibt den Typ des Dateisystems (z. B. ext2 oder msdos) mit Dateisystem an. Zusammen mit der Option -a bewirkt diese Option, dass nur die Datenträger mit dem angegebenen Dateisystemtyp eingehängt werden. Die Liste der vom Kern unterstützten Dateisystemtypen lässt sich durch folgendes Kommando einsehen: joe@debian:~$ cat /proc/filesystems Dort sind nur die Dateisystemtypen aufgeführt, die der Kern zum Zeitpunkt der Ausgabe unterstützt. Die Unterstützung für zusätzliche Typen lässt sich durch das Laden eines entsprechenden Moduls aktivieren. -r Bestimmt, dass auf den Datenträger nur zum Lesen zugegriffen werden darf und sein Inhalt nicht verändert werden kann. -w Bestimmt, dass auf den Datenträger lesend und schreibend zugegriffen werden darf (Vorgabe).
1002
19 Kommandoübersicht
-o Optionen Gibt zusätzliche – teilweise dateisystemspezifische Optionen – zum Einhängen des Datenträgers an. Einzelne Optionen werden durch Kommas voneinander getrennt. Zwischen ihnen darf kein Leerzeichen vorkommen. Einige wichtige Optionen werden im Folgenden erläutert. Mount-Optionen: async Daten werden asynchron geschrieben. Das heißt, es wird erst dann auf den Datenträger geschrieben, wenn das Betriebssystem dies für sinnvoll hält, und nicht sofort, nachdem Daten verändert worden sind. sync Sobald auf den Datenträger geschrieben wird, werden die Änderungen auch vorgenommen. Dadurch verringert sich die Leistung des Systems. dev Gerätedateien auf dem Datenträger werden als solche interpretiert. nodev Gerätedateien auf dem Datenträger werden nicht als solche interpretiert. exec Dateien auf dem Datenträger dürfen als Programme ausgeführt werden. noexec Dateien auf dem Datenträger dürfen nicht ausgeführt werden. suid Wenn bei einer ausführbaren Datei das SUID-Bit gesetzt ist, zeigt dies Wirkung. Das heißt, ausführbare Dateien können mit einer anderen Benutzer-ID als der des aufrufenden Benutzers ausgeführt werden. nosuid Ausführbare Dateien können nur mit der Benutzer-ID des aufrufenden Benutzers ausgeführt werden. defaults Entspricht den Optionen suid, dev, exec und async. uid=Wert Legt den Besitzer von Dateien und Verzeichnissen auf solchen Dateisystemtypen fest, die diese Werte nicht speichern können (msdos, vfat, iso9660). Es muss die numerische Benutzer-ID angegeben werden. Als Vorgabe wird die Benutzer-ID des Benutzers verwendet, der den Datenträger einhängt. gid=Wert Wie uid für die Gruppenzugehörigkeit von Dateien und Verzeichnissen. mount -a t ext2 Hängt alle in der Datei /etc/fstab aufgeführten Datenträger ein, die den Dateisystemtyp ext2 haben. mount /floppy Hängt den Datenträger in das Verzeichnis /floppy ein, der in der Datei /etc/ fstab dafür definiert wurde. mount -t vfat -o uid=1000,gid=1000 /dev/hda1 /dosc Hängt den Datenträger ein, der durch die Datei /dev/hda1 repräsentiert wird (erste primäre Partition auf der ersten (E)IDE-Festplatte) in das Verzeichnis /dosc. Der Datenträger wird als VFAT-Partition (MS-Windows-95-Dateisystem) eingehängt. Alle Dateien auf dem Datenträger werden dem Benutzer mit der ID 1000 und der Gruppe mit der gleichen ID zugeordnet. mount -t nfs fileserver:/files/new /dateien/neu Hängt das Verzeichnis /files/new, das sich auf dem Rechner fileserver befindet, in das lokale Verzeichnis /dateien/neu ein. Siehe auch: df, umount.
19 Kommandoübersicht
mt Paket: cpio
1003
Bandlaufwerk steuern Systemverwaltung, Backup
mt [Optionen] Operation [Anzahl] Das Programm mt wird zur Benutzung von Bandlaufwerken benutzt. Mit ihm ist es möglich, Bänder zu spulen und Einstellungen des Bandlaufwerks zu verändern. Als Vorgabe verwendet mt das durch die Gerätedatei /dev/tape repräsentierte Bandlaufwerk oder das mit der Umgebungsvariable TAPE definierte. Nicht jede Operation wird von jedem Bandlaufwerk unterstützt. -f [[Benutzer@]Rechner:]Gerätedatei Bestimmt, das durch die mit Gerätedatei angegebene Gerätedatei repräsentierte Bandlaufwerk zu verwenden. Ist Gerätedatei der Name eines Rechners vorangestellt, wird die Gerätedatei auf diesem Rechner benutzt. Dem Rechnernamen kann der Name eines Benutzers vorangestellt sein. Dadurch wird bewirkt, dass der Zugriff auf den fernen Rechner unter dem mit Benutzer angegebenen Benutzernamen erfolgt. mt verwendet zum Zugriff auf fremde Rechner rsh oder ssh. - -rsh-command=Programm Bewirkt, dass mt beim Zugriff auf fremde Rechner das mit Programm angegebene Programm benutzt. Operationen: rewind Das Band wird zurückgespult. eom Das Band wird an das Ende der darauf bereits vorhandenen Daten gespult. fsf Zahl Das Band wird um die mit Zahl angegebene Anzahl Dateimarken vorgespult. bsf Zahl Das Band wird um die mit Zahl angegebene Anzahl Dateimarken zurückgespult. offline Das Band wird zurückgespult und ausgegeben, falls dies vom Laufwerk unterstützt wird. retension Das Band wird zurückgespult, dann vorgespult und dann wieder zurückgespult. status Gibt Statusinformationen über das Band und das Laufwerk aus. mt -f /dev/st0 status Gibt den Status des durch die Gerätedatei /dev/st0 repräsentierten Bandlaufwerks aus. mt -f backup@backupserver:/dev/tape3 fsf 2 Spult das durch die Gerätedatei /dev/tape3 repräsentierte Bandlaufwerk zwei Dateimarken weiter. Das Laufwerk ist an den Rechner backupserver angeschlossen, auf den mit dem Benutzername backup zugegriffen wird. Siehe auch: tar, cpio.
mtools
Dateien auf DOS-Datenträger verwalten Dateiverwaltung, Kompatibilität Paket: mtools Bei mtools handelt es sich um eine Sammlung von Programmen, die mehrere
1004
19 Kommandoübersicht
Kommandos zum Zugriff auf DOS/MS-Windows-formatierte Datenträger beinhaltet. Der Vorteil dieser Kommandos gegenüber dem normalen Verfahren besteht darin, dass die Datenträger nicht eingehängt werden müssen, sondern direkt auf sie zugegriffen werden kann. Die durch mtools verfügbaren Kommandos haben in der Regel die gleichen Namen wie die entsprechenden Kommandos unter DOS, nur dass ihnen jeweils ein m vorangestellt ist (also mcopy anstatt von copy). Die mtools stellen einen bequemen Weg dar, auf wechselbare Datenträger (Disketten, Zip-Medien etc.) zuzugreifen, die im DOS/MS-Windows-Format formatiert sind, ohne diese Datenträger einzuhängen. Es ist sogar möglich, mit mtools auf die Festplattenabbilddateien von DOSEMU zuzugreifen. Andererseits sollten diese Werkzeuge nicht als Ersatz für die normalen Linux/UNIX-Kommandos verstanden werden. Um alles ähnlich wie unter DOS aussehen zu lassen, werden für die Datenträger, auf die mit den mtools zugegriffen werden kann, in der Datei /etc/mtools.conf Laufwerksbuchstaben definiert, über die Dateien auf diesen Datenträgern angesprochen werden. Als Vorgabe sind dort bereits Definitionen für Diskettenlaufwerke (A: und B:) vorhanden sowie einige weitere Einträge, vor denen das Kommentarzeichen entfernt werden muss, damit sie wirksam werden. Bei der Verwendung der mtools ist zu beachten, dass sie zum einen Linux/UNIX-Dateinamen verwenden und zum anderen DOS-Dateinamen. Um die Datei readme.txt von einer DOS-formatierten Diskette in das eigene HomeVerzeichnis zu kopieren, ist folgendes Kommando einzugeben: joe@debian:~$ mcopy a:\readme.txt ~/ Bei dem ersten Parameter a:\readme.txt handelt es sich um einen DOSDateinamen mit Laufwerksbuchstaben und Rückwärts-Schrägstrich, bei dem zweiten Parameter um einen Linux/UNIX-Dateinamen. Generell werden Dateinamen als DOS-Namen interpretiert, wenn ihnen ein Laufwerksbuchstabe vorangestellt ist. Zur Trennung von Verzeichnissen kann bei DOS-Namen sowohl der Gegenschrägstrich als auch der normale Schrägstrich benutzt werden. Dem Gegenschrägstrich muss ein zweiter vorangestellt werden, weil er normalerweise eine spezielle Bedeutung für die Shell hat. Einige mtools-Kommandos akzeptieren an bestimmten Stellen nur DOS-Dateinamen. In diesen Fällen reicht auch ein Dateiname ohne Laufwerksbuchstabe, der dann als DOS-Name interpretiert wird. Genauso wie für Linux/UNIXKommandos gibt es für die mtools ein Arbeitsverzeichnis, das mit dem Kommando mcd geändert werden kann. Bei der Angabe relativer DOS-Namen wird dieses Arbeitsverzeichnis zugrunde gelegt. Das mtools-Arbeitsverzeichnis wird in der Datei .mcwd im Home-Verzeichnis des aktuellen Benutzers gespeichert und verliert seine Gültigkeit nach 6 Stunden. Im Unterschied zu DOS wird nur ein Arbeitsverzeichnis gespeichert. Um die Verwirrung zu erhöhen, hat Microsoft für DOS-Dateisysteme lange und kurze Dateinamen erfunden. Zu jeder Datei auf einem DOS-Datenträger, deren Name länger als 8 Zeichen plus einer 3 Zeichen langen Erweiterung ist oder der aus einem anderen Grund nicht erlaubt ist, wird zusätzlich ein langer Dateiname gespeichert. Diese werden von den mtools als primärer (langer) und sekundärer (kurzer) Name angesprochen. Wenn beispielsweise eine Datei auf einen DOS-Datenträger kopiert werden soll, deren kurzer Name dort bereits existiert, aber deren langer Na-
19 Kommandoübersicht
1005
me dort nicht existiert, muss entschieden werden, ob das bedeutet, dass die Datei überschrieben werden soll oder ob die zu kopierende Datei einen anderen sekundären (kurzen) Namen erhalten soll. Vorgabe der mtools ist nachzufragen, wenn der lange Dateiname bereits existiert und den kurzen (sekundären) Dateinamen automatisch zu ersetzen. Dieses Verhalten lässt sich durch allgemeine Optionen überschreiben, die für alle mtools-Kommandos gelten und in den Info-Seiten zu diesem Programm beschrieben sind. Metazeichen (?,*, []) können mit den mtools genauso benutzt werden wie unter Linux/UNIX. Es ist nicht nötig, bei einem DOS-Namen das Konstrukt (*.*) zu verwenden, wenn * (alle Dateien) gemeint ist. Weiter unterscheiden sich die mtools von den Original-DOS-Kommandos dadurch, dass Optionen – wie unter Linux/UNIX üblich – durch ein Minuszeichen und nicht durch einen Schrägstrich eingeleitet werden. Siehe auch: mattrib, mbadblocks, mcd, mcopy, mdel, mdeltree, mdir, mformat, minfo, mlabel, mmd, mrd, mren, mtype, xcopy.
mv Paket: coreutils
Datei verschieben oder umbenennen Dateiverwaltung
mv [Optionen] Quelldatei Zieldatei | Zielverzeichnis Verschiebt die mit Quelldatei bezeichnete Datei nach Zieldatei. Wird anstelle von Zieldatei ein Verzeichnisname angegeben, wird die Datei in das Verzeichnis verschoben und erhält dort den gleichen Namen wie die Ausgangsdatei. Existiert die Zieldatei bereits, wird sie überschrieben. mv [Optionen] Quelldatei Quelldatei [...] Zielverzeichnis Verschiebt alle mit Quelldatei angegebenen Dateien und Verzeichnisse in das Zielverzeichnis. Im Zielverzeichnis vorhandene Dateien mit den gleichen Namen wie die der Originaldateien werden auch hier überschrieben. -b | - -backup Bevor Dateien überschrieben werden, wird von diesen eine Sicherungskopie erstellt. Diese hat standardmäßig den gleichen Namen wie das Original mit einer angehängten Tilde (~). -S Endung | - -suffix=Endung Zusammen mit der Option -b erhalten Sicherungskopien anstatt der Tilde die Endung Endung. -i | - -interactive Bevor Dateien überschrieben werden, wird nachgefragt, ob dies wirklich geschehen soll. -u | - -update Es werden nur solche Dateien verschoben, deren letztes Änderungsdatum jünger ist als das der Zieldateien. -v | - -verbose Der Name jeder verschobenen Datei wird ausgegeben. mv brief1.tex finanzamt_03_Juli.tex Wenn es sich bei brief1.tex nicht um ein Verzeichnis handelt und finanzamt_03_Juli.tex nicht existiert oder kein Verzeichnis ist: Benennt die Datei brief1.tex in finanzamt_03_Juli.tex um.
1006
19 Kommandoübersicht
mv briefe texte Wenn es sich bei briefe und bei texte um Verzeichnisse handelt: Verschiebt das Verzeichnis briefe in das Verzeichnis texte. Das heißt, briefe ist dann ein Unterverzeichnis von texte. mv *jpg graphics/jpegs Verschiebt alle Dateien, welche die Endung jpg haben, in das Verzeichnis graphics/jpegs. Wenn graphics/jpegs kein Verzeichnis ist, gibt es eine Fehlermeldung, falls im Arbeitsverzeichnis mehr als eine Datei mit der Endung jpg vorhanden ist. Siehe auch: cp, ln.
newgrp Paket: login
Gruppenidentität wechseln Prozessverwaltung
newgrp [-] [Gruppe] Das Kommando newgrp wechselt die aktive Gruppe. Hierzu wird eine neue Shell mit der Gruppenidentität der mit Gruppe bezeichneten Gruppe gestartet. Ist der aufrufende Benutzer Mitglied der Gruppe, in die gewechselt werden soll, braucht kein Passwort angegeben zu werden. Der Wechsel in eine fremde Gruppe erfordert jedoch die Angabe des Passworts dieser Gruppe. Ist die Gruppe nicht mit einem Passwort versehen, wird der Wechsel nicht gestattet. Wenn keine Gruppe angegeben wird, verwendet das Programm die primäre Gruppe des aufrufenden Benutzers. - Die Umgebungsvariablen werden neu initialisiert. Die Shell erhält die gleichen Umgebungsvariablen wie eine Shell nach dem Login. newgrp topsecret Startet eine neue Shell mit der Gruppenidentität der Gruppe topsecret. Siehe auch: groups, id, su.
nice Paket: coreutils
Prozess mit veränderter Priorität starten Prozessverwaltung
nice [Optionen] [Kommando] nice startet das mit Kommando angegebene Programm mit einer anderen Priorität als der Standardpriorität. Das System speichert zu jedem Prozess einen Nice-Wert, der bestimmt, wieviel Rechenzeit der betreffende Prozess zugewiesen bekommt. Der niedrigste Nice-Wert ist -20 (der Prozess bekommt am meisten Rechenzeit) und der höchste ist 19 (der Prozess bekommt am wenigsten Rechenzeit). Standardwert ist 0, also ein mittlerer Wert. Wird nice ohne Optionen und auszuführendes Kommando aufgerufen, gibt es den aktuellen nice-Wert aus. Wird mit Kommando ein auszuführendes Kommando angegeben, startet nice dieses Programm mit einem um 10 erhöhten Wert, normalerweise also mit dem Nice-Wert 10. Nur dem Verwalter ist es erlaubt, Programme mit einem Nice-Wert unter 0 zu starten. -n Wert | - -adjustment=Wert Das auszuführende Kommando wird mit dem durch Wert angegebenen Nice-Wert gestartet.
19 Kommandoübersicht
1007
nice 19 updatedb Führt das Programm updatedb aus und erzeugt dabei eine sehr geringe Systemlast. Siehe auch: renice, ps.
nohup Paket: coreutils
Programm ohne Kontrollterminal ausführen Prozessverwaltung
nohup Kommando Gewöhnlich werden die Prozesse eines Benutzers beendet, wenn er sich abmeldet oder wenn die Verbindung zu dem Rechner, auf dem sie ausgeführt werden, unterbrochen wird. Gelegentlich ist es jedoch erwünscht, langlaufende Prozesse fortzusetzen, ohne weiterhin angemeldet sein zu müssen. Das Programm nohup startet Prozesse so, dass sie nicht unterbrochen werden, falls die laufende Sitzung beendet wird. Die Ausgaben der von nohup gestarteten Prozesse werden in die Datei nohup.out im Arbeitsverzeichnis oder – wenn dies nicht möglich ist – im Home-Verzeichnis des aufrufenden Benutzers geschrieben. Existiert diese Datei bereits, wird sie nicht überschrieben, die Ausgaben werden angehängt. nohup make world & Ruft das Programm make mit dem Argument world auf und hängt die Ausgaben des Programms an die Datei nohup.out an. Nach einer Abmeldung läuft make weiter. Der Operator & bewirkt, dass die Shell den Prozess im Hintergrund startet, damit die Eingabe neuer Kommandos (z. B. zur Abmeldung) möglich ist.
ntpdate Paket: ntpdate
Zeit von NTP-Server holen Netz, Systemverwaltung
ntpdate [Optionen] NTP-Server Das einfache Werkzeug dient zur Synchronisation der Systemuhr mit einem NTPServer und sollte von Root beim Booten und dann täglich aufgerufen werden. Aufwendiger, aber in lokalen Netzen besser ist die Einrichtung eines eigenen NTPServers (ntpd). -d Debugging mode, tut nur so als ob, verstellt die Systemuhr nicht. -v verbose, ausführliche Anzeige der Tätigkeiten. ntpdate ntp1.t-online.de Synchronisiert die Systemuhr mit dem Server ntp1.t-online.de. Siehe auch: date, hwclock.
parted Paket: parted
GNU Partitions-Editor Information, Systemverwaltung
parted [Optionen] [Gerät [Kommando [Optionen]]]
1008
19 Kommandoübersicht
Das Werkzeug dient zum Anlegen, Ändern, Kopieren und Löschen von Partitionen verschiedener Partitionstypen, darunter ext2 und ext3. Der Editor kennt folgende Unterkommandos: • • • • • • • • • • • • • • •
check prüft die angegebene Partition, cp kopiert das Dateisystem einer Partition in eine andere Partition, help gibt eine Hilfe aus, mkfs erzeugt ein Dateisystem in einer Partition, mklabel erzeugt ein Disklabel (nur bei einigen Dateisystemtypen möglich). mkpart legt eine Partition mit einem Dateisystem darin an, mkpartfs legt eine Partition mit einem Dateisystem darin an, move verschiebt eine Partition, name setzt den Namen einer Partition (nur bei einigen Dateisystemtypen möglich), print gibt die Partitionstabelle aus, quit beendet den Editor, resize ändert die Größe eines Dateisystems in einer Partition, rm löscht eine Partition, select wählt ein Gerät als aktuelles Gerät zum Editieren aus, set setzt das Zustandsflag wie boot einer Partition.
--help | -h gibt eine Hilfe aus. --interactive | -i fragt den Benutzer, sofern erforderlich. --script | -s fragt den Benutzernicht; zur Verwendung in Batchdateien. --version | -v gibt seine Versionsnummer aus. parted /dev/hda print zeigt die Partitionstabelle von /dev/hda an. Siehe auch: fdisk, fsck, mkfs, dd.
passwd Paket: passwd
Passwort ändern Systemverwaltung
passwd [Optionen] [Benutzername | Gruppenname] Der primäre Zweck von passwd besteht darin, das zu einem Benutzerkonto gehörende Passwort zu verändern. Das Programm kann von jedem Benutzer aufgerufen werden, um das Passwort des eigenen Kontos zu ändern. Die Änderung von Passwörtern anderer Benutzerkonten ist nur dem Verwalter erlaubt. passwd kann darüber hinaus genutzt werden, um Einstellungen eines Benutzerkontos anzuzeigen oder zu ändern. Bei der Festlegung eines neuen Passworts überprüft das Programm dieses nach Regeln, die in der Manual-Seite beschrieben sind, daraufhin, ob es den Minimalanforderungen an ein sicheres Passwort genügt. Falls nein, wird durch erneute Eingabe des unsicheren Passworts dessen Verwendung erzwungen. Hiervon ist abzuraten. Passwörter sollen aus mindestens 8 Zeichen, großen und kleinen Buchstaben sowie Zahlen und Satzzeichen bestehen. Vorsicht ist geboten, wenn das zu verwendende Passwort auch auf anderen Betriebssystemen benutzt werden soll, die
19 Kommandoübersicht
1009
damit eine Authentifizierung am Debian-GNU/Linux-System durchführen. Einige Betriebssysteme unterstützen nicht die Unterscheidung zwischen groß und klein geschriebenen Passwörtern. -l Sperrt das angegebene Benutzerkonto. -u Hebt die Sperre des angegebenen Kontos wieder auf. -S Gibt den Status des angegebenen Kontos aus. Dabei werden der Reihe nach der Name des Kontos, die Information, ob das Konto gesperrt ist (L) oder nicht (P) oder ob es mit keinem Passwort versehen ist (NP), das Datum der letzten Passwortänderung, das maximale Alter, das minimale Alter, die Warnzeit für das Passwort und die Zeit, nach der das Konto gesperrt wird, wenn das Passwort nicht rechtzeitig geändert wurde, in Tagen ausgegeben. -x Tage Legt den Zeitraum in Tagen fest, nach dem das Passwort spätestens geändert werden muss. -n Tage Legt den Zeitraum in Tagen fest, bevor ein Passwort frühestens erneut geändert werden darf. -w Tage Legt den Zeitraum in Tagen fest, in dem der Besitzer des angegebenen Kontos ob des Ablaufs seines Passworts gewarnt wird. -i Tage Legt den Zeitraum in Tagen fest, nach dem das angegebene Konto gesperrt wird, wenn das Passwort nicht rechtzeitig geändert wurde. -f Erlaubt die Neueingabe der Zusatzinformationen zu dem angegebenen Konto. -s Erlaubt den Wechsel der Standardshell für den Benutzer. -g Erlaubt die Vergabe eines Passworts für die angegebene Benutzergruppe. -g -r Entfernt das Passwort für eine Benutzergruppe. passwd Ändert das Passwort des aufrufenden Benutzers. passwd -l mueller meier Sperrt die Benutzerkonten der Benutzer mueller und meier. passwd -x 30 -n 1 -w 5 -i 5 schulze Legt für das Konto des Benutzers schulze Folgendes fest: Das Passwort muss spätestens alle 30 Tage geändert werden, es darf frühestens einen Tag nach eine Änderung erneut geändert werden. Fünf Tage vor Ablauf der Änderungsfrist erhält der Benutzer nach der Anmeldung eine Warnung, dass er sein Passwort ändern muss. Wenn es fünf Tage nach Ablauf der Frist noch nicht geändert wird, wird das Konto gesperrt. Siehe auch: chage.
patch Paket: patch
Textdatei mit Diff aktualisieren Textverarbeitung, Entwicklung
patch [Optionen] Das Programm ist das Gegenstück zum Programm diff, mit dem Unterschiede zwischen (Text-)Dateien beschrieben werden und in eigenen Dateien gespeichert werden können. Diese Diffs oder Patch-Dateien sind kleiner und schneller zu transportieren
1010
19 Kommandoübersicht
als die Originaldateien und werden deswegen oft bei der Softwareaktualisierung benutzt. Das Programm patch wendet die von diff erzeugten Dateien auf vorhandene Textdateien an und bringt diese damit auf den Stand, den sie dort haben, wo das Diff erzeugt wurde. -b | - -backup Bevor eine Datei verändert wird, wird ein Backup dieser Datei erstellt. Diese Datei hat standardmäßig die zusätzliche Endung .orig. -i Datei | - -input=Datei Die Anweisungen werden aus der mit Datei bezeichneten Datei gelesen. -p Zahl | - -strip=Zahl In den Diff-Dateien sind normalerweise Informationen darüber enthalten, welche Datei geändert werden soll. Unter Umständen werden die Dateien jedoch auf dem Rechner, wo das Diff erstellt wurde und auf dem Zielrechner in unterschiedlichen Verzeichnissen aufbewahrt, sodass die richtigen Dateien nicht mehr gefunden werden können. Durch die Option werden den Dateiinformationen soviel Verzeichnisanteile abgezogen, wie mit Zahl angegeben ist. (Beispiel: -p 2 bewirkt, dass aus dem Dateinamen projekte/spiel/src/init.c der Name src/init.c wird.) patch < patch.diff Führt die in der Datei patch.diff beschriebenen Änderungen an den darin bezeichneten Dateien durch. Die Dateien werden ausgehend vom Arbeitsverzeichnis gesucht, wenn sie in patch.diff mit relativen Dateinamen spezifiziert sind. patch -p1 -b < upgrade.diff Führt die in der Datei upgrade.diff beschriebenen Änderungen durch. Von jeder zu verändernden Datei wird zunächst ein Backup erzeugt. Dateinamen wird die erste Verzeichniskomponente abgezogen. Siehe auch: diff.
ping Paket: netbase
Netzverbindung testen Information, Netz
ping [Optionen] Rechnername ping schickt in regelmäßigen Abständen Datenpakete an den mit Rechner bezeichneten Rechner, in denen dieser aufgefordert wird, das Datenpaket zurückzusenden. Das Programm bestimmt dann, wieviel Zeit für diesen Vorgang benötigt wurde. Als Vorgabe führt ping den Vorgang so lange durch, bis es abgebrochen wird (+). Danach gibt es eine Statistik aus, wieviele Pakete verloren gegangen sind und wieviel Zeit im schnellsten Fall, im langsamsten Fall und durchschnittlich für den Hin- und Rückweg gebraucht wurde. -c Anzahl Es wird Anzahl Male ein Datenpaket geschickt. -f Sobald ein Datenpaket vom fernen Rechner zurückgeschickt wurde, wird ein neues abgeschickt. Wenn nach 10 ms keine Beantwortung erfolgt, wird ebenfalls ein neues Paket gesendet. Dadurch kann schnell erkannt werden, wieviele Pakete verlorengehen. Diese Option belastet das Netz und den Zielrechner sehr und darf nur vom Verwalter ausgeführt werden.
19 Kommandoübersicht
1011
-i Sekunden Zwischen dem Senden zweier Pakete wird die mit Sekunden angegebene Zeit gewartet. ping -c 10 verwaltung Schickt 10 Datenpakete an den Rechner verwaltung und gibt hinterher eine Statistik aus. ping -f chef Schickt ständig Datenpakete an den Rechner chef und zeigt an, wann Pakete verlorengehen. Siehe auch: traceroute, netstat, ifconfig.
poff Paket: ppp
PPP-Verbindung beenden Netz
poff [Optionen] [Provider] Beendet die Verbindung zu dem mit Provider angegebenen Versorger. Wenn kein Versorger angegeben wird und mehr als zwei PPP-Verbindungen bestehen, wird die Verbindung zu dem Versorger mit dem Namen provider (Standardprovider) beendet. -a Es werden alle bestehenden Verbindungen beendet. -r Die Verbindung wird beendet und danach neu aufgebaut. -c Das Kompressionsverfahren wird zwischen Gegenstelle und lokalem Rechner neu ausgehandelt. poff -r uni Bricht die bestehende Verbindung zum Versorger uni ab und baut eine neue auf. Siehe auch: pon, pppd.
pon Paket: ppp
PPP-Verbindung aufbauen Netz
pon [Provider] Stellt die PPP-Verbindung zu dem mit Provider bezeichneten Versorger her. Wird kein Versorger angegeben, wird die Verbindung zu dem Versorger mit der Bezeichnung provider aufgebaut. Dies ist der vorgegebene-Versorgername, beispielsweise von pppconfig. Siehe auch: poff, pppd.
pppstats Paket: ppp
PPP-Statistik anzeigen Systemverwaltung, Information, Netz
pppstats [Optionen] [Interface] Das Kommando gibt Informationen zur Auslastung einer PPP-Verbindung aus. Wird mit Interface keine Datei angegeben, die ein Netzinterface darstellt, benutzt pppstats das Interface /dev/ppp0.
1012
19 Kommandoübersicht
-a Bringt das Programm dazu, absolute Werte seit Aufbau der PPP-Verbindung anzuzeigen. Standardmäßig werden nur die relativen Werte seit der letzten Abfrage ausgegeben. -c Anzahl Die Anzeige wird so oft wiederholt, wie mit Anzahl angegeben. -w Zeit Die Anzeige wird nach Ablauf der mit Zeit angegebenen Zeit wiederholt. Zeit wird als Intervall in Sekunden interpretiert. pppstats -w 2 /dev/ppp1 Gibt alle zwei Sekunden Informationen zur PPP-Verbindung, die über das zweite PPP-Interface hergestellt ist, aus. Siehe auch: pppd.
printenv Paket: coreutils
Umgebungsvariable anzeigen Shellskripte, Information
printenv [Variable ...] printenv gibt entweder alle gesetzten Umgebungsvariablen aus oder nur die Werte der mit Variable angegebenen Umgebungsvariable(n). printenv HOME Gibt den Wert der Umgebungsvariable HOME aus. Siehe auch: export.
procinfo Paket: sysutils
Übersicht über Systemstatus Systemverwaltung, Information
procinfo [Optionen] [-FDatei] Das Programm gibt Informationen über den Status des Systems aus. Dazu gehören Systemstartzeit, Systemlast, Speicherauslastung, Festplattenzugriffe, benutzte Interrupts etc. Siehe auch: free, uptime, ps.
ps Paket: procps
Prozessinformation anzeigen Information, Prozessverwaltung
ps [Optionen] [Prozess-ID,...] ps zeigt die zum Zeitpunkt der Ausführung des Programms auf dem System laufenden Prozesse an. Mit Optionen lässt sich bestimmen, welche Prozesse und welche Informationen zu diesen Prozessen angezeigt werden sollen. UNIX-Optionen dürfen zusammengefasst werden und müssen mit einem Minuszeichen eingeleitet werden. BSD-Optionen dürfen ebenfalls gruppiert, aber nicht mit einem Minuszeichen eigeleitet werden. Lange GNU-Optionen sind mit zwei Minuszeichen zu beginnen. u Benutzerformat: Zu jedem Prozess wird der Benutzer sowie die Zeit, zu welcher der Prozess gestartet wurde, angezeigt. j Jobformat: Zeigt die Gruppen-ID (PGID) der Prozesse an.
19 Kommandoübersicht
1013
v Virtueller Speicher: Zeigt den Verbrauch und den Zugriff auf virtuellen (Swap-) Speicher an (PAGEIN). a Zeigt die Prozesse aller Benutzer an. x Zeigt Prozesse an, die nicht von einem Terminal kontrolliert werden. e Zeigt jeden Prozesses an. ps -ef ist eine oft gebrauchte Kombination. w Schneidet Zeilen der Ausgabe nicht ab, wenn sie umgebrochen werden müssten, um vollständig dargestellt zu werden. Jedes zusätzliche w verlängert den verfügbaren Platz für einen Prozess um eine Zeilenlänge des aktiven Terminals. ps aux Zeigt alle laufenden Prozesse u. a. mit Benutzernamen an. ps xewwwwww Zeigt alle Prozesse des aufrufenden Benutzers mit ihren Umgebungsvariablen an. Für jeden Prozess stehen sechs Zeilen Ausgabeplatz zur Verfügung. Siehe auch: pstree, top.
pstree Paket: psmisc
Prozessstruktur anzeigen Information, Prozessverwaltung
pstree [Optionen] [PID | Benutzer] pstree gibt eine baumartige Struktur der auf dem System laufenden Prozesse aus. Daraus lässt sich entnehmen, welcher Prozess von welchem gestartet wurde und wie einzelne Prozesse miteinander zusammenhängen. Standardmäßig bildet der Prozess init den Wurzelpunkt dieser Baumansicht. Durch Angabe einer bestimmten Prozess-ID mit PID wird der zugehörige Prozess als Wurzelpunkt dargestellt. Wird der Name eines Benutzers angegeben, werden alle Prozesse des Benutzers sowie deren Kindorozesse dargestellt. -a Zu jedem Prozess werden die dem Prozess übergegebenen Kommandozeilenargumente mit angezeigt. -h Der laufende Prozess (das ist pstree selbst) und seine Elternprozesse werden in der Ausgabe hervorgehoben. -p Die Prozess-IDs der angezeigten Prozesse werden mit ausgegeben. -u Wenn die Benutzer-ID eines Prozesses von der seines Eltern-Prozesses abweicht, wird dies angezeigt. pstree joe -hpu Zeigt die Prozesse des Benutzers joe in einer Baumstruktur an. Der laufende Prozess und seine Elternprozesse werden hervorgehoben. Wenn die Benutzer-ID von Prozessen von denen ihrer Elternprozesse abweicht, wird dies angezeigt. Siehe auch: ps.
pwck Paket: passwd pwck
Benutzerdatei prüfen Systemverwaltung
1014
19 Kommandoübersicht
Das Programm prüft die Benutzer- und Passwortdaten in den Dateien /etc/ passwd und /etc/shadow auf Integrität und korrekte Einträge. Je nach Grad der gefundenen Fehler gibt pwck Warnungen aus (etwa weil das Home-Verzeichnis eines Benutzers nicht existiert) oder fragt im Fall von schweren Fehlern nach, ob es den Eintrag löschen soll. Bei der Einrichtung von Debian GNU/Linux werden einige Benutzereinträge angelegt, für die keine Home-Verzeichnisse existieren. Diesbezügliche Warnungen können ignoriert werden. Siehe auch: grpck.
pwd
Arbeitsverzeichnis nennen Information, Shellskripte
Paket: coreutils
pwd Das Kommando gibt den Namen des Arbeitsverzeichnisses aus (print working directory).
quota
Speicherplatzbegrenzung anzeigen Systemverwaltung, Information
Paket: quota
quota [Optionen] [Benutzer | Gruppe] Ohne Parameter aufgerufen gibt quota die für den aufrufenden Benutzer geltenden Speicherplatzbeschränkungen aus. Dabei wird angezeigt, wieviel des für den Benutzer zur Verfügung stehenden Speicherplatzes bereits verbraucht ist. Die Beschränkungen anderer Benutzer kann sich nur der Verwalter ansehen. -g Gibt die Speicherplatzbeschränkungen für alle Gruppen aus, in denen der aufrufende Benutzer Mitglied ist. -q Gibt nur Informationen über Dateisysteme aus, auf denen die Speicherplatzbeschränkungen überschritten sind. Siehe auch: edquota, repquota.
rdev Paket: util-linux
In den Kern eingebauten Parameter ändern Systemverwaltung, Installation
rdev [Optionen] [Kerndatei [Wert]] Während des Systemstarts muss der Kern einige Informationen haben, die er nicht aus Konfigurationsdateien lesen kann, weil zu diesem Zeitpunkt noch kein Zugriff auf Dateien möglich ist. Diese Informationen werden ihm über Bootparameter mitgeteilt, die sich z. B. von LILO übergeben lassen. Einige Parameter lassen sich jedoch auch direkt in den Kern schreiben. Dadurch können Einstellungen vorgenommen werden, die dem Kern ermöglichen, das System auch ohne zusätzliche Informationen zu starten. Das Programm rdev verändert direkt die angegebene Kerndatei und kann dort festlegen, welcher Datenträger als Wurzeldateisystem eingehängt werden soll, welcher Datenträger als Swapbereich benutzt werden soll, in welchem VideoModus die Grafikkarte initialisiert werden soll und wie groß eine zu verwendende
19 Kommandoübersicht
1015
RAM-Disk sein soll. Ohne Parameter aufgerufen, gibt rdev den im Kern eingestellten Wurzeldatenträger aus. Um den Wurzeldatenträger zu ändern, ist rdev mit dem Namen der Kerndatei und der Gerätedatei aufzurufen, auf der sich das Wurzeldateisystem befindet. -s Kerndatei Swapgerät Ändert den in der mit Kerndatei angegebenen Kerndatei angegebenen Swapdatenträger. -r Kerndatei Größe Legt die Größe der zu verwendenden RAM-Disk auf die mit Größe angegebene Größe in Kilobyte fest. -R Kerndatei Parameter Legt fest, ob der Kern das Wurzeldateisystem zum Lesen und zum Schreiben oder nur zum Lesen einhängen soll (0 bedeutet Lesen und Schreiben und 1 nur Lesen). -v Kerndatei Videomodus Legt fest, in welchem Videomodus der Kern die Grafikkarte initialisieren soll. Hierbei gelten die folgenden Werte: -3 (es wird nachgefragt), -2 (erweiterter VGA-Modus), -1 (normaler VGA-Modus). rdev /boot/vmliunz /dev/sda7 Ändert den in der Kerndatei vmlinuz eingestellten Wurzeldatenträger auf die durch /dev/sda7 repräsentierte Partition (dritte logische Partition auf der ersten SCSIFestplatte). rdev -s /dev/fd0 /dev/hda2 Legt den Swapdatenträger in der Kerndatei auf dem Datenträger in /dev/fd0 auf die durch /dev/hda2 repräsentierte Partition fest. rdev -R /boot/vmlinuz 1 Legt fest, dass der Kern in der Datei /boot/vmlinuz das Rootdateisystem nur zum Lesen einhängen darf. rdev -v /boot/vmlinuz -1 Stellt den zu verwendenden Videomodus des Kerns in /boot/vmlinuz auf Standard-VGA ein. Siehe auch: lilo, loadlin.
reboot Paket: sysvinit
System warm starten Systemverwaltung
reboot [Optionen] Das Kommando führt einen Warmstart des Systems durch. shutdown -r sollte bevorzugt werden Siehe auch: shutdown, halt, poweroff, init.
recode Paket: recode
Text umwandeln Textverarbeitung, Kompatibilität
recode [vorher][/[..][zwischendurch.. [...]][nachher] [Datei ...] Leider gibt es eine große Anzahl von Zeichentabellen, und gerade bei der Kodierung von Sonderzeichen oder Umlauten in Textdateien gibt es viele Wege. Dies führt oft
1016
19 Kommandoübersicht
dazu, dass Textdateien, die unter anderen Betriebssystemen erstellt wurden oder sogar unter dem gleichen Betriebssystem unter Verwendung einer anderen Kodierung erstellt wurden, nur bedingt auf dem eigenen Rechner les- und verarbeitbar sind. Das Programm recode kennt ungefähr 100 dieser Zeichentabellen und kann Dateien von einer in die andere umwandeln. Das Programm liest Daten von der Standardeingabe oder aus den mit Datei bezeichneten Dateien und kodiert diese aus der mit vorher angegebenen Zeichentabelle in die mit nachher angegebene Zeichentabelle um. Optional wird mit zwischendurch eine Zeichentabelle angegeben, die das Programm intern während der Transformation benutzt. Das Ergebnis wird auf die Standardausgabe geschrieben, wenn von der Standardeingabe gelesen wurde. Wenn aus einer oder mehreren mit Datei angegebenen Datei(en) gelesen wurde, werden diese Datei(en) umkodiert. Nicht alle Umcodierungen sind umkehrbar. Neben den eigentlichen Zeichensatztabellen kennt recode eine Reihe von Surfaces (Oberflächen). In der Terminologie des Programms werden darunter Codierungen von Dateien verstanden, die nicht den Zeichensatz, sondern beispielsweise Zeilenenden oder komplette Neucodierungen wie Base64 betreffen. Mit einigen Zeichensätzen sind bestimmte Surfaces verbunden. So werden unter DOS, MSWindows und IBM-OS/2 CR/LF-Paare zur Markierung von Zeilenenden benutzt, während unter Linux/UNIX nur ein LF-Zeichen gebraucht wird. Mit den Zeichensätzen pc oder cp850 ist deswegen das Surface CR/LF verbunden. Surfaces können explizit ausgewählt werden, in dem der Name des gewünschten Surface – durch einen Schrägstrich getrennt – hinter den Namen eines Zeichensatzes gestellt wird. Informationen zu den von recode unterstützten Zeichentabellen lassen sich in den Info-Seiten zu dem Programm nachlesen. Die wichtigsten sind: • • • • •
latin1 Die üblicherweise unter Linux verwendete Zeichentabelle. Sie wird benutzt, wenn keine andere Zeichentabelle angegeben wird. cp850 Die unter DOS und OS/2 im deutschsprachigen Raum benutzte Zeichentabelle. cp437 US-amerikanische Zeichentabelle, die oft unter MS-Windows benutzt wird. ibmpc IBM-PC-Zeichentabelle mit CR/LF-Zeilenenden. Apple-Mac Macintosh Zeichentabelle.
-l | - -list Gibt die unterstützten Zeichentabellen und Surfaces aus. recode brief.txt cp850..latin1 Kodiert die Datei brief.txt von der Zeichentabelle cp850 nach latin1 um. Siehe auch: fromdos, uudecode, uuencode.
renice Paket: bsdutils
Priorität laufender Prozesse ändern Prozessverwaltung
renice Priorität [[-p] Prozess-ID ..][[-g] Prozess-Gruppe ...][[-u] Benutzer ...]
19 Kommandoübersicht
1017
Das Programm ändert die Priorität laufender Prozesse. Dadurch lässt sich die Systemlast durch rechenintensive Programme verringern. Gewöhnliche Benutzer können mit renice die Priorität ihrer eigenen Prozesse verringern, während der Verwalter die Priorität aller Prozesse verringern oder erhöhen kann. Die verfügbaren Nice-Werte sind ganzzahlige Werte zwischen -20 und 19, Prozessen mit dem Wert -20 wird die meiste Rechenzeit zugeteilt und Prozesse mit dem Wert 19 bekommen die wenigste Prozessorzeit. Der Standardwert, mit dem Prozesse gestartet werden, ist 0. [-p] PID [PID ...] Verändert die Nice-Werte der Prozesse mit den durch PID angegebenen Prozess-IDs. -g PGRP [PGRP ...] Verändert die Nice-Werte aller Prozesse, die zu den mit PRGP angegebenen Prozessgruppen gehören. -u Benutzer [Benutzer ..] Verändert die Nice-Werte aller Prozesse, die den mit Benutzer angegebenen Benutzern gehören. renice 20 14543 Setzt den Prozess mit der Prozess-ID 14543 auf die geringste Priorität. renice -u 15 chef lohn Setzt alle Prozesse der Benutzer chef und lohn auf den Nice-Wert 15 (relativ geringe Priorität). Siehe auch: ps, top, kill, nice.
reset Paket: ncurses-bin
Terminal zurücksetzen Systemverwaltung, Shellskripte
reset [Optionen] [Terminal] Gelegentlich kommt es vor, dass ein Programm die Einstellungen des Terminals so verändert, dass es nicht mehr vernünftig benutzt werden kann. Dies kann sich u. a. durch falsch interpretierte Tastaturkommandos oder falsch dargestellte Zeichen im Terminal bemerkbar machen. Das Programm reset setzt die Einstellungen wieder auf die Vorgabewerte zurück, sodass danach weitergearbeitet werden kann. Wird mit Terminal der Name eines bekannten Terminaltyps angegeben, wird das Terminal so initialisiert, wie ein Terminal vom angegebenen Typ initialisiert werden müsste. Standardmäßig zeigt das Programm nach der Neuinitialisierung an, welche Tastenkombination zum Unterbrechen des aktuellen Prozesses und zum Löschen einer Zeile genutzt werden können. -q Gibt die Bezeichnung des Terminaltyps aus. -Q Gibt keine Informationen aus. -s Gibt das Kommando aus, das in der Shell eingegeben werden muss, um die Variable TERM richtig zu setzten. reset Setzt das Terminal auf seine Starteinstellungen zurück. reset -Qs linux
1018
19 Kommandoübersicht
Setzt das Terminal zurück und initialisiert es als Terminal vom Typ linux. Zusätzlich wird eine Zeile ausgegeben, mit der die Variable TERM gesetzt werden kann. Siehe auch: tset, tty, stty.
rm
Datei löschen Dateiverwaltung
Paket: coreutils
rm [Optionen] Datei [Datei ...] Das Kommando löscht die mit Datei angegebenen Dateien gnadenlos. -i | - -interactive Bevor Dateien gelöscht werden, wird nachgefragt, ob das Kommando ernst gemeint ist. -v | - -verbose Der Name jeder zu löschenden Datei wird ausgegeben. -r | - -recursive Wenn es sich bei den zu löschenden Dateien um Verzeichnisse handelt, wird der Inhalt dieser Verzeichnisse mit allen Unterverzeichnissen gelöscht. -f | - -force Es wird keine Fehlermeldung ausgegeben, wenn zu löschende Dateien nicht existieren. Außerdem erfolgt keine Nachfrage, wenn die Rechte an den zu löschenden Dateien nicht ausreichen. Es wird in jedem Fall versucht, sie zu löschen. rm brief.tex Löscht die Datei brief.tex. rm -iv *html Löscht alle Dateien, deren Namen mit html enden und die sich im Arbeitsverzeichnis befinden. Für jede zu löschende Datei erfolgt eine Sicherheitsabfrage. Die Namen der gelöschten Dateien werden ausgegeben. rm -rf briefe Wenn es sich bei briefe um ein Verzeichnis handelt, wird das Verzeichnis mit seinem Inhalt und allen Unterverzeichnissen ohne Rückfrage gelöscht. rm -rf * Wenn der Verwalter sich im Wurzelverzeichnis befindet und dieses Kommando eingibt, hat er hoffentlich vorher ein Backup gezogen. Siehe auch: rmdir.
rmdir Paket: coreutils
Verzeichnis löschen Dateiverwaltung
rmdir [Optionen] Verzeichnis [Verzeichnis ...] Das Kommando löscht die mit Verzeichnis angegebenen Verzeichnisse. Die Verzeichnisse müssen leer sein. -p | - -parents Wird ein Verzeichnis, in dem sich zu löschende Verzeichnisse befinden, durch das Löschen der Verzeichnisse leer, wird es ebenfalls gelöscht. rmdir tmpdir Löscht das Verzeichnis tmpdir im Arbeitsverzeichnis. rmdir -p musik/classic musik/pop musik/jazz
19 Kommandoübersicht
1019
Löscht die Verzeichnisse classic, pop und jazz im Verzeichnis musik. Wenn musik danach leer ist, wird es ebenfalls gelöscht. Siehe auch: mkdir, rm.
rmmod
Modul aus dem Kern entfernen Systemverwaltung
Paket: modutils
rmmod [Optionen] Modul [Modul ...] Das Kommando entfernt das oder die mit Modul bezeichneten Module aus dem Kern. Falls das Modul von einem Programm oder einem anderen Modul benutzt wird, kommt es zu einer Fehlermeldung. -a Entfernt alle Module, die zur Zeit nicht benötigt werden, aus dem Kern. rmmod sb Entfernt das Modul sb aus dem Kern. Siehe auch: insmod, modconf, lsmod.
route Paket: net-tools
Routingtabelle anzeigen oder ändern Network
route [Optionen] route [Optionen] Kommando [Optionen] Ohne Optionen oder Unterkommandos aufgerufen zeigt das Werkzeug die Routingtabelle des Kerns an. Mit den Unterkommandos add oder del ändert es die Routingtabelle im Kern. Die zahlreichen Möglichkeiten lese man im Manual nach. /sbin/route zeigt die aktuelle Routingtabelle des Kerns an. route add -net 192.168.4.0 netmask 255.255.255.0 eth1 fügt eine Route zum Netz 192.168.4.0 über das Interface eth1 hinzu. route add default gw gateway.beiuns eth0 legt als Default-Gateway den Knoten gateway.beiuns via Interface eth0 fest route del default löscht die Default-Route, der Rechner erreicht nur noch Knoten im lokalen Netz.
runlevel Paket: sysvinit
Runlevel anzeigen Information, Systemverwaltung
runlevel Das Programm gibt den aktuellen und den vorherigen Runlevel aus. Siehe auch: init.
scp Paket: ssh
Datei zwischen Rechnern verschlüsselt kopieren Netz
scp [Optionen] [[Benutzername@]Quellrechner:]Quelldatei [[Benutzername@]Zielrechner:]Zieldatei
1020
19 Kommandoübersicht
Das Programm kopiert die mit Quelldatei bezeichnete Datei in die mit Zieldatei bezeichnete Datei. Beiden Dateien kann ein Rechnername vorangestellt sein. Dieser muss von dem jeweiligen Dateinamen durch einen Doppelpunkt getrennt sein. Die Datei wird von dem mit Quellrechner spezifizierten auf den mit Zielrechner angegebenen Rechner kopiert. Wenn einer der beiden Rechnernamen nicht angegeben ist, wird angenommen, dass der lokale Rechner gemeint ist. Dem Rechnernamen kann (getrennt durch das @-Zeichen) ein Benutzername vorangestellt sein. Die Authentifizierung geschieht dann mit dem mit Benutzername angegebenen Namen. Wenn die Benutzernamen nicht angegeben sind, wird versucht, die Anmeldung mit dem lokalen Namen des aufrufenden Benutzers durchzuführen. Das Programm verwendet zur Kommunikation und zum Datentransfer das Programm ssh. Dieses ermöglicht einen sicheren, verschlüsselten Datenaustausch. Voraussetzung ist, dass auf den beteiligten fernen Rechnern das ssh-Serverprogramm (sshd) ausgeführt wird. -r Wenn mit Quelldatei ein Verzeichnis angegeben ist, wird dieses rekursiv mit allen darin enthaltenen Dateien und Unterverzeichnissen kopiert. -v Während Verbindungsaufbau und Authentifizierung werden die einzelnen dazu durchgeführten Schritte ausgegeben. -B Falls Passwörter zur Anmeldung an einem der fernen Rechner benötigt werden, werden diese nicht erfragt; es wird abgebrochen. Sinnvoll, wenn das Programm ohne Benutzereinwirkung ausgeführt werden soll. scp mozart:/home/joe/bericht.txt bericht_mozart.txt Kopiert die Datei /home/joe/bericht.txt auf dem Rechner mozart auf den lokalen Rechner und legt sie dort im Arbeitsverzeichnis mit dem Namen bericht_mozart.txt ab. Die Anmeldung am Rechner mozart erfolgt mit dem Benutzernamen des aufrufenden Benutzers auf dem lokalen Rechner. scp -r root@mozart:/usr/local root@beethoven:/usr/local Kopiert das Verzeichnis /usr/local auf dem Rechner mozart rekursiv mit allen enthaltenen Dateien und Unterverzeichnissen auf den Rechner beethoven. Die Authentifizierung an beiden Rechnern erfolgt über das Benutzerkonto von Root. Siehe auch: rcp, ssh.
script Paket: bsdutils
Sitzung mitschreiben Verschiedenes
script [-a] [Datei] Gelegentlich ist es wünschenswert, die Bildschirmausgaben in einer Datei mitzuschreiben, damit man nachvollziehen kann, was man während einer Sitzung getan hat. Hierzu dient das Programm script. Es startet eine neue Shell und speichert jedes Zeichen, das auf dem Bildschirm erscheint, in einer Datei mit dem Namen typescript oder in der mit Datei angegebenen Datei. Um script zu beenden, ist die von script gestartete Shell zu beenden, beispielsweise das Kommando exit einzugeben.
19 Kommandoübersicht
1021
-a Wenn eine Datei namens typescript oder dem angegebenen Namen bereits existiert, wird sie nicht überschrieben, sondern das aktuelle Skript angehängt. script lernen Startet eine neue Shell und protokolliert die Ein- und Ausgaben während der Arbeit mit dieser Shell in der Datei lernen.
sed Paket: sed
Stream-Editor Textverarbeitung, Shellskripte
sed [Optionen] [Datei ...] Das Programm liest Text von der Standardeingabe oder aus der oder den mit Datei angegebene(n) Datei(en) und schreibt diesen standardmäßig unverändert auf die Standardausgabe. Durch verschiedene Anweisungen ist es möglich, den Text von sed verändern zu lassen. Die Anweisungen befinden sich entweder in einer eigenen Datei oder werden an der Kommandozeile übergeben. sed ist ein Werkzeug, dessen Möglichkeiten in diesem Rahmen nur angeschnitten werden können. -n | - -quit Der Text wird nur dann auf die Standardausgabe ausgegeben, wenn dies in den Anweisungen explizit angegeben ist. -e Anweisungen | - -expression=Anweisungen sed verändert den Text nach den mit Anweisungen gegebenen Anweisungen. -f Datei | - -file=Datei Editieranweisungen werden aus der mit Datei bezeichneten Datei gelesen. Editieranweisungen: Editieranweisungen bestehen aus einer optionalen Adresse und einem Kommando, das beschreibt, was an dieser Adresse zu tun ist. Einige Kommandos erwarten zusätzliche Parameter, die auf das Kommando folgen müssen. Die Adresse ist entweder eine Zeilennummer (z. B. 15), das Kommando wird dann für die angegebene Zeile ausgeführt, oder ein Zeilenbereich (z. B. 1,13), das Kommando wird dann für diese beiden Zeilen und alle dazwischenliegenden ausgeführt. Darüber hinaus ist es möglich, anstatt der Zeilennummern reguläre Ausdrücke anzugeben. Das angegebene Kommando wird für die Zeilen ausgeführt, auf die der reguläre Ausdruck zutrifft oder – wenn zwei reguläre Ausdrücke angegeben wurden – auf den Bereich von Zeilen, der durch Zeilen eingeschlossen wird, auf die der erste reguläre Ausdruck (1.Zeile) und der zweite reguläre Ausdruck (letzte Zeile) zutrifft. Werden reguläre Ausdrücke als Adressen verwendet, müssen diese durch Schrägstriche am Anfang und am Ende gekennzeichnet sein. Ein Sonderfall ist das Zeichen $, welches die letzte Zeile des gelesenen Textes bezeichnet. Beispiele für Adressen sind also: 2 Bezeichnet die zweite Zeile. 2,13 Bezeichnet die Zeilen 2 bis 13. 13,$ Bezeichnet alle Zeilen von der 13. bis zur letzten. /aaa/ Bezeichnet alle Zeilen, in denen die Zeichenfolge aaa vorkommt. /aaa/,/ccc/ Bezeichnet alle Zeilen die zwischen Zeilen liegen, in denen aaa und ccc vorkommt, inklusive dieser Zeilen selbst.
1022
19 Kommandoübersicht
/Kommentar/,$ Bezeichnet alle Zeilen von der Zeile an, in der die Zeichenfolge Kommentar auftritt bis zur letzten Zeile. Wird keine Adresse angegeben, so gelten die Kommandos für alle Zeilen des Textes. sed versteht folgende Kommandos: d Die adressierten Zeilen werden gelöscht. p Die adressierten Zeilen werden ausgegeben. Die Zeilen werden doppelt ausgegeben, wenn sed nicht mit der Option -n aufgerufen wurde. w Datei Die adressierten Zeilen werden in die mit Datei bezeichnete Datei geschrieben. s/Ausdruck/Ersatz/[Option] In den adressierten Zeilen wird der Text, auf den der mit Ausdruck angegebene reguläre Ausdruck zutrifft, durch den mit Ersatz angegebenen Text ersetzt. Wenn Ersatz das Zeichen & enthält, wird es durch den Text ersetzt, auf den Ausdruck zutrifft. Wird für Option eine Zahl angegeben, so wird eine Ersetzung nur für die Textstelle durchgeführt, welche die der Zahl entsprechende Textstelle ist (also nur die dritte, wenn 3 angegeben wurde). Standardmäßig wird nur die erste Textstelle ersetzt. Wenn für Option g (global) angegeben wird, werden alle Textstellen ersetzt, auf die der Ausdruck zutrifft. sed -e /ganten/d adressen.txt > adressen_neu.txt Löscht alle Zeilen aus der Datei adressen.txt, in der die Zeichenfolge ganten vorkommt und schreibt das Ergebnis in die Datei adressen_neu.txt. sed -e /Teil 1/Teil 2/s/Verlust/Gewinn/g bericht > bericht_gut Ersetzt in der Datei bericht das Wort Verlust durch das Wort Gewinn, wenn dieses Wort in Bereichen der Datei bericht vorkommt, die mit Zeilen, die mit der Zeichenfolge Teil 1 beginnen und mit Zeilen, in denen das Wort Teil 2 vorkommt, aufhören. Das Ergebnis wird in die Datei bericht_gut geschrieben. Siehe auch: grep, perl, awk, cat.
setserial Paket: setserial
Serielle Schnittstelle einstellen Systemverwaltung
setserial [Optionen] Gerätedatei [Einstellung [Wert] ...] Das Programm konfiguriert die seriellen Schnittstellen des Rechners. Es wird während des Systemstarts aus dem Startskript /etc/rcS.d/S30setserial aufgerufen. Die Einstellungen der Schnittstellen werden beim Herunterfahren des Rechners in der Datei /etc/serial.conf gespeichert und beim Starten aus dieser Datei gelesen. Wird setserial nur mit Angabe einer Gerätedatei aufgerufen, die eine serielle Schnittstelle darstellt, gibt es die Konfiguration der entsprechenden Schnittstelle aus. Wird setserial mit Angabe einer Gerätedatei und der Angabe von Einstellungen und Werten aufgerufen, nimmt es die entsprechenden Einstellungen vor.
19 Kommandoübersicht
1023
-a Bei der Ausgabe der Konfiguration werden sämtliche verfügbaren Informationen über die betreffende Schnittstelle ausgegeben. port ioport Legt die Ein- und Ausgabeadresse der betreffenden Schnittstelle auf den mit ioport angegebenen Wert fest. irq Nummer Legt den Interrupt der betreffenden Schnittstelle auf den mit Nummer angegebenen Interrupt fest. uart Typ Gibt den UART-Typ der Schnittstelle an. Gültige Typen sind: 8250, 16450, 16550, 16550A, 16650, 16650V2 und 16750 oder none, wenn die Schnittstelle nicht mit einem UART ausgestattet ist. autoconfigure Weist den Kern an, die betreffende Schnittstelle automatisch zu konfigurieren. auto_irq Weist den Kern an, den von der Schnittstelle benutzten IRQ automatisch festzustellen. Diese Einstellung muss vor autoconfigure vorgenommen werden. skip_test Weist den Kern an, während der Autokonfiguration nicht zu versuchen, den Typ des UARTs festzustellen. Wird bei einigen UART-Imitaten benötigt. setserial -a /dev/ttyS0 Gibt die aktuelle Konfiguration der ersten seriellen Schnittstelle aus. setserial /dev/ttyS2 port 0x3E8 auto_irq autoconfigure Konfiguriert die dritte serielle Schnittstelle automatisch unter Verwendung der BasisEin/Ausgabe-Adresse von hexadezimal 3E8. Siehe auch: tunelp, /proc/interrupts, /proc/ioports.
sfdisk Paket: util-linux
Partitionsdaten anzeigen und ändern Systemverwaltung
sfdisk -s [Gerätedatei] Gibt die Größe in 1024 Byte großen Blöcken der mit Gerätedatei bezeichneten Partition aus. Wird keine Partition angegeben, werden die Größen aller im System vorhandenen Festplatten ausgegeben. sfdisk -l [Optionen] [Gerätedatei] Gibt die Partitionstabelle der mit Gerätedatei bezeichneten Festplatte aus. Wird keine Festplatte angegeben, werden die Partitionstabellen aller im System vorhandenen Festplatten ausgegeben. sfdisk -V [Gerätedatei] Führt verschiedene Konsistenztests mit der Partitionstabelle der mit Gerätedatei bezeichneten Festplatte durch. Wird keine Festplatte angegeben, werden die Partitionstabellen aller Festplatten geprüft. sfdisk Gerätedatei Erlaubt das nicht-interaktive Partitionieren der mit Gerätedatei bezeichneten Festplatte. Das Programm liest Partitionierungsangaben von der Standardeingabe und erzeugt auf der betreffenden Festplatte die entsprechende Partitionstabelle. Dadurch ist die automatische Partitionierung in Shellskripten und ähnlichen Anwendun-
1024
19 Kommandoübersicht
gen möglich. Die Partitionierungsangaben müssen in folgender Form erfolgen, wobei jeweils eine Zeile die Partitionierungsangaben für eine Partition enthalten muss: Start Größe Partitionstyp Bootbar z,k,s z,k,s Die einzelnen Felder werden durch Leerzeichen, Kommas oder Semikolons getrennt. Start bezeichnet den Startpunkt in Zylindern oder der gewählten Einheit (siehe Parameter -U), an dem eine Partition beginnen soll. Größe bezeichnet die Größe der Partition in der gewählten Einheit, Partitionstyp den Partitionstyp, er muss hexadezimal und ohne 0x angegeben werden. Bei der Angabe des Partitionstyps ist es weiter u. a. möglich, die Buchstaben L für Linux-Native oder S für LinuxSwap anzugeben. Mit Bootbar wird angegeben, ob die Partition aktiv sein soll. Ein Stern (*) macht die Partition aktiv, ein Minuszeichen (-) macht sie inaktiv. Die letzten beiden Angaben (z,k,s) bezeichnen Start- und Endpunkt einer Partition in der Form Zylinder,Kopf,Sektor. Die z,k,s-Angaben müssen normalerweise nicht vorgenommen werden. Alle diese Angaben sind optional: Wird Start ausgelassen, wird der erste freie Sektor auf der Festplatte benutzt. Wird Größe ausgelassen erhält die Partition die maximale Größe. Wird Partitionstyp ausgelassen, erhält die Partition den Typ Linux-Native (83). Wird Bootbar ausgelassen, wird die Partition nicht aktiv. Besondere Vorgabewerte gelten für Partitionen in erweiterten Partitionen. Einigen Optionen müssen Partitionsnummern übergeben werden. Dies sind die gleichen Nummern, die auch die Gerätedateien tragen, welche die entsprechende Partition repräsentieren, z. B. 4 für die vierte primäre Partition. -T | - -list-types Gibt alle dem Programm bekannten Partitionstypen aus. -g | - -show-geometry Gibt die Information des Kerns über die Geometrie der entsprechenden Festplatte aus. -d Gibt die Partitionstabelle(n) in einem Format aus, das sfdisk verwenden kann, um eine Neupartitionierung vorzunehmen. Nützlich, um gleiche Partitionierungen auf verschiedenen Festplatten durchzuführen. -N Partitionsnummer Es wird nur die mit Partitionsnummer bezeichnete Partition verändert. Anstatt der oben beschriebenen Vorgabewerte gelten nun die Werte der bezeichneten Partition als Vorgabewerte. -A Partitionsnummer Die mit Partitionsnummer bezeichnete Partition wird aktiviert, alle anderen werden deaktiviert. -c | - -id Partitionsnummer [ID] Gibt den Partitionstyp (z. B. 83 für Linux-Native) aus, wenn ID nicht angegeben wurde, und ändert den Partitionstyp auf den mit ID angegebenen Wert, wenn ID angegeben wurde. -C Zylinder -H Köpfe -S Sektoren Es wird die angegebene Festplattengeometrie benutzt und nicht die vom Kern erkannte. -u Einheit Alle Größenangaben werden in der angegebenen Einheit ausgegeben oder interpretiert. Mögliche Einheiten sind: S (Sektoren), B (Blöcke), C (Zylinder) und M (Megabyte). Der Vorgabewert ist Zylinder. -x | - -show-extended Es werden auch Informationen über erweiterte Partitionen ausgegeben. Bei der Veränderung von Partitionstabellen werden auch Anweisungen zu erweiterten Partitionen erwartet.
19 Kommandoübersicht
1025
-D | - -DOS Die Partitionstabelle wird so angelegt, dass sie auch von DOS benutzt werden kann. - -IBM | - -leave-last Der letzte Zylinder auf der Festplatte wird nicht benutzt. Sinnvoll für einige IBM-Werkzeuge, die davon ausgehen, dass sie den letzten Zylinder überschreiben dürfen. -n Alle Kommandos werden ausgeführt, die neue Partitionstabelle wird jedoch nicht geschrieben. Erlaubt das Testen von Partitionierungsanweisungen. -O Datei Erstellt eine Sicherungskopie aller durch sfdisk veränderten Sektoren in der mit Datei bezeichneten Datei. Die Sicherungsdatei sollte sich auf einem anderen Datenträger als der zu partitionierenden Festplatte befinden. -I Datei Bringt die Partitionstabelle wieder in den Zustand wie in Datei beschrieben. Die Datei muss zuvor mit der vorherigen Option erstellt worden sein. sfdisk -l -u m Gibt alle Partitionstabellen aus. Größenangaben werden dabei in Megabyte vorgenommen. sfdisk -u M -O /floppy/backup /dev/sda < ptable Liest Partitionierungsanweisungen aus der Datei ptable und partitioniert die erste SCSI-Festplatte entsprechend. Vorher wird eine Sicherheitskopie aller zu verändernden Sektoren in die Datei /floppy/backup geschrieben. sfdisk -I /floppy/backup /dev/sda Macht die im vorherigen Beispiel vorgenommenen Änderungen unter Verwendung der Sicherungsdatei /floppy/backup rückgängig. Die Datei ptable kann beispielsweise folgendermaßen aussehen: 0,1000 ,128,82 ,2000 ; Die erste Zeile legt eine 1000 MB große Partition am Beginn der Festplatte an. Die zweite Zeile legt eine 128 MB große Partition vom Typ Linux-Swap an. Die dritte Zeile legt eine 2000 MB große Partition an. Die vierte Zeile legt eine weitere Partition an, die den verbleibenden Platz ausfüllt. Weil keine erweiterte Partition angelegt wurde, können auf der Festplatte keine weiteren (logischen) Partitionen angelegt werden. Siehe auch: cfdisk, fdisk.
shadowconfig Paket: passwd
Schattenpasswörter ein- und ausschalten Systemverwaltung
shadowconfig on | off Mit dem Kommando wird die Benutzung von Schattenpasswörtern, die nicht in der Datei /etc/passwd, sondern in der Datei /etc/shadow gespeichert werden, ein- und ausgeschaltet. shadowconfig on Schaltet die Benutzung von Schattenpasswörtern ein.
1026
19 Kommandoübersicht
shadowconfig off Schaltet die Benutzung von Schattenpasswörtern aus. Siehe auch: adduser, passwd.
shutdown Paket: sysvinit
System herunterfahren Systemverwaltung
shutdown [Optionen] Zeit [Nachricht] Das System wird zu der mit Zeit angegebenen Zeit heruntergefahren. Die Zeit kann in der Form Stunden:Minuten, beispielsweise 16:15, angegeben werden. Eine weitere Möglichkeit ist die Angabe in der Form +Minuten, z. B. +15. Das System wird dann nach Ablauf der angegebenen Minuten heruntergefahren. Drittens kann für Zeit now angegeben werden, wodurch das System sofort heruntergefahren wird. Als Vorgabe hält shutdown das System nicht an, sondern bringt es in Runlevel 1, in dem nur der Systemverwalter angemeldet sein kann. Wird Nachricht angegeben, gibt shutdown die Nachricht vor dem Herunterfahren an alle angemeldeten Benutzer aus, damit diese über den bevorstehenden Systemabschluss informiert sind und sich abmelden. -r Startet das System nach dem Herunterfahren neu. -h Hält das System nach dem Herunterfahren an. -k Führt keinen Systemabschluss durch und sendet lediglich die WarnungsMitteilungen an alle Benutzer. -c Bricht einen laufenden Systemabschluss ab. Hier braucht keine Zeitangabe gemacht zu werden. shutdown +20 "Wir machen Schluss fuer heute!" Fährt das System 20 Minuten nach Eingabe des Kommandos herunter und teilt dies allen Benutzern mit. shutdown -c "Es gibt doch noch was zu tun!" Bricht den laufenden Systemabschluss ab und teilt dies ebenfalls mit. shutdown -r now Führt einen Warmstart des Rechners durch, vor reboot zu bevorzugen. shutdown -h now Hält das System an. Anschließend kann es ausgeschaltet werden. Siehe auch: reboot, halt, poweroff, init.
ssh Paket: ssh
Verschlüsselte Verbindung zu anderem Rechner aufbauen Netz
ssh [Optionen] Rechnername | Benutzer@Rechnername [Kommando] Das Programm baut eine verschlüsselte Verbindung zu dem mit Rechnername angegebenen Rechner auf und versucht dort eine Authentifizierung mit dem Benutzernamen des aufrufenden Benutzers durchzuführen. Wenn Rechnername in der
19 Kommandoübersicht
1027
Form Benutzer@Rechnername angegeben ist, wird versucht, die Authentifizierung mit dem mit Benutzer angegebenen Namen durchzuführen. Voraussetzung für das Gelingen des Verbindungsaufbaus ist u. a., dass auf dem fernen Rechner das Server-Programm sshd ausgeführt wird. Wenn mit Kommando kein Kommando angegeben wird, wird nach Anmeldung am fernen Rechner dort eine Shell gestartet, die vom lokalen Rechner aus benutzt werden kann. Anderenfalls wird das mit Kommando angegebene Programm auf dem fernen Rechner ausgeführt. Ausgaben dieses Programms werden auf der Standardausgabe des lokalen Terminals ausgegeben. Zur Authentifizierung sind verschiedene Methoden möglich. Welche benutzt werden, hängt davon ab, wie das Server-Programm auf dem fernen Rechner und das lokale Programm konfiguriert sind. U. a. ist die gleiche Authentifizierung wie mit dem Programm rsh möglich (über die Dateien /etc/hosts.equiv und .rhosts im Home-Verzeichnis des Benutzers, mit dessen Namen die Anmeldung auf dem fernen Rechner versucht wird) oder über eine Passwortabfrage. Das Programm lässt sich genauso wie rsh verwenden, bietet den Vorteil, dass die Datenübertragung zwischen beiden Rechnern verschlüsselt stattfindet. Dies ist insbesondere bei der Übertragung von Passwörtern von enormer Wichtigkeit. Das Programm ist deswegen den Programmen rsh oder telnet vorzuziehen, sobald unsichere Verbindungen wie Internetverbindungen benutzt werden. Eine weitere besondere Eigenschaft von ssh besteht darin, dass es X11Verbindungen ebenfalls verschlüsselt. Dazu startet es auf dem fernen Rechner einen Proxy-X-Server und leitet die Daten eines auf dem fernen Rechner gestarteten XProgramms an den lokalen X-Server verschlüsselt weiter. Dies ermöglicht sogar die einfache Verwendung des X11-Protokolls über verschlüsselte Verbindungen. -l Name Die Anmeldung am fernen Rechner erfolgt mit dem mit Name spezifizierten Benutzernamen. -v Das Programm gibt aus, welche Schritte zum Verbindungsaufbau und zur Authentifizierung durchgeführt werden. Hilfreich, um zu untersuchen, warum ein Verbindungsaufbau nicht funktioniert. -x Schaltet die Weiterleitung von X-Daten aus (Voreinstellung). -X Schaltet die Weiterleitung von X-Daten ein. -C Alle Daten, die zwischen lokalem und fernen Rechner ausgetauscht werden, werden verschlüsselt. ssh -l meier arbeitsplatz.firma.de Baut eine sichere Verbindung zu dem Rechner arbeitsplatz.firma.de auf und startet dort eine Shell, die vom lokalen Rechner aus benutzt werden kann. Die Anmeldung erfolgt mit dem Benutzernamen meier. ssh -X -C server.psycho.uni-bremen.de /usr/bin/X11/gimp Baut eine sichere, komprimierte Verbindung zum Rechner server.psycho. uni-bremen.de auf. Auf dem fernen Rechner wird das Programm gimp gestartet, dessen Ausgabe über den X-Proxy-Server auf das X-Display des lokalen Rechner weitergeleitet wird. Siehe auch: rsh, scp.
1028
19 Kommandoübersicht
strace Paket: strace
Systemaufrufe eines Programms anzeigen Information
strace [Optionen] [Kommando] Das Programm führt das mit Kommando angegebene Programm aus und protokolliert die Systemaufrufe, die das ausgeführte Programm durchführt, sowie die Signale, die es erhält. Per Voreinstellung werden die Informationen auf die Standardfehlerausgabe geschrieben. strace ist ein nützliches Werkzeug, wenn man sehen will, was ein Programm tut oder warum ein Programm an irgendeiner Stelle unvorhergesehene Fehler hervorruft. -o Datei Die protokollierten Systemaufrufe werden in die mit Datei bezeichnete Datei geschrieben und nicht auf die Standardfehlerausgabe. -f Es werden auch die Systemaufrufe protokolliert, die von Prozessen durchgeführt werden, die von dem Ausgangsprozess gestartet werden. -ff Zusammen mit dem Parameter -o bewirkt dieser Parameter, dass für jeden Prozess eine Datei angelegt wird, deren Name sich aus dem bei der Option -o angegebenen Dateinamen und der Prozess-ID des betreffenden Prozesses zusammensetzt. Die Protokolle der gestarteten Prozesse werden dann in diese Dateien geschrieben. -p PID Führt dazu, dass strace die Systemaufrufe eines bereits laufenden Prozesses mit der durch PID angegebenen Prozess-ID ausgibt. Der Vorgang kann abgebrochen werden, ohne dass der laufende Prozess unterbrochen wird. strace ls 2>&1 | less Zeigt die Ausgabe von dem Kommando ls zusammen mit den von diesem Programm durchgeführten Systemaufrufen mit dem Programm less an. Der Ausdruck 2>&1 bewirkt, dass die Standardfehlerausgabe (2) mit auf die Standardausgabe (1) gegeben wird und deswegen ebenfalls von less gelesen wird. Siehe auch: ps, gdb.
su Paket: login
Benutzeridentität wechseln Systemverwaltung
su [Optionen] [Benutzer] Mit dem Kommando wechselt man vorübergehend die Benutzeridentität. Ohne Parameter aufgerufen startet das Programm eine Shell mit den Rechten des Systemverwalters. Wenn ein gültiger Benutzername angegeben wird, wird eine Shell mit der Identität dieses Benutzers gestartet. Wird su von einem anderen Benutzer als dem Systemverwalter aufgerufen, fragt das Programm nach dem Passwort des Benutzers, mit dessen Identität die Shell gestartet werden soll. su erhält das Arbeitsverzeichnis sowie die Umgebungsvariablen, mit Ausnahme der Variablen HOME und SHELL, die aus den Voreinstellungen des Benutzers bezogen werden, auf dessen Identität gewechselt wird. Wird nicht auf die Identität des Verwalters gewechselt, werden zusätzlich die Variablen USER und LOGNAME auf die neue Identität gesetzt.
19 Kommandoübersicht
1029
-c Kommando | - -comand=Kommando Es wird keine interaktive Shell ausgeführt. Stattdessen wird das mit Kommando angegebene Kommando mit den Rechten des angegebenen Benutzers ausgeführt. -s Shell | - -shell=shell su startet normalerweise die Standard-Shell des Benutzers, zu dessen Identität gewechselt wird. Mit diesem Parameter kann stattdessen die mit Shell angegebene Shell benutzt werden. - An Stelle einer gewöhnlichen Shell wird eine Login-Shell des Benutzers, zu dessen Identität gewechselt wird, aufgerufen. Diese wird im Home-Verzeichnis des neuen Benutzers ausgeführt, und alle Umgebungsvariablen des aufrufenden Prozesses werden gelöscht. -p | - -preserve-environment Es werden keine Umgebungsvariablen geändert, und es wird das in der Umgebungsvariablen SHELL gespeicherte Programm ausgeführt. su -c make install Führt das Programm make mit Verwalterrechten aus. make wird der Parameter install übergeben. Vorher wird nach dem Passwort des Verwalters gefragt, falls das Kommando nicht vom Verwalter abgeschickt wurde. su carsten Wechselt die Benutzeridentität auf die des Benutzers carsten. Wird dieses Kommando nicht vom Systemverwalter benutzt, so muss das entsprechende Passwort eingegeben werden. Siehe auch: login, super, sudo, fakeroot.
sudo Paket: sudo
Programm als Verwalter ausführen Systemverwaltung
sudo [Optionen] Kommando Eine weitere Möglichkeit, bestimmten Benutzern das Recht einzuräumen, Kommandos mit besonderen Rechten auszuführen, bietet das Programm sudo. Es führt das mit Kommando angegebene Kommando mit den Rechten und der Identität des Systemverwalters aus. Welche Kommandos unter welchen Bedingungen von welchem Benutzer mit den Privilegien des Verwalters ausgeführt werden dürfen, wird in der Datei /etc/sudoers festgelegt. Unter Umständen wird vor der Ausführung des angegebenen Kommandos nach dem Passwort des Benutzers gefragt, nicht nach dem von Root. -l Zeigt an, welche Programme vom aufrufenden Benutzer mit besonderen Privilegien ausgeführt werden dürfen. -b Das auszuführende Programm wird im Hintergrund ausgeführt. -u Benutzername Das auszuführende Programm wird unter der Identität des mit Benutzername angegebenen Benutzers ausgeführt. sudo lprm 625 Ruft das Programm lprm mit dem Argument 625 auf und führt es unter der Identität des Verwalters aus.
1030
19 Kommandoübersicht
Siehe auch: su, fakeroot.
swapoff Paket: mount
Verwendung von Auslagerungsspeicher beenden Systemverwaltung
swapoff Datei Stoppt die Benutzung von Datei als Auslagerungsspeichers des Kerns. Bei Datei kann es sich um eine Gerätedatei (Swapbereich) oder um eine gewöhnliche Datei (Swapdatei) handeln. swapoff -a Stoppt die Benutzung aller Partitionen, die in der Datei /etc/fstab als Swapbereiche definiert wurden. swapoff /dev/hda6 Die zweite logische Partition der ersten (E)IDE-Festplatte wird nicht mehr als Auslagerungsplatz verwendet. Siehe auch: swapon, mkswap.
swapon Paket: mount
Auslagerungsspeicher einbinden Systemverwaltung
swapon [-p Priorität] Datei Stellt dem Kern Datei zur Benutzung als Auslagerungsspeicher zur Verfügung. Bei Datei kann es sich um eine Gerätedatei (Swapbereich) oder um eine gewöhnliche Datei (Swapdatei) handeln, die entsprechend vorbereitet wurde. swapon -a Stellt dem Kern alle Swapbereiche zur Verfügung, die in der Datei /etc/fstab definiert wurden, sofern sie nicht bereits zur Verfügung gestellt worden sind. swapon -s Gibt Informationen über die Benutzung der Swapbereiche und -dateien aus. -p Priorität Der Swapbereich oder die Swapdatei soll mit der mit Priorität angegebenen Priorität benutzt werden. Priorität ist eine Zahl zwischen 0 und 32767. Eine hohe Zahl entspricht einer hohen Priorität, was bedeutet, dass das entsprechende Medium bevorzugt benutzt wird. swapon /var/swapfile Stellt dem Kern die Datei /var/swapfile als Auslagerungsspeicher zur Verfügung. Siehe auch: swapoff, mkswap, mount.
sync Paket: coreutils
Datenträger und Cache synchronisieren Dateiverwaltung, Systemverwaltung
sync Das Kommando synchronisiert Daten und Dateiinformationen im Zwischenspeicher (Cache) mit den physikalischen Datenträgern. Die Verwendung dieses Kommandos
19 Kommandoübersicht
1031
empfiehlt sich, wenn ein Datenträger (z. B. Diskette) aus dem System entfernt werden soll und nicht sicher ist, dass alle Daten tatsächlich auf den Datenträger geschrieben worden sind. sync kann u. U. vor Datenverlusten während eines kritischen Systemzustands schützen. Siehe auch: umount, mount.
tail Paket: coreutils
Ende einer Datei anzeigen Textverarbeitung, Systemverwaltung
tail [Optionen] [Datei ...] Das Programm liest von der Standardeinangabe oder aus den mit Datei bezeichneten Dateien und gibt standardmäßig die letzten 10 Zeilen auf die Standardausgabe aus. Wird mehr als eine Datei angegeben, gibt das Programm vor dem Endstück jeder Datei eine Zeile aus, die den Namen der betreffenden Datei beinhaltet. tail eignet sich zur Beobachtung von wachsenden Dateien wie Log-Dateien. -Anzahl | +Anzahl Es wird die mit Anzahl angegebene Menge von Zeilen ausgegeben. Alternativ kann zu Anzahl eine der Einheiten b (512 Byte), k (Kilobyte) oder m (Megabyte) angegeben werden. Die Option muss die erste Option sein. -f | - -follow Nach Ausgabe des Endes wird die Datei beobachtet. Sobald ein anderer Prozess der Datei neue Zeilen hinzufügt, werden diese ebenfalls ausgegeben. -q | -quiet Die Namen von Dateien werden nicht ausgegeben. tail ~/.xsession-errors Die letzten 10 Zeilen der Datei .xsession-errors im Home-Verzeichnis des aufrufenden Benutzers werden ausgegeben. tail -f /var/log/syslog Das Ende der Datei /var/log/syslog wird ausgegeben. Danach wird gewartet, bis der Datei neue Zeilen hinzugefügt werden. Wenn dies passiert, werden diese Zeilen ebenfalls ausgegeben. Daraufhin wird wieder gewartet. . . Siehe auch: head, cat.
tar Paket: tar
tar-Archiv bearbeiten Dateiverwaltung, Backup, Installation
tar -x | - -extract [Optionen] Extrahiert Dateien aus einem tar-Archiv. tar -c | - -create [Optionen] [Datei ...] Erzeugt ein Archiv und überschreibt dabei ein bestehendes Archiv. tar -d | - -diff [Optionen] [Datei ...] Vergleicht den Inhalt eines Archivs mit Dateien im Dateisystem. tar -l | - -list [Optionen] Listet den Inhalt eines Archivs auf.
1032
19 Kommandoübersicht
tar -r | - -append [Optionen] [Datei ...] Fügt bestehenden Archiven neue Dateien hinzu. tar -u | - -update [Optionen] [Datei ...] Fügt einem bestehenden Archiv neue Dateien zu, wenn diese im Archiv nicht bereits existieren oder neuer sind als die entsprechenden Dateien im Archiv. tar-Archive sind zu einer Einheit zusammengesetzte Sammlungen aus einzelnen Dateien und/oder Verzeichnissen. Eine solche Einheit kann auf ein Band geschrieben werden oder in einer neuen Datei gespeichert werden. Unter Debian GNU/Linux schreibt tar Archive standardmäßig auf die Standardausgabe oder liest sie von der Standardeingabe. tar-Archive sind ein weitverbreitetes Format zur Weitergabe von Programm- und Datenpaketen für Linux/UNIX. Weil tar Archive nicht selbst komprimieren kann, werden tar-Archive mit gzip komprimiert, um Platz zu sparen. Solche Archive haben in der Regel die Endung .tar.gz oder .tgz. Es können auch Archive auf anderen Rechnern erstellt werden. -f Datei | - -file=Datei Es wird in das mit Datei bezeichnete tar-Archiv geschrieben oder daraus gelesen. Wenn Datei in der Form Benutzer@Rechnername:Dateiname angegeben wird, wird das Archiv auf dem mit Rechnername angegebenen Rechner und mit dem dortigen Namen Dateiname erzeugt. Benutzer@ ist optional und spezifiziert den Benutzernamen, unter dem auf den fremden Rechner zugegriffen werden soll. Standardwert ist der eigene Benutzername. Voraussetzung ist die Möglichkeit des Zugriffs auf den fremden Rechner über rsh. -T Datei | - -files-from Datei Die Namen der zu lesenden oder zu schreibenden Dateien werden aus der mit Datei bezeichneten Datei gelesen. Wird für Datei ein Minuszeichen angegeben, werden die Namen von der Standardeingabe gelesen. - -rsh-command=Programm An Stelle von rsh wird das mit Programm angegebene Programm benutzt, um die Verbindung mit einem fernen Rechner aufzubauen. -v | - -verbose Die Namen der gelesenen oder geschriebenen Dateien werden ausgegeben. -k | - -keep-old-files Beim Extrahieren von Dateien werden keine existierenden Dateien überschrieben. -w | - -interactive Bevor Dateien überschrieben werden, wird nachgefragt, ob dies tatsächlich geschehen soll. - -exclude Ausdruck Es werden keine Dateien archiviert, extrahiert oder verglichen, auf deren Name Ausdruck zutrifft. Ausdruck kann Metazeichen wie ? oder * enthalten. Diese müssen durch Anführungszeichen vor der Interpretation durch die Shell geschützt werden. -L Länge | - -tape-length=Länge Gibt die Länge des benutzten Bandes in Kilobyte an. -b Blockgröße | - -blocking-factor=Blockgröße Legt die Blockgröße in Blockgröße * 512 Byte fest. Standardwert ist 20.
19 Kommandoübersicht
1033
-p | - -preserve-permissions Dateien erhalten beim Auspacken die gleichen Rechte, die sie vor dem Einpacken hatten. - -same-owner Dateien erhalten beim Auspacken denselben Besitzer, den sie während des Einpackens hatten. -P | - -absolut-names Beim Hinzufügen von Dateien in ein Archiv werden die absoluten Pfadnamen im Archiv vermerkt (mit / am Anfang). - -no-recursion Beim Schreiben von Daten in ein Archiv werden die Inhalte von Verzeichnissen und deren Unterverzeichnissen nicht archiviert. -l | - -one-filesystem Es werden nur Dateien in ein Archiv geschrieben, die sich auf demselben Datenträger befinden, auf dem auch das Arbeitsverzeichnis ist. - -remove-files Dateien werden gelöscht, nachdem sie einem Archiv hinzugefügt wurden. -z | - -gzip Die zu lesenden oder zu schreibenden Daten werden mit dem Programm gzip komprimiert oder dekomprimiert. -Z | - -compress Die zu lesenden oder zu schreibenden Daten werden mit dem Programm compress komprimiert oder dekomprimiert. -I | - -bzip2 Die zu lesenden oder zu schreibenden Daten werden mit dem Programm bzip2 komprimiert oder dekomprimiert. - -use-compress-program=Programm Die zu lesenden oder zu schreibenden Daten werden mit dem durch Programm spezifizierten Programm komprimiert oder dekomprimiert. tar -lzf paket.tar.gz Listet die Namen der Dateien im komprimierten tar-Archiv paket.tar.gz auf. tar -xvzf paket.tar.gz Dekomprimiert und extrahiert den Inhalt von paket tar.gz in das Arbeitsverzeichnis und zeigt die Namen der erzeugten Dateien an. tar -cvzf backup.tar.gz texte/ Erstellt ein komprimiertes tar-Archiv mit dem Namen backup.tar.gz und kopiert das Verzeichnis texte sowie den Inhalt dieses Verzeichnisses und aller Unterverzeichnisse in das Archiv. tar -cvf /dev/tape ~/ Erstellt ein Archiv vom Home-Verzeichnis des aufrufenden Benutzers auf dem durch /dev/tape repräsentierten Bandlaufwerk. Der Benutzer muss Schreibrechte für dieses Gerät haben. tar -uvf /dev/tape ~/ Hängt neue oder veränderte Dateien an das Archiv in dem durch /dev/tape repräsentierten Bandlaufwerk an. Veränderte Dateien überschreiben beim Auspacken die zunächst ausgepackten älteren Dateien. tar -xvf /dev/tape ~/briefe/marion.tex Extrahiert die Datei marion.tex im Verzeichnis briefe im Home-Verzeichnis des aufrufenden Benutzers aus dem Archiv in dem durch /dev/tape repräsentierten Bandlaufwerk, falls diese Datei dort vorhanden ist.
1034
19 Kommandoübersicht
tar -cvf /etc backup@backupserver:/backups/host1_etc.tar --rsh-program=/usr/bin/ssh Erstellt ein Archiv mit dem Inhalt des Konfigurationsverzeichnisses /etc auf dem Rechner mit dem Namen backupserver. Auf den Rechner wird mit dem Benutzernamen backup zugegriffen und das Archiv dort im Verzeichnis backups mit dem Namen host1_etc.tar abgelegt. Die Verbindung wird mit dem Programm ssh aufgebaut. Der aufrufende Benutzer muss deswegen berechtigt sein, über ssh auf den Rechner backupserver unter dem Benutzernamen backup ohne Angabe eines Passworts zuzugreifen. Siehe auch: mt, gzip, bzip2, rsh, cpio, dpkg.
tasksel Paket: tasksel
Aufgabenbezogene Paketgruppen einrichten Paketverwaltung
tasksel install task tasksel [Optionen] tasksel ist ein benutzerfreundliches Werkzeug (Front-End), das Pakete zu Aufgabengruppen (Tasks) zusammenfasst und nach der Auswahl apt-get install aufruft. Der Benutzer spart sich damit die Suche nach den Namen der Pakete und deren detaillierte Auswahl. -t -r -i -s -a
Testmodus, tut nur so als ob. Richtet alle erforderlichen (required) Pakete ein. Richtet alle wichtigen (important) Pakete ein. Richtet alle Standard-Pakete ein. Zeigt alle Paketgruppen (Tasks) an.
tasksel -a Zeigt alle Paketgruppen an. tasksel -t Erlaubt zu spielen, ohne dass Pakete eingerichtet werden. Siehe auch: apt-get, dpkg.
tcpdump Paket: tcpdump
Verkehr im Netz dumpen Netz
tcpdump [Optionen] [Ausdruck] Das Werkzeug liest die auf einem Netzinterface wie eth0 eintreffenden oder ausgehenden Datenpakete mit und analyziert sie gemäß den Optionen und dem als Argument übergegebenen Ausdruck. Es kann auch die Pakete zweckes späterer Analyse in eine Datei schreiben. Beendet wird das Programm nach einer vorgegebenen Anzahl von Paketen oder durch Eingabe von + oder durch das Kommando kill. Beim Beenden gibt es einen Bericht aus. Wird kein Ausdruck übergeben, werden alle Pakete untersucht, andernfalls nur die, auf die der Ausdruck zutrifft.
19 Kommandoübersicht
1035
Die zahlreichen Möglichkeiten für den Ausdruck lese man ebenso wie die Optionen auf der Manualseite von tcpdump oder bei http://www.tcpdump.org/ nach. Das Werkzeug erfordert Root-Rechte. -c gibt mit nachfolgernder Anzahl an, wieviele Pakete mitgelesen werden sollen. -i legt das Netzinterface wie eth0 fest. -v die Ausgabe wird ausführlicher. tcpdump liest mit voreingestellten Optionen am Interface eth0 mit, bis es mittels + abgebrochen wird, und gibt einen Bericht aus.
Siehe auch: netstat, dsniff, wireshark, darkstat.
telnet Paket: telnet
Mit anderem Rechner verbinden Netz
telnet [Optionen] [Rechnername] [Portnummer] Es wird eine Telnet-Verbindung mit dem durch Rechnername angegebenen Rechner aufgebaut. Dabei wird Port 23 (telnet) benutzt. Der entfernte Rechner startet einen Login-Prozess, der die Anmeldung auf diesem Rechner ermöglicht. Nach erfolgreicher Anmeldung wird auf der Gegenseite eine Shell gestartet, sodass mit diesem Rechner genauso gearbeitet werden kann, als würde man direkt ein Terminal dieses Rechners benutzen. Durch die Angabe einer Portnummer kann mit einem anderen Dienst auf dem entfernten Rechner verbunden werden. Das Programm bietet die Möglichkeit, durch eine so genannte Escape-Tastensequenz in einen Kommandomodus geschaltet zu werden, von wo aus es sich nach Herstellung der Verbindung zum fremden Rechner kontrollieren lässt. Wird telnet ohne den Namen eines Rechners gestartet, schaltet es sofort in den Kommandomodus. Die wichtigsten Kommandos in diesem Modus sind open Rechnername [Portnummer] (Aufbau einer Verbindung), close (Beenden einer Verbindung) und quit (Beenden des Programms). Der Kommandomodus wird durch die Tastenkombination ++r erreicht. Das Werkzeug aus dem Debian-Paket telnet-ssl beherrscht Verschlüsselung. -a Es wird versucht, eine automatische Anmeldung mit dem Benutzernamen des aufrufenden Benutzers durchzuführen. -e [Zeichen] Das mit Zeichen spezifizierte Zeichen wird zur EscapeSequenz. Wenn Zeichen nicht angegeben wird, wird die Escape-Sequenz abgeschaltet. -l Benutzername Es wird versucht, eine Anmeldung mit Benutzername auf dem fernen System durchzuführen. telnet localhost Baut eine Telnet-Verbindung zum lokalen Rechner auf. telnet mailserver 25
1036
19 Kommandoübersicht
Baut eine Verbindung zum Rechner mailserver auf und verbindet dort mit Port 25. Dieser Port wird für eingehende SMTP-Verbindungen genutzt. telnet -l joe verwaltung2 Baut eine Verbindung zum Rechner verwaltung2 auf und versucht, dort eine Anmeldung unter dem Namen joe vorzunehmen. Siehe auch: telnetd, slogin, ssh, ftp.
top Paket: procps
Systemlast und Prozesse anzeigen Systemverwaltung, Information
top [Optionen] Das Programm zeigt in einem Terminal oder auf der Konsole wichtige Systeminformationen sowie Informationen über die laufenden Prozesse. Die Daten werden regelmäßig aktualisiert. d Abstand Legt den Abstand zwischen Aktualisierungen in Sekunden fest. S Die laufenden Prozesse werden mit der jeweils benötigten CPU-Zeit kumulativ aufgelistet. Siehe auch: xosview, ps, gtop.
touch Paket: coreutils
Zeitstempel einer Datei ändern Dateiverwaltung
touch [Optionen] Datei [Datei ...] Standardmäßig wird das Datum der jüngsten Änderung sowie das Datum des jüngsten Zugriffes der mit Datei bezeichneten Dateien auf die aktuelle Uhrzeit gesetzt. Falls eine der angegebenen Dateien nicht existiert, wird sie als leere Datei erzeugt. | - -no-create Nicht-existente Dateien werden nicht erzeugt. | - -time=access Es wird nur das Datum des jüngsten Zugriffs geändert. | - -time=modify Es wird nur das Datum der jüngsten Änderung geändert. Datei | - -reference=Datei Die Zeiten werden so gesetzt, wie sie bei Datei gesetzt sind. -t MMTTSSmm[[HH]JJ][.ss] Anstelle des aktuellen Datums wird das angegebene benutzt. Dabei steht MM für den Monat, TT für den Tag, SS für die Stunde, HH für das Jahrhundert, JJ für das Jahr und ss für die Sekunde. -c -a -m -r
touch program.c Änderungs- und Zugriffsdatum der Datei program.c werden auf das aktuelle Datum gesetzt. touch -r Makefile src/*.c Alle Dateien mit der Endung .c im Unterverzeichnis src des Arbeitsverzeichnisses erhalten das gleiche Änderungs- und Zugriffsdatum wie die Datei Makefile. touch -a -t 010108301905 Makefile Das Datum des letzten Zugriffs der Datei Makefile wird auf den 1. Januar 1905, 8.30 Uhr gesetzt.
19 Kommandoübersicht
1037
Siehe auch: make, date, ls.
traceroute Paket: traceroute
Route zu einem Rechner anzeigen Netz
traceroute [Optionen] IP-Adresse Das Programm zeigt an, welchen Weg IP-Pakete gehen, um zu einem Rechner zu gelangen. Standardmäßig wird versucht, alle Router anzuzeigen, welche die Pakete weiterleiten, und zu jedem der Router die Zeiten anzuzeigen, die drei Testpakete brauchten, um dorthin und wieder zurück zu gelangen. -l Der TTL-Wert (time to live) der zurückgelieferten Pakete wird ebenfalls angezeigt. Aus dieser Information kann erkannt werden, ob zurücklaufende Pakete einen anderen Weg nehmen. -t TTL Der maximale TTL-Wert wird mit TTL angegeben. Vorgabe ist 30. -w Sekunden Es wird über den mit Sekunden angegebenen Zeitraum auf Pakete gewartet. traceroute ftp.debian.org Die Stationen, die IP-Pakete zum Erreichen des Servers ftp.debian.org brauchen, werden angezeigt. Siehe auch: ping.
true Paket: coreutils
Erfolgreiches Nichtstun Shellskripte
true Das Kommando hat keine Wirkung, außer dass es durch seinen Rückgabewert eine erfolgreiche Beendigung signalisiert (Rückgabewert 0). while true; do echo Hoch lebe Debian!; done Endlosschleife Siehe auch: false.
tty Paket: coreutils
Aktuelles Terminal anzeigen Shellskripte
tty [Optionen] Das Programm gibt aus, ob und mit welchem Terminal die Standardeingabe des Prozesses verbunden ist. Die Information kann in Skripten dazu verwendet werden festzustellen, ob das Skript mit einem Terminal verbunden und es sinnvoll ist, den Benutzer zu Eingaben aufzufordern. Der Rückgabewert ist 0, wenn die Standardeingabe mit einem Terminal verbunden ist, und 2, wenn nicht. Bei einem Fehler wird 3 zurückgeliefert. -s | - -silent Der Name des Terminals wird nicht ausgegeben. if tty -s; then echo Weitermachen?; read answer; fi
1038
19 Kommandoübersicht
Die Zeile in einem Shellskript fragt, ob fortgefahren werden soll, falls die Standardeingabe mit einem Terminal verbunden ist. Die Antwort wird nicht ausgewertet.
tune2fs Paket: e2fsprogs
Einstellungen an Ext2-Dateisystem ändern Systemverwaltung
tune2fs [Optionen] Gerätedatei Das Programm verändert die im Superblock eines Ext2-Dateisystems gespeicherten Einstellungen. Achtung: Diese Einstellungen dürfen nie bei einem zum Schreiben eingehängten Datenträger geändert werden! -l Gibt die gegenwärtigen Einstellungen im Superblock des Datenträgers aus. -c Anzahl Legt fest, wie oft das Dateisystem eingehängt werden darf, bevor eine Überprüfung des Dateisystems erzwungen wird. -i Zeitraum Legt die Zeit fest, nach deren Ablauf eine Überprüfung des Dateisystems erzwungen wird. Dieser Zeitraum kann in Tagen (z. B. 10d), in Wochen (z. B. 3w) oder in Monaten (z. B. 6m) angegeben werden. Standardmäßig wird die angegebene Zahl als Zeitraum in Tagen interpretiert. -m Prozentsatz Ändert den für den Systemverwalter reservierten Speicherplatzanteil auf dem Datenträger in den angegebenen Prozentsatz. -u Benutzer Legt fest, dass der reservierte Speicherplatzanteil nur von dem mit Benutzer spezifizierten Benutzer verwendet werden kann. -g Gruppe Legt fest, dass der reservierte Speicherplatzanteil von Mitgliedern der mit Gruppe spezifizierten Gruppe verwendet werden kann. tune2fs -c 1 /dev/sda2 Die zweite primäre Partition der ersten SCSI-Festplatte soll nach jeder Benutzung geprüft werden. tune2fs -m 10 -g notfall /dev/sda2 Der reservierte Anteil auf der gleichen Partition soll 10 Prozent betragen und von Mitgliedern der Benutzergruppe notfall verwendet werden können. Siehe auch: mke2fs, e2fsck.
tzconfig Paket: libc6
Zeitzone einstellen Systemverwaltung
tzselect Das Programm gibt ruf die aktuelle Zeitzone aus und fragt, ob gewünscht wird, diese zu ändern. Falls die Frage mit beantwortet wird, werden einige geografische Bereiche zur Auswahl angeboten. Es ist dann die Ziffer einzugeben, die dem Bereich entspricht, in dem man sich befindet. Danach werden die dem System bekannten Standorte in dem ausgewählten Bereich angezeigt. Hier ist der Name eines der angezeigten Standorte einzugeben, an dem die Uhrzeit mit dem eigenen Standort übereinstimmt.
19 Kommandoübersicht
1039
Siehe auch: tzselect.
umount Paket: mount
Datenträger aus Dateisystem aushängen Systemverwaltung
umount [Optionen] [Gerätedatei | Verzeichnis] Das Programm entfernt den mit Gerätedatei angegebenen Datenträger aus dem Dateisystem (hängt ihn aus). Alternativ kann das Verzeichnis angegeben werden, in das der zu entfernende Datenträger eingehängt war. Noch nicht geschriebene Daten werden vor dem Aushängen auf den betreffenden Datenträger geschrieben. Auswechselbare Datenträger dürfen nach dem Aushängen aus dem System entfernt werden. Ein Datenträger kann erst dann aus dem System entfernt werden, wenn kein Prozess auf Dateien auf diesem Datenträger zugreift. Ansonsten erfolgt die Fehlermeldung: Device is busy Ursache kann schon sein, dass das Arbeitsverzeichnis eines Prozesses auf dem zu entfernenden Datenträger liegt. -r Falls der Datenträger nicht erfolgreich entfernt werden kann, wird versucht, ihn nur mit Leseberechtigung (read-only) einzuhängen. -a Es werden alle Datenträger, die in der Datei /etc/mtab als eingehängt vermerkt sind, entfernt. -t Dateisystemtypen Zusammen mit der Option -a werden nur die Datenträger entfernt, die die mit Dateisystemtypen bezeichneten Dateisystemtypen haben (z. B. ext2 oder msdos). Dateisystemtypen ist eine Kommaseparierte Liste aus Dateisystemtypen. -n Der Datenträger wird entfernt, jedoch nicht aus der Datei /etc/mtab gestrichen. umount /floppy Entfernt den in das Verzeichnis /floppy eingehängten Datenträger aus dem Dateisystem. umount /dev/sda1 Entfernt den Datenträger /dev/sda1 (erste primäre Partition auf der ersten SCSIFestplatte) aus dem Dateisystem. umount -a -r Versucht, alle Datenträger aus dem Dateisystem zu entfernen. Für Datenträger, bei denen dies nicht gelingt, wird versucht, sie neu und ohne Schreibberechtigung einzuhängen. Mit diesem Kommando kann erreicht werden, Datenträger sauber zu schließen, wenn das System in einem kritischen Zustand ist. Siehe auch: mount, sync.
uname Paket: coreutils uname [Optionen]
Namen und Version des Betriebssystems anzeigen Shellskripte
1040
19 Kommandoübersicht
Das Kommando gibt den Namen des Betriebssystems sowie optional zusätzliche Informationen aus. Mit der Information können Skripte, die für verschiedene Betriebssysteme und Rechnerarchitekturen geschrieben worden sind, feststellen, auf was für einem Rechner sie ausgeführt werden. | - -machine Gibt den Namen der Rechnerarchitektur aus. | - -nodename Gibt den Netznamen des Rechners aus. | - -sysname Gibt den Namen des Betriebssystems aus (Vorgabe). | - -release Gibt die Releasenummer des Betriebssystems aus. Unter Linux wird die Versionsnummer des Kerns ausgegeben. -v Gibt die Versionsnummer des Betriebssystems aus. Unter Linux wird u. a. das Datum, an dem der Kern kompiliert wurde, ausgegeben. -a | - -all Gibt alle Informationen zusammen aus.
-m -n -s -s
uname -a Gibt eine Zeile mit Informationen über die Rechnerarchitektur und das Betriebssystem aus. Siehe auch: hostname, /proc/cpuinfo, /proc/version.
uncompress Paket: gzip
Datei dekomprimieren Dateiverwaltung
uncompress [Optionen] [Dateiname ...] Mittels uncompress werden Dateien im compress-Format dekomprimiert. Das compress-Format ist veraltet. uncompress Datei.Z Dekomprimiert die Datei Datei.Z und schreibt das Ergebnis in die Datei Datei. Die Ausgangsdatei wird gelöscht. Siehe auch: bzip2, bunzip2, gzip, gunzip, zip, unzip.
unzip Paket: unzip
PK-Zip-Archiv auspacken Dateiverwaltung, Kompatibilität
unzip [Optionen] Archivdatei [Archivdatei ...] [-x Datei ...] [-d Verzeichnis] Das Programm unzip entpackt zip-Archive. Diese stellen unter DOS/MS Windows und anderen Betriebssystemen das Standard-Archivformat dar. Aus dem Archiv werden alle Dateien extrahiert und in das Arbeitsverzeichnis gelegt. Falls sich in dem Archiv Unterverzeichnisse befinden, werden diese erzeugt. unzip überschreibt bereits existierende Dateien nicht automatisch, sondern fragt nach, wie in einem solchen Fall verfahren werden soll. Bei der Angabe von Dateinamen dürfen Metazeichen angegeben werden. Diese müssen in Anführungszeichen gesetzt werden, damit sie nicht von der Shell verarbeitet werden. -l Der Archiv-Inhalt wird angezeigt, es werden keine Dateien ausgepackt. -d Verzeichnis Die Dateien werden in das mit Verzeichnis angegebene Verzeichnis ausgepackt.
19 Kommandoübersicht
1041
-x Datei [Datei ...] Die mit Datei angegeben(en) Datei(en) werden nicht ausgepackt. -p Die extrahierten Daten werden auf die Standardausgabe geschrieben, es werden keine Dateien erzeugt. -f Es werden nur solche Dateien ausgepackt, die bereits existieren und deren letztes Modifikationsdatum älter ist als das der Dateien im Archiv. -z Zeigt eine Beschreibung des Archivs an, falls vorhanden. -a Falls notwendig, werden Textdateien umgewandelt (siehe auch todos.) -C Dateinamen werden ohne Berücksichtigung von GroSS- und Kleinschreibung interpretiert. -j Im Archiv enthaltene Verzeichnisse werden nicht erzeugt. Alle Dateien werden in das gleiche Verzeichnis ausgepackt. Dies entspricht dem Verhalten des DOSProgramms PKZIP. -P Passwort Wenn das Zip-Archiv mit einem Passwort geschützt ist, kann der Zugriff durch die Angabe von Passwort erfolgen. -L Dateien werden mit kleingeschriebenen Dateinamen angelegt. -X Dateien werden mit den gleichen Besitzern und Gruppen angelegt, die sie beim Einpacken hatten (funktioniert nur, wenn das Archiv unter Linux/UNIX erstellt wurde). unzip -l archiv.zip Listet die Namen der in der Archivdatei archiv.zip enthaltenen Dateien und Verzeichnisse auf. unzip archiv.zip Extrahiert alle Dateien und Verzeichnisse aus der Archivdatei archiv.zip und legt sie im Arbeitsverzeichnis an. unzip -j -L -C archiv.zip -d tmp -x "*.exe" Extrahiert die in der Archivdatei archiv.zip enthaltenen Dateien und legt sie im Verzeichnis tmp an. Eventuell vorhandene Verzeichniseinträge werden nicht erzeugt, alle Dateien werden direkt in das Verzeichnis tmp geschrieben. Alle Dateinamen werden kleingeschrieben erzeugt. Dateien, die – ohne Berücksichtigung von GroSS- und Kleinschreibung – die Endung .exe haben, werden nicht ausgepackt. Siehe auch: zip, gzip, gunzip, tar.
updatedb Paket: findutils
locate-Datenbank aktualisieren Systemverwaltung
updatedb Aktualisiert die Datenbank der auf dem System vorhandenen Dateien. updatedb wird üblicherweise täglich durch das im Verzeichnis /etc/cron.daily installierte Skript find ausgeführt. Das Programm wird über die Datei /etc/ updatedb.conf konfiguriert. Siehe auch: locate, find, cron.
1042
19 Kommandoübersicht
uptime Paket: procps
Systemlaufzeit anzeigen Information
uptime Das Programm gibt eine Zeile aus, in der die folgenden Informationen enthalten sind: • • • •
Die aktuelle Uhrzeit. Der Zeitraum, über den das System bisher unterbrechungsfrei hochgefahren ist. Die Anzahl der angemeldeten Benutzer. Die durchschnittliche Systemlast der letzten Minute, der letzen fünf Minuten und der letzten 15 Minuten.
Siehe auch: w, top, who, /proc/uptime.
userdel Paket: passwd
Benutzerkonto löschen Benutzerverwaltung
userdel [-r] Benutzername Das Programm löscht das Konto des mit Benutzername angegebenen Benutzers vom System. Standardmäßig werden die Dateien des Benutzers dabei nicht gelöscht. Der Besitzer des zu löschenden Kontos darf nicht angemeldet sein. -r Löscht das Home-Verzeichnis des zu löschenden Benutzers und alle darin enthaltenen Dateien. Andere Dateien auf dem System, die nicht unterhalb des Home-Verzeichnisses liegen (z. B. in /var/spool/mail), werden nicht gelöscht. userdel joe Löscht das Konto des Benutzers joe. userdel -r joe Löscht das Konto des Benutzer joe sowie sein Home-Verzeichnis mit allen darin enthaltenen Dateien und Unterverzeichnissen. Siehe auch: adduser, usermod, find.
usermod Paket: passwd
Benutzerkonto ändern Benutzerverwaltung
usermod Option [Option ...] Benutzername Verändert die Eigenschaften des Benutzerkontos von Benutzername. Folgende Änderungen sind möglich: -c Kommentar Die Zeile mit Zusatzinformationen (GECOS-Feld) des Benutzerkontos wird auf den mit Kommentar angegebenen Wert verändert. -d Verzeichnis Der Besitzer des Kontos erhält das mit Verzeichnis angegebene Home-Verzeichnis. Wenn dieses noch nicht existiert, wird es angelegt. -m Diese Option sorgt bei gleichzeitiger Verwendung der Option -d dafür, dass die Dateien des Benutzers aus dem alten in das neue Home-Verzeichnis verschoben werden.
19 Kommandoübersicht
1043
-e Datum Gibt das Datum an, an dem das Benutzerkonto gesperrt wird. Das Datum muss in der Form MM/TT/JJ angegeben werden (z. B. 06/04/00 für den 4. Juli 2000) -f Tage Gibt die Anzahl der Tage an, nach der das Benutzerkonto gesperrt wird, wenn das Passwort abgelaufen ist. -g Gruppe Legt die primäre Gruppe des Benutzers fest. Diese Gruppe muss existieren. Für Gruppe kann der Gruppenname oder die Gruppen-ID angegeben werden. -l Name Der (Login-)Name des Benutzers wird auf den mit Name angegebenen Wert geändert. Gewöhnlich sollte nach einer Änderung des Benutzernamens ebenfalls das Home-Verzeichnis geändert werden, damit Benutzernamen und Home-Verzeichnisse weiterhin die gleichen Bezeichnungen tragen. -s Shell Legt die Standardshell des Benutzers fest. Das ist die Shell, die nach der Anmeldung des Benutzers gestartet wird (Vorgabe: Bash). -u Benutzer-ID Weist dem Benutzer eine neue Benutzer-ID zu. Die Nummer darf noch nicht vergeben sein. Dateien im und unterhalb des HomeVerzeichnisses des betreffenden Benutzers werden an eine solche Änderung automatisch angepasst. Andere Dateien müssen manuell angepasst werden. usermod -c "Mitarbeiter der Woche" joe Weist dem Informationsfeld des Benutzers joe den Wert Mitarbeiter der Woche zu. usermod -c “marion mueller“ -l mueller -d /home/mueller -m -g verkauf -e 02/05/04 joe Nachdem unser Mitarbeiter der Woche übermütig geworden und rausgeflogen ist, weist das Kommando sein Konto der neuen Benutzerin mueller zu. Der Kommentar wird entsprechend angepasst, Benutzername und Home-Verzeichnis werden verändert, das Konto wird einer neuen primären Gruppe zugeordnet und läuft am 5. Februar 2004 ab. Siehe auch: adduser, userdel, chage, find, finger.
vigr Paket: passwd
Gruppendatei editieren Systemverwaltung
vigr [-s] Das Kommando öffnet die Gruppendatei /etc/group mit dem Standard-Editor (normalerweise vi). -s Öffnet anstatt von /etc/group die Datei /etc/gshadow, in der bei Verwendung von Schattenpasswörtern die Gruppenpasswörter gespeichert werden. Siehe auch: vipw.
vipw Paket: passwd vipw [-s]
Benutzerdatei editieren Benutzerverwaltung
1044
19 Kommandoübersicht
Die Benutzerdatei /etc/passwd sollte nicht mit einem Editor bearbeitet werden, weil die Gefahr besteht, dass andere Benutzer die Datei – etwa durch Wahl eines neuen Passwortes – verändern, während sie bearbeitet wird. Wird sie dann nach der Bearbeitung gesichert, werden die zwischenzeitlichen Änderungen überschrieben und gehen verloren. Das Programm vipw verhindert Veränderungen an der Datei /etc/passwd durch andere Prozesse und ruft den Standard-Editor (vi) oder den in der Umgebungsvariable EDITOR festgelegten Editor mit der Datei auf, sodass sie gefahrlos bearbeitet werden kann. -s Öffnet die Datei /etc/shadow, in welcher die verschlüsselten Passwörter bei Verwendung von Schattenpasswörtern gespeichert werden, anstatt von /etc/ passwd. vipw Öffnet die Datei /etc/passwd mit dem Editor und schützt sie vorher vor Veränderung durch andere Prozesse. Siehe auch: vipw, adduser, userdel, usermod, chage.
w Paket: procps
Systemlast und Benutzeraktivitäten anzeigen Information
w [Optionen] [Benutzer] Das Programm zeigt in der ersten Zeile die gleiche Information wie das Kommando uptime an (Uhrzeit, Laufzeit des Systems, Systemlast). Dazu werden die Namen der angemeldeten Benutzer mit folgenden Informationen angezeigt: • • • • • • •
Der Name des Terminals, auf dem der Benutzer arbeitet (TTY). Der Name des Rechners, von dem aus sich der Benutzer angemeldet hat (FROM). Die Uhrzeit bzw. das Datum, zu der sich der Benutzer angemeldet hat (LOGIN@). Die Zeit, seit deren Ablauf der Benutzer keine Aktivitäten mehr gezeigt hat (IDLE). Die Prozessorzeit, welche die laufenden Prozesse des Benutzers bisher verbraucht haben (JCPU). Die Prozessorzeit, die der Prozess im Vordergrund des dem Benutzer zugewiesenen Terminals bisher verbraucht hat (PCPU). Der Name des Vordergrundprozesses (WHAT).
-s Es wird nur eine Kurzform ausgegeben. -u Es wird nicht ausgegeben, von wo sich Benutzer angemeldet haben. Siehe auch: uptime, who, finger.
wall Paket: bsdutils wall [Datei]
Nachricht an alle angemeldeten Benutzer verteilen Kommunikation
19 Kommandoübersicht
1045
Das Kommando gibt eine Nachricht auf allen Terminals aus, an denen Benutzer angemeldet sind. Wenn mit Datei eine Datei angegeben ist, wird der Inhalt von Datei ausgegeben. Als Vorgabe wird von der Standardeingabe gelesen (Abbrechen mit +). Benutzer haben die Möglichkeit, zu verhindern, dass von anderen Benutzern auf ihren Terminals geschrieben wird (siehe mesg). Der Systemverwalter kann jedoch immer Nachrichten an alle Benutzer schicken. echo Essenszeit | wall Gibt auf allen Terminals mit angemeldeten Benutzern die Meldung Essenszeit aus. Siehe auch: mesg, talk, write, rwall.
watch Paket: procps
Programmausgaben regelmäßig aktualisieren Information
watch [-n Sekunden] Programm [Argumente] Das mit Programm angegebene Programm wird alle 2 Sekunden aufgerufen und seine Ausgabe auf dem Terminal dargestellt. Dies erlaubt das bequeme Beobachten von Prozessausgaben und Systemzuständen. -n Sekunden Die Ausgabe wird alle Sekunden aktualisiert. watch -n 5 df Zeigt die Ausgabe von df auf dem Bildschirm an und aktualisiert sie alle 5 Sekunden.
whatis Paket: man-db
Kurzbeschreibung zu Kommando anzeigen Dokumentation
whatis [Optionen] Suchbegriff Es wird eine Kurzbeschreibung des mit Suchbegriff angegebenen Kommandos ausgegeben. Standardmäßig wird Suchbegriff dabei als eindeutiges Wort interpretiert. -r | - -regex Suchbegriff wird als regulärer Ausdruck interpretiert. -w | - -wildcard Suchbegriff enthält Metazeichen (*,?,[]). whatis ls Gibt eine Kurzbeschreibung des Kommandos ls aus. whatis -w "*ls*" Gibt Kurzbeschreibungen aller Kommandosi aus, in denen die Zeichenkette ls vorkommt. Siehe auch: man, apropos, info.
whereis Paket: util-linux
Programm finden Dateiverwaltung
whereis [Optionen] Dateiname [Dateiname ...]
1046
19 Kommandoübersicht
Klassischerweise gehören unter Linux/UNIX zu einem Programm die Programmdatei selbst, eine Manual-Seite und eine Datei, die den Quellcode des Programms enthält. whereis sucht nach diesen Komponenten auf dem System in vorgegebenen Verzeichnissen. -b Es wird nur nach dem Programm selbst gesucht. -m Es wird nur nach der Manual-Seite gesucht. -s Es wird nur nach der Quelldatei gesucht. whereis -m gzip Gibt den Pfad- und Dateinamen zu der Manualseite von gzip aus. Siehe auch: find, locate, which.
which Paket: debianutils
Programmdatei anzeigen Information, Dateiverwaltung
which Datei In einigen Fällen existieren auf dem System unterschiedliche Programmdateien mit dem gleichen Namen in unterschiedlichen Verzeichnissen, und es ist unklar, welche beim Aufruf des Programms tatsächlich ausgeführt wird. which gibt den Pfadund Dateinamen der mit Datei bezeichneten Datei aus, die ausgeführt wird, wenn Datei als Kommando eingegeben wird. Mit dem Kommando lässt sich – vor allem in Skripten – der absolute Pfadname zu einem Programm konstruieren. which vi Gibt den Pfad- und Dateinamen der Datei aus, die nach Eingabe des Kommandos vi ausgeführt wird. dpkg -S ‘which ls‘ Gibt den Namen des Debian-Paketes aus, dass die Datei enthält, die nach Aufruf des Kommandos ls ausgeführt wird. Siehe auch: find, whereis.
who Paket: coreutils
Angemeldete Benutzer anzeigen Information
who [Optionen] Das Kommando gibt aus, wer zur Zeit am System angemeldet ist, auf welchem Terminal er arbeitet, wann er sich angemeldet hat und von welchem Rechner, falls er sich nicht am lokalen System angemeldet hat. | - -idle Zeigt an, wie lange ein Benutzer keine Aktivität mehr gezeigt hat. | am i Zeigt nur die Information über den aufrufenden Benutzer an. | - -heading Zeigt eine Überschriftenzeile an. | - -message Zeigt für jeden angemeldeten Benutzer an, ob dieser Nachrichten auf seinem Terminal akzeptiert (+) oder nicht (-) oder ob dies nicht festgestellt werden kann (?). -r Zeigt den aktuellen Runlevel an.
-u -m -H -w
19 Kommandoübersicht
1047
who am i Zeigt Rechner und Benutzername des aktuellen Benutzers sowie den Namen des Terminals und Uhrzeit der Anmeldung an. Siehe auch: w, whoami, finger, users, wall, write.
whoami Paket: coreutils
Eigenen Benutzernamen anzeigen Information, Shellskripte
whoami Das Kommando zeigt den effektiven Benutzernamen des aufrufenden Benutzers an. Die Information kann in Shellskripten genutzt werden, um abhängig vom Benutzer, der das Skript ausführt, Entscheidungen zu treffen. if [ ‘whoami‘ = root ]; then echo Administrator; else echo User; fi Siehe auch: id, who, w.
xargs Paket: findutils
Kommandozeile erzeugen Dateiverwaltung, Shellskripte
xargs [Optionen] [Kommando [Argumente]] Das Programm liest von der Standardeingabe und ruft das mit Kommando angegebene Programm mit den eventuell durch Argumente angegebenen Argumenten am Anfang der Kommandozeile (nach dem Programmnamen) und den von der Standardeingabe gelesenen – durch Leerzeichen, Tabulatoren oder neue Zeilen getrennte – Zeichenketten als darauf folgende Argumente auf. Wird Kommando nicht angegeben, so wird /bin/echo aufgerufen. xargs eignet sich dafür, mit einer Liste von Dateien bestimmte Aktionen auszuführen. -l [Zeilen] | - -max-lines[=Zeilen] Dem aufzurufenden Kommando werden nicht mehr Argumente angehängt, als in jeweils durch Zeilen spezifizierte Zeilen enthalten sind. Standardwert ist 1, wenn Zeilen nicht angegeben wird. Kommando wird dann mehrmals aufgerufen, bis der gesamte Inhalt der Eingabe übergeben ist. -n Anzahl | - -max-args=Anzahl Dem aufzurufenden Kommando werden nicht mehr als mit Anzahl angegebene Argumente angehängt. Kommando wird mehrmals aufgerufen, wenn die Eingabe mehr als Anzahl Zeichenketten enthält. -p | - -interactive Bevor tatsächlich ein Programm aufgerufen wird, wird die erzeugte Kommandozeile ausgegeben und nachgefragt, ob das Kommando ausgeführt werden soll. -s Anzahl | - -max-chars=Anzahl Die erzeugten Kommandozeilen dürfen die mit Anzahl angegebene Länge nicht überschreiten. Das aufzurufende Programm wird mehrmals aufgerufen, wenn nicht die gesamte Eingabe mit einer Kommandozeile verarbeitet werden kann.
1048
19 Kommandoübersicht
cat alte_dateien | xargs -p rm Ruft das Kommando rm mit den in der Datei alte_dateien enthaltenen Dateinamen auf. Vor jedem Aufruf von rm wird die zusammengestellte Kommandozeile angezeigt und nachgefragt, ob sie tatsächlich ausgeführt werden soll. find ~/ -name core | xargs ls -l Sucht ausgehend vom Home-Verzeichnis des aufrufenden Benutzers alle Dateien mit dem Namen core und zeigt die zugehörigen Dateiinformationen (ls -l = ausführliches Format) an. Siehe auch: find, locate.
zcat Paket: gzip
Komprimierte Daten unkomprimiert ausgeben Dateiverwaltung, Shellskripte
zcat [Datei ..] Das Programm liest komprimierte Daten von der Standardeingabe oder aus einer oder mehreren mit Datei angegebenen Datei(en), entkomprimiert sie und gibt das Ergebnis auf die Standardausgabe. zcat note1.gz Gibt den Inhalt der komprimierten Datei note1.gz unkomprimiert auf der Standardausgabe aus. cat archiv.tar.gz | zcat | tar -xvf Gibt den Inhalt der Datei archiv.tar.gz in die Eingabe von zcat. Dort werden die Daten entkomprimiert und an tar weitergeleitet, wo sie in die einzelnen Dateien des Archivs zerlegt und entsprechend geschrieben werden. Der gleiche Effekt ist mit dem Kommando tar -xvzf archiv.tar.gz zu erzielen. Siehe auch: gunzip, gzip, cat, zless.
zforce Paket: gzip
Namen komprimierter Datei prüfen und anpassen Dateiverwaltung, Kompatibilität
zforce [Datei ...] Gelegentlich gehen die Endungen von Dateinamen verloren, wenn sie auf Datenträgern gespeichert werden müssen, auf denen nur bestimmte Dateinamenlängen erlaubt sind oder andere Einschränkungen für Dateinamen gelten. Beispielsweise dürfen Dateinamen unter DOS nur aus acht Buchstaben und einer durch einem Punkt abgetrennten Endung von drei Buchstaben bestehen. Namen von komprimierten Dateien, die oft aus mehr Buchstaben bestehen und gewöhnlich die zusätzliche Endung .gz tragen, sind auf diesen Datenträgern schlecht zu speichern. Das Programm zforce überprüft, ob es sich bei der oder den mit Datei angegebenen Dateien um komprimierte Dateien handelt und hängt diesen wieder die Endung .gz an, falls ja. zforce *txt Überprüft für alle Dateien im Arbeitsverzeichnis mit der Endung txt, ob es sich um komprimierte Dateien handelt und hängt diesen die zusätzliche Endung .gz an, falls dies zutrifft. Siehe auch: gzip, gunzip, mcopy.
19 Kommandoübersicht
zgrep Paket: gzip
1049
Komprimierte Dateien durchsuchen Textverarbeitung, Suchen
zgrep [Optionen] [Suchbegriff] [Dateiname ...] Das Programm liest Daten aus einer oder mehreren mit Dateiname angegebenen Dateien oder von der Standardeingabe, falls keine Dateien angegeben worden sind, dekomprimiert diese und leitet das Ergebnis weiter an das Programm grep, welches Dateien nach Text durchsucht. Alle mit Optionen angegebenen Optionen werden grep übergeben. Ausgabe und Rückgabewert entsprechen dem Aufruf von grep mit den gleichen, aber unkomprimierten Daten. Siehe auch: grep, gunzip, zcat, gzip.
zip Paket: zip
PK-Zip-Archiv erstellen Dateiverwaltung, Kompatibilität
zip [Optionen] [Archivdatei [Datei ...]] Das Programm erstellt zip-Archive. Das Archivformat ist unter DOS/MS Windows das zur Zeit meistverbreitete Format zur Weitergabe von Programm- und Datenpaketen. Zip-Archive sind vergleichbar mit komprimierten tar-Archiven. In ihnen können sich Dateien und Verzeichnisse sowie dazugehörige Kontrollinformationen befinden. Diese liegen in dem Archiv in komprimierter Form vor. Standardmäßig schreibt das Programm eine oder mehrere mit Datei angegebene Dateien oder Verzeichnisse in das mit Archivdatei bezeichnete zip-Archiv. Wenn dieses Archiv noch nicht existiert, wird es erzeugt. Wenn eine oder mehrere Dateien gleichen Namens in dem Archiv schon vorhanden sind, werden sie durch die angegebene Version ersetzt. Wird für Archivdatei ein Minuszeichen angegeben, dann wird das Archiv auf die Standardausgabe geschrieben. -b Verzeichnis Von zip angelegte temporäre Dateien werden in dem mit Verzeichnis angegebenen Verzeichnis angelegt. -d Name Löscht die mit Name bezeichneten Dateien in der Archivdatei. Name darf Metazeichen enthalten. -f Es werden nur solche Dateien in das Archiv kopiert, die bereits dort vorhanden sind und bei denen das Datum der letzten Änderung im Archiv älter ist als bei den Originaldateien. -u Es werden nur solche Dateien in das Archiv kopiert, die dort nicht vorhanden sind oder bei denen das Datum der letzten Änderung im Archiv älter ist als bei den Originaldateien. -F Es wird versucht, ein beschädigtes Archiv zu reparieren. Dabei gehen unter Umständen Daten verloren. -i Name Es werden nur die Dateien in das Archiv kopiert, auf die der mit Name angegebene Name zutrifft. Name kann Metazeichen enthalten. -j Die Verzeichnisnamen von Dateien werden nicht mit im Archiv gespeichert. Die Folge ist, dass alle Dateien beim Auspacken im Arbeitsverzeichnis erzeugt werden. -k Es wird versucht, alle Dateinamen in gültige DOS-Dateinamen umzuwandeln.
1050
19 Kommandoübersicht
-m Dateien und Verzeichnisse werden gelöscht, nachdem sie in das Archiv kopiert wurden. -r Wenn eine oder mehrere der angegebenen Dateien Verzeichnisse sind, werden sie rekursiv mit allen Unterverzeichnissen archiviert. -x Name Dateien, deren Name mit dem mit Name angegebenen Namen übereinstimmt, werden nicht in das Archiv kopiert. Name kann Metazeichen enthalten. -z Erlaubt die Eingabe eines Kommentars, der im Archiv gespeichert wird. -@ Die Namen der einzupackenden Dateien werden von der Standardeingabe gelesen. Dabei darf jede Zeile nicht mehr als einen Dateinamen enthalten. zip texte.zip text1.txt text2.txt Die Dateien text1.txt und text2.txt werden in das Archiv texte.zip kopiert. Dieses Archiv wird neu erstellt, wenn es noch nicht existiert. zip -r home.zip ~/ -x “*.o“ core "*.a" "*dvi" Mit Ausnahme der Dateien, die core heißen oder deren Endungen .o, .a oder .dvi lauten, werden alle Dateien und Verzeichnisse unterhalb des eigenen HomeVerzeichnisses in das Archiv home.zip kopiert. Siehe auch: unzip, gzip, gunzip, tar.
zless Paket: gzip
Komprimierte Textdatei anzeigen Information
zless [Datei ...] Das Programm dekomprimiert die mit Datei angegebenen Dateien oder die von der Standardeingabe gelesenen Daten und ruft standardmäßig das Programm less auf, um sie anzuzeigen. Ein anderes Programm kann über die Umgebungsvariable PAGER festgelegt werden. zless /usr/share/doc/HOWTO/en-txt/Mail-HOWTO.txt.gz Zeigt die dekomprimierte Fassung der Datei /usr/share/doc/HOWTO/ en-txt/Mail-HOWTO.txt.gz mit dem Programm less an. Siehe auch: less, gunzip, zmore, gzip.
20 Zahlensysteme, Zeichensatz ISO 8859-15, ASCII-Steuerzeichen
Außer dem Dezimalsystem sind das Dual-, das Oktal- und das Hexadezimalsystem gebräuchlich. Ferner spielt das Binär codierte Dezimalsystem (BCD) bei manchen Anwendungen eine Rolle. Ebenfalls sind die Zeichen nach ISO 8859-15 aufgeführt. Die folgende Tabelle enthält die Werte von 0 bis dezimal 255. Das Zeichen Nr. 173 ist der soft hyphen, der in verschiedenen Standards unterschiedlich aufgefasst wird und daher vermieden werden sollte. J UKKA KORPELA stellt das Problem auf http: //www.cs.tut.fi/~jkorpela/shy.html dar. Tab. 20.1: Zahlensysteme dezimal
dual
oktal
hex
BCD
8859-15
0 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17
0 1 10 11 100 101 110 111 1000 1001 1010 101 1100 1101 1110 1111 10000 10001
0 1 2 3 4 5 6 7 10 11 12 13 14 15 16 17 20 21
0 1 2 3 4 5 6 7 8 9 a b c d e f 10 11
0 1 10 11 100 101 110 111 1000 1001 1.0 1.1 1.10 1.11 1.100 1.101 1.110 1.111
nul soh stx etx eot enq ack bel bs ht lf vt ff cr so si dle dc1 Fortsetzung
1052
20 Zahlensysteme, Zeichensatz ISO 8859-15, ASCII-Steuerzeichen
Tab. 20.1: (Fortsetzung) dezimal
dual
oktal
hex
BCD
8859-15
18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57
10010 10011 10100 10101 10110 10111 11000 11001 11010 11011 11100 11101 11110 11111 100000 100001 100010 100011 100100 100101 100110 100111 101000 101001 101010 101011 101100 101101 101110 101111 110000 110001 110010 110011 110100 110101 110110 110111 111000 111001
22 23 24 25 26 27 30 31 32 33 34 35 36 37 40 41 42 43 44 45 46 47 50 51 52 53 54 55 56 57 60 61 62 63 64 65 66 67 70 71
12 13 14 15 16 17 18 19 1a 1b 1c 1d 1e 1f 20 21 22 23 24 25 26 27 28 29 2a 2b 2c 2d 2e 2f 30 31 32 33 34 35 36 37 38 39
1.1000 1.1001 10.0 10.1 10.10 10.11 10.100 10.101 10.110 10.111 10.1000 10.1001 11.0 11.1 11.10 11.11 11.100 11.101 11.110 11.111 11.1000 11.1001 100.0 100.1 100.10 100.11 100.100 100.101 100.110 100.111 100.1000 100.1001 101.0 101.1 101.10 101.11 101.100 101.101 101.110 101.111
dc2 dc3 dc4 nak syn etb can em sub esc fs gs rs us space ! ” # $ % & ’ ( ) * + , . / 0 1 2 3 4 5 6 7 8 9 Fortsetzung
20 Zahlensysteme, Zeichensatz ISO 8859-15, ASCII-Steuerzeichen
1053
Tab. 20.1: (Fortsetzung) dezimal
dual
oktal
hex
BCD
8859-15
58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97
111010 111011 111100 111101 111110 111111 1000000 1000001 1000010 1000011 1000100 1000101 1000110 1000111 1001000 1001001 1001010 1001011 1001100 1001101 1001110 1001111 1010000 1010001 1010010 1010011 1010100 1010101 1010110 1010111 1011000 1011001 1011010 1011011 1011100 1011101 1011110 1011111 1100000 1100001
72 73 74 75 76 77 100 101 102 103 104 105 106 107 110 111 112 113 114 115 116 117 120 121 122 123 124 125 126 127 130 131 132 133 134 135 136 137 140 141
3a 3b 3c 3d 3e 3f 40 41 42 43 44 45 46 47 48 49 4a 4b 4c 4d 4e 4f 50 51 52 53 54 55 56 57 58 59 5a 5b 5c 5d 5e 5f 60 61
101.1000 101.1001 110.0 110.1 110.10 110.11 110.100 110.101 110.110 110.111 110.1000 110.1001 111.0 111.1 111.10 111.11 111.100 111.101 111.110 111.111 111.1000 111.1001 1000.0 1000.1 1000.10 1000.11 1000.100 1000.101 1000.110 1000.111 1000.1000 1000.1001 1001.0 1001.1 1001.10 1001.11 1001.100 1001.101 1001.110 1001.111
: ; < = > ? @ A B C D E F G H I J K L M N O P Q R S T U V W X Y Z [ \ ] ^ _ ‘ a Fortsetzung
1054
20 Zahlensysteme, Zeichensatz ISO 8859-15, ASCII-Steuerzeichen
Tab. 20.1: (Fortsetzung) dezimal
dual
oktal
hex
BCD
8859-15
98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127
1100010 1100011 1100100 1100101 1100110 1100111 1101000 1101001 1101010 1101011 1101100 1101101 1101110 1101111 1110000 1110001 1110010 1110011 1110100 1110101 1110110 1110111 1111000 1111001 1111010 1111011 1111100 1111101 1111110 1111111
142 143 144 145 146 147 150 151 152 153 154 155 156 157 160 161 162 163 164 165 166 167 170 171 172 173 174 175 176 177
62 63 64 65 66 67 68 69 6a 6b 6c 6d 6e 6f 70 71 72 73 74 75 76 77 78 79 7a 7b 7c 7d 7e 7f
1001.1000 1001.1001 1.0.0 1.0.1 1.0.10 1.0.11 1.0.100 1.0.101 1.0.110 1.0.111 1.0.1000 1.0.1001 1.1.0 1.1.1 1.1.10 1.1.11 1.1.100 1.1.101 1.1.110 1.1.111 1.1.1000 1.1.1001 1.10.0 1.10.1 1.10.10 1.10.11 1.10.100 1.10.101 1.10.110 1.10.111
b c d e f g h i j k l m n o p q r s t u v w x y z { | } ~ del
128 129 130 131 132 133 134 135 136
10000000 10000001 10000010 10000011 10000100 10000101 10000110 10000111 10001000
200 201 202 203 204 205 206 207 210
80 81 82 83 84 85 86 87 88
1.10.1000 1.10.1001 1.11.0 1.11.1 1.11.10 1.11.11 1.11.100 1.11.101 1.11.110
pad hop bph nbh ind nel ssa esa hts Fortsetzung
20 Zahlensysteme, Zeichensatz ISO 8859-15, ASCII-Steuerzeichen
1055
Tab. 20.1: (Fortsetzung) dezimal
dual
oktal
hex
BCD
8859-15
137 138 139 140 141 142 143 144 145 146 147 148 149 150 151 152 153 154 155 156 157 158 159 160 161 162 163 164 165 166 167 168 169 170 171 172 173 174 175 176
10001001 10001010 10001011 10001100 10001101 10001110 10001111 10010000 10010001 10010010 10010011 10010100 10010101 10010110 10010111 10011000 10011001 10011010 10011011 10011100 10011101 10011110 10011111 10100000 10100001 10100010 10100011 10100100 10100101 10100110 10100111 10101000 10101001 10101010 10101011 10101100 10101101 10101110 10101111 10110000
211 212 213 214 215 216 217 220 221 222 223 224 225 226 227 230 231 232 233 234 235 236 237 240 241 242 243 244 245 246 247 250 251 252 253 254 255 256 257 260
89 8a 8b 8c 8d 8e 8f 90 91 92 93 94 95 96 97 98 99 9a 9b 9c 9d 9e 9f a0 a1 a2 a3 a4 a5 a6 a7 a8 a9 aa ab ac ad ae af b0
1.11.111 1.11.1000 1.11.1001 1.100.0 1.100.1 1.100.10 1.100.11 1.100.100 1.100.101 1.100.110 1.100.111 1.100.1000 1.100.1001 1.101.0 1.101.1 1.101.10 1.101.11 1.101.100 1.101.101 1.101.110 1.101.111 1.101.1000 1.101.1001 1.110.0 1.110.1 1.110.10 1.110.11 1.110.100 1.110.101 1.110.110 1.110.111 1.110.1000 1.110.1001 1.111.0 1.111.1 1.111.10 1.111.11 1.111.100 1.111.101 1.111.110
htj vts pld plu ri ss2 ss3 dcs pu1 pu2 sts cch mw spa epa sos sgci sci csi st osc pm apc nbs ¡ ¢ £ -C ¥ Š § š © ª ¬ shy ® ¯ ° Fortsetzung
1056
20 Zahlensysteme, Zeichensatz ISO 8859-15, ASCII-Steuerzeichen
Tab. 20.1: (Fortsetzung) dezimal
dual
oktal
hex
BCD
8859-15
177 178 179 180 181 182 183 184 185 186 187 188 189 190 191 192 193 194 195 196 197 198 199 200 201 202 203 204 205 206 207 208 209 210 211 212 213 214 215
10110001 10110010 10110011 10110100 10110101 10110110 10110111 10111000 10111001 10111010 10111011 10111100 10111101 10111110 10111111 11000000 11000001 11000010 11000011 11000100 11000101 11000110 11000111 11001000 11001001 11001010 11001011 11001100 11001101 11001110 11001111 11010000 11010001 11010010 11010011 11010100 11010101 11010110 11010111
261 262 263 264 265 266 267 270 271 272 273 274 275 276 277 300 301 302 303 304 305 306 307 310 311 312 313 314 315 316 317 320 321 322 323 324 325 326 327
b1 b2 b3 b4 b5 b6 b7 b8 b9 ba bb bc bd be bf c0 c1 c2 c3 c4 c5 c6 c7 c8 c9 ca cb cc cd ce cf d0 d1 d2 d3 d4 d5 d6 d7
1.111.111 1.111.1000 1.111.1001 1.1000.0 1.1000.1 1.1000.10 1.1000.11 1.1000.100 1.1000.101 1.1000.110 1.1000.111 1.1000.1000 1.1000.1001 1.1001.0 1.1001.1 1.1001.10 1.1001.11 1.1001.100 1.1001.101 1.1001.110 1.1001.111 1.1001.1000 1.1001.1001 10.0.0 10.0.1 10.0.10 10.0.11 10.0.100 10.0.101 10.0.110 10.0.111 10.0.1000 10.0.1001 10.1.0 10.1.1 10.1.10 10.1.11 10.1.100 10.1.101
± 2 3
Ž µ ¶ · ž 1
º Œ œ Ÿ ¿ À Á Â Ã Ä Å Æ Ç È É Ê Ë Ì Í Î Ï Ð Ñ Ò Ó Ô Õ Ö × Fortsetzung
20 Zahlensysteme, Zeichensatz ISO 8859-15, ASCII-Steuerzeichen
1057
Tab. 20.1: (Fortsetzung) dezimal
dual
oktal
hex
BCD
8859-15
216 217 218 219 220 221 222 223 224 225 226 227 228 229 230 231 232 233 234 235 236 237 238 239 240 241 242 243 244 245 246 247 248 249 250 251 252 253 254 255
11011000 11011001 11011010 11011011 11011100 11011101 11011110 11011111 11100000 11100001 11100010 11100011 11100100 11100101 11100110 11100111 11101000 11101001 11101010 11101011 11101100 11101101 11101110 11101111 11110000 11110001 11110010 11110011 11110100 11110101 11110110 11110111 11111000 11111001 11111010 11111011 11111100 11111101 11111110 11111111
330 331 332 333 334 335 336 337 340 341 342 343 344 345 346 347 350 351 352 353 354 355 356 357 360 361 362 363 364 365 366 367 370 371 372 373 374 375 376 377
d8 d9 da db dc dd de df e0 e1 e2 e3 e4 e5 e6 e7 e8 e9 ea eb ec ed ee ef f0 f1 f2 f3 f4 f5 f6 f7 f8 f9 fa fb fc fd fe ff
10.1.110 10.1.111 10.1.1000 10.1.1001 10.10.0 10.10.1 10.10.10 10.10.11 10.10.100 10.10.101 10.10.110 10.10.111 10.10.1000 10.10.1001 10.11.0 10.11.1 10.11.10 10.11.11 10.11.100 10.11.101 10.11.110 10.11.111 10.11.1000 10.11.1001 10.100.0 10.100.1 10.100.10 10.100.11 10.100.100 10.100.101 10.100.110 10.100.111 10.100.1000 10.100.1001 10.101.0 10.101.1 10.101.10 10.101.11 10.101.100 10.101.101
Ø Ù Ú Û Ü Ý Þ ß à á â ã ä å æ ç è é ê ë ì í î ï ð ñ ò ó ô õ ö ÷ ø ù ú û ü ý þ ÿ Schluss
1058
20 Zahlensysteme, Zeichensatz ISO 8859-15, ASCII-Steuerzeichen
Die Steuerzeichen der Zeichensätze dienen der Übermittlung von Befehlen und Informationen an das empfangende Gerät und nicht der Ausgabe eines sicht- oder druckbaren Zeichens. Die meisten Steuerzeichen belegen keine eigene Taste, sondern werden als Kombination aus der -Taste und einer Zeichentaste eingegeben. Tab. 20.2: ASCII-Steuerzeichen dezimal
C-Konst.
ASCII
0 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 127
\x00
nul soh stx etx eot enq ack bel bs ht lf vt ff cr so si dle dc1 dc2 dc3 dc4 nak syn etb can em sub esc fs gs rs us del
\a \b \t \n \v \f \r
\x1b
Bedeutung
Tasten
ASCII-Null Start of heading Start of text End of text End of transmission Enquiry Acknowledge Bell Backspace Horizontal tab Line feed Vertical tab Form feed Carriage return Shift out Shift in Data link escape Device control 1, xon Device control 2, tape Device control 3, xoff Device control 4, tape Negative acknowledge Synchronous idle End transmission block Cancel End of medium Substitute Escape File separator Group separator Record separator Unit separator Delete
control @ control a control b control c control d control e control f control g control h, BS control i, TAB control j, LF control k control l control m, RETURN control n control o control p control q control r control s control t control u control v control w control x control y control z control [, ESC control \ control ] control ^ control _ DEL, RUBOUT
20 Zahlensysteme, Zeichensatz ISO 8859-15, ASCII-Steuerzeichen
1059
Falls das Ein- oder Ausgabegerät einen deutschen 7-Bit-ASCII-Zeichensatz enthält, sind folgende Ersetzungen der amerikanischen Zeichen durch deutsche Sonderzeichen üblich: Tab. 20.3: German-ASCII-Zeichen Nr.
US-Zeichen
91 92 93 123 124 125 126
linke eckige Klammer Backslash rechte eckige Klammer linke geschweifte Klammer senkrechter Strich rechte geschweifte Klammer Tilde
US-ASCII
German ASCII
[ \ ] { | } ~
Ä Ö Ü ä ö ü ß
21 Tasten
Computertastaturen weisen im Vergleich zu den Tastaturen herkömmlicher Schreibmaschinen zusätzliche Tasten (E: key, F: touche) auf. Obwohl die PC-Tastatur (MF2) weit verbreitet ist, gibt es eine Vielzahl abweichender Tastaturen. Die Wirkung, die von einer Taste ausgelöst wird, hängt von der Software im Rechner ab und lässt sich daher nicht allgemein angeben. Typische Beispiele sind die Funktionstasten, aber auch fast alle anderen Tasten lassen sich umprogrammieren. In der folgenden Tabelle werden die wichtigsten Sondertasten aufgeführt: Tab. 21.1: Tasten englisch ACK AlphaLock Alt AltGr Any Key BackTab BS, Backspace BEL Break CAN Caps Lock CBT CE, ClearEntry CharDel CharInsert ClearSpace CR
deutsch
Wirkung
Alt AltGr beliebige T.
Acknowledge wie Caps Lock Alternate, Meta Alternate Graphic(s) zweckmäßig: Shift
Rücktaste Untbr Feststelltaste
einen Schritt zurück Glocke, ASCII-Nr. 7 Signal SIGINT, Signal Nr. 2 Cancel Umschaltung feststellen Cursor back tab Lösche Zeichen Füge Zeichen vor Cursor ein Carriage Return, Wagenrücklauf, ASCII-Nr. 13 Fortsetzung
21 Tasten
1061
Tab. 21.1: (Fortsetzung) englisch
deutsch
Wirkung
Ctrl, Ctl CUB CUD CUF CUU DCH DC1 DC2 DC3 DC4 Dead Keys
Strg
Control, Steuerung Cursor back Cursor down Cursor forward Cursor up Delete character Device control 1, ASCII-Nr. 17 Device control 2, ASCII-Nr. 18 Device control 3, ASCII-Nr. 19 Device control 4, ASCII-Nr. 20 Tasten für diakritische Zeichen, Akzente ohne Zeichenvorschub Zeichen entfernen, löschen Delete line Data link enable Cursor abwärts siehe Alt End of media Cursor zum Seitenende Enquiry Eingabe vollziehen End of transmission Escape, Fluchtsymbol, ASCII-Nr. 27 End of transaction block End of text
DEL, Delete DL DLE Down Edit EM End ENQ Enter EOT Esc ETB ETX ExtChar F1 FF Funct Home HT INS, Insert IS1 IS2 IS3 IS4 Left LF LineDel LineErase
Tod-Tasten, Akzent-Tasten Entf
Pfeil abwärts
Ende Zeilenwechsel Escape
F1
Pos1 Einfg
Pfeil links
Funktionstaste 1 usw. Form Feed, Blattvorschub, ASCII-Nr. 12 ähnlich wie Ctrl Cursor zum Seitenanfang Horizontal tab Zeichen vor Cursor einfügen Information separator 1 Information separator 2 Information separator 3 Information separator 4 Cursor nach links Line feed, ASCII-Nr. 10 Lösche Zeile Lösche Zeile ab Cursor Fortsetzung
1062
21 Tasten
Tab. 21.1: (Fortsetzung) englisch LineFeed LineIns LocEsc Meta NAK NoScroll NumLock Page Page Down PageErase Page Up Pause PFK PrevWin PrintScreen Reset Return Right Rubout ScrollLock Send Setup Shift Space SOH SUB SYN SysRq Tab Up
deutsch
Num Bild abwärts Bild aufwärts Pause
Druck Zeilenwechsel Pfeil rechts Rollen
Umschaltung Leertaste
S-Abf Tab Pfeil aufwärts
Wirkung wie Down Füge Zeile oberhalb Cursor ein Local Escape siehe Alt Not acknowledge Hält Bildschirm an Number lock key Nächste Seite des Speichers Nächste Seite des Speichers Seite löschen Vorige Seite des Speichers Pause Program Function Key Previous window Hardcopy des Bildschirms Setzt Terminal zurück Zeilenwechsel, Eingabe vollziehen Cursor nach rechts Zeichen löschen, wie DEL Hält Bildschirm an Sende Seite zum Computer Zeigt Konfiguration an Umschaltung groß-klein ASCII-Nr. 32, Leerschritt Start of header Substitute character, ASCII-Nr. 26 Synch idle System request, System-Anfrage Horizontal-Tabulator Cursor nach oben Schluss
Daneben finden sich auf den Tastaturen einzelner Hersteller noch Tasten mit angebissenen Äpfeln, fliegenden Fenstern, einem fröhlichen Pinguin und dergleichen. Multimediatastaturen verfügen über Tasten zum Einstellen der Lautstärke usw.
22 Signale
Die Default-Reaktion eines Prozesses auf die meisten Signale ist seine Beendigung; sie können aber abgefangen und umdefiniert werden. Die Signale SIGKILL und SIGSTOP können nicht abgefangen (umfunktioniert) werden. Die Bezeichnungen sind nicht einheitlich; auf die Namen ist mehr Verlass als auf die Nummern. Die Nr. 0 wird nicht für ein Signal verwendet. Wird sie dem Shell-Kommando trap übergeben, so ist damit das Ende der Shell (exit) gemeint. SIGBUS fehlt auf Intel-Architekturen, Weiteres im Manual unter signal(2), signal(5), signal(7) und man -L en 7 signal. Tab. 22.1: Signale Name SIGHUP SIGINT SIGQUIT SIGILL SIGTRAP SIGABRT SIGUNUSED SIGFPE SIGKILL SIGUSR1 SIGSEGV SIGUSR2 SIGPIPE SIGALRM SIGTERM SIGSTKFLT SIGCHLD
Nummer 01 02 03 04 05 06 07 08 09 10 11 12 13 14 15 16 17
Bedeutung hangup interrupt (meist Break-Taste) quit from keyboard illegal instruction trace trap software generated abort unused, nicht verwendet floating point exception kill (sofortiger Selbstmord) user defined signal 1 segmentation violation (Speicherfehler) user defined signal 2 broken pipe with no one to read it alarm clock software termination (bitte Schluss machen) stack fault on coprocessor death of a child Fortsetzung
1064
22 Signale
Tab. 22.1: (Fortsetzung) Name SIGCLD SIGCONT SIGSTOP SIGTSTP SIGTTIN SIGTTOU SIGIO SIGXCPU SIGXFSZ SIGVTALRM SIGPROF SIGWINCH SIGPWR SIGINFO
Nummer
18 19 20 21 22 23 24 25 26 27 28 30 30
Bedeutung = SIGCHLD continue after stop stop stop signal generated from keyboard background input attempt from control terminal background output attempt from control terminal I/O error CPU time limit exceeded file size limit exceeded virtual alarm clock profiling timer expired window resize signal power failure = SIGPWR Schluss
23 Gerätedateien
Die folgende Tabelle nennt die wichtigsten Gerätedateien. Eine vollständige Liste aller von Linux unterstützten Gerätedateien zusammen mit den Major- und Minor-Nummern der Geräte befindet sich im Kerndokumentationsverzeichnis in der Datei devices.txt, Linux Allocated Devices, zu beziehen unter anderem von http://www.kernel.org/pub/linux/docs/device-list/. Falls die Kernquellen auf Ihrem Rechner eingerichtet sind, ist die Datei unter /usr/src/ linux/Documentation/devices.txt zu finden. Die Liste lässt weitere, lokal definierte Gerätedateien unter bestimmten Voraussetzungen zu, sodass Ihr Rechner vermutlich einige Gerätedateien beherbergt, die nicht bei kernel.org erklärt werden. Überflüssige Gerätedateien stören nicht und belegen kaum Speicherplatz (nur Inodes). Fehlende Gerätedateien verhindern die Benutzung der zugehörigen Hardware. Netzschnittstellen wie eth0 werden nicht durch eine Gerätedatei dargestellt; sie arbeiten nach einem anderen Konzept. Manche Geräte sind mehrfach vorhanden; ihre Gerätedateien sind dann durchnummeriert. In der Tabelle sind die Nummern oft weggelassen und die Gerätedateien nur einmal aufgeführt. Über USB angeschlossene Speicherstöpsel werden als SCSI-Platten angesehen, beispielsweise als /dev/sda1. Tab. 23.1: Gerätedateien Gerätedatei
Beschreibung
/dev/adsp /dev/agpgart /dev/amidi /dev/amixer /dev/atibm /dev/cdrom /dev/cdwriter /dev/console
ALSA Digital Audio (Digital Signal Processor) AGP Graphics Address Remapping Table ALSA MIDI-Gerät ALSA Mixer ATI XL-Busmaus Symlink auf jeweiliges CD/DVD-Laufwerk Symlink auf jeweiligen CD/DVD-Brenner Systemkonsole Fortsetzung
1066
23 Gerätedateien
Tab. 23.1: (Fortsetzung) Gerätedatei
Beschreibung
/dev/core /dev/djs /dev/dpti /dev/dri/ /dev/dsp /dev/eda /dev/edb /dev/fb0 /dev/fd /dev/fd0 /dev/fd1 /dev/full /dev/hda /dev/hda1 /dev/hda2 /dev/hdb /dev/hdb1 /dev/hdc /dev/hdd /dev/ht0 /dev/i2o/ /dev/ida/ /dev/initrd /dev/inportbm /dev/input/ /dev/ippp0 /dev/isdn0 /dev/isdnctrl0 /dev/isdninfo /dev/jbm /dev/js /dev/kmem /dev/log /dev/logibm /dev/loop /dev/lp0 /dev/lp1 /dev/MAKEDEV /dev/md /dev/mem
Symlink auf /proc/kcore Digital Joystick DPT RAID-Controller Verzeichnis für Direct Rendering Infrastructure Karten OSS Digital Audio (Digital Signal Processor) erste ESDI-Platte zweite ESDI-Platte erster Frame Buffer Symlink auf /proc/self/fd erstes Floppy-Laufwerk (DOS A:) zweites Floppy-Laufwerk (DOS B:) gibt ENOSPC (Error No Space) beim Schreiben zurück erstes IDE-Interface, Master erstes IDE-Interface, Master, erste Partition erstes IDE-Interface, Master, zweite Partition erstes IDE-Interface, Slave erstes IDE-Interface, Slave, erste Partition zweites IDE-Interface, Master zweites IDE-Interface, Slave erstes IDE-Bandlaufwerk Verzeichnis, I2O-Festplatten Verzeichnis RAM-Disk beim Start Microsoft Inport Busmaus Verzeichnis für Joysticks und Mäuse erstes SyncPPP-Gerät erster ISDN-B-Kanal, rohe Daten erster ISDN-Kanal, Steuerung ISDN Monitor J-Maus Joystick Zugriff auf virtuellen Arbeitsspeicher lokaler syslog-Socket Logitech-Busmaus Loop-Geräte Drucker an parport0 Drucker an parport1 Symlink auf /sbin/MAKEDEV Metadisk (RAID) Zugriff auf physikalischen Arbeitsspeicher Fortsetzung
23 Gerätedateien
1067
Tab. 23.1: (Fortsetzung) Gerätedatei
Beschreibung
/dev/midi /dev/mixer /dev/modem /dev/mouse /dev/music /dev/net/tun /dev/nst /dev/null /dev/nvidia0 /dev/optcd /dev/parport /dev/port /dev/ppp /dev/pppox /dev/psaux /dev/ptmx /dev/pts/ /dev/pty /dev/radio /dev/ram0 /dev/ram1 /dev/random /dev/raw1394 /dev/rd/ /dev/rfcomm /dev/rmidi /dev/root /dev/rtc /dev/scanner /dev/scd0 /dev/scsi/ /dev/sda /dev/sda1 /dev/sdb /dev/sequencer /dev/sg0 /dev/shm/ /dev/smpte /dev/snd/ /dev/sr
OSS MIDI-Port OSS Mixer Symlink auf jeweiliges Modem Symlink auf jeweilige Maus alternativer Sequencer virtuelles Tunnel-Device SCSI-Bandlaufwerke, no rewind Schwarzes Datenloch, Müllschlucker, Bit Bucket erste Nvidia-Karte optisches Plattenlaufwerk paralle Ports I/O-Port-Zugriff geräteunabhängige PPP-Schnittstelle PPP über Ethernet PS/2-Maus Pseudo-TTY-Master Multiplex Verzeichnis für Pseudo-TTY-Slave-Dateisysteme Pseudo-TTY-Master V4L Radiogeräte Erste RAM-Disk Zweite RAM-Disk Zufallszahlengenerator raw Firewire Verzeichnis, PCI-RAID-Controller Bluetooth RFCOMM-Terminals MIDI-Ports, untimed Symlink auf jeweilige root-Partition Real Time Clock, Hardwareuhr Symlink auf jeweiligen Scanner erstes SCSI-CD/DVD-Laufwerk Verzeichnis für SCSI-Geräte erste SCSI-Platte erste Partition auf erster SCSI-Platte zweite SCSI-Platte OSS Audio Sequencer erstes generisches SCSI-Gerät Verzeichnis POSIX Shared Memory Wartungszugriffe MIDI-Ports, SMPTE-timed Verzeichnis für Sound-Geräte (veraltet, durch scd ersetzt) Fortsetzung
1068
23 Gerätedateien
Tab. 23.1: (Fortsetzung) Gerätedatei
Beschreibung
/dev/st /dev/stderr /dev/stdin /dec/stdout /dev/swap /dev/tape /dev/tty /dev/tty1 /dev/ttyS0 /dev/ttyS1 /dev/ttyUSB0 /dev/urandom /dev/usb/ /dev/usb/lp0 /dev/usb/scanner0 /dev/vbi /dev/vcs /dev/vcsa /dev/vhci /dev/video /dev/vttuner /dev/vtx /dev/winradio /dev/xda /dev/xda1 /dev/zero
SCSI-Bandlaufwerke Symlink auf fd/2 Symlink auf fd/0 Symlink auf fd/1 Symlink auf jeweilige swap-Partition Symlink auf jeweiliges Bandlaufwerk Kontrollterminal erster Pseudo-TTY-Slave Erste serielle Schnittstelle Zweite serielle Schnittstelle erster USB-seriell-Konverter Zufallszahlengenerator Verzeichnis für USB-Geräte erster USB-Drucker erster USB-Scanner V4L Vertical Blank Interrupt Aktueller VC-Textinhalt Aktueller VC-Text/Attributeinhalt Virtual Host Controller Interconnect V4L Capture/Overlay-Geräte Videotext-Tuner Teletext WiNRADiO-Karte erste XT-Platte erste Partition auf erster XT-Platte Nullbytegenerator Schluss
24 Ports und Internetdienste
Die Zuordnung eines Internetdienstes zu einer Portnummer, wie sie in der Datei /etc/services vorgenommen wird, ist eine notwendige, aber nicht hinreichende Voraussetzung für die Nutzung des Dienstes. Die meisten Ports werden sowohl für TCP (RFC 793) wie UDP (RFC 768) verwendet. Die maßgebliche Liste liegt auf http://www.iana.org/assignments/port-numbers. Die Nummern sind in drei Bereiche eingeteilt: • • •
0 bis 1023 Privilegierte Ports (well known ports), die nur von Root- oder privilegierten Prozessen benutzt werden können, 1024 bis 49151 registrierte Ports, die auch von Prozessen gewöhnlicher Benutzer für die von der IANA registrierten Zwecke benutzt werden können, 49152 bis 65535 dynamische oder private Ports, die von beliebigen Prozessen für beliebige Zwecke benutzt werden dürfen.
Die Registrierung eines Ports bedeutet nicht, dass er vor Missbrauch geschützt ist. Portnummern, die man nicht benötigt, sollten aus Gründen der Sicherheit in /etc/ services auskommentiert werden. Der Aufruf: joe@debian:~$ netstat -a --numeric-ports zeigt die momentan aktiven Internetverbindungen mit ihren Portnummern an. Tab. 24.1: Ports und Internetdiesnte Nummer 7 9 13 19 20 21
Bezeichnung
Funktion
echo discard daytime chargen ftp-data ftp
eingebautes Kommando des inetd eingabautes Kommando des inetd eingebautes Kommando des inetd eingebautes Kommando des inetd File Transfer Protocol, Daten File Transfer Protocol, Steuerung Fortsetzung
1070
24 Ports und Internetdienste
Tab. 24.1: (Fortsetzung) Nummer
Bezeichnung
Funktion
22 23 25 37 42 43 53 67 68 69 70 79 80 88 98 106 109 110 111 113 119 123 137 138 139 143 161 162 177 194 220 443 465 515 531 532 540 546 547 554
ssh telnet smtp time nameserver whois domain bootps bootpc tftp gopher finger www kerberos linuxconf poppassd pop2 pop3 sunrpc ident, auth nntp ntp netbios-ns netbios-dgm netbios-ssn imap2 snmp snmp-trap xdmcp irc imap3 https ssmtp printer conference netnews uucp dhcpv6-client dhcpv6-server rtsp
Secure Shell Remot Login Protocol Telnet Protocol Simple Mail Transfer Protocol eingebautes Kommando des inetd Internet Name Service nach IEN 116 von 1979 Whois Directory Service Domain Name Service (DNS) BOOTP Server BOOTP Client Trivial File Transfer Protocol Internet Gopher (ausgestorben) Fingerdienst HTTP/World Wide Web Kerberos Version 5 LinuxConf Eudora Post Office Protocol Version 2 Post Office Protocol Version 3 Portmapper Version 4 Authentication Service Netnews Transfer Protocol Network Time Protocol, Zeit im Netz NETBIOS Name Service NETBIOS Datagram Service NETBIOS Session Service Internet Message Access Protocol V. 2 Simple Network Management Protocol Traps für SNMP X11 Display Manager Control Protocol Internet Relay Chat Internet Mail Access Protocol V. 3 HTTP über TLS/SSL (gesichert) SMTP über SSL (gesichert) LPD-Druckspooler Chat-Konferenz readnews uucp-Dämon DHCP Version 6, Client DHCP Version 6, Server Real Time Stream Control Protocol Fortsetzung
24 Ports und Internetdienste
1071
Tab. 24.1: (Fortsetzung) Nummer 631 636 783 808 873 901 989 990 992 993 994 995 1194 1529 2003 2010 2049 2628 3000 3020 3128 3306 3407 3690 4559 5060 5061 6000 6566 7100 8080 8100 8888 9098 9100 10000 11371 49151
Bezeichnung
Funktion
ipp ldaps spamd omirr rsync swat ftps-data ftps telnets imaps ircs pop3s openvpn support cfinger ndtp nfs dict hbci cifs mysql ldap-admin svn hylafax sip sip-tls x11 sane-port xfs http-alt xprint-server micro_http xinetd pdl-datastream ndmp hkp -
Internet Printing Protocol (CUPS u. a.) LDAP über SSL (gesichert) SpamAssasin Dämon Online Mirror Rsync Remote-update Protocol Samba-Verwaltung mittels SWAT FTP-Daten über TLS/SSL (gesichert) FTP-Steuerung über TLS/SSL (gesichert) Telnet über TLS/SSL (gesichert) IMAP über TLS/SSL (gesichert) IRC über TLS/SSL (gesichert) POP V. 3 über TLS/SSL (gesichert) Open Virtual Private Network GNU GNATS (Bug Tracking System) GNU Finger Network Dictionary Transfer Protocol Network File System (NFS) Dictionary Server Home Banking Computer Interface Common Internet File System Squid HTTP-Proxy MySQL (Datenbank) LDAP admin server port Subversion (Versionskontrollsystem) Hylafax Client-Server-Protokoll Session Initiation Protocol (VoIP) SIP über TLS X Window System (X11), bis 6063 SANE Network Scanner Daemon X Font Service HTTP Alternate, Proxy Xprint Server Micro HTTP Server xinetd-Superdämon Printer PDL Datastream (HP JetDirect) Network Data Management Protocol OpenPGP HTTP Keyserver IANA Reserved Schluss
25 Requests For Comments
Nachfolgend werden die im Text zitierten Requests For Comments (RFC) mit Titel und Erscheinungsjahr aufgelistet, geordnet nach ihrer Nummer, das heißt chronologisch. Im Anschluss sind einige Themen aus dem Buch betreffende For Your Information (FYI) genannt. Erhältlich sind sie unter anderem bei ftp://ftp.denic. de/pub/rfc/. Tab. 25.1: Requests For Comments Nr.
Titel
0791 Internet Protocol – DARPA Internet Program Protocol Specification 0854 Telnet Protocol Specification 0862 Echo Protocol 0863 Discard Protocol 0864 Character Generator Protocol 0867 Daytime Protocol 0959 File Transfer Protocol 1112 Host Extensions for IP Multicasting 1122 Requirements for Internet Hosts – Communication Layers 1123 Requirements for Internet Hosts – Application and Support 1179 Line Printer Daeomon Protocol 1191 Path MYU Discovery 1198 FYI on the X Window System 1305 Network Time Protocol (Version 3) 1334 PPP Authentication Protocols 1350 The TFTP Protocol (Revision 2) 1413 Identification Protocol 1459 Internet Relay Chat Protocol 1462 FYI on What is the Internet?
Jahr 1981 1983 1983 1983 1983 1983 1985 1989 1989 1989 1990 1990 1991 1992 1992 1992 1993 1983 1993 Fortsetzung
25 Requests For Comments
1073
Tab. 25.1: (Fortsetzung) Nr.
Titel
Jahr
1519 1661 1918 1933 1939 2033 2045 2060 2132 2338 2347 2401 2433 2460 2606 2616 2637 2644 2661 2663 2821 2822 2849 2865 2910 2911 3022 3028 3056 3193 3330 3377
Classless Inter-Domain Routing The Point-to-Point Protocol Address Allocation for Private Internets Transition Mechanisms for IPv6 Hosts and Routers Post Office Protocol – Version 3 Local Mail Transfer Protocol Multipurpose Interent Mail Extensions Internet Message Access Protocol – Version 4rev1 DHCP Options and BOOTP Vendor Extensions Virtual Router Redundancy Protocol TFTP Option Extension Security Architecture for the Internet Protocol Microsoft PPP CHAP Extensions Internet Protocol, Version 6 (IPv6) Reserved Top Level DNS Names Hypertext Transfer Protocol – HTTP/1.1 Point-to-Point Tunneling Protocol Changing the Default for Directed Broadcasts in Routers Layer 2 Tunneling Protocol IP Network Address Translator Simple Mail Transfer Protocol Internet Message Format The LDAP Data Interchange Format – Technical Specification Remote Authentication Dial In User Sevice Internet Printing Protocol/1.1: Encoding and Transport Internet Printing Protocol/1.1: Model and Semantics Traditional IP Network Address Translator Sieve: A Mail Filtering Language Connection of IPv6 Domains via IPv4 Clouds Security L2TP using IPsec Special-Use IPv4 Addresses Lightweight Directory Access Protocol (v1): Technical Specification Internet Printing Protocol: Job and Printer Set Operations Introduction and Applicability Statements for Internet Standard Management Framework Some Internet Architectural Guidelines and Philosophy Requirements for IPsec Remote Access Scenarios Internet Message Access Protocol – Version 4rev1 UTF-8, a transformation format of ISO 10646
1993 1994 1996 1996 1996 1996 1996 1996 1997 1998 1998 1998 1998 1998 1999 1999 1999 1999 1999 1999 2001 2001 2000 2000 2000 2000 2001 2001 2001 2001 2002 2002
3380 3410 3439 3457 3501 3629
2002 2002 2002 2003 2003 2003 Fortsetzung
1074
25 Requests For Comments
Tab. 25.1: (Fortsetzung) Nr.
Titel
Jahr
3931 3977 4155 4251 4330 4346 4667
Layer Two Tunneling Protocol – Version 3 Network News Transfer Protocol The application/mbox Media Type The Secure Shell (SSH) Protocol Architecture Simple Network Time Protocol Version 4 The Transport Layer Security Protocol Layer 2 Virtual Private Network Extensions for Layer 2 Tunneling Protocol 4810 Long-Term Archive Service Requirements
2005 2006 2005 2006 2006 2006 2006 2007 Schluss
Tab. 25.2: For Your Information (Auswahl) Nr.
Titel
Jahr
0001 0005 0006 0008 0018 0020 0024 0028 0030 0034 0036
FYI on FYI: Introduction to the FYI Notes (RFC 1150) Choosing a name for your computer (RFC 1178) FYI on the X Window System (RFC 1198) Site Security Handbook (RFC 2196) Internet Users’ Glossary (RFC 1983) FYI on What is the Internet (RFC 1462) How to Use Anonymous FTP (RFC 1635) Netiquette Guidelines (RFC 1855) A Primer On Internet and TCP/IP Tools and Utilities (RFC 2151) Users’ Security Handbook (RFC 2504) Internet Security Glossary (RFC 2828)
1990 1991 1991 1997 1996 1993 1994 1995 1997 1999 2000
26 Debian-Gesellschaftsvertrag
Vorbemerkung Dies ist die deutsche Übersetzung von Debian’s Social Contract in der Fassung vom 26. April 2004. In Zweifelsfällen ist das englische Original maßgeblich. Es ist auf http://www.debian.org/social_contract verfügbar und steht unter Copyright ©1997 - 2006 Software in the Public Interest, Inc., Indianapolis/USA. Die vorliegende Übersetzung wurde von W ULF A LEX am 16. August 2006 unter Mitbenutzung älterer Übersetzungen angefertigt. Die Übersetzung ist nicht von Debian autorisiert.
Übersetzung Version 1.1 ratifiziert am 26. April 2004. Ersetzt Version 1.0 ratifiziert am 5.Juli 1997. Debian, der Hersteller des Debian GNU Linux Systems, hat den Debian Gesellschaftsvertrag geschaffen. Der aus den Debian Free Software Guidelines (DFSG) bestehende Teil des Vertrages, ursprünglich entworfen als ein Satz von Richtlinien, die einzuhalten wir uns verpflichten, ist von der Gemeinschaft für freie Software als Grundlage für die Definition von Open Source übernommen worden. Gesellschaftsvertrag mit der Gemeinschaft für freie Software 1. Debian wird 100% freie Software bleiben Wir veröffentlichen die Richtlinien, die wir zur Entscheidung darüber verwenden, ob ein Werk frei ist, in dem Dokument mit dem Titel The Debian Free Software Guidelines. Wir versprechen, dass das Debian-System und alle seine Teile frei gemäß diesen Richtlinien sein werden. Wir wollen Leute unterstützen, die sowohl freie als auch nicht-freie Werke für Debian schaffen oder sie nutzen. Wir wollen niemals das System von nicht-freien Teilen abhängig machen.
1076
26 Debian-Gesellschaftsvertrag
2. Unser Beitrag zur Gemeinschaft für freie Software Wenn wir neue Teile des Debian-Systems schreiben, wollen wir sie in einer Weise lizenzieren, die mit den Debian Free Software Guidelines übereinstimmt. Wir wollen das bestmögliche System erstellen, sodass freie Werke weit verbreitek und genutzt werden. Wir wollen Dinge wie Korrekturen, Verbesserungen, Benutzerwünsche an die originalen (upstream) Autoren weiterleiten, deren Werke in unser System übernommen wurden. 3. Wir wollen Probleme nicht verbergen Wir wollen unsere Fehlerdatenbank für alle Zeiten öffentlich betreiben. Fehlermeldungen, die von Anwendern online abgeschickt werden, werden unverzüglich für andere sichtbar. 4. Unsere Prioritäten sind unsere Benutzer und freie Software Wir wollen uns nach den Bedürfnissen unserer Benutzer und der Gemeinschaft für freie Software richten. Ihre Interessen stehen an erster Stelle unserer Prioritäten. Wir wollen unsere Benutzer bei ihrer Arbeit mit den verschiedensten Rechnerumgebungen unterstützen. Wir haben nichts dagegen, dass nicht-freie Werke auf DebianSystemen eingesetzt werden, und wollen auch nicht versuchen, eine Gebühr von Leuten zu erheben, die solche Werke schaffen oder benutzen. Wir wollen anderen gestatten, Distributionen zusammenzustellen, die sowohl das Debian-System als auch andere Werke enthalten, und zwar ohne dass wir irgendeine Gebühr verlangen. In Verfolgung dieser Ziele wollen wir ein vollständiges System hochwertiger Materialien ohne gesetzliche Einschränkungen zur Verfügung stellen, die einen solchen Gebrauch des Systems behindern. 5. Werke, die nicht unseren Standards für freie Software genügen Wir erkennen an, dass einige unserer Benutzer Werke einsetzen müssen, die nicht den Debian Free Software Guidelines entsprechen. Für solche Werke haben wir die Bereiche contrib und non-free in unserem Archiv eingerichtet. Die Pakete in diesen Bereichen sind nicht Teil des Debian-Systems, obwohl sie für den Einsatz in einem Debian-System vorbereitet worden sind. Wir empfehlen CD-Herstellern, die jeweiligen Lizenzbestimmungen der Pakete in diesen Bereichen zu lesen und selbst zu entscheiden, ob sie die Pakete auf ihren CDs verteilen dürfen. Obwohl die nicht-freien Werke nicht Teil der Debian-Distribution sind, unterstützen wir ihre Benutzung und bieten Infrastruktur für nicht-freie Pakete an (wie unsere Fehlerdatenbank und die Mailing-Listen).
26 Debian-Gesellschaftsvertrag
1077
Die Debian-Richtlinien für freie Software (DFSG) 1. Unbeschränkte Weitergabe Die Lizenz eines Teils von Debian darf niemand darin einschränken, die Software als Teil einer Software-Distribution zu verkaufen oder weiterzugeben, die Programme aus verschiedenen Quellen enthält. Die Lizenz darf keine Tantiemen oder sonstige Gebühren für einen solchen Verkauf fordern. 2. Quellcode Das Programm muss den Quellcode beinhalten, und die Lizenz muss die Weitergabe sowohl im Quellcode als auch in compilierter Form erlauben. 3. Abgeleitete Werke Die Lizenz muss Veränderungen und abgeleitete Werke zulassen und es erlauben, dass diese unter den gleichen Bedingungen weitergegeben werden wie die originale Software. 4. Unversehrtheit des originalen Quellcodes Die Lizenz darf die Weitergabe von verändertem Quellcode nur dann einschränken, wenn sie die Weitergabe von Patch-Dateien mit dem Quellcode erlaubt, die dazu dienen, das Programm vor seiner Herstellung zu verändern. Die Lizenz muss ausdrücklich die Weitergabe der aus dem veränderten Quellcode erzeugten Programme erlauben. Die Lizenz darf fordern, dass veränderte Programme einen anderen Namen oder eine andere Versionsnummer tragen. (Dies ist ein Kompromiss. Die DebianGruppe ermutigt alle Autoren, Veränderungen an Dateien sowohl im Quellcode als auch in Binärform nicht einzuschränken.) 5. Keine Diskriminierung von Personen oder Gruppen Die Lizenz darf keine Person oder Gruppe von Personen diskriminieren. 6. Keine Diskriminierung von Einsatzbereichen Die Lizenz darf niemand im Gebrauch des Programms in einem bestimmten Einsatzbereich einschränken. Beispielsweise darf sie nicht einschränken, dass das Programm geschäftlich oder für genetische Forschungen verwendet wird. 7. Weitergabe der Lizenz Die mit dem Programm verbundenen Rechte müssen für alle gelten, an die das Programm weitergegeben wird, ohne dass es für sie notwendig ist, eine zusätzliche Lizenz zu erwerben.
1078
26 Debian-Gesellschaftsvertrag
8. Keine spezielle Lizenz für Debian Die mit dem Programm verbundenen Rechte dürfen nicht davon abhängen, dass das Programm Teil des Debian-Systems ist. Falls das Programm aus der DebianDistribution herausgenommen und ohne Debian genutzt oder vertrieben wird, ansonsten aber im Rahmen der Programmlizenz bleibt, so sollten alle Parteien, an die das Programm weitergegeben wird, die gleichen Rechte haben, wie sie im Zusammenhang mit dem Debian-System gewährt werden. 9. Keine Auswirkungen der Lizenz auf andere Software Die Lizenz darf nicht andere Software einschränken, die zusammen mit der lizenzierten Software weitergegeben wird. Beispielsweise darf die Lizenz nicht vorschreiben, dass alle anderen Programme auf demselben Medium freie Software sein müssen. 10. Beispiellizenzen Die GPL-, BSD- und Artistic-Lizenzen sind Beispiele für Lizenzen, die wir als frei betrachten. Ende der Übersetzung
27 GNU General Public License
Vorbemerkungen Zur Zeit ist Version 2 der GNU GPL gültig, Version 3 wird diskutiert, siehe http://gplv3.fsf.org/. Das englische Original liegt unter http://www. gnu.org/licenses/gpl.html. Die deutsche Übersetzung wurde von http: //www.gnu.de/gpl-ger.html geholt; sie stammt von K ATJA L ACHMANN und wurde durch P ETER G ERWINSKI im Jahr 2000 überarbeitet. Die Begriffe Gewährleistung, Garantie und Haftung werden in der Übersetzung nicht unterschieden. W ULF A LEX hat die Übersetzung von HTML nach LATEX überführt und dabei kleinere, offensichtliche Fehler berichtigt. Nun der Disclaimer der FSF: This is an unofficial translation of the GNU General Public License into German. It was not published by the Free Software Foundation, and does not legally state the distribution terms for software that uses the GNU GPL – only the original English text of the GNU GPL does that. However, we hope that this translation will help German speakers understand the GNU GPL better. Dies ist eine inoffizielle Übersetzung der GNU General Public License ins Deutsche. Sie wurde nicht von der Free Software Foundation veröffentlicht und legt nicht im gesetzlichen Sinn die Bedingungen für die Weitergabe von Software fest, die unter der GNU GPL steht – nur der originale englische Text der GNU GPL ist hierfür maßgeblich. Wir hoffen jedoch, dass diese Übersetzung deutschsprachigen Lesern hilft, die GNU GPL besser zu verstehen.
Übersetzung Deutsche Übersetzung der Version 2, Juni 1991 Copyright ©1989, 1991 Free Software Foundation, Inc. 51 Franklin St, Fifth Floor, Boston, MA 02110, USA
1080
27 GNU General Public License
Es ist jedermann gestattet, diese Lizenzurkunde zu vervielfältigen und unveränderte Kopien zu verbreiten; Änderungen sind jedoch nicht erlaubt. Diese Übersetzung ist kein rechtskräftiger Ersatz für die englischsprachige Originalversion! Vorwort Die meisten Softwarelizenzen sind daraufhin entworfen worden, Ihnen die Freiheit zu nehmen, die Software weiterzugeben und zu verändern. Im Gegensatz dazu soll Ihnen die GNU General Public License, die Allgemeine Öffentliche GNU-Lizenz, ebendiese Freiheit garantieren. Sie soll sicherstellen, dass die Software für alle Benutzer frei ist. Diese Lizenz gilt für den Großteil der von der Free Software Foundation herausgegebenen Software und für alle anderen Programme, deren Autoren ihr Datenwerk dieser Lizenz unterstellt haben. Auch Sie können diese Möglichkeit der Lizenzierung für Ihre Programme anwenden. (Ein anderer Teil der Software der Free Software Foundation unterliegt stattdessen der GNU Library General Public License, der Allgemeinen Öffentlichen GNU-Lizenz für Bibliotheken1 . Die Bezeichnung freie Software bezieht sich auf Freiheit, nicht auf den Preis. Unsere Lizenzen sollen Ihnen die Freiheit garantieren, Kopien freier Software zu verbreiten (und etwas für diesen Service zu berechnen, wenn Sie möchten), die Möglichkeit, die Software im Quelltext zu erhalten oder den Quelltext auf Wunsch zu bekommen. Die Lizenzen sollen garantieren, dass Sie die Software ändern oder Teile davon in neuen freien Programmen verwenden dürfen – und dass Sie wissen, dass Sie dies alles tun dürfen. Um Ihre Rechte zu schützen, müssen wir Einschränkungen machen, die es jedem verbieten, Ihnen diese Rechte zu verweigern oder Sie aufzufordern, auf diese Rechte zu verzichten. Aus diesen Einschränkungen folgen bestimmte Verantwortlichkeiten für Sie, wenn Sie Kopien der Software verbreiten oder sie verändern. Beispielsweise müssen Sie den Empfängern alle Rechte gewähren, die Sie selbst haben, wenn Sie – kostenlos oder gegen Bezahlung – Kopien eines solchen Programms verbreiten. Sie müssen sicherstellen, dass auch die Empfänger den Quelltext erhalten bzw. erhalten können. Und Sie müssen ihnen diese Bedingungen zeigen, damit sie ihre Rechte kennen. Wir schützen Ihre Rechte in zwei Schritten: (1) Wir stellen die Software unter ein Urheberrecht (Copyright), und (2) wir bieten Ihnen diese Lizenz an, die Ihnen das Recht gibt, die Software zu vervielfältigen, zu verbreiten und/oder zu verändern. Um die Autoren und uns zu schützen, wollen wir darüber hinaus sicherstellen, dass jeder erfährt, dass für diese freie Software keinerlei Garantie besteht. Wenn die Software von jemand anderem modifiziert und weitergegeben wird, möchten wir, dass die Empfänger wissen, dass sie nicht das Original erhalten haben, damit irgendwelche von anderen verursachte Probleme nicht den Ruf des ursprünglichen Autors schädigen. 1
Mittlerweile wurde die GNU Library Public License von der GNU Lesser Public License abgelöst – Anmerkung des Übersetzers.
27 GNU General Public License
1081
Schließlich und endlich ist jedes freie Programm permanent durch SoftwarePatente bedroht. Wir möchten die Gefahr ausschließen, dass Distributoren eines freien Programms individuell Patente lizenzieren – mit dem Ergebnis, dass das Programm proprietär würde. Um dies zu verhindern, haben wir klargestellt, dass jedes Patent entweder für freie Benutzung durch jedermann lizenziert werden muss oder überhaupt nicht lizenziert werden darf. Es folgen die genauen Bedingungen für die Vervielfältigung, Verbreitung und Bearbeitung: Allgemeine Öffentliche GNU-Lizenz, Bedingungen für die Vervielfältigung, Verbreitung und Bearbeitung Paragraph 0 Diese Lizenz gilt für jedes Programm und jedes andere Datenwerk, in dem ein entsprechender Vermerk des Copyright-Inhabers darauf hinweist, dass das Datenwerk unter den Bestimmungen dieser General Public License verbreitet werden darf. Im folgenden wird jedes derartige Programm oder Datenwerk als das Programm bezeichnet; die Formulierung auf dem Programm basierendes Datenwerk bezeichnet das Programm sowie jegliche Bearbeitung des Programms im urheberrechtlichen Sinne, also ein Datenwerk, welches das Programm, auch auszugsweise, sei es unverändert oder verändert und/oder in eine andere Sprache übersetzt, enthält. (Im Folgenden wird die Übersetzung ohne Einschränkung als Bearbeitung eingestuft.) Jeder Lizenznehmer wird im folgenden als Sie angesprochen. Andere Handlungen als Vervielfältigung, Verbreitung und Bearbeitung werden von dieser Lizenz nicht berührt; sie fallen nicht in ihren Anwendungsbereich. Der Vorgang der Ausführung des Programms wird nicht eingeschränkt, und die Ausgaben des Programms unterliegen dieser Lizenz nur, wenn der Inhalt ein auf dem Programm basierendes Datenwerk darstellt (unabhängig davon, dass die Ausgabe durch die Ausführung des Programmes erfolgte). Ob dies zutrifft, hängt von den Funktionen des Programms ab. Paragraph 1 Sie dürfen auf beliebigen Medien unveränderte Kopien des Quelltextes des Programms, wie sie ihn erhalten haben, anfertigen und verbreiten. Voraussetzung hierfür ist, dass Sie mit jeder Kopie einen entsprechenden Copyright-Vermerk sowie einen Haftungsausschluss veröffentlichen, alle Vermerke, die sich auf diese Lizenz und das Fehlen einer Garantie beziehen, unverändert lassen und des Weiteren allen anderen Empfängern des Programms zusammen mit dem Programm eine Kopie dieser Lizenz zukommen lassen. Sie dürfen für den eigentlichen Kopiervorgang eine Gebühr verlangen. Wenn Sie es wünschen, dürfen Sie auch gegen Entgelt eine Garantie für das Programm anbieten.
1082
27 GNU General Public License
Paragraph 2 Sie dürfen Ihre Kopie(n) des Programms oder eines Teils davon verändern, wodurch ein auf dem Programm basierendes Datenwerk entsteht; Sie dürfen derartige Bearbeitungen unter den Bestimmungen von Paragraph 1 vervielfältigen und verbreiten, vorausgesetzt, dass zusätzlich alle im Folgenden genannten Bedingungen erfüllt werden: 1. Sie müssen die veränderten Dateien mit einem auffälligen Vermerk versehen, der auf die von Ihnen vorgenommene Modifizierung und das Datum jeder Änderung hinweist. 2. Sie müssen dafür sorgen, dass jede von Ihnen verbreitete oder veröffentlichte Arbeit, die ganz oder teilweise von dem Programm oder Teilen davon abgeleitet ist, Dritten gegenüber als Ganzes unter den Bedingungen dieser Lizenz ohne Lizenzgebühren zur Verfügung gestellt wird. 3. Wenn das veränderte Programm normalerweise bei der Ausführung interaktiv Kommandos einliest, müssen Sie dafür sorgen, dass es, wenn es auf dem üblichsten Wege für solche interaktive Nutzung gestartet wird, eine Meldung ausgibt oder ausdruckt, die einen geeigneten Copyright-Vermerk enthält sowie einen Hinweis, dass es keine Gewährleistung gibt (oder anderenfalls, dass Sie Garantie leisten), und dass die Benutzer das Programm unter diesen Bedingungen weiter verbreiten dürfen. Auch muss der Benutzer darauf hingewiesen werden, wie er eine Kopie dieser Lizenz ansehen kann. (Ausnahme: Wenn das Programm selbst interaktiv arbeitet, aber normalerweise keine derartige Meldung ausgibt, muss Ihr auf dem Programm basierendes Datenwerk auch keine solche Meldung ausgeben). Diese Anforderungen gelten für das bearbeitete Datenwerk als Ganzes. Wenn identifizierbare Teile des Datenwerkes nicht von dem Programm abgeleitet sind und vernünftigerweise als unabhängige und eigenständige Datenwerke für sich selbst zu betrachten sind, dann gelten diese Lizenz und ihre Bedingungen nicht für die betroffenen Teile, wenn Sie diese als eigenständige Datenwerke weitergeben. Wenn Sie jedoch dieselben Abschnitte als Teil eines Ganzen weitergeben, das ein auf dem Programm basierendes Datenwerk darstellt, dann muss die Weitergabe des Ganzen nach den Bedingungen dieser Lizenz erfolgen, deren Bedingungen für weitere Lizenznehmer somit auf das gesamte Ganze ausgedehnt werden – und somit auf jeden einzelnen Teil, unabhängig vom jeweiligen Autor. Somit ist es nicht die Absicht dieses Abschnittes, Rechte für Datenwerke in Anspruch zu nehmen oder Ihnen die Rechte für Datenwerke streitig zu machen, die komplett von Ihnen geschrieben wurden; vielmehr ist es die Absicht, die Rechte zur Kontrolle der Verbreitung von Datenwerken, die auf dem Programm basieren oder unter seiner auszugsweisen Verwendung zusammengestellt worden sind, auszuüben. Ferner bringt auch das einfache Zusammenlegen eines anderen Datenwerkes, das nicht auf dem Programm basiert, mit dem Programm oder einem auf dem Programm basierenden Datenwerk auf ein- und demselben Speicher- oder Vertriebsmedium dieses andere Datenwerk nicht in den Anwendungsbereich dieser Lizenz.
27 GNU General Public License
1083
Paragraph 3 Sie dürfen das Programm (oder ein darauf basierendes Datenwerk gemäß Paragraph 2) als Objectcode oder in ausführbarer Form unter den Bedingungen der Paragraphen 1 und 2 kopieren und weitergeben – vorausgesetzt, dass Sie außerdem eine der folgenden Leistungen erbringen: 1. Liefern Sie das Programm zusammen mit dem vollständigen zugehörigen maschinenlesbaren Quelltext auf einem für den Datenaustausch üblichen Medium aus, wobei die Verteilung unter den Bedingungen der Paragraphen 1 und 2 erfolgen muss. Oder: 2. Liefern Sie das Programm zusammen mit einem mindestens drei Jahre lang gültigen schriftlichen Angebot aus, jedem Dritten eine vollständige maschinenlesbare Kopie des Quelltextes zur Verfügung zu stellen – zu nicht höheren Kosten als denen, die durch den physikalischen Kopiervorgang anfallen – wobei der Quelltext unter den Bedingungen der Paragraphen 1 und 2 auf einem für den Datenaustausch üblichen Medium weitergegeben wird. Oder: 3. Liefern Sie das Programm zusammen mit dem schriftlichen Angebot der Zurverfügungstellung des Quelltextes aus, das Sie selbst erhalten haben. (Diese Alternative ist nur für nicht-kommerzielle Verbreitung zulässig und nur, wenn Sie das Programm als Objectcode oder in ausführbarer Form mit einem entsprechenden Angebot gemäß Ziffer 2 erhalten haben.) Unter dem Quelltext eines Datenwerkes wird diejenige Form des Datenwerkes verstanden, die für Bearbeitungen vorzugsweise verwendet wird. Für ein ausführbares Programm bedeutet der komplette Quelltext: Der Quelltext aller im Programm enthaltenen Module einschließlich aller zugehörigen ModulschnittstellenDefinitionsdateien sowie der zur Compilation und Installation verwendeten Skripte. Als besondere Ausnahme jedoch braucht der verteilte Quelltext nichts von dem zu enthalten, was üblicherweise (entweder als Quelltext oder in binärer Form) zusammen mit den Hauptkomponenten des Betriebssystems (Kernel, Compiler usw.) geliefert wird, unter dem das Programm läuft – es sei denn, diese Komponente selbst gehört zum ausführbaren Programm. Wenn die Verbreitung eines ausführbaren Programms oder von Objectcode dadurch erfolgt, dass der Kopierzugriff auf eine dafür vorgesehene Stelle gewährt wird, so gilt die Gewährung eines gleichwertigen Zugriffs auf den Quelltext als Verbreitung des Quelltextes, auch wenn Dritte nicht dazu gezwungen sind, den Quelltext zusammen mit dem Objectcode zu kopieren. Paragraph 4 Sie dürfen das Programm nicht vervielfältigen, verändern, weiter lizenzieren oder verbreiten, sofern es nicht durch diese Lizenz ausdrücklich gestattet ist. Jeder anderweitige Versuch der Vervielfältigung, Modifizierung, Weiterlizenzierung und Verbreitung ist nichtig und beendet automatisch Ihre Rechte unter dieser Lizenz. Jedoch werden die Lizenzen Dritter, die von Ihnen Kopien oder Rechte unter dieser Lizenz
1084
27 GNU General Public License
erhalten haben, nicht beendet, solange diese die Lizenz voll anerkennen und befolgen. Paragraph 5 Sie sind nicht verpflichtet, diese Lizenz anzunehmen, da Sie sie nicht unterzeichnet haben. Jedoch gibt Ihnen nichts anderes die Erlaubnis, das Programm oder von ihm abgeleitete Datenwerke zu verändern oder zu verbreiten. Diese Handlungen sind gesetzlich verboten, wenn Sie diese Lizenz nicht anerkennen. Indem Sie das Programm (oder ein darauf basierendes Datenwerk) verändern oder verbreiten, erklären Sie Ihr Einverständnis mit dieser Lizenz und mit allen ihren Bedingungen bezüglich der Vervielfältigung, Verbreitung und Veränderung des Programms oder eines darauf basierenden Datenwerks. Paragraph 6 Jedesmal, wenn Sie das Programm (oder ein auf dem Programm basierendes Datenwerk) weitergeben, erhält der Empfänger automatisch vom ursprünglichen Lizenzgeber die Lizenz, das Programm entsprechend den hier festgelegten Bestimmungen zu vervielfältigen, zu verbreiten und zu verändern. Sie dürfen keine weiteren Einschränkungen der Durchsetzung der hierin zugestandenen Rechte des Empfängers vornehmen. Sie sind nicht dafür verantwortlich, die Einhaltung dieser Lizenz durch Dritte durchzusetzen. Paragraph 7 Sollten Ihnen infolge eines Gerichtsurteils, des Vorwurfs einer Patentverletzung oder aus einem anderen Grunde (nicht auf Patentfragen begrenzt) Bedingungen (durch Gerichtsbeschluss, Vergleich oder anderweitig) auferlegt werden, die den Bedingungen dieser Lizenz widersprechen, so befreien Sie diese Umstände nicht von den Bestimmungen dieser Lizenz. Wenn es Ihnen nicht möglich ist, das Programm unter gleichzeitiger Beachtung der Bedingungen in dieser Lizenz und Ihrer anderweitigen Verpflichtungen zu verbreiten, dann dürfen Sie als Folge das Programm überhaupt nicht verbreiten. Wenn zum Beispiel ein Patent nicht die gebührenfreie Weiterverbreitung des Programms durch diejenigen erlaubt, die das Programm direkt oder indirekt von Ihnen erhalten haben, dann besteht der einzige Weg, sowohl das Patentrecht als auch diese Lizenz zu befolgen, darin, ganz auf die Verbreitung des Programms zu verzichten. Sollte sich ein Teil dieses Paragraphen als ungültig oder unter bestimmten Umständen nicht durchsetzbar erweisen, so soll dieser Paragraph seinem Sinne nach angewandt werden; im Übrigen soll dieser Paragraph als Ganzes gelten. Zweck dieses Paragraphen ist nicht, Sie dazu zu bringen, irgendwelche Patente oder andere Eigentumsansprüche zu verletzen oder die Gültigkeit solcher Ansprüche zu bestreiten; dieser Paragraph hat einzig den Zweck, die Integrität des Verbreitungssystems der freien Software zu schützen, das durch die Praxis öffentlicher Lizenzen
27 GNU General Public License
1085
verwirklicht wird. Viele Leute haben großzügige Beiträge zu dem großen Angebot der mit diesem System verbreiteten Software im Vertrauen auf die konsistente Anwendung dieses Systems geleistet; es liegt am Autor/Geber, zu entscheiden, ob er die Software mittels irgendeines anderen Systems verbreiten will; ein Lizenznehmer hat auf diese Entscheidung keinen Einfluss. Dieser Paragraph ist dazu gedacht, deutlich klarzustellen, was als Konsequenz aus dem Rest dieser Lizenz betrachtet wird. Paragraph 8 Wenn die Verbreitung und/oder die Benutzung des Programms in bestimmten Staaten entweder durch Patente oder durch urheberrechtlich geschützte Schnittstellen eingeschränkt ist, kann der Urheberrechtsinhaber, der das Programm unter diese Lizenz gestellt hat, eine explizite geographische Begrenzung der Verbreitung angeben, in der diese Staaten ausgeschlossen werden, sodass die Verbreitung nur innerhalb und zwischen den Staaten erlaubt ist, die nicht ausgeschlossen sind. In einem solchen Fall beinhaltet diese Lizenz die Beschränkung, als wäre sie in diesem Text niedergeschrieben. Paragraph 9 Die Free Software Foundation kann von Zeit zu Zeit überarbeitete und/oder neue Versionen der General Public License veröffentlichen. Solche neuen Versionen werden vom Grundprinzip her der gegenwärtigen entsprechen, können aber im Detail abweichen, um neuen Problemen und Anforderungen gerecht zu werden. Jede Version dieser Lizenz hat eine eindeutige Versionsnummer. Wenn in einem Programm angegeben wird, dass es dieser Lizenz in einer bestimmten Versionsnummer oder jeder späteren Version (any later version) unterliegt, so haben Sie die Wahl, entweder den Bestimmungen der genannten Version zu folgen oder denen jeder beliebigen späteren Version, die von der Free Software Foundation veröffentlicht wurde. Wenn das Programm keine Versionsnummer angibt, können Sie eine beliebige Version wählen, die je von der Free Software Foundation veröffentlicht wurde. Paragraph 10 Wenn Sie den Wunsch haben, Teile des Programms in anderen freien Programmen zu verwenden, deren Bedingungen für die Verbreitung anders sind, schreiben Sie an den Autor, um ihn um die Erlaubnis zu bitten. Für Software, die unter dem Copyright der Free Software Foundation steht, schreiben Sie an die Free Software Foundation; wir machen zu diesem Zweck gelegentlich Ausnahmen. Unsere Entscheidung wird von den beiden Zielen geleitet werden, zum einen den freien Status aller von unserer freien Software abgeleiteten Datenwerke zu erhalten und zum anderen das gemeinschaftliche Nutzen und Wiederverwenden von Software im Allgemeinen zu fördern.
1086
27 GNU General Public License
Keine Gewährleistung Paragraph 11 Da das Programm ohne jegliche Kosten lizenziert wird, besteht keinerlei Gewährleistung für das Programm, soweit dies gesetzlich zulässig ist. Sofern nicht anderweitig schriftlich bestätigt, stellen die Copyright-Inhaber und/oder Dritte das Programm so zur Verfügung, wie es ist, ohne irgendeine Gewährleistung, weder ausdrücklich noch implizit, einschließlich – aber nicht begrenzt auf – Marktreife oder Verwendbarkeit für einen bestimmten Zweck. Das volle Risiko bezüglich Qualität und Leistungsfähigkeit des Programms liegt bei Ihnen. Sollte sich das Programm als fehlerhaft herausstellen, liegen die Kosten für notwendigen Service, Reparatur oder Korrektur bei Ihnen. Paragraph 12 In keinem Fall, außer wenn durch geltendes Recht gefordert oder schriftlich zugesichert, ist irgendein Copyright-Inhaber oder irgendein Dritter, der das Programm wie oben erlaubt modifiziert oder verbreitet hat, Ihnen gegenüber für irgendwelche Schäden haftbar, einschließlich jeglicher allgemeiner oder spezieller Schäden, Schäden durch Seiteneffekte (Nebenwirkungen) oder Folgeschäden, die aus der Benutzung des Programms oder der Unbenutzbarkeit des Programms folgen (einschließlich – aber nicht beschränkt auf – Datenverluste, fehlerhafte Verarbeitung von Daten, Verluste, die von Ihnen oder anderen getragen werden müssen, oder dem Unvermögen des Programms, mit irgendeinem anderen Programm zusammenzuarbeiten), selbst wenn ein Copyright-Inhaber oder Dritter über die Möglichkeit solcher Schäden unterrichtet worden war. Ende der Bedingungen
Anhang: Wie Sie diese Bedingungen auf Ihre eigenen neuen Programme anwenden können Wenn Sie ein neues Programm entwickeln und wollen, dass es vom größtmöglichen Nutzen für die Allgemeinheit ist, dann erreichen Sie das am besten, indem Sie es zu freier Software machen, die jeder unter diesen Bestimmungen weiterverbreiten und verändern kann. Um dies zu erreichen, fügen Sie die folgenden Vermerke zu Ihrem Programm hinzu. Am sichersten ist es, sie an den Anfang einer jeden Quelldatei zu stellen, um den Gewährleistungsausschluss möglichst deutlich darzustellen; zumindest aber sollte jede Datei eine Copyright-Zeile besitzen sowie einen kurzen Hinweis darauf, wo die vollständigen Vermerke zu finden sind. [eine Zeile mit dem Programmnamen und einer kurzen Beschreibung] Copyright (C) [Jahr] [Name des Autors]
27 GNU General Public License
1087
This program is free software; you can redistribute it and/or modify it under the terms of the GNU General Public License as published by the Free Software Foundation; either version 2 of the License, or (at your option) any later version. This program is distributed in the hope that it will be useful, but WITHOUT ANY WARRANTY; without even the implied warranty of MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE. See the GNU General Public License for more details. You should have received a copy of the GNU General Public License along with this program; if not, write to the Free Software Foundation, Inc., 51 Franklin St, Fifth Floor, Boston, MA 02110, USA Auf Deutsch: [eine Zeile mit dem Programmnamen und einer kurzen Beschreibung] Copyright (C) [Jahr] [Name des Autors] Dieses Programm ist freie Software. Sie können es unter den Bedingungen der GNU General Public License, wie von der Free Software Foundation veröffentlicht, weitergeben und/oder modifizieren, entweder gemäß Version 2 der Lizenz oder (nach Ihrer Option) jeder späteren Version. Die Veröffentlichung dieses Programms erfolgt in der Hoffnung, dass es Ihnen von Nutzen sein wird, aber OHNE IRGENDEINE GARANTIE, sogar ohne die implizite Garantie der MARKTREIFE oder der VERWENDBARKEIT FÜR EINEN BESTIMMTEN ZWECK. Details finden Sie in der GNU General Public License. Sie sollten ein Exemplar der GNU General Public License zusammen mit diesem Programm erhalten haben. Falls nicht, schreiben Sie an die Free Software Foundation, Inc., 51 Franklin St, Fifth Floor, Boston, MA 02110, USA. Fügen Sie auch einen kurzen Hinweis hinzu, wie Sie elektronisch und per Brief erreichbar sind. Wenn Ihr Programm interaktiv ist, sorgen Sie dafür, dass es nach dem Start einen kurzen Vermerk ausgibt: Version 69, Copyright (C) [Jahr] [Name des Autors] Gnomovision comes with ABSOLUTELY NO WARRANTY; for details type ‘show w’. This is free software, and
1088
27 GNU General Public License
you are welcome to redistribute it under certain conditions; type ‘show c’ for details. Auf Deutsch: Version 69, Copyright (C) [Jahr] [Name des Autors] Für Gnomovision besteht KEINERLEI GARANTIE; geben Sie ‘show w’ für Details ein. Gnonovision ist freie Software, die Sie unter bestimmten Bedingungen weitergeben dürfen; geben Sie ‘show c’ für Details ein. Die hypothetischen Kommandos show w und show c sollten die entsprechenden Teile der GNU-GPL anzeigen. Natürlich können die von Ihnen verwendeten Kommandos anders heißen als show w und show c; es könnten auch Mausklicks oder Menüpunkte sein – was immer am besten in Ihr Programm passt. Soweit vorhanden, sollten Sie auch Ihren Arbeitgeber (wenn Sie als Programmierer arbeiten) oder Ihre Schule einen Copyright-Verzicht für das Programm unterschreiben lassen. Hier ein Beispiel. Die Namen müssen Sie natürlich ändern. Yoyodyne, Inc., hereby disclaims all copyright interest in the program "Gnomovision"(which makes passes at compilers) written by James Hacker. [Unterschrift von Ty Coon], [Datum] Ty Coon, President of Vice Auf Deutsch: Die Yoyodyne GmbH erhebt keinen urheberrechtlichen Anspruch auf das von James Hacker geschriebene Programm "Gnomovision"(einem Schrittmacher für Compiler). [Unterschrift von Ty Coon], [Datum] Ty Coon, Vizepräsident Diese General Public License gestattet nicht die Einbindung des Programms in proprietäre Programme. Ist Ihr Programm eine Funktionsbibliothek, so kann es sinnvoller sein, das Binden proprietärer Programme mit dieser Bibliothek zu gestatten. Wenn Sie dies tun wollen, sollten Sie die GNU Library General Public License anstelle dieser Lizenz verwenden. Ende der Übersetzung
GNU Lesser General Public License Die GNU Lesser General Public License (GNU LGPL) ist der Nachfolger der GNU Library General Public License. Sie ist für besondere Softwarepakete – typischerweise Bibliotheken – der Free Software Foundation und anderer Autoren gedacht,
27 GNU General Public License
1089
um zu ermöglichen, dass nicht-freie Software statisch oder dynamisch mit freien Softwarepaketen verlinkt wird, ohne dass die nicht-freie Software dadurch unter die Bedingungen der GPL gerät. An dieser laxeren Auslegung der Prinzipien der GPL besteht manchmal ein allgemeines Interesse, beispielsweise um die Verbreitung von Standards zu fördern. Es gibt weitere Fälle. Wegen ihrer geringeren Bedeutung verzichten wir auf die Wiedergabe einer Übersetzung. Das englische Original liegt unter http://www.gnu.org/ licenses/lgpl.html, eine inoffizielle deutsche Übersetzung unter http: //www.gnu.de/lgpl-ger.html.
28 GNU Free Documentation License
Vorbemerkungen Die GNU Free Documentation License (GNU FDL) ersetzt die GNU General Public License, wenn es um Texte und Bilder geht. Das englische Original liegt unter http://www.gnu.org/licenses/fdl.html. Die deutsche Übersetzung wurde von http://www.giese-online.de/gnufdl-de.html geholt. Die Begriffe Gewährleistung, Garantie und Haftung werden in der Übersetzung nicht unterschieden. W ULF A LEX hat die Übersetzung von HTML nach LATEX überführt und dabei kleinere, offensichtliche Fehler berichtigt. Nun der Disclaimer der FSF: This is an unofficial translation of the GNU Free Documentation License into German. It was not published by the Free Software Foundation, and does not legally state the distribution terms for documentation that uses the GNU FDL – only the original English text of the GNU FDL does that. However, we hope that this translation will help German speakers understand the GNU FDL better. Dies ist eine inoffizielle deutsche Übersetzung der GNU Free Documentation License. Sie ist nicht von der Free Software Foundation herausgegeben und erläutert nicht die Bedingungen der GNU FDL – Dies tut nur der originale englische Text der GNU FDL. Dennoch hoffen wir, dass diese Übersetzung mit dazu beiträgt, deutschsprachigen Personen das Verstehen der GNU FDL zu erleichtern.
Übersetzung Präambel Der Zweck dieser Lizenz ist es, ein Handbuch, Lehrbuch oder ein anderes zweckdienliches und nützliches Dokument frei, im Sinne von Freiheit, zu machen; jedermann die Freiheit zu sichern, es zu kopieren und mit oder ohne Änderungen daran, sowohl kommerziell als auch nicht kommerziell weiter zu verbreiten.
28 GNU Free Documentation License
1091
Weiterhin sichert diese Lizenz einem Autor oder Verleger die Möglichkeit, Anerkennung für seine Arbeit zu erhalten, ohne für Änderungen durch Andere verantwortlich gemacht zu werden. Diese Lizenz ist eine Art des copyleft, was bedeutet, dass von diesem Dokument abgeleitete Werke ihrerseits in derselben Weise frei sein müssen. Dies vervollständigt die GNU General Public License, die eine copyleftLizenz ist, und für freie Software entworfen wurde. Diese Lizenz wurde für Handbücher für freie Software entworfen, denn freie Software braucht freie Dokumentation: Ein freies Programm sollte von Handbüchern begleitet sein, die dieselben Freiheiten bieten, die auch die Software selbst bietet. Diese Lizenz ist aber nicht auf Softwarehandbücher beschränkt; vielmehr kann sie für jede Art von textuellen Werken verwendet werden, unabhängig davon, was das Thema ist, oder ob es als gedrucktes Buch veröffentlicht wurde. Wir empfehlen diese Lizenz prinzipiell für Werke, die als Anleitungen oder Referenzen dienen sollen. 1. Anwendbarkeit und Definitionen Diese Lizenz findet Anwendung auf jedes Handbuch oder andere Werk, unabhängig von dem Medium, auf dem es erscheint, das einen vom Rechteinhaber eingefügten Hinweis enthält, der besagt, dass das Werk unter den Bedingungen dieser Lizenz verbreitet werden darf. Ein solcher Hinweis gewährt eine weltweit gültige, tantiemenfreie und zeitlich unbefristete Lizenz, die es gestattet das Werk unter den hier festgelegten Bedingungen zu nutzen. Der Begriff Dokument wird im Folgenden für alle solche Handbücher und Werke verwendet. Jede Person kann Lizenznehmer sein und wird im Folgenden mit Sie angesprochen. Sie akzeptieren diese Lizenz, wenn Sie ein Dokument derart kopieren, verändern oder verteilen, dass Sie gemäß den Gesetzen zum Copyright die Erlaubnis benötigen. Eine modifizierte Version des Dokumentes steht für jedes Werk, das das Dokument als Ganzes oder in Teilen enthält, sowohl auf Datenträger kopiert, als auch mit Änderungen und/oder in andere Sprachen übersetzt. Ein zweitrangiger Abschnitt ist ein benannter Anhang oder eine Enleitung des Dokumentes, der sich ausschließlich mit dem Verhältnis des Autors oder Verlegers des Dokumentes zu dem eigentlichen Thema des Dokumentes (oder damit zusammenhängender Dinge) beschäftigt, und der nichts enthält, das direkt zu dem eigentlichen Thema gehört. (Wenn das Dokument beispielweise ein Buch über Mathematik ist, dann darf ein zweitrangiger Abschnitt nichts über Mathematik enthalten). Dies kann eine historische Beziehung zu dem Thema, oder damit zusammenhängender Dinge, oder von gesetzlicher, gesellschaftlicher, philosophischer, ethischer oder politischer Art sein, die das Thema betreffen. Die unveränderlichen Abschnitte sind benannte zweitrangige Abschnitte, deren Titel als unveränderlicher Abschnitt in dem Lizenhinweis, der das Dokument unter diese Lizenz stellt, aufgeführt sind. Wenn ein Abschnitt nicht in die oben stehende Definition eines zweitrangigen Abschnittes passt, dann ist es nicht erlaubt, diesen Bereich als unveränderlichen Bereich zu kennzeichnen.
1092
28 GNU Free Documentation License
Umschlagtexte sind bestimmte kurze Textstücke, die als vorderer Umschlagtext oder als hinterer Umschlagtext in der Notiz benannt werden, die besagt, dass das Dokument unter dieser Lizenz freigegeben ist. Ein vorderer Umschlagtext kann bis zu 5 Wörter enthalten, ein hinterer Umschlagtext bis zu 25 Wörter. Eine transparente Kopie des Dokumentes bezeichnet eine maschinenlesbare Kopie, dargestellt in einem Format, dessen Spezifikationen allgemein verfügbar sind, und das geeignet ist, das Dokument auf einfache Weise mit einem allgemeinen Texteditor oder (für Bilder, die aus Pixeln bestehen) mit einem allgemeinen Bildbearbeitungsprogramm oder (für Zeichnungen) mit einem häufig verfügbaren Zeichenprogramm zu überarbeiten, und das geeignet ist, es als Eingabe für Textformatierer zu verwenden, oder als Eingabe für automatische Konvertierungsprogramme, die eine Reihe von unterschiedlichen Formaten erzeugen, die ihrerseits als Eingabe für Textformatierer verwendet werden können. Eine Kopie in ein anderes transparentes Dateiformat, dessen Auszeichnung oder das Fehlen der Auszeichnungen derart beschaffen ist, nachfolgende Modifikationen durch die Leser zu verhindern oder zu erschweren, ist nicht transparent. Ein Bildformat ist nicht transparent, wenn es für eine wesentliche Menge von Text verwendet wird. Eine Kopie, die nicht transparent ist, wird als opak bezeichnet. Beispiele verwendbarer Formate für transparente Kopien schliessen einfachen ASCII-Text ohne Auszeichnungen, TeX-info Eingabe, LATEX-Eingabeformat, SGML oder XML, sofern die verwendete DTD öffentlich verfügbar ist, sowie standardkonformes, einfaches HTML, Postscript oder PDF, die für Veränderungen durch Menschen entworfen sind, ein. Beispiele für transparente Bildformate sind u.a. PNG, XCF und JPG. Opake Formate sind unter anderen solche proprietären Formate, die nur von proprietären Textverarbeitungsprogramm gelesen und bearbeitet werden können, SGML oder XML, deren DTD und/oder Verarbeitungswerkzeuge nicht allgemein verfügbar sind, und maschinengeneriertes HTML, PostScript oder PDF, das von manchen Textverarbeitungsprogrammen nur zu Ausgabezwecken erzeugt wird. Mit Titelseite wird in einem gedruckten Buch die eigentliche Titelseite sowie die direkt darauf folgenden Seiten bezeichnet, die all das in lesbarer Form enthalten, von dem in dieser Lizenz gefordert ist, dass es auf der Titelseite erscheinen muss. Für Werke, die in Formaten vorliegen, die keine Titelseiten haben, gilt als Titelseite der Text, der der auffälligsten Darstellung des Titels des Werkes direkt folgt, aber noch vor dem Inhalt des Werkes steht. Ein Abschnitt mit dem Titel xyz bezeichnet einen benannten Unterbereich des Dokumentes, dessen Titel entweder genau xyz ist oder der xyz in Anführungszeichen enthält, der einem Text folgt, der xyz in eine andere Sprache übersetzt. (Hier steht xyz für einen speziellen Abschnittsnamen, der im Folgenden erwähnt wird wie Danksagung (Acknowledgements), Widmung (Dedications), Anmerkung (Endorsement) oder Historie (History).). Den Titel erhalten eines Abschnittes bedeutet, dass beim Modifizieren des Dokumentes dieser Abschnitt mit dem Titel xyz bleibt, wie es in dieser Definition festgelegt ist. Das Dokument kann direkt hinter der Notiz, die besagt, dass das Dokument unter dieser Lizenz freigegeben ist, Garantieausschlüsse enthalten. Diese Garantieaus-
28 GNU Free Documentation License
1093
schlüsse werden so behandelt, als seien sie als Referenzen in diese Lizenz eingeschlossen, allerdings nur um Garantien auszuschliessen: Jede andere Implizierung, die dieser Ausschluss hat, ist ungültig und hat keine Wirkung im Sinne dieser Lizenz. 2. Datenträgerkopien Sie dürfen das Dokument auf jedem Medium sowohl kommerziell als auch nicht kommerziell kopieren und verbreiten, vorausgesetzt, dass diese Lizenz, die Copyright-Hinweise sowie der Lizenzhinweis, der besagt, dass diese Lizenz auf das Dokument anzuwenden ist, in allen Kopien reproduziert wird, und dass keine weiteren Bedingungen jeglicher Art zu denen dieser Lizenz hinzugefügt werden. Sie dürfen in den Kopien, die Sie erstellen oder verbreiten, keinerlei technische Maßnahmen treffen, um das Lesen oder das weitere Kopieren zu erschweren oder zu kontrollieren. Dennoch dürfen Sie Gegenleistungen für Kopien akzeptieren. Wenn Sie eine ausreichend große Menge von Kopien verteilen, müssen Sie zusätzlich die Bestimmungen von Ziffer 3 beachten. Sie können außerdem unter denselben Bedingungen, die oben angeführt sind, Kopien verleihen, und sie können Kopien auch öffentlich bewerben. 3. Kopien in Stückzahlen Wenn Sie gedruckte Kopien des Dokumentes (oder Kopien auf Medien, die üblicherweise gedruckte Umschläge haben), in einer Stückzahl von mehr als 100 veröffentlichen, und der Lizenzhinweis des Dokumentes Umschlagtexte verlangt, müssen die Kopien in Hüllen verpackt sein, die alle diese Umschlagtexte klar und lesbar enthalten. Die vorderen Umschlagtexte auf dem vorderen Umschlag, die hinteren Umschlagtexte auf dem hinteren Umschlag. Beide Umschläge müssen Sie außerdem klar und lesbar als den Herausgeber dieser Kopien benennen. Der vordere Umschlag muss den gesamten Titel darstellen, mit allen Wörtern gleich auffällig und sichtbar. Sie können weiteres Material den Umschlägen hinzufügen. Das Kopieren mit Änderungen, die auf Umschläge begrenzt sind, können, solange der Titel des Dokuments erhalten bleibt, ansonsten als Datenträgerkopien behandelt werden. Wenn der vorgeschriebene Text für einen der Umschläge zu umfangreich ist um lesbar zu bleiben, sollten Sie den ersten der aufgelisteten Texte auf den aktuellen Umschlag nehmen (so viel wie vernünftigerweise möglich ist) und den Rest auf direkt angrenzende Seiten. Wenn Sie mehr als 100 opake Kopien veröffentlichen oder verbreiten, müssen Sie entweder eine maschinenlesbare, transparente Kopie jeder opaken Kopie beilegen, oder mit bzw. in jeder opaken Kopie eine Computer-Netzwerk Adresse angeben, von wo die allgemeine, netzwerk-benutzende Öffentlichkeit Zugriff zum Download einer kompletten transparenten Kopie über öffentliche Standardnetzwerkprotokolle hat. Wenn Sie sich für die letztere Möglichkeit entscheiden, müssen Sie mit Beginn der Verbreitung der opaken Kopien in Stückzahlen zumutbare und vernünftige Schritte unternehmen, um sicherzustellen, dass die transparenten Kopien mindestens ein Jahr nach der Auslieferung der letzten opaken Kopie (direkt oder über
1094
28 GNU Free Documentation License
einen Agenten oder Händler) dieser Ausgabe an die Öffentlichkeit, an der genannten Adresse verfügbar bleiben. Es ist erbeten, aber nicht gefordert, dass Sie ausreichend lange vor der Auslieferung einer größeren Menge von Kopien Kontakt mit den Autoren des Dokumentes aufnehmen, um jenen die Möglichkeit zu geben, Ihnen eine aktualisierte Version des Dokumentes zuzuleiten. 4. Modifikationen Unter den obigen Bedingungen unter Ziffer 2 und 3 können Sie modifizierte Versionen kopieren und verbreiten, vorausgesetzt, dass Sie die modifizierte Version unter exakt dieser Lizenz herausgeben, wobei die modifizierte Version die Rolle des Dokumentes einnimmt, und dadurch die weitere Modifikation und Verbreitung an jeden Lizenzieren, der eine Kopie davon besitzt. Zusätzlich müssen Sie die folgenden Dinge in der modifizierten Version beachten: 1. Benutzen Sie auf der Titelseite (und auf Umschlägen, sofern vorhanden) einen Titel, der sich von dem Titel des Dokumentes und von früheren Versionen unterscheidet. (Die früheren Versionen sollten, wenn es welche gibt, in dem Abschnitt Historie aufgelistet werden.) Sie können denselben Titel wie den einer Vorgängerversion verwenden, wenn der ursprüngliche Herausgeber damit einverstanden ist. 2. Geben Sie auf der Titelseite eine oder mehrere Personen oder Einheiten, die als Autoren auftreten können, als für die Modifikationen verantwortliche Autoren der modifizierten Version, zusammen mit mindestens fünf der ursprünglichen Autoren der Ursprungsversion an (alle vorherige Autoren, wenn es weniger als fünf sind), es sei denn, diese befreien Sie von dieser Notwendigkeit. 3. Geben Sie auf der Titelseite den Namen des Herausgebers als Herausgeber an. 4. Erhalten Sie alle Copyright-Vermerke des Dokumentes. 5. Setzen Sie einen passenden Copyright-Vermerk für Ihre Modifikationen direkt hinter die anderen Copyright-Vermerke. 6. Schliessen Sie direkt hinter den Copyright-Vermerken einen Lizenzhinweis ein, der die öffentliche Erlaubnis erteilt, die modifizierte Version unter den Bedingungen dieser Lizenz zu benutzen, wie es im Anhang weiter unten beschrieben ist. 7. Erhalten Sie im Copyright-Vermerk die komplette Liste der unveränderlichen Abschnitte und obligatorischen Umschlagtexte, die in dem Lizenzvermerk des Dokumentes aufgeführt sind. 8. Schliessen Sie eine unveränderte Kopie dieser Lizenz mit ein. 9. Erhalten Sie den Abschnitt Historie. Erhalten Sie den Titel und fügen Sie einen Punkt hinzu, der mindestens den Titel, das Jahr, die neuen Autoren und Herausgeber, wie sie auf der Titelseite aufgeführt sind, enthält. Sollte es keinen Abschnitt Historie geben, dann erstellen Sie einen, der Titel, Jahr, Autor und Herausgeber des Dokumentes, wie auf der Titelseite angegeben, enthält, und fügen Sie einen Punkt hinzu, der die modifizierte Version wie oben dargestellt beschreibt.
28 GNU Free Documentation License
1095
10. Erhalten Sie die Netzwerkadresse, die angegeben wurde, um Zugang zu einer transparenten Kopie zu gewähren, sowie entsprechend angegebene Adressen früherer Versionen, auf denen das Dokument aufbaute. Diese Angaben können in den Abschnitt Historie verschoben werden. Sie können die Netzwerkadresse weglassen, wenn sie sich auf ein Werk bezieht, das mindestens 4 Jahre vor dem Dokument selbst veröffentlicht wurde, oder wenn der ursprüngliche Herausgeber der Version, auf die sich die Adresse bezieht, seine Erlaubnis erteilt. 11. Erhalten Sie für alle Abschnitte, die als Danksagungen (Acknowledgements) oder Widmungen (Dedications) überschrieben sind, den Titel sowie die Substanz und den Ton aller vom Geber gemachten Danksagungen und/oder Widmungen in diesem Abschnitt. 12. Erhalten Sie alle unveränderlichen Abschnitte unverändert, sowohl im Titel als auch im Text. Abschnittsnummern oder dergleichen gelten hierbei nicht als Teil des Titels. 13. Löschen Sie alle Abschnitte, die als Anmerkungen (Endorsements) überschrieben sind. Ein solchen Abschnitt sollte nicht in der modifizierten Version enthalten sein. 14. Benennen Sie keinen Abschnitt in Anmerkungen um, oder in einen Namen, der in Konflikt mit einem unveränderlichen Abschnitt gerät. 15. Erhalten Sie alle Garantieausschlüsse. Wenn die modifizierte Version neue Vorspannabschnitte oder Anhänge enthält, die zweitrangige Abschnitte sein können, und die kein vom Dokument kopiertes Material enthalten, können Sie nach Ihrem Belieben einige oder alle diese Abschnitte als unveränderliche Abschnitte in die Lizenzanmerkung der modifizierten Version aufnehmen. Diese Titel müssen sich von allen anderen Titeln unterscheiden. Sie können einen Abschnitt Anmerkungen anfügen, sofern dieser nichts als Bemerkungen verschiedener Stellen zu der modifizierten Version enthält. Beispielsweise Publikumsreaktionen oder eine Mitteilung, dass der Text von einer Organisation als maßgebliche Definition eines Standards geprüft wurde. Sie können einen Teil mit bis zu fünf Wörtern als vorderen Umschlagtext und einen mit bis zu 25 Wörtern als hinteren Umschlagtext an das Ende der Liste mit den Umschlagtexten der modifizierten Version hinzufügen. Nur je ein Teil für den vorderen Umschlagtext und den hinteren Umschlagtext können von jeder Einheit hinzugefügt (oder durch entsprechende Anordnung erstellt) werden. Wenn das Dokument bereits einen Umschlagtext für denselben Umschlag enthält, der von Ihnen oder der Einheit, in deren Namen Sie tätig sind, bereits früher eingefügt wurde, dürfen Sie keine neue hinzufügen. Sie können aber den alten ersetzen, wenn sie die ausdrückliche Genehmigung des Herausgebers haben, der den früheren Text eingefügt hat. Der/die Autor(en) und Herausgeber des Dokumentes geben duch diese Lizenz weder implizit noch explizit die Erlaubnis, ihren Namen für Werbung in den Anmerkungen der modifizierten Version zu benutzen.
1096
28 GNU Free Documentation License
5. Dokumente kombinieren Sie können mehrere Dokumente, die unter dieser Lizenz freigegeben sind, unter den Bedingungen unter Ziffer 4 für modifizierte Versionen miteinander kombinieren, vorausgesetzt, dass in der Kombination alle unveränderlichen Abschnitte aller Originaldokumente enthalten sind und dass Sie diese alle in der Liste der unveränderlichen Abschnitte der Lizenzanmerkung des kombinierten Dokumentes aufführen sowie alle Garantieausschlüsse erhalten. Das kombinierte Werk braucht nur eine Kopie dieser Lizenz zu enthalten, und mehrere identische unveränderliche Abschnitte können durch eine einzelne Kopie ersetzt werden. Wenn es mehrere unveränderliche Abschnitte mit unterschiedlichem Inhalt aber gleichem Namen gibt, machen Sie den Namen eindeutig, indem Sie am Ende des Titels in Anführungszeichen den Namen des originalen Autors oder Herausgebers, falls bekannt, oder andernfalls eine eindeutige Nummer anhängen. Machen Sie dasselbe mit den Titeln der Abschnitte in der Liste der unveränderlichen Abschnitte im Lizenzhinweis des kombinierten Werkes. In der Kombination müssen Sie alle Abschnitte mit dem Titel Historie in den unterschiedlichen Dokumenten zu einem einzelnen Abschnitt Historie zusammenführen; entsprechend verfahren Sie mit den Abschnitten Danksagungen und Widmungen. Sie müssen alle Abschnitte mit dem Titel Anmerkungen löschen. 6. Sammlungen von Dokumenten Sie können eine Sammlung von Dokumenten erstellen, bestehend aus diesem Dokument und weiteren, unter dieser Lizenz stehenden Dokumenten, wobei Sie die einzelnen Kopien dieser Lizenz in den verschiedenen Dokumenten durch eine einzelne Kopie, die in der Sammlung enthalten ist, ersetzen, vorausgesetzt, Sie befolgen in allen andern Punkten für jedes der Dokumente die Regeln für Datenträgerkopien. Sie können ein einzelnes Dokument aus einer solchen Sammlung herausziehen und einzeln unter dieser Lizenz verbreiten, vorausgesetzt, Sie fügen eine Kopie dieser Lizenz in das extrahierte Dokument ein und befolgen ansonsten die Bedingungen dieser Lizenz für Datenträgerkopien. 7. Aggregation mit unabhängigen Werken Eine Zusammenstellung des Werkes oder von Ableitungen davon mit anderen, separaten und unabhängigen Dokumenten oder Werken, in oder auf demselben Band eines Speicher- oder Verbreitungsmediums, wird dann eine Aggregation genannt, wenn die Copyrights der Zusammenstellung nicht dazu verwendet werden, die Rechte der Benutzer, die für die einzelnen Werke gewährt werden, stärker zu beschränken als dies durch die Lizenzen der einzelnen Werke geschieht. Wenn das Werk in einer Aggregation vorhanden ist, so gilt diese Lizenz nicht für die anderen Werke dieser Aggregation, die keine Ableitung des Dokumentes sind. Wenn die Bestimmungen für die Umschlagtexte aus Ziffer 3 Anwendung finden und wenn das Dokument weniger als die Hälfte der gesamten Aggregation ausmacht,
28 GNU Free Documentation License
1097
dann können die Umschlagtexte auf Seiten gesetzt werden, die das Dokument innerhalb der Aggregation umschliessen, oder auf das elektronische Äquivalent eines Umschlages, wenn das Dokument in elektronischer Form vorliegt. Andernfalls müssen sie auf gedruckten Umschlägen erscheinen, die das gesamte Werk umschliessen. 8. Übersetzung Übersetzungen werden als eine Art von Modifikationen betrachtet. Damit können Sie eine Übersetzung des Dokumentes unter den Bestimmungen von Ziffer 4 verbreiten. Um die unveränderlichen Abschnitte durch eine Übersetzung zu ersetzen, benötigen Sie die spezielle Erlaubnis des Copyright-Inhabers. Sie können allerdings Übersetzungen von einigen oder allen unveränderlichen Abschnitten zu den originalen Versionen der unveränderlichen Abschnitte hinzufügen. Sie können eine Übersetzung dieser Lizenz und allen Lizenzhinweisen im Dokument sowie allen Garantieausschlüssen hinzufügen, vorausgesetzt, dass Sie ebenso die originale englische Version dieser Lizenz und aller Hinweise und Ausschlüsse beifügen. Sollten die Übersetzung und die Originalversion dieser Lizenz oder eines Hinweises oder Ausschlusses voneinander abweichen, so hat die Originalversion Vorrang. Wenn ein Abschnitt des Dokumentes als Danksagung, Widmungen oder Historie überschrieben ist, so erfordert die Forderung (Ziffer 4), den Titel dieses Abschnittes zu erhalten, die Änderung des aktuellen Titels. 9. Abschlussbestimmungen Sie dürfen dieses Dokument nicht kopieren, verändern, unterlizenzieren oder verteilen mit der Ausnahme, dass Sie es ausdrücklich unter dieser Lizenz tun. Jedweder andere Versuch zu kopieren, zu modifizieren, unterzulizenzieren oder zu verbreiten, ist unzulässig und führt automatisch zum Entzug der durch diese Lizenz gewährten Rechte. Dennoch verlieren jene Parteien, die von Ihnen Kopien oder Rechte unter dieser Lizenz erhalten haben, nicht ihre Rechte, solange sie sich in völliger Übereinstimmung mit der Lizenz befinden. 10. Spätere Überarbeitungen dieser Lizenz Die Free Software Foundation kann von Zeit zu Zeit neue, überarbeitete Versionen der GNU Free Dokumentation License veröffentlichen. Diese neuen Versionen werden im Geiste gleich bleiben, können sich aber in Details unterscheiden, um neuen Problemen oder Besorgnissen gerecht zu werden. Siehe: http://www.gnu. org/copyleft/ Jede Version dieser Lizenz erhält eine eigene Versionsnummer. Wenn das Dokument bestimmt, dass eine bestimmte nummerierte Version oder jede spätere Version dafür gilt, haben Sie die Wahl, den Bestimmungen dieser speziell benannten Version zu folgen oder jeder Version, die später von der Free Software Foundation, nicht als Entwurf, veröffentlicht wurde.
1098
28 GNU Free Documentation License
Anhang: Wie Sie diese Lizenz für Ihre Dokumente verwenden können Um diese Lizenz in einem Dokument zu verwenden, das Sie selbst geschrieben haben, schließen Sie eine Kopie dieser Lizenz (eine Kopie des englischen Originals, Anmerkung des Übersetzers) in Ihr Dokument mit ein, und setzen Sie den folgenden Copyright- und Lizenzhinweis gleich hinter die Titelseite: Copyright (c) YEAR YOUR NAME Permission is granted to copy, distribute and/or modify this document under the terms of the GNU Free Documentation License, Version 1.2 or any later version published by the Free Software Foundation; with no Invariant Sections, no Front-Cover Texts, and no Back-Cover Texts. A copy of the license is included in the section entitled GNU Free Documentation License. Es folgt eine Übersetzung des oben stehenden Hinweises, der nur zur Klarheit hier angegeben ist! (Anm. des Übersetzers) Copyright Jahr Ihr Name Kopieren, Verbreiten und/oder Modifizieren ist unter den Bedingungen der GNU Free Documentation License, Version 1.2 oder einer späteren Version, veröffentlicht von der Free Software Foundation, erlaubt. Es gibt keine unveränderlichen Abschnitte, keinen vorderen Umschlagtext und keinen hinteren Umschlagtext. Eine Kopie des Lizenztextes ist unter dem Titel GNU Free Documentation License enthalten. Wenn Sie unveränderliche Abschnitte, vordere und hintere Umschlagtexte haben, ersetzen Sie den Satz: Es gibt keine ...Umschlagtext. durch den folgenden: Mit den unveränderlichen Abschnitten: [Liste mit den Titeln der unveränderlichen Abschnitte], mit dem vorderen Umschlagtext: [vorderer Umschlagtext] und dem hinteren Umschlagtext: [hinterer Umschlagtext]. Wenn Sie unveränderliche Abschnitte, aber keine Umschlagtexte oder irgend eine andere Kombination der drei Bereiche haben, mischen Sie die verschiedenen Alternativen, dass sie zu Ihren Anforderungen passen. Wenn Ihr Dokument nicht-triviale Codebeispiele enthält, empfehlen wir, diese Beispiele parallel unter einer freien Softwarelizenz Ihrer Wahl, beispielsweise der GNU General Public License zu lizenzieren, um ihren Gebrauch in freier Software zu erlauben. Ende der Übersetzung
29 Zum Weiterlesen
Die Auswahl ist subjektiv und enthält Werke, die wir noch lesen wollen, schon gelesen haben oder oft benutzen. Einige Bücher können vergriffen oder inzwischen in neuerer Auflage erschienen sein. 1. Lexika, Glossare, Wörterbücher – Fachausdrücke der Informationsverarbeitung Englisch - Deutsch - Englisch IBM Deutschland, IBM-Form-Nr. GQ12-1044-1, 1985, 1700 S. W. Alex Abkürzungs-Liste ABKLEX (Informatik, Telekommunikation) http://www.abklex.de/abklex/ M. Broy, O. Spaniol VDI-Lexikon Informatik und Kommunikationstechnik Springer, Berlin + Heidelberg, 1999, 863 S. V. Claus, A. Schwill Duden Informatik Dudenverlag, Mannheim, 2006, 768 S. E. Kajan Information Technology Encyclopedia and Acronyms Springer, Berlin + Heidelberg, 2002, 720 S. B. Nguyen Linux Dictionary The Linux Documentation Project, 2005 E. S. Raymond The New Hacker’s Dictionary The MIT Press, Cambridge/USA, 1996, 547 S., als Jargon-File bekannt. 2. Betriebssysteme L. Bic, A. C. Shaw Betriebssysteme Hanser, München, 1990, 420 S. A. S. Tanenbaum Computerarchitektur Pearson-Studium, München, 2005, 832 S. A. S. Tanenbaum Moderne Betriebssysteme Pearson Studium, München, 2002, 1024 S. A. S. Tanenbaum, M. van Steen Verteilte Systeme Pearson Studium, München, 2003, 880 S. H. Wettstein Systemarchitektur Hanser, München, 1993, 514 S.
1100
29 Zum Weiterlesen
3. Linux/UNIX allgemein, Shells – SuSE Linux Benutzerhandbuch Novell, Waltham, 2004, 340 S. Alex, W. Debian GNU/Linux in der Praxis Springer, Berlin + Heidelberg, 2006, 577 S. Aubepin, F. et al. Debian à 200% Editions O’Reilly, Paris, 2006, 324 S. M. J. Bach Design of the UNIX Operating System Prentice-Hall, London, 1986, 486 S. S. R. Bourne Das UNIX System V (The UNIX V Environment) Addison-Wesley, Bonn, 1988, 464 S. D. P. Bovet, M. Cesati Understandig the Linux Kernel O’Reilly, Sebastopol, 2005, 942 S. S. Garfinkel et al. The UNIX-Haters Handbook IDG Books Worldwide, San Mateo, 1994, 329 S. http://research.microsoft.com/~daniel/uhh-download. html M. Garrels Introduction to Linux – A Hands on Guide The Linux Documentation Project, 2006 J. Gulbins, K. Obermayr, Snoopy Linux Springer, Berlin + Heidelberg, 2003, 900 S. R. Hattenhauer Linux-Livesysteme Galileo Press, Bonn, 2005, 447 S. H. Herold Linux-Unix-Shells Addison-Wesley, München, 1999, 832 S. R. Hertzog, C. Le Bars Debian GNU/Linux Eyrolles, Paris, 2004, 246 S. W. Heuser Linux on the Road The Linux Documentation Project, 2005 H. Jurzik Debian GNU/Linux Das Praxisbuch Galileo Press, Bonn, 2006, 630 S. L. Kaufman, M. K. Dalheimer Linux Praxishandbuch O’Reilly, Köln, 2005, 446 S. B. W. Kernighan, R. Pike Der UNIX-Werkzeugkasten Hanser, München, 1986, 402 S. M. Kofler Linux – Installation, Konfiguration, Anwendung Addison-Wesley, München, 7. Auflage 2005, 1318 S. M. Kofler Ubuntu Linux Addison-Wesley, München, 2005, 336 S. D. G. Korn, M. I. Bolsky The Kornshell, Command and Programming Language deutsch: Die KornShell, Hanser, München, 1991 M. F. Krafft The Debian System – Concepts and Techniques Open Source Press, München, 2005, 608 S., auch auf Deutsch oder Französisch erhältlich
29 Zum Weiterlesen
N. Petreley, J. Bacon Linux Desktop Hacks O’Reilly, Sebastopol, 2005, 253 S. A. Radonic, F. Meyer XEN3 Franzis, Poing, 2006, 450 S. K. Rankin Knoppix Pocket Reference O’Reilly, Sebastopol, 2005, 92 S. A. Robbins UNIX in a Nutshell O’Reilly, Sebastopol, 2005, 906 S. F. Ronneburg Debian GNU/Linux Anwenderhandbuch Addison-Wesley, München, 2005, 744 S. auch auf Französisch bei Campus Press/Pearson Frankreich K. Rosen u. a. UNIX: The Complete Reference Osborne/McGraw-Hill, Berkeley, 1999, 1302 S. E. Siever et al. Linux in a Nutshell O’Reilly, Sebastopol, 2005, 956 S. R. W. Smith FreeBSD The Complete Reference Osborne McGraw-Hill, Berkeley, 2003, 900 S. A. Willemer Wie werde ich UNIX-Guru? Galileo Press, Bonn, 2004, 835 S. 4. Linux/UNIX Verwaltung – SuSE Linux Administrationshandbuch Novell, Waltham, 2004, 780 S. T. Adelstein, B. Lubanovic Linux System Administration O’Reilly, Sebastopol, 2007, 296 S. W. Barth Datensicherung unter Linux Open Source Press, München, 2004, 320 S. W. Barth Nagios – System- und Netzwerk-Monitoring Open Source Press, München, 2005, 370 S. J. Cameron Managing Linux Systems with Webmin Prentice-Hall, Englewood-Cliffs, 2004, 816 S. Æ. Frisch Unix System-Administration O’Reilly, Köln, 2003, 1248 S. J. Hassell RADIUS O’Reilly, Sebastopol, 2002, 206 S. P. Heinlein LPIC-1 – Vorbereitung auf die Prüfung des Linux Professional Institute Open Source Press, München, 2004, 314 S. K. Heuer, R. Sippel UNIX-Systemadministration Springer, Berlin + Heidelberg, 2004, 800 S. D. Johanning Linux-Server Springer, Berlin + Heidelberg, 2006, 700 S. M. Kettner Fehlerdiagnose und Problembehebung unter Linux Millin, Poing, 2004, 430 S.
1101
1102
29 Zum Weiterlesen
K. Kopper Linux Enterprise Cluster No Starch Press, San Francisco, 2005, 464 S. M. Krafft et al. Debian: Administration et configuration avancées Eyrolles, Paris, 2006, 674 S. R. W. Lucke Building Clustered Linux Systems Prentice-Hall, Englewood-Cliffs, 2005, 648 S. D. Mauro, K. J. Schmidt Essential SNMP O’Reilly, Sebastopol, 2005, 460 S. E. Nemeth et al. Linux Administration Handbook Prentice-Hall, Englewood-Cliffs, 2002, 890 S. C. Schroder Linux Kochbuch O’Reilly, Köln, 2005, 618 S. (auch auf Englisch) R. W. Smith Linux in a Windows World O’Reilly, Sebastopol, 2005, 469 S. M. Welsh et al. Running Linux O’Reilly, Sebastopol, 2002, 696 S. Wirzenius, L. et al. The Linux System Administrator’s Guide The Linux Documentation Project, 2005 C. Wolfinger et al. Linux-Systemadministration Springer, Berlin + Heidelberg, 2005, 480 S. 5. X Window System (X11), GNOME, KDE E. Cutler et al. The X Window System in a Nutshell O’Reilly, Sebastopol, 1992, 409 S. T. + M. K. Dalheimer KDE Anwendung und Programmierung O’Reilly, Sebastopol, 1999, 321 S. N. Mansfield The Joy of X Addison-Wesley, Boston, 1993, 368 S. L. Mui, E. Pearce X Window System Administrator’s Guide O’Reilly, Sebastopol, 1993, 372 S. A. Nye XLib Programming Manual, Rel. 5 O’Reilly, Sebastopol, 1994, 821 S. V. Quercia, T. O’Reilly X Users Guide Motif R5 O’Reilly, Sebastopol, 1994, 955 S. 6. Netze allgemein (Ethernet, Internet, OSI) T. Bautts, T. Dawson, G. N. Purdy Linux Network Administrator’s Guide O’Reilly, Sebastopol, 2005, 362 S. – WikiReader Internet http://www.wikireader.de/, 2004, 194 S. D. E. Comer Internetworking with TCP/IP (3 Bände) Prentice-Hall, Englewood Cliffs, I. Band 2006, 688 S. II. Band 1991, 530 S., 88 DM; III. Band 2001, 601 S. D. E. Comer The Internet Book Prentice-Hall, Englewood Cliffs, 2000, 351 S.
29 Zum Weiterlesen
K. Conner-Sax, E. Krol Die Welt des Internet O’Reilly, Sebastopol, 2000, 400 S., vergriffen S. Grägert Netzwerktechnik http://eth0.graegert.com/, 2003, 125 S. H. Hahn, R. Stout The Internet Complete Reference Osborne McGraw-Hill, Berkeley, 1994, 818 S. E. Hall Internet Core Protocols – The definitive Guide O’Reilly, Sebastopol, 2000, 472 S. C. Hunt TCP/IP Netzwerk-Administration O’Reilly, Köln, 2003, 792 S. O. Kirch, T. Dawson Linux Network Administrator’s Guide O’Reilly, Sebastopol, 2000, 500 S. O. Kirch, T. Dawson The Linux Network Administrator’s Guide The Linux Documentation Project, 2000 J. F. Kurose, K. W. Ross Computer Networking Addison-Wesley, Boston, 2003, 784 S. Spurgeon, C. E. Ethernet – The Definitive Guide O’Reilly, Sebastopol, 2000, 520 S. A. S. Tanenbaum Computernetzwerke Pearson Studium, München, 2003, 960 S. 7. Netzdienste Einzelthemen P. Albitz, C. Liu DNS und BIND O’Reilly, Köln, 2001, 668 S. A. Badach Voice over IP Hanser, München, 2005, 394 S. R. Deutz Mambo Springer, Berlin + Heidelberg, 2005, 331 S. A. Ebersbach et al. WikiTools Springer, Berlin + Heidelberg, 2005, 400 S. J. E. Hellbusch Barrierefreies Webdesign KnowWare, http://www.knowware.de/, 2001, 86 S. P. J. Lynch, S. Horton Web Style Guide Yale University Press, New Haven, 1999, 165 S. C. Meinel, H. Sack WWW Springer, Berlin + Heidelberg, 2004, 1200 S. S. Münz, W. Nefzger HTML 4.0 Handbuch Franzis, München, 1999, 992 S. J. Niederst Web Design in a Nutshell O’Reilly, Köln, 2002, 668 S. A. Schwartz Managing Mailing Lists O’Reilly, Sebastopol, 1998, 320 S. (vergriffen?) A. Schwartz SpamAssassin O’Reilly, Köln, 2004, 248 S.
1103
1104
29 Zum Weiterlesen
P. von Weitershausen Web Component Development with Zope 3 Springer, Berlin + Heidelberg, 2005, 467 S. 8. Sicherheit, Kryptografie D. J. Barrett et al. Linux-Sicherheits-Kochbuch O’Reilly, Köln, 2003, 364 S. F. L. Bauer Entzifferte Geheimnisse Springer, Berlin + Heidelberg, 2000, 503 S. S. Garfinkel et al. Practical Unix + Internet Security O’Reilly, Sebastopol, 2003, 992 S. L. Packschies Praktische Kryptographie unter Linux Open Source Press, München, 2005, 368 S. B. Schneier Angewandte Kryptographie Pearson Studium, München, 2005, 888 S. M. Schumacher et al. Hacker Contest Springer, Berlin + Heidelberg, 2003, 300 S. R. Spenneberg VPN mit Linux Addison-Wesley, Bonn, 2004, 418 S. http://www.spenneberg.com/ R. Spenneberg Intrusion Detection und Prevention mit Snort 2 & Co. Addison-Wesley, Bonn, 2005, 829 S. J. Turnbull Hardening Linux Apress, Berkeley, 2005, 584 S. 9. Zeitschriften – c’t magazin für computertechnik http://www.heise.de/ct/ – iX Magazin für professionelle Informationstechnik http://www.heise.de/ix/ – Linux Enterprise http://www.linuxenterprise.de/ – Linux Magazin http://www.linux-magazin.de/ – Linux Pratique http://www.linux-pratique.com/ – linuxUSER http://www.linux-user.de/ – Linux Journal http://www.linuxjournal.com/
Personenverzeichnis Adelstein, T. 1101 Aho, A. V. 33 Albitz, P. 1103 Alkalay, A. 177 Allaert, D. 422 Almesberger, W. 477 Anderson, G. 30 Andreasson, O. 764 Anvin, H. P. 493 Arcomano, R. 308 Aubepin, F. 1100 Aznar, G. 418, 797 Bach, M. J. 1100 Bacon, J. 1101 Badach, A. 1103 Barrett, D. J. 1104 Barth, W. 1101 Bauer, F. L. 586, 1104 Bautts, T. 1102 Bayes, T. 817 Bic, L. 1099 Bigelow, C. 189 Bishop, A. M. 574 Blaze, M. 582 Bolsky, M. I. 1100 Bourne, S. R. 33, 46, 1100 Bovet, D. P. 679, 1100 Bradley, D. J. 36 Brouwer, A. 387 Brown, M. A. 238 Burgiss, H. 223 Burrows, D. 644 Buytaert, K. 890 Cameron, J. 883, 1101 Card, R. 565 Cesati, M. 679, 1100 Christenson, N. 404 Chuvakin, A. 867 Claus, V. 1099
Comer, D. E. 1102 Conner-Sax, K. 1103 Cooper, M. 46 Cutler, E. 1102 Czyborra, R. 177 Dalheimer, M. K. 1100, 1102 Dalheimer, T. 1102 Dawson, T. 237, 1102, 1103 Delorie, D. J. 451 Deutz, R. 1103 Dietz, H. 895 Diffie, B. W. 270 Drake, J. 741 Ebersbach, A. 1103 Emery, V. 578 Ewing, L. 9, 10 Fawcett, T. 496 Fenzi, K. 899 Frisch, Æ. 1101 Garfinkel, S. 1100, 1104 Garrels, M. 46, 59, 1100 Ghosh, S. 304 Goerzen, J. 290 Gortmaker, P. 722 Grägert, S. 1103 Graham, P. 817 Guérard, J.-P. 290 Gulbins, J. 1100 Hahn, H. 1103 Haible, B. 177 Hall, E. 1103 Hammers, C. 456, 900 Hards, B. 589 Hassell, J. 1101 Hattenhauer, R. 1100 Hazel, P. 802
1106
PERSONENVERZEICHNIS
Heinlein, P. 1101 Hellbusch, J. E. 1103 Hellman, M. E. 270 Henderson, B. 681 Hernberg, P. 536 Herold, H. 1100 Hertzog, R. 1100 Hess, J. 641 Heuer, K. 1101 Heuser, W. 1100 Hinner, M. 145, 563, 580 Hogbin, E. J. 398 Holmes, K. 189 Holviala, K. 828 Hölzer, R. 584 Horton, S. 1103 Hubert, B. 766 Hudson, D. 812 Hunt, C. 1103 Isotton, A.
662, 672
Johanning, D. 1101 Jurzik, H. 1100 Kajan, E. 1099 Kamppeter, T. 427 Karzauninkat, S. 296 Katz, J. 481 Kaufman, L. 1100 Kerkhoff, W. 855 Kernighan, B. W. 33, 1100 Kettner, M. 1101 Kirch, O. 237, 1103 Knopper, K. 21 Knuth, D. E. 797 Kofler, M. 1100 Kojm, T. 910 Kopper, K. 1102 Korn, D. G. 1100 Korpela, J. 1051 Krafft, M. F. 18, 666, 1100, 1102 Krol, E. 1103 Kuhn, M. 177 Kurose, J. F. 1103
Lange, T. 383 Lawyer, D. S. 30, 741 Le Bars, C. 1100 Lermen, H. 477 Lewis, A. J. 332 Light-Williams, C. 741 Liu, C. 1103 Lowe, K. 679 Lubanovic, B. 1101 Lucke, R. W. 1102 Lynch, P. J. 1103 MacDonald, A. 586 Mack, J. 891 Malère, L. E. P. 547 Mansfield, N. 1102 Marsh, M. G. 726 Mauro, D. 1102 Meier, R. J. 481 Meinel, C. 1103 Morgan, A. G. 536 Morton, A. 683 Mourani, G. 899 Mui, L. 1102 Münz, S. 291, 845, 1103 Murdock, I. 11, 24 Nation, R. 203 Nefzger, W. 1103 Nemeth, E. 1102 Nguyen, B. 119, 1099 Niederst, J. 1103 Nye, A. 1102 O’Reilly, T. 1102 Obermayr, K. 1100 Oetiker, T. 880 O’Keefe, G. 219 Orr, G. 59 Østergaard, J. 333 Othman, O. 290 Packschies, L. 1104 Pearce, E. 1102 Peña, J. F.-S. 899 Petreley, N. 1101
PERSONENVERZEICHNIS
Pfeifle, K. 427 Pike, R. 175, 1100 Plate, J. 237 Pritchard, S. 307 Purdy, G. N. 1102 Quercia, V.
1102
Radtke, N. 238, 766 Ranch, D. A. 764 Rankin, K. 1101 Raymond, E. S. 4, 219, 268, 404, 797, 1099 Reelsen, A. 899 Reiser, H. 572 Ritchie, D. M. 2 Robbins, A. 1101 Rodin, J. 662 Rompalli, M. 333 Ronneburg, F. 1101 Rosen, J. 474 Rosen, K. 1101 Ross, K. W. 1103 Russell, P. 237, 766 Sack, H. 1103 Salzman, P. J. 679 Samudrala, R. 895 Schmidt, K. J. 1102 Schneier, B. 1104 Schroder, C. 1102 Schumacher, M. 1104 Schwartz, A. 1103 Schwill, A. 1099 Seifried, K. 899 Shannon, C. E. 121 Shaw, A. C. 1099 Shoens, K. 824 Siever, E. 1101 Silva, G. N. 672 Sipos, J. 388 Sippel, R. 1101 Smith, R. W. 1101, 1102 Smørgrav, D.-E. 536 Snoopy 1100 Spenneberg, R. 1104
1107
Spurgeon, C. E. 1103 Stallman, R. M. 7 Stearns, W. 456 Steen, M. van 1099 Steinacher, T. 456 Stout, R. 1103 Sundaram, R. 451 Suvasa, E. 8 Swendson, K. 895 T’so, T. Y. 571 Tanenbaum, A. S. 563, 1099, 1103 Tapsell, J. 764 Taylor, J. 581 Thompson, K. 2, 175 Torvalds, L. B. 8 Tourrilhes, J. 308, 387, 763 Tranter, J. 394, 580 Trümper, W. 394, 418, 580 Turnbull, J. 1104 Tux 9, 10 Tweedie, S. C. 570 Venema, W. Z. 809 Vesperman, J. 899 Wahl, M. 549 Walsh, N. 177 Ward, B. 679 Weinberger, P. J. 33 Weitershausen, P. von 1104 Welsh, M. 1102 Wettstein, H. 1099 Wheeler, D. A. 899 Wilburn, G. 867 Willemer, A. 1101 Wilson, M. D. 868 Wirzenius, L. 39, 291, 1102 Wolfinger, C. 1102 Wood, A. 177 Wreski, D. 899 Wunsch, S. 931 Ylönen, T.
789
Sachverzeichnis () 74 . (Shellkommando) 58 . (Arbeitsverzeichnis) 140 .Xauthority 223 .Xressources 219 .bash_history 62 .bash_logout 58, 62 .bash_profile 51, 57 .bashrc 51, 58 .cupsrc 432 .forward 815 .inputrc 51, 54 .menu 206 .rhosts 788 .xsession 200–202, 204 .xsession-errors 200 /bin 117 /bin/hostname 736 /boot 117 /boot/grub/default 476 /boot/grub/device.map 479 /boot/grub/menu.lst 474, 475, 478 /boot/map 470 /dev 117, 127, 145, 587, 1065 /dev/fd0 145 /dev/fuse 573 /dev/hda1 620 /dev/hda9 621 /dev/hdb1 621 /dev/loop 574 /dev/mapper 583 /dev/null 65, 128 /dev/pts 587, 621 /dev/ram 576 /dev/sdb1 621 /dev/shm 587, 621 /dev/urandom 586 /dev/zero 128, 585
/etc 117 /etc/X11/XF86Config-4 407 /etc/X11/Xressources 219 /etc/X11/xorg.conf 407 /etc/aliases 805 /etc/alternatives 165, 395 /etc/anacrontab 450 /etc/apt/sources.list 379, 639 /etc/auto.master 153 /etc/cron.allow 449 /etc/cron.deny 449 /etc/crontab 447 /etc/cryptmount/cmtab 585 /etc/crypttab 584 /etc/cups/client.conf 432 /etc/cups/cupsd.conf 429 /etc/default 513, 550 /etc/default/cdrecord 394 /etc/defaultdomain 541 /etc/environment 199 /etc/exports 390, 591 /etc/fstab 149, 391, 577, 613 /etc/group 519, 521, 543 /etc/gshadow 523 /etc/host.conf 734 /etc/hostname 736 /etc/hosts 254, 734 /etc/hosts.allow 594, 779 /etc/hosts.deny 594, 779 /etc/hosts.equiv 788 /etc/inetd.conf 783 /etc/init.d 217, 513 /etc/init.d/cryptdisks 585
SACHVERZEICHNIS
/etc/init.d/powerfail 404 /etc/init.d/rc 508 /etc/init.d/rcS 505 /etc/inittab 217, 391, 477, 501 /etc/inputrc 51 /etc/kernel-pkg.conf 699 /etc/ldap 550 /etc/lilo.conf 471 /etc/lmhosts 596 /etc/locale.alias 420 /etc/locale.gen 420 /etc/login.defs 520 /etc/mke2fs.conf 627 /etc/netatalk/papd.conf 615 /etc/network/interfaces 242, 257, 386, 736 /etc/networks 735 /etc/nsswitch.conf 543, 553, 734 /etc/ntp.conf 443 /etc/ntp.drift 443 /etc/pam.d 537 /etc/pam.d/common-auth 538 /etc/pam.d/common-passwd 539 /etc/pam.d/ssh 539 /etc/passwd 35, 521, 528, 543 /etc/ppp/peers/provider 747 /etc/printcap 426 /etc/profile 51, 57 /etc/protocols 261 /etc/rc*.d 508 /etc/rc1.d 881 /etc/rc2.d 217, 880 /etc/resolv.conf 255, 735, 739 /etc/samba 599, 600 /etc/securetty 786 /etc/security/limits.conf 539 /etc/services 258, 1069 /etc/setserial.conf 742 /etc/shadow 523, 543
1109
/etc/shells 525 /etc/smb.conf 392 /etc/ssh 790 /etc/sudoers 532 /etc/terminfo 476 /etc/timezone 440 /etc/yp.conf 543 /floppy 147 /home 117, 141 /lib 118 /lost+found 118 /media 118 /media/floppy 147 /mnt 118 /opt 118 /proc 118, 151, 587, 620 /proc/bus/usb 587, 621 /proc/cmdline 708 /proc/cpuinfo 309 /proc/filesystems 564 /proc/loadavg 881 /proc/modules 712 /root 118 /sbin 118 /sbin/getty 217 /sbin/init 499 /sbin/lilo 471 /sys 587 /sysfs 118 /tftpboot 494 /tmp 118 /usr 118 /usr/X11R6 119 /usr/bin 118 /usr/doc 118, 273, 288 /usr/games 118 /usr/include 118 /usr/lib 118 /usr/lib/X11/fonts/ 191 /usr/local 118 /usr/sbin 118 /usr/sbin/liloconfig 471 /usr/share 119 /usr/share/doc 168, 273, 288 /usr/src 119
1110
SACHVERZEICHNIS
/usr/src/linux 686 /usr/src/linux/Documentation 288 /var 119 /var/account 119 /var/account/pacct 561 /var/cache 119 /var/games 119 /var/lib 119 /var/lock 119 /var/log 119, 925 /var/log/Xorg.log 927 /var/log/auth.log 561, 925 /var/log/boot 925 /var/log/btmp 560, 925 /var/log/cups 926 /var/log/dmesg 926 /var/log/exim4 926 /var/log/kern.log 926 /var/log/ksymoops 926 /var/log/lastlog 560, 926 /var/log/messages 477, 926 /var/log/samba 926 /var/log/syslog 747, 926 /var/log/wtmp 560, 926 /var/mail 119, 799 /var/run 119 /var/run/utmp 560, 926 /var/spool 119 /var/tmp 119 /var/www 119 /var/yp 119 :blackhole: 806 :fail: 806 :unknown: 806 ; (Semikolon) 72 # (Kommentar) 56 & (Operator) 65, 68 && 73 _ (Unterstrich) 84 {} 74 1024 Zylinder 325 10BaseT, 10Base2, 10Base5 319 127.0.0.1 244, 249 169.254.0.0/16 739
8-bit-clean
173
a2ps 278 AAM → Automatic Acoustic Management Abbruch einer Schleife 98 Abhängigkeit 637, 653, 659 ABKLEX 294 Ablaufsteuerung (Shell) 94 Ablaufverfolgung 83 abmelden 35 Abrechnung (CUPS) 431 Abrechnungssystem 561 abschalten → herunterfahren Abschnitt (Manual) 275 ac 560, 562 Accelerated Graphics Port 312, 518 accept 425 access control list → Zugriffskontrollliste Access Control List (Exim4) 812 Access Point 253, 761 Access Point Client 762 account → Konto Accounting 560 accsnmp 432 acct 561 acl 126 ACL → Access Control List acpi 398 ACPI → Advanced Configuration and Power Interface acpi-support 399 Ad-hoc-Modus 253 Adapter (WLAN) 253 addgroup 527, 937 Address Resolution Protocol 725 adduser 523, 526, 527, 937 administrateur → Verwalter administrator → Verwalter Administrator → Verwalter Adresse Broadcast-A. 250, 730 IP-Adresse 243 Point-to-Point-A. 730
SACHVERZEICHNIS
Speicher-A. 364 ADSL → Asymmetric Digital Subscriber Line Advanced Configuration and Power Interface 397, 517 Advanced Encryption Standard 269 Advanced Intrusion Detection Environment 922 Advanced Package Tool 638 Advanced Power Management 363, 397 Advanced Programmable Interrupt Controller 517 aespipe 269 afterstep 203 Agent (SNMP) 877 Agnula 23 AGP → Accelerated Graphics Port aide 922 aircrack-ng 903 airsnort 763 AirSnort 913 AIX 2 Ajax 861 aktualisieren 640, 690, 704 aktuelles Verzeichnis → Arbeitsverzeichnis Algorithmus 269 alias (Shell) 60 Alias (sudo) 533 Alias (Email) 805 aliases 805 alien 438, 939 Alpine 825 Alternative 394 alternatives 165, 395 Alt Gr (Taste) 1060 am-utils 153 Amavis 910 amavisd-new 799 amorcer → booten ampersand → et-Zeichen anacron 450 anacrontab 450 Andrew File System 594, 616
1111
anhalten Dienst 510 System 36 anmelden 27, 39 annuaire → Verzeichnis (Dienst) anon-proxy 861 Anonymous-FTP 794 Anschrift (Email) 256, 801, 817 ANSIX3.64 226 antémémoire → Cache Antragsteller (PAM) 537 Anwendung (Programm) 1 Anycasting 250 Any Key 1060 AOL-Server (HTTPD) 858 AOL Instant Messenger 841 ap-utils 913 Apache 845, 925 Apache-MiniWiki 855 APIPA → Automatic Private IP Addressing apm 398 APM → Advanced Power Management AppArmor 933 appel système → Systemaufruf Appletalk 613 application → Anwendung appres 221 aprecv 778 apropos 278, 940 apsend 778 apsfilter 426 APSR 778 APT → Advanced Package Tool apt-build 638 apt-cache 638 apt-cacher 638 apt-cdrom 638 apt-config 638 apt-extracttemplates 638 apt-file 638 apt-ftparchive 638 apt-get 638, 640, 940 apt-key 638
1112
SACHVERZEICHNIS
apt-mirror 638, 676, 678 apt-move 638 apt-proxy 638, 676, 677 apt-rdepends 638 apt-show-source 638 apt-show-version 638 apt-sortpkgs 638 apt-spy 638 apt-src 638 aptitude 644 ar 636, 658, 665 Araneida (HTTPD) 859 Arbeitsfläche 212, 215 Arbeitsgruppe (Samba) 595 Arbeitsspeicher 311, 714 Arbeitsumgebung – 208 GNOME 212 KDE 210 Arbeitsverzeichnis 83, 140, 142 arborescence → Baum arbre → Baum Architektur 81 Archiv 438, 658 archivieren 905 Argument 33, 34 Argus 728 Arno’s Iptables Firewall 766 arobace → Klammeraffe arp 725 ARP → Address Resolution Protocol ARPANET 235 arpwatch 915 arrière-plan → Hintergrund arrow key → Pfeiltaste ASCII 172, 796, 824, 1051 Asymmetric Digital Subscriber Line 265 atd 451 at 451, 941 AT&T 46 ATA Security Feature Set 389 ATA with Packet Interface 314 aterm 226
atftp 494 atftpd 494 Athena (Projekt) 184 Attachment 827 Attribut (Datei) 120, 124 Attribut (LDAP) 548 Audio Codec 518 Aufruf 32 Aufrufparameter → Positionsvariable Ausdruck, regulärer 157, 166, 178 Ausfallsicherheit (CUPS) 432 Ausführung, bedingte 99 Ausführungsrecht 122 aushängen 148, 624 Auslagerungsspeicher 632 ausloggen → abmelden ausschalten → herunterfahren Auswahl (Shell) 97 Ausweis (PAM) 537 auth.log 561, 925 Authentizität 269 AUTOEXEC.BAT 490 autofs 153 Automatic Acoustic Management 389 Automatic Private IP Addressing 243, 739 Automounter 147, 153, 155 Autoprobing 706 availability → Verfügbarkeit avant-plan → Vordergrund awk 157 background → Hintergrund Backport 437 Backspace 32 BackTrack 930 Backup 318, 331, 613, 904 backward-search-history 62 badblocks 942 Baobab 623 base-config 382 basename 943
SACHVERZEICHNIS
Bash – 31, 33, 35, 46 B. beenden 49 B. starten 49 Kommando 59 Kommandovervollständigung 61 Konfiguration 51 Makro 53 Option 51 Programmierung 93 Skript 48 Startdatei 51 Tastatureinstellungen 51 Taste 53 Umgebung 79 Umleitung 63 Variable 75 BASH 80 BASH_VERSINFO 80 BASH_VERSION 80 Basic Input Output System → BIOS Basilisk 454 Bastille 932 Bastion 764 batch 943 Baum 119, 548 BBAE → Breitband-AnschlussEinheit bc 88 BCP → Best Current Practice Bedingung (Shell) 102 beenden Bash 49 Dienst 510 Prozess 71 Sitzung 35 vi 180 Befehl → Kommando Befehlspfad 82 Befehlszeilenschalter → Option Begrüßer 197 Benutzer – 4, 519, 597 aufgabenbezogener B. 521
1113
B. entfernen 526 B. hinzufügen 526 B. verwalten 525 ID 519, 524 Konto 123, 521, 526, 903 Name 27, 82, 521, 903 Nummer (UID) 27, 83 Pseudobenutzer 521 Root 27 SUID-Bit 530 Systembenutzer 521, 524 vordefinierter B. 524 Benutzeroberfläche 35, 183 Beowulf 890, 895 Berechnung, arithmetische (Shell) 88 Berkeley-r-Kommando 787 Berkeley Internet Name Domain 891 Berkeley Open Infrastructure for Network Computing 895 Berkeley Software Distribution 2 Besitzer 115, 122, 124, 519 BestCrypt 586 Best Current Practice 293 Betriebssicherheit 897 Betriebssystem 1, 46, 82, 304 bg 70 Bibliothek 637 bidentd 782 Big Red Switch 37 Bildschirm 313, 411, 472 Bildschirmschoner 399 Bildshirmkopie 234 bin (Benutzer) 521 Binärformat 5 binär 121 BIND → Berkeley Internet Name Domain BIOS 360, 398, 465, 493, 515, 581 BIOS Parameter Block 324 Bit 121 blackbox 203 blktool 400 Block 314, 565
1114
SACHVERZEICHNIS
Block, indirekter B. 566 Block, reservierter 374 Blockgröße 566 Blockgruppe 565 Blockliste (GRUB) 479 Blog → Weblog Bluetooth 237 BNU Queue 891 Boa (HTTPD) 859 BOCHS 453 Bogofilter 811 BogoMIPS 309, 517 BOINC → Berkeley Open Infrastructure for Network Computing Bonding → Port Trunking Bonjour 739, 915 bonnie++ 317 boot 479 boot (Logdatei) 925 boot (GRUB) 485 Boot-CD (GRUB) 498 Boot-Flag 374 boot.img 347 Bootdiskette 344, 368, 467, 496 booten 368, 371, 465 Bootfolge 318, 363 Bootloader – 466 GRUB 466, 473 LILO 469 Loadlin 486 syslinux 493 bootlogd 515 Bootmanager 335, 467 Bootmenü 368, 478, 489 Bootmethode 335 BOOTP → Bootstrap Protocol Bootparameter 370 Bootpartition 324, 329 Bootprompt 707, 716 boot sector → Bootsektor Bootsektor 324, 466, 468, 477 Bootstrap Protocol 257 bosskill 291
boucle → Schleife boule de commande → Rollkugel Bourne-Again-Shell → Bash break (Shell) 98 Break-Taste 1060, 1063 Breitband-Anschluss-Einheit 265 Brenner 393 bridge-utils 238 Broadcast-Adresse 250, 342, 730 Broadcasting 250, 596 Browse List (SMB) 596 Browser 862 BSD → Berkeley Software Distribution bsign 919 btmp 560, 925 Bug Tracking System 298 bum 512 Bündelung → Port Trunking Bundesamt für Metrologie und Akkreditierung 442 Bundesamt für Sicherheit in der Informationstechnik 899 bunzip2 944 Bureau International des Pois et des Mesures 442 Bureau National de Metrologie 442 burner → Brenner Bus 237 Busmastering 364 bwm-ng 915 Byte 121, 171 bzip2 945 Cache 309, 316, 363 cancel 425 Captive NTFS 579 capture d’écran → Screenshot CardBus 307 carriage return → Wagenrücklauf carte mère → Hauptplatine case - esac 105 cat 67, 134, 176, 945 cat (GRUB) 485 Cat5 237
SACHVERZEICHNIS
cattach 582 Caudium (HTTPD) 859 CC → Common Criteria CCITT V.3 172 cd 59, 80, 142 CD → Compact Disc CD/DVD-Brenner 393 CDD → Custom Debian Distribution CDE → Common Desktop Environment cdetach 582 CDPATH 80 cdrecord 338, 394, 581 central processing unit → Zentralprozessor Ceph 619 CERN 236 cfdisk 327, 374, 564, 946 cfgmaker 880 cfs 582 CFS → Cryptographic Filesystem CGI → Common Gateway Interface cgi-bin-Skript 851, 853 chage 527, 947 chaîne de caractères → Zeichenkette chainloader (GRUB) 481 Challenge Handshake Authentication Protocol 744 changelog.Debian.gz 288 changelog.gz 288 Channel (WLAN) 761 CHAP → Challenge Handshake Authentication Protocol character → Zeichen character set → Zeichensatz chargen 784 chargeur d’amorçage → Bootloader Chat 744 chattr 568, 947 checkrhosts 789 checksum → Prüfsumme chemin → Pfad
1115
Cheops 728 Cherokee (HTTPD) 859 chfn 525, 948 chgrp 124, 949 chiffrement → Verschlüsselung Chinesisch, Japanisch, Koreanisch, Vietnamesisch 173 chkrootkit 909 chmod 124, 528, 950 Cholesterol Free Desktop Environment 208 Chos 493 chown 124, 951 chroot 1, 794, 930 chsh 525, 951 CIDR → Classless Inter-Domain Routing CIFS → Common Internet File System CIPE → Crypto Internet Protocol Encapsulation ciphertext → Geheimtext Cisco Client 868 cksum 271 ClamAV 799, 910 clamd 911 Classless Inter-Domain Routing 248 clavier → Tastatur clé USB → USB-Stöpsel CLI → command line (interface) clicher → dumpen Client Email 817 PAM 537 X11 183 client.conf 432 Clipboard 233 cliquer → klicken Cluster – 1 Hochleistungs-C. 889 Hochverfügbarkeits-C. 889 Lastverteilungs-C. 889 Cluster (Festplatte) 314, 565
1116
SACHVERZEICHNIS
Cluster-Dateisystem 618 Cluster-Knoppix 890 Cluster Configuration System 894 Cluster Manager 894 cmdline 708 cmkdir 582 cmp 952 cmtab 585 CMU Sieve 816 Cnews 835 C News 835 Coda 594 Coda (Dateisystem) 616 Codename (Debian) 13 code retour → Rückgabewert Codetafel 171 CoLinux 462 collecticiel → Groupware Colormap 194 COLORTERM 80 COLUMNS 80 command line → Kommandozeile commercial at → Klammeraffe Commission Internationale d’Eclairage 193 common-auth 538 common-passwd 539 Common Criteria 907 Common Desktop Environment 184, 208 Common Gateway Interface 849, 853 Common Internet File System 594 common name 550 Common Object Request Broker Architecture 215 Common UNIX Printing System 380, 427 Community 879 Compact Disc – 144 Gerätedatei 359 Parameter 716 Start von CD 369
Comprehensive System Accounting 561 compte → Konto computer → Rechner Computerforensik 924 CONFIG.SYS 489 configure 438 Conky 44 connexion → anmelden Console → Konsole continue (Shell) 99 contrib 673 control.tar.gz 658 Cookie 223 Cookieserver 267 Cool’n’Quiet 399 CopyFS 571 Copyleft 7 copyright 288 Copyright 1079 CORBA → Common Object Request Broker Architecture coreutils 525 Courier-MTA 808 courriel → Email courrier électronique → Email cp 135, 952 cpio 145 cpufreq-info 399 cpufreqd 399 cpuinfo 309 Crack 523, 903 Credential 392 croisillon → Doppelkreuz Cron 446, 807, 907 crontab 449, 954 crypt → mcrypt, 269 cryptdisks 585 cryptmount 585 CryptoBox 316 cryptogramme → Geheimtext Cryptographic Filesystem 582 Crypto Internet Protocol Encapsulation 868, 872 Cryptoloop 584
SACHVERZEICHNIS
cryptsetup 584 crypttab 584 CSA → Comprehensive System Accounting cstream 346 ctstat 726 cups (Logverzeichnis) 926 CUPS → Common UNIX Printing System cupsd.conf 429 cupsenable 432 curses 173 Cursor 31, 178, 189 Custom Debian Distribution 23 Cut and Paste 233 CVS_RSH 80 D-Bus 212, 589 Dämon 36, 259 darkstat 876 data.tar.gz 658 Data Encryption Standard 269 date → Datum date 440, 955 Datei – 115 atime 127 Attribut 120, 124 Ausführungsrecht 122 Besitzer 115, 122, 519 ctime 127 D. ausgeben 134, 141 D. bearbeiten 169 D. gemeinsam benutzen 527 D. kopieren 135 D. lesen 164 D. löschen 129, 136 D. suchen 160 D. umbenennen 138 D. verschieben 138 Deskriptor (Bash) 63 Geräte-D. 1065 Größe 115 Gruppe 115, 120, 123 Gruppenrecht 123
1117
komprimierte D. lesen 168 Konfigurationsdatei 117, 139 Leserecht 122 Maske 527 Metadaten 115 mtime 127 Paketdatei 32 Protokoll-D. 925 Punktdatei 139 Referenzzähler 115 Schreibrecht 122 Status 127 System-D. 143 versteckte D. 139 Zeitstempel 115, 120, 127 Zugriffsrecht 115, 120, 122, 123 Datei-Manager 143, 208, 216, 864 Dateibaum 117 Dateikopf → Inode Dateiname – 115 Erweiterung 84 Samba 597 Dateirecht 120, 123, 124 Dateisystem – 116, 374, 563 D. prüfen 623 verschlüsseltes D. 582 Dateisystem, virtuelles 518, 587 Dateisystemtyp – 563 devpts 587 ext2 565 ext3 570 ext4 571 JFS 573 proc 587 Reiser4 572 ReiserFS 572 sysfs 587 tmpfs 587 usbfs 587 XFS 572 Datenblock 566 Datenpaket 237
1118
SACHVERZEICHNIS
Datenschutz 899 Datensicherheit 897, 903 Datensicherung 318 Datenträger – 144 als Benutzer D. einhängen 152 D. aushängen 148 D. automatisch einhängen 149, 153 D. einhängen 145, 611 Datum 440 daytime 784 DCF77 442 dconf 303 DCOP → Desktop Communication Protocol dd 137, 345, 468, 496, 574, 585, 633, 956 ddate 441 DDP → Debian Documentation Project DE-NIC 255 de.test 836 deb-control 653 debconf 648, 649 Debian Archiv 672 deutsche Mailing-Liste 296 Entwicklerreferenz 291 FAQ 290 Free Software Guidelines 13, 1077 Geschichte 290 Guide to Installation and Usage 290 Mailing-Liste 296 Policy 290 Projekt 11 Spiegel 384, 676 Web-Adresse 291 Wiki 855 debian-binary 658 debian-edu (Liste) 23 debian-guide 290 debian-history 290
Debian-Med 23 debian-policy 119, 290 Debian Cluster Components 890 Debian Developer’s Reference 662 Debian Documentation Project 291 DebianEdu (Wiki) 23 Debian Font Manager 192, 421 Debian From Scratch 17 Debian Jr. 23 Debian New Maintainer’s Guide 662 Debian Policy Manual 662 Debian Social Contract 1075 debianutils 496 debmirror 676, 677 debpartial-mirror 676 debsigs 642 debsums 271 debugfs 569 declare 79 déconnexion → abmelden default (GRUB) 476 Default-Gateway 266, 342 Default-Route 246 default.session 200 defaultdomain 541 defoma 192, 421 defoma-psfont-installer 421 defragmentieren 569 Dekoration 31, 201 delgroup 527 deluser 527 Demilitarized Zone 760, 930 démonter → aushängen DeMuDi 23 depmod 957 Derivat 9 dérouleur → Laufwerk Desktop → Arbeitsumgebung Desktop Communication Protocol 212 Desktop Management Interface 361 Deutsche Kommission Elektrotechnik 173
SACHVERZEICHNIS
Deutsches Forschungsnetz 244 Deutsches Institut für Normung 173 Developers’ Corner 11 developers-reference 291 device.map 479 Device Mapper 518, 583 devnullen 809 devpts 587, 621 devshm 587 Dezimalsystem 1051 Dezimalsystem, binär codiertes D. 1051 df 622, 957 DFN → Deutsches Forschungsnetz dfontmgr 192, 421 DFS → Debian From Scratch DFSG → Debian Free Software Guidelines dh_make 670 DHCP → Dynamic Host Configuration Protocol dhcp-client 738 dhelp 286 dhttpd (HTTPD) 859 Dial-on-Demand 264 dicktengleich 190 DidiWiki 855 Dienst 258, 510 Dienstprogramm 143 diff 658, 958 dig 256, 958 Digital Equipment Corporation 226 Digitale Teilnehmer-Anschlussleitung 265, 755 Digital Subscriber Line → Digitale Teilnehmer-Anschlussleitung Digital Versatile Disc 144 Digital Visual Interface 312 DIN 66003 172 Direct Memory Access 338 directory → Verzeichnis directory service → Verzeichnisdienst Directory System Agent 547 Directory User Agent 547, 551
1119
Direktor 891 dirs 81 DIRSTACK 81 dirvish 907 disable 425 discard 784 discover 338 Diskette - 144 D. aushängen 148 D. formatieren 345, 627 Diskettenlaufwerk 718 Diskquota 534 DISPLAY 81, 222 Display-Manager 195, 217 DisplayPort 312 Display Power Management Signaling 397 disponibilité → Verfügbarkeit dispositif de pointage → Zeigegerät disque dur → Festplatte disque optique compact → Compact Disc disquette → Diskette distinguished name 550 Distributed Multihead X 414 Distributed Replicated Block Device 333, 895 Distribution 9 DJGPP (Compiler) 451 DKIM → Domain Key Identified Mail dm-crypt 584 DMA → Direct Memory Access dmesg 338, 515, 926, 959 DMI → Desktop Management Interface dmidecode 361 dmsetup 583 DMZ → Demilitarized Zone DNS → Domain Name System dnsmasq 257, 494, 740 Dokumentation 273, 692 Domäne (DNS) 255 Domäne (IP) 342
1120
SACHVERZEICHNIS
Domäne (NIS) 540 Domäne (Samba) 595 domain → Domäne domain component 550 domaine → Domäne Domain Key Identified Mail 827 Domain Name System - 254, 547 – 735 dynamisches DNS 266 doodle 919 Doppelkreuz 56 DOS Bootmenü 489 Compatibility Region 476, 481 Start 370 DOSBox 453 DOSEMU 451 dosfsck 625, 960 dosfstools 578, 627 Dotted Quad Notation 243 Dovecot 809 dpkg 637, 682, 960 dpkg-preconfigure 648 dpkg-reconfigure 649 dpkg-sig 642 DPMS → Display Power Management Signaling DRBD → Distributed Replicated Block Device Dringlichkeit 16 drive → Laufwerk droit d’accès → Zugriffsrecht DrQueue 891 Druckauftrag 423 Drucker - 308, 321 Druckerserver 267 freigeben 606, 615 Klasse 432 Samba 607 Drucksystem 423, 424 DSA → Directory System Agent dselect 643, 961 DSL → Digital Subscriber Line
DSL-Modem 265 dsniff 876 dstat 914 du 623, 961 DUA → Directory User Agent Dual-Head 312 Dualsystem 1051 dumpe2fs 568 dumpen 346 dumpkeys 387 dupvserver 462 dvd+rw-tools 581 dvdrtools 581 DVI-Datei anzeigen 278 dvips 283 dwww 286 Dynamic Device Management 127, 589 Dynamic Host Configuration Protocol 257, 386, 493, 738 DynDNS 258, 759 e2defrag 569 e2fsck 624, 962 e2fsprogs 568 e2label 374 EAP → Extensible Authentication Protocol Ecartis 832 echo 76, 80, 85, 784 ECMA 119 580 ECMA 48 226 ECMA 94 173 écran → Bildschirm éditeur → Editor Editor 169 Emacs 157 nvi 177 Partitionseditor 626 vi 157, 177 vim 177 X-Ressourcen-E. 221 EDITOR 81 editres 221 edquota 535
SACHVERZEICHNIS
EDSS1 750 Edubuntu 23 Effective User Identifier 530 EFI → Extensible Firmware Interface EH → Exposed Host EIDE → Enhanced Integrated Drive Electronics Einbruchsmelder 922 einfrieren (Paketstatus) 662 Einfügemarke → Cursor Einfügen von Text (vi) 179 Eingabeaufforderung → Prompt einhängen 145, 152, 153 Einhängepunkt 118, 145, 374, 391 einloggen → anmelden Einrichtung Einrichtungsdiskette 344 Einrichtungsmedium 336 Einrichtungssystem 344, 368 Grundsystem 367 Konfigurationsdatei 651 Loadlin 486 Masquerading 766 NAT 766 Paket 660 Einsatzzweck 301 Eintrag (LDAP) 548 Einwahlverbindung – 263 E. benutzen 747 E. über ISDN 750 Email-Einstellungen 806 Fehlersuche 747 Modem 741 eject 148 Electronic Mail → Email ELSA → Enhanced Linux System Accounting Elternprozess 82 El Torito 347 El Torito Bootable CD Speicfication 580 Emacs 7, 33, 157, 181, 281, 825, 837 Email
1121
– 267, 797 Alias 805 Anschrift 817 Anschrift umschreiben 807 Client 817 E. automatisch abholen 823 Mail User Agent 817 Server einrichten 802 Spam 809 Versorger 817 Viren 910 Emulation 451 en-tête → Kopf enable 425, 432 encfs 583 encfsctl 583 Encrypted Filesystem 583 Enhanced Integrated Drive Electronics 314, 477, 716 Enhanced Linux System Accounting 561 enlightenment 203 Enterprise Volume Management System 333, 583 entfernen (Modul) 712 entité → Eintrag entrée standard → Standardeingabe Entwickler 4 environment → Umgebung environment 199 environnement → Umgebung Epiphany 232, 863 Epoche 441 equivs 653 equivs-build 655 equivs-control 653 Erlang 859 Escape-Taste 1060 esperluette → et-Zeichen ESSID → Extended Service Set Identifier et-Zeichen 68 etch 14, 674 eterm 226 eth0 128
1122
SACHVERZEICHNIS
Etherchannel 245 Ethernet 319 Ethernetkarte 238, 319, 722, 736 etherwake 402 ethtool 401, 725, 727 EUID → Effective User Identifier EUID (Shellvariable) 81 EURO-ISDN 750 European Computer Manufacturers Association 173 European Institute for Computer Antivirus Research 910 Eurosymbol 173 eval 112 EVMS → Enterprise Volume Management System Evolution 826 ex-Modus 180 example.com 245 Executable and Linkable Format 695 Exim 799, 802, 812, 911 exim4 (Logverzeichnis) 926 eximon4 807 exiscan 812 exit 49, 144 exit status → Rückgabewert Expanded Memory (BIOS) 363 Expansion (Shell) 84 experimental 13 export 59, 79 exportfs 391, 392 exportieren 77 exports 390, 591 Exposed Host 760, 930 ext2 565 ext3 570 ext4 571 Extended Memory (BIOS) 363 Extended Service Set Identifier 387 Extensible Authentication Protocol 762 Extensible Firmware Interface 360 FAI → Fully Automatic Installation
failover 894 fakeroot 671, 963 false 964 FAM → File Alteration Monitor famd 919 FAQ → Frequently Asked Questions Farbe 193 Farbraum 193 Farbtiefe 195 Fast Ethernet 319 FAT → File Allocation Table fc 81 fc-list 192 FCEDIT 81 fcheck 910 fd0 145 fdisk 327, 466, 564, 904, 964 fdisk(DOS/MS-Windows) 357 FDL → Free Documentation License fdutils 627 Fehler ISDN 754 Kern 703 Loadlin 492 NAT 773 netatalk 614 PPP 747 Samba 608 Fehlerdatenbank 298 Fehlermeldung 34 Feldvariable 88 fence 894 fenêtre → Fenster Fenster 183, 201 Fenster-Manager 185, 201, 217 Fensterwähler 214 ferme de serveurs → Cluster Festplatte Adapter 314 Gerätedatei 358 Name 356 Festplattenplatz, freier 622 fetchmail 799, 812, 818
SACHVERZEICHNIS
fetchmailconf 819 ffproxy 861 fg 70 FHS → File Hierarchy Standard fichier → Datei FIFO → Pipe, benannte P. FIGNORE 81 file → Datei file 964 File Allocation Table 578 File Alteration Monitor 919 filefrag 569 File Hierarchy Standard 119 fileschanged 919 file system → Dateisystem File System Check 569 Filesystem in Userland 583 Filesystem in Userspace 573 filesystems 564 File System User Identifier 530 File Transfer 267 File Transfer Protocol 793 fill 623 Filter bayessches F. 817 cat 134 Exim 815 Spam-F. 809 Virenfilter 910 filterproxy 861 find 68, 160, 531, 965 find (GRUB) 485 finddup 137 findstrip 137 finger 547 Fips 326, 349, 350 Firefox 862 Firehol 766 Firewall 239, 759, 764, 782, 796 Firewall Builder 766 Firewire 314 Firmware 360 flashen 364 Flexiserver 199 Floppy → Diskette
1123
floppy disc → Diskette fmirror 676 fnord (HTTPD) 859 Foire Aux Questions → Frequently Asked Questions Fokus 202 FOLDOC 294 Font – 177 Editor 189 Server 187 Fontconfig 192 Foomatic 432 for-Schleife (Shell) 94 force-reload 112 foreground → Vordergrund formatieren 345, 375, 627 For Your Information 235, 293 fosse de goudron → Teergrube FQDN → Fully Qualified Domain Name Fragezeichen 84 frame → Datenpaket free 967 FreeDOS 451 FreeNAS 316 FreeRADIUS 560 Free Software Directory 438 Free Software Foundation 438, 1079 Free Software Guidelines 13 Free Standards Group 3 Freeware 5 Freigabe 392 Frequently Asked Questions – 292, 836 Debian-FAQ 290 Linux-FAQ 292 UNIX-FAQ 292 freshclam 911 Freshmeat 292 Freudenknüppel 321 fromdos 67, 165 fsck 569, 623, 967 fsck.ext2 569 fsck.xfs 572
1124
SACHVERZEICHNIS
FSF → Free Software Foundation FSG → Free Standards Group fslsfonts 192 fstab 149, 391, 577, 613 FSUID → File System User Identifier ftp 795 FTP → File Transfer Protocol ftpgrab 676 ftpmirror 676 Fully Automatic Installation 344, 382 Fully Qualified Domain Name 735 FUNCNAME 81 Funktion (Shell) 108 Funkuhr 443 FUSE → Filesystem in Userland fuser 148, 968 fusermount 573, 583 fvwm 203 FYI → For Your Information G0 bis G4 398 GAG 493 Gaim 841, 842 Galeon 863 Gamin 919 Gamut 194 Garnierung 31 Gateway 239, 265, 732, 755 gbase 175, 248 gcc 451 gconftool-2 213 GDI → Graphics Device Interface GDI-Drucker 308 gdm 196, 198, 213, 537 GDM_XSERVER_LOCATION 81 gdmflexiserver 199 gdmsetup 197 gdmthemetester 197 Gebrauch 274 Gecko 862 GECOS-Feld 521 gedit 170 Gefängnis 1, 930
Geheimtext 269 Generality mask 732 General Public License 5, 7, 1079 General Purpose Mouse Interface 405 Generic Test for Unsolicited Bulk Email 815 Genmask → Generality mask Gentoo 17 geometry (GRUB) 485 Gerätebezeichnung 145 Gerätenummer 128 Gerätedatei 127, 145, 356, 574, 620, 1065 German ASCII 172, 1058 German Unix User Group 292 Geschichte (Debian) 290 Gesellschaftsvertrag 13, 1075 gestionnaire → Manager getfacl 126 getkeycodes 387 getmail4 818 getopts 82 getty 217, 502 geximon 807 gftp 797 Ghostscript 321, 423 GID → Gruppen-Identifier gidentd 782 GIMP 418 GIMPS → Great Internet Mersenne Prime Search GIMP Toolkit 81, 184, 187 gksu 525 Global File System 618 Global Positioning System 443 Global System State 398 Glyph 171 GMT → Greenwich Mean Time GNOME – 184, 208, 212, 863 Display Manager 81, 196 Email 826 FTP-Client 797 Info 285 Manual 281
SACHVERZEICHNIS
Power Manager 399 PPP-Konfiguration 749 System Monitor 43 gnome-accessibilty-themes 213 gnome-apt 645 gnome-core 213 gnome-desktop-environment 213 gnome-games 213 gnome-media 213 gnome-office 213 gnome-ppp 749 gnome-screenshot 234 gnome-session 200 gnome-session-save 200 gnome-smproxy 201 gnome-system-log 928 gnome-terminal 49, 213, 226 gnome-utils 213 gnome2-user-guide 213 GNU 7, 1079 GNU Free Documentation License 8, 1090 GNU General Public License 5 GNU Info 282 GNU Lesser General Public License 8, 1088 GNUmed 23 gnumeric 187 GNU Network Object Model Environment → GNOME gnupg 827 GNU Privacy Guard 271, 827 Gnus 837 GNUstep 208 GnuTLS 786 Gnuzilla 863 gpart 328, 469, 626 gpasswd 527, 969 gpg 641 GPL → General Public License gpm 405 gpmconfig 405 gpppon 747 gq 557 Grafikkarte 312
1125
Grand Unified Bootloader → GRUB graphical user interface → Benutzeroberfläche Graphics Device Interface 308 grappe de serveurs → Cluster Graue Liste (Email) 810 grave-robber 925 graveur → Brenner Great Internet Mersenne Prime Search 896 Greenwich Mean Time 364, 440, 442 grep 157, 970 GResolver 256 Grid Computing 889 group → Gruppe group 519, 521, 543 groupdel 971 groupe → Gruppe groupe de nouvelles → Newsgruppe groups 525, 971 GROUPS 81 growisofs 581 grpck 873 grsync 905, 907 grub 479 GRUB – 375, 466, 473 FAI 383 Kernparameter 708 PXE 496 Shell 476 Startbild 474 grub-floppy 476 grub-install 475, 479 grub-md5-crypt 476 grub-reboot 476 grub-set-default 476 grub-terminfo 476 Grundsätze (PAM) 537 Grundsystem einrichten 367 Gruppe – 81, 124, 519 aktive G. 520
1126
SACHVERZEICHNIS
Datei 123 G. hinzufügen 527 G. löschen 527 G. verwalten 525 ID 519, 524 Passwort 527 primäre G. 519, 521 sekundäre G. 519 Systemgruppe 524 Verwalter 527 vordefinierte G. 524 Zugriffsrecht 123 Gruppen-Deskriptor 565 Gruppenruf → Multicasting gs 321, 423, 971 gscanbus 338 gshadow 523 GTK_RC_FILES 81 gtkdiskfree 622 gtklp 432 GTUBE → Generic Test for Unsolicited Bulk Email Gültigkeitsbereich 77 guest (Benutzer) 521 GUI → Graphical User Interface Guide Advanced Bash Scripting 46 Bash G. for Beginners 46 Installation 337 Linux Administrator’s Security 899 Linux Kernel Module Programming 679 Securing and Optimizing Linux 899 Windows+BSD+Linux Installation 304 gunzip 972 guru 291 GUUG → German Unix User Group gv 283 gwget 797 gzip 973
Hacker 268, 291 HAL → Hardware Abstraction Layer half configured (Paketstatus) 662 half installed (Paketstatus) 662 hallo 663 hallo.c 668 halt 36, 974 halt (GRUB) 485 Ham 810 hard disk → Festplatte harden 932 Hardening 932 hardinfo 338 Hardlink → Link, harter Hardware 1, 306, 337 Hardware-Adresse → MAC-Adr. Hardware-Uhr 440 Hardware Abstraction Layer 338 Harvester 930 hash mark → Doppelkreuz Hauptkatalog → Home-Verzeichnis Hauptplatine 311 hda1 620 hda9 621 hdb1 621 hdparm 338, 389, 400, 974 head 165 Heartbeat 893 Heimatverzeichnis → Home-Verz. Heimverzeichnis → Home-Verz. help (GRUB) 485 Here Document 66 herunterfahren 36 Hex-Editor 170 Hexadezimalsystem 1051 hfsplus 579 hfsutils 579 hibernate 399 hide (GRUB) 483 Hierarchical File System 579 Hilfesystem 286 Hintergrund (Prozess) 68 hisax 751 HISTCMD 81
SACHVERZEICHNIS
HISTFILE 81 HISTFILESIZE 81 HISTSIZE 81 Hoax 907 Hochleistungs-Cluster 895 Hochverfügbarkeits-Cluster 892 Hogwash 924 hold (Paketstatus) 662 HOME 81 Home-Verzeichnis 81, 116, 140, 631 honeyd 929 Honeypot 929 Horde 828 host 256, 975 Host 238 host.conf 734 hostname 81, 250, 736, 976 HOSTNAME 81 hosts 254, 734 hosts.allow 594, 779 hosts.deny 594, 779 hosts.equiv 788 HOSTTYPE 81 HOWTO - 289 ACPI 398 Advanced Routing & Traffic Control 766, 773 APT 639, 672 BogoMIPS 309 Bootdisk 347 Bootprompt 716 CD-Writing 394, 580 CDROM 394, 580 Chroot-BIND 931 Cryptoloop 584 Debian repository 672 deutsches H. 289, 290 Dosemu 451 DVD 394 Ethernet 722, 728 Ethernet Bridge + netfilter 238, 766 Filesystems 145, 563, 580 Font 177
1127
Francophones 418 From Power Up To Bash Prompt 219 German 418 Hardware Compatibility 307 HTML 290 Index 289 Intkeyb 388 IP-Masquerade 691 IRC 840 Kernel 692 Kernel Build 679 Kiosk 867 LILO 469 Linux + Win9x + Grub 474 Linux + Windows 481 Linux Advanced Routing & Traffic Control 243 Linux Bootdisk 496 Linux Kernel 679 Linux keyboard and console 387 Linux Loadable Kernel Module 681 Linux Networking 237 Linux networking-concepts 237 Linux Wireless LAN 763 LVM 332 Mail-Administrator 797 Mail-User 797 Masquerade 764 Modem 741 Module 681 MP3-Burning 394 Multiboot with GRUB 474 NIS 540 NT OS Loader + Linux 481 Paket 290 PC-Card 307 PPP 741 Printing 422 Public Web-Browser 867 Ramdisk 578 Secure Programming for Linux and Unix 899 Security 899
1128
SACHVERZEICHNIS
Unicode 177 Unix and Internet Fundamentals 4, 219 UPS 404 UserModeLinux 456 VPN 868 Wake on LAN 401 Wireless 308 HP-UX 2 htop 44 HTT → Hyper-Threading Technology HTTP → Hypertext Transfer Protocol HTTP-Dämon 845 httrack 676 Hub 238 HURD 12 hwclock 440, 976 hwinfo 338 Hyper-Threading Technology 310 Hypertext Transfer Protocol 427 i18n → Internationalisierung i386 17 ia64 17 IANA → Internet Assigned Numbers Authority ICANN → Internet Corporation for Assigned Names and Numbers ICE → Inter Client Exchange Protocol Iceape 862 Icedove 825, 862 Iceweasel (Debian) 862 IceWeasel (GNU) 863 icewm 203 id 144, 519, 525, 977 IDE → Integrated Drive Electronics IDENT 781 identd 781 Identification Protocol 781 IDS → Intrusion Detection System IEEE-Adresse → MAC-Adresse IEEE 1394 314
IEEE 802.11 252, 761 if (Shell) 100 ifconfig 243, 729, 747, 873 ifdown 738 ifenslave 245 ifplugstatus 726 ifrename 725 IFS 82 ifstat 726, 915 ifup 738 IlohaMail 828 ils 925 ils2mac 925 imagemagick 234 IMAP → Internet Message Access Protocol IMcom 842 imprimante → Drucker incoming 795 identd 781 Industry Standard Architecture 312 inetd 781, 783 inetd.conf 783 inetutils 786 info 282, 977 Info (GNU) 282 Infrastruktur-Modus 253 init 36, 41, 477, 499, 504, 624, 978 init.d 109 initrd 477, 477, 478 initrd (GRUB) 485 initrd.gz 347 inittab 36, 391, 477, 501 INN 835 Inode 115, 374, 534, 565 inode-cat 925 inputrc 51 insmod 711, 979 install-mbr 326, 467 Installation → Einrichtung Installation Guide (Debian) 337 Instant Messaging 841 Integrated Drive Electronics 314 Integrated Services Digital Network 750
SACHVERZEICHNIS
integrit 919 Integrität 269 Intel Architecture 64 17 Inter Client Exchange Protocol 212 interface → Schnittstelle Interface (Netz) 242 interfaces 242, 257, 386, 736 interface utilisateur → Benutzeroberfläche interface utilisateur graphique → Benutzeroberfläche International Electrotechnical Commission 173 Internationalisierung 419 International Standardization Organization 173 Internet 9 Entstehung 235 FAQ 292 I. als Informationsquelle 291 I. über ISDN 750 IP-Adresse 242 Name 242 Netzdienst 267 Präsenz 268 Protokoll 258 Struktur 237 suchen 296 Versorger 262, 268 Zugang 262 Internet Assigned Numbers Authority 260 Internet Corporation for Assigned Names and Numbers 260 Internet Message Access Protocol 799, 818, 828 Internet Printing Protocol 427 Internet Protocol 243, 518 Internet Protocol Version 6 251 Internet Relay Chat 840 Internet Service Provider → Versorger Inter Process Communication 46, 67 Interrupt 338
1129
Intranet 244 Intrusion Detection System 922 Intrusion Prevention System 924 IO-Adresse 337 iostat 914 ip 243, 726, 730, 732 IP → Internet Protocol IP-Adresse 242, 342, 893 IP-Adresse, private 244 IPC → Inter Process Communication ipcalc 248 ipmaddr 725 IPP → Internet Printing Protocol iproute 243, 245, 726 IPS → Intrusion Prevention System IPsec → IP Security IP Security 266, 868 iptables 766 iptables-restore 771 iptables-save 771 iptotal 874 iptunnel 725 IPv6 251 ipvsadm 891 IRC → Internet Relay Chat IRC-Client 840 IRC-Server 841 ISDN → Integrated Services Digital Network isdnconfig 753 isdnctrl 753 isdnutils 751 ISO 10646 174 ISO 13490 580 ISO 15408 907 ISO 6429 226 ISO 646 172 ISO 6659-15 1051 ISO 8859 173 ISO 9660 147, 580 isolinux 493 ISP → Internet Service Provider iwconfig 763, 873 iwevent 763
1130
SACHVERZEICHNIS
iwgetid 763 iwlist 763 iwpriv 763 iwspy 763 Jabber 841 Jabber ID 842 jail → Gefängnis jailer 931 jailtool 931 jargon 291 Jargon 268 jeu de caractères → Zeichensatz JFS 573 Job (Drucken) 423 jobs 71 Jobverwaltung 68 Joliet Extension 580 Journal 518, 570 Journaled File System (IBM) 573 jove 181 joystick → Freudenknüppel Jumper → Steckbrücke Kabel 237 Kaella 21 Kalender 441 Kaltstart 338 Kanotix 24 Katalog → Verzeichnis Kategorie 15 kde (Metapaket) 210 KDE – 184, 208, 210 Display Manager 196 Email 827 Info 285 Manual 281 News 839 PPP-Konfiguration 749 System Guard 43 kde-core (Metapaket) 210 kde-devel (Metapaket) 210 kde-extras (Metapaket) 210 kde-i18n-de (Paket) 210
kdeaccessibility (Metapaket) 210 kdeadmin (Metapaket) 210 kdebase (Metapaket) 210 kdegames (Metapaket) 210 kdegraphics (Metapaket) 210 kdehelp 281, 285 kdelibs (Metapaket) 210 kdemultimedia (Metapaket) 210 kdenetwork (Metapaket) 210 kdeprint 432 K Desktop Environment → KDE kdeutils (Metapaket) 210 kdf 622 KDiskFree 622 kdm 196, 198, 210 keepalived 891 Kern – 2, 470, 477, 679 Automounter 153 Fehler 703 Konfiguration 686 NFS-Server 590 Option 692 Parameter 706, 716 Quellcode 685 übersetzen 682, 698 Version 683 kern.log 926 kernel → Kern kernel (GRUB) 485 kernel-doc 291 kernel-package 682, 699 kernel-packageconfig 699 kernel-pkg.conf 699 Kernel Logger 927 Kernmodul 681, 693, 711 Kernparameter – 706, 714 GRUB 708 LILO 708 Loadlin 488, 710 rdev 710 Syntax 707 Syslinux 710 Kette (Netfilter) 768
SACHVERZEICHNIS
Kette (PAM) 537 key → Taste, Schlüssel keyboard → Tastatur Keycode 320, 387 Keymap 320, 387 kill 45, 69, 71, 979 Kill-Skript 217 killall 980 Killfile 836 kinfocenter 338 Kiosk 862, 864, 866 kisdn 751 Kismet 913 Klammer, eckige 84 Klammeraffe 171, 817 Klammererweiterung (Bash) 91 Klartext 269 klogd 927 KMail 827 kmod 113, 713 Kmyfirewall 766 Knetfilter 766 knews 838 Knode 839 Knoppix 9, 21, 496 Knoten 238 known_hosts 790 koffice (Paket) 210 koffice-i18n-de (Paket) 210 Kommando Eingabe 31 externes K. 59 Geschichte 62, 81 internes K. 59 K. gruppieren 74, 78 Substitution 87 Verkettung 66 Vervollständigung 61 Kommandointerpreter 31, 46 Kommandozeile 30, 33 Kommentar (Shell) 94 Konfiguration – 38 Bash 51 GNOME 213
1131
GRUB 478 KDE 210 Kern 686 LILO 471 Maus 405 Multi Router Traffic Grapher 880 Namensauflösung 734, 735 Paket 647, 651 Samba 600 serielle Schnittstelle 742 Skript 648 snmpd 882 Standard Fenster-Manager 204 Konfigurationsdatei 117, 139, 143, 651 Konfigurationseditor 216 Konflikt 659, 660 konqueror 143 Konqueror 216, 864 konsole 49, 210, 226 Konsole GNOME 49, 232 K. umschalten 40, 199 KDE 49, 232 Maus 405 virtuelle K. 39, 49, 372, 399 X11 49, 226 Kontextmenü 234 Konto 27, 378, 519, 903 Konto (PAM) 537 Kontrollangabe (PAM) 538 Kontrolldatei 653, 664 Kontrollleiste 211 Kontrollterminal 62, 68 Kopete 843 Kopf 314 Kopfzeile (Email) 800 kopieren 135, 149 Korn-Shell 114 kppp 749 kprinter 432 Kryptologie 269 ksnapshot 234 kspread 187 ksymoops 926 ksysv 512
1132
SACHVERZEICHNIS
kterm 226 Kubuntu 23 kudzu 338 kuser 527 kwin 203 L2TP → Layer 2 Tunneling Protocol l2tpd 872 Label (Partition) 374 LaBrea 930 LAN → Local Area Network LAN-Analyse 876 Landmark-Test 451 LANG 82 LANGUAGE 82 lanmap 241 Laptop 307 Large Block Device 566 last 560 Last 881 lastb 560, 873 lastcomm 562 Last File Manager 216 lastlog 560, 873, 926 Lastverteilung 891 Laufwerk 578 Laufwerksbuchstabe 356 Lautstärkeregler 214 Layer 2 Tunneling Protocol 868, 872 lazarus 925 LBA → Logical Block Addressing lc 870 LDAP → Lightweight Directory Access Protocol LDAP-Account-Manager 554 LDAP-Client 551 LDAP-Server 550 LDAP-Webmin 556 ldapadd 550 LDAP Data Interchange Format 547 ldapsearch 550 LDAP Sync Replication 551
ldconfig 980 ldd 537, 981 lde 567, 569, 626 LDIF → LDAP Data Interchange Format ldirectord 891 LDP → The Linux Documentation Project Leafnode 835 Leasetime (DHCP) 738 lecteur → Laufwerk lecteur de nouvelles → Newsreader Leichenbeschauer 924 Leistung (PAM) 537 lenny 14, 674 Leserecht 122 less 134, 166, 981 LESSCHARSET 167 LESSCLOSE 169 lessfile 168 LESSOPEN 169 lesspipe 168 LFS → Linux From Scratch LGPL → Lesser General Public License libnss-ldap 553 libreadline 51 Lichtwellenleiter 237 lien → Link lighttpd (HTTPD) 859 Lightweight Directory Access Protocol 547 ligne de commande → Kommandozeile lilo 982 LILO 375, 469, 708 lilo.conf 471 liloconfig 471 limits.conf 539 LiMux 24 linda 666 line feed → Zeilenvorschub LINENO 82 LINES 82 Link
SACHVERZEICHNIS
– 129, 435 harter L. 129 L. löschen 131 symbolischer L. → weicher L. weicher L. 130 Link Aggregation 238, 245 linkcat 778 Linspire 24 linux 457 Linux (Geschichte) 8 Linux-PAM 536 linux 686 LinuxBIOS 366 Linux Directory Services 540 Linux Documentation Project → The Linux Documentation Project Linux Foundation 3 Linux Loader 375 Linux Online 292 Linux Security Module 517 Linux Standard Base 3 Linux Terminal Server Project 183 Linux Today 292 Linux Unified Key Setup 585 Linux User Group 292 Linux Userland File System 573 Linux Virtual Server 891 Linux VServer 460 lire 928 Liste Graue L. 810 Mailing L. 830 Schwarze L. 810 Weiße L. 810 liste de contrôle d’accès → Zugriffskontrollliste liste de diffusion → Liste (Email) Literal 157 Live System 10, 21 Livingstone 560 Lizenz 1077, 1079 lm-sensors 900 lmhosts 596 ln 129, 130, 983
1133
lnstat 726 loadavg 881 load balancing → Lastverteilung loadkeys 320, 387, 984 Loadlin 370, 486, 710 load sharing → Lastverteilung Local Area Network 237, 755 localdomain 250 locale 419 Locale 82, 419 locale-gen 420 locale.alias 420 locale.gen 420 localhost 249, 735 locate 163, 984 lock (GRUB) 485 Lock-Datei → Sperrdatei lockvc 399 log-analysis 928 Logbuch 560, 925 logger 985 Loghost 927 Logical Block Addressing 325 Logical Volume 331, 333 Logical Volume Manager 332, 583 logiciel → Software login 502, 786, 986 login.defs 520 Login: 28 LOGNAME 82 logrotate 560, 927 logcheck 928 logtool 928 logwatch 928 Lokalisierung 419 Look and Feel 208 loop → Schleife Loop-AES 586 Loopback-Adresse 244 Loopback-Device 574 Loopback-Gerät 518 Loopback-Interface 249 löschen Benutzer 527 Datei 129, 136
1134
SACHVERZEICHNIS
Gruppe 527 Journal 568 Link 131 Partition 327, 626 Swapdatei 634 Text (vi) 179 Verzeichnis 142 losetup 574 lost+found 569 lp 425, 986 lpadmin 425, 431 lpalt 425 lpc 426 lpd 426 lpfence 425 lpmove 425 lpoptions 432 lpq 426, 986 lpr 426, 987 lprm 426, 987 lprng 426 lpsched 425 lpshut 425 lpstat 425 ls 33, 82, 120, 127, 139, 141, 176, 574, 988 LS_COLORS 82 lsattr 568, 989 lsdev 990 lshal 338 lshw 338 LSM → Linux Security Module lsmod 574, 712, 990 lsof 148, 990 lspci 338, 991 lsscsi 338, 394, 991 lsusb 338, 904, 992 LTSP → Linux Terminal Server Project Lucent 560 LUFS → Linux Userland File System LUG → Linux User Group LUKS → Linux Unified Key Setup Luma 559
luser 291 Lustre 619 lvm 331 LVM → Logical Volume Manager LVS → Linux Virtual Server Lynx 864 MAC → Media Access Control MAC-Adresse 243 Mac-on-Linux 454 MACHTYPE 82 Macintosh 613 mactime 925 magicfilter 426 Magnetband 144 mail 824, 992 Mailbox-Format 799 MAILCHECK 82 Mail Delivery Agent 799 Maildir 799 Mailing-Liste (Debian) 296 Mailingliste 830 Mailman 830–832 MAILPATH 82 Mailreader 828 Mail Retrieval Agent 799, 818 Mail Transfer Agent 799, 802 Mail User Agent 799, 817 mailx 824 main 673 mainboard → Hauptplatine maint-guide 291 Maintainer 11 Majordomo 830 Major Number 128, 1065 make 438 make-fai-bootfloppy 383 Makefile 438, 682 Makefile 668 makeinfo 283 makejail 931 Makro (Bash) 53 Malware 907 man 141, 274, 993 man2html 280
SACHVERZEICHNIS
Managed Object 877 Management Information Base 877 Manager Abfolge beim Start 217 Datei 143, 216 Debian Font 192 Display 195, 217 Fenster 201, 217 Passwort 30 Sitzung 200, 217 SNMP 877 System 37 manche à balais → Freudenknüppel Mandriva 9 manedit 669 Manual – 141, 274, 669 Abschnitt 275 Anzeigeprogramm 279 Aufbau 276 Emacs 281 GNOME 281 KDE 281 Manualseite drucken 277 Manualseite suchen 278 Sprache 277 map (GRUB) 482 Map-Installer 471 mapped memory (BIOS) 364 mapper 583 Masche 237 Maske 126, 527 MasqMail 809 Masquerading → Network Address Translation Massenspeicher 144 Master Boot Record 323, 375, 465, 476 Master Browser (SMB) 596 matériel → Hardware Matrix Port 238 Maui Cluster Scheduler 890 Maus 321, 405 Mausklick 212 Maximal Transfer Unit 730 Maximum Segment Size 773
1135
Maximum Transmission Unit 773 mb2md 800 mbchk 476 Mbox 799 mbr 467 MBR → Master Boot Record mbrowse 879 mcopy 365 mcrypt 582 md5crypt (GRUB) 484 md5sum 271 MDA → Mail Delivery Agent mdetect 338 Media Access Control 243 Media Converter 239 Media Independent Interface 725 Medussa 896, 903 Mehrfrequenzwahlverfahren 745 memdisk 495 mémoire → Speicher mémoire de masse → Massenspeicher mémoire vive → Arbeitsspeicher memory → Arbeitsspeicher Memory Hole (BIOS) 363 memtest 498 menu 205 menu.lst 474, 475, 478 Menü 205 Message Digest Algorithm 5 270 messagerie électronique → Email messagerie instantanée → Instant Messaging messages 477, 926 Message Submission Agent 799 metacity 203 Metapaket 23, 646, 659 Metasuchmaschine 297 Metazeichen find 162 M. in regulärem Ausdruck 157 M. quoten 85 Shell 84, 157 Metric 730 Metrolink 185
1136
SACHVERZEICHNIS
mformat 627, 994 mgetty 503 MIB → Management Information Base micq 842 micro-httpd (HTTPD) 859 micro-proxy 861 Microchannel 695 midentd 782 Midnight Commander 216 Migrationsleitfaden 305 migrationtools 552 migrieren 24, 305 MII → Media Independent Interface mii-tool 725 MIME → Multipurpose Internet Mail Extensions MIME-Typ 430, 827 Minderbenutzer 521, 677 minewt 778 mini-HOWTO 289 mini-httpd (HTTPD) 859 Minimalist 830, 832 Minix 310, 565 Minor Number 128, 1065 mirror 676 Mirror → Spiegel Mischen von Versionen 437 MIT Magic Cookie 223 Mitteleuropäische Zeit 440, 442 mkbimage 476 mkboot 496 mkdir 138, 141, 994 mkdosfs 578, 627, 995 mke2fs 627, 996 mke2fs.conf 627 mkfifo 66, 133 mkfontdir 192 mkfontscale 192 mkfs 574, 627, 904, 995 mkfs.vfat 578 mkfs.xfs 572 mkiosfs 394 mkisofs 580, 581
mknod 133, 997 mkreiserfs 572 mksmbpasswd 599 mkswap 632, 998 mktemp 998 mlmmj 832 MO → Managed Object modconf 682, 713, 999 Modem 741 modinfo 999 modprobe 574, 711, 712, 999 Modul entfernen 712 ISDN 751 M. automatisch laden 713 M. laden 711 Parameter 716 Modul (PAM) 537 Modul (Webmin) 885 MoinMoin 855 mol 454 mon 891 Monit 887 Monitoring (Cluster) 891 monter → einhängen more 134, 166, 1000 most 135 motd 143 mot de passe → Passwort moteur de recherche → Suchmaschine motherboard → Hauptplatine Motif 184 Motif Window Manager 202, 203 mount → einhängen mount 146, 574, 620, 1001 mounten → einhängen mouse → Maus MouseSystems 406 Mozilla 862 MRA → Mail Retrieval Agent MSA → Message Submission Agent MSDOS.SYS 490
SACHVERZEICHNIS
MSN → Multiple Subscriber Number MSS → Maximum Segment Size MS Windows 304, 480 mt 1002 MTA → Mail Transfer Agent mtools 145, 147, 627, 1003 MTRR → Memory Type Range Register MTU → Maximum Transfer Unit MUA → Mail User Agent Multibooting 479 Multicasting 244, 250 Multihead (X11) 414 Multimedia 23 Multiple Devices 333 Multiple Subscriber Number 751 Multipurpose Internet Mail Extensions 827 Multiseat (X11) 418 multitail 928 Mutt 799, 825 mv 138, 1005 mwm 202, 203 MX-Record 256 Nachbarschaft 860 Nachrichtendienst 267 Nagios 728, 924 Name Auflösung 254 Benutzer 27, 82, 521, 903 Domain Name System 254 eigener Rechner 736 Gruppe 520 IP-Adresse zuordnen 734 NetBIOS/CIFS 595 Programm 32 X-Ressource 220 named 254, 255 nameif 725 Namensauflösung N. bei PPP 744 N. konfigurieren 734, 735 WINS 596
1137
Nameserver 267, 342, 734 NAPT → Network Address Port Translation NAS → Network Attached Storage NAT → Network Address Translation Nationales Metrologie Institut 442 National Language Support 419 National Physical Laboratory 442 National Security Agency 933 Native Language Support 173 nautilus 143 Nautilus 214, 216 navigateur → Browser NBP → Network Bootstrap Program nc 778, 785, 787 NDIS → Network Driver Interface Specification NDIS-Wrapper 253 Nessus 923 net-tools 725 Netatalk 613 NetBEUI 594 NetBIOS 594 NetBIOS over TCP/IP 596 netbug 726 netcat 778, 785, 787 Netcraft 914 Netfilter 766 netgrep 778 Netiquette 836 Netizen 268 Netnews 295, 834 Netscape 837, 862 netstat 260, 725, 732, 873, 1069 network → Netz Network Address Port Translation 759, 764 Network Address Translation 266, 759, 764, 773 Network Administrator’s Guide 237 Network Attached Storage 316, 905 Network Bootstrap Program 494
1138
SACHVERZEICHNIS
Network Driver Interface Specification 253 Network File System – 518, 590, 621 Client 590 Datei-Attribut 591 Export 591 Server 590, 591 Sicherheit 594 Verzeichnis einhängen 592 Network Information Service – 540, 547, 885 Client 543 Domäne 540 Master-Server 541 NISplus 540 Slave-Server 545 yppasswd 545 Network News Transfer Protocol 834 networks 735 Network Time Protocol 443 Network UPS Tools 902 Netz – 1, 237 Adresse 249 Dateisystem 590 Dienste für Macintosh 613 Information 341 Konfiguration 728, 736, 739 Laptop 739 MS Windows 595 Netzdienst 267 Server-Dienst 783 Virtuelles Privates N. 867 Zugangskontrolle 778 Netz-File-System 267 Netzadapter → Netzkarte Netzadresse 342 Netzinterface → Netzkarte Netzkarte 238, 242, 722, 728 Netzmaske 247, 251, 342 Netzmonitor 923 newgrp 520, 526, 1006 News 834
Newsgruppe 292, 834 Newsreader 834, 835 Newsserver 835 newvserver 460 NFS → Network File System nfs-common 391 nfs-kernel-server 590 nfs-server 590 Nginx (HTTPD) 859 nice 1006 Nictools 401, 726 NIS → Network Information Service NLS → National Language Support nmap 920 nmbd 392 NNTP → Network News Transfer Protocol no-break space 173 nobody (Benutzer) 521 node → Knoten nohup 1007 nom d’utilisateur → Benutzername non-free 673 Non-US-Archiv 640 Notebook 307 nœud → Knoten noyau → Kern npadmin 432 NSA → National Security Agency nslookup 256 nsswitch.conf 543, 553, 734 nstat 726 NT-Dateisystem 579 NTFS → NT-Dateisystem ntfsprogs 579 NTP → Network Time Protocol NTP-Pool 444 ntp.conf 443 ntp.drift 443 ntpd 443 ntpdate 445, 1007 ntpq 445 Nullbyte 115 nullidentd 782
SACHVERZEICHNIS
number sign → Doppelkreuz nut 404 NUT → Network UPS tools nvi 177 Nvidia 410 nvidia-installer 411 nvidia-settings 411 nvidia-xconfig 411 Object Identifier 548, 877 Objekt (LDAP) 546 Objektklasse (LDAP) 546, 549 octet → Byte OID → Object Identifier oidentd 782 Oktalsystem 1051 Oktett 121 OLDPWD 82 oldstable 13 oleo 187 omt 676 Online-Handbuch → Manual oops 861 OpenAFS 594 Open Anti-Virus Project 910 OpenBIOS 366 Openfiler 316 Open Group 2, 3 OpenLDAP 550 openMosix 890 OpenMP 895 Open Office 825 OpenPAM 536 OpenRADIUS 560 Open Router 764 Open Software Foundation 184 Open Source 6, 1077 Open Source Education Foundation 23 OpenSSH 789 OpenSSL 786, 872 Openswan 868, 872 Open Type Format 191 OpenView 877 OpenVPN 872
1139
OpenVZ 1, 456 Opera 864 operating system → Betriebssystem OPTARG 82 OPTERR 82 Optimized Power Management 399 OPTIND 82 Option 33, 374, 708 Oracle Cluster File System 619 ordinateur → Rechner Ordner → Verzeichnis Organizationally Unique Identifier 243 OSTYPE 82 OUI → Organizationally Unique Identifier owner → Besitzer pacct 561 package → Paket packet → Datenpaket Packet Sniffer 778 Packet Toolkit 778 packit 778 PADS → Passive Asset Detection System page de base → Startseite Pager 164 Paket Abhängigkeit 659 Auswahl 662 Dateiname 657 Einrichtung 660 Erstellung 291 Format 636 Inhalt 658 Kern kompilieren 684 Konfiguration 647, 651 Konflikt 660 Manager 637 Metapaket 659 Name 32, 657 P. ersetzen 660 Pre-Depends 660 Quellcode 658, 675
1140
SACHVERZEICHNIS
Rechnerarchitektur 657 RPM-Paket 438 Status 661, 662 Übergangspaket 659 Upstream-Version 657 Version 657 Verwaltung 643, 657 virtuelles P. 659 vorgesehener Status 662 Paketliste 11, 15 Paketsystem 635 Paketto 778 pam.d 537 Panel 214 PAP → Password Authentication Protocol paquet → Paket parafoudre → Überspannungsschutz parallele Schnittstelle 322, 723 Parallel Line Internet Protocol 725 Parallel Virtual File System 895 Parameter Bootparameter 370 ISDN 752 Kern 706, 714 Loadlin 488 Treiber 716 paratrace 778 pare-feu → Firewall parted 349, 481, 626, 1007 Partition – 322, 565 Aufteilung 330 DOS/MS-Windows 357 eingehängte P. anzeigen 620 erweiterte P. 323 Gerätedatei 358 Linux 358 logische P. 323, 359 MS-Windows NT 358 Name 356 P. automatisch einhängen 153 P. einhängen 628 P. formatieren 627
P. verkleinern 350 primäre P. 323, 358 Typ 323 Partitionierung – 348, 373 manuelle P. 353 P. ansehen 327 P. planen 327 P. unter DOS/MS-Windows 350 Partitionseditor 626 Partitionstabelle 323, 469, 481 partition table → Partitionstabelle passerelle → Gateway passive (FTP) 796 Passive Asset Detection System 920 Passphrase 29 passwd 525, 528, 903, 1008 passwd (Datei) 35, 521, 528, 543 passwd.adjunct 523 Password Authentication Protocol 744 Passwort – 29, 521, 899, 903 Alterung 903 BIOS 363 eigenes P. ändern 525 Festplatte 389 GRUB 484 Gruppen-P. 527 LDAP 551 Lebensdauer 527 Manager 30 PAM 539 Root 378 Samba 597, 608 Schatten-P. 523 VNC 791 patch 1009 Patch 704, 1009 path → Pfad PATH 57, 59, 82 Path Maximum Transmission Unit 773 PC-Card 307
SACHVERZEICHNIS
pcat 925 PCI → Peripheral Component Interconnect PCI Latency Timer 364 PCL → Printer Command Language PCMCIA → PC Card PDU → Protocol Data Unit PECL → PHP Extension Code Library Peer (NTP) 443 Peer-to-Peer-Cluster 891 Perdition 818 perforate 137 Peripheral Component Interconnect 312, 518 perl 157 Perl 46, 113 perluète → et-Zeichen permission → Zugriffsrecht Pfad 132 Pfeiltaste 1060 PGP → Pretty Good Privacy PHP 851, 919 PHP Extension Code Library 919 phpldapadmin 551 phpsysinfo 875 Physical Device 333 Physical Extent 333 Physical Volume 333 Physikalisch-Technische Bundesanstalt 441 Piconetz 764 PID → Prozess-Identifier pidentd 782 pilote → Treiber Pine 825 ping 731, 748, 873, 1010 Pinning 656 Pipe 66, 82, 806 PIPESTATUS 82 Pixar 14 plain text → Klartext Plattentest 317
1141
PLIP → Parallel Line Internet Protocol plipconfig 725 Plug and Play 338 Pluggable Authentication Modules 536 pmap 44 PMTU → Path Maximum Transmission Unit poff 747, 1011 poignée → Freudenknüppel Point-Release 14 Point-to-Point Protocol – 263, 741, 868 Adresse 730 Fehlersuche 747 PPPoE 266 Verbindung 251 Point-to-Point Tunneling Protocol 266, 868 pointing device → Zeigegerät police → Font Policy (Debian) 290, 520 Policy (Netfilter) 768 polipo 861 pollupostage → Spam pon 747, 1011 POP → Post Office Protocol popd 81 Poptop 869 Port (Anschluss) 238 Port (IP) 258, 786, 1069 Portable Document Format 422 Port Forwarding 760, 765 Portierung 15 portmap 594 Port Mirroring 238 Portscanner 919 portsentry 921 Port Triggering 760 Port Trunking 238, 245 Portweiterleitung 266 Pos1-Taste 1060 Positionsparameter → Positionsvariable
1142
SACHVERZEICHNIS
Positionsvariable 75 POSIX 3 Postfix 809 postinst-Skript 647, 661 Postman 828 Post Office Protocol 799, 818 postrm-Skript 661 PostScript 283, 321, 422, 615 PostScript Printer Description 432, 615 PostScript Type1 Format 191 pot de miel → Honeypot powerd 404 powerfail 404 PowerNow 399 poweroff 36 PPD → PostScript Printer Description PPD-Datei 615 PPID 82 PPP → Point-to-Point Protocol pppconfig 743 pppd 263 pppstats 1011 PPTP → Point-to-Point Tunneling Protocol pptp-linux 869 pptpd 869 Pre-Depends 660 Pre-shared Key 762 Preboot Execution Environment 238, 348, 493 preinst-Skript 660 Prelude 922 prerm-Skript 660 Pretty Good Privacy 271, 827 primitive → Systemaufruf PrintAnalyzer 431 printcap 426 printenv 79, 1012 printer → Drucker Printer Command Language 422 Printserver 423 prison → Gefängnis privoxy 861
proc 587, 620 processeur central → Zentralprozessor procinfo 1012 Procmail 809 profile 51, 57 Progeny Debian 24 Prompt 31, 83 PROMPT_COMMAND 83 propriétaire → Besitzer protocol → Protokoll Protocol Address Resolution P. 725 Appletalk P. 613 Bootstrap P. 257 Challenge Handshake Authentication P. 744 Desktop Communication P. 212 Dynamic Host Configuration P. 257, 738 Extensible Authentication P. 762 File Transfer P. 793, 794 Identification P. 781 Inter Client Exchange P. 212 Internet Message Access P. 799 Internet P. 243 Internet Printing P. 427 Layer 2 Tunneling P. 868 Lightweight Directory Access P. 547 Network News Transfer P. 834 Network Time P. 443 Parallel Line Internet P. 725 Password Authentication P. 744 Point-to-Point P. 263, 741, 868 Point-to-Point Tunneling P. 266, 868 Post Office P. 799 Reverse Address Resolution P. 725 Rock Ridge Interchange P. 580 Routing Information P. 730 Server Message Block P. 594 Simple Mail Access P. 818 Simple Mail Transfer P. 799
SACHVERZEICHNIS
Simple Network Management P. 877 Temporal Key Integrity P. 762 Transmission Control P. 261 Trivial File Transfer P. 493 User Datagram P. 261 Virtual Router Redundancy P. 891 X Display Manager Control P. 195 X Font Service P. 187 Protocol Data Unit 879 protocols 261 Protokoll 258, 261, 922, 925 provider → Versorger proximité → Nachbarschaft proximity → Nachbarschaft Proxy (APT) 677 Proxy (IMAP) 818 Proxy (IRC) 841 Proxy (Web) 860 Prozess – 41 P. bedingt ausführen 73 P. beenden 71 P. im Hintergrund starten 68 P. verwalten 68 Prozess-ID 68 Status 72 zwischen P. umschalten 69 Prozessor 309, 364 Prüfsumme 270 ps 42, 68, 72, 530, 873, 1012 PS1 83 PS2 83 PS3 83, 97 PS4 83 Pseudo Terminal Slave 621 psi 842 PSK → Pre-shared Key pstree 43, 1013 PTB → Physikalisch-Technische Bundesanstalt pts 621 PTS → Pseudo Terminal Slave
1143
Public Domain 5 Pulswahl 745 pump 738 Punktdatei 139 pure-ftpd 794, 931 pushd 81 PVFS → Parallel Virtual File System pwck 873, 1013 pwd 140, 1014 PWD 83 PXE → Preboot Execution Environment pxelinux 493 Pykota 432 Python 113 python-fam 919 QEMU 453 qmail 808 QoS → Quality of Service Qt → Quasar Toolkit Quality of Service 726 Quasar Toolkit 184, 187 Quellcode 5, 682, 685 Quellcodepaket 658, 667, 675, 685 queue 891 Quickml 832 quit (GRUB) 485 quota 535, 1014 Quota → Diskquota Quota (CUPS) 431 quotacheck 535 quoten 158 r-Kommando 787 racine → Wurzel RADIUS → Remote Authentication Dial In User Service RAID → Redundant Array of Independent Disks RAID-Level 333 RAM → Random Access Memory Ramdisk 344, 477, 576 RANDOM 83
1144
SACHVERZEICHNIS
Random Access Memory 311 rarp 725 RARP → Reverse Address Resolution Protocol Rasterfont 190 Raster Image Processor 422 Raute → Doppelkreuz rawrite 346 rc0.d 511 rc1.d 511, 881 rc2.d 511, 880 rc6.d 511 rcconf 512 rcp 788 rcS 505 rdev 710, 1014 RE → regulärer Ausdruck readline (Bibliothek) 51 README.Debian 288 readonly 79 Real Time Clock 398, 440 Real User Identifier 530 RealVNC 791 reboot 36, 1015 reboot (GRUB) 485 Rechner 1 Recht (PAM) 537 recode 67, 165, 1015 Recovery Mode 380 Red Hat 9 Red Hat Cluster Suite 890, 894 Red Hat Linux Security Guide 899 Red Hat Package Manager 438 redirection → Umleitung Redundant Array of Independent Disks 318, 333 Reflektor 836 Regel (Netfilter) 768 Regel (PAM) 537, 538 regulärer Ausdruck 157, 166, 178 Reiser4 572 ReiserFS 572 reiserfsck 572 Reiter 232 reject 425
Relais (Email) 800 Release 337 Remote Authentication Dial In User Service 560 Remote Execution 267 Remote Statistics System 928 Rendering Engine 862 Rendezvous 739 renice 1016 répartition de charge → Lastverteilung Repeater-Modus 405 répertoire → Verzeichnis (Dateien) répertoire de travail → Arbeitsverzeichnis Répertoire (Zeichenvorrat) 171 replace (Paketeigenschaft) 660 repquota 535 request → Druckauftrag Request For Comments – 293, 1072 RFC 0791 243 RFC 0854 785 RFC 0862 784 RFC 0863 784 RFC 0864 784 RFC 0867 784 RFC 0959 793 RFC 1112 244 RFC 1122 235 RFC 1123 235 RFC 1179 426 RFC 1191 773 RFC 1305 443 RFC 1334 744 RFC 1350 493 RFC 1413 781 RFC 1459 840 RFC 1462 235, 236 RFC 1519 248 RFC 1661 263, 741 RFC 1918 244 RFC 1933 251 RFC 1939 799, 818 RFC 2045 827
SACHVERZEICHNIS
RFC 2060 818 RFC 2132 741 RFC 2338 891 RFC 2347 493 RFC 2401 868 RFC 2433 744 RFC 2460 251 RFC 2606 245 RFC 2616 427 RFC 2637 868 RFC 2644 403 RFC 2661 868, 872 RFC 2663 764 RFC 2821 797, 799 RFC 2822 797 RFC 2849 547 RFC 2865 560 RFC 2910 427 RFC 2911 427 RFC 3022 759, 764 RFC 3028 816 RFC 3056 251 RFC 3193 872 RFC 3330 244 RFC 3377 547 RFC 3380 427 RFC 3410 877 RFC 3439 892 RFC 3457 868 RFC 3501 799 RFC 3629 177 RFC 3931 868, 872 RFC 3977 834 RFC 4155 799 RFC 4251 789 RFC 4330 443 RFC 4346 786 RFC 4667 868 RFC 4810 905 requête → Druckauftrag Rescue-Diskette 344 Rescue-Modus 30 réseau → Netz réseau étendu → Wide Area Network
1145
réseau local → Local Area Network Réseaux IP Européens 244 reset 35, 1017 resize 231 resize2fs 569 resolv.conf 255, 735, 739 Ressource freigeben (Samba) 606 X11 219 restart 112 retchmail 818 retour chariot → Wagenrücklauf Rettungsdiskette 344 Rettungssystem 21 return value → Rückgabewert Reverse Address Resolution Protocol 725 Reverse Proxy 860 Revision (Debian) 13 RFC → Request For Comments RGB-Farbmodell 193 Rijndael-Verschlüsselung 269 Ring 237 RIP(1) → Raster Image Processor RIP(2) → Routing Information Protocol RIPE → Réseaux IP Européens RIPLinux 498 rkhunter 910 rlogin 788 rlpdaemon 425 rm 136, 142, 1018 rmdir 142, 1018 rmmod 712, 1019 Roaring Penguin 872 Rock Ridge Interchange Protocol 580 Rollbalken 233 Rollkugel 321 root 520 Root 37, 378 root (englisch) → Wurzel root (GRUB) 485 Rootdateisystem 714 Rootdiskette 344
1146
SACHVERZEICHNIS
Rootkit 907, 909 rootnoverify (GRUB) 481 Rootpartition 329 rootstrap 457 Rootverzeichnis → Wurzelverzeichnis Roster 842 rotieren 560 Round-Robin-Verfahren → Rundlauf-Verfahren route 247, 725, 732, 748, 1019 routef 726 routel 726 Router 239, 246, 755 Routing 251, 772 Routing-Tabelle 733 Routing Information Protocol 266, 730 Roxen (HTTPD) 859 RPM-Paket 438 RSA Factoring Challenge 896 rsh 787 rsnapshot 905, 907 rsync 905 rtacct 726 rtin 837 rtmon 726 Rtnetlink-Socket 726 rtstat 726 Rückgabewert 73 RUID → Real User Identifier Rundlauf-Verfahren 891 Rundruf → Broadcasting runlevel 1019 Runlevel 217, 499, 508, 511 ruptime 914 rwwrtwin 346 rxvt 49, 226 S-ATA → Serial ATA S1 bis S5 398 sa 562 sa-exim 816 sac 562 Saidar 44
samba 599 Samba 392 Einführung 594 Einrichtung 598 Fehler 608 Konfiguration 600, 611 Logverzeichnis 926 Ressource freigeben 606 testen 608 sambaconfig 598 Samba Web Administration Tool 598, 600, 611 Samhain 922 sarge 14, 674 SASL → Simple Authentication and Security Layer saut de ligne → Zeilenvorschub sauvegarde → Sicherungskopie savedefault (GRUB) 478, 486 sc 187 Scancode 320, 387 scandetd 921 scanlogd 921 scanpci 338 scanrand 778 Schaltsekunde 442 Schattenpasswort 523 Schema (LDAP) 548 Schlappscheibe → Diskette Schleife (Shell) 94–96 Schlüssel 269 Schnellstartleiste 211 Schnittstelle parallele S. 322, 723 serielle S. 405, 742 Schoolforge 23 Schrägstrich (im Pfad) 115 Schreibrecht 122 Schwarze Liste (Email) 810 scope → Gültigkeitsbereich Scoring 836 scp 790, 1019 screen → Bildschirm screen 231 Screenshot 234
SACHVERZEICHNIS
script 1020 script de commandes → Shellskript Scrollbar 233 SCSI → Small Computer Systems Interface scsiinfo 338 sdb1 621 sdm 225 SeaMonkey 862 Sebek Suite 930 Second extended Filesystem 565 SECONDS 83 secteur d’amorçage → Bootsektor secure-delete 137 Secure APT 641 Secure Display Manager 225 Secure Internet Live Conferencing 841 Secure Shell 83, 224, 760, 789, 868, 905 Secure Sockets Layer 786 securetty 786 Securing Debian Manual 899 Security Framework 517 secvpn 869 sed 157, 165, 170, 1021 Seitenbeschreibungssprache 422 Sektion 15 Sektor 314 Selbstdatenschutz 272, 899 select 83 select-Auswahl (Shell) 97 Self-Monitoring, Analysis and Reporting Technology System 390 SelfHTML 291 SELinux 517, 933 Sendmail 808, 824 sensors 900 sensors-detect 900 Serial ATA 314 serielle Schnittstelle 405, 742 Server Dämon 259 DNS 255, 734 Email 817 FTP 793
1147
HTTP 845 IMAP 818 IRC 841 News 834 NTP 443 PAM 537 POP 818 Samba 595 Telnet 785 virtueller S. 1 Web 845, 858 X-Server 183 X Font S. 187 server:/home 621 Server Message Block 594 Server Side Includes 851, 852 serveur → Server serveur mandaté → Proxy Service 1069 service annuaire → Verzeichnisdienst service de clavardage IRC → Internet Relay Chat services 258, 1069 Service Set Identification 761 session → Sitzung SESSION_MANAGER 83 set 51, 76 Set-Group-ID-Bit 530 Set-User-ID-Bit 530, 594 setkey (GRUB) 486 setkeycodes 387 setserial 742, 1022 setserial.conf 742 setxkbmap 320, 388 sfdisk 327, 564, 1023 sfill 137 sftp 790, 793 SGID → Set-Group-ID-Bit SGID-Bit (Verzeichnis) 529 sha1sum 271 shadow 523, 543 shadowconfig 523, 1025 Shadow RAM (BIOS) 363 Share 392
1148
SACHVERZEICHNIS
Shebang 48, 93 Shell – 31, 232 Bash 46 Skript 46, 48, 93 Standardshell 525 SHELL 83 SHELLOPTS 83 shells 525 shift 76 SHLVL 83 shm 621 Shorewall 766 showmount 391 showrgb 193 shred 137 shutdown → herunterfahren shutdown 36, 219, 404, 1026 Sicherheit – 897 Backup 318 IPsec 266 Kernoptionen 697 Network File System 594 X11 223 Sicherungskopie 318, 904 sid 14, 674 sidentd 782 Signal – 45, 69, 71, 1063 SIGINT 71 SIGKILL 71 SIGSEGV 698 SIGTERM 45, 71 Signatur 911 signe d’invite → Prompt SIGTERM 45 Silky 841 simba 676 Simple Authentication and Security Layer 782 Simple Internet Transition 251 Simple Mail Access Protocol 818 Simple Mail Transfer Protocol 799
Simple Network Management Protocol 238, 432, 877 Simple Steganographic Store 586 Single UNIX Specification 3 Single User Mode 380, 478, 503 sipcalc 248 sit0 251 site miroir → Spiegel Sitzung 27 Sitzung (PAM) 537 Sitzungs-Manager 83, 200, 217 skeleton 506, 880 Skolelinux 9, 23 Skript 46, 93 Slackware 9 slapd 550 Slapper 908 Slashdot 292 slattach 725 Sleeping State 398 slidentd 782 slogin 30, 790 slurpd 551 Smail 809 Small Computer Systems Interface 314, 518, 719 Small Office Home 303 smartctl 390 Smarthost 799 SmartList 830, 832 SMB → Server Message Block SMB-Dateisystem 392 smb.conf 392 SMB/CIFS-Ressourcen einhängen 611 smbclient 392, 611 smbd 392 smbmount 611 smbnetfs 598 smbpasswd 608 smem 137 SMP → Symmetrical MultiProcessing SMTP → Simple Mail Transfer Protocol
SACHVERZEICHNIS
Snapshot 331 Sniffer 876 Sniffer (WLAN) 913 snmpd 882 snmptest 883 snmptranslate 879 snmpwalk 879 Snort 876, 922, 924 Snort-Wireless 913 Social Contract 13, 1075 Social Engineering 898 Socket 133, 518 Softfont 192 soft hyphen 1051 Softlink → Link, weicher Software – 1 Debians Definition freier S. 1077 Freeware 5 freie S. 5, 1077 kommerzielle S. 13 offene S. 4 Public Domain S. 5 Software in the Public Interest 12 SOHO → Small Office Home somme de contrôle → Prüfsumme Sommerzeit 441 sort 623 sortie standard → Standardausgabe sortie standard d’erreur → Standardfehlerausgabe Soundkarte 322, 723 Sourcecode → Quellcode sources.list 379, 639 souris → Maus sousligné → Unterstrich Spam 809 SpamAssassin 799, 811 SpamBayes 811 spamd 811 Speedstep 399 Speicher 311, 314 Speicherkapazität 311, 316 Speicherkarte 144 Speichern von Text (vi) 180
1149
Speicherplatz begrenzen 534 Speicherstift → USB-Stöpsel Sperrdatei 865 SPI → Software in the Public Interest Spiegel 676 Spiel 293 Splashimage → Startbild splint 668 Splitter 265 Spong 728 Spoofing 781 Spooling (drucken) 423 Spracheinstellung (Manual) 277 Spur 314 Squashfs 573 Squid 126, 861 SquirrelMail 828 srm 137 ss 726 ssh 224, 789, 1026 SSH → Secure Shell ssh (PAM) 539 ssh-keygen 790 SSH_AGENT_PID 83 SSH_AUTH_SOCK 83 SSI → Server Side Includes SSL → Secure Sockets Layer ssmtp 809 sswap 137 stable 13 Stammverzeichnis → Home-Verz. Standardausgabe 62 Standardeingabe 62, 65 standard error → Standardfehlerausgabe Standardfehlerausgabe 62 standard input → Standardeingabe standard output → Standardausgabe Standardrouter → Default-Gateway Standardshell 525 Standorte, unterschiedliche (Netz) 739 start 112
1150
SACHVERZEICHNIS
Start-Stop-Skript 880 Startbild 474 Startdatei (Bash) 51 starten (Bash) 49 starten (Dienst) 510 Starter (launcher) 215 Startskript 109, 217, 505 startx 222 stat 116, 127 Stateful Packet Inspection 759 Status gewünschter S. 662 NTP 445 Paket-S. 661 stdcmap 194 stderr 62 stdin 62 stdout 62 Steckbrücke 338 Steganografie 269 Steganographic File System 586 Stern 84, 237 Steuersequenz 226 Steuerzeichen (ASCII) 172, 1058 Sticky Bit 530 stockage de Masse → Massenspeicher STONITH 893 stop 112 stoppen (Dienst) 510 Stoppskript 505 storage → Massenspeicher stow 439 strace 1028 Stratum (NTP) 443 Strich, senkrechter 66 Stromversorgung, unterbrechungsfreie 404, 901 strongSwan 868, 872 structure de contrôle → Ablaufsteuerung stty 63 su 143, 224, 525, 561, 1028 Subnet Directed Broadcast 403 Subnetz 246
Substitution (Shell) 84 suchen Datei s. 160 im Internet s. 296 im Manual s. 278 im Web s. 296 in Hilfe s. 287 in info s. 282 in Newsgruppen s. 292 less 167 regulärer Ausdruck 157 schnell s. 163 Text s. 178 Suchfibel 296 Suchmaschine 296, 853 sudo 224, 531, 1029 sudoers 532 Sugarplum 930 SUID → Set-User-ID-Bit Suite (Debian) 13 sulogin 503 Super-Dämon 783 Superblock 565, 625 superformat 345, 627 Superuser 37 Supervisor → Verwalter surge protector → Überspannungsschutz SuSE 9 Swap-Partition 564 Swapbereich 150, 328, 398, 632 Swapdatei 633 swapoff 633, 1030 swapon 632, 1030 SWAT → Samba Web Administration Tool Swirl 12 Switch 238 sxid 531, 873 symbol d’accueil → Prompt Symlink 129, 130 Symmetrical Multi Processing 310 Sympa 832 Synaptic 645 sync 346, 1030
SACHVERZEICHNIS
synchron 68 sysctl 772 sysfs 587 syslinux 493, 710 syslog 747, 926 syslogd 927 System Administrator Guide 291 Systemaufruf 680 system call → Systemaufruf Systemdatei 143 système d’exploitation → Betriebssystem système de fichiers → Dateisystem Systeminitialisierung 502 System Logger 927 Systemmanager → Verwalter Systemprotokoll 925 Systemstart 499 Systemuhr 364, 440 Systemzeit 441 sysvconfig 512 syswatch 918 table de partitions → Partitionstabelle tail 165, 1031 Takt (CPU) 309, 399 Tally-Code 445 tap0 869 tar 145, 438, 665, 1031 Tarball 438, 636 Target (Netfilter) 768 tarpit → Teergrube tasksel 646, 1034 Tastatur 51, 320, 387 Taste Bash 53 Sondertasten 1060 vi 178 Tastenbelegung 320 tc 726 Tcl/Tk 113 TCP → Transmission Control Protocol TCP-Wrapper 778
1151
TCP/IP 235, 261, 266 tcpd 598, 778, 788 tcpdump 443, 778, 1034 tcpserver 859 tcpsvd 859 TCT → The Coroner’s Toolkit Teergrubing 816, 930 tel écran – tel écrit → WYSIWYG telinit 504 telnet 30, 781, 785, 824, 1035 telnet-ssl 786 telnetd 786 template → Vorlage Temporal Key Integrity Protocol 762 Temps Atomique International 442 Tenex C Shell 114 TERM 83 Terminal Emulation 49, 267 Emulation (Telnet) 785 Emulation (X11) 225 Terminaltyp 83 terminfo 476 test (Shell) 99 testdisk 626 testing 13 testparm 392, 608 texi2dvi 283 texi2html 283 texi2pdf 283 Textbetrachter → Pager Texteditor 169 texte en clair → Klartext Texteisen → Texteditor Textkonsole 30 Textprozessor 169 TFTP → Trivial File Transfer Protocol The Coroner’s Toolkit 626, 924 The Linux Documentation Project 289, 292 Thema 197 The Sleuth Kit 626, 925 Thin Client 493
1152
SACHVERZEICHNIS
thttpd (HTTPD) 859 Thunderbird 825, 862 tidy 845 time 784 timestamp → Zeitstempel timezone 440 tin 837 tinc 872 tinyhoneypot 929 tiret bas → Unterstrich Tivoli 877 TKIP → Temporal Key Integrity Protocol tkman 279 tkmib 879 tkps 43 TKSmb 598 TLD → Toplevel-Domäne TLDP → The Linux Documentation Project TLS → Transport Layer Security tmpfs 577, 587, 621 Tod-Taste 1060 todos 165 top 43, 328, 881, 914, 1036 Toplevel-Domäne 255 touch 1036 touche → Taste Toy Story 14 tr 165 traceroute 1037 trackball → Rollkugel traduction d’adresse réseau → Network Address Translation Traffic Control 726 Tranport Layer Security 786 Transmission Control Protocol 261, 518, 778 trap 1063 travail d’impression → Druckauftrag tree → Baum tree 121 Treiber (E)IDE 716
Diskettenlaufwerk 718 entfernen 712 Ethernet 242, 722 ISDN 751 Kernmodul 711 laden 711 parallele Schnittstelle 723 Parameter 716 SCSI 719 Soundkarte 723 Trennzeichen 82 Tripwire 919 Trivial File Transfer Protocol 493 Trojanisches Pferd 907 true 1037 TrueCrypt 586 True Type 191 Trunking → Port Trunking Trust Center 271 tset 35 TSK → The Sleuth Kit tty 1037 tube → Pipe TUN/TAP-Gerät 458, 868 tun0 869 tunctl 458, 869 tune2fs 568, 1038 Tunnel (VPN) 867 Tux4Kids 23 TwinView 414 Twisted Pair 237 twm 791 Type1 Format 191 tzconfig 1038 U.S. Naval Observatory 441 UBE → Unsolicited Bulk Email Übergangspaket 659 übersetzen Kern 698 Tarball 438 Überspannungsschutz 902 Ubuntu 9, 23 udev 127, 587 UDF → Universal Disc Format
SACHVERZEICHNIS
udftools 581 udhcpc 738 UDP → User Datagram Protocol Übersetzer 48 übertakten (Prozessor) 364 UHCI → Universal Host Controller Interface Uhr 440 UID → Benutzer-Identifier UID 83 Ultrabreitbandfunk 237 umask 57, 527, 908 umbenennen (Datei) 138 Umgebung (Shell) 79 Umgebungsvariable .bashrc 58 Display-Manager 198 UML → User-Mode Linux Umlaut 52, 172 Umleitung 63, 222 umount 148, 624, 1039 umschalten Konsole und X11 199 zwischen Prozessen 69 umziehen, mit Verzeichnissen 628 uname 1039 uncompress 1040 underscore → Unterstrich undo (vi) 180 unhide (GRUB) 483 Unicasting 250 Unicode 174 Unicode Consortium 173 Unicode Transformation Format 175 Univention Corporate Server 24 Universal Character Set 174 Universal Disc Format 147, 581 Universal Host Controller Interface 518 Universal Serial Bus 308, 314, 518 Universal Time Coordinated 364, 440, 442 Universität Berkeley 2
1153
Cambridge (UK) 305, 802 Carnegie Mellon 616, 816 Köln 383 Los Angeles 235 Massachusetts Institute of Technology 184 Michigan 547 Purdue 11 Santa Barbara 235 Stanford Research Institute 235 Utah 235 València 828 UNIX 2, 7 UNIX-Zeit 441 Unix User Group 292 unmount → aushängen unpacked (Paketstatus) 662 unrm 925 unset 77 Unsolicited Bulk Email 809 unstable 13 unterbrechungsfreie Stromversorgung 901 Unterstrich 77 until-Schleife (Shell) 96 unzip 365, 1040 UP-ImapProxy 818 update-alternatives 395 update-exim4.conf 802 update-grub 475 update-inetd 785 update-jail 931 update-menus 205, 207 update-rc.d 512, 514 updatedb 163, 1041 updatejail 931 upsd 404 UPS Monitor Daemon 902 Upstream 9, 657 uptime 873, 914, 1041 urandom 586 URI → Uniform Resource Identifier URL → Uniform Resource Locator usage → Gebrauch
1154
SACHVERZEICHNIS
usb 621 USB → Universal Serial Bus USB-Manager 589 USB-Platte 904 USB-Stöpsel 144, 346, 394, 498 usbfs 587, 588, 621 usbmgr 589 usbmount 904 USB stick → USB-Stöpsel usbview 338 Usenet 834 user → Benutzer USER 83 User-Linux 9 User-Mode Linux 1, 456 useradd 526, 527 User Datagram Protocol 261 userdel 527, 1042 User Identifier 530 user interface → Benutzeroberfläche usermod 527, 631, 1042 USERNAME 83 UTC → Universal Time Coordinated UTF → Unicode Transformation Format uti-linux 466 utilisateur → Benutzer utilitaire → Dienstprogramm utility → Dienstprogramm utmp 560, 926 Variable Bash 75 benannte V. 77 Positionsvariable 75 Skript 94 V. exportieren 77 Variablenexpansion, bedingte Varnish 861 Vektorfont 190 Ventilator 311 Verbindlichkeit 269 Verfassung (Debian) 11
92
Verfügbarkeit 892 Verknüpfung → Link Vermittler (PAM) 537 verschieben (Datei) 138 verschieben (Text, vi) 179 verschlüsseln 238, 269, 582 Verschlüsselung asymmetrische V. 270 hybride V. 270 Kernoption 697 SSH 789 symmetrische V. 269 Version (Debian) 13 Versionen mischen 437 Versioning File System 571 Versorger 262, 268, 744, 759 Vertraulichkeit 269 Vervollständigung (Kommando) 61 verwalten Benutzer 525 Gruppe 525 Job 68 Prozess 68 Swapbereich 632 Verwalter 37 – 4 Gruppen-V. 527 System-V. 27 Verweis → Link Verzeichnis – 115 aktuelles V. → Arbeitsverzeichnis Arbeitsv. 83, 140 Baum 139 Eintrag 129 Home-V. 81, 116, 140 Rootverzeichnis → Wurzelv. Struktur 117 V. anlegen 141 V. anzeigen 141 V. gemeinsam benutzen 527 V. löschen 142 V. verlegen 628 Verzeichnis (Dienst) 546
SACHVERZEICHNIS
Verzeichnisbaum 116 Verzeichnisdienst 547 VFAT → Virtual File Allocation Table VFS → Virtual File System VGA → Video Graphics Array vi 70, 157, 173, 177 Video Graphics Array 312 appres 221 vigr 523, 1043 vim 177 vipw 523, 1043 Virtual File Allocation Table 578 Virtual File System 518 Virtualisierung 455 Virtual Local Area Network 238 Virtual Network Computing 791 Virtual Router Redundancy Protocol 891 VirtualServer 1 virtuelle Konsole 39 virtueller Server 891 virtuelles Betriebssystem 1 virtuelles Paket 659 Virtuelles Privates Netz 867 Virus 907 Virus Protection (BIOS) 363 visudo 533 vlock 399 vmlinuz 347, 477 vmstat 914 VMware 1 VNC → Virtual Network Computing vncpasswd 791 Voice over IP 267 volatile 911 Volume Group 333 Vordergrund (Prozess) 68 Vorgang (PAM) 537 Vorlage 506, 880 VPN → Virtuelles Privates Netz VServer 1, 460 vsftpd 794 VT100/VT102 226
1155
VT220 226 VT52 226 VTun 869, 870 w 560, 914, 1044 Wackamole 893 Wagenrücklauf 31, 165 Wake on LAN 238, 401 wall 1044 warnquota 535 watch 1045 wavemon 763 Wayback 571 wc 176 Web Apache 845 Browser 862 Proxy 860 Server 845, 858 webfs (HTTPD) 859 Webmaster 845 Webmin 445, 883 Web of Trust 271 Weiße Liste (Email) 810 Weizenkornlegende 523 Weltzeit → Universal Time Coordinated wget 797 whatis 278, 1045 What You See Is What You Get 169 whereis 1045 which 1046 while-Schleife (Shell) 95 Whitespace 171 who 525, 560, 1046 whoami 33, 525 who am I 33 whoami 1047 who am I 525, 1047 Whois 547 Wi-Fi Protected Access 762, 913 Wide Area Network 755 Widget 220 WIENUX 24 Wiki 855
1156
SACHVERZEICHNIS
Wiki (Debian) 11 Wikipedia 293 Wiki Wiki Web 855 WiMAX 764 window → Fenster Window-Maker 203 Window-Manager → FensterManager Windows Internet Name Service 595 Wine 454 WinModem 308 WinPrinter 308 WINS → Windows Internet Name Service wipe 137 Wired Equivalent Privacy 762, 913 wireless-tools 387, 763 Wireless Bridge 762 Wireless Local Area Network 237, 252, 386 Wireless Repeater 762 Wireshark 870, 876 WLAN → Wireless Local Area Network WLAN-Adapter 308 wmaker 203 WOL → Wake on LAN woody 14 working directory → Arbeitsverzeichnis World Wide Web 236 World Wide Web Consortium 173 Wrapper 226, 569 wtmp 560, 926 Wunschstatus (Paket) 662 Wurm 907 Wurzelverzeichnis 117, 477 wvdial 749 WWW → World Wide Web WYSIWYG → What You See Is What You Get X-Client 183 X-Protokoll 183
X-Server 183, 380, 407 x-terminal-emulator 226 x-window-manager 204 X.500 547 X.Org 184, 185 X11 – 183, 380, 407 Ausgabe umleiten 222 Display Manager 196 Ressource 219 Sicherheit 223 umschalten 199 Zugriffssteuerung 222 X11R6 184 X11R7 184 xargs 1047 xauth 83, 223 XAUTHORITY 83 xclock 193 xcolmix 193 xcoloredit 193 xcolors 193 xcolorsel 193 X Colour Management System 193 X Consortium 184 X Display Manager Control Protocol 195 xdm 196, 201 Xdmx 414 xdosemu 451 xdpyinfo 194, 338 xdvi 278 XEmacs 825 Xen 1, 305, 455 xev 389 XF86Config-4 407 Xfce 208 xfd 189 xfonts-100dpi 188 xfonts-75dpi 188 xfonts-base 188 xfonts-scalable 188 xfonts-utils 188 X Font Server 187 X Font Service Protocol 187
SACHVERZEICHNIS
XFree86 185 xfs 187, 192 XFS 572 xfsinfo 192 xhost 223 XiGraphics 185 Xinerama 414 xisdnload 755 xkbsel 388 xkeysw 388 xless 135 xlock 399 xlogmaster 928 xman 279 xmbdfed 189 xmodmap 388 xmonisdn 755 Xnest 185 X Northern Captain 216 xorg.conf 407 Xorg.log 927 xorgcfg 407 Xosl 493 xpp 432 Xprint 232 X Printing Panel 432 xprop 194, 338 Xprt 233 xrandr 413 xrdb 219, 220 XScreenSaver 399 Xsecurity 223 xset 184 xsm 201 xstartup 791 xstow 439 xterm 49, 220, 226, 233, 791 XtRADIUS 560 xvncviewer 792 xvt 226 xwatch 928 xwd 234 X Window System → X11 xwine 454 xwininfo 194, 338
1157
YardRadius 560 yaws (HTTPD) 859 Yellow Pages → Network Information Service yelp 281, 285 yp.conf 543 ypchfn 545 ypchsh 545 yppasswd 545 ypwhich 543, 873 Zabbix 728 Zahl binär codierte Dezimalz. 1051 Dezimalzahl 1051 Dualzahl 1051 Hexadezimalzahl 1051 Zufallszahl 83 Zahlensystem 1051 zcat 1048 Zeichen Sonderzeichen 1060 Steuerzeichen 172 Umlaut 172 Zeichencodierung 171 Zeichenkette 48, 157, 800 Zeichenposition 171 Zeichensatz – 171 ASCII 172 ASCII-Steuerzeichen 172, 1058 Codetafel 171 EBCDIC 173 German ASCII 172, 1058 IBM-PC 173 ISO 10646 174 ISO 8859-1 173 ISO 8859-15 173 Latin-1 173 Latin-9 173 Tabelle Nr. 850 171 UCS-2 175 UCS-4 175 Unicode 174
1158
SACHVERZEICHNIS
Unicode Transformation Format 175 Universal Character Set 174 UTF-16 175 UTF-32 175 UTF-8 175 Zeichenvorrat 171 Zeigegerät 321 Zeilenkommentar 56 Zeilenvorschub 165 Zeilenwechsel 165 Zeit – 440 Greenwich Mean Time 440 Mitteleuropäische Z. 440 Systemzeit 441 Universal Time Coordinated 440 UNIX 441 Zone 377, 440 Zeitfenster (cron) 448 Zeitserver 267, 443 Zeitstempel 115, 120, 127 Zeitzone 377, 440 Zentralprozessor 17, 306 zero 585 Zeroconf 739 Zeroconf-Netz 243, 244 Zertifikat 271 Zertifizierungsdiensteanbieter 271 zforce 1048 zgrep 1049 zip 365, 1049 ZIP-Diskette 144 zless 168, 1050 zmore 168 Zufallszahl 83 Zugriffskontrolle (X11) 223 Zugriffskontrollliste 126 Zugriffsrecht 115, 120, 122, 123, 527 zum 137 Zuweisung 77 Zweck 301 Zwischenablage 233 Zylinder 314
