Die nächsten Schritte zum Einrichten deines eigenen Linux-Servers
sind das Thema der einundneunzigsten Episode des
Anwendungsentwickler-Podcasts. TL;DR Mit einer Firewall nach dem
Whitelist-Prinzip gibst du auf deinem Linux-Server gezielt die
benötigten Verbindungen frei und schützt deine Dienste mit sicheren
Passwörtern. Ich passe außerdem die .bashrc und Vim an, damit ich
auf der Kommandozeile schneller arbeiten kann und beim Löschen von
Dateien eine Rückfrage bekomme. Automatische, verschlüsselte
Backups mit getestetem Restore sichern deine Arbeit ab, während ein
externes Monitoring dich über ausgefallene Dienste informiert.
Kapitelmarken [00:00:00] Einstieg und Abschluss der
Linux-Server-Reihe [00:01:18] Automatische Debian-Updates mit
Unattended Upgrades [00:01:54] Konfigurationen mit etckeeper und
Git sichern [00:03:27] Die Firewall einrichten [00:04:54]
Whitelisting und Blacklisting [00:06:46] iptables, Chains und
Shell-Skripte [00:09:25] Sichere Passwörter für deine Dienste
[00:11:11] Die .bashrc und versteckte Dateien [00:13:20]
Home-Verzeichnis und Start der Bash [00:14:49] Aliase für häufige
Befehle [00:16:38] Rückfragen beim Löschen mit rm [00:19:45]
Farbige Ausgabe auf der Kommandozeile [00:20:26] History vergrößern
und Befehle suchen [00:22:08] History mehrerer Shells
zusammenführen [00:23:02] Den Prompt konfigurieren [00:24:16]
Dotfiles als Beispiele für eigene Einstellungen [00:24:55] Vim
konfigurieren und Literaturempfehlung [00:26:40]
Syntax-Highlighting, Zeilennummern und Suche [00:28:11]
Vim-Navigation ohne Pfeiltasten üben [00:29:45] Regelmäßige Backups
automatisieren [00:32:03] Backups vor dem Übertragen verschlüsseln
[00:33:00] Das Restore frühzeitig testen [00:34:40] Dienste mit
externem Monitoring überwachen [00:35:19] Ausfallmeldungen an ein
unabhängiges Postfach schicken [00:37:32] Rückblick auf die
Schritte beim Einrichten [00:38:35] Mit einem eigenen Server
praktische Erfahrung sammeln [00:40:36] Weiterführende Links und
Bücher [00:41:42] Newsletter und Checklisten zur Abschlussprüfung
[00:42:38] Feedback zur praxisbezogenen Server-Reihe Inhalt
Firewall einrichten (iptables) erstmal alles blockieren, was nicht
explizit benötigt wird nur Ports öffnen, die wirklich benötigt
werden (SSH, HTTP, IMAP usw.) sichere Passwörter für alle Dienste
vergeben (z.B. MySQL) .bashrc optimieren hilfreiche Aliase
definieren (z.B. l anstatt ls -la) gefährliche Befehle entschärfen
(z.B. rm) farbige Ausgabe aktivieren History-Größe erhöhen
Kommandos mehrerer Shells mergen Prompt konfigurieren (z.B.
Hostnamen und User anzeigen) Vim konfigurieren farbige Ausgabe und
Syntax Highlighting Pfeiltasten ausschalten (um Vim wirklich zu
lernen) Zeilennummern aktivieren case-insensitive Suche aktivieren
Backup einrichten Monitoring einrichten Literaturempfehlungen Wenn
du nur einen einzigen Texteditor beherrschen dürftest, sollte es
Vim sein :-) Mit Drew Neils Buch wirst du zum Profi bei der
Bedienung des besten Editors der Welt. * Und wie schon in allen
Linux-Episoden ist die "Linux-Bibel" von Michael Kofler* mein
Literaturtipp zur Vertiefung deiner Linux-Kenntnisse. *(direkt beim
Rheinwerk-Verlag bestellen*) Links Permalink zu dieser
Podcast-Episode RSS-Feed des Podcasts vServer bei 1blu* Nachtrag zu
den letzten Episoden (Danke an Robin!) UnattendedUpgrades - Debian
Wiki joeyh/etckeeper bei Github Linux: 20 Iptables Examples For New
SysAdmins Linux Iptables Setup Firewall For a Web Server Why are
filenames that start with a dot hidden? 30 Handy Bash Shell Aliases
For Linux / Unix / Mac OS X Bash Tips and Tricks Linux Bash –
Shortcuts To Boost Your Productivity /bin/bash - Grundlegende
Kommandos Blog von Jonas Hellmann (mein Azubi) Zusammenfassung
Updates automatisch einspielen und Konfigurationen sichern Mit
Unattended Upgrades kannst du Debian-Updates nachts automatisch
installieren lassen. Falls ein Neustart erforderlich ist, lässt
sich auch dieser automatisieren. Für das Verzeichnis /etc empfehle
ich Git, damit du vor Experimenten oder Änderungen einen
funktionierenden Stand festhalten und später wiederherstellen
kannst. etckeeper erleichtert das. Achte dabei auf sensible Dateien
wie /etc/shadow, weil über das Repository zusätzliche Zugriffe auf
deren Inhalte möglich werden. Ich schließe bestimmte Dateien über
.gitignore aus. Die Firewall einrichten Eine Firewall blockiert
unerwünschte Zugriffe über das Netzwerk. Richte sie so ein, dass
zunächst alle Verbindungen gesperrt sind und du anschließend die
benötigten Dienste gezielt freigibst. Welche Ports du öffnest,
hängt davon ab, was du auf deinem Server betreibst, etwa einen
Webserver oder einen Mailserver. Dabei gehören zwei Begriffe zum
Prüfungswissen: Whitelisting: Du führst die erlaubten Ports oder
Verbindungen auf. Alles außerhalb dieser Liste bleibt gesperrt.
Blacklisting: Du führst die Ports oder Verbindungen auf, die
gesperrt werden sollen. Für meinen Server wähle ich das
Whitelist-Prinzip. Dadurch bleiben auch Ports gesperrt, die ein
zusätzlich installiertes Programm öffnet. Wenn du einen neuen
Dienst betreiben möchtest, ergänzt du die passende Freigabe. Unter
Linux arbeite ich mit iptables. Die Regeln lassen sich in
Shell-Skripten hinterlegen, sodass du die Firewall per
Kommandozeile steuern kannst. Sorge dafür, dass sie beim Hochfahren
automatisch startet. iptables arbeitet mit sogenannten Chains. Für
den beschriebenen Einstieg auf einem V-Server stehen INPUT und
OUTPUT im Vordergrund. FORWARD gehört ebenfalls zu den Chains; beim
Betrieb eigener virtueller Maschinen kann zusätzlich Network
Address Translation, kurz NAT, relevant werden. Anleitungen und
Beispiele zur Konfiguration findest du in meinen Shownotes sowie im
Linux-Handbuch von Michael Kofler. Sichere Passwörter vergeben
Schütze deine Dienste mit sicheren Passwörtern, auch wenn sie
ausschließlich intern erreichbar sind. Das betrifft beispielsweise
eine Datenbank oder einen FTP-Server. Beim zuvor eingerichteten
SSH-Zugang kommt bereits ein Public Key zum Einsatz. Ersetze
voreingestellte oder leere Passwörter direkt nach dem Einrichten
durch sichere Kennwörter. Angreifer:innen probieren bekannte
Standardzugänge gezielt aus, deren Passwörter sich in öffentlich
zugänglichen Listen finden. Ich verwalte meine Passwörter in einem
Passwort-Safe. Die Bash über .bashrc anpassen Die Datei .bashrc
liegt in deinem Home-Verzeichnis und enthält Einstellungen sowie
Befehle für die Bash. Dort kannst du festlegen, was beim Start
einer Shell ausgeführt werden soll. Dateien, deren Name mit einem
Punkt beginnt, gelten unter Linux als versteckt. Diese Konvention
entstand dadurch, dass beim Auflisten ursprünglich die
Verzeichniseinträge . und .. ausgeblendet werden sollten. Die
damalige Regel erfasste sämtliche Namen mit einem Punkt am Anfang.
Für die Arbeit mit Verzeichnissen helfen dir diese Schreibweisen: .
bezeichnet das aktuelle Verzeichnis. .. bezeichnet das
übergeordnete Verzeichnis. ~ steht für dein Home-Verzeichnis, das
gewöhnlich unter /home/deinbenutzername liegt. Mit cd ~ oder
einfach cd wechselst du in der Bash in dein Home-Verzeichnis.
Häufige Befehle abkürzen Ein Alias ersetzt einen längeren Befehl
durch einen kurzen Namen. Ich lege beispielsweise l für ls -la an.
Damit sehe ich den Verzeichnisinhalt einschließlich versteckter
Dateien und zusätzlicher Angaben, etwa der Dateirechte. Bei rm
empfiehlt sich gerade zum Einstieg ein Alias, der rm -i aufruft.
Dadurch fragt der Befehl vor dem Löschen nach. Tippfehler oder
versehentlich eingefügte Leerzeichen können beim Löschen mehrere
Dateien erfassen. Mit rekursiven Löschbefehlen und Root-Rechten
können große Teile des Dateisystems betroffen sein. Was du mit rm
entfernst, landet direkt außerhalb eines Papierkorbs und lässt sich
entsprechend schwer zurückholen. Farben und History einstellen Eine
farbige Ausgabe von ls hilft dir, Verzeichnisse und ausführbare
Dateien schneller zu erkennen. Die Bash merkt sich eingegebene
Befehle in ihrer History. Mit der Pfeiltaste nach oben rufst du
frühere Befehle auf; über Strg+R suchst du nach einer enthaltenen
Zeichenfolge. Ich erhöhe die History-Größe beispielsweise auf
100.000 Einträge, damit ältere Befehle länger verfügbar bleiben.
Wenn du mehrere Shells parallel geöffnet hast, kannst du ihre
Befehle gemeinsam in der History speichern lassen. Die passende
Einstellung in der .bashrc verhindert, dass eine zuletzt
geschlossene Sitzung die Einträge anderer Sitzungen überschreibt.
Dazu habe ich eine Anleitung verlinkt. Nach einem Angriff kann die
History Hinweise auf ausgeführte Befehle enthalten, sofern die
Angreifer:innen sie erhalten haben. Da sie in einer Datei liegt,
lässt sie sich auch verändern oder löschen. Den Prompt anpassen Der
Prompt ist der Text vor deinem Cursor. Ich lasse dort meinen
Kontonamen mit dem Servernamen anzeigen und ergänze das aktuelle
Verzeichnis. Das erleichtert die Orientierung, wenn ich mit
mehreren Shells arbeite oder zwischen Root und einem regulären
Konto wechsle. Mit pwd kannst du dein aktuelles Verzeichnis
anzeigen lassen. whoami zeigt dir, unter welchem Konto du gerade
arbeitest. Beispiele für persönliche Konfigurationsdateien findest
du auf GitHub unter dem Stichwort Dotfiles. Vim einstellen Wenn du
mit Vim arbeitest, kannst du über seine Konfigurationsdateien das
Verhalten anpassen. Je nach Distribution liegt die systemweite
Datei beispielsweise unter /etc/vim/vimrc; persönliche
Einstellungen sind auch über .vimrc im Home-Verzeichnis möglich.
Diese Einstellungen gehören zu meinen Empfehlungen: Aktiviere
Syntax-Highlighting, damit Vim Bestandteile einer Datei farbig
hervorhebt. Blende Zeilennummern ein, um Stellen aus
Fehlermeldungen leichter zu finden. Stelle die Suche so ein, dass
sie Groß- und Kleinschreibung ignoriert. Ich habe außerdem die
Pfeiltasten auf No-Op gesetzt, sodass sie den Cursor unverändert
lassen. Damit gewöhne ich mir die Navigation über h, j, k und l an,
bei der meine rechte Hand auf der Grundreihe der Tastatur b
Kommentare (0)
Melde dich an, um einen Kommentar zu schreiben.