Linux-Server : das umfassende Handbuch

Linux ist das Rückgrat moderner IT-Systeme. Wie Sie Linux effizient als Server nutzen und nach aktuellen Standards administrieren, erfahren Sie in diesem Buch. Von HA-Konfigurationen über Sicherheitsthemen bis hin zur Virtualisierung & Containerisierung lernen Sie Linux intensiv und distributionsunabhängig kennen. Zahlreiche Praxislösungen und umfassendes Hintergrundwissen für die fortgeschrittene Administration unterstützen Sie dabei. Aus dem Inhalt: Administrationsgrundlagen Devices und Paketmanagement Dateisysteme und Berechtigungen Scripting und Shell-Coding Dienste Web-, Mail-, Proxy-, FTP- und Druckserver Samba, LDAP, Kerberos, NFSv4 Infrastruktur und Netze Hochverfügbarkeit Virtualisierung (KVM, Docker) Routing, Bonding, Firewalls DHCP, DNS, OpenSSH Versionskontrolle (VCS) Sicherheit, Monitoring & Co. Backup und Recovery Verschlüsselung Zertifikate Automatisierung Ansible PKI mit OCSP Aus dem Lektorat Inhaltsverzeichnis Vorwort Über dieses Buch 1 Der Administrator 1.1 Der Beruf des Systemadministrators 1.1.1 Berufsbezeichnung und Aufgaben 1.1.2 Job-Definitionen 1.1.3 Definitionen der Management-Level 1.2 Nützliche Fähigkeiten und Fertigkeiten 1.2.1 Soziale Fähigkeiten 1.2.2 Arbeitstechniken 1.3 Das Verhältnis des Administrators zu Normalsterblichen 1.3.1 Der Chef und andere Vorgesetzte 1.3.2 Benutzer 1.3.3 Andere Administratoren 1.4 Unterbrechungsgesteuertes Arbeiten 1.5 Einordnung der Systemadministration 1.5.1 Arbeitsgebiete 1.5.2 DevOps 1.6 Ethischer Verhaltenskodex 1.7 Administration – eine Lebenseinstellung? Teil I Grundlagen 2 Der Bootvorgang 2.1 Der Bootloader GRUB 2 2.1.1 Funktionsweise 2.1.2 Installation 2.1.3 Konfiguration 2.2 Bootloader Recovery 2.3 Der Kernel und die initrd 2.3.1 initrd erstellen und modifizieren 2.3.2 initrd manuell modifizieren 2.4 systemd 2.4.1 Begriffe 2.4.2 Kontrollieren von Diensten 2.4.3 Aktivieren und Deaktivieren von Diensten 2.4.4 Erstellen und Aktivieren eigener Service Units 2.4.5 Target Units 2.4.6 »systemd«- und Servicekonfigurationen 2.4.7 Anzeige von Dienstabhängigkeiten 2.4.8 Logs mit journald 2.4.9 Abschlussbemerkung 3 Festplatten und andere Devices 3.1 RAID 3.1.1 RAID-0 3.1.2 RAID-1 3.1.3 RAID-5 3.1.4 RAID-6 3.1.5 RAID-10 3.1.6 Zusammenfassung 3.1.7 Weich, aber gut: Software-RAID 3.1.8 Software-RAID unter Linux 3.1.9 Abschlussbemerkung zu RAIDs 3.2 Rein logisch: Logical Volume Manager (LVM) 3.2.1 Grundlagen und Begriffe 3.2.2 Setup 3.2.3 Aufbau einer Volume Group mit einem Volume 3.2.4 Erweiterung eines Volumes 3.2.5 Eine Volume Group erweitern 3.2.6 Spiegelung zu einem Volume hinzufügen 3.2.7 Eine defekte Festplatte ersetzen 3.2.8 Backups mit Snapshots 3.2.9 Mirroring ausführlich 3.2.10 Thin Provisioning 3.2.11 Kommandos 3.3 udev 3.3.1 udev-Regeln 3.3.2 Eigene Regeln schreiben 3.4 Alles virtuell? »/proc« 3.4.1 CPU 3.4.2 RAM 3.4.3 Kernelkonfiguration 3.4.4 Kernelparameter 3.4.5 Gemountete Dateisysteme 3.4.6 Prozessinformationen 3.4.7 Netzwerk 3.4.8 Änderungen dauerhaft speichern 3.4.9 Abschlussbemerkung 4 Dateisysteme 4.1 Dateisysteme: von Bäumen, Journalen und einer Kuh 4.1.1 Bäume 4.1.2 Journale 4.1.3 Und die Kühe? COW-fähige Dateisysteme 4.2 Praxis 4.2.1 Ext2/3-FS aufgebohrt: mke2fs, tune2fs, dumpe2fs, e2label 4.2.2 ReiserFS und seine Tools 4.2.3 XFS 4.2.4 Das Dateisystem vergrößern oder verkleinern 4.2.5 BtrFS 4.3 Fazit 5 Berechtigungen 5.1 User, Gruppen und Dateisystemstrukturen 5.2 Dateisystemberechtigungen 5.2.1 Spezialbits 5.3 Erweiterte POSIX-ACLs 5.3.1 Setzen und Anzeigen von einfachen ACLs 5.3.2 Setzen von Default-ACLs 5.3.3 Setzen von erweiterten ACLs 5.3.4 Entfernen von ACLs 5.3.5 Sichern und Zurückspielen von ACLs 5.4 Erweiterte Dateisystemattribute 5.4.1 Attribute, die jeder Benutzer ändern kann 5.4.2 Attribute, die nur »root« ändern kann 5.4.3 Weitere Attribute 5.5 Quotas 5.5.1 Installation und Aktivierung der Quotas 5.5.2 Journaling-Quotas 5.5.3 Quota-Einträge verwalten 5.6 Pluggable Authentication Modules (PAM) 5.6.1 Verschiedene PAM-Typen 5.6.2 Die PAM-Kontrollflags 5.6.3 Argumente zu den Modulen 5.6.4 Modulpfade 5.6.5 Module und ihre Aufgaben 5.6.6 Die neuere Syntax bei der PAM-Konfiguration 5.7 Konfiguration von PAM 5.8 ulimit 5.8.1 Setzen der ulimit-Werte 5.9 Abschlussbemerkung Teil II Aufgaben 6 Paketmanagement 6.1 Paketverwaltung 6.1.1 rpm oder deb? 6.1.2 dnf, yast, zypper oder apt? 6.1.3 Außerirdische an Bord – alien 6.2 Pakete im Eigenbau 6.2.1 Vorbereitungen 6.2.2 Am Anfang war das Makefile 6.2.3 Vom Fellknäuel zum Paket 6.2.4 Patchen mit patch und diff 6.2.5 Updates sicher konfigurieren 6.3 Updates nur einmal laden: Cache 6.3.1 deb-basierte Distributionen: apt-cacher-ng 6.3.2 Installation 6.3.3 Konfiguration 6.3.4 Clientkonfiguration 6.3.5 Fütterungszeit – bereits geladene Pakete dem Cache hinzufügen 6.3.6 Details: Report-HTML 6.3.7 rpm-basierte Distributionen 6.4 Alles meins: Mirror 6.4.1 deb-basierte Distributionen: debmirror 6.4.2 Konfiguration 6.4.3 Benutzer und Gruppe anlegen 6.4.4 Verzeichnisstruktur anlegen 6.4.5 Mirror-Skript erstellen (Ubuntu) 6.4.6 Cronjobs einrichten 6.4.7 Schlüssel importieren 6.4.8 Mirror erstellen 6.4.9 Mirror verfügbar machen – Webdienst konfigurieren 6.4.10 Clientkonfiguration 6.4.11 rpm-basierte Distributionen 6.4.12 Benutzer und Gruppe anlegen 6.4.13 Verzeichnisstruktur anlegen: openSUSE Leap 6.4.14 Verzeichnisstruktur anlegen: CentOS 6.4.15 Mirror-Skript erstellen 6.4.16 Cronjobs einrichten 6.4.17 Mirror erstellen 6.4.18 Mirror verfügbar machen – Webdienst konfigurieren 6.4.19 Clientkonfiguration: openSUSE Leap 6.4.20 Clientkonfiguration: CentOS 7 Backup und Recovery 7.1 Backup gleich Disaster Recovery? 7.2 Backupstrategien 7.3 Datensicherung mit tar 7.3.1 Weitere interessante Optionen für GNU-tar 7.3.2 Sicherung über das Netzwerk mit tar und ssh 7.4 Datensynchronisation mit rsync 7.4.1 Lokale Datensicherung mit rsync 7.4.2 Synchronisieren im Netzwerk mit rsync 7.4.3 Wichtige Optionen für rsync 7.4.4 Backupskript für die Sicherung auf einen Wechseldatenträger 7.4.5 Backupskript für die Sicherung auf einen Backupserver 7.4.6 Verwendung von ssh für die Absicherung von rsync 7.5 Imagesicherung mit dd 7.5.1 Sichern des Master Boot Records (MBR) 7.5.2 Die Partitionstabelle mithilfe von dd zurückspielen 7.5.3 Images mit dd erstellen 7.5.4 Einzelne Dateien mit dd aus einem Image zurückspielen 7.5.5 Abschlussbemerkung zu dd 7.6 Disaster Recovery mit ReaR 7.6.1 ReaR installieren 7.6.2 ReaR konfigurieren 7.6.3 Aufrufparameter von ReaR 7.6.4 Der erste Testlauf 7.6.5 Der Recovery-Prozess 7.6.6 Die ReaR-Konfiguration im Detail 7.6.7 Migrationen mit ReaR Teil III Dienste 8 Webserver 8.1 Apache 8.1.1 Installation 8.1.2 Virtuelle Hosts einrichten 8.1.3 Debian/Ubuntu: Virtuelle Hosts aktivieren 8.1.4 HTTPS konfigurieren 8.1.5 Apache-Server mit ModSecurity schützen 8.1.6 Tuning und Monitoring 8.2 nginx 8.2.1 Installation 8.2.2 Grundlegende Konfiguration 8.2.3 Virtuelle Hosts 8.2.4 HTTPS mit nginx 8.3 PHP 8.3.1 Installation 8.3.2 PHP in den Webseitenkonfigurationen aktivieren 8.3.3 Funktionstest 8.3.4 Tipps und Tricks 8.4 Fortgeschrittene TLS-Konfiguration und Sicherheitsfunktionen 8.4.1 SSL/TLS 8.4.2 Konfiguration in Apache2 8.4.3 Konfiguration in nginx 8.4.4 Informationen und Anregungen 9 FTP-Server 9.1 Einstieg 9.1.1 Das File Transfer Protocol 9.1.2 vsftpd 9.2 Download-Server 9.3 Zugriff von Usern auf ihre Homeverzeichnisse 9.4 FTP über SSL (FTPS) 9.5 Anbindung an LDAP 10 Mailserver 10.1 Postfix 10.1.1 Installation der Postfix-Pakete 10.1.2 Grundlegende Konfiguration 10.1.3 Postfix als Relay vor Exchange, Dovecot oder anderen Backends 10.1.4 Die Postfix-Restrictions: Der Schlüssel zu Postfix 10.1.5 Weiterleitungen und Aliasse für Mailadressen 10.1.6 SASL/SMTP-Auth 10.1.7 SSL/TLS für Postfix einrichten 10.2 POP3/IMAP-Server mit Dovecot 10.2.1 Installation der Dovecot-Pakete 10.2.2 Vorbereitungen im Linux-System 10.2.3 Log-Meldungen und Debugging 10.2.4 User-Authentifizierung 10.2.5 Aktivierung des LMTP-Servers von Dovecot 10.2.6 Einrichten von SSL/TLS-Verschlüsselung 10.2.7 Der Ernstfall: Der IMAP-Server erwacht zum Leben 10.2.8 Dovecot im Replikations-Cluster 10.2.9 Einrichtung der Replikation 10.2.10 Hochverfügbare Service-IP 10.3 Anti-Spam/Anti-Virus mit Rspamd 10.3.1 Mails ablehnen oder in die Quarantäne filtern? 10.3.2 Installation von Rspamd, ClamAV und Redis 10.3.3 Update der Virensignaturen und Start der Dienste 10.3.4 Die Architektur von Rspamd 10.3.5 Einbindung von Rspamd an Ihren Postfix-Mailserver 10.3.6 Konfiguration des Rspamd 10.3.7 Konfiguration von Upstream-Quellen 10.3.8 Redis als schnelle Datenbank an der Seite von Rspamd 10.3.9 Die Definition auszulösender Aktionen 10.3.10 Statistik und Auswertung im Webinterface 10.3.11 ClamAV in Rspamd einbinden 10.3.12 Späteres Filtern über Mail-Header 10.3.13 RBLs in Rspamd 10.3.14 Bayes in Rspamd 10.3.15 Eigene White- und Blacklists führen 10.3.16 Einrichtung von DKIM zur Mailsignierung 10.3.17 Ausblick: Einbindung weiterer Prüfungsmethoden 10.4 Monitoring und Logfile-Auswertung 11 Datenbank 11.1 MariaDB in der Praxis 11.1.1 Installation und grundlegende Einrichtung 11.1.2 Replikation 11.1.3 Master-Master-Replikation 11.2 Tuning 11.2.1 Tuning des Speichers 11.2.2 Tuning von Indizes 11.3 Backup und Point-In-Time-Recovery 11.3.1 Restore zum letztmöglichen Zeitpunkt 11.3.2 Restore zu einem bestimmten Zeitpunkt 12 Syslog 12.1 Der Aufbau von Syslog-Nachrichten 12.2 systemd mit journalctl 12.2.1 Erste Schritte mit dem journalctl-Kommando 12.2.2 Filtern nach Zeit 12.2.3 Filtern nach Diensten 12.2.4 Kernelmeldungen 12.2.5 Einrichten eines Log-Hosts 12.3 Der Klassiker: Syslogd 12.4 Syslog-ng 12.4.1 Der »options«-Abschnitt 12.4.2 Das »source«-Objekt 12.4.3 Das »destination«-Objekt 12.4.4 Das »filter«-Objekt 12.4.5 Das »log«-Objekt 12.5 Rsyslog 12.5.1 Eigenschaftsbasierte Filter 12.5.2 Ausdrucksbasierte Filter 12.6 Loggen über das Netz 12.6.1 SyslogD 12.6.2 Syslog-ng 12.6.3 Rsyslog 12.7 Syslog in eine Datenbank schreiben 12.7.1 Anlegen der Log-Datenbank 12.7.2 In die Datenbank loggen 12.8 Fazit 13 Proxy-Server 13.1 Einführung des Stellvertreters 13.2 Proxys in Zeiten des Breitbandinternets 13.3 Herangehensweisen und Vorüberlegungen 13.4 Grundkonfiguration 13.4.1 Aufbau des Testumfelds 13.4.2 Netzwerk 13.4.3 Cache 13.4.4 Logging 13.4.5 Handhabung des Dienstes 13.4.6 Objekte 13.4.7 Objekttypen 13.4.8 Objektlisten in Dateien 13.4.9 Regeln 13.4.10 Überlagerung mit »first match« 13.4.11 Anwendung von Objekten und Regeln 13.5 Authentifizierung 13.5.1 Benutzerbasiert 13.5.2 Gruppenbasiert 13.6 Log-Auswertung: Calamaris und Sarg 13.6.1 Calamaris 13.6.2 Sarg 13.7 Unsichtbar: transparent proxy 13.8 Ab in den Pool – Verzögerung mit delay_pools 13.8.1 Funktionsweise – alles im Eimer! 13.8.2 Details – Klassen, Eimer und ACLs richtig wählen 13.9 Familienbetrieb: Sibling, Parent und Co. 13.9.1 Grundlagen 13.9.2 Eltern definieren 13.9.3 Geschwister definieren 13.9.4 Load Balancing 13.9.5 Inhalte eigenständig abrufen: always_direct 13.10 Cache-Konfiguration 13.10.1 Cache-Arten: Hauptspeicher und Festplatten 13.10.2 Hauptspeicher-Cache 13.10.3 Festplatten-Cache 13.10.4 Tuning 14 Kerberos 14.1 Begriffe im Zusammenhang mit Kerberos 14.2 Die Funktionsweise von Kerberos 14.3 Installation und Konfiguration des Kerberos-Servers 14.3.1 Starten und Stoppen der Dienste 14.3.2 Konfiguration der Datei »/etc/krb5.conf« 14.3.3 Konfiguration der Datei »kdc.conf« 14.4 Initialisierung und Testen des Kerberos-Servers 14.4.1 Verwalten der Principals 14.5 Kerberos und PAM 14.5.1 Konfiguration der PAM-Dateien auf einem openSUSE-System 14.5.2 Testen der Anmeldung 14.6 Neue Benutzer mit Kerberos-Principal anlegen 14.7 Hosts und Dienste 14.7.1 Einträge entfernen 14.8 Konfiguration des Kerberos-Clients 14.8.1 PAM und Kerberos auf dem Client 14.9 Replikation des Kerberos-Servers 14.9.1 Bekanntmachung aller KDCs im Netz 14.9.2 Konfiguration des KDC-Masters 14.9.3 Konfiguration des KDC-Slaves 14.9.4 Replikation des KDC-Masters auf den KDC-Slave 14.10 Kerberos-Policies 14.11 Kerberos in LDAP einbinden 14.11.1 Konfiguration des LDAP-Servers 14.11.2 Zurücksichern der alten Datenbank 14.11.3 Erstellung der Service-Keys in der Standard-»keytab«-Datei 14.11.4 Bestehende LDAP-Benutzer um Kerberos-Principal erweitern 14.12 Neue Benutzer in den LDAP-Baum aufnehmen 14.13 Authentifizierung am LDAP-Server über »GSSAPI« 14.13.1 Authentifizierung einrichten 14.13.2 Den zweiten KDC an den LDAP-Server anbinden 14.14 Konfiguration des LAM Pro 15 Samba 4 15.1 Vorüberlegungen 15.2 Konfiguration von Samba 4 als Domaincontroller 15.2.1 Das Provisioning 15.2.2 Konfiguration des Bind9 15.3 Testen des Domaincontrollers 15.3.1 Testen des DNS-Servers 15.3.2 Test des Verbindungsaufbaus 15.3.3 Einrichtung des Zeitservers 15.4 Benutzer- und Gruppenverwaltung 15.5 Benutzer- und Gruppenverwaltung über die Kommandozeile 15.5.1 Verwaltung von Gruppen über die Kommandozeile 15.5.2 Verwaltung von Benutzern über die Kommandozeile 15.5.3 Setzen der Passwortrichtlinien 15.5.4 Passwortrichtlinien mit Password Settings Objects (PSO) 15.6 Die Remote Server Administration Tools (RSAT) 15.6.1 Die RSAT einrichten 15.6.2 Beitritt eines Windows-Clients zur Domäne 15.6.3 Einrichten der RSAT 15.6.4 Benutzer- und Gruppenverwaltung mit den RSAT 15.7 Gruppenrichtlinien 15.7.1 Verwaltung der GPOs mit den RSAT 15.7.2 Erste Schritte mit der Gruppenrichtlinienverwaltung 15.7.3 Eine Gruppenrichtlinie erstellen 15.7.4 Die Gruppenrichtlinie mit einer OU verknüpfen 15.7.5 GPOs über die Kommandozeile 15.8 Linux-Clients in der Domäne 15.8.1 Bereitstellen von Freigaben 15.8.2 Mounten über »pam_mount« 15.8.3 Umstellen des grafischen Logins 15.9 Zusätzliche Server in der Domäne 15.9.1 Einen Fileserver einrichten 15.9.2 Ein zusätzlicher Domaincontroller 15.9.3 Konfiguration des zweiten DC 15.9.4 Einrichten des Nameservers 15.9.5 Testen der Replikation 15.9.6 Weitere Tests 15.9.7 Einrichten des Zeitservers 15.10 Die Replikation der Freigabe »sysvol« einrichten 15.10.1 Einrichten des rsync-Servers 15.10.2 Einrichten von rsync auf dem PDC-Master 15.11 Was geht noch mit Samba 4? 16 NFS 16.1 Unterschiede zwischen NFSv3 und NFSv4 16.2 Funktionsweise von NFSv4 16.3 Einrichten des NFSv4-Servers 16.3.1 Konfiguration des Pseudodateisystems 16.3.2 Anpassen der Datei »/etc/exports« 16.3.3 Tests für den NFS-Server 16.4 Konfiguration des NFSv4-Clients 16.5 Konfiguration des idmapd 16.6 Optimierung von NFSv4 16.6.1 Optimierung des NFSv4Servers 16.6.2 Optimierung des NFSv4-Clients 16.7 NFSv4 und Firewalls 16.8 NFS und Kerberos 16.8.1 Erstellung der Principals und der keytab-Dateien 16.8.2 Kerberos-Authentifizierung unter Debian und Ubuntu 16.8.3 Kerberos-Authentifizierung auf openSUSE und CentOS 16.8.4 Anpassen der Datei »/etc/exports« 16.8.5 Einen NFS-Client für Kerberos unter Debian und Ubuntu konfigurieren 16.8.6 Einen NFS-Client für Kerberos unter openSUSE und CentOS konfigurieren 16.8.7 Testen der durch Kerberos abgesicherten NFS-Verbindung 16.8.8 Testen der Verbindung 17 LDAP 17.1 Einige Grundlagen zu LDAP 17.1.1 Was ist ein Verzeichnisdienst? 17.1.2 Der Einsatz von LDAP im Netzwerk 17.1.3 Aufbau des LDAP-Datenmodells 17.1.4 Objekte 17.1.5 Attribute 17.1.6 Das Schema 17.1.7 Das LDIF-Format 17.2 Zu den hier verwendeten Distributionen 17.3 Installation der Symas-Pakete 17.3.1 Die zwei Konfigurationsarten 17.3.2 Die Datenbank-Backends 17.3.3 Grundkonfiguration des LDAP-Servers (statisch) 17.3.4 Grundkonfiguration des LDAP-Servers (dynamisch) 17.3.5 Anlegen der ersten Objekte 17.4 Die Verbindung zum LDAP-Server über TLS absichern 17.4.1 Erstellen der Zertifizierungsstelle 17.4.2 Erstellen des Serverzertifikats 17.4.3 Signieren des Zertifikats 17.4.4 Zertifikate in die »slapd.conf« eintragen 17.4.5 Zertifikate in die dynamische Konfiguration eintragen 17.4.6 Konfiguration des LDAP-Clients 17.5 Einrichtung des sssd 17.5.1 Anlegen eines Testbenutzers 17.6 Grafische Werkzeuge für die LDAP-Verwaltung 17.7 Änderungen mit »ldapmodify« 17.7.1 Interaktive Änderung mit »ldapmodify« 17.7.2 Änderungen über eine LDIF-Datei mit »ldapmodify« 17.8 Absichern des LDAP-Baums mit ACLs 17.9 Grundlegende ACLs 17.10 Der neue LDAP-Admin 17.10.1 Anlegen der Objekte 17.11 Absichern der Passwörter 17.12 ACLs mit regulären Ausdrücken 17.12.1 ACLs vor dem Einsatz testen 17.13 Filter zur Suche im LDAP-Baum 17.13.1 Die Fähigkeiten des LDAP-Servers testen 17.13.2 Einfache Filter 17.13.3 Filter mit logischen Verknüpfungen 17.13.4 Einschränkung der Suchtiefe 17.14 Verwendung von Overlays 17.14.1 Overlays am Beispiel von »dynlist« 17.14.2 Weitere Overlays 17.15 Replikation des DIT 17.15.1 Vorbereitungen für die Replikation 17.15.2 Einrichtung der Replikation 17.15.3 Einrichtung einer Multiprovider-Replikation 17.16 Weiterleitungen für den Mailserver Postfix 17.17 Benutzerauthentifizierung von Dovecot über LDAP 17.18 Benutzerauthentifizierung am Proxy Squid über LDAP 17.18.1 Die Authentifizierung über LDAP aktivieren 17.18.2 Benutzerbezogene Authentifizierung 17.18.3 Gruppenbezogene Authentifizierung 17.19 Benutzerauthentifizierung am Webserver Apache über LDAP 17.19.1 Konfiguration der Cache-Parameter 17.19.2 Konfiguration der Zugriffsparameter 17.20 Und was geht sonst noch alles mit LDAP? 18 Druckserver 18.1 CUPS administrieren 18.2 Policies 18.2.1 Location-Policies 18.2.2 Operation Policies 18.2.3 Weitere Konfigurationsmöglichkeiten 18.2.4 Browsing 18.3 Drucker und Klassen einrichten und verwalten 18.3.1 Drucker einrichten 18.3.2 Klassen einrichten 18.4 Druckerquotas 18.5 CUPS über die Kommandozeile 18.5.1 Einstellen eines Standarddruckers 18.5.2 Optionen für einen Drucker verwalten 18.6 PPD-Dateien 18.7 Noch mehr Druck Teil IV Infrastruktur 19 Hochverfügbarkeit 19.1 Das Beispiel-Setup 19.2 Installation 19.2.1 Debian 11 und Ubuntu 22.04 LTS 19.2.2 CentOS Stream 19.2.3 openSUSE Leap 19.3 Einfache Vorarbeiten 19.4 Shared Storage mit DRBD 19.4.1 Grundlegende Konfiguration 19.4.2 Die wichtigsten Konfigurationsoptionen 19.4.3 Die DRBD-Ressource in Betrieb nehmen 19.5 Grundkonfiguration der Clusterkomponenten 19.5.1 Pacemaker und Corosync: das Benachrichtigungssystem 19.5.2 Pacemaker: der Ressourcenmanager 19.5.3 Ein Quorum deaktivieren 19.6 Dienste hochverfügbar machen 19.6.1 Die erste Ressource: eine hochverfügbare IP-Adresse 19.6.2 Hochverfügbarkeit am Beispiel von Apache 19.6.3 DRBD integrieren 19.6.4 Fencing 20 Virtualisierung 20.1 Einleitung 20.2 Für den Sysadmin 20.3 Servervirtualisierung 20.3.1 KVM 20.3.2 Xen 20.4 Netzwerkgrundlagen 20.5 Management und Installation 20.5.1 Einheitlich arbeiten: »libvirt« 20.5.2 Konsolenbasiertes Management: virsh 20.5.3 Virtuelle Maschinen installieren 20.5.4 virt-install 20.5.5 Alleskönner: Der Virtual Machine Manager 20.5.6 Zusätzliche Konsolentools 20.6 Umzugsunternehmen: Live Migration 20.6.1 Vorbereitungen 20.6.2 Konfiguration im Virtual Machine Manager 21 Containervirtualisierung mit Docker und Podman 21.1 Einführung, Installation und Grundlagen für den Betrieb 21.1.1 Was ist ein Container? 21.1.2 Container vs. VM 21.1.3 Entstehung und Geschichte 21.1.4 Versionen 21.1.5 Docker oder Podman? 21.1.6 Installation von Docker 21.1.7 Installation von Podman 21.1.8 Ergänzungen zur Installation, erster Systemtest 21.1.9 Betrieb hinter einem Proxy 21.1.10 Konfiguration der Laufzeitumgebung 21.2 Management von Images und Containern 21.2.1 Etwas Terminologie 21.2.2 Das Command Line Interface 21.2.3 Erste Schritte: hello-world 21.2.4 Löschen von Containern und Images 21.2.5 Image-Namen, Docker Hub und weitere Registrys 21.2.6 Handling von Containern 21.2.7 Prozessverwaltung 21.2.8 Umgebungsvariablen 21.2.9 Logging 21.2.10 Verteilung von Images über Dateiversand 21.2.11 Ausgaben filtern und/oder formatieren 21.2.12 Restart-Policys: Verhalten beim Host-Restart 21.2.13 Container limitieren 21.2.14 Packungsdichte 21.2.15 Systeminformationen und Aufräumarbeiten 21.3 Docker-Networking 21.3.1 User Defined Networks 21.3.2 Portmapping 21.3.3 »/etc/hosts«-Einträge beim Containerstart 21.4 Containerdaten und Persistenz 21.4.1 Aufbau von Images und Containern 21.4.2 Bind Mounts und Volumes 21.4.3 Weitere Möglichkeiten 21.4.4 Informationsbeschaffung 21.5 Erstellen eigener Images mit Dockerfiles 21.5.1 Einfaches Committen von Anpassungen 21.5.2 Dockerfiles und »docker build«: Basics 21.5.3 Der Build-Cache und »docker build --pull« 21.5.4 Dangling Images 21.5.5 Die Dockerfile-Direktiven: Ein Überblick 21.5.6 Ein komplexeres Beispiel mit ENV, COPY und CMD 21.5.7 CMD und/oder ENTRYPOINT 21.5.8 Verwendung eigener Entrypoint-Skripte 21.5.9 ».dockerignore«-Files 21.5.10 Healthchecks 21.5.11 Multistage-Builds 21.5.12 Best Practices 21.6 Multi-Container-Rollout mit Docker Compose 21.6.1 Installation 21.6.2 Basics 21.6.3 Ein erstes Beispiel 21.6.4 Build and Run 21.6.5 Environment und Portmappings 21.6.6 Volumes in Compose 21.6.7 Flexible Compose-Konfigurationen durch Umgebungsvariablen 21.6.8 Noch mal Restart-Policys 21.7 Betrieb und Verwendung einer eigenen Registry 21.7.1 Vorbereitungen in einer (virtuellen) Test-/Schulungsumgebung 21.7.2 Heute mal kein TLS/HTTPS 21.7.3 Harbor 21.7.4 Docker Registry 21.7.5 Arbeiten mit einer privaten Registry Teil V Kommunikation 22 Netzwerk 22.1 Vorwort zu Predictable Network Interface Names 22.2 Netzwerkkonfiguration mit iproute2 22.2.1 Erste Schritte 22.2.2 Die Syntax von ip 22.2.3 Links ansehen und manipulieren: ip link 22.2.4 IP-Adressen ansehen und manipulieren: ip address 22.2.5 Manipulation von ARP-Einträgen: ip neighbour 22.3 Routing mit ip 22.3.1 Routing-Informationen anzeigen 22.3.2 Da geht noch mehr: »Advanced Routing« 22.3.3 Die vorhandenen Regeln ansehen 22.3.4 Eine neue Routing-Tabelle anlegen 22.3.5 Ändern der Policy Routing Database 22.3.6 Routing über mehrere Uplinks 22.3.7 Fazit bis hierher 22.4 Bonding 22.4.1 Bonding-Konfiguration 22.4.2 Bonding unter Debian 22.4.3 Bonding unter Ubuntu 22.4.4 Bonding unter CentOS 22.4.5 Bonding unter openSUSE Leap 22.5 IPv6 22.5.1 Die Vorteile von IPv6 22.5.2 Notation von IPv6-Adressen 22.5.3 Die Netzmasken 22.5.4 Die verschiedenen IPv6-Adressarten 22.5.5 Es geht auch ohne ARP 22.5.6 Feste Header-Länge 22.5.7 IPv6 in der Praxis 22.6 Firewalls mit netfilter und iptables 22.6.1 Der Weg ist das Ziel – wie Pakete durch den Kernel laufen 22.6.2 Einführung in iptables 22.6.3 Regeln definieren 22.6.4 Die klassischen Targets 22.6.5 Ein erster Testlauf 22.6.6 Rein wie raus: Stateful Packet Inspection 22.6.7 Das erste Firewallskript 22.6.8 Externe Firewall 22.6.9 Logging 22.6.10 Network Address Translation und Masquerading 22.6.11 Weitere nützliche Module für iptables 22.6.12 Abschlussbemerkung 22.7 DHCP 22.7.1 Funktionsweise 22.7.2 Konfiguration 23 DNS-Server 23.1 Funktionsweise 23.1.1 Unterschied: rekursiv und autoritativ 23.1.2 Einträge im DNS: Resource Records 23.1.3 Die Grundkonfiguration 23.1.4 Zonendefinitionen 23.1.5 Die erste vollständige Zone 23.1.6 Die hint-Zone 23.1.7 Reverse Lookup 23.1.8 Secondary-Server 23.1.9 DNS-Server und IPv6 23.2 Vertrauen schaffen mit DNSSEC 23.2.1 Die Theorie: »Wie arbeitet DNSSEC?« 23.2.2 Anpassungen am Server 23.2.3 Schlüssel erzeugen 23.2.4 Schlüssel der Zone hinzufügen und die Zone signieren 23.2.5 Signierte Zone aktivieren 23.2.6 Signierung prüfen 23.2.7 Die Signierung veröffentlichen 23.2.8 Weniger anstrengend: Mehr Automatismus! 23.2.9 Fazit 23.3 Client-Anfragen absichern mit »DNS over HTTPS (DoH)« 23.3.1 Installation 23.3.2 Vorbereitungen 23.3.3 Konfiguration 23.3.4 Funktionstest 23.3.5 Client-Konfiguration 24 OpenSSH 24.1 Die SSH-Familie 24.1.1 Die Clients: ssh, scp, sftp 24.1.2 Der Server: sshd 24.2 Schlüssel statt Passwort 24.2.1 Schlüssel erzeugen 24.2.2 Passwortloses Login 24.2.3 Der SSH-Agent merkt sich Passphrasen 24.3 X11-Forwarding 24.4 Portweiterleitung und Tunneling 24.4.1 SshFS: Entfernte Verzeichnisse lokal einbinden 25 Administrationstools 25.1 Was kann dies und jenes noch? 25.1.1 Der Rsync-Daemon 25.1.2 Wenn's mal wieder später wird: screen 25.1.3 Anklopfen mit nmap 25.1.4 Netzwerkinspektion: netstat 25.1.5 Zugreifende Prozesse finden: lsof 25.1.6 Was macht mein System? top 25.1.7 Wenn gar nichts mehr geht – Debugging mit strace 25.1.8 Prüfung der Erreichbarkeit mit my traceroute 25.1.9 Subnetzberechnung mit ipcalc 25.2 Aus der Ferne – Remote-Administrationstools 25.2.1 PuTTY 25.2.2 WinSCP 25.2.3 Synergy 25.2.4 Eine für immer: mosh 26 Versionskontrolle 26.1 Philosophien 26.1.1 Lokal 26.1.2 Zentral 26.1.3 Dezentral 26.2 Versionskontrollsysteme 26.2.1 CVS 26.2.2 Apache Subversion 26.2.3 GNU Bazaar 26.2.4 Mercurial 26.2.5 Git 26.3 Kommandos 26.4 Serverdienste 26.4.1 Git-Server mit Gitolite 26.4.2 Git-Server mit Gitea Teil VI Automatisierung 27 Scripting 27.1 Aufgebohrte Muscheln 27.2 Vom Suchen und Finden: ein kurzer Überblick 27.2.1 Die Detektive: grep, sed und awk 27.2.2 Reguläre Ausdrücke verstehen und anwenden 27.3 Fortgeschrittene Shell-Programmierung 27.3.1 Expansionsschemata 27.3.2 Umgebungsvariablen 27.3.3 »Back to bash«: ein tieferer Blick in die Muschel 27.3.4 Logging in Skripten 27.4 Tipps und Tricks aus der Praxis 27.4.1 Aufräumkommando 27.4.2 IFS 27.4.3 Datumsmagie 27.4.4 E-Mails aus einem Skript versenden 27.4.5 Interaktive Programme steuern 28 Konfigurationsmanagement mit Ansible 28.1 Einführung und Installation 28.1.1 Was ist Ansible? 28.1.2 Geschichte und Versionen 28.1.3 Setup/Laborumgebung 28.1.4 Ansible-Installation auf dem Control Host 28.1.5 Authentifizierung und Autorisierung auf den Target Hosts 28.1.6 Einrichten der SSH-Public-Key-Authentifizierung 28.1.7 Ein Ad-hoc-Test ohne jegliche Konfiguration 28.2 Basiseinrichtung und erstes Inventory-Management 28.2.1 Verzeichnisstruktur einrichten 28.2.2 Grundkonfiguration (»ansible.cfg«) 28.2.3 Erstellen und Verwalten eines statischen Inventorys 28.2.4 Inventory-Aliasse und Namensbereiche 28.2.5 Jenseits von Ping 28.2.6 Ein etwas komplexeres Beispiel 28.2.7 Alternative bzw. mehrere Inventorys 28.3 Ad-hoc-Kommandos und Patterns 28.3.1 Ad-hoc-Kommandos 28.3.2 Use Cases jenseits von »command« und »shell« 28.3.3 Idempotenz 28.3.4 Interne Funktionsweise 28.3.5 Die Ansible-Konsole 28.3.6 Patterns zum Adressieren von Hosts 28.4 Die Konfigurations- und Serialisierungssprache YAML 28.4.1 Syntax und Struktur 28.4.2 YAML-Files editieren 28.4.3 Listen und Maps 28.4.4 Verschachtelte Strukturen 28.4.5 Textpassagen und Block-Ausdrücke 28.4.6 Das Nichts in YAML 28.5 Playbooks und Tasks: die Grundlagen 28.5.1 Hallo Ansible – das allererste Playbook 28.5.2 Formulierung von Tasks 28.5.3 Beenden von Plays 28.5.4 Fehlerbehandlung, Retry-Files 28.5.5 Tags 28.5.6 Das Kommando »ansible-playbook« 28.5.7 Eine exemplarische Apache-Installation 28.5.8 Handler: Tasks nur bei Changes durchführen 28.6 Playbooks und Tasks: fortgeschrittene Methoden 28.6.1 Variablen 28.6.2 Registrierte Variablen 28.6.3 Facts und implizite Variablen 28.6.4 Bedingte Ausführung mit »when« 28.6.5 Jinja und Templates 28.6.6 Schleifen 28.6.7 Fehlerbehandlung mit »failed_when« und »ignore_errors« 28.6.8 Blocks 28.6.9 Lookup-Plug-ins 28.6.10 Umgebungsvariablen setzen 28.7 Module und Collections verwenden 28.7.1 Collections 28.7.2 Module 28.7.3 Module zur Kommandoausführung 28.7.4 Module zur Paketverwaltung 28.7.5 Module zur Verwaltung von Dateien und Dateiinhalten 28.7.6 Module für weitere typische Verwaltungsaufgaben 28.7.7 Spezialmodule (Kontrollflusssteuerung etc.) 28.8 Nächste Schritte 29 Monitoring – wissen, was läuft 29.1 Monitoring mit Checkmk 29.2 Installation der Pakete 29.2.1 Installation von Checkmk unter openSUSE 29.2.2 Installation von Checkmk unter Debian/Ubuntu 29.2.3 Installation von Checkmk unter CentOS 29.2.4 Die erste Kontrolle – klappt alles? 29.3 Einrichtung der ersten Monitoring-Instanz 29.4 Server, Geräte und Dienste überwachen 29.5 Installation des Checkmk-Agenten 29.6 Anlegen eines Hosts 29.7 Betriebs- und Fehlerzustände von Host und Services im Überblick 29.8 Konfiguration durch Regelsätze 29.8.1 Arbeiten in Host-Ordnern 29.8.2 Keine Alarme für Testsysteme 29.8.3 Unterschiedliche Alarmschwellen bei Dateisystemen 29.8.4 Service Discovery Rules: Gezielt Prozesse überwachen 29.8.5 HTTP, TCP und E-Mail: Netzwerkdienste überwachen 29.9 Notifications 29.9.1 Anlegen weiterer Kontaktgruppen 29.9.2 Test der E-Mail-Zustellung 29.9.3 Alarmierung per SMS 29.9.4 Wann wird ein Fehler zum HARD STATE? 29.9.5 Definieren von Notification Periods 29.10 Alarme managen 29.10.1 Die mächtige Suche von Checkmk 29.11 Weitere Fähigkeiten von Checkmk 29.12 Fazit Teil VII Sicherheit, Verschlüsselung und Zertifikate 30 Sicherheit 30.1 Weniger ist mehr 30.2 chroot 30.2.1 Dienste 30.3 Selbstabsicherung: AppArmor 30.3.1 Status und Betriebsarten 30.3.2 Eigene Profile erstellen 30.4 Gotcha! Intrusion-Detection-Systeme 30.4.1 snort und Co. 30.5 Installation und Konfiguration 30.5.1 Vorbereitungen 30.5.2 Kompilieren und installieren 30.5.3 Basiskonfiguration 30.5.4 Ein erster Test: ICMP 30.5.5 Start-Skript erstellen: systemd 30.6 Immer das Neueste vom Neuen: pulledpork 30.7 Klein, aber oho: fail2ban 30.7.1 Konfiguration 30.7.2 Aktive Sperrungen 30.7.3 Reguläre Ausdrücke 30.8 OpenVPN 30.8.1 Serverinstallation – OpenVPN, PKI und Co. 30.8.2 CentOS/openSUSE Leap: easy-rsa 30.8.3 Gemeinsam weiter 30.8.4 Für den Roadwarrior 30.8.5 Start-Skript? 30.8.6 Site-to-site 30.8.7 Simple-HA 30.8.8 Tipps und Tricks 30.9 Schnell, Modern, Sicher: WireGuard 30.9.1 Schnell einen Tunnel einrichten 30.9.2 Die dunkle Seite des Mondes 30.9.3 Dauerhafte Tunnel mit »systemd« 30.9.4 Alle machen mit: »Hub and Spoke« 30.9.5 Tipps und Tricks 30.10 Fazit 31 Verschlüsselung und Zertifikate 31.1 Definition und Historie 31.2 Moderne Kryptologie 31.2.1 Symmetrische Verschlüsselung 31.2.2 Asymmetrische Verschlüsselung 31.3 Den Durchblick behalten 31.3.1 Das Grundproblem 31.3.2 Verwendungszwecke 31.3.3 Umsetzung mithilfe einer PKI 31.3.4 X.509 31.3.5 Ein anderer Ansatz: PGP (Web-of-Trust) 31.4 Einmal mit allem und kostenlos bitte: Let's Encrypt 31.4.1 Wie funktioniert das? 31.4.2 Einschränkungen 31.4.3 Der Client certbot 31.5 In der Praxis 31.5.1 Einrichtung einer PKI mit Server- und E-Mail-Zertifikaten 31.5.2 Lokale Zertifikatsausstellung wie Let's Encrypt: acme2certifier 31.5.3 E-Mail-Verschlüsselung 31.6 Neben der Kommunikation – Dateiverschlüsselung 31.6.1 Dateien 31.6.2 Devices 31.6.3 Festplatten/System 32 Die Autoren Stichwortverzeichnis Rechtliche Hinweise