Screen, ein kleines Programm um mehrere virtuelle Terminals in einer bestehenden Sitzung zu starten ist gerade in Verbindung mit SSH sehr nützlich. Bricht zum Beispiel während der Installation von Updates die SSH Sitzung ab, läuft screen trotzdem weiter und kann nach dem Wiederaufbau der SSH Verbindung neu verbunden werden. Alle Prozesse innerhalb der screen Sitzung bzw. der im virtuellen VT100 Terminal gestarteten Shell laufen ohne Unterbrechung weiter.

Leider vergisst man meist bei Arbeiten “die mal schnell” erledigt werden sollten eine Screen-Sitzung z starten. Interessanterweise brechen auch genau dann immer die SSH Verbindungen ab. Murphy lässt grüßen . Also sollte man nicht lange nachdenken ob man eine screen-Sitzung startet sondern sollte es einfach nur tun . Und das am besten automatisch beim Anmelden über SSH.

Einige schreiben hier immer wieder sehr komplexe Scripte oder starten screen vom SSH Daemon. Ich persönlich finde das alles überflüssig. Eigentlich muss nur geprüft werden ob die Shell über SSH gestartet wurde und ob die aktuelle Shell gerade in einem Screen-Term läuft. Letzteres ist wichtig um keine Schleife zu verursachen.

Für screen selbst sollten noch die Parameter für UTF-8 (auf allen neueren Distributionen Standard) und das automatische Fortsetzen bereits bestehender Sitzungen hinzugefügt werden. Der Parameter x für MultiDisplay/MultiUser Mode ist auch ganz nützlich.

Soll doch mal eine Sitzung ohne screen gestartet werden, sollte dies ebenfalls berücksichtigt werden. Eine interessanterweise sehr einfache Methode (echo / sleep) habe ich neulich auf einer LAN-Party gesehen (Thx Outi) und auch gleich so übernommen.

Aber nun zum Script. Der folgende Code führt hinzugefügt an die bashrc des Benutzers (oder Systems) genau diese Schritte aus.

if [[ -e $SSH_TTY ]] && [[ $TERM != screen ]]; then
        echo Starting or resuming screen session
        echo Press CTRL+C to cancel screen startup
        sleep 2
        screen -UxR;
fi

Mit dem NL37 MicroServer bietet HP einen sehr kompakten und dennoch gut Ausgestatteten Server. Das System kann mit bit zu 8 GB ECC-Ram ausgestattet werden, verfügt über 4 SATA II Einschübe und einen DualCore AMD Athlon II NEO Prozessor mit 1.3 Ghz. Die Leistung reicht problemlos für einen Windows Server 208R2 um die Rollen RODC, Dateiserver, Druckserver und BrancheCache für kleine Standorte bis 20 Personen anzubieten.

Zum Gehäuse:
Das sehr gut gelungene massive Gehäuse ist sehr schnell zu öffnen. Die 4 HDD Einschübe befinden sich hinter einer abschließbaren Fronttür, das passende Werkzeug zum Einbau der Festplatten in die Rahmen fehlt leider genau wie die nötigen Schrauben zum befestigen der Festplatten. Standard Sekkopf-Kreuzschlitzschrauben für Festplatten passen glücklicherweise in die vorgesehenen Bohrungen. Um den Speicher zu erweitern muss das Mainboard aus dem Gehäuse herausgenommen werden. Das unter den Festplatteneinschüben liegende Board befindet sich auf einem Schlitten. Zum Herausziehen sind lediglich 2 Schrauben und einige Stecker zu lösen. Nicht gerade der Komfort eines DL380, aber bei diesen Gehäuseabmessungen immer noch relativ komfortabel gelöst. Das System kommt ohne optisches Laufwerk. Über den Festplatten und der Frontklappe befindet sich ein 5 1/4″ Laufwerksschacht mit vorbereiteter S-ATA Verkabelung.Ein Band oder optisches Laufwerk ist hier durch öffnen der oberen Abdeckung schnell eingebaut. Um unerwünschtes Öffnen dieser Abdeckung zu verhindern, kann ein Schloss an der Rückseite angebracht werden. Ausgestattet mit 2x 2TB Enterprise HDD´s wiegt der Server ohne optisches Laufwerk knapp 5 Kg.

Leistung unter Windows Server 2008R2
Direkt nach der Installation können alle Komponenten mit Standardtreibern angesprochen werden. Es empfiehlt sich aber unbedingt den Grafik-/ Netzwerk-karten Treiber zu installieren. Um Datenredundanz zu schaffen sollte auf Windows Bordmittel zurückgegriffen werden. Der interne Controller realisiert das RAID auch nur über die CPU, allerdings ohne Wissen des Betriebssystems. Bei solchen “Soft-RAID” Treibern sollte immer auf die Betriebssystem Funktionen zurückgegriffen werden. Nach Abschluss der Erstsynchronisierung schreibt das System durchschnittlich 80MB/s auf die Datenträger. Das integrierte Gigabit LAN kann damit zwar nicht gesättigt aber immerhin sehr gut Ausgelastet werden.

Serverrollen/Konfiguration
Um einen Server an einem unsicherem Standort aufzustellen, sollte in jedem Fall ein getrenntes Subnet der Größe /24 oder /25 in einer neuen ActiveDirectory Site angelegt werden. Alle Kommunikation von und zu diesem Standort sollten dann IPSec verschlüsselt werden. Um den Standort an den Firmensitz anzubinden, empfiehlt sich ein getrennter L2 VPN-Router. Damit wird eine 2-Faktor Verbindungsverschlüsselung erreicht. Über diese Verbindung dürfen dann ausschließlich IKE und ESP Pakete der IPSec Verbindungen zugelassen werden. Um die Inhalte der Festplatten zu schützen sollte unbedingt EFS aktiviert werden. Somit sind alle nicht Domänenmitglieder aus dem Netzwerk und dem Dateizugriff ausgeschlossen. Der Server selbst wird als RODC konfiguriert. Ein lokaler DNS Server sowie globaler Katalog stellen die Anmeldefunktionen bei fehlender Netzwerkverbindung sicher. Allerdings sollten auf gar keinen Fall Kennwörter Administrativer Konten an den Standort repliziert werden. Eine Anmeldung am Server mit Administrativen Rechten ist so nur möglich wenn die IPSec Verbindung zum Hauptsitz steht. Um Druckfunktionen zur Verfügung zu stellen, empfiehlt sich zusätzlich die Rolle “Druck und Dokumentendienste”. Auch die Rolle “DHCP-Server” ist nützlich. Zum sichern und abgleichen der Daten kann eine DFS-Replikationsgruppe eingerichtet werden. Somit sind immer alle Daten an mindestens 2 Standorten verfügbar.

Fazit:
Der kleine Server bietet neue Möglichkeiten um kleine Firmenstandorte, Baustellen oder ähnliches mit Servern auszustatten. In Verbindung mit einem L2 VPN-Router (z.B. Cisco oder Astaro) lässt sich der komplette Netzwerkverkehr so absichern, dass selbst ein Sniffer an einem Monitor-Port kein Risiko darstellt. Dank RODC und EFS sind auch die Daten und Benutzerkonten relativ sicher. Der Nutzen eines solchen Servers übersteigt auf jeden Fall das Restrisiko. Alternativ müssten alle Anwender ihre Daten lokal verwalten, fällt eine Festplatte aus ist alles weg. Truecrypt usw. bringen auch nicht viel wenn die Daten per SMB Freigabe zwischen den Systemen kopiert werden. Dank des Server kann die Kommunikation mit IPSec und Kerberos abgesichert werden und Mitarbeitern an Remote Standorten eine sichere Zusammenarbeit im Netzwerk ermöglicht werden.

Mehr zum Server auf der HP Produktwebsite.

Wie immer steht am Anfang eine Idee. Bei mir war es der Wunsch, vom Smartphone das kopieren der Speicherkarten meiner Kameras zu starten. Das ganze vollständig zu automatisieren war mir zu riskant, da ich schon noch zwischen Mounten (für Samba), Kopieren und Verschieben der Dateien auf der Speicherkarte unterscheiden wollte.

Alles haben diese Befehle gemeinsam, man benötigt root-rechte zum Mounten und Auswerfen der Speicherkarten. Webserver mit root-rechten betreiben? suexec Modul von Apache nutzen? Alles zu riskant und viel zu kompliziert. Der einfachste weg ist es, ein Shellscript mit root-Berechtigungen vom Webserver aus zu starten. Und das geht am besten mit sudo.

Um das Script /usr/local/sbin/webscript.sh unter root rechten zu starten, muss zuerst der Webserver berechtigt werden, das Script unter root Rechten zu starten. Das geht in der Datei /etc/sudoers. Der Eintrag

apache ALL=(ALL) NOPASSWD: /usr/local/sbin/webscript.sh

berechtigt den Benutzer apache von jedem Quellhost ohne zusätzliche Passworteingabe das Script auszuführen. Funktioniert das, sollte der Host auf localhost begrenzt werden.
Anschließend kann das Script aus PHP mittels

system('sudo /usr/local/sbin/webscript.sh');

oder wenn die Ausgabe direkt im Browser ausgegeben werden soll mit

passtruh('sudo /usr/local/sbin/webscript.sh');

ausgeführt werden. erstellt man nun ein Shellscript das eine CF-Karte mountet, je nach Parameter die Dateien kopiert oder verschiebt und startet es per PHP vom webserver, kannd er Kopiervorgang von jedem http fähigen Gerät aufgerufen werden. So ist ein Szenario denkbar, vom Streaming-Radio mit RSS-Reader komplexe Scripte am Webserver auszuführen.

Nachdem mich nun mehrere Leute nach einem Image Scaler für PHP fragten, und ja finestpics.de so etwas verwendet, habe ich dazu entschlossen ein kleines Script für genau dieses Problem zu veröffentlichen. Das Script lädt ein Bild in den Speicher, ermittelt Länge und Breite und skaliert das Bild auf die lange Seite ohne Verzerrung. Aber mehr dazu sollte jedem beim lesen des Quellcodes klar werden.

Für die ganze Skalierung werden die Image/gd Funktionen von PHP verwendet. Es sollte ab php4 funktionieren.

Hier gehts zum Script.

Wer wollte nicht schon mal mehrere MySQL Serverinstanzen auf dem gleichen Host betreiben? Eine Datenbank für Tests, die andere für die produktive Website? Oder mehrere Server pro Kunde? Kein Problem, dazu müssen in der my.cnf einfach “Konfigurationsblöcke” numerisch benannt werden und mit der jeweiligen Konfiguration befüllt werden. Und das geht so:

[mysqld1]
port = 3306
socket = /var/run/mysql/mysql-01.sock
pid-file = /var/run/mysql/mysql-01.pid
datadir = /var/lib/mysql/01
[mysqld2]
port = 3307
socket = /var/run/mysql/mysql-02.sock
pid-file = /var/run/mysql/mysql-02.pid
datadir = /var/lib/mysql/02


Aber Achtung, auf gar keinen Fall dürfen “datadir” Ordner auf das gleiche Ziel zeigen, das würde die Datenbanken in diesem Ordner beschädigen. Die meisten Distributionen verwenden zur Instanzsteuerung noch mysql_muti, wer möchte, kann den neueren und mächtigeren mysqlmanager verwenden. Dazu vielleicht später mehr.

Jeder Nutzer einer UMTS-Datenkarte sollte das Problem kennen. Karte oder Stick an den PC gesteckt, Software unter Administratorrechten installiert und sobald man versucht, mit normalen Berechtigungen eine Verbindung herzustellen, Fehlanzeige. Aber warum ist das eigentlich so? Zum Beispiel das Vodafone Dashboard. Zuerst muss wie für jede andere Hardware auch der Treiber installiert werden. Die Software selbst kommuniziert dann mit dem Modem (Stick/ Karte/Box) über AT-Befehle. Um die PIN an die SIM-Karte zu übermitteln, sendet die Software “+cpin=”1234″ oder für die Verwendung eines APN +cgdcont=1,”IP”,”APN-NAME”. Diese Befehle lassen sich auch in den Modemeigenschaften unter “weitere Initialisierungsbefehle” als Administrator konfigurieren. Leider benötigt die Eingabe der PIN etwas Zeit. Bei meinen Versuchen habe ich es unter Windows nicht geschafft eine ausreichend lange Pause zu konfigurieren (was unter Linux übrigens problemlos funktionierte). Zähneknirschend habe ich also die PIN-Abfrage der Karte deaktiviert. Interessanterweise funktioniert die PIN-Eingabe wenn man den CPIN-Befehl in den Modemeigenschaften setzt, dann wählt, ein paar Sekunden wartet, die Eigenschaften wieder ändert um den APN zu hinterlegen und ein zweites mal wählt. Ob der  Aufwand, den Gerätemanager jedes mal als Admin zu öffnen und das Modem hin und her zu konfigurieren sinnvoll ist, muss jeder selbst entscheiden.

Die eigentliche DFÜ-Verbindung kann nun unter Netzwerkverbindungen angelegt werden.

Der Assistent wird unter Netzwerkverbindungen links über die Aufgabe “neue Verbindung erstellen” gestartet. Hier klickt man zuerst “weiter”, wählt anschließend “Verbindung mit dem Internet herstellen”, klickt “Weiter”, wählt “Verbindung manuell einrichten” und klickt erneut “Weiter”. In diesem Dialogfeld wird nun das UMTS-Modem ausgewählt. Hier sollte man aufpassen, nicht aus versehen ein eventuell vorhandenes internes Moden zu erwischen.

UMTS-Modemauswahl

Sobald der richtige Haken gesetzt wurde, klickt man erneut auf Weiter. Als nächstes wird der Name der Verbindung eingegeben, zum Beispiel “Vodafone UMTS” eingetragen und mit “Weiter” bestätigt. Nun fragt der Assistent nach der Rufnummer. Für Vodafone UMTS ist an dieser Stelle “*99***1#” einzutragen. Es folgt ein die Bestätigung mit “Weiter”.

Rufnummer

Nach dem Klick auf “Weiter” erscheint die Frage “Alle benutzer” oder “Eigene Verwendung”. Ohne Administratorenrechte kann hier nur “Eigene Verwendung” ausgewäht werden. Also Weiter. Nun fragt der Assistent nach “Benutzername” und “Passwort”. bei Vodafone muss hier nicht eingetragen werden. Es folgt ein klick auf “Weiter” und anschließend “Fertig stellen”. Doch es ist noch nicht überstanden. In der Standardeinstellung fragt das System bei jedem verbindungsaufbau nach Benutzername und Kennwort. Dies kann in den Eigenschaften der DFÜ-Verbindung im Reiter “Optionen” abgeschaltet werden. Hier sollte nur “Status anzeigen” ausgewählt werden.

Optionen der UMTS-Verbindung

Die meisten Anbieter unterstützen zudem keine Verschlüssenung und nur CHAP als Anmeldeprotokoll. Wieder in den Eigenschaften der UMTS-Verbindung, diesmal im Reiter “Sicherheit” kann die unnütze Prüfung abgeschaltet werden. Als Datenverschlüsselung wird hier “Keine” und Protokolle ausschließlich das Challenge-Authentication-Protokoll “CHAP” zugelassen.

Sicherheit der RAS-Verbindung

Nun sollte die Verbindung hergestellt werden können. Zu beachten ist, manche Provider geben keine DNS-Server während des Verbindungsaufbaus an den Client. diese können aber unter dem Reiter “Netzwerk” in den Eigenschaften des Internetprotokolls “TCP/IP” konfiguriert werden. Für Vodafone ist hier “139.7.30.125″ als bevorzugter und “139.7.30.126″ als alternativer DNS-Server einzutragen.

Manuelle Eingabe der DNS-Server

Betsätigt man nun alle offenen Dialogfelder mit OK sollte man die RAS-Verbindung herstellen können. Viel Spaß beim Surfen.

Wer sollte nicht schon immer mal aus PHP auf ActiveDirectory zugreifen. Und das ganze am besten noch SSL-Geschützt über LDAPS (Port 636). Und das gnaze auch noch auf einem Windows Server 2003 mit IIS … wuah … aber in bestimmten Situationen geht es nicht anders.

Wie man PHP im IIS einbindet werde ich hier nicht beschreiben. Allerdings sollte man das LDAP-Modul auch laden. Dazu entfernt man einfach den Kommentar in der Zeile “;extension=php_ldap.dll”. Aber noch nicht genug. In der Standardeinstellung versucht das LDAP-Modul bei einer Verbindung über SSL das Zertifikat zu prüfen. Dies scheitert meistens und man erhält die Fehlermeldung ” ldap_bind(): Unable to bind to server: Can’t contact LDAP server”. Unschön. Um die Zertifikatsprüfung abzuschalten, erstellt man auf Laufwerk C: des Servers den Ordner  “C:\openldap\sysconf” und legt dort eine Datei namens “ldap.conf” ab. Hier können nun Einstellungen für das OpenLDAP-Modul gesetzt werden. Um die Zertifikatsprüfung abzuschalten, reicht es hier die Zeile “TLS_REQCERT never” einzutragen. Anschließend sollte man den IIS “WWW-Publishingdienst” neustarten.

Eine Verbindung zum LDAP-Server stellt man nun mit PHP wie folgt her:


$ldap->user="user@ad.firma.de"; // Benutzername in form LOGON@DOMÄNE
$ldap->password="12345"; // Passwort des Benutzers
$ldap->server="ad.firma.de"; // LDAP-Server, bei AD-Domänen kann einfach der Domänenname angegeben werden
/* Verbindung mit dem LDAP-Server herstellen */
$ldap->conn=ldap_connect("ldaps://".$ldap->server, 636); // Verbinde mit Server über LDAPS auf Port 636
ldap_set_option($ldap->conn, LDAP_OPT_PROTOCOL_VERSION, 3); // Verwende LDAP Protokoll version 3
ldap_set_option($ldap->conn, LDAP_OPT_REFERRALS, 0); // Referenzen nicht folgen
/* Nun melden wir uns am LDAP-Server an (LDAP-BIND)*/
$ldap->bind=ldap_bind($ldap->conn,$ldap->user,$ldap->password); // Verbindung herstellen

Nun könnte man im LDAP Suchanfragen oder andere Dinge unter den Rechten des Bind-Benutzers starten. Viel Spaß.

Wer kennt nicht das Problem. Die eigene Domain kostet Geld und die nächste Rechnung steht vor der Tür. Werbung einzubinden ist bei Blogs nicht ganz einfach, nicht aber mit Easy AdSense von Manoj Thulasidas. Das Plugin ermöglicht die schnelle und unkomplizierte Einbindung von Google AdSense im eigenem Blog. Ob im Beitrag oder als Widget. Alles kein Problem. Einfach einen Block bei Google Adsense erstellen, in der Plugin Konfiguration den Code eintragen und (wer möchte) das Sidebar-Widget aktivieren. Fertig.

Was man dazu benötigt:

1. WordPress 2.9
2. Ein Google AdSense Konto
3. Mindestens einen AdSense Werbeblock (imAdSense Konto erstellen)
4. Das Plugin
5. Etwas Zeit und viele Besucher

Views sind eine ganz praktische Sache, um bestimmte DNS-Zonen nur für einzelne Quell-Netze zur Verfügung zu stellen. So ist es möglich, auf ein und dem selben DNS-Server unkompliziert öffentliche und intern DNS-Zonen zu betreiben. Auch ist es ganz nützlich, um Kunden (die ja üblicherweise in einem Gast-Netz isoliert sind), Internetzugriff über einen Nameserver zu ermöglichen ohne die eigenen internen DNS-Zonen zu preiszugeben oder einen zweiten DNS-Server zu installieren.

Das ganze ist schnell eingerichtet. Zuerst benötigt man eine ACL in der die Clients definiert werden, für die dieser view verwendet werden soll. In meinem Beispiel sollen alle Clients aus dem Bereich 192.168.0.0/24 nur Einträge aus der Zone pub.anb-networkz.net auflösen können. Alle Clients aus 10.0.0.0/8 sollen priv.anb-networkz.net und pub.anb-networkz.net auflösen können. Die RR’s liegen in den Zonefiles pub.anb-networkz.zone und priv.anb-networkz.zone. Zusätzlich dürfen die Clients aus dem view “priv” keine Rekursiven Anfragen stellen. Nun erst einmal die relevanten Konfigurationsparameter:


# ACL fuer externe Benutzer (Gaeste)
acl "pub" { 192.168.0.0/24; };
# ACL fuer interne Benutzer, duerfen keine Internetadressen aufloesen
acl "priv" { 10.0.0.0/8; };
# Definition des Views fuer interne Benutzer
view "priv" {
match-clients { priv; }; # Trifft bei Anfragen von Intern
allow-query { priv; }; # Anfragen nur von Intern erlauben
allow-recursion { none; }; # Rekursion verbieten
# START Zonendefinition fuer interne Zone
zone "priv.anb-networkz.net" {
type master;
file "priv.anb-networkz.zone";
}
# ENDE Zonendefinition fuer interne Zone
};
# ENDE definition View fuer interne Benutzer
# START definition View fuer Gaeste
view "pub" {
match-clients { pub; }; # Triffe auf Clients der ACL pub
allow-query { pub; ]; # erlaube Anfragen von Clients der ACL pub
allow-query-cache {pub; }; # erlaubt Cache-Anfragen von Clients der ACL pub
allow-recursion { pub; }; # Erlaubt Rekursive Anfragen von Clients der ACL pub
# DNS-Zone fuer Gaeste
zone "pub.anb-networkz.net" {
type master;
file "pub.anb-networkz.zone;
}
# ENDE DNS-Zone fuer Gaeste
};
# ENDE definition View fuer Gaeste

Mit View bieten sicn nahezu unbegrenzte Möglichkeiten DNS-Server für mehrere Kunden oder Netze zu konfigurieren. Es ist problemlos möglich, Zonen mehrerer Kunden nur für die Netze dieser Kunden zugänglich zu machen aber dennoch nur einen Server zu verwenden. Vie Spaß beim ausprobieren.

Zu Weihnachten habe ich auf expliziten Wunsch einen iPod Nano verschenkt. Nun war es heute soweit. Das Gerät hing das erste mal komplett. Akku entfernen? Dank Apple nicht möglich. Reset-Taster? Auch nicht vorhanden. Handbuch? OK, hier gibt es einen Hinweis zum zurücksetzen des Gerätes mittels Tastenkombination. Hold-Schalter auf Ein schieben, dann zurück und die Tasten “Menu” und “Mitteltaste” einige Sekunden gedrückt halten. Und siehe da, der iPod startet neu. Zum Glück für das Gerät. Alternativ gäbe es ja noch das Fenster.