GNU / Linux für Fachinformatiker (Systemintegration), Teil 2

Unterrichtsmaterialien

• Live DVD
• https://learning.lpi.org/pdfstore/LPI-Learning-Material-101-500-de.pdf Andere Sprachen
• https://learning.lpi.org/pdfstore/LPI-Learning-Material-102-500-de.pdf Andere Sprachen

• GNU / Linux für Fachinformatiker (Systemintegration), Teil 2
• Unterrichtsmaterialien
• Begriffe / Programme für grafische Oberflächen
• Dienstprogramme
• Diagnose / Debugging
• Aufgabe numerische Zugriffsmodi
• Zusatzaufgabe
• Shellscripting
• Aufgabe Scripting
• Hinweise
• Zusatz
• Aufgabe Kontrollstrukturen
• Aufgabe read:
• Anmerkungen zu read
• Aufgabe Scripting / Netzwerk
• Beispiel für die Bedienung:
• Mit Überprüfung:
• Aufgabe while-Schleife
• Zusatz
• Aufgabe Netzwerkdienst
• Fortsetzung
• Fortsetzung
• Aufgabe "Privilege Separation"
• Zusatz:
• Verschiedene Inetd-Dienste:
• Setup-Code als Root-User
• Service-Installation Shellwiki:
• Service-Installation Webpoll:
• Zusätzliche Zeilen in /etc/inetd.conf
• Ergebnis
• Reverse Proxy im Apache2
• /etc/apache2/sites-enabled/000-default.conf
• Das gleiche mit Unix-Sockets
• URL
• Andere Protokolle
• Unterscheidung URL / URI
• Nextcloud
• Software aufsetzen
• Webserver aufsetzen
• Fehlende PHP-Bibliotheken
• Einrichtung im Browser
• Verschlüsselung: SSL
• SSL-Zertifikat erstellen
• Aus Sicht des Site-Betreibers:
• Aus Sicht der CA:
• Shell-Session
• Zerifikat bewundern:
• Zertifikat einspielen:
• Site-Zertifikat erstellen:
• Signieren als CA:
• SSL-Server mit ncat:
• OpenSSL Hilfe:
• Apache SSL Setup
• Apache SSL-Redirect und ACME
• Hausaufgabe
• Log-Auswertung
• Aufgabe SSH-Host-Keys
• VM-Setup
• SSH Linux ↔ Linux
• Dateien via SSH übertragen

Begriffe / Programme für grafische Oberflächen

• Grafikserver: xorg

  • Xorg vt07
  • export DISPLAY=:0; ...

• Display-Manager

  • lightdm, gdm, lxdm, nodm, ...
  • Startet den Grafikserver und fragt idR. Benutzerlogins ab

• Session-Manager

  • Startet die Komponenten des grafischen Desktops (Menüleiste, Programmautostart, ...)

• Window-Manager

  • Zichnet "Fensterdekoration" / "Titelleiste"
  • Verwaltet Größenänderungen u. Position von Fenstern

Aufgabe numerische Zugriffsmodi

Legt die Dateien a, b, c, d, e an. Ändert mit chmod die Zugriffsmodi (Berechtigungen) so, dass folgendes Bild entsteht:

-----w---- 1 damago damago 0  9. Jan 09:58 a
----r-x--- 1 damago damago 0  9. Jan 09:58 b
---x---r-- 1 damago damago 0  9. Jan 09:58 c
--w-----w- 1 damago damago 0  9. Jan 09:58 d
-r-------t 1 damago damago 0  9. Jan 09:58 e

Benutzt die numerische ("oktale") Angabe für den Zugriffsmodus. Beachtet, das "t" in der letzten Datei.

Antwort bitte als Screenshot oder Shellkommando per Teams-Chat.

d----w---- 1 damago damago 0  9. Jan 10:11 a
p---r-s--- 1 damago damago 0  9. Jan 10:11 b
---S---r-- 1 damago damago 0  9. Jan 10:12 c
s-w-----w- 1 damago damago 0  9. Jan 10:14 d
lrwxrwxrwx 1 damago damago 1  9. Jan 10:11 e -> e

Shellscripting

• Befehle genauso wie in der interaktiven Shell
• Scriptdateien beginnen mit #!/bin/sh bzw. #!/bin/bash
• Scriptdateien sollten Ausführungsrechte haben
• Häufig liegen Scriptdateien nicht im normalen Ausführungspfad wie "/bin" oder "/usr/bin". Zum Ausführen auf der Shell muss dann der Pfad der Datei mit angegeben werden, im einfachsten Fall: ./scriptdatei

Aufgabe Scripting

Schreibt ein Shellscript, das

1. nach eurem Namen fragt
2. den Namen von der Tastatur liest und
3. euch dann mit eurem Namen begrüßt.

Eingaben können mittels read in eine Variable gelesen werden.

Aufgabe Kontrollstrukturen

Erweitert das Begrüßungsscript folgendermaßen

1. neben dem eingelesenen Namen soll auch eine Variable "stunde" gesetzt werden

   • Um die aktuelle Stunde herauszubekommen kann das Programm date verwendet werden
   • die Variable wird dann einfach via Command Substitution gesetzt
   • Zum Testen soll zunächst in der Grußausgabe einfach die Stunde mit aufgeführt werden (z.B. "11 Uhr: Hallo Friedbert!")

   Hinweis: Ihr müsst hier selbst recherchieren, wie man date dazu bekommt, nur die Stunde der aktuellen Uhrzeit auszugeben.

2. Das Programm test kann Zahlen vergleichen (man-Page). Ergebnis eines Vergleichs ist der "Return-Code" des Programms. Dieser ist auf der Kommandozeile nicht sichtbar.

   Mit dem && Operator können Kommandos verkettet werden. Das zweite Kommando wird dann nur ausgeführt, wenn das erste einen erfolgreichen Return-Code liefert: test ... && echo Guten Morgen

   • Schreibt das Script mit einem test und && so weiter, dass zu jeder Stund kleiner 13 ein "Guten Morgen" ausgegeben wird und zu jeder Stunde größer/gleich 13 ein "Guten Abend"

3. Mit if ... then ... else ... fi kann man Verzweigungen aufgrund eines Return Codes bauen.

   • Hinter dem if-Schlüsselwort kommt ein Programmaufruf, der entweder erfolgreich oder fehlerhaft beendet: if test...

   • bei Erfolg werden die Kommandos in einem then-Block ausgeführt:

     if ...
     then
       ...
       ...

   • Optional kann ein else-Block angegeben werden, der ausgeführt wird, wenn das Bedingungsprogramm mit einem Fehler beendet:

     if ...
     then
       ...
       ...
     else
       ...
       ...

   • Abgeschlossen wird das eine solche if-Gruppe mit dem Schlüsselwort fi ("if" rückwärts)

     if ...
     then
       ...
       ...
     else
       ...
       ...
     fi

   • Aufgabe: Schreibt die Uhrzeit-Weiche mit if-Bedingungen.

4. Innerhalb eines then- bzw. else-Blocks kann eine weitere if-Abfrage stehen (if ... then ... fi). Dies bezeichnet man als "Verschachtelung", bzw. "Verschachtelte Bedingung":

   if ...
   then
     ...
     if ...
     then
       ...
       ...
     fi
     ...
   else
     ...
     ...
   fi

   Hier müsst ihr darauf achten, die Anweisungen aus dem äußeren und dem inneren if-Block nicht zu vermischen.

   • Unterscheidet in verschachtelten if-Blöcken folgende Uhrzeiten:

     • 0 - 9 Uhr: Guten Morgen
     • 10 - 13 Uhr: Mahlzeit
     • 14 - 18 Uhr: Guten Tag
     • 19 - 24 Uhr: Guten Abend

   • Zusatz: Zwischen 23:00 und 4:00 Uhr soll die Begrüßung "Huuuhuuu" sein.

   • Zusatz: Schaut euch das elif-Schlüsselwort an um die Verschachtelungstiefe der if-Abfragen zu reduzieren.

Aufgabe read:

Lest mit read aus einer Zeile die Variablen "eins" "zwei" "drei" und "vier" ein.

Gebt alle vier Variable einzeln aus, und beantwortet folgende Fragen:

1. Welche Eingabe muss ich machen, damit die Variable "drei" den wert "schnabbeldifoo" bekommt?

2. Welche Werte nehmen die Variablen an, wenn in der Eingabe fünf oder sechs verschiedene Worte übergeben werden?

~$ echo alpha beta gamma |read eins zwei drei

~$ read eins zwei drei <<EOF
alpha beta gamma
EOF

~$ read stunde minute sekunde <<EOF
$(date "+%H %M %s")
EOF

Aufgabe Scripting / Netzwerk

Der read-Befehl kann mehrere Variablen auf einmal einlesen. Diese werden an Leerzeilen separiert.

1. Benutzt read um von einer Zeile die Variablen "method", "info" und "proto" zu lesen.

2. gebt mittels cat eine Datei aus, die dem Dateinamen aus "info" entspricht.

3. Richtet das Script als inetd-Service auf Port 1080 ein.

~$ echo foo /etc/inetd.conf bar |nc localhost 1080

-> soll die Datei inetd.conf auf dem Terminal ausgeben.

Aufgabe while-Schleife

Schreibt eine Scriptdatei mit einer einzelnen While-Schleife:

while TESTPROGRAMM; do
  KOMMANDO
  KOMMANDO
  ...
done

Die Schleife soll prüfen, ob die Datei "TEST" im Heimverzeichnis existiert und lesbar ist. Solange dies der Fall ist, soll die Schleife konstant einen Punkt (".") auf dem Terminal ausgeben. Das Programm endet, sobald die Datei TEST verschwindet oder Leserechte verliert.

Hinweis: zum testen muss die Datei "TEST" natürlich existieren.

Aufgabe Netzwerkdienst

Das inetd-Script aus der vorletzten Aufgabe soll angepasst werden. Nachdem die Variablen "method", "info" und "proto" gelesen wurden, sollen noch weitere Zeilen eingelesen werden, bis eine Leerzeile auftaucht.

Der Inhalt der gelesenen Zeilen wird ignoriert.

Schleifenbedingung ist, dass die zuletzt gelesene Zeile nicht leer ist (siehe man-Page zu test).

Die Ausgabe der "$info"-Datei erfolgt erst, nachdem eine Leerzeile gelesen wurde.

Aufgabe "Privilege Separation"

Benutzt useradd um einen Service-Account (UID < 1000) anzulegen. Dieses Dienstekonto soll über ein Heimverzeichnis unterhalb von "/srv" verfügen.

Postet im Teams-Chat den Programmaufruf dafür.

Verschiedene Inetd-Dienste:

Wir setzen verschiedene Web-Dienste mit Privilege Separation auf. Später sollen diese über den Webserver laufen. Zunächst ist aber einfacher den inetd zu benutzen.

~# apt install openbsd-inetd
~# useradd -rmb /srv wiki
~# useradd -rmb /srv poll

~# runuser -u wiki bash
wiki...$ cd ~
wiki~$ git clone https://git.plutz.net/git/shellwiki

~# runuser -u poll bash
poll...$ cd ~
poll~$ git clone https://git.plutz.net/git/webpoll
poll~$ mkdir data

81   stream   tcp   nowait   wiki   /srv/wiki/shellwiki/index.cgi   /srv/wiki/shellwiki/index.cgi --data=/srv/wiki/data  --debug=/dev/null
82   stream   tcp   nowait   poll   /srv/poll/webpoll/index.cgi     /srv/poll/webpoll/index.cgi   --data=/srv/poll/data  --debug=/srv/poll/debug.log

Reverse Proxy im Apache2

Der Reverse-Proxy kann benutzt werden, um verschidene HTTP-Requests an unterschiedliche Webapplikationen (bzw. unterschiedliche Webserver) zu delegieren.

~# a2enmod   rewrite  proxy   proxy_http
~# systemctl  restart  apache2

<VirtualHost *:80>
  # ServerAdmin webmaster@localhost
  DocumentRoot /var/www/html
  
  ErrorLog ${APACHE_LOG_DIR}/error.log
  CustomLog ${APACHE_LOG_DIR}/access.log combined

  RewriteEngine on

  RewriteRule   ^/poll/(.*)$    http://localhost:82/$1        [P]
  RewriteRule   ^/(.*)$         http://localhost:81/$1        [P]

</VirtualHost>

/srv/wiki/socket   stream   unix   nowait   wiki   /srv/wiki/shellwiki/index.cgi   /srv/wiki/shellwiki/index.cgi --data=/srv/wiki/data  --debug=/dev/null
/srv/poll/socket   stream   unix   nowait   poll   /srv/poll/webpoll/index.cgi     /srv/poll/webpoll/index.cgi   --data=/srv/poll/data  --debug=/srv/poll/debug.log   --base=/poll/

  RewriteRule   ^/poll/(.*)$    unix:/srv/poll/socket|http://localhost/$1     [P]
  RewriteRule   ^/(.*)$         unix:/srv/wiki/socket|http://localhost/$1     [P]

~# chgrp   www-data   /srv/poll   /srv/wiki
~# chmod   g+x   /srv/poll   /srv/wiki

~# systemctl restart inetd
~# systemctl reload apache2

URL

Wie sind URLs aufgebaut?

http:// juhser:p4ssw0rd@ schnabbeldiwauw.au :80 /wordpress ?var=foo #Absatz1
^       ^      ^         ^                  ^   ^          ^        ^
|       |      |         |                  |   |          |        |
|       |      |         |                  |   |          |        Anker
|       |      |         |                  |   |          Query-String
|       |      |         |                  |   Local-Part / Server-Pfad
|       |      |         |                  Portnummer
|       |      |         Domainname
|       |      Passwort
|       Benutzername
Protokoll

Protokoll

auch Schema geannt (auch im Englischen "Schema"!)

Benutzername / Passwort

Beides optional

durch @-Zeichen der Domain / Hostname vorangestellt

Username kann allein stehen (ohne Passwort)

Passwort kann nicht allein stehen

Passwort (falls vorhanden) wird durch : vom Username abgesetzt

Domainname / Hostname

wird via DNS zu einer IP-Adresse aufgelöst

wird außerdem im http-Request im "Host"-Header übertragen

Von hinten nach vorn definiert

• Top-Level-Domain (.de, .au, .com, .org, ...)
• Second-Level-Domain (gehört idR. dem Seitenbetreiber)
• Subdomain (z.B. www.damago.eu, de.wikipedia.org)

Local-Part

wird allein vom Server interpretiert

wird gerne als Verzeichnispfad verstanden

ist die Adresse eines "Dokuments" auf dem Server

Query-String (Optional)

Teil des Local-Part

Wird eigentlich allein vom Server-Interpretiert

Wird vom Browser benutzt um Formulareingaben zu übergeben

• Formualreingabe in form variable=wert

  • Eine "Variable" entspricht einem Formularfeld
• mehrere Variablen werden durch &-Zeichen getrennt

Anker (optional, hinter dem #-Zeichen)

wird allein vom Browser verarbeitet

Der Server erfährt nicht, welcher Seitenanker gerade betrachtet wird

Nextcloud

~# useradd   -rmb   /srv   nextcloud
~# runuser  -u  nextcloud  bash
nextcloud....$  cd ~
nextcloud~$ wget https://download.nextcloud.com/server/releases/latest.zip
nextcloud~$ unzip latest.zip

~# apt   install   libapache2-mod-php8.4   libapache2-mpm-itk

<VirtualHost *:80>
  # Vhost-Konfigurationen werden anhand des Hostnamens im HTTP-Request unterschieden
  ServerName    nextcloud

  # Zur Übersicht sollte jede "Site" eigene Log-Dateien nutzen
  ErrorLog ${APACHE_LOG_DIR}/nextcloud-error.log
  CustomLog ${APACHE_LOG_DIR}/nextcloud-access.log combined

  # User-Trennung nicht in der NC-Doku enthalten
  # Wird ermöglicht durch mpm-itk
  AssignUserID  nextcloud       nextcloud

  DocumentRoot /srv/nextcloud/nextcloud/

  # Eigenheit vom Apache: Unabhänig von Dateisystemberechtigungen managed der Apache welche Verzeichnisse via HTTP ausgeliefert werden dürfen.
  <Directory /srv/nextcloud/nextcloud/>
    Require all granted
  </Directory>
</VirtualHost>

~# apt   install   php-xml   php-mbstring   php-zip   php-gd   php-curl   php-sqlite3

Verschlüsselung: SSL

• CA liefert Public Key in allen Browsern aus
• Site-Betreiber lassen Public Key von CA signieren

• Browser überprüfen unbekannte Public Keys anhand von CA

  • ein signierter Public Key wird "Zertifikat" genannt

Beachte die Unterscheidung:

Public Key

Nur der Cryptographische Schlüssel

Zertifikat

Der Public Key und die signierten Informationen

 ~$ openssl genrsa >RootCA.key
 ~$ openssl req -x509 -key RootCA.key -subj /CN="Green Grocerer's SSL Certificate's" -days 14 >RootCA.crt

~$ openssl x509 -text <RootCA.crt |less

{ "policies": { "Certificates": { "Install": [ "/etc/ssl/...", "/usr/share/ca-certificates/..." ] } } }

~$ certutil -d ~/.pki/nssdb/  -A -t -C,, -n "Freitextname" -i /etc/ssl/...

~$ openssl genrsa >meinedoma.in.key
~$ openssl req -new -subj /CN=meinedoma.in -key meinedoma.in.key >meinedoma.in.req

~$ openssl x509 -req -CA RootCA.crt -CAkey RootCA.key <meinedoma.in.req >meinedoma.in.crt

~$ printf '%s\n' '[SAN]' 'subjectAltName=DNS:meinedoma.in' >meinedoma.in.conf

~$ openssl x509 -req -CA RootCA.crt -CAkey RootCA.key -extensions SAN -extfile meinedoma.in.conf <meinedoma.in.req >meinedoma.in.crt

~$ ncat -klp 1024 -e ~/service.sh --ssl-cert meinedoma.in.crt --ssl-key meinedoma.in.key

~$ openssl --help 2>&1 |less
~$ openssl req -help 2>&1 |less

~$ a2enmod ssl
~$ a2ensite default-ssl
   (oder wie auch immer die VHost-Config heißt)
~$ systemctl restart apache2

Hausaufgabe

Konfiguriere Apache mit SSL. So wie in den letzten beiden Tagen. Für lokale Domains ist nur ein betrieb mit privater CA möglich. Schickt mir folgenden Screenshot. Um zu zeigen, dass die Dienste über das Netzwerk erreichbar sind, soll der Screenshot im Microsoft Edge angelegt werden.

Log-Auswertung

... grep / sed / sort / wc / usw...

Unter dem Link https://plutz.net/training/damago_2026_01/plutz.net_sshlogs.txt.gz finden sich SSH-Logs eines Internetservers für die letzten drei Tage. Die Datei ist komprimiert und muss vor der Weiterverarbeitung mit gzip, o.ä. dekomprimiert werden.

Wie können wir sehen, von welchen IP-Adressen bzw. -Netzen hier SSH-Angriffe ausgehen.

{ grep 'Disconnected from' plutz.net_sshlogs.txt |cut -d' ' -f11;
  grep 'Received disconnect' plutz.net_sshlogs.txt |cut -d' ' -f9;
  grep 'Connection closed by .* user' plutz.net_sshlogs.txt  |cut -d\  -f12;
} |grep -E '[0-9.]{7,15}' |sort |uniq -c |sort -n \
| while read num ip; do
  loc=$(geoiplookup $ip);
  printf '%4i %s\n' $num "$loc";
done |sort -k5  \
| while read num loc; do
  if [ "$oloc" != "$loc" ]; then
    printf %5i\ %s\\n $acc "$oloc";
    acc=$num; else acc=$((acc + num));
  fi
  oloc="$loc";
done |sort -n |less

Aufgabe SSH-Host-Keys

Auf dem SSH-Server

~# ls -lh /etc/ssh
~# apt purge openssh-server
~# ls -lh /etc/ssh
~# apt install ssh
~# ls -lh /etc/ssh

Auf dem (Windows-)Client

\> ssh live@IP.ADR.ES.SE
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@    WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!     @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!

Nach dem Löschen der "offending" keys in .ssh/known_hosts kann man den Host-Key neu bestätigen.

Auf dem Server lässt sich ein Fingerprint ausgeben via:

~$ ssh-keygen -l -f /etc/ssh/ssh_host_ed25519_key.pub

(Dateiname variiert je nach Schlüsseltyp)

VM-Setup

Grafische Verbindung zwischen Linux-Desktops

1. Der SSH-Server läuft wie bisher in Hyper-V mit externem Switch SERVER

2. Auf einer zweiten VM booten wir das Live-System (externer Switch) CLIENT

Auf dem Client den Thunar (Dateimanager) öffnen

• in der Adresszeile: sftp://SER.VER.IP.ADR/

• → Popup vom Dateimanager bittet nach Bestätigung der Server-"Identität" ( == Host-Key-Fingerprint)

  • Falls der Fingerprint nicht Lesbar ist (Bug im Thunar), zu Sicherheit eine Connection mit ssh SER.VER.IP.ADR auf der Command-Line ausführen

• → Zur Sicherheit Auf dem Server die Idenität überprüfen: SERVER~$ ssh-keygen -l -f /etc/ssh/ssh_host_XXXXXX_key.pub

• Identität verifizieren und Bestätigen

• → Dateimanager fragt beim nächten Versuch nach User und Passwort

SSH Linux ↔ Linux

client~$ ssh-keygen
...
client~$ ssh-copy-id  user@server
-> Fragt einmal nach Passwort
client~$ ssh user@server
-> keine Passwortabfrage

Dateien via SSH übertragen

• scp DATEI user@host:PFAD
• scp user@host:DATEI PFAD
• Grafischer Dateimanager: sftp://user@HOST
• sshfs user@host: lokaler_ordner/
• mc (Midnight-Commander) → F9-Menü → sftp-Verbindung

• sftp user@host

  • Einziger sftp-Client, der per Dafault in Windows existiert
  • > get DATEI
  • > put DATEI
  • > get -R Ordner

  • Es gibt immer ein lokales und ein remote Arbeitsverzeichnis

    • > pwd, > lpwd
    • > cd ...., > lcd ....
    • > ls, > lls

• Per Pipeline

  • ~$ ssh user@host cat remote_datei > datei
  • ~$ cat datei | ssh user@host cat \>remote_datei
  • Achtung: Shell-Escaping wird kompliziert!