1 Einführung Erste Schritte Wichtige Serverdienste Verwaltung und Administration Server absichern...

Transkript

1

2 Auf einen Blick 1 Einführung Erste Schritte Wichtige Serverdienste Verwaltung und Administration Server absichern Vserver für Linux Der eigene Server Bürokratisches A Anhang

3 Inhalt 1 Einführung Vorwort Danksagung Arbeitsvoraussetzungen Historie zu UNIX, BSD und Linux Bemühungen zur Standardisierung von UNIX Entwicklung freier UNIX-Derivate Welches System ist für mich das richtige? Vor- und Nachteile der verschiedenen Systeme Wartung und Pflege Saubere Installation Hardware-Unterstützung Dokumentation, Mailinglisten und Support Notfallsystem Resümee Bezugsmöglichkeiten Erste Schritte Vorbereitungen und Hinweise zur Installation Hinweise zu benötigten Partitionen Das richtige Filesystem Installation von Debian 3.0r Alternativen zu dselect für die Installation offizieller Debian-Pakete Installation von SuSE Red Hat RPM die Paketverwaltung von Red Hat und SuSE OpenBSD So helfen Sie lahmen IDE-Festplatten auf die Sprünge (DMA-Modus) Einführung in die UNIX-Welt Wichtige Systemprogramme in der Übersicht Crashkurs-Grundbefehle (cd, ls, mkdir, rm, cp, mv, cat, tail, head und echo) Dateigrößen und Zahlensysteme Die Editoren vi(m) und pico Inhalt 5

4 2.3.4 Das Einmaleins der administrativen Befehle (su, find, locate, grep, ps, top, kill, du) Hard- und Softlinks (ln) Informationen zu Logins (finger, lastlog) Netstat kennt alle lauschenden und kommunizierenden Prozesse Partitionen richtig mounten (mount, umount) Das UNIX-Rechtesystem (chmod, chown, chgrp) User-Verwaltung (useradd, userdel, usermod, groupadd, groupdel) sudo Shell-Crashkurs Automatische Dateinamenerweiterung Befehlshistorie Cursor-Befehle Umleitung von Ein- und Ausgabe Ausführung als Hintergrundprozess Befehlsverknüpfungen Setzen von Umgebungsvariablen Definition von Aliasen für Befehle Der Bootloader LILO Generic Bootloader for Linux Boot (OpenBSD) und Bootable-Flag (fdisk) Netzwerkeinstellungen und Konfiguration Konfiguration eines Netzwerk-Interface unter Linux Konfiguration eines Netzwerk-Interface unter OpenBSD Konfiguration eines Nameservers (unter Linux und OpenBSD) Manuelles Installieren (Kompilieren) von Programmen Sollen Installationspfade angepasst werden? Sicherheitsaspekte Überprüfen der Vertrauenswürdigkeit von Programmpaketen Deinstallation Startskripte Linux OpenBSD Der eigene Kernel Linux OpenBSD Wichtige Serverdienste OpenSSH Konfiguration Betrieb User-Home-Verzeichnis chrooten Inhalt

5 3.2 Domain Name Server System Grundkonfiguration Testlauf Bind im harten Server-Einsatz Domains registrieren und KK-Anträge Wann lohnt sich der eigene Nameserver? Apache Installation Grundkonfiguration Default Server und virtuelle Hosts Verzeichnis- und Datei-Optionen Hostbasierter Zugriffsschutz User-spezifischer Zugriffsschutz Secure Socket Layer Anpassung von serverseitigen Fehlermeldungen Logfile-Erstellung und -Auswertung PHP CGI für Perl, PHP, Python und Co Apache enthält Sicherheitslücken! Tomcat Installation Grundkonfiguration Absicherung von Tomcat Tomcat-Seiten über Apache ausliefern MySQL Absicherung Administration Logging phpmyadmin Mailserver Postfix Courier-IMAP Das PHP-WebInterface-SquirrelMail FTP-Server Installation von ProFTPD mit MySQL-Support Konfiguration von ProFTPD Vorbereiten der MySQL-Datenbank Erzeugen von FTP-Accounts Testen der FTP-Installation Fehlerteufel Freischalten eines FTP-Zugangs mit Einmalpasswörtern über Perl Traffic-Auswertung xferlog Inhalt 7

6 4 Verwaltung und Administration Automatische Jobsteuerung Cron-Jobs Syslogd Ein einfaches Beispiel Das Priority-Konzept Kombinationen von Facility und Priority in der Praxis Zugriffsrechte der Logdateien Logfiles verwalten Logrotate (Linux) Newsyslog (OpenBSD) Archivierte Logfiles mit mpack versenden Systemzeit Automatisierte Korrektur der Systemzeit Systemüberwachung Traffic-Analyse Überwachung von CPU, Load, RAM und verfügbarer Bandbreite Speicherplatz mit Quotas beschränken Partition für Quotas vorbereiten Quotas erstellen und verwalten Quotas im Betrieb: Übersicht und automatisierte Infomails Automation Einführung in die Shell-Programmierung Einführung in die Perl-Programmierung Abschließende Anmerkungen und Skriptübersicht Backup Welche Daten sind zu sichern? Wie häufig ist zu sichern? Wohin ist zu sichern? Womit ist zu sichern? Backup der Nutzdaten mit rsync Voll-Backup mit tar Stress-Tests Mit Stress Arbeitsspeicher entziehen und CPU/Load-Belastung erhöhen Apache under Siege Ressourcen beschränken Ressourcen unter Linux über PAM nutzerbezogen beschränken Ressourcen unter OpenBSD nutzerbezogen einschränken Loadbalancing Hochverfügbarkeit Inhalt

7 4.13 Festplatte prüfen Debian und SuSE zur Reparatur Read-Only starten Read-Only-Start von Red Hat und OpenBSD? S.M.A.R.T Das Rettungssystem Ein Linux-Rettungssystem auf CD-ROM Raid-Systeme Vorstellung verschiedener Admintools Server absichern Vorbemerkung Einspielen von Security-Updates Paketfilter TCP UDP ICMP Vorgehensweise Syntax und Definition von Regeln Logging zur Regelerstellung nutzen SSH http(s) FTP Mailserver auth/ident DNS Timeserver Fragmentation Needed and Don't Fragment was Set Ping Parameter Problem Unsinnige Pakete verwerfen Welche Pakete sollten geloggt werden? Paketfilter-Regeln nach dem Booten automatisiert laden Systrace Installation Regelerstellung und Betrieb Stolperfallen Logging Chroot Chroot als Admintool Feinabstimmung Inetd abschalten Der TCP-Wrapper Zugriffsrechte Bastille und harden-suse Informationen zu /proc, insmod und dem Ptrace-Bug (Linux) Inhalt 9

8 5.7 Nessus Vorbereitungen Nutzung Fehlalarm ist keine Seltenheit nmap Die wichtigsten Funktionen Portscans erkennen Integritätsprüfung mit AIDE Vorbereitungen Initialisieren und Erstellen der AIDE-Datenbank Überprüfung der Systemintegrität Sicherheitshinweise Das Intrusion-Detection-System Snort Installation und Aktualisierungen Betrieb Absichern von Logfiles Automatisierte Sicherung über ssh Automatisierte Sicherung per Logfile-Analyse Automatisierte Warnmeldungen via Logsurfer Analyseberichte mit Logcheck erstellen Sicherheitsinformationen beziehen Verhalten beim Supergau Rechtliche Maßnahmen? Vserver für Linux Sinn und Zweck Installation Einrichten einer virtuellen Umgebung Programme des Basis-Systems parallel in Vserver-Umgebungen betreiben Verwenden und Optimieren von Vserver-Umgebungen Bind Systemneustart innerhalb einer Vserver-Umgebung Die v-befehlsversionen vrpm und vunify für RPM-basierte Vserver Der eigene Server Wahl des richtigen Vertragspartners Vorgehensweise nach Bereitstellung eines Servers Absicherung eines vom Dienstleister vorinstallierten Systems Inhalt

9 8 Bürokratisches Gesetzliche Regelungen für den Betrieb einer Website Pflichtangaben Problematik externer Links Betrieb eines Gästebuchs oder Forums Newsletter Das Domain-Recht Rechtliche Absicherungen gegenüber Kunden Inhalte von Internet-Seiten Registrierung eines Domain-Namens Pflichten des Kunden Datenschutzfragen beim Betrieb eines Webservers Haftungsbeschränkung und technische Einschränkungen Abschließende Hinweise und Tipps zu AGB Datenschutz und Logfiles Vorsicht bei Auskunftsersuchen und Durchsuchungen Ernennung eines Datenschutzbeauftragten Rechtliche Hinweise und Verfahrensfragen zur Registrierung von Domain-Adressen Fällt das Datenschutzrecht für den Zwang zur personenbezogenen Vorratsdatenspeicherung? A Anhang 440 A.1 Glossar A.2 Bibliografie A.3 Linkliste Index 448 Inhalt 11

10 1 Einführung 1.1 Vorwort Arbeitsvoraussetzungen Historie zu UNIX, BSD und Linux Welches System ist für mich das richtige?

11 1 Einführung Free software is a matter of freedom: people should be free to use software in all the ways that are socially useful. Software differs from material objects such as chairs, sandwiches, and gasoline in that it can be copied and changed much more easily. These possibilities make software as useful as it is; we believe software users should be able to make use of them. (Richard Stallman Free Software Foundation) 1.1 Vorwort Die Vielzahl an unterschiedlichen UNIX-Derivaten macht es unmöglich, auf jedes einzelne System detailliert einzugehen. Dennoch werden Sie das benötigte Wissen erlernen, um exotischere oder kommerzielle UNIX-Derivate als Webserver betreiben zu können. Dies ist möglich, da viele grundsätzliche UNIX-Befehle wie cat, echo oder kill auf jedem System vorhanden sind und die Administration von Apache oder dem Mailserver Postfix ebenfalls überall identisch ist. Davon abgesehen werde ich neben OpenBSD auch auf die wichtigsten Linux- Distributionen Debian, RedHat und SuSE eingehen und gegebenenfalls auf die Besonderheiten bei der Installation der vorgestellten Programme oder beim Einspielen von System-Updates hinweisen. Der Aufbau und Betrieb eines eigenen Webservers ist eine komplexe Thematik und mit hoher Verantwortung verbunden. Schlecht gesicherte Server sind für Angreifer leicht zu finden und ebenso schnell für illegale Attacken gegen andere Rechner zu missbrauchen sowie als FTP-Server für Raubkopien, pornografische Videos oder andere fragwürdige Zwecke. Selbst wenn Ihnen durch den zusätzlichen Datentransfer keine weiteren Gebühren berechnet werden sollten, müssen Sie sich für abgelegte Dateien oder Angriffe verantworten. Sie müssen eventuell sogar vor Gericht schlüssig darlegen, dass Sie selbst Opfer eines Angriffs wurden und Ihr Server von einer dritten Person missbraucht worden ist. Die sichere Konfiguration der einzelnen Dienste Ihres Webservers ist deshalb ein zentrales Thema dieses Buches. Wenn Sie noch keine Erfahrungen mit UNIX-Derivaten sammeln konnten, sollten Sie vor Inbetriebnahme eines eigenen Servers dieses Buch in Ruhe durcharbeiten. Wenn Sie bereits mehr Erfahrung besitzen, sollten Sie bei Zeitdruck zumindest einen Blick in die Kapitel 4, Einführung 15

12 Verwaltung und Administration, und Kapitel 5, Server absichern, werfen, bevor ihr eigener Server ans Netz geht. Weiterhin ist die Automation von Wartungs- und Überwachungsarbeiten ein wichtiges Thema. Allerdings sind viele Aufgaben nicht ohne rudimentäre Programmierkenntnisse und kleine eigene Skripte lösbar. Deshalb werden Sie ab und zu auf Shell- und Perl-Skripte stoßen, um zum Beispiel automatisiert Statistiken zu erstellen oder FTP-Zugänge freizuschalten. Falls Sie noch keinerlei Programmiererfahrung sammeln konnten, finden Sie im Abschnitt 4.7, Automation, eine Einführung in die Shell- und Perl-Programmierung, die es Ihnen ermöglichen wird, die Beispielskripte geschickt zu kombinieren und für die eigenen Bedürfnisse zu erweitern. Häufig ist es sinnvoll, das Anlegen eines neuen Benutzers mit einem FTP-Account und einer passenden Subdomain für den Apache zu kombinieren Danksagung Meine Linux- und BSD-Kenntnisse konnte ich über Man- und Infopages, Howtos, Websites sowie über Mailinglisten, Zeitschriften und aus Büchern erwerben. Insbesondere danke ich dem Java-Programmierer Oliver Rettig ( für seine Detailhinweise zu Tomcat und Rechtsanwalt Holger Scheel ( für die Prüfung und Korrekturhinweise zu den Kapiteln 8, 8.1, 8.2 sowie 8.4. Der ProFTPD-Experte Stefan Onken ( half mir mit einigen hilfreichen s zum Thema ProFTPD und MySQL auf die Sprünge. 1.2 Arbeitsvoraussetzungen Für realistische Tests sind zwei Computer unerlässlich, nämlich ein Rechner mit Pentium-Prozessor, mindestens 3GB Festplatte und 64MB RAM als Server-Testsystem, sowie ein weiterer Computer mit ähnlichen Leistungsdaten, der gerne auch ein Laptop sein darf, um über ein lokales Netzwerk (zwei 10Mbit-Ethernetkarten und ein günstiger Hub reichen bereits aus) unter»realistischen«bedingungen Paketfilter oder Web- und Nameserver testen zu können. Wer wenig Platz auf seinem Schreibtisch hat oder die Kosten für einen zweiten Monitor, Tastatur und Maus scheut, sollte zu einem Digital-Switch greifen. Ich habe gute Erfahrungen mit dem Master View KVM Switch ATEN CS-172 gemacht. Sicher sind auch andere digitale Switch-Boxen empfehlenswert. Von den wesentlich billigeren analogen Umschaltern sollten Sie wegen ihrer schlechten Signalqualität und der daraus resultierenden schwammigen Monitordarstellung jedoch Abstand nehmen. 16 Einführung

13 1.3 Historie zu UNIX, BSD und Linux An der Entwicklung von UNIX war neben großen Firmen (insbesondere AT&T) und Universitäten wie Berkeley (Kalifornien) ebenfalls das Militär (beispielsweise durch die Entwicklung von wichtigen Kommunikationsprotokollen durch ARPA siehe Glossar) wesentlich beteiligt. Der offizielle Startschuss fiel in den 1960er Jahren durch die Zusammenarbeit von Bell Telephone Laboratories und General Electric Company bei der Entwicklung des Betriebssystems Multics. Obwohl die Zusammenarbeit noch vor dem Erreichen der gesetzten Ziele beendet wurde, war der erste Schritt in der UNIX-Entwicklung getan. Einige der beteiligten Entwickler (insbesondere Ken Thompson und Dennis Ritchie) erarbeiteten einen Filesystem- und Prozess-Subsystem-Entwurf, der nach seiner Überarbeitung in C offiziell das Licht der Welt erblickte. AT&T (durch Aufspaltung in die so genannten Baby-Bells entstanden) war es aufgrund des Consent Decree von 1956 nicht erlaubt, Computer-Produkte zu vermarkten. Deshalb wurde beschlossen, den Quellcode von System 7 an Universitäten zu verteilen. Zum damaligen Zeitpunkt war es übrigens ohnehin unüblich, für Software Geld zu verlangen. Software war kostenlos und frei (meist sogar im Quellcode) verfügbar. Geld wurde lediglich mit dem Verkauf von Hardware verdient. Das Design von UNIX fand großen Anklang. In der Folge entstanden»freie«entwicklungen, wie die der Berkeley University in Kalifornien (Berkeley Software Distribution kurz BSD genannt), neben den kommerziellen Betriebssystemen System 7/III/V (AT&T), Xenix (SCO), AIX (IBM), HP-UX (Hewlett Packard) und SunOS/Solaris (Sun Microsystems) sowie Sinix (Siemens) Bemühungen zur Standardisierung von UNIX Der Wildwuchs»freier«und kommerzieller Systeme führte zur Gründung des X/Open-Zusammenschlusses von Computerherstellern, unabhängigen Software-Häusern und dem IEEE (Institute of Electrical and Electronics Engineers). Das Ziel bestand darin, eine gemeinsame Basis für den UNIX-Markt zu erarbeiten. Zu den größten Erfolgen zählte neben dem X/Open Portability Guide, in dem unter anderem die wichtigsten Kommandos und Kernelemente für UNIX festgelegt sind (siehe: vor allem die Registrierung des Markennamens UNIX. Nun mussten Hersteller, die ein UNIX-Derivat entwickelten, das Betriebssystem von X/Open (selbstverständlich kostenpflichtig) überprüfen lassen, um den Namen UNIX in der Produktbezeichnung verwenden zu dürfen. Historie zu UNIX, BSD und Linux 17

14 Das eigentliche Ziel, den Wildwuchs der UNIX-Systeme auf einen gemeinsamen Nenner zu bringen, konnte so natürlich nicht erreicht werden. Dennoch beeinflussten sich die verschiedenen UNIX-Varianten (ob BSD-orientiert oder System 7/III/V basierend) gegenseitig sehr stark und orientierten sich nicht ausschließlich an grundsätzlichen Konzeptionsfragen Entwicklung freier UNIX-Derivate Die fortschreitende Kommerzialisierung von Software führte letztendlich 1984 zur Gründung des GNU-Projekts und der Free-Software-Foundation (FSF) durch Richard Stallmann. Ziel war die Erstellung eines für jeden offenen und frei zugänglichen Systems (selbst BSD war nur für Universitäten kostenlos und im Quellcode verfügbar). Aus dem GNU-Projekt entstanden wichtige Kernelemente freier UNIX-Derivate, wie beispielsweise der gcc-compiler oder die bash. Allerdings ist der HURD-Kernel bis heute noch nicht in einer»für den harten Einsatz gedachten Version«verfügbar. Dennoch legte das GNU-Projekt einen wichtigen Grundstein und half Linus Torvalds 1991 bei der Entwicklung von Linux. Linus entschloss sich jedoch nicht zur Entwicklung von Linux, um das GNU- Projekt zu einem»vollständigen Betriebssystem«werden zu lassen, sondern weil er mit dem (damals kommerziellen) System-V Derivat MINIX unzufrieden war. Heute ist MINIX unter übrigens kostenlos erhältlich. Die FSF und alle Freunde des GNU-Projekts weisen darauf hin, dass Linux genau genommen GNU/Linux genannt werden müsste, da Linus in erster Linie den Kernel selbst schrieb und die Anwendungs-Software des Betriebssystems überwiegend aus freien Codes des GNU-Projektes zusammensetzte. Parallel zu GNU/Linux erblickte das 386BSD-Projekt von Bill Jolitz das Licht der Welt. Die Veröffentlichung des Quellcodes im Internet führte (später) zur Gründung der Free- und NetBSD-Projekte. Doch zuvor rief die Veröffentlichung des Quellcodes die Rechtsabteilung von AT&T mit einer Klage gegen die Berkeley Universität auf den Plan. Da die Universität nachweisen konnte, dass der Code bereits (fast) vollständig neu geschrieben worden war, endete das Verfahren mit einem Vergleich. Dennoch hielt die Klage die Entwicklung freier BSD-Derivaten weiter auf, da sämtliche ursprüngliche Codezeilen (die verbliebenen»at&t-fragmente«) entfernt werden mussten. Gleichzeitig wuchs die Popularität von Linux in rasanten Schritten. Firmen»entdeckten«Linux als Geschäftsmodell die ersten Distributionen entstan- 18 Einführung

15 den. Die Zahl der verschiedenen Distributionen wuchs stetig an und führte durch unterschiedliche Paketverwaltungen und Dateisystemstrukturen letztendlich zur Gründung der Linux Standard Base (LSB: und des Filesystems Hierarchy Standard (FHS: Die Übernahme dieser Standards steht jedem frei und ist lediglich in Teilen möglich. Dennoch haben große Distributoren wie SuSE und Red Hat die Standards nahezu vollständig in ihre neuesten Versionen übernommen. Selbst bei Distributionen, die»nicht standardkonform«sind, halten sich die Unterschiede in Grenzen. Meist liegen Konfigurations- und Programmdateien lediglich in»exotischeren«verzeichnissen. Dank find, locate und grep stellen diese kleinen Besonderheiten für den erfahrenen Administrator kein wirkliches Hindernis dar. Im Gegensatz zu Linux, das förmlich in einem Distributions-Wildwuchs endete, sind die freien BSD-Varianten überschaubar. Diskrepanzen zwischen Theo De Raadt (einem der Gründungsmitglieder von NetBSD) und NetBSD motivierten Theo 1997 zur Entwicklung von OpenBSD. Darwin ist der jüngste BSD-Spross und wurde von Apple 1999 ohne die grafische Benutzeroberfläche (und die dazugehörigen Bibliotheken) von MacOS X veröffentlicht. Interessant ist, dass in diesem Zusammenhang nicht von BSD-Distributionen gesprochen wird. Tatsächlich handelt es sich um eigenständige Entwicklungen und nicht um lediglich kleinere Erweiterungen, wie beispielsweise einem Installationsprogramm, einem Paketmanager, Verwaltungstools oder Änderungen an der Verzeichnisstruktur. Wer sich weiter Gedanken darüber macht, wird jedoch feststellen, dass diese Unterschiede in gewissem Maße Haarspaltereien sind. Auf der einen Seite bringen sich Distributoren in die Kernel- und Treiberentwicklung ein und legen ihren»linux-varianten«oft eigene Kernel mit mehr oder weniger sinnvollen Patches bei. Auf der anderen Seite werden auch BSD-Systeme überwiegend aus»fertiger, externer«software wie Apache, Bind, Postfix oder OpenSSH»zusammengestellt«. Eine Übersicht der wichtigsten Linux und freien BSD-Systeme bietet die Tabelle 1.1. Eine Sonderstellung nimmt neben Knoppix auch Linux from Scratch ein. Knoppix kann auf Festplatte installiert werden, eignet sich jedoch ebenfalls als Rettungssystem, da es vollständig von der CD bootet. Für Linux from Scratch wurden hingegen lediglich grundlegende Elemente vorbereitet hier darf der Linux-Experte sich sein eigenes System von Grund auf (from Scratch) selbst aufbauen. Historie zu UNIX, BSD und Linux 19

16 Linux Homepage Start Debian Gentoo Knoppix (Linux auf 1CD-Rom) Linux from Scratch Mandrake Owl (Fokussierung auf Sicherheit) Red Hat Hat.de 1994 Slackware SuSE TrustedLinux (TrustedDebian) BSD Homepage Start Darwin FreeBSD NetBSD OpenBSD Tabelle 1.1 Die wichtigsten freien-unix Derivate in der Übersicht 1.4 Welches System ist für mich das richtige? Diese Frage lässt sich nur schwer beantworten. Meist werden Sie auf die Standardinstallation Ihres Dienstleisters angewiesen sein, da nur wenige Dienstleister ein beliebiges UNIX-Derivat auf Wunsch installieren oder mehrere Systeme zur Wahl stellen. Eine manuelle (Neu-)Installation über ein Rettungssystem ist in der Regel nicht möglich. Sofern Sie keinen eigenen Server erwerben und Rack-Einheiten mieten (Housing), werden Sie die Wahl des Dienstleisters eher an Kriterien wie Preis, Hardware oder Service und nicht aufgrund des vorinstallierten UNIX- Derivats treffen. Weitere Hinweise zur Wahl des richtigen Dienstleisters und Leistungspakets finden Sie in Kapitel 7, Der eigene Server Vor- und Nachteile der verschiedenen Systeme Im Folgenden möchte ich auf die Unterschiede zwischen den in Deutschland für dedizierte Server am häufigsten eingesetzten Linux-Systemen (SuSE, Red Hat, Debian) und OpenBSD (das stellvertretend für die freien BSD-Systeme im Buch behandelt wird) eingehen. 20 Einführung

17 Tatsächlich spielt es keine allzu große Rolle, ob Sie sich für ein BSD-System oder eine Linux-Distribution entscheiden. OpenBSD besitzt den Ruf, größtmögliche Sicherheit und Stabilität zu gewährleisten. In den letzten sieben Jahren wurde lediglich eine (von außen erreichbare Sicherheitslücke) in der Standardinstallation entdeckt. So toll das im ersten Moment auch klingen mag: Die Sicherheit unter OpenBSD ist wie bei Linux in erster Linie von der sauberen Konfiguration der installierten Software und dem regelmäßigen Einspielen von Sicherheits-Updates abhängig. Ein Sicherheitsloch im Mail- oder FTP-Server wirkt sich bei OpenBSD ebenso gravierend wie unter Linux aus. Etwas anders liegt der Fall hinsichtlich der Stabilität. SuSE und Red Hat legen seit einiger Zeit größeren Wert auf aktuellste Software-Pakete. Dies ist gut für das Marketing, aber häufig schlecht für die Systemstabilität. Allerdings sind auf einem abgespeckten SuSE- oder Red Hat-System-Abstürze so gut wie nie zu verzeichnen. Ein sauber konfiguriertes Serversystem, das lediglich die in diesem Buch beschriebenen Programme nutzt, sollte unabhängig vom genutzten Betriebssystem überhaupt nicht abstürzen Wartung und Pflege Wer freie Hand bei der Wahl des Betriebssystems hat, sollte die verschiedenen Ansätze zur Pflege und Wartung der UNIX-Derivate beachten. Insbesondere wenn mehr als ein Server zu pflegen ist, wird die verlässliche, schnelle und einfache Pflege zu einem wichtigen Kriterium. Debian liegt hier ganz klar vorn: Es kann nicht nur über zwei Befehle bequem mit den neuesten Sicherheits-Updates bereichert werden auch ein System- Update von potato zu woody ist ebenso unkompliziert und sogar im laufenden Betrieb ohne eine»saubere Neuinstallation«möglich. Es ist davon auszugehen, dass in kommenden Updates auf die langwierige und umständliche Neuinstallation verzichtet und ein Debian-System ohne aufwändige Wartungsarbeiten ein ganzes Server-Leben lang betrieben werden kann. Bei anderen Systemen ist dies ganz und gar nicht selbstverständlich. Zwar kann ein OpenBSD-System auch im laufenden Betrieb aktualisiert werden (lediglich ein Neustart ist nach dem Kompilieren der Quellen notwendig). Allerdings ist die Verfahrensweise bisher alles andere als trivial. Wenn auch nur»eine Kleinigkeit«schief geht, kann es passieren, dass der Rechner beim nächsten Neustart nicht mehr zur Verfügung steht. Das Einspielen von Sicherheits-Updates ist für zusätzlich installierte Pakete simpel, aber das Patchen von Systemgrundkomponenten ist leider ausschließlich manuell und mit nachträglicher Kompilierung des Programms möglich (siehe Kapitel 5.2, Einspielen von Security- Updates). Welches System ist für mich das richtige? 21

18 Bei SuSE steht mit you eine komfortable Möglichkeit zum Einspielen von Sicherheits-Updates zur Verfügung, die Bedienung des Tools ist jedoch gewöhnungsbedürftig. Red Hat kann ebenfalls mit dem allerdings kostenpflichtigen Up2Date aufwarten. Das Versions-Upgrade bei SuSE und Red Hat ist allerdings problematisch. Updates sind hier wenig empfehlenswert und haben grundsätzlich lediglich dann»hohe Aussicht auf Erfolg«, wenn zur nächst höheren Versionsnummer gesprungen wird und nicht etwa selbst kompilierte Programme ins System eingebunden wurden. Da Sie kaum zweimal im Jahr Ihr System von einer Version zur nächsten upgraden werden, empfiehlt sich bei Red Hat und SuSE eher die Neuinstallation des Systems. Letzteres wird immer dann notwendig, wenn Sicherheits-Updates zu der von Ihnen genutzten Version nicht weiter zur Verfügung gestellt werden. Bei SuSE beträgt die Pflege derzeit ca. drei und bei Red Hat ca. 1,5 Jahre Saubere Installation Ein weiteres für Einsteiger wichtiges Kriterium ist die Installation. SuSE und Red Hat werden mit komfortablen Installationsprogrammen geliefert. Dennoch ist das Verkleinern einer bestehenden Windows-Partition lediglich mit dem Installationsprogramm von SuSE schnell und ohne Fachkenntnisse möglich. Allerdings sollten Sie unmittelbar vor dem Verkleinern einer Windows-Partition das im Ordner Zubehör Systemprogramme des Startmenüs versteckte Programm Defragmentierung nutzen. Auf einem Server sollten grundsätzlich nur tatsächlich benötigte Programme und Pakete laufen. Dies vereinfacht das Einspielen von Sicherheits-Updates und verbraucht zudem nicht unnötig Festplattenkapazitäten. Wer unter Zeitdruck steht oder als Einsteiger nicht sicher ist, welche Systemkomponenten auszuwählen sind, wird sich über ein sauberes Minimalsystem freuen. Die Installationsgrößen der Minimalsysteme sprechen für sich: Debian 3.0.r1: 100 MB OpenBSD 3.2: 160 MB SuSE 8.1: 270 MB Red Hat 8.0: 321 MB Allerdings wurde bei Debian auf Ausführung von tasksel und dselect verzichtet. Bereits vorselektierte dselect-einträge bleiben jedoch erhalten und müssen gegebenenfalls nachträglich abgewählt werden, wenn Sie dselect zur Auflösung von Paketabhängigkeiten nutzen möchten. 22 Einführung

19 OpenBSD ist kleiner als es den Anschein haben mag. Das System wird bereits nahezu vollständig installiert: ssh, apache, sendmail und Bind gehören zur Grundausstattung. Andererseits kann sich dies nachteilig auswirken: Die saubere, manuelle Deinstallation von Bind (übrigens in Version 4 vorinstalliert), sendmail oder apache ist alles andere trivial, da die Komponenten nicht als Pakete eingebunden wurden, sondern zum Basis-System zählen. Bei SuSE und Red Hat sind ebenfalls einige Dienste zu deinstallieren. Wer unter SuSE bei der Installation auf die Überschrift Software klickt, kann diesen Schritt glücklicherweise vorwegnehmen und die Pakete noch vor der Installation abwählen. Dies ist ebenfalls unter Red Hat möglich das Installationsprogramm bietet unmittelbar vor der eigentlichen Installation die Möglichkeit, Pakete und Programmgruppen gezielt aus- und abzuwählen Hardware-Unterstützung Wer ein Windows-Desktopsystem oder einen Laptop erworben hat, kann sich über die volle Hardware-Unterstützung bereits eingebauter Netzwerkkarten nicht sicher sein. Selbst unter Linux finden sich immer wieder Karten, die Probleme bereiten und eventuell nicht eingebunden werden können. Deshalb sollten Sie bereits vor dem Kauf von Hardware nachsehen, ob Ihr Betriebssystem den benötigten Treiber enthält. Die Palette unterstützter Hardware ist bei OpenBSD nicht ganz so umfangreich wie bei NetBSD. Falls Sie ein BSD-System einsetzen möchten, aber Ihre Hardware nicht in vollem Umfang unterstützt wird, empfiehlt sich ein Blick auf die Hardware-Datenbank von NetBSD: System SuSE Red Hat Debian OpenBSD Hardware-Datenbank Hat.com Leider keine SuSE DB mitnutzen Tabelle 1.2 Die Hardware-Datenbanken klären, ob Sie bereits vorhandene Komponenten mit dem System Ihrer Wahl nutzen können Dokumentation, Mailinglisten und Support Wenn Sie noch keine Erfahrungen mit UNIX-Derivaten sammeln konnten, ist der Support ein wichtiges Thema. Für alle BSD-Systeme sind hilfreiche Mailinglisten vorhanden, über die Sie kostenlos Hilfestellung durch andere Nutzer Welches System ist für mich das richtige? 23

20 erhalten können. Allerdings sollten Sie der englischen Sprache mächtig sein. Ähnlich sieht die Situation bei Linux aus; lediglich SuSE und Debian bieten deutschsprachige Mailinglisten an. Darüber hinaus wird ein kostenpflichtiger und oft sehr professioneller Support von vielen UNIX-, Linux- und BSD-Systemhäusern angeboten. SuSE und Red Hat bieten Firmenkunden ebenfalls kostenpflichtigen Support an. Für Einsteiger ist die Dokumentation ein weiteres wichtiges Kriterium. Wirklich geeignet sind jedoch nur die Handbücher von SuSE (leider nur in der BoxVersion erhältlich) und Debian (über kostenlos beziehbar). FreeBSD kann zusammen mit dem Buch»FreeBSD 4. Installieren, Konfigurieren, Administrieren«von Mike Feldmeier erworben werden. Die Dokumentationen zu OpenBSD und NetBSD sind weniger einsteigerfreundlich Notfallsystem Obwohl Linux als auch BSD-Systeme höchst stabil arbeiten, könnten Sie eines Tages mit ernsten Problemen konfrontiert werden. Lediglich ein gut vorbereitetes Notfallsystem wird es Ihnen ermöglichen, die notwendigen Reparaturarbeiten Zeit und Nerven schonend zu erledigen und die sonst entstehenden Zusatzkosten für einen Support vor Ort durch Ihren Dienstleister einzusparen. Wenn Sie Pech haben, installiert der kostenpflichtige Support lediglich ein Standardsystem auf die Server-Festplatte auf und kümmert sich weder um eventuell ungesicherte Daten noch um die tatsächlichen Probleme Ihres Systems. Ein kleines Notfallsystem ist auf einer ausgelagerten Partition zwar schnell und unter jedem System installierbar, bietet jedoch keine große Sicherheit. Obwohl Reparaturarbeiten an den Hauptpartitionen über das Notfallsystem möglich sind, wären Sie bei einem Angriff nicht davor sicher, dass das Notfallsystem ebenfalls kompromittiert wird. Insbesondere beim Einsatz von AIDE (siehe Kapitel 5.10, Integritätsprüfung mit AIDE) oder Tripwire ist es von großem Vorteil, unter Linux über lilo (siehe Kapitel 2.5.1, LILO Generic Boot Loader for Linux) beim nächsten Reboot von der CD-ROM das Notfallsystem zu starten. Leider ist dies unter OpenBSD so nicht möglich. Die CD muss hier bootbar sein, das heißt, das System kann nicht im CD-Player verbleiben, sondern muss bei Bedarf manuell vom Dienstleister eingelegt werden. Weitere Informationen zu diesem Thema finden Sie in Kapitel 4.14, Das Rettungssystem. 24 Einführung