Raspberry Pi. Karsten Müller 23. Januar Vorwort 2. 2 SSH-Server einrichten dynamische DNS... 2

Transkript

1 Raspberry Pi Karsten Müller 23. Januar 2014 Inhaltsverzeichnis 1 Vorwort 2 2 SSH-Server einrichten dynamische DNS GPIO ansteuern Geburtstagskuchen Ausgänge elektrisch UART Mikrocontroller One-wire Temperaturfühler I 2 C Display Wetterbericht aus dem Internet 5 8 Webcam 5 9 Software truecrypt Bluetooth deutsche Tastatur auf dem X-Server Webserver Authentifizierung Ausgänge steuern SSH für andere Anhang meine Pin-Belegung meine Linux Gruppen Linux-Befehle

2 1 Vorwort Ich besitze seit einiger Zeit einen Raspberry Pi und habe bisher schon das ein- oder andere ausprobiert. Dazu habe ich vorallem Anleitungen und Informationen aus dem Internet benutzt. Bevor ich nun völlig den Überblick über meine Quellen, aber vor allem über die speziellen Anpassungen auf meine Bedürfnisse verliere möchte die Gelegenheit nutzen und diese kleine Dokumentation erstellen. Da es ein privates Projekt ist, sind Fehler nicht ausgeschlossen. Für mögliche Schäden kann ich daher keine Haftung übernehmen. 2 SSH-Server einrichten Beim Einrichten des SSH-Servers ist vor allem auf Sicherheit zu achten. Daher habe ich mich dazu entschieden, den root-account und den Standart pi-account zu sperren und eine Authorisierung nur über das Public-key Verfahren (2048 bit Schlüssel) zu erlauben, da dies gegen Angriffe sicherer ist, als Passwörter. Dazu habe ich auf Laptop, Smartphone, USB-Stick jeweils einen passwortgeschüzten Schlüssel. In der /etc/ssh/sshd config ist auf folgende Einstellungen zu achten: PermitRootLogin no RSAAuthentication yes PubkeyAuthentication yes PasswordAuthentication no UsePAM no DenyUsers pi 2.1 dynamische DNS Um den Raspberry Pi von überall aus erreichbar zu machen, werden zwei Dinge benötigt: 1. ein offener Port auf dem Router mit Weiterleitung 2. eine dynamische DNS-Adresse, da sich die Router-IP in regelmäßigen Abständen ändert. Nachdem ein Kommilitone die Erfahrung gemacht hat, dass der SSH-Port 22 von außerhalb häufig angesprochen wird, entschloss ich mich einen hohen Port (>3000) zu nutzen. Da die Einstellung im Router geschieht und bei jedem Router anders funktioniert, taucht sie hier nicht auf. Als Dienst für die dynamische Adresse benutze ich das kostenlose Angebot von no-ip.org. Das angebotene Linux-Programm ließ sich ohne Probleme auf dem Raspian kompilieren. 3 GPIO ansteuern Die programmierbaren Anschlüsse, auch GPIOs genannt, lassen sich ganz einfach von der Konsole aus bedienen. Der Befehl echo "7" > /sys/class/gpio/export aktiviert den GPIO7. Dabei wird ein Verzeichnis /sys/class/gpio/gpio7 erstellt, in denen es unter anderem die Dateien direction und value gibt. Diese Dateien sind selbsterklärend: direction gibt an, ob es sich um einen Ein- oder Ausgang handelt, value den Wert. Standartmäßig ist direction=in aktiv. Für einen Ausgang muss folgender Befehl aufgerufen werden: echo "out" > /sys/class/gpio/gpio7/direction An dem Pin liegt allerdings erst ein Potential an, nachdem value mindestens einmal geschrieben wurde. Weiterhin ist auf die Rechtevergabe der Dateien zu achten. Dazu gibt es bei mir eine Gruppe gpio, deren all diese Dateien angehören und alle Benutzer, die darauf Zugriff haben sollen. Eine Initialisierung, um die GPIOs 7,8,9 und 25 als Ausgänge zu schalten, könnte so aussehen: for i in ; do echo $i > /sys/class/gpio/export pfad=/sys/class/gpio/gpio$i 2

3 echo "out" > $pfad/direction echo "0" > $pfad/value chgrp gpio $pfad/value chmod g+w $pfad/value done 3.1 Geburtstagskuchen Mit diesen ersten Schritten ließ sich schon ein kleines Projekt realiseren, eine kleine Geburtstagsüberraschung für eine Freundin. Auf die Idee kam ich, da Raspberry Pi phonetisch identisch mit Raspberry Pie, also Himbeerkuchen ist. Eine Mit einer LED-Kerze auf dem Gehäuse wurde der Raspberry nun zu einem Geburtstagskuchen mit Kerze. Die Freundin bekam per einen ssh-schlüssel und konnte sich über die dynamische DNS-Adresse anmelden. Auf dem Raspberry-Pi-Account wartete ein kleiner Geburtstagstext und die Möglichkeit die Kerze sowohl anzuzünden, als auch auszupsuten. Das Skript dazu sieht so aus: #! / bin / bash case $ {1} in anzuenden ) echo 1 > / sys / c l a s s / gpio / gpio7 / value ; ; auspusten ) echo 0 > / sys / c l a s s / gpio / gpio7 / value ; ; ) grep q 0 / sys / c l a s s / gpio / gpio7 / value && echo Die Kerze i s t aus! Tippe \ kerze anzuenden \ um d i e Kerze anzuzuenden. echo Die Kerze brennt! Tippe \ kerze auspusten \ um d i e Kerze auszupusten. ; ; esac 3.2 Ausgänge elektrisch Das direkte anschließen an die Pins ist jedoch nicht der optimale Weg, da sehr genau auf die zul ssigen Ströme und Potentiale geachtet werden muss. Deshalb steuern die Ausgänge nun einen ULN2803 an. Dieser IC beinhaltet 8 Darlington-Stufen. Die resultierenden Ausgänge sind Open-Collector und schalten bei einem positiven Eingang das GND-Potential durch. 4 UART Der Raspberry Pi besitzt neben primitiven Ein-/ Ausgängen auch einige fertige Schnittstellen, under anderem den UART. Standartmäßig ist die UART-Schnittstelle aktiviert, fungiert als Konsole und gibt Debugging- Informationen raus. Soll der UART zur normalen Kommunikation mit einem Programm genutzt werden, müssen diese Funktionen abgeschaltet werden. Dazu muss in der Datei /boot/cmdline.txt folgendes entfernt werden: console=ttyama0, kgdboc=ttyama0, Der Rest der Zeile muss unbedingt stehen bleiben! Weiterhin muss in der Datei /etc/inittab folgendes auskommentiert oder gelöscht werden: T0:23:respawn:/sbin/getty -L ttyama vt100 Der UART findet sich unter /dev/ttyama0 mit der Gruppenzugehörigkeit dialout. Am sinvollsten ist es, die Benutzer, die darauf Zugriff haben sollen ebenfalls in diese Gruppe einzutragen. Es hat sich gezeigt, dass mit Python eine einfache Kommunikation mit der seriellen Schnittstelle möglich ist. Dazu muss lediglich das Paket python-serial nachgeladen werden. Ein kleines Skript soll zeigen, wie einfach die Verwendung ist: #!/usr/bin/python from time import * lt=localtime() import serial ser=serial.serial( /dev/ttyama0,9600,timeout=2) ser.write("+b+") 3

4 s=ser.readline() ser.close() print strftime("%d.%m.%y %H:%M",lt), s[:-1] Dieses Skript sendet die Zeichenkette +B+ zu einem Mikrocontroller und gibt das Ergebnis mit dem aktuellen Datum aus. Da sowohl ser.readline, als auch print einen Zeilenumbruch erzeugen, wird s nur bis zum vorletzten Zeichen ausgegeben. 4.1 Mikrocontroller Der Mikrocontroller dient als Erweiterung der Ein- und Ausgabemöglichkeiten. Kommuniziert wird über die UART Schnittstelle mit einem trivialen Protokoll. Der Computer sendet einen Befehl in einer Zeile und erhält eine einzeilige Antwort. An dem Microcontroller ist ein Luftfeuchtigkeitsfühler mit Frequenzausgang und eine IR- LED angeschlossen. Mit einer Programmbibliothek[1] kann der Mikrocontroller verschiedene Fernbedienungen immitieren. So lässt sich beispielsweise meine RGB-LED-Beleuchtung über den Raspberry steuern. 5 One-wire Die one-wire-schnittstelle ist eine weitere Schnittstelle, die der Raspberry unterstützt. Sie muss allerdings erst in den Kernel eingebunden werden. Dazu muss die Datei /etc/modules um folgene Einträge ergänzt werden: wire w1_gpio Danach muss ein Neustart erfolgen. Alternativ können die Module auch temporär mit dem Befehl modprobe nacheinander geladen werden. 5.1 Temperaturfühler Der Temperaturfühler DS18x20 wird von Haus aus mit dem Kernelmodul w1 therm unterstützt. Auch dieses muss entweder per modprobe oder durch einen Eintrag in /etc/modules geladen werden. Abhängig von den Seriennummern entstehen dann folgende Dateien, aus denen die Temperatur ausgelesen werden kann: /sys/devices/w1_bus_master1/seriennummer/w1_slave Alle erkannten Seriennummern finden sich in der Datei /sys/devices/w1 bus master1/w1 master slaves 6 I 2 C Um die I 2 C Schnittselle zu benutzen müssen folgende Kernelmodule geladen werden: i2c-bcm2708 i2c-dev Zugegriffen wird über die Datei /dev/i2c-1, da dies bei Rev.B. der I 2 C Bus ist, der auf die 26pol Stiftleiste geführt ist. Dabei ist wieder auf die Zugriffsrechte zu achten! (Am Besten der Gruppe gpio hinzufügen) Hilfreich ist zudem das Programmpaket i2c-tools, welches einfach über die Paketverwaltung installiert werden kann. Zum einen lassen sich damit angeschlossene Devices erkennen, zum anderen bietet es eine einfache Kommunikation per Konsole. Programme, die i2c-tools zur Verfügung stellt: i2cdetect i2cset i2cget Ersteres scannt die I 2 C Schnittstelle nach Devices, die anderen beiden greifen schreibend, bzw. lesend auf ein Device zu. Näheres ist in den manpages zu finden. Auch hier lässt sich jedoch auch recht einfach mit Python zugreifen. Das notwendige Paket dafür ist python-smbus. Eine Klasse die den Zugriff vereinfacht stammt von Mathew Skolaut[2]: 4

5 class i 2 c d e v i c e : def i n i t ( s e l f, addr, port ) : s e l f. addr = addr s e l f. bus = smbus. SMBus( port ) def w r i t e ( s e l f, byte ) : s e l f. bus. w r i t e b y t e ( s e l f. addr, byte ) def read ( s e l f ) : return s e l f. bus. read byte ( s e l f. addr ) def r e a d n b y t e s d a t a ( s e l f, data, n ) : # For s e q u e n t i a l reads > 1 b y t e return s e l f. bus. r e a d i 2 c b l o c k d a t a ( s e l f. addr, data, n ) 6.1 Display Mathew Skolaut hat neben der oben beschriebenen Klasse auch eine Klasse für die Ansteuerung eines 20x4 Zeichen Displays mit Standart-Controller geschrieben. Dafür wird ein PCF8574 als Adapter von I 2 C zu paralell eingesetzt. Dies erlaubt den einfachen und Pin sparenden Anschluss eines 5V Displays an den Raspberry Pi. Ich habe die Klasse leicht abgewandelt, da sich das Display nicht bei jedem Aufruf neu initialisieren soll. Dies erlaubt unabhängige Zugriffe auf das Display, wobei das Display nicht jedesmal gelöscht wird. 7 Wetterbericht aus dem Internet Eine Anwendung für mein Display ist die anzeige des aktuellen Wetterberichts. Das ist bei mir ganz praktisch, da das Display gut sichtbar über meinen Schreibtisch hängt. Leider gibt es nur wenige Dienste, die ihren Wetterbericht kostenlos in einem verwertbaren Format anbieten. Das xml-format wird von yahoo völlig frei und von wetter.com nach kostenloser Registrierung angeboten. Vorausgesetzt für private Projekte, nach anderen Nutzungsbedingungen habe ich nicht geschaut. Ein Python-Skript zur Auswertung dieser Wetter xml-daten hat Daniel Kampert[3] geschrieben. 8 Webcam Linux sollte die Webcam automatisch erkennen und die Datei /dev/video0 anlegen. Dann lässt sich die Webcam mehr oder weniger problemlos verwenden. Bei mir hat es leider eine ganze Weile gedauert, bis ich herausgefunden habe, dass meine billig-webcam nur mit einer Auflösung von 320x240 am Raspberry funktioniert. Grund scheint die Übertragungsrate zu sein, die der USB-Port des Raspberrys sonst nicht bewältigen kann. Mein Ziel mit der Webcam war, per ssh ein Foto von meinem Zimmer zu erstellen und betrachten zu können. Auch für diese Aufgabe erwies sich Python als optimal. Allerdings muss das Paket python-opencv nachinstalliert werden. Das Python-Skript sieht dann so aus: import cv capture =cv.capturefromcam(0) cv.setcaptureproperty(capture,cv.cv_cap_prop_frame_width,320) cv.setcaptureproperty(capture,cv.cv_cap_prop_frame_height,240) frame=cv.queryframe(capture) cv.saveimage("capture.jpg",frame) Qualität und erweiterte Einstellungen sind mir erstmal egal. So kann ich jedenfalls schon sehen, ob meine RGB-Beleuchtung an oder aus ist ;) Ich habe die Informationen übrigens auf der Internetseite acadopus[4] gefunden. Neben der verwendeten minimalen Zeilen kann das Python-Skript wie folgt noch ausgebaut werden: 5

6 config = { cv.cv_cap_prop_brightness: 50, cv.cv_cap_prop_contrast: 50, cv.cv_cap_prop_saturation: 50, } for param, value in config.iteritems(): cv.setcaptureproperty(capture, param, value) um zum Beispiel Helligkeit und Kontrast zu steuern, oder wie folgt um ein Video abzuspeichern: import cv capture = cv.capturefromcam(0) fourcc = cv.cv_fourcc( M, J, P, G ) fps = 16 w, h = 640, 480 stream = cv.createvideowriter("test.avi", fourcc, fps, (w, h)) while True: frame = cv.queryframe(capture) cv.writeframe(stream, frame) 9 Software 9.1 truecrypt Leider gibt es kein fertiges Paket für die ARM-Architektur. Es bleibt also nur der Weg des selber kompilierens. Die Anleitung stammt von Mathias[5]. Ich habe sie auf das Notwendigste gekürzt: 1. aktuelles Truecrypt runterladen (tar.gz) 2. wget (anscheinend gab es Probleme mit neueren Versionen) 3. sudo aptitude install libfuse-dev 4. wget ftp://ftp.rsasecurity.com/pub/pkcs/pkcs-11/v2-20/*.h (Dateien in Ordner pkcs-header-dir speichern) 5. mit tar -xf sowohl truecrypt, als auch wxwidgets entpacken 6. export PKCS11 INC=/home/pi/pkcs-header-dir/ (absoluter Pfad zu pkcs-header-dir) 7. cd truecrypt (natürlich der entsprechende truecrypt Ordner) 8. make NOGUI=1 WX ROOT=/home/pi/wxWidgets wxbuild 9. make NOGUI=1 WXSTATIC=1 10. Main/truecrypt -m=nokernelcrypto (Der Parameter ist wichtig! Sonst Truecrypt wie gewohnt) 9.2 Bluetooth Das Paket bluetooth enthält alle nötigen Programme um Bluetooth verwenden zu können. modprobe rfcomm sudo apt-get install bluetooth bluetooth-agent :12:6F:22:53: deutsche Tastatur auf dem X-Server In der Datei setxkbmap de /.sessionrc folgendes eintragen: 6

7 9.4 Webserver Der Webserver ist für eine konfortablere Steuerung via Smartphone oder Tablet gedacht. So kann über eine Weboberfläche der Temperaturverlauf grafisch dargestellt, die RGB-Beleuchtung und LED-Kerzen intuitiv gesteuert und nicht zuletzt auf die Webcam zugegriffen werden. Durch die weitläufigen Rechte des Webservers ist es für die Privatsphäre unbedingt notwendig diesen gegen fremde Zugriffe zu sperren. Innerhalb des WLANs ist die komplette Steuerung einfach passwortgeschützt, von außerhalb nur über einen SSH Tunnel erreichbar. Dabei ist zu beachten, dass für den Webserver ein Zugriff über einen SSH-Tunnel wie ein Zugriff von localhost ist. Ich nutze diese Eigenschaft, um 2 Zonen aufzubauen. Eine unkritische Zone, wie den aktuellen Temperaturverlauf und eine kritischere Zone, wie Webcam und Steuerung der LED-Beleuchtung. Dazu passt es ganz gut, dass ausschließlich die python-skripte für die kritische Zone verantwortlich sind. Dazu muss folgendes in die /etc/apache2/sites-available/default eingetragen werden: normaler Pfad: AuthType Digest AuthName "Steuerung kclpi" AuthUserFile /home/www/.htusers Require valid-user Order deny,allow deny from all allow from localhost Satisfy any für den Pfad cgi-bin: AuthType Digest AuthName "Steuerung kclpi" AuthUserFile /home/www/.htusers Require valid-user Order deny,allow deny from all Satisfy any Authentifizierung Die normale HTTP-Authentifizierung überträgt Benutzernamen und Passwort im Klartext. Ein Mitbenutzer des heimischen WLANs (von außerhalb geht es ja über SSH-Tunnel) könnte also beides abgreifen. Es lässt sich streiten, ob das ein wirkliches Risiko darstellt, ich habe mich trozdem für die Digest-Methode entschieden. Dabei wird das Passwort verschlüsselt übertragen. Das Apache-Modul muss aber erst aktiviert werden: a2enmod auth_digest Die entsprechende User-Datei.htusers muss sieht so aus: kcl:steuerung kclpi:59b96855d358022ad05a509f8724a85f und lässt sich mit: htdigest.htusers "Steuerung kclpi" kcl erzeugen. Wichtig ist, dass der Bereich (hier Steuerung kclpi ) exakt mit dem oben angegebenen übereinstimmt Ausgänge steuern Die Beste Möglichkeit um einfache Ausgänge über den Webserver zu steuern ist ein Zugriff auf die Dateien, wie unter Abschnitt 3 beschrieben. Dabei werden dem Webserver nur genau die Rechte gegeben, die er braucht um die Ausgänge zu steuern. Mit PHP kann dann z.b. so schreibend, bzw. lesend zugegriffen werden: $f=fopen("/sys/class/gpio/gpio3/value", w+ ); fwrite($f, 1); //einschalten, 0 für ausschalten fclose($f); 7

8 9.5 SSH für andere Aus unterschiedlichen Gründen ist es interessant, auch weiteren Personen Zugriff auf den Raspberry Pi zu geben. Sei es nur zum zeigen des Systems oder zu Zwecken wie Fernzugriff auf einen Gastrechner. Dabei loggt sich ein Gastrechner auf meinen Raspberry ein und tunnelt seinen SSH-Port zurück. Nun lässt sich per SSH auf diesen Gastrechner zugreifen, ohne dass ein Router extra konfiguriert, oder ein fremder Dienst in Anspruch genommen werden muss. Auch hier ist jedoch sorgsam auf eine vernünftige Rechtevergabe zu achten, da der Raspberry tief in die Privatsphäre eingreifen kann. Im Folgenden ist eine Möglichkeit gezeigt, bei der ein Port-Tunneling für den User internet vollkommen gesperrt und dem User #USER nur die Verbindung zum Webserver verwehrt wird. iptables -A OUTPUT -o lo -m owner --uid-owner internet -m multiport -p tcp! --dport 22 -j REJECT iptables -A OUTPUT -o lo -m owner --uid-owner #USER -m multiport -p tcp --dport 80 -j REJECT 10 Anhang 10.1 meine Pin-Belegung Pin Funktion Verwendung 1 3.3V für one-wire 2 5V 5V-Versorgung 3 SDA I 2 C 5 SCL I 2 C 7 GPIO 4 one-wire 8 TXD UART 10 RXD UART V 3.3V-Versorgung 20 GND GND 21 GPIO 9 Ausgang 3 22 GPIO 25 Reset Mikrocontroller 24 GPIO 8 Ausgang 2 26 GPIO 7 Ausgang meine Linux Gruppen Gruppe gpio dialout video Funktion Zugriff auf konfigurierte Ein-/ Ausgänge Zugriff auf Mikrocontroller Zugriff auf Webcam 10.3 Linux-Befehle Linux-Befehle, die nur selten gebraucht werden und daher eher wieder vergessen werden: update-rc.d Startskript hinzufügen oder entfernen Literatur [1] Zugriff [2] Zugriff [3] id=3894 [4] html Zugriff [5] Zugriff