Linux

GUID Partition Table (GPT), ist wie MBR ein Standard für das Format von Partitionstabellen. Die Spezifikation ist Teil des UEFI-Standards, der zunehmend das BIOS ersetzt. GPT ist dabei der Nachfolger der Master-Boot-Record-Partitionstabellen. ▪ gdisk: Wird für die Partitionierung nach GPT Standard verwendet ▪ fdisk: Kann ebenfalls verwendet werden, jedoch ist hier GPT nur experimentell unterstütz

▪ mkfs –t <type> <partition> • ext3 • ntfs • vfat • xf

 LVM legt sich als logische Schicht zwischen die physischen Datenträger oder Partitionen und das Dateisystem.

Vorteile von LVM ▪ Flexible Kapazitäten ▪ Änderung der Grösse ▪ Reallokierung von Daten im laufenden Betrieb ▪ Disk Striping / Mirroring ▪ Volume Snapshots ▪

Nachteile von LVM ▪ Alte Grub-Versionen können nicht auf LVM’s zugreifen (Nicht LVM Boot Partition notwendig). Grub2 hat diese Einschränkung nicht mehr ▪ Grösserer Overhead.und höhere Komplexität

▪ Das LVM-System basiert auf drei Schichten:

▪ Physical Volume (PV)

• Block Devices

• Initialisierung notwendig damit LVM das PV nutzen kann, d.h.

1. • Metadaten
2. • Einteilung in Physical Extents (PE)

▪ Volume Group (VG)

• Bestehend aus einem oder mehreren PV’s

• Einteilung in Logical Extents (LE)

▪ Logical Volume (LV)

• VG werden in ein oder mehrere LVs aufgeteilt

• LV können auf 3 Arten angelegt werden

1. • Linear Volumes
2. • Stripped Volumes (vgl. Raid 0)
3. • Mirrored Volumes (vgl. Raid 1)

Um ein LV zu generieren sind folgende Schritte notwendig:
▪ Initialisierung der physikalischen Disk damit sie vom LVM System erkannt wird

1. • fdisk: Id muss 8e sein.
2. • pvcreate /dev/sdb1 /dev/sdc1 /dev/sdd1 /dev/sde1
3. Preparieren der Partition für LVM (Chunks (PE), Metadaten)

▪ Generierung einer Volume Group

1. • vgcreate fileserver /dev/sdb1 /dev/sdc1 /dev/sdd1 /dev/sde1
2. Anlegen einer VG über physikalische Devices

▪ Generierung eines Logischen Volumes basierend aus einer VG

1. • lvcreate --name share  --size 40G fileserver
2. lvcreate --name backup --size  5G fileserver
3. lvcreate --name media  --size  1G fileserver

Anlegen eines LV über einer VG

▪ Filesystem anlegen

1. • mkfs.ext3 /dev/fileserver/share
2. Ein Filesystem auf das Logische Volume legen

▪ Mounten vom LV

1. • mount /dev/fileserver/share /var/share

NFS (Network File System) ist ein Internet Stardard Protokoll welches von *nix Systemen verwendet wird um Filesysteme über das Netzwerk zugänglich zu machen.

Es gibt verschiedene Arten wie NFS shares eingebunden werden können

▪ Manuell via mount Befehl

▪ Automatisch via /etc/fstab

▪ On demand via automounting

SMB (Server Message Block) oder CIFS (Common Internet File System) wurde ursprünglich von Windows Betriebssystem genutzt und ist wie NFS ein Protokoll um auf entfernte Dateisysteme (und Print Services) zuzugreifen.

▪ RPMs werden in vielen Linux-Distributionen benutzt, z.B.

▪ Red Hat

▪ Fedora Core

▪ Scientific Linux

▪ SuSE

▪ Mandriv

Der Name eines Paketes setzt sich aus dem eigentlichen Namen, der Version und dem Release zusammen: <name>-<version>-<release>.<architecture> ▪ bash-3.0-19.2.i386.rpm

Es gibt zwei RPM Typen

▪ Binary (plattformgebunden und enthalten direkt ausführbare Programme)

▪ Source (Sourcecode, der erst noch compiliert werden muss. Inkl SPEC File => Bauanleitung

Yum bietet:

▪ Infos über installierte und verfügbare RPM-Pakete

▪ Installation von RPM-Paketen inkl. abhängiger Paket

▪ Deinstallation inkl. abhängiger Pakete

▪ automatisches Paket-Update (inkl. abhängiger Pakete)

▪ Upgrade des Systems von Minor-Release auf nächst höheres Minor-Release

RHEL benutzt den subscription-manager Command um RH eigene Repositories zu verwalten.
▪ Das Nutzen von RH Channels setzt eine gültige Subscription / Lizenz voraus
subscription-manager register --username <username> --password <password> --auto-attach
Package Manager Repository
subscription-manager repos --list Liste alle verfügbaren RH-Repositories auf
subscription-manager repos --enable <repoid> Aktiviert ein spezifisches RH-Repository (Channel)

▪ Prozesse

▪ ps

▪ kill

▪ Memory

▪ free

▪ Network

▪ ip –s link show eth0

▪ Netstat, ss

▪ CPU

▪ top

▪ IO

▪ Vmstat

▪ Allgemein

▪ /proc Filesystem

Direkt Eigene log-engine (z.B.: apache / samba) (meist nach /var/log)
▪ Rsyslogd Nachfolger von syslogd. Service für zentrale Log-Ablage
▪ Journald Integration via systemd.
 

▪ rsyslogd ▪ Konfiguration via /etc/rsyslog.conf ▪ Meldungen werden kategorisiert • Facility (Kategorie, nicht erweiterbar) • Priority (severity, gelogged werden alle Nachrichten mit gleicher oder höherer Prio) • Destination (Zieldatei für das Logging) ▪ Gespeichert in /var/log/* ▪ Manuelle Syslog Nachrichten können via logger generiert werden. (zum Testen) ▪ systemd-journald ▪ Verbesserter Log Management Service um Nachrichten vom Kernel (auch während Boot) entgegegen zu nehmen ▪ Kein Erstatz für rsyslogd (nur eine andere Implementation mit anderen Fähigkeiten) ▪ Benutzt ein strukturiertes Journal (Binary) um Nachrichten zu speichern ▪ Normale Syslog Meldungen werden an den rsyslogd weitergeschickt. ▪ journalctl um system journal anzuzeigen ▪ Standardmässig nach /run/log/journal (flüchtig) Wenn vorhanden nach /var/log/journal (permanent)

Nagios ▪ OpenSource Monitoring System um Host Resouces via Web Interface zu monitoren. Via Nagios Remote Plugin Executor (NRPE) stehen Agents (Targets) zu Verfügung um Remote Hosts zu überwachen. Es können Alarme integriert werden welche bei gewissen Bedingungen generiert werden sollen ▪ Nagios setzt auf einem LAMP (Linux, Apache, MySQL/MariaDB, PHP) Stack auf. ▪ Die Installation von Nagios kann mit YUM (RPM) oder "from Source" gemacht werden.
 

▪ Kann mit dem Kommando iptables auf der Kommandozeile administriert werden ▪ Implementiert das komplette Set von Firewall Rules und Funktionalitäten die notwendig sind ▪ Die Schwächen sind: ▪ Z.T. komplexe CLI Befehle und Syntax ▪ Die Reihenfolge von Rules kann sehr komplex und fehleranfällig sein ▪ Ist auf RHEL7 noch verfügbar sollte aber nicht mehr verwendet werden

▪ Setzt ebenfalls auf netfilter auf ▪ Hat verschiede Konfigurationsinterfaces ▪ Via CLI ▪ Applikationen können via DBUS Rules hinzufügen • Automatisierung • Keine Aufwände für SysAdmin ▪ Tipp: Verwende systemctl mask iptables um iptables permenent zu deaktivieren damit nicht versehentlich trotzdem verwendet wird.
 

▪ Zones: ▪ Eine Zone ist eine Sammlung von Rules welche auf incoming Packets angewendet werden (angewendet auf Source oder NIC). ▪ Wichtig für Servers welche mehrere NIC haben ▪ Bei nur einem Interface kann meist die default Zone verwendet werden ▪ Jedes incoming Packet wird analysiert und einer spezifischen Zone zugewiesen. Falls keine spezielle Zone passt, wird die default Zone verwendet. Es gibt folgende default Zonen: • Block • DMZ • Drop • External • Home • Internal • Public • Trusted • Work

Services ▪ Nicht wie ein normaler systemd Server ▪ Firewalld besteht aus mehreren Services (es gibt einige Default Services). Dies ermöglicht dem SysAdmin schnell gewisse Rules zu aktivieren. ▪ Hinter jedem Service steckt ein Config File.

▪ Mit File Permissions oder ACL kann nur DAC (Discretionary Access Control ) gemacht werden ▪ Das Problem: DAC schränkt nur den File Zugriff von Benutzern ein. User / Programme / Prozesse usw. können nicht kontrolliert werden.  Z.B: ▪ Ein User setzt world readable permissions auf sensitive Daten (z.b. ssh Keys). Der Administrator hat keine Möglichkeit dies zu verbieten. ▪ Prozesse können Sicherheitseinstellungen ändern. Mail Client Software hat die Möglichkeit auf Systemweiter Ressoucen und Files zuzugreifen. ▪ Ein Prozess erbt User-Rechte. Wenn z.B. firefox-bin kompromitiert wird hat er die Möglichkeit Private ssh keys des jeweiligen Users zu lese

▪ SELinux verfolgt das Least-privilege Prinzip. => Strict Policy Enforcment ▪ Stanardmässig ist alles denied ▪ Mit speziellen Exception-Policies werden gewissen Elementen (Service, Program oder User) Zugriff auf das System erlaubt. ▪ Denies werden gelogged. ▪ Applikationen müssen nicht speziell geschrieben werden um mit SELinux zu funktionieren. Sie benötigen nur entsprechende Policies

▪ Es gibt 3 Betriebsmodi:

▪ Enforcing Default Modus.

SELinux ist aktiviert.

▪ Permissive SELinux ist aktiviert, verstösse werden aber nur gelogged und nicht geblocked.

▪ Disabled SELinux ist deaktiviert.

▪ Befehle: ▪ Setenforce, getenforce

▪ Config File: ▪ /etc/selinux/confi

▪ SELinux kann mit verschiedenen Policies arbeiten. ▪ Die default Policy ist targeted (it targets and confines selected system processes) Alle Services welche nicht targeted sind laufen unter der unconfined domain und sind nicht von SELinux geschützt ▪ Das Ziel ist es, das jeder Prozess in einer confined domain läuft.

▪ SELinux hat 3 Formen von Access Control ▪ Type Enforcement (TE): Ist der primäre Mechanismus für Access Control und wird von der targeted Policy genutzt
▪ Role-Based Access Control (RBAC): Basiert auf SELinux user (nicht unbedingt die gleichen wie Linux Benutzer), wird aber nicht von der targeted Policy genutzt
▪ Multi-Level Security (MLS): Nicht oft verwendet (auch nicht in der targeted Policy

• Multiuser--
• Multitasking-
• Kernelbasiertes-
• Open Source-
• Kostenloses

Betriebssystem.

• enorm verbreitet im Serverbereich
• stabil
• Ressourcen-sparsam
• sicher
• bedientechnisch gewöhnungsbedürftig

pen Source bedeutet "Quelloffen", d.h. jeder kann den Quellcode einer Open Source Software einsehen, überprüfen und ggf. auch anpassen.

Linux ist Open Source. Linux ist ebenfalls freie Software, was bedeutet, dass die Benutzer von Linux die Freiheit haben Linux auszuführen, zu kopieren, zu verbreiten, anzupassen und zu verbessern. "Frei" ist hier mehr im Sinne von Meinungsfreiheit, als kostenlos zu verstehen. i.d.R. ist ein Entwickler bei der Verwendung von Open Source Software automatisch durch die Lizenz (GPL) dazu verpflichtet, seine eigene Software (z. B. eine Erweiterung einer bestehenden Open Source Komponente) ebenfalls unter dieselbe Lizenz zu stellen (Copyleft), womit die eigens geschriebene Software ebenfalls Open Source sein muss.

Windows hat eine enorm grosse Benutzeranhängerschaft und ist eines der am einfachsten bedienbaren Betriebssysteme. Dadurch existiert auch eine sehr grosses Softwareangebot und eine hohe Untersützungsdichte von Hardware. Durch den hohen Verbreitungsgrad wird für Windows auch am meisten Malware programmiert, weshalb Windows betreffend Sicherheit im Vergleich zu Linux und OS X den schlechtesten Ruf besitzt.

Weitere Eigenschaften von Windows: Einfach bedienbar, Plug&Play (gute HW-Unterstützung)

Windows ist ein proprietäres Betriebssystem (Closed source) und wurde auf MS-DOS Basis entwickelt. Die erste Version Windows 3.0 wurde 1990 veröffentlicht.

Mac OS X

Mac OS wurde 1984 von Apple Computers entwickelt (Macintosh PC mit Mac OS) mit der Absicht, dass es nur auf Apple Computern lauffähig ist.

Haupteigenschaften von Mac OS X sind: "Sicherheit", Zuverlässigkeit, einfach bedienbar, gut integriert in die Produkte von Apple.

Mac OS X basiert auf einer BSD Basis, wobei Linux eine unabhängige Implementation eines Unix-ähnlichen Betriebssystem ist. Die Systeme sind daher sehr ähnlich, Ihre Binärdateien aber nicht untereinander kompatibel. OS X verwendet viele Applikationen welche nicht Open Source und ebenfalls auf Bibliotheken basieren, welche nicht Open Source sind.

In der Rolle des Linux Systemadministrators tragen Sie in der Praxis eine hohe Verantwortung über Ihr Linuxsystem. Die Tätigkeiten eines Linux Systemadmins sind vielfältig und abwechslungsreich.

Nachfolgende Liste soll einen (unvollständigen) Überblick verschaffen über die möglichen Tätigkeitsbereiche eines Sysadmins:

• Benutzeradministration (Einrichtung und Unterhalt von Accounts)
• System- und Softwareupdates und -upgrades, Systempflege
• Installation und Konfiguration von neuen Softwarekomponenten
• Netzwerkkonfigurationen (Routing, Bridgeing, Firewalling, DNS, usw.)
• Programmierung einfacher Shell-Scripts zur Automatisierung von Tasks
• Überwachung des Systems (Monitoring, Alerting, Log-Management, Intrusion Detection, usw.)
• Umsetzung von Sicherheitspolicies für Benutzer und Netzwerk
• Password und Identitätsmanagement (IDM)
• Erstellung von Dateisystemen, Einbindung von Datenträgern, logischen Volumes, allg. Storage Konzepte umsetzen
• Planung und Umsetzung von Backup/Recovery Strategien, Disaster Recovery Konzepten, High Availability Settings, uvm.

Viele dieser Bereiche werden wir in diesem Kurs nicht oder nur oberflächlich anschauen. Auch routinierte Linux Systemadministatoren (5 Jahre Erfahrung +) sind i.d.R. auf einzelne Bereiche stärker spezialisiert als andere.

exit

halt

oder:

shutdown -h

oder:

poweroff

oder:

init 0

oder sudo halt mit root Rechte

reboot

oder:

shutdown -r

Auch hier mit root Rechten sudo reeboot

Den meisten Befehlen lässt sich die Option -h oder --help mitgeben, wodurch eine Kurzhilfe angezeigt wird. z. B.:

rm --help

zeigt folgende Kurzhilfe an:

Usage: rm [OPTION]... [FILE]... Remove (unlink) the FILE(s).   -f, --force           ignore nonexistent files and arguments, never prompt   -i                    prompt before every removal ...

oder:

ifconfig -h

zeigt:

Usage:   ifconfig [-a] [-v] [-s] <interface> [[<AF>] <address>]   [add <address>[/<prefixlen>]]   [del <address>[/<prefixlen>]] ...

Mit dem man Befehl können Sie das Manual eines Befehls aufrufen. Dies ist wie eine digitale Benutzeranleitung des Befehls und meist sehr ausführlich. z. B. zeigt:

man ls

Das Manual des Befehls ls (Dateien auflisten) an. Im Manual können Sie mit den Pfeiltasten hoch, runter, den Tasten pageup, pagedown und space herumnavigieren.

Mit der Taste q können Sie man wieder verlassen.

apropos können Sie verwenden, wenn Sie nicht genau wissen, wie ein Befehl heisst. apropos durchsucht alle man-Seiten und listet entsprechende Resultate des Suchbegriffs inkl. Kurzbeschreibungen auf. z. B. zeigt:

apropos reboot

folgende Resultate:

grub-reboot (8)      - set the default boot entry for GRUB, for the next boot... halt (8)             - Halt, power-off or reboot the machine poweroff (8)         - Halt, power-off or reboot the machine reboot (2)           - reboot or enable/disable Ctrl-Alt-Del reboot (8)           - Halt, power-off or reboot the machine shutdown (8)         - Halt, power-off or reboot the machine systemd-reboot.service (8) - System shutdown logic

Sie sehen auch hier werden Ihnen unterschiedliche Befehle gezeigt, mit welchen Sie Ihr Linux neustarten können.

/etc = Konfigurationsdateien und Informationsdateien des Basissystems

/home = Heimverzeichnis des Benutzers

/proc = alle Prozesse, laufende Programme

/dev = (Device Files) alle Gerätedateien

/lib = Bibliotheken

/root = Heinverzeichnis für den Bootuser

/bin = unverzichtbare Programme, diese Programme können im Gegensatz zu /sbin von allen Benutzer ausgeführt werden

/boot = enthält zum booten benötigte Dateien wie Kernel

/media = für Speichermedien

/sbin = Systemprogramme

/tmp = temporäre Dateien von Programmen

/var = nur Verzeichnisse

/mnt = kann für temporär eingehängte Partitionen verwendet werden

Um sich Informationen über eine Datei anzeigen zu lassen, verwenden wir ls. Damit wir ausführliche Informationen über Dateiberechtigungen erhalten, benutzen wir ls -l so zeigt z. B. :

ls -l /etc/hosts

folgendes an:

-rw-r--r-- 1 root root 184 Sep  9  2016 /etc/hosts

Aus dieser Ausgabe können wir bereits folgende Dinge herauslesen:

• Der Besitzer der Datei ist der Benutzer root (das 1. root)
• Die Datei gehört zu einer Gruppe names root (das 2. root)

Owner Group Other

rwx      r-x        r-x

421      401      401

7           5            5

Wir sehen, es gibt die Rechte:

• Lesen (r bzw. 4)
• Schreiben (w bzw. 2)
• Ausführen (x bzw. 1)
• Kein Recht (wird mit (-) angezeigt)

Befehl zum ändern von Berechtigungen:

chmod 740 /home/myfile

useradd rolf

Passwort zuweisen:

passwd rolf
Enter new UNIX password:
Retype new UNIX password:
passwd: password updated successfully

Nun können wir mit su zum neuen Benutzer rolf wechseln (Passwort von rolf muss nur eingegeben werden, falls Sie nicht root waren):

su rolf

Mit whoami oder id können Sie verifizieren, dass Sie nun der Benutzer rolf sind:

whoami rolf id uid=1002(rolf) gid=1002(rolf) groups=1002(rolf)

id zeigt Ihnen nicht nur den Benutzer an, sondern auch die primäre Gruppe (groups=1002(rolf)). Offensichtlich wird also beim Neuerstellen eines Benutzers jeweils auch eine Gruppe mit demselben Namen angelegt.

Mit exit können Sie sich vom Benutzer rolf wieder abmelden, Sie springen dann zurück zum Benutzer, von dem Sie zuvor auf rolf gewechselt haben (oder werden komplett ausgeloggt, falls es der erste Login war):

exit id uid=0(root) gid=0(root) groups=0(root)

Sie sehen in der Ausgabe von id auch, dass jedem Benutzer und jeder Gruppe eine eindeutige ID zugewiesen wird (uid und gid). Der Benutzer root hat immer die ID 0.

Hinweis: i.d.R. sind ID's von 0-999 Administrator- und System-/Serviceaccounts und bei 1000 beginnen die normalen Benutzer.

Um einen Benutzer zu löschen, können Sie das Programm userdel verwenden:

userdel rolf su rolf No passwd entry for user 'rolf'

Sie sehen, nachdem Sie den Benutzer gelöscht haben, können Sie mit su nicht mehr auf diesem Benutzer wechseln, da dieser nicht mehr existiert.

groupadd newgroup

Um sich die Mitgliedschaft in Gruppen für einen Benutzer anzeigen zu lassen, können Sie das Programm groups verwenden:

groups rolf rolf : rolf workers

groupdel workers