Unix/Linux Survival Guide

Transkript

1 Erik Keller Unix/Linux Survival Guide Profirezepte und erste Hilfe für Systemadministratoren An imprint of Pearson Education München Boston San Francisco Harlow, England Don Mills, Ontario Sydney Mexico City Madrid Amsterdam

2 3 Wartung (Maintenance) Wartung ist der fortdauernde Prozess, das System oder die Systeme so optimal wie möglich am Laufen zu halten. Das Kapitel beginnt mit Abschnitt 3.1,»Was ist Baselining?«, hier wird erläutert, was Baselining eigentlich bedeutet und warum Sie sich damit befassen sollten. Danach folgt der Abschnitt 3.2,»Benutzer und Gruppen«, in dem ich Ihnen eine Einführung oder Auffrischung der Verwaltung von Benutzern und Gruppen in *NIX geben werde, gefolgt von 3.3,»Tägliche Aufgaben«über Tätigkeiten, die täglich ausgeführt werden sollten. 3.1 Was ist Baselining? Baselining bezeichnet den Prozess der fortwährenden Sammlung von Daten, die das System zur Verfügung stellt. Der Name kommt von Basis und Linie, also den Werten, die man bekommt, wenn man ein frisch aufgesetztes System analysiert. Diese Datensammlung sollte über die ganze»lebenszeit«der Maschine fortgesetzt werden, um auftretende Probleme frühzeitig erkennen zu können Warum ein Baselining durchgeführt werden sollte Die fortlaufende Sammlung von Daten eines produktiven Systems hat viele Vorteile. Der offensichtlichste Vorteil ist die»früherkennung«von Abweichungen von den»normalen«werten. Diese Abweichungen könnten auf mögliche Probleme mit dem System hindeuten. Das Baselining ermöglicht es dem Systemadministrator, diese Abweichungen überhaupt zu erkennen. Jedes System verändert sich im Laufe der Zeit durch höhere Anforderungen, mehr Benutzer, usw. Wenn solide Basisdaten verfügbar sind, kann die Person, die für die Verfügbarkeit der System zuständig ist (Sie!), erst ermessen, ob der Rechner nur momentan etwas hoch ausgelastet ist, ob ein Upgrade der Hardware nötig ist (beispielsweise eine weitere CPU oder mehr Hauptspeicher) oder ob das System tatsächlich fehlerhaft läuft und Sie sich mit dieser Situation sofort auseinander setzen müssen. Wenn Sie über Daten verfügen, die weiter in die Vergangenheit reichen, ergibt sich eine gute Basis für die nötige Überzeugungsarbeit, um Ihr Budget zu erhöhen. Sie müssen die beteiligten Personen überzeugen,

3 3 Wartung (Maintenance) dass es an der Zeit ist, Geld in die Systeme zu investieren, um mit den gestiegenen Anforderungen fertig zu werden. Ein schöner Nebeneffekt ist außerdem die Tatsache, dass Sie in der Lage sind zu differenzieren, ob das System wirklich langsam ist oder ob der Benutzer, der sich über schlechte Antwortzeiten beklagt, nur unter Druck ist, etwas fertig zu stellen. Im letzteren Fall versuchen Sie einfach dem Benutzer zu helfen, in der sicheren Gewissheit, dass das System genauso läuft, wie es laufen sollte. Noch ein letzter Ratschlag aus der Praxis: Auch wenn die Datensammlung die Auslastung der Systeme geringfügig erhöht, versuchen Sie immer, die Logdateien und die Grafiken während der Datensammlung zu generieren. Falls das System abstürzen sollte, besteht immer noch die Möglichkeit, diese Dateien wiederherzustellen und herauszubekommen, was eigentlich passiert ist Was sollte beim Baselining aufgezeichnet werden? Manchmal entsteht der Eindruck, dass die Informationen, welche Daten beim Baselining aufgezeichnet werden sollten, durch geheime Rituale in dunklen Höhlen weitergegeben werden oder ein reines Zufallsprodukt darstellen. Tatsache ist, dass sich die zu sammelnden Daten je nach Zweck des Systems unterscheiden, nichts weiter. Manche Daten sind für jedes System relevant, andere nur, wenn der Rechner für bestimmte Aufgaben eingesetzt wird. Die weiter unten genannten Zähler sind bei jedem System wichtig, sollten also immer gespeichert werden Wie lange sollten die Daten aufbewahrt werden? Wie lange Sie die gewonnenen Daten aufbewahren sollten, ist immer wieder Gegenstand heftigerer Diskussionen. Meine Meinung hierzu ist: Es kommt darauf an. Daten, die auf Messungen beruhen, die vor einem Upgrade der Hardware durchgeführt wurden, haben eigentlich nur noch einen begrenzten Nutzen. Ihre Halbwertszeit beträgt normalerweise die Zeitspanne, die nötig ist, um nachzuweisen, dass das Geld vernünftig eingesetzt wurde. Auch die Daten über den Füllgrad von Festplatten werden nach einer Erweiterung des Speicherplatzes selten noch einmal benötigt. Um auf der sicheren Seite zu bleiben, sollten die nicht mehr benötigten Daten einfach auf eine CD-ROM geschrieben werden. Auf diese Weise belegen sie keinen Platz auf einem produktiven System und sind bei Bedarf greifbar. Sie sollten allerdings in jedem Fall sicherstellen, dass Sie die Daten auch weiterhin lesen können. Speichern Sie die Daten also in einem Format, das keine Einschränkungen bezüglich der Lesbarkeit hat (Textdateien werden Sie immer lesen können), und auf einem Medium, das entsprechend langlebig ist und keine spezielle Hardware zum Einlesen braucht (das CD-ROM-Format wird wohl noch eine Weile lesbar bleiben). 66

4 3.1 Was ist Baselining? Verzeichnisstruktur der Baselining-Programme Da die folgenden Scripts alle einem gemeinsamen Zweck dienen, nämlich Daten für Langzeitbeobachtungen zu sammeln, sollten Sie sie in einer Verzeichnisstruktur verwalten, die sich leicht sichern und pflegen lässt. Ich habe gute Erfahrungen mit folgender Struktur gemacht. Listing 3.1 Struktur des Baselining-Verzeichnisses baselines base_cpu base_disk base_netconn... var dirwatch... html images Unterhalb des Verzeichnisses baselines befinden sich die Verzeichnisse der einzelnen Bereiche, wie base_cpu, die die Scripts enthalten. Im Verzeichnis var werden die erzeugten Log-Dateien gespeichert, im Unterverzeichnis dirwatch die Log-Dateien des Scripts dirwatch (siehe Listing 3.3) aufgrund der großen Anzahl der erzeugten Dateien und, falls benötigt, weitere Verzeichnisse für spezielle dirwatch-sessions. Im Verzeichnis html werden die HTML-Seiten zur Darstellung der Daten verwaltet und in images die generierten Grafiken. Diese Struktur ist nur ein Beispiel, mit dem ich gute Erfahrungen gemacht habe. Wie in *NIX üblich, gibt es keinen»richtigen«oder»falschen«weg; solange Ihre Anforderungen erfüllt werden, funktioniert das Ganze. Manchmal ist die Lösung nur mit mehr Aufwand als nötig verbunden, allerdings sind manche Lösungsansätze, die der»reinen Lehre«entsprechen, zwar schön anzusehen, aber in Krisensituationen einfach zu kompliziert. In *NIX gilt das KISS-Prinzip (Keep it simple, stupid = Halten Sie's lieber einfach (etwas höflicher übersetzt), also der Grundsatz, die Dinge einfacher zu halten. Die schönste Perl-Konstruktion nützt Ihnen gar nichts, wenn Ihre Lösung dadurch so unlesbar wird, dass Sie fünf Minuten brauchen, um zu verstehen, was die Abfolge von Befehlen eigentlich bewirkt. Ich spreche aus Erfahrung, glauben Sie mir Überwachen des Festplattenplatzes Jedes *NIX-System stellt die Befehle df und du zur Verfügung. Mit ihrer Hilfe lassen sich die Auslastung von Festplatten (df) und, unter anderem, Datei- oder Verzeichnisgrößen (du) überwachen. 67

5 3 Wartung (Maintenance) Mit Hilfe des folgenden Scripts lässt sich der zur Verfügung stehende freie Platz von Filesystemen periodisch aufzeichnen und auswerten. Listing 3.2 Aufzeichnen des freien Plattenplatzes!/usr/bin/perl $Id$ file: base_df.pl purpose: display filesystems and used space author: Erik Keller parameters: none Variables $varpath="/export/home/users/erikk/work/baselines/var"; get output of df -k open(my_df, " df -k ") or die "$0: couldn't get df: $!"; while(<my_df>) chop; = split(" ", $_); $free = int($myrec[3]/1024); print "$myrec[5]: $myrec[4] $free MB free\n"; $fsname = $myrec[5]; $fsname =~ s/\//_/g; $logname = "df_".$fsname.".log"; open(my_log, ">>$varpath/$logname") or die "$0: problem opening file: $!"; print MY_LOG "$free\n"; close(my_log); close(my_df); EOF Dieses Script analysiert die Ausgabe von df und extrahiert alle Filesysteme, die auf einem Device liegen. Für diese Filesysteme wird in dem Verzeichnis, auf das $varpath 68

6 3.1 Was ist Baselining? zeigt, die Anzahl der freien Megabyte in eine Datei mit dem Namen des Mountpoints geschrieben. Der jeweilige Dateiname wird folgendermaßen erzeugt: /export/home/ wird in _export_home umgewandelt, und die Zeichenfolge df_ wird vorangestellt, da das Zeichen / unter *NIX in Dateinamen normalerweise nicht vorkommen kann. Wenn Sie neue Festplatten an Ihr System anschließen, werden die gemounteten Filesysteme automatisch mit in die Überwachung aufgenommen. Die Tatsache, dass ein Filesystem»zuläuft«, lässt allerdings nicht immer Rückschlüsse auf den Verursacher zu. Daher wird noch ein Script benötigt, das den Füllgrad von einzelnen Verzeichnissen aufzeichnen kann. Listing 3.3 Script zur Überwachung von Verzeichnissen!/usr/bin/perl $Id: dirwatch.pl,v /08/23 15:56:25 erikk Exp erikk $ file: dirwatch.pl purpose: display size of subdirectories script ignores directories if the user doesn't have the rights to scan them, this is intentional author: Erik Keller parameters: -d <directory to scan> -k use KB instead of MB use Getopt::Std; Variables $varpath="/export/home/users/erikk/work/baselines/var/dirwatch"; get directory to watch getopt('d'); if($opt_d eq '') usage(); open(my_dirs, " du -sk $opt_d\/\* ") or die "$0: du failed: $!"; while(<my_dirs>) 69

7 3 Wartung (Maintenance) = split(" ", $_); $dirname = "dw_".$myrec[1]; $dirname =~ s/\//_/g; if($opt_k) use KB $mysize = $myrec[0]; else use MB $mysize = int($myrec[0]/1024); open(my_log, ">>$varpath/$dirname") or die "$0: error using file: $!"; print MY_LOG "$mysize\n"; close(my_log); close(my_dirs); sub usage() print "\nscans the subdirectories and reports the\n"; print "amount of space used by them.\n"; print "Directories the executing user has no rights\n"; print "to scan are ignored.\n\n"; print "Usage:\n"; print "$0 -d <dirname>\n\n"; exit(1); EOF Die Möglichkeit, die Anzeigegröße mit Hilfe der Option -k auf Kbyte umzustellen, mag heutzutage etwas seltsam anmuten, aber kleinere ¾nderungen würden bei der Darstellung in Mbyte erst nach einiger Zeit sichtbar werden. Hier gilt das Gleiche wie bei der Verwendung der Option -h bei df und du: Wenn Sie sich ein Bild vom großen Ganzen machen wollen, ist die Darstellung in Mbyte oder Gbyte ausreichend; um subtileren ¾nderungen auf die Spur zu kommen, sollten Sie genauer hinsehen. Es steht Ihnen natürlich jederzeit frei, die Verzeichnisse direkt in den Code einzutragen. ¾ndern Sie bitte hierzu einfach den Parameter der Anweisung du -sk, oder erzeugen Sie eine neue Variable, die den Namen des zu durchsuchenden Verzeichnisses enthält. Da dieses Script eine größere Anzahl von Log-Dateien erzeugen könnte, ist es empfehlenswert, die Ausgabe in ein separates Verzeichnis unterhalb des sonst verwendeten Verzeichnisses in der Baselining-Hierarchie umzuleiten. Wie in den Kommentaren 70

8 3.1 Was ist Baselining? im Script bereits erwähnt ist, werden Verzeichnisse, für die der ausführende Benutzer keine Rechte hat, einfach ignoriert. Trotzdem sollte dieses Script nur vom Superuser benutzt werden können, da es mit ihm möglich ist, Verzeichnisse und Dateien darzustellen. Eine weitere Verwendungsmöglichkeit ist der Vergleich von Verzeichnisgrößen nach Installationen oder Upgrades. Denken Sie nur bitte daran, derartige Scans in ein anderes Verzeichnis zu speichern, da das für reguläre Scans genutzte Verzeichnis sonst schnell unübersichtlich werden könnte Überwachung der CPU Die Auslastung der CPU oder der CPUs bei einem Mehrprozessor-System ist ein klarer Indikator dafür, wie stark der Rechner ausgelastet ist, oder? Ganz so einfach ist die Sachlage nicht, aber diesen Wert zu erfassen erlaubt es Ihnen, Rückschlüsse auf die Auslastung des Systems zu ziehen. Die einfachste Möglichkeit, an die Daten zu kommen, ist die Benutzung des System Activity Reporters. Dieses Programmpaket ist auf fast allen *NIX-Derivaten verfügbar, manchmal aber nicht in der Standardinstallation enthalten. Es verbirgt sich meist im Paket accounting. Der Befehl, um die Daten darzustellen, heißt sar. Per Voreinstellung ist die Anzeige der CPU-Auslastung aufgeteilt in die Anteile von User, System, Idle und (mit Ausnahme des GNU Linux-Pakets) wio. Wenn Sie sar über die crontab in regelmäßigen Abständen laufen lassen, sollten Sie immer eine Übersicht über die letzten dreißig Tage haben. Meist ist nach der Installation des Pakets, das sar enthält, bereits ein Eintrag in der crontab vorgenommen. Falls nicht, finden Sie in der entsprechenden man-page die Information, wie Sie die kontinuierliche Datensammlung starten können. Listing 3.4 Erzeugen der Log-Dateien aus der sar-ausgabe!/usr/bin/perl $Id: base_cpu.pl,v /06/03 10:32:54 erikk Exp $ file: base_cpu.pl purpose: save the current sar values to files author: Erik Keller parameters: none 71

9 3 Wartung (Maintenance) Variables $WORKDIR = "/export/home/users/erikk/work/baselines/var"; create the 4 outfiles for gnuplot open(sg_usrh, ">$WORKDIR/sar_usr.log") or die "$0: couldn't create file: $!"; open(sg_sysh, ">$WORKDIR/sar_sys.log") or die "$0: couldn't create file: $!"; open(sg_wioh, ">$WORKDIR/sar_wio.log") or die "$0: couldn't create file: $!"; open(sg_idlh, ">$WORKDIR/sar_idl.log") or die "$0: couldn't create file: $!"; get the stored values from sar for CPU open(the_sar, "sar ") die "$0: couldn't run sar: $!"; while(<the_sar>) = split(" ", $_); if($myrec[1] ne "\%usr") print SG_USRH "$myrec[1]\n"; print SG_SYSH "$myrec[2]\n"; print SG_WIOH "$myrec[3]\n"; print SG_IDLH "$myrec[4]\n"; close(the_sar); close(sg_idlh); close(sg_wioh); close(sg_sysh); close(sg_usrh); EOF Mit Hilfe dieses Scripts lassen sich die Daten für User, System, Wait I/O und Idle in vier Log-Dateien schreiben. Dieses Script erzeugt nur einen temporären Schnappschuss der aktuell angezeigten Daten. Die Weiterverarbeitung erfolgt in ,»Erstellen der Graphen«. Ein interessanter Zähler in diesem Zusammenhang ist die Größe der runq, das ist die Warteschlange der Prozesse im Hauptspeicher. 72

10 3.1 Was ist Baselining? Listing 3.5 Script, um die runq-sz zu speichern!/usr/bin/perl $Id: base_runq.pl,v /08/27 03:44:21 erikk Exp erikk $ file: base_runq.pl purpose: save the current size of the run-queue to a file author: Erik Keller parameters: none Variables $WORKDIR = "/export/home/users/erikk/work/baselines/var"; open the file open(my_runq, ">$WORKDIR/sar_runq.log") or die "$0: couldn't create file: $!"; get the stored runq sizes open(the_sar, "sar -q ") die "$0: couldn't run sar: $!"; while(<the_sar>) = split(" ", $_); if($myrec[1] ne "runq-sz") print MY_RUNQ "$myrec[1]\n"; close(the_sar); close(my_runq); EOF 73

11 3 Wartung (Maintenance) Überwachung der Netzwerkverbindungen Die Anzahl der gleichzeitig etablierten Netzwerkverbindungen ist ein Zähler, den Sie im Auge behalten sollten. Das folgende Script zählt alle Verbindungen, die als ESTABLISHED aufgeführt werden, während das Script läuft. Listing 3.6 Script zur Aufzeichnung etablierter Netzwerkverbindungen!/usr/bin/perl $Id: base_netconn.pl,v /08/23 12:42:08 erikk Exp erikk $ file: base_netconn.pl purpose: count number of network connections author: Erik Keller parameters: -4 counts inet4-6 counts inet6 none counts all use Getopt::Std; Variables path and files!!!!!! change for every system $varpath="/export/home/users/erikk/work/baselines/var"; $thelogfile="base_netconns.log"; connection counter $active_conns = 0; check for options on cmdline netstat options work on Solaris and OS/X Linux needs -A <family>, check man-page getopt(''); if($opt_4) $netstatcmd = "netstat -f inet"; elsif($opt_6) $netstatcmd = "netstat -f inet6"; else 74

12 3.1 Was ist Baselining? $netstatcmd = "netstat"; open the input stream from netstat open(my_netstat, "$netstatcmd ") or die "$0: couldn't run: $!"; while(<my_netstat>) chop; if(/established/) $active_conns++; close(my_netstat); write to file open(my_log,">>$varpath/$thelogfile") or die "$0: couldn't open log file: $!"; print MY_LOG "$active_conns\n"; close(my_log); EOF Das Script ist auf Solaris und OS X nach ¾nderung der Pfade sofort benutzbar. Auf anderen *NIX-Derivaten kommt es darauf an, ob das Programm netstat die Option -f <Address-Family> versteht. Wenn das Programm ohne Optionen aufgerufen wird, sollte es überall lauffähig sein. Am einfachsten erfolgt der Aufruf per crontab. Wie oft das Script aufgerufen werden sollte, hängt stark vom Einsatzgebiet des Systems ab. Für einen generellen Überblick sollte ein Aufruf alle 30 Minuten ausreichend sein. Wenn Sie genauere Daten benötigen, starten Sie das Programm alle zehn Minuten. Es besteht natürlich auch die Möglichkeit, das Programm so oft wie benötigt von Hand zu starten und die Log-Datei auszuwerten Überwachung erneut gesendeter Netzwerkpakete Da TCP/IP historisch bedingt extrem fehlertolerant ausgelegt wurde, werden Probleme in der Netzwerk-Infrastruktur meist erst spät bemerkt. Die Fähigkeit zur»selbstheilung«erlaubt es dem Protokoll, fehlerhafte Komponenten zu umgehen so wurde es entwickelt. Das heißt, wenn Sie innerhalb eines Netzwerks mehrere Router einsetzen, könnte es passieren, dass Sie den Ausfall eines Routers erst einmal nur dadurch bemerken, dass alle Transfers über das Netzwerk auf mysteriöse Weise langsamer abzulaufen scheinen, da das Protokoll sich einen alternativen Weg gesucht hat. 75

13 3 Wartung (Maintenance) Exkurs: So»schnell«kann es gehen Vor einiger Zeit konnte ich bei einer Firma, für die ich tätig war, plötzlich ein rasantes Ansteigen der Retransmissions beobachten. Es dauerte keine zehn Minuten, und das Telefon fing an zu klingeln: Es waren Benutzer, die sich beschwerten. Ein kurzer tcpdump zeigte eine große Anzahl Pakete, die von England über München nach Amerika unterwegs waren. Die Niederlassung in England hatte zwar die schnellere Verbindung in die USA, trotzdem wurde der gesamte Mail- und Web-Verkehr über München abgewickelt. Ein Blick auf den Router in England genügte, um den Grund zu finden: Ein Benutzer führte gleichzeitig ein Update seines Systems mit Quellen aus Amerika durch, ein anderer den Transfer einer riesigen Datei auf einen anderen Rechner in den USA. Da alles im firmeninternen Frame- Relay stattfand, hatten alle anderen Rechner nach einer alternativen Route gesucht und sie gefunden. Selbst der Router in England wies alle Clients an, den Weg über München zu nutzen. Aufgrund der Router-Konfiguration konnte dieser Fall eigentlich nicht eintreten. Nach einem kurzen Telefonat war die Lösung des Rätsels klar, die Betriebssystem-Software des Routers war upgegradet worden, und man hatte schlicht und einfach vergessen, die entsprechende Regel zu hinterlegen. Das Problem ließ sich schnell beheben. In diesem Fall war die Zeit zu kurz, um auf das gestiegene Verhältnis der Retransmissions zu reagieren, aber durch die Baselines war die ¾nderung des Netzwerkzustands sofort zu sehen. Das Verhältnis zwischen der Anzahl gesendeter Pakete und der Anzahl der Pakete, die erneut (retransmitted) gesendet wurden, sollte man immer im Auge behalten. Jedes *NIX-Derivat ermöglicht es, eine Statistik des Netzwerk-Stacks mit netstat -s darzustellen. Leider ist die Ausgabe dieses Befehls nicht konsistent über alle Plattformen. Hier sehen Sie Ausschnitte aus der Statistik, um das Problem zu illustrieren: Listing 3.7 Anzeige der Transmissions und Retransmissions auf Solaris... tcpoutdatasegs = 7997 tcpoutdat... tcpretranssegs = 0 tcpretran Listing 3.8 Anzeige der Transmissions und Retransmissions auf OS X tcp: packets sent data packets ( bytes) 10 data packets (6483 bytes) retransmitted... 76

14 3.1 Was ist Baselining? Listing 3.9 Anzeige der Transmissions und Retransmissions auf GNU Linux segments send out 6 segments retransmited... Durch die inkonsistente Darstellung ist es etwas schwieriger, ein Script zu schreiben, um die Daten zu extrahieren. Wenn Sie mehr als eine Plattform administrieren, was heutzutage meist der Fall ist, bieten sich zwei Lösungsansätze an: 1. Sie schreiben ein Script mit der nötigen Basis-Funktionalität und fügen den Code für das Betriebssystem auf einer Fall-Basis ein. Der Vorteil hierbei ist, dass das Script leichter zu lesen ist, der Nachteil ist, dass Sie für jedes Betriebssystem, möglicherweise sogar für verschiedene Versionen, jeweils ein Script pflegen müssen. 2. Das Script versucht, das zugrunde liegende Betriebssystem zu erkennen, und ruft den entsprechenden Code auf. Der Vorteil ist, dass nur ein Script zu pflegen ist, der Nachteil bsteht darin, dass derartige Scripts dazu tendieren, mit der Zeit unleserlich zu werden. Der»geheime«Lösungsansatz Nummer drei das Script objekt-orientiert zu schreiben und die Gewinnung der Daten zu abstrahieren würde den Rahmen dieses Buchs sprengen und sollte, unbedingt aus der Entwicklung von einzelnen, leichter zu testenden Scripts hervorgehen, wie ich aus eigener leidvoller Erfahrung weiß. Es kann nicht oft genug wiederholt werden: KISS ist in der Systemadministration die erste Wahl. Wenn Sie den Herstellern der bekannten Monitoring-Systeme Konkurrenz machen wollen, ist Ihr Verantwortungsbereich keine geeignete Spielwiese. Zuerst sehen Sie ein Script für Solaris, bei dem eine Eigenheit der Anzeige berücksichtigt wird: Listing 3.10 Aufzeichnen der Retrans-Ratio (Solaris)!/usr/bin/perl $Id: base_retrans.pl,v /08/24 15:22:03 erikk Exp erikk $ file: base_retrans.pl purpose: calculate the ratio between transmitted and retransmitted segments and write it to a file SOLARIS author: Erik Keller parameters: none 77

15 3 Wartung (Maintenance) Variables $varpath = "/export/home/users/erikk/work/baselines/var"; $thelogfile = "base_retrans.log"; open netstat -s Solaris version open(my_netstat, "netstat -s head -19 ") or die "$0: problems running netstat: $!"; while(<my_netstat>) chop; = split(" ", $_); if(length($tcpout[1]) >= 2) $tcpout[1] =~ s/=//; $tcpoutsegs = $tcpout[1]; else $tcpoutsegs = $tcpout[2]; = split(" ", $_); if(length($tcpret[1]) >= 2) $tcpret[1] =~ s/=//; $tcpretsegs = $tcpret[1]; else $tcpretsegs = $tcpret[2]; close(my_netstat); calculate ratio $retransratio = (($tcpretsegs * 100)/$tcpoutsegs); write to file open(my_log, ">>$varpath/$thelogfile") or die "$0: couln't open log file: $!"; 78

16 3.1 Was ist Baselining? print MY_LOG "$retransratio\n"; close(my_log); EOF Wenn Sie sich den Aufruf von netstat genauer ansehen, wird Ihnen auffallen, dass die Ausgabe auf 19 Zeilen begrenzt wird. Es wäre sogar möglich, die Ausgabe noch weiter zu begrenzen, aber je mehr Optionen beim Aufruf verwendet werden, desto genauer müssen Sie hinsehen, wenn etwas nicht zu funktionieren scheint. Die erwähnte Eigenheit bei dem Solaris-netstat ist die Tatsache, dass das Leerzeichen zwischen dem = und dem Wert verschwindet, wenn die Werte höher werden, also $tcpout[2] leer ist und $tcpout[1] vom Inhalt her dann etwa so aussieht: = Um diesem Verhalten Rechnung zu tragen, wird zuerst überprüft, ob $tcpout[1] mehr als 2 Zeichen enthält, wenn ja, dann fehlt das Leerzeichen und der aufzuzeichnende Wert ist im zweiten Feld des Arrays. Die Anweisung $tcpout[1] =~ s/=//; ersetzt (s = substitute) das Zeichen = durch nichts (/=//), also den Wert zwischen dem ersten und dem zweiten Schrägstrich durch den Wert zwischen dem zweiten und dritten Schrägstrich. Die Zeichenkette =~ ist die Anweisung, das Objekt auf der linken Seite direkt zu manipulieren. Da bei dieser netstat-variante die Darstellung zweispaltig ist (eigentlich sechsspaltig aus Programmierersicht), würde sonst im dritten Feld des Arrays eine Zeichenkette stehen. Da Perl immer versucht, durch Umwandlung des Datentyps die Berechnung trotzdem durchzuführen, würde als Ergebnis immer 0 zurückgeliefert werden. Sie können dieses Verhalten leicht selbst testen: erikk@unixhost> perl -e '$mytest = (("blahblahblahsdk"*100)/1024); print "$mytest\n"' 0 Ungeachtet dieser Tatsache, sollten Sie immer die Ausgabe Ihrer Scripts mit den tatsächlich vorhandenen Werten überprüfen. Erst wenn die Tests zu Ihrer Zufriedenheit abgeschlossen worden sind, ist das Script fertig zum Einsatz. Hier das gleiche Script mit dem Code, um die Daten auf einem GNU Linux-System zu extrahieren: Listing 3.11 Aufzeichnen der Retrans-Ratio (GNU Linux)!/usr/bin/perl $Id: base_retrans.pl,v /08/24 15:22:03 erikk Exp erikk $ file: base_retrans.pl purpose: calculate the ratio between transmitted and retransmitted segments and write it to a file LINUX 79

17 3 Wartung (Maintenance) author: Erik Keller parameters: none Variables $varpath = "/home/erikk/work/scripts/baselines/var"; $thelogfile = "base_retrans.log"; get output of netstat -s and find retransmissions linux specific, code needs rework for other *NIX open(my_netstat, "netstat -s -t head -9 ") or die "$0: netstat problem: $!"; while(<my_netstat>) chop; if(/segments send = split(" ", $_); $tcpoutsegs = $myrec[0]; if(/segments = split(" ", $_); $tcpretsegs = $myrec[0]; close(my_netstat); calculate ratio $retransratio = (($tcpretsegs * 100)/$tcpoutsegs); write to file open(my_log, ">>$varpath/$thelogfile") or die "$0: couln't open log file: $!"; print MY_LOG "$retransratio\n"; close(my_log); EOF 80

18 3.1 Was ist Baselining? Bei dem hier verwendeten GNU Linux-Derivat (SUSE 8.2) lässt sich die Ausgabe von netstat durch die Option -t auf TCP-Statistiken beschränken. Um die relevanten Zeilen zu finden, werden die Zeichenketten segments send out und segments retransmited (kein Schreibfehler) gesucht. Basierend auf diesen zwei Beispielen sollte es für Sie kein größeres Problem darstellen, eines der Scripts, falls nötig, an die Ausgabe Ihrer netstat-variante anzupassen Was bedeutet TIME_WAIT? Wenn sich eine TCP-Netzwerkverbindung im Status TIME_WAIT befindet, bedeutet das, dass die Verbindung beendet wurde und das System für eine definierte Zeitspanne wartet, ob nicht doch noch ein Paket von der Gegenstelle kommt, beziehungsweise dass die Verbindung auf die Bestätigung der Gegenstelle wartet, dass die Verbindung endgültig beendet wird. Das TCP-Protokoll stellt auf diese Weise sicher, dass keine Daten verloren gehen. So weit, so gut; wenn jetzt aber die endgültige Bestätigung für das Beenden der Verbindung ausbleibt, wartet das System auf jeden Fall, bis der konfigurierte Timeout abgelaufen ist. Dies stellt normalerweise kein Problem dar, aber auf einem System mit vielen Verbindungen, einem Webserver etwa, werden hierbei Ressourcen gebunden, und Clients, die nicht sauber programmiert wurden, lassen die Anzahl der Verbindungen in diesem Status manchmal explosionsartig anwachsen. ¾nderungen des Timeout-Wertes für TIME_WAIT sollten immer mit Rücksicht auf die Anwendungen vorgenommen werden, die auf dem System laufen. Mit dem folgenden Script lässt sich die Anzahl der Verbindungen im Status TIME_WAIT HP-UX kennt manchmal auch noch TIME_WAIT2 zur späteren Auswertung aufzeichnen. Listing 3.12 Aufzeichnen von Verbindungen in TIME_WAIT!/usr/bin/perl $Id: base_timewait.pl,v /08/24 09:02:03 erikk Exp erikk $ file: base_timewait.pl purpose: number of network connections in TIME_WAIT state author: Erik Keller parameters: -4 counts inet4-6 counts inet6 none counts all 81

19 3 Wartung (Maintenance) use Getopt::Std; Variables path and files!!!!!! change for every system $varpath="/export/home/users/erikk/work/baselines/var"; $thelogfile="base_timewait.log"; connection counter $timewait_conns = 0; check for options on cmdline netstat options work on Solaris and OS/X Linux needs -A <family>, check man-page getopt(''); if($opt_4) $netstatcmd = "netstat -f inet"; elsif($opt_6) $netstatcmd = "netstat -f inet6"; else $netstatcmd = "netstat"; open the input stream from netstat open(my_netstat, "$netstatcmd ") or die "$0: couldn't run: $!"; while(<my_netstat>) chop; if(/time_wait/) $timewait_conns++; close(my_netstat); write to file open(my_log,">>$varpath/$thelogfile") or die "$0: couldn't open log file: $!"; print MY_LOG "$timewait_conns\n"; close(my_log); EOF 82

20 3.1 Was ist Baselining? Dieses Script entspricht weitestgehend dem Script zur Überwachung der Verbindungen im Status ESTABLISHED. Wie bereits erwähnt wurde, hängt es davon ab, was das zu überwachende System für eine Funktion hat, ob dieses Script benötigt wird Überwachung von SYN-Paketen Die Status SYN_SENT und SYN_RECEIVED bei Netzwerkverbindungen bedeuten, dass entweder das System versucht, eine Verbindung aufzubauen (SYN_SENT), oder ein entferntes System eine Verbindung anfragt (SYN_RECEIVED). Dieser Vorgang ist völlig normal. Da aber, wie bekannt, nicht jeder ans Internet angeschlossene Rechner nur Ihr»Bestes«will oder gerade das: also Ihre wertvollen Daten oder Schlimmeres ist seit Jahren immer wieder ein Aufflackern von so genannten SYN-Attacken zu verzeichnen. Mittels dieser Angriffe soll unter anderem festgestellt werden, welche Ports auf Ihrem System offen für Anfragen sind, oder Ihr Computer soll schlicht und ergreifend daran gehindert werden, seine Funktion zu erfüllen. Man spricht dann von einem Denial of Service (DOS), ein Schelm, wer dabei an etwas anderes denkt. Wenn in Ihrem Netzwerk ein IDS-System (siehe 7.5.6,»Intrusion detection (Einbruchserkennung)«) seinen Dienst versieht, sollten derartige Attacken nicht unbemerkt bleiben. Ungeachtet dieser Tatsache besteht allerdings auch die Möglichkeit, dass einfach eine Komponente Ihres Netzwerks fehlerhaft arbeitet und dadurch Verbindungen langsamer aufgebaut werden. Baselining bedeutet, dass Sie auch solche ¾nderungen sichtbar machen können (Gleiches gilt auch für die Aufzeichnung der TIME_WAIT-Status) und entsprechend reagieren können. Es geht hierbei also nicht nur darum, SYN-Attacken zu registrieren, sondern auch darum, ¾nderungen im Verhalten der Systeme frühzeitig zu erkennen. Listing 3.13 Aufzeichnen der SYN-Status!/usr/bin/perl $Id: base_syn.pl,v /08/24 10:08:50 erikk Exp erikk $ file: base_syn.pl purpose: count number of network connections in SYN state author: Erik Keller parameters: -4 counts inet4-6 counts inet6 -i incomming connections -o outgoing connections none counts all 83