NetzwergBlog

Rsync Backup-Server mit Authentifizierung

Dennis Körner — Thu, 26 Apr 2012 11:00:43 +0000

Rsync ist ein geniales kleines Programm, mit dem man unter *nix-Systemen wunderbar einfach und schnell Backups erstellen kann. Und das beste: Das funktioniert nicht nur lokal sondern auch übers Netz. Und: Das gibt’s sogar für Windows. Ich benutze es, um lokale Backup-Ordner meiner Kunden mit meinem Backup-Server im Rechenzentrum synchron zu halten. Wenn man so etwas übers Netz macht, dann sollte man das natürlich ein wenig absichern. Wenn man das ganz sicher haben will, dann benutzt man SSH, um die Kommunikation zu tunneln. Aber ich beschränke mich in diesem Beispiel mal auf die einfache Variante, bei der die Zugangsdaten dann leider auch im Klartext übertragen werden.

Hier die /etc/rsyncd.conf auf meinem Backup-Server (Gentoo Linux)

# /etc/rsyncd.conf

# Minimal configuration file for rsync daemon
# See rsync(1) and rsyncd.conf(5) man pages for help

# This line is required by the /etc/init.d/rsyncd script
pid file = /var/run/rsyncd.pid
use chroot = yes
read only = yes

# Simple example for enabling your own local rsync server
#[gentoo-portage]
# path = /usr/portage
# comment = Gentoo Portage tree
# exclude = /distfiles /packages

[customer]
path = /var/backup-data/customer
comment = Kunden-Backup
read only = no
hosts allow = 1.2.3.4
uid = 1234
gid = 1111
auth users = customer-user
secrets file = /etc/rsyncd.secrets
transfer logging = yes

Und so sieht die /etc/rsyncd.secrets aus:

customer-user:password

Ganz wichtig für die /etc/rsyncd.secrets ist, dass sie nicht von zu vielen Usern gelesen werden kann. Sonst streikt rsync nämlich. Also machen wir ein

~ # chmod 600 /etc/rsyncd.secrets

Zum Schluß muß der Rsync-Dienst natürlich noch gestartet werden und bei jedem Systemstart wieder gestartet werden:

~ # /etc/init.d/rsyncd start
~ # rc-update add rsyncd default

Nicht vergessen: Der Port TCP:873 muss auf der Firewall geöffnet werden.

Ein Skript auf einem Windows-Client könnte dann so aussehen:

@SET RSYNC_PASSWORD=password
rsync -r -v --inplace --partial --progress --delete -h --times /cygdrive/S/backup/ rsync://customer-user@backup.server.de/customer
@rem @PAUSE

Lizenzierungswirrwar der Softwarebranche

Dennis Körner — Thu, 26 Apr 2012 10:57:12 +0000

Also wenn sich die Geschäftsgebahren der Softwarebranche in der “normalen” Wirtschaft durchsetzen würden, dann würde auf Spülbürsten stehen: “Darf nur in einem vorher zu bestimmenden Waschbecken von einer Person verwendet werden und für maximal 10 Geschirrteile pro Tag. Benötigen Sie mehr, dann können Sie Lizenzen für je eine weitere Person und je 10 weitere Geschirrteile günstig erwerben.”

Oder beim Autokauf wird vorher vereinbart, dass man nur 20.000 km im Jahr fahren darf. Dann bleibt der Wagen stehen und man muss mehr Kilometer mit einer Lizenz freischalten lassen.

Autodiscover für Outlook 2007 und später über DNS einrichten mit BIND

Dennis Körner — Tue, 20 Mar 2012 12:41:28 +0000

Autodiscover für Exchange/Outlook ist gleichzeitig häßlich zu konfigurieren und schön, wenn es läuft. Der einfachste Weg ist es, wenn man im DNS für die Domains, die auf dem Exchange-Server liegen eine SRV-Eintrag hinterlegt. Da spart man sich zusätzlich SSL-Zertifikate, wenn man mehrere Domains auf einem Exchange-Server hat. Dazu muss für jede Domain-Endung, die als Absende-Adresse verwendet wird folgender Eintrag in die Zone:

_autodiscover._tcp.domain.com. IN SRV 0 0 443 exch-frontend.domain.com.

Weiterführend Informationen gibt es hier:

http://www.msxfaq.de/e2007/autodiscover.htm

http://www.lengoldenstein.com/2008/09/29/creating-an-outlook-2007sp1-autodiscover-dns-record-with-bind/

http://intinc.com/hosted-exchange/faq/a/change-dns-autodiscover.htm

Howto: Delegation von Reverse DNS bei CIDR-Netzen kleiner /24 nach RFC 2317

Dennis Körner — Tue, 20 Mar 2012 11:34:59 +0000

Die Zeiten, in denen man ein komplettes Class A, B oder C-Netz zugeteilt bekam sind ja schon lange vorbei. Und jetzt, wo das Ende des IPv4-Adressraumes naht, muss man den Bedarf an IP-Adressen immer besser nachweisen. Seit geraumer Zeit also bekommt man Netze nach dem Schema 1.2.3.0/26 zugewiesen. Dieses Verfahren ist als CIDR (Classless Inter-Domain Routing) bekannt und mit einer der Gründe, warum die Routingtabellen in den zentralen Routern immer größer werden. Ein Problem bei diesem Verfahren ist auch das Reverse-DNS für die IP-Adressen eines solchen Netzes kleiner als /24. Mit der herkömmlichen Art und Weise kann man die umgekehrte DNS-Auflösung (welchen vollqualifizierten Domainnamen hat die IP-Adresse?) nicht an andere DNS-Server delegieren, weil eine Delegation von DNS-Zonen nur an “Punkt-Grenzen” möglich ist. Der DNS-Eintrag für die IP 1.2.3.5 sieht zum Beispiel so aus: 5.3.2.1.in-addr.arpa.. Da kann man also eigentlich nur den kompletten Bereich von 0 bis 255 delegieren durch ein 3 IN NS reverse-ns.dnsserver.net. in der Zone 2.1.in-addr.arpa.. Hat man das Netz jetzt aber zum beispiel in mehrere /29-Netze aufgeteilt, muss man einen anderen Weg gehen, um den Adressbereich an unterschiedliche DNS-Server delegieren zu können. Hier zeigt das RFC 2317 einen Weg auf, der im Moment als “Best current practise” eingestuft ist.

Am besten wird das durch ein Beispiel deutlich. Es gibt beim Provider das fiktive Netz 1.2.3.0/24 (ein Class-C-Netz) für das der Provider auch für das Reverse-DNS eingetragen ist (Zone 3.2.1.in-addr.arpa.). Der Provider teilt einem Kunden aus diesem IP-Bereich ein Teilnetz 1.2.3.0/29 zu (IP-Adressen 1.2.3.0 – 1.2.3.7 mit der 0 als Netz-Adresse und der 7 als Broadcast-Adresse). Die DNS-Server des Kunden heißen ns1.kunde.net und ns2.kunde.net.

Der Provider trägt jetzt in der Zone 3.2.1.in-addr.arpa. eine Delegation für die neue Zone 0-29.3.2.1.in-addr.arpa. ein. Die 0 steht dabei für die Netz-Adresse und die 29 für das CIDR-Suffix hinter dem /. Die einzelnen IP-Adressen werden dann mittels CNAME auf die neue Zone gemappt. Das sieht dann auf der Provider-Seite zum Beispiel so aus:

$ORIGIN 3.2.1.in-addr.arpa.
$TTL 1D
@ 1D IN SOA ns1.provider.net. hostmaster.provider.net. (
              2011021901      ; serial
              3H              ; refresh
              15M             ; retry
              1W              ; expiry
              1D )            ; minimum

            IN NS  ns1.provider.net.
            IN NS  ns2.provider.net.

0-29        IN NS    ns1.kunde.net.
0-29        IN NS    ns2.kunde.net.
0           IN CNAME 0.0-29.3.2.1.in-addr.arpa.
1           IN CNAME 1.0-29.3.2.1.in-addr.arpa.
2           IN CNAME 2.0-29.3.2.1.in-addr.arpa.
3           IN CNAME 3.0-29.3.2.1.in-addr.arpa.
4           IN CNAME 4.0-29.3.2.1.in-addr.arpa.
5           IN CNAME 5.0-29.3.2.1.in-addr.arpa.
6           IN CNAME 6.0-29.3.2.1.in-addr.arpa.
7           IN CNAME 7.0-29.3.2.1.in-addr.arpa.

8-29        IN NS    ns1.noch-ein-kunde.net.
8-29        IN NS    ns2.noch-ein-kunde.net.
8           IN CNAME 0.0-29.3.2.1.in-addr.arpa.
9           IN CNAME 1.0-29.3.2.1.in-addr.arpa.
10          IN CNAME 2.0-29.3.2.1.in-addr.arpa.
11          IN CNAME 3.0-29.3.2.1.in-addr.arpa.
12          IN CNAME 4.0-29.3.2.1.in-addr.arpa.
13          IN CNAME 5.0-29.3.2.1.in-addr.arpa.
14          IN CNAME 6.0-29.3.2.1.in-addr.arpa.
15          IN CNAME 7.0-29.3.2.1.in-addr.arpa.

Auf der Kundenseite muss eine neue Zone eingerichtet werden und zwar die 0-29.3.2.1.in-addr.arpa.. Die sieht dann zum Beispiel so aus:

$ORIGIN 0-29.3.2.1.in-addr.arpa.
$TTL 1D
@ 1D IN SOA ns1.kunde.net. hostmaster.kunde.net. (
              2011021901      ; serial
              3H              ; refresh
              15M             ; retry
              1W              ; expiry
              1D )            ; minimum

            IN NS  ns1.kunde.net.
            IN NS  ns2.kunde.net.

0           IN PTR net.kunde.net.
1           IN PTR host.kunde.net.
2           IN PTR ns1.kunde.net.
3           IN PTR terminal.kunde.net.
4           IN PTR mail.kunde.net.
5           IN PTR web.kunde.net.
6           IN PTR router.kunde.net.
7           IN PTR broadcast.kunde.net.

Die Delegation von Netzen größer als /24 ist übrigens ganz einfach. Will man z.B. ein /22-Netz delegieren, dann delegiert man einfach die 4 /24-Netze aus denen das /22-Netz besteht.

Workaround Open-Vm-Tools und quiescing Snapshots unter ESXi

Dennis Körner — Mon, 19 Mar 2012 10:32:09 +0000

Die Version 535097 vom 20.11.2011 der Open-Vm-Tools hat unter Gentoo ein Problem mit stillgelegten Snapshots. Dadurch können Backup-Programm wie Acronis vmProtect kein Backup der VM erstellen. Der Grund hierfür liegt darin, dass Gentoo das Root-Filesystem “doppelt” mountet. Damit kommen die offiziellen VMware-Tools zwar klar. Aber irgendwie die Open-Vm-Tools nicht. Abhilfe schafft hier ein kleiner Hack in einem Init-Skript von Gentoo. Dazu muss in der Datei /etc/init.d/mtab die Zeile

grep -v "^[^ ]* / tmpfs " /proc/mounts > /etc/mtab

geändert werden in

egrep -v "^[^ ]* / tmpfs|rootfs" /proc/mounts > /etc/mtab

nach einem Reboot sollten jetzt auch die stillgelegten Snapshots wieder laufen.

Gefunden habe ich das hier: http://sourceforge.net/tracker/?func=detail&atid=989708&aid=3485535&group_id=204462

Lachsfilet mit Bandnudeln, Spinat und Limettensoße

Dennis Körner — Sat, 03 Mar 2012 20:41:48 +0000

Heute gibt’s mal wieder ein Rezept mit Fisch. Dieses Mal auch mit selbstgemachter Soße.

Zutaten (2 Pers.)

100g Mehl
1 Ei
2 Stück Lachsfilet mit Haut (gut 200 g/Stück)
Spinat
1 Knoblauchzehe
Milch
200ml Sahne
Crème Fraîch
1 Limette
Muskat, Salz, Pfeffer, Olivenöl, evtl. Oregano

Zunächst müssen wir den Teig für die Nudeln machen. Eigentlich nimmt man pro Person 1 Ei und 100g Mehl. Da wir aber noch viel Lachs und die schwere Soße haben, reicht ein Ei und 100g Mehl für zwei Personen. Das Mehl in einen großen Topf geben und in der Mitte einen Krater für das Ei machen. Das Ei aufschlagen und in den Krater geben. Dann eine ganze Zeit vorsichtig mit einer Gabel das Ei langsam mit dem Mehl verrühren, bis die Masse dafür zu zäh geworden ist. Jetzt mit den Händen weiterkneten bis das Zeug schön gleichmäßig und geschmeidig ist. Dann für 30 Minuten als Kugel in einer Tüte in den Kühlschrank.

In der Zwischenzeit können wir die Soße vorbereiten. Dazu raspeln wir von der Schale das Grüne in eine Topf und geben dann einfach Sahne, etwas Salz und evtl. ein ganz klein wenig von dem Saft der Limette dazu. Nicht zu viel Saft, damit die Sahne nicht eklig wird. Und einen oder zwei Löffel Crème Fraîch in die Soße geben. Übrigens kann die Soße anbrennen, wenn man sie nicht umrührt :o)

Den Spinat setzen wir mit etwas Milch (nur soviel, dass sie während der Garzeit einkochen kann), einer gepressten Zehe Knoblauch und nach Geschmack etwas geraspeltem Muskat an. Das lassen wir dann nachher langsam vor sich hinköcheln.

Den Nudelteig mit einer Nudelmaschine ausrollen und in Streifen für die Bandnudeln schneiden. Die meisten Nudelmaschinen haben dafür extra eine Rolle, die das fix und fertig schneidet.

Den Lachs ein wenig Salzen und die Haut dran lassen. Dann einmal scharf von der Oberseite anbraten und jetzt auf niedriger Stufe auf der Haut braten lassen. Evtl. zwischendurch noch mal kurz von der Oberseite braten aber dann immer wieder auf die Hautseite drehen.

Die Nudeln in kochendes Salzwasser geben und ziehen lassen. Frische Nudeln brauchen nicht so lange wie der Hartweizengriesscheiß. Also aufpassen, dass die nicht labberig werden.

Lachs, Nudeln und Spinat jeweils auf einen Teller geben. Soße über die Nudeln und etwas frischen Pfeffer auf den Lachs. Evtl. noch etwas Oregano über die Nudeln.

Guten Hunger!

Windows Benutzer auf der Willkommensseite verstecken

Dennis Körner — Thu, 01 Mar 2012 12:21:47 +0000

Wenn man ein Benutzerkonto bei der Windowsanmeldung verstecken möchte, dann geht das ganz einfach ohne irgendwelche absstrusen werbeverseuchten Tune-Up-Tools. Man muss nur in der Registry mit regedit ein paar Schlüssel und Werte hinzufügen. Unter HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon muss man zunächst den Schlüssel SpecialAccounts und darin dann den Schlüssel UserList anlegen. Jetzt legt man in diesem Schlüssel ein Wert vom Typ DWORD (32 Bit) an. Der Name des Wertes muss mit dem zu versteckenden Benutzernamen (dem internen Benutzernamen NICHT dem Anzeigenamen) identisch sein. Den Wert selber belässt man auf 0.

Gentoo Linux Skripte beim Starten und Herunterfahren ausführen

Dennis Körner — Mon, 06 Feb 2012 11:00:14 +0000

Wenn man in gentoo Linux beim Systemstart bzw. beim Shutdown benutzerdefinierte Befehle ausführen möchte, dann braucht man diese einfach nur in eine der beiden folgenden Dateien einfügen.

/etc/conf.d/local.start
/etc/conf.d/locat.stop

Dies sind Skripte die einfach vom System entsprechend ausgeführt werden.

Update: Ab Baselayout 2 wird das woanders abgelegt. Hier gibt es jetzt das Verzeichnis /etc/local.d. Alle Skripte, die auf *.start enden werden beim Start ausgeführt und alle, die auf *.stop enden beim Herunterfahren.

Langsame Netzwerkverbindung unter Windows 7 auf einem iMac mit Broadcom NetXtreme

Dennis Körner — Wed, 01 Feb 2012 19:59:58 +0000

Einer meiner Kunden hat sich vor Kurzem jede Menge iMacs angeschafft, weil er die Geräte optisch so schick findet. Von OS X wollte er aber nichts wissen, da seine komplette Software eh auf Windows läuft. Also habe ich dort auf allen iMacs OS X komplett von der Platte gelöscht (mit Acronis) und Windows 7 nativ installiert. Ja, Windows läuft nicht unter OS X oder unter Bootcamp sondern nativ und in Windows 7 wurde Bootcamp installiert. Man könnte also sagen, Apples Aussage OS X so so fortschrittlich und geil, weil es sogar Windows ausführen könne, ist kompletter Quatsch. Im Gegenteil: Windows scheint so geil zu sein, dass es selbst auf einem Mac mit UEFI statt BIOS nativ läuft, wenn man alle OS X-Spuren von der Platte getilgt hat. :o)

Aber nun zu dem Problem und seiner Lösung. Die iMacs sind an ein Gigabit-Ethernet angeschlossen. Und obwohl man davon ausgehen sollte, dass die Netzwerkverbindung rasend schnell ist, kam es immer wieder vor, dass die Übertragungsraten auf wenige Kilobit statt Gigabit sanken. Nachdem wir die Verkabelung geprüft hatte, blieben nur noch die Macs als Grund des Problems über. Die Tatsache, dass ein Deaktivieren des Netzwerkadapters und sofortiges Reaktivieren das Problem für eine gewisse Zeit beseitigte, legte nahe, dass es sich um ein Hardware oder Treiberproblem handelte. Das Abziehen und Wiederanstecken des Kabels dagegen zeigte keine Wirkung. Also wurde die neueste Version von Bootcamp für Windows geladen und in Windows installiert, damit die Treiber auf den neusten Stand kommen. Aber auch das hatte keinen Erfolg.

Irgendwann kam ich auf die Idee, einmal genau zu schauen, was für ein Chipsatz denn in den iMacs verbaut war und ob man vom Hersteller des Chipsatzes nicht aktuellere Treiber bekäme als von Apple. In den fraglichen Geräten war als Netzwerkadapter ein NetXtreme von Broadcom verbaut. Der Treiber auf der Seite von Broadcom hat die Versionsnummer 15.x währen die von Applte bei 14.x lagen. Also schnell den Treiber von Broadcom genommen und installiert. Und siehe da: Seitdem läuft das Netzwerk wie geschmiert.

Eine andere Lösung für das Problem habe ich hier gefunden. Dort wird vorgeschlagen, bestimmte Einstellungen an dem Treiber vorzunehmen bzw. bestimmte Funktionen zu deaktivieren.

Gestoppte Prozesse unter Linux wieder aufnehmen

Dennis Körner — Tue, 31 Jan 2012 13:21:31 +0000

Wenn man auf einer Linux-Konsole Strg+Z oder Pause drückt, dann wird der aktuelle Prozess angehalten (nicht beendet). Man kann dann auf der Konsole erst einmal etwas anderes machen und den so angehaltenen Prozess später wieder aufnehmen. Dazu gibt es zwei Befehle: fg und bg. Mit fg wird der Prozess einfach so weitergeführt wie vorher. Mit bg wird der Prozess im Hintergrund weitergeführt.

^Z
[1]+  Stopped                 emerge -va -eb world
gentoo-test / # jobs
[1]+  Stopped                 emerge -va -eb world

fg 1 nimmt den Prozess wieder auf im Vordergrund.