Stefanux

security:openvpn

Stefan — 2010-03-09T23:43:35+01:00

OpenVPN

OpenVPN ist eine Software zur Herstellung eines Virtuellen Privaten Netzwerkes (VPN) über eine verschlüsselte TLS-Verbindung. Zur Verschlüsselung werden die Bibliotheken des Programmes OpenSSL benutzt. OpenVPN verwendet wahlweise UDP oder TCP zum Transport.

Die Vorteile von OpenVPN gegenüber anderen Lösungen liegen in der (relativ) einfachen Konfiguration und der Verfügbarkeit für zahlreiche Plattformen (u.a. Linux, Solaris, versch. BSDs, Mac OS X und Microsoft Windows) bei gleichzeitig sehr guter Sicherheit.

Installation

Folgendes Paket wird benötigt: openvpn (bei Ubuntu im „universe“).

Als erstes sollte man die Beispielkonfiguration und das Verzeichnis zur Schlüsselerzeugung an einen geeigneten Ort entpacken:

  sudo cp /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz /etc/openvpn/
  sudo gunzip /etc/openvpn/server.conf.gz
  sudo cp -r /usr/share/doc/openvpn/examples/easy-rsa/2.0 /etc/openvpn/easy-rsa2

Server

Man muss sich entscheiden zwischen tun und tap-Konfiguration.

ein tun-Gerät liegt auf Layer 3 (des ISO/OSI-Modells) und bietet IP-Zugang, was auch für die meisten Anwendungen ausreichen sollte
braucht man andere Protokolle als IP bzw. Kontrolle über Layer 2 muss man ein tap-Gerät konfigurieren.

Im folgenden wird eine tun-Konfiguration beschrieben.

Schlüssel und Zertifikate generieren

Die gegenseitige Authentifizierung zwischen Server und Client findet bei OpenVPN über kryptografische Schlüssel und Zertifikate statt, die als erstes erstellt werden müssen. Dazu wechselt man zuerst in das Verzeichnis /etc/openvpn/easy-rsa2/ und editiert dort die Datei vars mit Root-Rechten.

In der vars findet man am Ende folgende Einträge:

  export KEY_COUNTRY=DE
  export KEY_PROVINCE=NRW
  export KEY_CITY=Düsseldorf
  export KEY_ORG=”Vpntest”
  export KEY_EMAIL=”onlyspam@myhomepage.net”

Diese Einträge sollten auf die eigenen Einstellungen angepasst werden.

Aufgrund eines Fehlers wird manchmal das Unterverzeichnis für die Keys nicht erstellt. Man sollte dies darum von Hand nachholen:

sudo mkdir keys

Danach muss die oben angepasste Datei vars „gesourct“ (d.h. in die Umgebungsvariablen aufgenommen) werden:

source ./vars

Es erscheint eine Warnmeldung, worauf mit den folgenden Skriptaufrufen das Master-Zertifikat und der Master-Schlüssel erstellt werden:

sudo -E ./clean-all
sudo -E ./build-ca

Jetzt muss noch das Zertifikat und der Schlüssel für den Server erstellt werden:

sudo ./build-key-server server

Wichtig dabei ist, dass bei Common Name der Name eingegeben werden sollte, mit dem auf den Server später zugegriffen wird. Das kann z.B. auch der DynDNS-Name sein. Das Challenge Password kann leer gelassen werden. Um die Datenbank zu aktualisieren, muss danach zweimal mit Y bestätigt werden.

Anschließend müssen nun die Schlüssel für die Benutzer angelegt werden:

sudo ./build-key ersterclient
sudo ./build-key zweiterclient
sudo ./build-key dritterclient

Das geschieht nach dem gleichen Prinzip wie gerade eben beim Server, jedoch muss nun bei Common Name jeweils der Name des Clients eingetragen werden.

Benötigt man zu einem späteren Zeitpunkt weitere Zertifikate, muss zuerst die vars als root (sudo -s) erneut gesourcet werden. Danach können wie gewohnt neue Zertifikate mittels ./build-key erstellt werden.

Jetzt müssen noch die Diffie-Hellman-Parameter generiert werden. Diese sind von Nöten, um kryptografische Schlüssel sicher über unsichere Kanäle auszuhandeln. Das geschieht mit

sudo ./build-dh

Die Erstellung kann je nach System einige Zeit dauern.

Wenn die Erstellung erfolgreich gewesen ist, liegen nun alle benötigten Dateien im Verzeichnis /etc/openvpn/easy-rsa2/keys/. Die Dateien mit der Endung .key sind die geheimen Schlüssel, die nur auf dem entsprechenden Rechner, zu dem sie gehören, gespeichert werden sollten. Die .crt-Dateien sind die Zertifikate, die nicht geheim gehalten werden müssen. Die Client-Schlüssel und -Zertifikate müssen nun auf die Clients transferiert werden, server.key und ca.key bleiben wo sie sind.

Außerdem muss jeder Client noch die Datei ca.crt erhalten, damit er den Server einwandfrei identifizieren kann. Zusätzlich muss noch darauf geachtet werden, dass die Dateien nie im ASCII-Modus übertragen werden. Dies kann dazu führen das die Datei nicht mehr entschlüsselt werden kann und somit ein Verbinden mit dem openVPN-Server nicht möglich ist. Fehlermeldung: „Error: private key password verification failed“. Am besten umgeht man das Problem indem man alle zu übertragenden Dateien in ein .tar- oder .rar-Archiv packt.

Konfiguration

Nun muss noch die Server-Konfigurationsdatei /etc/openvpn/server.conf angepasst werden. Wichtig ist, dass die Pfade zu den Schlüsseln angepasst werden. Alle anderen Einstellungen sind schon ganz brauchbar.

  ca ./easy-rsa2/keys/ca.crt
  cert ./easy-rsa2/keys/server.crt
  key ./easy-rsa2/keys/server.key    # Diese Datei geheim halten.
  dh ./easy-rsa2/keys/dh1024.pem     # Diffie-Hellman-Parameter

Zur Verbesserung der Sicherheit sollte man den Daemon unter einer unprivilegierten Benutzerkennung laufen lassen, indem man folgende Zeilen aktiviert:

  # Downgrade privileges after initialization (non-Windows only)
  user nobody
  group nogroup

Noch besser ist es, hier nicht auf die Kennung nobody/nogroup zurückzugreifen, sondern eine eigene spezialisierte openvpn/openvpn-Identität zu schaffen, wobei man die Shell auf /bin/false setzen kann.

sudo adduser --system --disabled-login --no-create-home openvpn
sudo addgroup --system --disabled-login --no-create-home openvpn

Wer den Server in einem privaten LAN stehen hat, muss noch Port-Forwarding auf seinem Router aktivieren. OpenVPN nutzt standardmäßig den Port 1194 (UDP), der auf die interne IP-Adresse des VPN-Servers weitergeleitet werden muss. Wer einen Linux-Router betreibt, kann dafür das nathelper-Skript verwenden. Besitzer eines Hardware-Routers sollten bei Bedarf dessen Betriebsanleitung oder die Webseiten des Router-Herstellers zu Rate ziehen.

Jetzt kann der Server folgendermaßen gestartet werden:

sudo /etc/init.d/openvpn restart

hilft eventuell der Abschnitt Fehlerbehebung weiter.

LAN einbeziehen

Um dem Client nicht nur den Server selber, sondern auch das LAN über das VPN zugänglich zu machen, muss nochmal die server.conf bearbeitet werden. Dort wird im betreffenden Bereich folgendes eingetragen:

  push "route 192.168.2.0 255.255.255.0"

Der hiergenannte IP-Bereich muss natürlich durch das korrekte serverseitige LANs ersetzt werden.
Außerdem muss noch das IP-Forwarding am Server aktiviert werden:
```
sudo sysctl -w net/ipv4/ip_forward=1
```
Um diese Änderung permanent zu machen, kann man sie in die Datei /etc/sysctl.conf eintragen:
```
net.ipv4.ip_forward=1
```
Wenn der OpenVPN-Daemon nicht auf dem Default-Gateway des lokalen Netzes läuft, so muss auf diesem Default-Gateway/Router noch eine Route erstellt werden, die den OpenVPN-Server als Gateway für das VPN festlegt. Handelt es sich dabei um einen Linux-Rechner, so lautet der Befehl wie folgt und kann bei Bedarf (ohne sudo) in die Datei /etc/rc.local eingetragen werden:
```
sudo route add -net 10.8.0.0 netmask 255.255.255.0 gw VPN.SERVER.I.P
```
Weiterhin müssen bei einer evtl. vorhandenen Firewall Regeln (bei Iptables in der Forward-chain) eingerichtet werden, die die Kommunikation erlauben.

Authentifizierung

per Zertifikat
Passwort
LDAP
Kerberos
ADS
IMAP
PAM-Module

Authentifizierung indivduell einstellen

Zuerst PAM-per-User mit Konfigurationsdatei /etc/pam.d/openvpn konfigurieren:

auth    required    pam_per_user.so.1
account     required     pam_permit.so<file>
  - danach in /etc/pam_per_user.map <file>benutzer1: openvpn-ldap
benutzer2: openvpn-krb5
benutzer3: openvpn-imap

benutzer1 meldet sich gegen LDAP an (Datei /etc/pam.d/openvpn-ldap):

auth     required    pam_env.so
auth     required    pam_ldap.so
account     required    pam_ldap.so

benutzer2 meldet sich gegen Kerberos an (Datei /etc/krb5.conf):

auth     requisite     pam_krb5.so no_ ccache
account     required     pam_kermit.so

benutzer3 kommt per IMAP-Account (Datei /etc/pam.d/openvpn-imap):

PAM_PasswordString = Password: CertificateFile /usr/share/ssl/certs/imapd.pem
PAM_Server0 = imap.domain.tld:143
PAM_Blocklist = root, admin, Administrator, apache
PAM_HashEnable = no
PAM_HashFile = /etc/pam_imap.gdbm
PAM_HashDelta = 20

in der server.conf muss nun das PAM-Plugin angegeben werden (damit wird /etc/pam.d/openvpn benutzt):
```
plugin /usr/lib/openvpn/openvpn-auth-pam.so openvpn
```
in der client.conf muss “auth-user-pass“ angegeben sein.

Konfiguration für einzelne Benutzer

Für individuellen Clients kann eine spezielle Konfiguration angelegt werden. Dazu muss folgende Zeile („ccd“ ist änderbar) in der server.conf hinzugefügt werden:

client-config-dir ccd

Individuelle Konfigurationen gehen anhand des Common-Names (CN) des Benutzerzertifikats in /etc/openvpn/ccd/CN also z.B. /etc/openvpn/ccd/benutzer1:

ifconfig-push 10.0.8.21 10.0.8.22
push "redirect-gateway"
push "route 10.0.8.0 255.255.255.0"

Der push-Buffer hat nur 1024 Byte, man bekommt sonst Fehler der Art „Maximum length of push-Buffer (1024) has been exceeded“.

Bei ifconfig-push gibt die erste IP-Adresse die Adresse des virtuellen Clients an, die 2. des virtuellen Server endpoints.

Laut openvpn.org-HOWTO müssen Sie aus /30 subnets geholt werden, damit die Windows Clients/TAP-Win32 Treiber mitspielen.

Zitat von http://openvpn.net/howto.html (siehe auch: OpenVPN Tutorial):

Specifically, the last octet in the IP address of each endpoint pair must be taken from this set:

[ 1, 2] [ 5, 6] [ 9, 10] [ 13, 14] [ 17, 18]
[ 21, 22] [ 25, 26] [ 29, 30] [ 33, 34] [ 37, 38]
[ 41, 42] [ 45, 46] [ 49, 50] [ 53, 54] [ 57, 58]
[ 61, 62] [ 65, 66] [ 69, 70] [ 73, 74] [ 77, 78]
[ 81, 82] [ 85, 86] [ 89, 90] [ 93, 94] [ 97, 98]
[101,102] [105,106] [109,110] [113,114] [117,118]
[121,122] [125,126] [129,130] [133,134] [137,138]
[141,142] [145,146] [149,150] [153,154] [157,158]
[161,162] [165,166] [169,170] [173,174] [177,178]
[181,182] [185,186] [189,190] [193,194] [197,198]
[201,202] [205,206] [209,210] [213,214] [217,218]
[221,222] [225,226] [229,230] [233,234] [237,238]
[241,242] [245,246] [249,250] [253,254]

Um zu verhindern, dass jemand ein fremdes Zertifikat benutzt (indem er das Zertifikat von einem anderen Benutzer präsentiert, zur Authentifizierung aber seine eigenen Daten verwendet) muss überprüft werden das der CN mit den Zugangsdaten zusammen passt.

Dazu das Script ucn.pl (s. u.) erstellen und in der server.conf folgende Zeile dazu geben:

auth-user-pass-verify /usr/local/scripts/ucl.pl via-env

Dann übergibt OpenVPN über Umgebungsvariablen username und CN.

!/usr/bin/perl ‑t
#
# OpenVPN ‑‑auth‑user‑pass‑verify script.
# Only authenticate if username equals Ucommon_name.
# In OpenVPN config file: auth‑user‑pass‑verify ./ucn.pl via‑env
$username = $ENV{'username'};
$common_name = $ENV{'common_name'};
@common_name_array = split(/\./, $common_Uname);
exit !(length($username) > 0 && Ulength($common_name) > 0 && $username eq U$common_name_array[0]);

individuelle Firewallregeln

learn-address /usr/local/scripts/openvpn-fw-conf

# Eine eigene Tabelle für den User anlegen
iptables ‑N chain‑$IP
# In der Forward‑Table ist diese das Sprungziel für die Source‑IP des Users:
iptables ‑I FORWARD ‑s $IP ‑j chain‑$IP
# ESTABLISHED‑Connections einfach ohne weiteres Matching durchlassen:
iptables ‑A chain‑$IP ‑s $IP ‑m state ‑‑state RELATED,ESTABLISHED ‑j ACCEPT
# Nun folgen individuelle Regeln für den Benutzer, beispielsweise den Zugriff auf den Zielrechner
$destHost, Port $destPort und das Protokoll $destProto:
iptables ‑A chain‑$IP ‑p $destProto ‑s $IP ‑d $destHost ‑‑dport $destPort ‑j ACCEPT
# Oder dasselbe mit mehreren Ports mit --dports:
iptables ‑A chain‑$IP ‑m multiport ‑p $destProto ‑s $IP ‑d $destHost ‑‑dports $destPort ‑j ACCEPT
# Vollzugriff auf einen Host:
iptables ‑A chain‑$IP ‑s $IP ‑d $destHost ‑j ACCEPT
# Abschließend den ICMP‑Traffic erlauben:
iptables ‑A chain‑$IP ‑p icmp ‑s $IP ‑j ACCEPT
# und alles weitere verbieten:
iptables ‑A chain‑$IP ‑s $IP ‑j DROP

Client-Konfiguration

Zuerst muss auch auf den Clients das openvpn-Paket installiert werden, wie weiter oben beschrieben. Statt der Datei server.conf wird hier aber logischerweise die client.conf editiert. Dort ändert man die IP-Adresse unter der der Server erreichbar ist. Wer keine statische IP zur Verfügung hat, kann dort auch seine dyndns-Adresse angeben

remote ich.dyndns.org

Die Pfade der einzelnen ca, cert, usw. müssen hier nicht unbedingt angepasst werden, wenn die einzelnen Dateien auf dem Client im gleichen Ordner liegen wie die client.conf und die voreingestellten Dateinamen besitzen. Natürlich müssen sie erstmal vom Server herüberkopiert worden sein.

Die Authentifizierung des OpenVPN-Servers ist für einen ersten Test nicht notwendig, für die spätere Benutzung aus Sicherheitsgründen aber empfohlen. Dazu wählen wir eine der Methoden die auf der Seite http://openvpn.net/howto.html#mitm beschrieben ist. Bei einem aktuellen Ubuntu (ab hardy) mit OpenVPN-Version ab 2.1 funktioniert:

remote-cert-tls server

Andernfalls bekommen wir bei jeder Verbindung eine Warnung („WARNING: No server certificate verification method has been enabled. See http://openvpn.net/howto.html#mitm for more info.“)

Linux

OpenVPN-Paket installieren: Debian, Ubuntu:

aptitude install openvpn

Ubuntu: Network-Manager/VPN Plugins

Ab Ubuntu 7.04 Feisty Fawn bietet sich die komfortable Nutzung der Network-Manager/VPN Plugins an.

Auch hier muss das VPN jetzt neu gestartet werden:

sudo /etc/init.d/openvpn restart

Wer die Verbindung nicht bei jedem Systemstart automatisch aufbauen lassen will, muss folgende Zeile in der Datei /etc/default/openvpn aktivieren:

AUTOSTART="none"

In diesem Fall empfiehlt es sich, die Konfiguration im eigenen Homeverzeichnis anzulegen. Dann kann man die Verbindung bei Bedarf auch mit einfachen Benutzerrechten über folgenden Befehl starten:

openvpn ~/pfad/zu/client.conf

Microsoft Windows

OpenVPN-Pakete für Windows sind über die folgende URL erhältlich: http://openvpn.se/download.html . Nach der Installation müssen dann folgende Dateien, die vorhin erstellt wurden, in den Ordner C:\Programme\OpenVPN\config\\ kopiert werden:

client.ovpn
clientX.crt
clientX.key
ca.crt

Wie zu erkennen ist, muss die client.conf-Datei zur Verwendung mit der Windows-GUI die Endung .ovpn haben.

Nun mit der rechten Maustaste auf das Icon von OpenVPN klicken und „Connect“ auswählen. Wenn alles richtig gemacht wurde, sollte die Verbindung nun funktionieren.

Windows XP

Die aktuelle stabile Version 2.0.9 läuft.

Vista

Hinweise für Vista:

es ist die Version 2.1.0rc… erforderlich.
Openvpn muss als Administrator ausgeführt werden (Verknüpfung anlegen, rechte Maustaste und „als Administrator ausführen“; Alternativ in den Eigenschaften dauerhaft einschaltbar).
Falls die Routensetzung Probleme bereitet, könnten folgende Einstellungen helfen:

route-method exe
route-delay 2

MacOS X

Die Einrichtung geht mit der Software Tunnelblick.

OpenVPN über HTTP-Proxy

Sitzt man nicht direkt an einem Internetzugang (z.b. im Büro oder beim Kunden), so hat man oft keine Möglichkeit über Port 1194 ins Internet zu kommen. Üblicherweise ist aber der Port 443 (HTTPS) in jedem Netz freigeschaltet. Um vom Client über den HTTPS-Proxy ins Internet und zum heimischen OpenVPN-Server zu gelangen, müssen folgende Konfigurationen gemacht werden:

server.conf

# Which TCP/UDP port should OpenVPN listen on?
# If you want to run multiple OpenVPN instances
# on the same machine, use a different port
# number for each one.  You will need to
# open up this port on your firewall.
port 443
;port 1194

# TCP or UDP server?
proto tcp
;proto udp

Auf dem Server wird in der server.conf auf den Port 443 umgeschaltet. Zudem wird hier auf das Protokoll TCP umgeschaltet, was nicht zwingend ist, aber weniger Probleme verursacht bei der Benutzung eines HTTP-Proxys.

client.conf

# If you are connecting through an
# HTTP proxy to reach the actual OpenVPN
# server, put the proxy server/IP and
# port number here.  See the man page
# if your proxy server requires
# authentication.
http-proxy 192.168.4.1 1080
;http-proxy-retry # retry on connection failures
;http-proxy [proxy server] [proxy port #]

Auf dem Client wird in der client.conf die Zeile http-proxy 192.168.4.1 1080 hinzugefügt. Wobei die Addresse des Proxy 192.168.4.1 und der Port 1080 mit den effektiven Angaben ersetzt werden müssen. Weitere Informationen zur Konfiguration von HTTP-Proxys sind unter http://openvpn.net/howto.html#http verfügbar.

Fehlerbehebung

Falls der Start von OpenVPN nicht klappt, finden sich im Protokoll (Logdatei) Hinweise zur Fehlerbehebung. Die Meldungen sollten je nach Distribution in /var/log/daemon.log, /var/log/syslog oder /var/log/messages stehen.

Cannot allocate TUN/TAP dev dynamically (virtualisierte Systeme)

Folgender Fehler im Protokoll (häufig bei virtualisierten Systemen der Fall):

  openvpn[...]: Note: Cannot open TUN/TAP dev /dev/net/tun: Permission denied (errno=13)
  openvpn[...]: Note: Attempting fallback to kernel 2.2 TUN/TAP interface
  openvpn[...]: Cannot allocate TUN/TAP dev dynamically

Viele Provider bieten mittlerweile günstige virtualisierte Server an (auch VPS oder VServer). Bestimmte Funktionen lassen sich auf solchen Servern nur nutzen, wenn die entsprechenden Fähigkeiten auch in den Kernel des Host-Systems kompiliert wurden, auf dem die VPS läuft. Das gilt insbesondere für TUN/TAP und iptables. Bei vielen Providern genügt es, wenn man in einem Support-Ticket kurz erklärt, dass man TUN/TAP oder iptables nutzen möchte und sie wechseln den Kernel aus.

Funktioniert TUN/TAP dann immer noch nicht muss man das Gerät noch selbst erstellen:

sudo mkdir -p /dev/net
sudo mknod /dev/net/tun c 10 200
sudo chmod 600 /dev/net/tun

Falls dies die Lösung bringt, ist die Anpassung des OpenVPN-Init-skripts (das die Befehle beim Start des Rechners ausführt) sinnvoll, da bei Neustarts /dev/net/tun wieder verschwunden ist.

In die Datei /etc/init.d/openvpn schreiben wir also an den Anfang:

# Create /dev/net (not created in Xen-environment)
if [ ! -d /dev/net ]
then
    mkdir -p /dev/net
fi
if [ ! -c /dev/net/tun ]
then
    mknod /dev/net/tun c 10 200
fi
chmod 600 /dev/net/tun
# End of modifications

apache:apache

Stefan — 2010-03-09T15:09:12+01:00

Apache

Der Apache HTTP Server ist ein (auf vielen Plattformen verbreiteter) Webserver und im Moment der meist eingesetzte Webserver ist. Er hat eine modulare Erweiterungsmöglichkeit und ist detailliert zu konfigurieren.

Apache Foundation Homepage

BSI Apache webserver sicherheitsstudie.pdf

oft benutzte Funktionen:

virtuelle Server
.htaccess Passwortschutz
WebDAV („Webordner“)
SSL (Verschlüsselung)
Mini-Apache (< 400 kB)
Apache Tuning
Perl-Skripte
siehe auch: Tomcat (Java-Integrationen)

Installation (allgemeingültig)

kompilieren aus den Quellen: entpacken (tar), ./configure, make, make install
oder als Paket installieren:

rpm-Paket: rpm -i PAKETDATEI.rpm bzw.
deb-Paket: dpkg -i PAKETDATEI.deb

Aus Repository(Verzeichnis von Paketen,Paketquelle): yast, yum, apt

Pakete für LAMP

In Ubuntu und Debian reicht eine Zeile für die verbreitete Kombination aus Apache, php(Version 5, die alte Version 4 wird ende 2007 nicht mehr unterstützt) und MySQL.

sudo aptitude install apache2 php5 mysql-server

Dabei werden die Abhängigkeiten korrekt aufgelöst, beispielweise das Modul für Apache (mod_php5 bzw. als Paket libapache2-mod-php5).

Der Dienst (daemon) Apache

Apache läuft als eigener Benutzer unter

Distribution	Benutzer	Gruppe
Suse	wwwrun	www
Debian	www-data	www-data

Konfiguration

Syntax gemachter Änderungen testen:

apache2 -t

bzw. bei Apache 1.x

apache -t

Dateien

/etc/apache2/httpd.conf

dort befindet sich allerdings bei den meisten Distribution nur eine fast leere Datei, die eigentlichen Einstellungen sind dann in apache2.conf (Ubuntu, Debian?) bzw. in default-server.conf (Suse).

Direktiven

Direktiven sind Konfigurationsanweisungen die das Verhalten des Webserver beeinflussen. Sie haben entweder globale oder lokale (z.B. bei einem virtuellen Webserver oder innerhalb einer .htaccess-Datei).

Verzeichnis der Direktiven

Wichtige Direktiven sind z.B.

Servername (gibt den FQDN auf dem der Server antwortet)
Listen (überschreibt den Servername, normalerweise steht hier nur der Port 80 drin), Wenn man den Apache nur lokal aufrufbar machen will sollte man (in ports.conf bei Debian, Ubuntu) Listen 127.0.0.1:80 reinschreiben
ServerRoot (Basispfad des Webservers)
DocumentRoot (Basispfad der Webseiten)

Je nach Distribution:

  /srv/www/htdocs/  (neuere Suse)
  /var/www/ (Debian, Ubuntu)
  /usr/local/httpd/htdocs/

Auflistung wichtiger Direktiven aus mod_core (immer verfügbare Kernfunktionen)

starten / neustarten / stoppen

Entweder mit apachectl

apachectl restart  OR apachectl graceful
apache2ctl restart  OR  apache2ctl graceful

oder über Initskripte:

/etc/init.d/apache2 reload

reload ⇒ Neuladen der Konfiguration ohne große Arbeitsunterbrechung, auch graceful benannt; stattdessen sind z.B. auch start, stop oder restart möglich.

Ort der Initskripte:

Distribution	Befehl
Suse	/etc/rc.d/apache[2] restart
Debian	/etc/init.d/apache[2] restart

Die Klammer [2] besagt natürlich nur, dass man hier entweder apache oder apache2 eingibt, je nachdem welche Version man einsetzt.

Anmerkung: Bei aktuellen OpenSuse-Distributionen ist rc.d ein Verweis auf init.d

Logdateien

Der Standard-Ort für Logdateien ist /var/log/apache2. Dort werden error.log (Fehler) und access.log (Seitenzugriffe) abgelegt.

Auswertung

logwatch
scanerrlog (Zusammenfassung der Fehler als text, html, xml, pdf)
mod_log_spread
mod_dosevasive

piped-logs

Eine Umleitung der Logdateien ist auch über Programme von Drittherstellern oder eigene shellscripten möglich.

Dazu muss ein Eintrag der Form

CustomLog "| /pfad/zur/programmdatei" common

angelegt werden. Dies kann z. B. ein simples Shellscript sein.

#/bin/bash
cat $@ >> access.log

Das angegebene Programm wird mit root-Rechten ausgeführt! Jedes Sicherheitsproblem ist hier kritisch. Auch Hintertüren lassen sich so platzieren.

Bei sehr vielen virtuellen Hosts und Logdateien könnte die Anzahl der Dateihandler nicht ausreichen. Apache benutzt selbst 20-30 plus 2 pro Log. Unter Linux sind 1024 Dateihandler möglich, falls dies nicht ausreicht kann man mit

ulimit -S -n 8192

die Anzahl auf 8192 anheben.

Protokollierung auf syslog

Apache kann seine Logdateien auf über syslog oder syslog-ng ausgeben. Gerade bei Web-Server-Clustern oder wenn man (berechtigterweise) vermutet dass ein Angreifer die Logs löscht, ist diese Konfiguration von Vorteil.

Fehlerlogs: Durch die Einstellung ErrorLog

ErrorLog syslog:local1

local1 ist die facility (Standard: local7).

Auf dem Zielhost leitet man die facility local1 in eine eigene Datei. Beachten sollte man allerdings, dass pro Abschnitt (z. B. pro virtuellem Host) nur eine Errorlog-Direktive ausgewertet wird. D.h. wenn die Errorlog an syslog gehen, dann ist lokal nichts da. Dies lässt sich allerdings mit einem Script umgehen.

Zuerst muss müssen wir allerdings die ErrorLog-Ausgabe an ein Script schicken:

ErrorLog "|/Pfad/zum/script.sh"

Das Zielscript teilt dann die Fehlerausgabe auf:

#/bin/sh
cat $@ | tee -a /var/log/apache2/error.log | logger -p local7.warn -t Apache2

Erklärung:

Das Programme cat nimmt die Ausgabe von Apache entgegen
tee hängt die Ausgabe an die Datei /var/log/apache2/error.log an
und letztendlich bekommt logger die Ausgabe von Apache durchgereicht und sendet diese an syslog/syslog-ng.

So hat man übrigens auch allgemein das Problem mehrerer ErrorLogs in Apache2 gelöst.

syslog-ng verändert das Format der Logs was die Auswertung schwieriger macht. Deshalb muss über ein Template das Format von syslog-ng verändert werden.

Transferlogs: Die Einstellung Transferlog bietet leider keinen direkten Weg zu syslog. Über eine Pipe geht es dennoch. Dazu muss man ein Skript schreiben, dass das lokale Protokoll beschreibt und zusätzlich mittels dem Programm logger zusätzlich an syslog(-ng) sendet.

Beispiel Quellcode:

#!/bin/sh
cat $@ | logger -p local7.notice -t Apache2

Da ein (virtueller) Host mehrere Transfer/CustomLog-Direktiven haben darf gibt man eine für die lokale Speicherung und eins für syslog(-ng) an.

Module

Wichtige Module sind

mod_php4 bzw. mod_php5 (php)
mod_ssl
mod_cache, disk_cache, mem_cache (die letzten beiden brauchen mod_cache sonst kommt die Meldung undefined symbol: ap_cache_cacheable_hdrs_out
mod_security ,Hinweise dazu auch hier.
mod_cband (Speed, Traffice-limitting) Manage Apache Download Speed And Traffic Limits With mod_cband
mod_athena (loadbalancing) klingt auch ganz nett.
mod_isapi - ISAPI Extensions within Apache for Windows

mount volumes for a user session

geladene Module anzeigen

auf der shell:
```
apache2 -t -D DUMP_MODULES
```
mit PHP:
```
<?php
print_r(apache_get_modules());
?>
```

Module (de)aktivieren

Apache bindet auch Module von anderen Programmierern ein, dazu muss man einen symbolischen Links (Erzeugung mit ln -s [Ziel] [Linkname]) von dem gewünschten Modul aus /etc/apache2/mods_available in /etc/apache2/mods-enabled anlegen (die Pfade können varrieren, aber seine Apache-Konfigurationsdateien sollte man schon suchen können).

Befehl	Beispielaufruf	Zweck des Programms
a2enmod / a2dismod	sudo a2enmod mod_python	(de-) aktiviert Module für Apache (Debian)
a2ensite / a2dissite	sudo a2ensite Konf1	(de-) aktiviert Sites für Apache (Debian)

URL-Rewriting (mod_rewrite)

mit mod_rewrite kann man nur schwer lesbare URLs in angenehmere umwandeln und auch Suchmaschinen eine bessere Indizierung ermöglichen.

permanente Umzüge

Wenn man eine Domain oder eine Seite auf eine neue URL umziehen lässt, sollte man korrekt den HTTP-Status 301 (moved permanently) senden. Dann werden sich auch Suchmaschinen die neue URL merken und man bleibt im Suchindex.

Die folgendene Konfiguration kann man global in der Apache-Konfiguration einstellen oder in einer .htaccess-Datei im Stammverzeichnis hinterlegen.

RewriteEngine On
RewriteRule ^(.*)$ http://www.NEUE-SEITE.de/$1 [R=301,L]
RewriteRule .+ http://www.NEUE-SEITE.de/ [R=301,L]

Wenn rigeros alle (alten) URLs auf die neue Startseite gehen sollen:

RewriteEngine On
RedirectMatch (.*) http://www.NEUE-SEITE.de [R=301,L]

Security

mod_security

CGI und Perl

Perl Intro Links zu Perl CGI and Perl

Apache(2) Tools

dbench (disk) and tbench (TCP) benchmarks

Im Paket apache2-utils sind einige sehr nützliche Programme enthalten:

ab (Apache benchmark tool)
logresolve (Resolve IP addresses to hostname in logfiles)
htpasswd (Manipulate basic authentication files)
htdigest (Manipulate digest authentication files)
dbmmanage (Manipulate basic authentication files in DBM format, using perl)
htdbm (Manipulate basic authentication files in DBM format, using APR)
rotatelogs (Periodically stop writing to a logfile and open a new one)
split-logfile (Split a single log including multiple vhosts)
checkgid (Checks whether the caller can setgid to the specified group)
check_forensic (Extract mod_log_forensic output from apache log files)

Windows

http://www.patshaping.de/hilfen_ta/webserver/apache.htm

linux:iptables

Stefan — 2010-03-09T14:56:02+01:00

Netfilter / Iptables

Netfilter ist eine Firewall innerhalb des Linux-Kernels.

Einstellungen ausgeben:

/sbin/iptables -L -n -v

Konfigurationswerkzeuge

Firewallbuilder | Anleitung

bastille

Tools

Wenn das Modul ip_conntrack geladen ist (wenn nicht: nachholen mit sudo modprobe ip_conntrack ) kann man die aktuelle Verbindungstabelle mit iptstate ausgeben:

sudo iptstate

(benötigt CONFIG_NF_CT_NETLINK in Kernel Config).

netzwerke:zigbee - angelegt

Stefan — 2010-03-08T23:25:03+01:00

Zigbee

Der Standard IEEE 802.15.4 (Zigbee) beschreibt ein Übertragungsprotokoll für Wireless Personal Area Networks (WPAN). Er definiert die untersten beiden Schichten des OSI-Modells, den Bitübertragungs- und den MAC-Layer. Höhere Protokollebenen mit Funktionen zum Routing und einer Anwendungsschnittstelle obliegen anderen Standards für Funknetze wie ZigBee. Wesentliche Entwicklungsziele für das Protokoll sind geringe Leistungsaufnahme für einen langen Betrieb über Batterieversorgung, kostengünstige Hardware, sichere Übertragung, Nutzung der lizenzfreien ISM-Bänder und Parallelbetrieb mit anderen Sendern auf diesen Frequenzen, insbesondere WLAN und Bluetooth. Durch diese Eigenschaften eignet sich der Standard IEEE 802.15.4 vor allem für drahtlose Sensornetze (WSN). Quelle: Wikipedia.

netzwerke:protokolle

Stefan — 2010-03-08T23:19:10+01:00

Netzwerkprotokolle

Einsatzgebiete Bewertung Schicht des OSI/ISO-Modells

Protokoll	(Standard-) Port	verschlüsselte Variante
AFS
BGP
BootP
DNS
FTP	20 TCP (Daten), 21 TCP (Befehle)	FTP over SSL: 989 tcp (FTPs-Daten), 990 TCP (FTPs-Befehle): SSL
HTTP(S)	80 TCP	443 TCP (HTTPS): SSL und TLS
ICMP
IGMP
IMAP	143 TCP	993 TCP (verschlüsselt): SSL und TLS
IPSec
Kerberos
LDAP
NFS
NNTP
NTP
POP3
RADIUS
RDP
RFB
SMB bzw. CIFS
SMTP
SNMP
SSH	22
SSL und TLS
TCP/IP	22
TFTP	69 UDP
WINS
Zigbee

Remote Framebuffer Protocol (von VNC benutzt)

* Bittorrent

POP3 (Post office Protocoll v.3): Protokoll zum Abholen von eMails
IMAP (Internet Message Access Protocol): zum Abrufen von eMails, die eMails bleiben auf dem Server
SMTP (Simple Mail Transfer Protocol): zum Versand von eMails

Unterschiede zwischen TCP und UDP

(fertig machen)

TCP
UDP
- verbindungs- und zustandslos: Paketverluste werden nicht durch Neuübertragung korrigiert
- minimiert den Verwaltungaufwand („overhead“), dadurch erhöhte Performance

windows:windows-probleme

Stefan — 2010-03-08T16:44:19+01:00

Windows Probleme

dies ist eine kleine Aufstellung praktische Unzulänglichkeiten. Natürlich kann man mit den richtigen Tools einige der nicht grundsätzlichen Probleme beheben.

kein zentrales Updatesystem bzw. nur für Microsoft-Software (jede Anwendung nervt mit eigenem Updateprogrammen) siehe Updates für Alle
Speicherverbrauch (besondern krass: Vista. Unter 1 GB geht zum arbeiten nicht viel). Statt daran zu arbeiten erfindet Microsoft Sachen wie ReadyBoost um Sticks als Cache zu benutzen. Der wird dann auch noch verschlüsselt ¹⁾ was dann aber wiederum Rechenzeit kostet. Der Arbeitsspeicher wird natürlich nicht erweitert, da auch ein USB-Stick zu langsam als Arbeitsspeicher ist. Win7 verhält sich deutlich sparsamer belegt allerdings immer noch zuviel Speicher (der nicht als Cache oder Stand-by gekennzeichnet ist) der bei wenig Speicher plötzlich doch zur Verfügung steht.
Windows geht beim Bevormunden des Benutzers zu weit: Ordnernamen werden gnadenlos eingedeutscht, in Vista sogar noch extremer, da sich die Ablageverzeichnissen geändert haben. Tatsächlich sind die Ordner englisch auf der Festplatte.
Neustarts sind (immer noch) viel zu oft nötig (Grund ist das Dateilocking, s. u.)
das Updateprogramm zwingt zum Neustart, vorher nervt es rum
der Internet Explorer (auch als Internet Exploiter bezeichnet) ist gleichzeitig Dateimanager, Desktopmanager und Browser (konzeptionelle Sicherheitslücke)
der Internet Explorer hängt permanent den W3C-Standards hinterher (ebenso mit der Javascript-performance)
durch Active-X-Controls können böswillige Seiten nach einer Sicherheitsabfrage (die Benutzer eh nicht verstehen) im Browser bequem Programme mit den Rechten des Benutzers ausführen
laufend offene Sicherheitslücken die dann erst Wochen bis Monate später gefixt werden (wie ist noch der Standardtext: “…bis zum Erscheinen des Patches wird empfohlen keine unsicheren Seiten zu besuchen.“ ) Aktuelle Lücken: siehe hier und hier.
das Dateisystem NTFS fragmentiert stark, weil alle Dateien an den Anfang der Festplatte gelegt werden). Moderne Dateisysteme verteilen die Daten gleichmäßig auf der Platte und packen nicht linear alle Datei hintereinander an den Anfang.
die Dokumentation ist dürftig, die Hilfe gibt nur allgemeine Informationen
nerviges Dateilocking: man kann keine Dateien löschen die in Benutzung sind (Grund: Windows lockt die Dateien die geöffnet sind, d. h. solche die einen file handle haben, das ist auch der Grund warum Windows oft Neustarts braucht). Moderne Systeme stört das nicht und Programme müssen einen gleichzeitigen Zugriff berücksichtigen.
keine virtuellen Desktops (mit dem Fenstergruppieren kann doch keiner produktiv arbeiten)
Erkennung der Dateitypen findet auschließlich anhand der Dateiendungen statt, umbenennen heißt: Dateityp unbekannt. (moderne Systeme erkennen am MIME-Typ oder charakteristischen Zeichenketten den Dateityp)
Integration von Standards schlecht (SSH gar nicht, WebDAV sehr langsam, FTP so halbwegs, Subversion nur über Drittanbieter)
unnötige Wartezeiten bei der Arbeit im LAN (wenn ein Computer oder Drucker nicht mehr verfügbar ist, kann man zwangsläufig für 30sek im Explorer nichts mehr machen; das Durchsuchen von Netzwerken dauert lange, teilweise ist erst nach einigen Minuten überhaupt alles zu sehen. Devise: Warten und hoffen.)
das Standard-protokoll für Freigabe (hieß früher SMB, jetzt CIFS = „Common Internet File System“) ist für langsame(re) WAN-Verbindungen nicht geeignet, CIFS ist ein reiner Marketingname, es ist weder allgemein gebräuchlich („common“) noch wird es im Internet benutzt, noch ist es tatsächlich ein Dateisystem („File System“).
nervige Meldungen und Pop-up Fenster (Beispiel: Der Assistent für unbenutzte Icons auf dem Bildschirm, die Tastatur-sprachumschaltung: Tauscht überhaupt jemand regelmäßig seine Tastaturen gegen ausländische Modelle aus???)
unsinnige Standardvorgaben (Dateiendungen ausblenden bei bekannten Dateitypen und Ansichten werden für jeden Ordner einzeln gespeichert)
die Systemlogs sind kaum zu gebrauchen (wenn überhaupt kann man mit den Event-IDs nur im Internet nachschauen bzw. in der know-something-base
es ist nicht möglich einen Datenträger schreibgeschützt zu benutzen (z. B. für forensische Analysen) weil Windows selbstständig neuerkannte Datenträger sofort einhängt, auch bei der Installation lassen sich NTFS-Partitionen nicht vom Zugriff ausschließen (WinXP weigert sich übrigens auch sich auf von Win7 erstellte NTFS-Partitionen zu installieren).
ineffiziente Caches, die Auslagerungsdatei wird (unötigerweise z. B. für Kernelspace-auslagerungen) sehr früh benutzt um mehr Cache anbieten zu können.
Der Explorer bricht bei einer Kopieraktion nach einem Fehler bei einer Datei den kompletten Kopiervorgang ab, kein überspringen möglich (Vista? Win7?)
servergespeicherte Profile können nicht gleichzeitig für Win 2000/XP und Vista-Arbeitsplätze gelten, da mit Vista ein neues Format existiert (es wird “.V2“ nach dem Benuternamen angehängt)

¹⁾ notwendig weil der Stick sensible Daten des Arbeitsspeichers enthält und abgezogen werden kann

netzwerke:dns

Stefan — 2010-03-08T16:39:43+01:00

DNS

Das Domain Name System (DNS) ist einer der wichtigsten Dienste im Netzwerk/Internet. Seine Hauptaufgabe ist die Umsetzung von „Internetadressen“ in die zugehörige IP-Adresse. DNS-Anfragen sind vom Client nicht Verifizierbar und außerdem angreifbar (DNS-Poisoning. Lösung: DNSSEC einsetzen.

Eine oft eingesetzte DNS-Server-Software ist Bind, mit deutlich weniger Komplexität (aber auch weniger Funktionen) kommt dnsmasq aus. Bei selbst betreuten DNS-Servern sollte man Zonentransfers auf authorisierte Hosts beschränken.

Wenn man lokalen DNS-Servern nicht traut (DNS-Poisoning) kann man auch öffentliche DNS-Server wie OpenDNS (IPs: 208.67.222.222 und 208.67.220.220) einsetzen.

Per DNS lässt sich auch der Proxy mitteilen (per Web Proxy Autodiscovery Protocol (WPAD), siehe ValentinHaenel: Web Proxy Automatic Discovery.

Abfragetypen
interative Abfrage	Der DNS-Server gibt die bestmögliche Antwort zurück, die er ohne die Hilfe anderer Server bereitstellen kann
rekursive Abfrage	Der DNS-Server gibt eine vollständige Antwort auf die Abfrage und nicht nur einen Verweis auf einen anderen Server zurück

Lookuptypen
forward-lookup	Auflösung von Namen in Adressen: dig kuchling.de (veraltet bzw. bei Windows: nslookup kuchling.de
reverse-lookup	Auflösung von Adressen in Namen: dig -x 85.25.136.135 veraltet bzw. bei Windows: nslookup 85.25.136.135

Lookuptypen

forward-lookup

Auflösung von Namen in Adressen:

dig kuchling.de

(veraltet bzw. bei Windows:

nslookup kuchling.de

reverse-lookup

Auflösung von Adressen in Namen:

dig -x 85.25.136.135

veraltet bzw. bei Windows:

nslookup 85.25.136.135

DNS-Namen für dynamische IP

Für den Betrieb von Serverdiensten ist in den meisten Fällen ein DNS-Name zugewiesen, der auf eine feste IP zeigt. Wenn keine feste IP möglich ist, z. B. bei einem Einwahlzugang, und sich die dynamische IP somit in (un)regelmäßigen ändert, muss man auf einen DynDNS-Anbieter zurückgreifen.

Üblicherweise wird durch eine Client-Software die neue (z.B durch Zwangstrennung geänderte) IP-Adresse gemeldet, so dass der Dienst schnell wieder unter der neuen IP-Adresse zur Verfügung steht.

Linux: ddclient, …
Windows: DynDNServ, Update-Client von DynDNS, …
Mac: DynDNS Updater for Mac, …

Konfiguration

http://www.dnswatch.info/ http://zonecheck.denic.de/zonecheck/

Wikipedia - Kategorie:Domain_Name_System

Typ	Bedeutung	Eintrag
SOA	Start Of Authority	Verschiedene Parameter für die Zone, die der Nameserver verwalten soll.
A	Address	Die Adresse eines Internet Hosts (Verknüpfung einer Domain mit einer bestimmten IP-Adresse).
AAAA-Record	IPv6 pendant zum A-Record unter IPv4.
MX	Mail Exchange	Die Priorität und Name des Mailservers der Domain. Abfrage mit `dig -t mx DOMAIN` Achtung: Ein MX-Record darf auschließlich „canonical names“ (d. h. einen Hostnamen/FQHN der einen A record hat) enthalten.
NS	Name Server	Name eines Nameservers der Domain (auch: Weiterleitung der Nameserveranfragen an einen anderen Nameserver).
CNAME	Canonical Name	Domainname eines Rechners (Aliasfunktion: Verknüpfung einer Subdomain mit einer anderen Subdomain).
PTR	Pointer	Alias für eine numerische IP-Adresse (benutzt für Reverse-lookup)
HINFO	Host Information	ASCII Beschreibung des Hosts (CPU, OS, …)
TXT	Text - Nicht verwertbarer Text - Kommentar
SPF-Record	Eintrag für das „Sender Policy Framework“ (Anti-Spam-Modell).
SRV-Records	Einträge für VoIP

* SOA-Resource-Record: Autoritätsursprung

falsche DNS-Konfiguration (localhost. IN A 127.0.0.1 ohne den Punkt nach localhost) erlaubt Angriffe Common DNS Misconfiguration can Lead to "same Site" Scripting

Zonen

Bei DNS bezeichnet Zone den Teil des Domänenbaums, für die ein Nameserver (im Folgenden auch NS) zuständig ist und deshalb die offiziellen Daten kennt. Eine Zone wird durch einen Primary Nameserver verwaltet. Zur Erhöhung der Verfügbarkeit bei Server-Ausfällen ist es üblich, eine Zone auf einen oder mehrere Secondary Nameserver zu spiegeln.

Zonentypen
primäre Zone	lese und schreibbar
sekundäre Zone	liest/spiegelt die Daten der primären Zone zur Ausfallsicherheit
Windows-spezifisch	in Active-Directory integriert

Unterschied zwischen Domäne und Zone

Eine Domäne umfasst den gesamten untergeordneten DNS Namensraum. Der Begriff Domäne wird auch verwendet, wenn man sich auf den Inhalt (Welche Namen enthält eine Domäne?) oder die Eigentumsrechte (Für wen ist eine Domäne registriert?) bezieht.

Eine Domäne kann in mehrere Zonen aufgeteilt werden, indem man die Zuständigkeit für Subdomains delegiert. Von einer Zone spricht man auch, wenn man die physische Realisierung meint – also auf welchem Server und in welcher Zonendatei liegen die DNS-Einträge.

Zonentransfer

Zonentransfer bezeichnet beim Domain Name System (DNS) die Übertragung von Zonen auf einen anderen Server.

Da ein DNS-Ausfall für ein Unternehmen meist gravierende Folgen hat, werden die DNS-Daten – also die Zonendateien – fast ausnahmslos identisch auf mehreren Nameservern gehalten. Bei Änderungen muss sichergestellt sein, dass alle Server den gleichen Datenbestand besitzen. Die Synchronisation zwischen den beteiligten Servern wird durch den Zonentransfer realisiert. Der Zonentransfer beinhaltet nicht nur das bloße Übertragen von Dateien oder Sätzen, sondern auch das Erkennen von Abweichungen in den Datenbeständen der beteiligten Server.

Er kann mit dem Befehl host -l durchgeführt werden.

Zonendatei

Eine Zonendatei ist Teil der Konfiguration eines Nameserverdienstes (z.B. BIND) für das Domain Name System. Sie besteht aus einer Liste von Resource Records (RR). Eine Zonendatei beschreibt eine Zone vollständig. Es muss genau ein SOA Resource Record und mindestens ein NS Resource Record vorhanden sein. Der SOA-RR befindet sich meist am Anfang einer Zonendatei.

DNSSEC

Gegen Angriffe wie DNS-poisoning hilft DNSSEC.

Cache-Poisoning-Gefahr heizt DNSSEC-Debatte an

programmiersprachen:rosettastone-c-php-vba

Stefan — 2010-03-07T05:16:09+01:00

Stein von Rosetta für Programmiersprachen

Der “Stein_von_Rosetta für oft benutzte Programmiersprachen“ soll einen kurzen Vergleich bieten, damit man beim umsteigen immer mal schnell nachgucken kann.

http://openwiki.com/ow.asp?VisualBasicCeePlusPlusRosettaStone#h5

(Objekte)

[in eckigen Klammern sind optionale Zusätze]

Struktur	Bash	C/C++	PHP	VB(A)
Variablenverwendung (a ist der Variablenname)	$a	a	$a	a
Deklarieren	nicht nötig (aber möglich mit “`declare a`“), Datentyp wird bei der ersten Benutzung deklariert.	int a;	nicht nötig, Datentyp wird bei der ersten Benutzung deklariert	Dim a as integer
Initialisieren	a = 10	init a = 10;	$a = 10;	a = 10
globale
statische
Arrays	$var[0]=„erster Wert“		$var[0]=„erster Wert“;
Entscheidung (Alternative)	if Bedingung then Code else Code2 fi ¹⁾	(C)	if (Bedingung) { Code } elseif (Bed.2) { Code2 else { Code3 }	if [Not] Bedingung [And Bedingung] Then Anweisung Else Anweisung Endif
Fallauswahl (Selektion)	case $var in ausdruck1) Codeblock wenn var = ausdruck1 ;; *) Codeblock allgemeiner Fall ;; esac			Select Case Variable Case 1 Anweisung Case 2 Anweisung Case Else Anweisung
Wiederholung (Repetition, Schleife)
zählergesteuert				For i = 1 To 1000 [step +1] Anweisung [Exit For] FIXME Next i
für alle Elemente einer Liste (Array)	for i in a b c do echo i done	nicht in Sprache enthalten, C braucht Makros²⁾ mit C++ gehts nit std::vector ³⁾	foreach ($array as $value) { echo "Der aktuelle Wert ist: " . $value . "<br>"; }
Bedingungsprüfung
voran- (Kopf)	until Befehl ⁴⁾ do Befehlsblock done Alternativ: while Befehl ⁵⁾ do Befehlsblock done
nachfolgend (Fußgesteuert)
Kommentare
einzeilige	# Kommentar	//	//	'
mehrzeilige	(gibts nicht)	/* Kommentar */	/* Kommentar */	(gibts nicht)

Wohin?

for each Element in A
Next

Abkürzungen	Bedeutung
Bed.	Bedingung(en)
Anw.	Anweisung(en)

Datentypen / Wertebereich	C/C++	PHP	VB(A)
int
long int
float
double
string
boolean

Funktionsname zur Überprüfung des Datentyps	C/C++	PHP	VB(A)

¹⁾ beliebige Verschachtelung mit if-then-elif-then-else-fi möglich.

²⁾ http://stackoverflow.com/questions/400951/c-foreach-or-similar

³⁾ http://www.freak-und-informatiker.de/2007/12/15/foreach-und-c/

⁴⁾ solange Exitstatus des Befehls ungleich 0

⁵⁾ solange Exitstatus des Befehls gleich 0 ist.

programmiersprachen:python

Stefan — 2010-03-06T17:55:44+01:00

Python

Python ist ein plattformunabhängige Skriptsprache in der man schnell, einfach und leicht programmieren kann. Auch auf Webservern wird es benutzt.

Dokumentation finden

Kommentare im Quellcode
Informationen über Attribute anzeigen mit der dir()-Funktion, z. B.
```
dir(str)
```
Docstrings: __doc__ z. B.
```
import sys
print sys.__doc__
```
PyDoc - bereitet docstrings auf:
```
import sys
help(sys.modules)
```
Es existiert mit dem skript pydocgui (bzw. auf Windows der Eintrag „Module Docs“ im Startmenu) auch eine Ausgabe in HTML

Anleitungen

Entwicklungsumgebungen (IDE)

IDLE: mitgeliefert, baut auf dem portablen Tkinter auf, sieht allerdings auch dementsprechend schlicht aus.
PyDev: Python IDE für Eclipse
Komodo (kommerziell)
Wing IDE, kostenlose Varianten für den privaten Gebrauch verfügbar (Wing IDE Personal oder Wing IDE 101)
PythonWin: kostenlos und und Windows-spezifischen Erweiterungen (Win32 API und COM-Supoort); auch zusammen in einem Paket mit Python
DreamPie

Python-Interpreter

Nach dem Aufruf des Interpreters übersetzt der den Quelltext in maschienenunabhängigen Bytecode (abgespeichert hat er die Dateiendung .pyc) der dann zur Laufzeit von der Python virtual machine (PVM) ausgeführt wird.

Syntax-Regeln

Einrückungen sind nicht optional sondern Teil der Syntax!
die Reihenfolge der Anweisungen richtet sich danach was hintereinander steht, außer es wird durch Kontrolflussanweisungen (if-Konstrukte etc.) anders bestimmt.
Blöcke und Anweisungsgrenzen werden anhand von normalen Zeilenumbrüchen und Einrückungen erkannt
Verbundanweisungen werden durch eine Kopfzeile (z.B. „if x:“) und natürlich durch Einrückungen der folgenden Zeilen bestimmt
Leerzeichen in Anweisungen und Ausdrücken werden ignoriert, außer in Strings und bei Einrückungen
Leerzeilenwerden in Dateien ignoriert, nur in der interaktiven Eingabe nicht
Kommentare
1. einzeilig: (mit Raute “#“ gekennzeichnet) Text wird bis zum Zeilenende ignoriert
2. mehrzeilig: (mit drei Anführungzeichen “““ gekennzeichnet) Text wird bis zu den nächsten drei Anführungszeichen ignoriert
Dokumentationsstring (kurz docstrings) werden ignoriert aber von einigen Programmen angezeigt
1. docstrings sind der erste Text der in einem Objekt oder einer Funktion.
```
import sys
print sys.__doc__
```
2. PyDoc zeigt die docstrings noch einfacher an:
```
import sys
help(sys)
```
  Eine Ausgabe ist übrigens auch in html möglich.

Programme ausführen

Vorraussetzung: Ein Python-Interpreter ist auf dem System und im Suchpfad erreichbar.

interaktiv: python (Prompt wechselt zu “>>>“, bei mehrzeiligen Anweisungen, die mit einem einfachen Backslash „\“ am Zeilenende (oder mit drei Anführungszeichen) markiert werden, in “…“) hier gibt es ein paar Besonderheiten:
- nur Python-Code eingeben, keine Systemkommandos
- print anweisungen sind hier nicht explizit nötig, statt „print 'variable' “ reicht „variable“
- keine Einrückungen verwenden, führende Leerzeichen führen zu Fehlern
Aufruf des Interpreters für eine Datei.py: „python Datei.py“ unter Windows schließt sich die Eingabeaufforderung nachdem das Programm fertig ist, um das zu umgehen könnte man am Ende ein
```
raw_input()
```
hinzufügen das auf einen Tastendruck wartet. Bricht allerdings das Programm vorher unerwartet mit einem Fehler ab, wird diese letzte Anweisung nicht mehr ausgeführt.
Linux: ausführbare Textdatei mit entsprechendem Vorspann entsprechend formulieren (unicode):
```
#!/usr/bin/env python
# -*- coding: utf-8 -*
```
die erste Zeile kann auch spezifischer sein, ist dann allerdings nicht mehr so gut portabel!
```
#!/usr/bin/python2.6
```

Implementierungen

CPython: Referenzimplementierung, in portablem ANSI C geschrieben, und standardmäßig eingesetzt
Jpython: in Java implementiert, Quellcode wird in Java-Bytecode übersetzt und dieser dann in der Java virtual machine (JVM) ausgeführt. Damit verhalten sie Programme wie in Java geschrieben und können dementsprechend als Web-Applets und -Servlets fungieren ebenso die GUI-Elemente nutzen. Langsamer und weniger robust als CPython.
Ironpython: Ermöglicht eine Integration in das .Net-Framework
Psyco: Verhält sich anfangs ähnlich einer normalen PVM, ersetzt aber zur Laufzeit immer mehr Teile in maschinencode so dass Programme mit steigender Laufzeit immer performanter werden und sich der Geschwindigkeit von C annähern.
PyPy: PVM in einer Untermenge von Python (Restricted Python) implementiert um als Framework die Übersetzung beliebiger Skriptsprachen in schnelle Zielsprache zu ermöglichen.
Binärdateien erzeugen : Windows: py2exe MacOS py2app und freeze für Unix-artige Systeme.

Sprachelemente

Kommentare:

einzeilig: # Kommentar
mehrezeilig: “““ Kommentar “““

Programmstruktur

Programme → Module → Anweisungen → Ausdrücke → bilden und verarbeiten Objekte

Variablen sind immer Zeiger auf unveränderliche Objekte, Ausnahmen sind u.a. Listen und Dictionaries wo Objekte an Ort und Stelle verändert werden. Nicht mehr benutzte Objekte werden freigegeben (garbage collection). Der Typ einer Variable kann mit type ausgegeben werden:

 type(Variable)

Kategorien von Typen (und Operationen)

Es gibt 3 Kategorien von Typen (und Operationen):

Abbildungen: Indizierung durch Schlüssel etc.
Sequenzen: unterstützt werden Indizierung, Verkettung, Teilbereiche etc.
Zahlen: unterstützt werden Addition, Multiplikikation etc.

Dabei unterscheiden sich

veränderliche Typen die an Ort und Stelle geändert werden können und
unveränderliche Typen für deren Änderung ein neues Objekt erzeugt werden muss.

Typen

Objekttyp	(Erzeugungs-) Beispiele
Zahlen ¹⁾²⁾
Normale Ganzzahl ³⁾	1234, -48, 0
Lange Ganzzahl ⁴⁾	99999999999999999L
Fließkommazahl ⁵⁾	1.23, 3.14e-10, 5E123, 5.0e+234
Oktale und Hexadezimale Literale ⁶⁾	0167, 0xf3f, 0XFF
Komplexe Zahlen ⁷⁾)	3+4j, 3.0+4.0j, 3J
Strings (=Zeichenketten)
Leerer String	a = ''
einfache und doppelte Anführungszeichen: kennzeichnen Text, beide Varianten sind gleichwertig ⁸⁾	„text“ oder 'text'
dreifache Anführungszeichen: beliebig lange Texte	print """ erste Zeile zweite Zeile """
Escape-sequenzen	print "Anführungszeichen \" sind toll " spezielle Zeichen wie \n für Zeilenumbruch oder \t für Tabulator gelten außerdem
rohe strings (python escaped automatisch)	pfad = r'C:\ordner\datei.txt'
Unicode strings ⁹⁾	u'deutsche Umlaute in unicode: öäü'
Listen - eine Sammlung beliebiger Objektarten
Zugriff auf einzelne Elemente	print liste[0]
Listen reagieren bei Operatoren ähnlich wie Strings
Länge bestimmen	len([1, 2, 3]) ergibt drei
Verkettung	[1, 2, 3] * [4, 5, 6] ergibt [1, 2, 3, 4, 5, 6]
Enthalten?	3 in [1, 2, 3] ergibt „True“
Iteration	for x in [1, 2, 3]: print x
Dictionaries (=Wörterbücher)

Tupel

Dateien

Mengen

explizite Typumwandlung:

als Zahl: int(23)
als String: str(23)
als float: float(„1.234E-100“)
…

Operationen

Ausdrucksoperatoren:

einfache Arithmetik: + * / -
Potenzierung: (2 hoch 100)
```
print 2 ** 100
```
>>
Verkettung |
```
print 'hello ' + 'world'
```
…

if-Anweisung

einfachster Fall:
```
if x == 1:
  print "x ist gleich 1."
```

komplexester Fall mit allen optionalen Bestandteilen:

if x == 1:
  print "x ist gleich 1."
elif x == 0
  print "x ist gleich 0."
else:
  print "x ist weder 1 noch 0."

Mehrfach-Verzweigung (ähnlich switch/case in anderen Sprachen) sind mit „elif“ Konstrukten (s. o.) abbildbar, zusätzlich kann das durch Indizierung in Dictionaries oder Suche in Listen evtl. flexibler gestaltet werden:
```
auswahl = "Hilfe"
print {"keineHilfe": 0,
"Hilfe": 1,
"Sonstiges": 9}[auswahl]
```

Standardwert setzen - mit has_key() oder get():

auswahl = {"keineHilfe": 0,
"Hilfe": 1,
"egal": 3}
print auswahl.get("Antwort nicht enthalten", "Sonstiges")

Schleifen

Folgende zwei Schleifenkonstrukte sind die wichtigsten, es gibt noch allerdings noch andere Funktionen wie map, reduce, filter, den Elementtest mit in, List Comprehensions usw.

while-Schleife: führt immer wieder einen Block solange die Bedingung in Kopfzeile erfüllt ist (ein wahren Wert ergibt). Wenn er anfangs nicht erfüllt ist, wird nichts ausgeführt also spricht man von einer kopfgesteuerten Schleife.
- continue - springt zur Kopfzeile der innersten Schleife
- Beispiel:
```
a = 0
while a < 10:
    a = a + 1   # Kurzschreibweise: a += 1    
    if a == 5:
        print "die 5 gebe ich nicht aus!"
        continue
    print a
else:
    print "Schleife normal beendet"
```
- break - springt aus der innersten Schleife heraus: Beispiel wo die Schleife nicht normal beendet wird, weil bei der 5 abgebrochen wird
```
a = 0
while a < 10:
    a = a + 1   # Kurzschreibweise: a += 1    
    if a == 5:
        print "die 5 gebe ich nicht aus!"
        break
    print a
else:
    print "Schleife normal beendet"
```
- pass - tut nichts, dient als Platzhalter
- „else:“ Block nach Schleife: wird ausgeführt wenn Schleife normal beendet wird (ohne break)
for-Schleife: läuft über alle Elemente eines geordneten (Sequenz-) Objekts (z. B. Strings, Listen und Tupel)
- Beispiel:
```
for a in ["erster " "zweiter " "dritter"]:
  print a
```
- mit range, xrange und zip können Indices für Zählschleifen generiert werden
- umgekehrte Iteration gehen mit reverse

Funktionen

beim Aufruf:

Normales Argument kommen mit dieser Positionierung in der Funktion an:
```
funktionsname(wert1, wert2)
```

Argumente mit Namensangabe

funktionsname(argument1=wert1, argument2=wert2)

in diesem Fall gleichbedeutend:

funktionsname(argument2=wert2, argument1=wert1)

in der Funktionsdeklaration:

normales Argument, Vergleich nach Name oder Position:
```
def funktion(wert)
```
Parameter (name) hat Vorgabewert (wert) falls keiner übergeben wurde:
```
def funktion(name=wert)
```
Verbleibende Argumente in ein Tupel speichern:
```
def funktion(*tupel)
```
Verbleibende Argumente in ein dictionary speichern
```
def funktion(**dict)
```

Eine Sonderform ist der lamba-Ausdruck, er wird oft als inline-Funktion benutzt. Damit können Funktionen an Stellen aufgerufen werden, wo sonst kein „def“ erlaubt wäre.

Anstatt (Ein- und Ausgabe der interaktiven Shell):

>>> def function(a, b, c): return a + b + c
... 
>>> function(1, 2, 3)
6

geht genauso:

>>> rechne = lambda a, b, c: a + b + c
>>> rechne
<function <lambda> at 0x87096f4>
>>> rechne(1, 2, 3)
6

Module

(Umfang)

Import von Modulen

Dateiendungen und Pfade müssen weggelassen werden
jede .py-Datei kann als Modul importiert werden:
```
import modulename
```
ein import findet nur bei ersten mal statt, ein erneuter Import muss so erfolgen:
```
reload (modulename)
```

Integration in Webserver

Apache2 Konfiguration (mod_python)

Siehe auch: Mod_python Manual und Introducing mod_python.

Zuerst muss einmal mod_python

installiert
aktiviert sein (a2enmod mod_python)
und für die Verarbeitung von .py-Dateien benutzt werden. Um für das Verzeichnis /var/www/pythondir Python zu aktivieren, braucht es nur wenig Code:

<Directory /var/www/pythondir> 
  AddHandler mod_python .py
</Directory>

Natürlich kann man mod_python auch global aktivieren, dann lässt man die Einschränkung auf ein einziges Verzeichnis eben weg.

Andere Optionen (z.B. PythonHandler Dateiname (ohne .py); PythonDebug On usw.) sind auch möglich.

¹⁾ Zahlen haben bei CPython die gleiche Genauigkeit wie der Compiler der den Python-Interpreter erstellt hat

²⁾ Erweiterung NumPy bietet zusätzliche Werkzeuge und z. B. einen Matrix-Datentypen

³⁾ in C: long; intern als C-longs implementiert, d.h. mindestens 32Bit

⁴⁾ unbegrenzt; L seit Python 2.2 nicht mehr nötig da Zahlen automatisch von normal in lange Zahlen konvertiert werden

⁵⁾ e oder E kennzeichnet den Exponenten mit oder ohne Vorzeichen; intern als C-double implementiert

⁶⁾ Klein oder Großbuchstaben sind gleichwertig

⁷⁾ Realteil (optional) + Imaginärteil (endet of j oder J

⁸⁾ können aber auch benutzt werden um das jeweils andere Zeichen als Teil des strings zu kennzeichnen

print ' dieses Anführungszeichen " ist Teil des strings'

⁹⁾ ab python 3 sind alle strings unicode; auch wide-character strings genannt. Explizite Konvertierung von unicode zu normal mit

str(u'unicodetext)

bzw. von normal nach unicode:

unicode ('normal')

linux:kernel

Stefan — 2010-03-06T17:43:21+01:00

Kernel

Der Linux-Kernel ist der urspünglich von Linux Torvalds programmierte Kern und damit das Herzstück des Linuxsystem. Im allgemeinen Sprachgebrauch ist der Linux-Kernel auch der Namensgeber, da jedoch die ursprünglichen Zusatzprogramme von GNU programmiert wurden, besteht Richard M. Stallmann (der Gründer der [http://www.fsf.org|FSF]]) immer auf der Bezeichnung GNU/Linux.

Der Linuxkernel kann statisch (monolitisch) aufgebaut sein, d.h. alle benötigten Module sind fest einkompiliert, weit häufiger ist er jedoch modular gehalten, was die Möglichkeit bietet zur Laufzeit Module (und Funktionen) nachzuladen und somit den Kernel klein zu halten. Fast alle Distributionen setzten heute modulare Kernel ein.

Bei den Kernelversionen hat die mittlere Nummer eine besondere Aussagekraft: gerade Nummern (2.4.x, 2.6.x) sind stabile Anwenderkernel, ungerade (2.1.x, 2.3.x) instabile Entwicklerkernel. Mit der Kernelreihe 2.6 wird dieses Schema aufgeweicht. Sie wird vom maintainer (=Projektbetreuer und Hauptverantwortlicher) Andrew Morton betreut.

In der aktuellen 2.6.x-Version gibt es vier Hauptbäume:

main 2.6.x (Linux Torvalds Vanilla-Kernel)
2.6.x.y-stable (sehr stabil, Fokus auf Bugfixes)
2.6.x-git (experimenteller, täglicher Snapshot von Linux Torvalds Kernel-tree)
2.6.x-mm (neue und ungeteste Änderungen, diese wandern später in Linux Torvalds Kernel-tree ; Betreuer Andrew Morton).

Kernelkompililation

Einen eigenen Kernel kompilieren macht Sinn, wenn man sich sein System exakt an seine Bedürfnisse anpassen möchte. Also spezielle Optionen braucht oder einige Teile rauswerfen will (die im Standardkernel der jeweiligen Distribution enthalten sind). Außerdem ist fast immer nicht der neueste Kernel dabei, so dass man für manche Hardware oder zum testen auf die neueste Version angewiesen ist. Auch zu Lern- und Verständniszwecken sollte man so etwas mal versucht/gemacht haben.

Bei Sicherheitslücken oder veränderter Hardware ist allerdings schnell eine Anpassung (Neukompilieren) erforderlich. Da muss jeder selber entscheiden, ob er sich die Mühe machen will oder mit dem vorkompilierten Standardkernel zufrieden ist.

Die Kernelkonfiguration geht grundsätzlich auf drei verschiedene Arten:

make config (geht im Textmodus alle Optionen durch, für „hardcore-Linuxer“)
make menuconfig (Menu im Textmodus mit Navigation über Tastatur)
make xconfig (grafische Konfigurationsoberfläche).

Die Schritte zum Kernelübersetzen:

Kernelsourcen auspacken
make config, make menuconfigoder make xconfig (siehe oben)
make dep
make bzimage (übersetzt den Kernel)
make modules (übersetzt die Module)

Nun splitet sich die weitere Vorgehensweise nach dem Bootmanager auf:

Grub: den Kernel per Hand nach /boot kopieren + Eintrag in /boot/grub/menu.lst vornehmen.
lilo:
1. make bzlilo (installiert den Kernel für lilo in /boot zusammen mit wichtigen Systemdateien)
2. make modules_install (installiert die Module)

Kernelmodule verwalten

lsmod listet aktuell geladene Module auf
insmod / rmmod: Module laden und entfernen
modprobe lädt Module indem es auf zusätzliche Abhängigkeiten zu anderen Module prüft und diese ggf. ebenfalls lädt
rmmod MODULNAME entlädt Module
depmod baut die Liste der Abhängigkeiten auf. Diese stehen in einer Datei unter /lib/modules/KERNELVERSION/modules.dep. Der Aufruf ist bei einem neuen Kernel oder einzelner Module nötig.
modinfo MODULNAME sollte Informationen über ein Modul ausgeben

Das Laden einzelner Module kann man verhindern indem man einen Eintrag in der Datei /etc/modprobe.d/blacklist anlegt:

blacklist MODULNAME

Kernelmodule laden

Beim Systemstart zu ladene Module werden bis Kernel 2.4 ist die Konfigurationsdatei für die Module /etc/modules.conf (oder auch /etc/conf.modules).

Seit Kernel 2.6 ist es grundsätzlich die Datei /etc/modprobe.conf oder die Dateien unterhalb von /etc/modprobe.d/ . Allerdings wird die Datei /etc/modules auch noch unter Ubuntu ausgewertet. Manche Distributionen (bisher Suse, Feodora und in Zukunft evtl. Redhat) wollen eigene Änderungen in der Datei modprobe.conf.local abgelegt wissen.

Wenn es /etc/modprobe.conf gibt, dann wird alles unter /etc/modprobe.d/ ignoriert. Darum steht in der Regel am Ende von /etc/modprobe.conf die Zeile „include /etc/modprobe.d“.

Fallweise:

modprobe MODULNAME

Kernelmodule entladen

Bereits geladene Kernelmodule lassen sich mit

rmmod MODULNAME

entladen.

hardware:schnittstellen-und-standards-allgemein-und-für-peripherie

Stefan — 2010-02-26T15:55:30+01:00

Schnittstellen und Standards - Allgemein und für Peripherie

externe Schnittstellen

Monitorausgänge

Kompatibilitätstabelle

Quelle	VGA	DVI-I	DVI-D	HDMI	Displayport	Mini DisplayPort (Mac)
	Ziel
VGA	ok ¹⁾	ok ²⁾	-	-	-	-
DVI-D	nein	-	ok ³⁾	ok	ok
HDMI	-	-	ok	ok ⁴⁾	ok
Displayport	-	-		ok ⁵⁾	ok ⁶⁾
Mini DisplayPort (Mac)	-	-				ok ⁷⁾

Firewire

FireWire [ˈfaɪəˌwaɪə] (auch bekannt als i.Link oder IEEE 1394) ist ein von Apple entwickeltes serielles Bussystem.

IEEE 1394a (Apple-Bezeichnung „FireWire 400“)
IEEE 1394b (Apple-Bezeichnung „FireWire 800“)

links: 6-Pin Stecker, rechts: 4-poliger Stecker.

Abbildung Firewire Stecker Quelle als SVG

USB

Der Universal Serial Bus (USB) [ˌjuːnɪˈvɜːsl ˈsɪɹiəl bʌs] ist ein serielles Bussystem zur Verbindung eines Computers mit externen Geräten. Mit USB ausgestattete Geräte oder Speichermedien können im laufenden Betrieb miteinander verbunden (Hot-Plugging) und angeschlossene Geräte sowie deren Eigenschaften automatisch erkannt werden.

Von links nach rechts: Typ A, Typ B, Typ B Mini 5-polig (Standard), Typ Mini 4-polig (Mitsumi), Typ Mini-B 4-polig (besser unter der Bezeichnung Hirose bekannt)

Quelle: Wikimedia

interne Schnittstellen

Arbeitsspeicher

(Inhalt)

DDR Geschwindigkeiten:
DDR2 Geschwindigkeiten: 667, 800, 1066, 1333
DDR3 Geschwindigkeiten:

Besonderheiten bei der Belegung:

DDR2: Belegung mit 2 gleichen Modulen günstig (Dual-Channel)
DDR3:
- Speichertakt bei Intel Nehalem-Architektur: Die optimale Performance (1333 Mhz) erreicht man, wenn je ein Speicherriegel pro Channel bestückt ist, bei 2 sinkt der Speichertakt auf 1066 Mhz, bei 3 Riegeln sinkt er ein weiteres Mal auf 800 Mhz.
- Intel Nehalem: Jede CPU kann maximal 8 sogenannte „Ranks“ pro Channel verwalten. Je nach Bauart haben Speicherriegel 1, 2 oder 4 Ranks.

Kompatibilität von Steckplätzen und Karten

PCI / PCI-X

Kompatibilitätstabelle
	Steckplatz
Karte	3.3V 32 Bit PCI Slot	5V 32 Bit PCI Slot	3.3V 64 Bit PCI Slot	5V 64 Bit PCI Slot
3.3V 32 Bit PCI Karte	ok	-	ok	-
5V 32 Bit PCI Karte	-	ok	-	ok
Universal (3.3V & 5V) 32 Bit PCI Karte	-	-	ok	ok
3.3V 64 Bit PCI-X Karte	-	-	ok	-
5V 64 Bit PCI-X Karte	-	-	-	ok
Universal (3.3V & 5V) 32 Bit PCI-X Karte	-	-	ok	ok

PCI-Express

PCI-Express ist ein relativ moderner Steckplatz, die Angabe x1, x4, … bezieht sich auf die Anzahl der seriellen „Lanes“ die zur Datenüberteagung benutzt werden können. Die Bandbreite einer Lane beträgt maximal 250 MByte/s pro Richtung beziehungsweise 500 MB/s in beide Richtungen zusammen.

2 Aspekte sind zu beachten:

passt die Karte mechanisch in den Steckplatz (x16 Steckplatz kann x1, x4, x8, x16-Karten aufnehmen, x1 Steckplatz nur x1 Karten)
ist der Steckplatz ausreichend schnell angebunden (mit Lanes) bzw. Sind alle Kontakte tatsächlich belegt (es ist durchaus üblich im 2. Grafikkartenslot x16 mechanisch zu haben aber nur x8 anzubinden).

Abbildung PCI und PCI Express im Vergleich Quelle als jpg

	Steckplatz
Karte	PCIe x1	PCIe x4	PCIe x8	PCIe x16
x1	ok	ok	ok	ok
x4	-	ok	? ⁹⁾	? ¹⁰⁾
x8	-	-	ok	? ¹¹⁾
x16	* ¹²⁾	* ¹³⁾	* ¹⁴⁾	ok

Datenraten (theoretisch)
PCIe 1.0	PCIe 2.0	PCIe 3.0
x1	250 MB/s	500 MB/s	1000 MB/s
x1 duplex	500 MB/s	1000 MB/s	2000 MB/s
x4	1000 MB/s	2000 MB/s	4000 MB/s
x8	2000 MB/s	4000 MB/s	8000 MB/s
x16	4000 MB/s	8000 MB/s	16000 MB/s

miniPCI / miniPCI-Express

Mini PCI / Mini PCI Express werden vorrangig in mobilen und embedded-Systemen eingesetzt (wo der Platz knapp ist).

weitere Informationen bei Wikipedia.

Abbildung MiniPCI and MiniPCI Express cards Quelle als SVG

¹⁾ , ³⁾ , ⁴⁾ , ⁶⁾ , ⁷⁾ mit Verlängerungskabel

²⁾ mit Adapter

⁵⁾ ab Displayport Revision 1.1: Grafikkarte schaltet auf HDMI-Ausgabe um, Adapter hebt Pegel an, siehe DisplayPort: Trickreich zur HDMI-Kompatibilität

⁸⁾ veraltet nur noch vereinzelt in Industrieanwendungen

⁹⁾ , ¹⁰⁾ , ¹¹⁾ , ¹²⁾ , ¹³⁾ , ¹⁴⁾ nicht vorgeschrieben, aber möglich

software:ct-offline-update

Stefan — 2010-02-24T18:40:06+01:00

ct Offline Update

Das ct Offline Update ist ein Projekt der c't und bietet die Möglichkeit Windows-Updates herunterzuladen und dies auf PCs ohne weitere Downloadzeit zügig einzuspielen.

Installation

Linux (Debian)

benötigte Pakete installieren (Debian):

aptitude install cabextract xmlstarlet tofrodos

ct Offline-Update herunterladen:

wget http://www.heise.de/ct/projekte/offlineupdate/download/ctupdate60.zip

Prüsumme herunterladen:

wget http://www.heise.de/ct/projekte/offlineupdate/download/ctupdate60.md5

Prüfsumme verifizieren (hier muss bei md5sum noch ein Leerzeichen mehr zwischen Prüfsumme und Dateinamen eingefügt werden!):
```
md5sum -c ctupdate60.md5
```
entpacken:
```
unzip ctupdate60.zip
```
ausführbar machen:
```
chmod +x ctupdate/sh/*.sh
```
ins Verzeichnis wechseln und Download starten:
```
cd ctupdate/sh/ && ./DownloadUpdates.sh 
```

Aufrufparameter von DownloadUpdates.sh

DownloadUpdates.sh kann nicht-interaktiv (z. B. für ein cron-Skript) mit folgenden Optionen gestartet werden:

Schema: DownloadUpdates.sh [systeme] [sprache] [parameter]

systeme: w2k, wxp, wxp-x64, w2k3, w2k3-x64, w60, w60-x64, oxp, o2k, o2k3, o2k7, all-x64, all-x86
Sprachen: enu, deu, nld, esn, fra, ptg, ptb, ita, rus, plk, ell, csy, dan, nor, sve, fin, jpn, kor, chs, cht, hun, trk, ara, heb
Parameter:
- /excludesp : do not download servicepacks“
- /makeiso : create ISO-Image“
- /dotnet : download .NET-Framework“
- /nocleanup : do not cleanup client directory“
- /proxy : define proxyserver( /proxy http:[username:password@]<server>:<port>)“ Beispiel: (WinXP, Deutsch, dotnet-Updates, ISO-Datei erstellen: DownloadUpdates.sh wxp deu /dotnet /makeiso