Speicher, Dateisysteme und Netzwerke unter Linux

Jeder Linux-Pfad beginnt in einem Verzeichnisbaum mit der Wurzel /. Ein zweiter Datenträger wird beim Einhängen über ein Verzeichnis in diesen Baum eingebunden. Der Filesystem Hierarchy Standard (FHS) beschreibt den üblichen Zweck jedes Verzeichnisses; Version 3.0 stammt aus dem Jahr 2015.

Programme und Einstellungen

Der FHS trennt statische Dateien von Dateien, die sich ändern, und gemeinsam nutzbare Dateien von rechnerspezifischen. Daher liegen installierte Programme unter /usr, veränderliche Daten unter /var und die Einstellungen dieses Rechners unter /etc.

Die älteren Orte /bin, /sbin und /lib enthalten im FHS-Aufbau grundlegende Befehle und Bibliotheken. Viele aktuelle Distributionen verwenden die /usr-Zusammenführung: Diese Pfade sind symbolische Links nach /usr. So können /bin/ls und /usr/bin/ls dasselbe Programm erreichen. Ausführbare Binärprogramme sind in /etc ausgeschlossen, administrative Skripte dürfen dort aber liegen.

Persönliche Dateien und Laufzeitdaten

Reguläre Benutzer bewahren ihre eigenen Dateien üblicherweise in /home/NAME auf; ~ bezeichnet dein Home-Verzeichnis. Benutzereinstellungen wie ~/.bashrc sind dort versteckte Einträge. /root ist das Home-Verzeichnis des Benutzers root. Das Wurzelverzeichnis / ist der Anfang des gesamten Baums und nicht das Home-Verzeichnis dieses Benutzers.

Unter /var grenzt das zweite Verzeichnis den Zweck ein:

• /var/log enthält Protokolle.
• /var/cache enthält Daten, die heruntergeladen oder neu erzeugt werden können.
• /var/lib enthält Programmzustände, darunter Datenbanken und Paketeinträge.
• /var/spool enthält Aufgaben in Warteschlangen, etwa Druckaufträge.
• /var/tmp enthält temporäre Dateien, die einen Neustart überdauern.

/tmp ist für kürzerlebige temporäre Dateien vorgesehen. /run enthält Daten für die aktuelle Laufzeit seit dem Systemstart, etwa Sockets und Prozess-ID-Dateien, und wird beim Neustart geleert. /boot enthält den Kernel, die initiale RAM-Disk und Bootloader-Dateien. /dev, /proc und /sys machen Geräte und aktuelle Kernelinformationen zugänglich.

Einhängungen und Dienstdaten

/mnt ist der übliche Ort für eine vorübergehende Einhängung von Hand. Desktopsysteme hängen Wechseldatenträger häufig unter /media/USER/LABEL ein, unter Fedora unter /run/media/USER/LABEL. /opt enthält Zusatzsoftware in separaten Paketverzeichnissen. /srv enthält Daten, die anderen Rechnern bereitgestellt werden; manche Distributionen verwenden für Websites Orte wie /var/www.

Betrachte einen aus einem Paket installierten nginx-Server unter Debian oder Ubuntu. Seine ausführbare Datei ist /usr/sbin/nginx, seine Haupteinstellungen stehen in /etc/nginx/nginx.conf, und Anfragen werden in /var/log/nginx/access.log protokolliert. Die Dokumentation liegt unter /usr/share/doc/nginx. Der Zweck des Verzeichnisses zeigt dir, wo du eine Änderung der Einstellungen oder ein wachsendes Protokoll untersuchen kannst.

Installiere einen eigenen Befehl unter /usr/local/bin, damit er von paketverwalteten Dateien getrennt bleibt. Ein Update kann Dateien unter /usr ersetzen. Verwende für einen systemd-Dienst den Ort für überschreibende Einstellungen unter /etc/systemd/system, statt seine mitgelieferte Unit unter /usr/lib/systemd/system zu bearbeiten.

Temporäre Dateien brauchen sowohl eine geeignete Lebensdauer als auch passende Rechte. Eine Datei kann einen Neustart überdauern und dennoch später zur Bereinigung vorgesehen sein. Schutz vor dem Löschen ist etwas anderes als Schutz vor dem Lesen.

Eine Lebensdauer wählen

Verwende /tmp für kurzlebige Arbeit, die ein Programm bei seiner nächsten Ausführung nicht mehr benötigt. Der FHS empfiehlt, das Verzeichnis beim Systemstart zu leeren. Fedora und Debian 13 hängen es häufig als tmpfs ein, das Arbeitsspeicher und Auslagerungsspeicher nutzt; sein Inhalt verschwindet beim Herunterfahren. Die standardmäßige Größenbegrenzung beträgt die Hälfte des physischen Arbeitsspeichers. Eine große temporäre Aufgabe kann es daher füllen, selbst wenn auf dem Hauptdatenträger noch Platz ist.

Verwende /var/tmp, wenn temporäre Arbeit einen Neustart überdauern muss. Der FHS verlangt, dass der Inhalt beim Systemstart erhalten bleibt. Es bleibt dennoch ein temporärer Speicherort: Die ursprünglichen Bereinigungsregeln von systemd entfernen üblicherweise ungenutzte Einträge nach 10 Tagen in /tmp und nach 30 Tagen in /var/tmp. Einstellungen der Distribution und lokale Einstellungen können diese Zeiträume ändern. Speichere dauerhafte Arbeit in deinem Home-Verzeichnis oder einem anderen dauerhaften Datenverzeichnis.

Die Verzeichnisrechte ablesen

Untersuche den Verzeichniseintrag selbst:

ls -ld /tmp

Eine beispielhafte Rechtezeichenfolge ist drwxrwxrwt. Das anfängliche d bedeutet Verzeichnis. Die drei Rechtegruppen erlauben allen, es zu lesen, darin zu schreiben und es zu betreten. Das abschließende t kennzeichnet das Sticky-Bit und ersetzt das übliche Zeichen für das Ausführungsrecht anderer.

Schreibrechte an einem Verzeichnis erlauben einem Benutzer normalerweise, Einträge darin zu entfernen oder umzubenennen, auch die Dateien anderer Personen. In einem Verzeichnis mit Sticky-Bit dürfen nur der Eigentümer der Datei, der Eigentümer des Verzeichnisses oder root sie löschen und umbenennen, vorbehaltlich der üblichen Zugriffsregeln. Das Bit ist gerade deshalb nützlich, weil viele Benutzer /tmp gemeinsam nutzen.

Mina erstellt zum Beispiel /tmp/draft.txt mit dem Modus 644 in einem root gehörenden Verzeichnis mit Sticky-Bit. Tomas kann die Datei lesen, weil ihre eigenen Rechte es erlauben. Er kann sie nicht allein deshalb entfernen, weil er in /tmp schreiben darf. Mina und root können sie entfernen. Änderst du den Dateimodus auf 600, schützt das den Inhalt zusätzlich vor anderen regulären Benutzern.

Das Sticky-Bit setzen und erkennen

Auf einem gemeinsam genutzten Verzeichnis, das du verwaltest:

sudo chmod 1777 /srv/shared

Die führende 1 setzt das Sticky-Bit; die übrigen 777 erlauben allen Benutzern vollen Zugriff auf das Verzeichnis. sudo chmod +t /srv/shared fügt das Bit hinzu, ohne die anderen Rechte zu ersetzen. chmod -t entfernt es, wenn du den Modus ändern darfst.

Ein kleines t bedeutet, dass sowohl das Sticky-Bit als auch das Ausführungsrecht für andere gesetzt sind. Ein großes T bedeutet, dass das Sticky-Bit gesetzt ist, anderen aber das Ausführungsrecht fehlt. Beispielsweise erscheint der Modus 1770 als drwxrwx--T. Linux ignoriert das Sticky-Bit bei regulären Dateien; sein historischer Name stammt daher, dass Programmcode im frühen Unix im Arbeitsspeicher oder Auslagerungsspeicher festgehalten wurde.

Den Namen von mktemp wählen lassen

mktemp erstellt eine Datei mit einem eindeutigen zufälligen Namen und den Rechten 600 und gibt ihren Pfad aus. mktemp -d erstellt ein privates temporäres Verzeichnis. Speichere in einem Shellskript den ausgegebenen Namen in einer Variablen, verwende diesen Namen für die Arbeit und entferne die Datei anschließend.

Ein fester Name wie /tmp/results.txt kann bereits jemand anderem gehören oder angelegt werden, bevor dein Programm startet. Ein eindeutiger Name vermeidet diese Kollision. Das Sticky-Bit macht vorhersehbare Namen nicht sicher und eine Datei mit Modus 644 nicht privat.

Ein Link bietet einen weiteren Weg zu einer Datei durch den Verzeichnisbaum. Ein symbolischer Link speichert einen Pfad. Ein Hardlink stellt einen weiteren Namen für dieselbe zugrunde liegende Datei bereit. Ihr unterschiedliches Verhalten ist wichtig, wenn der ursprüngliche Name verschoben wird oder verschwindet.

Einen symbolischen Link erstellen

Die Syntax lautet ln -s TARGET LINKNAME: zuerst das Ziel, dann der neue Name. Zum Beispiel:

ln -s /srv/manuals ~/manuals
ls -ld ~/manuals
readlink ~/manuals

ls -l beginnt die Rechtezeichenfolge eines symbolischen Links mit l und gibt einen Pfeil zu seinem Ziel aus. Die angezeigte Größe ist die Länge des gespeicherten Pfads in Byte, nicht die Größe des Zielverzeichnisses. Bei gewöhnlichen symbolischen Links unter Linux gewähren die angezeigten Rechte rwxrwxrwx keinen Zugriff auf das Ziel; es gelten weiterhin dessen eigene Rechte.

ls -ld /etc listet den Verzeichniseintrag und seine Rechte auf. ls -l /etc listet seinen Inhalt auf. Ein abschließender Schrägstrich bei einem symbolischen Link auf ein Verzeichnis bewirkt, dass dem Link gefolgt wird: ls -l manuals/ listet den Inhalt des verlinkten Verzeichnisses auf.

Einen relativen Zielpfad auflösen

Ein relativer Zielpfad beginnt beim Verzeichnis, das den Link enthält. Angenommen, /home/lee/notes.txt existiert und /home/lee/backup ist ein Verzeichnis. Führe von /home/lee aus Folgendes aus:

ln -s ../notes.txt backup/notes-link

Um dem Link zu folgen, beginne in backup, gehe mit .. eine Ebene nach oben und suche dann notes.txt. Schreibst du stattdessen ln -s notes.txt backup/notes-link, wird ein Pfad zu backup/notes.txt gespeichert. Dein Arbeitsverzeichnis beim Erstellen des Links wird nicht Teil dieses gespeicherten relativen Pfads. Ein absoluter Zielpfad vermeidet diese Mehrdeutigkeit.

Ein toter Link bleibt bestehen, nachdem sein Zielpfad verschoben oder gelöscht wurde. Beim Öffnen erscheint „No such file or directory.“ readlink LINK zeigt das gespeicherte Ziel; readlink -f LINK löst nach Möglichkeit den vollständigen Pfad auf. find . -xtype l findet tote Links unterhalb des aktuellen Verzeichnisses. Erstelle einen toten Link mit dem richtigen Ziel neu, zum Beispiel mit ln -sfn NEWTARGET LINKNAME.

Mit einem Hardlink vergleichen

printf 'hello\n' > original.txt
ln original.txt second.txt
ln -s original.txt shortcut.txt
rm original.txt

cat second.txt gibt weiterhin „hello“ aus. Ein Hardlink ist ein weiterer Verzeichniseintrag für denselben Inode, den Dateieintrag des Dateisystems. Es gibt keinen besonderen ursprünglichen Namen, der erhalten bleiben muss. cat shortcut.txt schlägt fehl, weil der gespeicherte Zielpfad nicht mehr existiert.

ls -i zeigt für zwei Hardlinks auf einem Dateisystem dieselbe Inode-Nummer. Die zweite Spalte von ls -l zeigt ihre Linkanzahl. Wird der letzte Name entfernt, wird die Datei freigegeben, sobald kein Prozess sie mehr geöffnet hält.

Entferne einen symbolischen Link mit rm LINKNAME oder unlink LINKNAME. Lasse bei einem Link auf ein Verzeichnis den abschließenden Schrägstrich weg: rm manuals entfernt nur den Link. Ein rekursiver Befehl auf manuals/ kann den Inhalt des Ziels erreichen und löschen. Systempfade wie /bin, versionierte Befehlsnamen und aktivierte systemd-Dienste verwenden häufig symbolische Links.

Ein Pfad unter Linux kann einen Datenträger, ein Terminal oder aktuelle Kernelinformationen bezeichnen. Das erste Zeichen in ls -l zeigt dir die Art des Eintrags, bevor du ihn wie ein gewöhnliches Dokument behandelst.

Dateitypen erkennen

Die Kennzeichen sind - für eine reguläre Datei, d für ein Verzeichnis, l für einen symbolischen Link, b für ein Blockgerät, c für ein zeichenorientiertes Gerät, p für eine benannte Pipe und s für einen Socket. Ein Blockgerät wie /dev/sda1 stellt Speicher in Blöcken bereit, auf die in beliebiger Reihenfolge zugegriffen werden kann. Ein zeichenorientiertes Gerät wie /dev/tty1 stellt einen Bytestrom bereit.

Eine Geräteauflistung kann so aussehen:

brw-rw---- 1 root disk 8, 1 Oct 22 08:00 /dev/sda1

Das b bezeichnet ein Blockgerät. Die Zahlen 8, 1 ersetzen das übliche Größenfeld: Die Major- und Minor-Nummern identifizieren für den Kernel Treiber und Gerät. /dev wird normalerweise von devtmpfs im Arbeitsspeicher bereitgestellt und mithilfe von udev befüllt, sobald Hardware erscheint. Beim Einstecken eines USB-Laufwerks können /dev/sdb und /dev/sdb1 entstehen.

Schreibst du direkt auf ein Datenträgergerät, können dessen Daten ohne Rückfrage überschrieben werden. Prüfe vor einem solchen Schreibvorgang die Identität des Geräts mit lsblk.

Pseudogeräte verwenden

/dev/null verwirft geschriebene Bytes und gibt beim Lesen sofort das Dateiende zurück. Dieser Befehl unterdrückt Fehlermeldungen, während normale Ergebnisse sichtbar bleiben:

find / -name '*.conf' 2>/dev/null

2> leitet die Standardfehlerausgabe um. Alles, was dorthin gesendet wird, wird verworfen.

/dev/zero liefert Nullbytes. Beispielsweise erstellt dd if=/dev/zero of=test.img bs=1M count=100 eine reguläre, mit Nullen gefüllte Datei von 100 MiB: 104.857.600 Byte. Das Ausgabeziel ist hier test.img, kein Datenträgergerät. /dev/urandom liefert Zufallsbytes; head -c 16 /dev/urandom | base64 macht 16 davon ausgebbar.

Sobald der Zufallsgenerator von Linux initialisiert ist, liefern sowohl /dev/random als auch /dev/urandom kryptografisch sichere Zufallsbytes. Bei Kernels ab Version 5.6 wartet /dev/random in der frühen Startphase auf diese Initialisierung; /dev/urandom kann Bytes zurückgeben, bevor sie abgeschlossen ist.

Aktuelle Informationen lesen

procfs, eingehängt unter /proc, erzeugt Informationen auf Anfrage. Viele Einträge zeigen die Größe null, geben beim Lesen aber Text zurück. /proc/cpuinfo beschreibt Prozessoren, /proc/meminfo den Arbeitsspeicher und /proc/mounts listet Einhängungen auf. Nummerierte Verzeichnisse beschreiben laufende Prozesse; /proc/sys macht Kerneleinstellungen zugänglich. Werkzeuge wie ps, top und free lesen diese Informationen.

cat /proc/uptime könnte 86400.52 340000.10 ausgeben. Der erste Wert sind die Sekunden seit dem Systemstart: etwa 24 Stunden. Der zweite summiert die Leerlaufzeit über die Prozessoren und kann daher die verstrichene Zeit übersteigen.

sysfs, eingehängt unter /sys, beschreibt Geräte, Treiber und Busse. ls /sys/class/net/ listet Schnittstellen auf, ls /sys/block/ Blockgeräte und cat /sys/class/net/enp0s3/address liest die MAC-Adresse einer Schnittstelle. Schreibst du in beschreibbare Einstellungen unter /proc oder /sys, änderst du den laufenden Kernel; dafür sind normalerweise root-Rechte nötig. Konfiguriere bei einer Sicherung des gesamten Systems Ausschlüsse für /proc, /sys, /dev und /run; das laufende System erstellt sie neu.

Ein Datenträger ist ein physisches oder virtuelles Speichergerät. Eine Partition ist ein Bereich davon. Die Partitionstabelle hält diese Bereiche fest, während ein Dateisystem innerhalb einer Partition deren Dateien und Verzeichnisse organisiert. Eine Partition kann auch Auslagerungsspeicher enthalten, der den Arbeitsspeicher unterstützt, statt gewöhnliche Dateien zu speichern.

Den Gerätenamen entschlüsseln

SATA-, SAS- und USB-Laufwerke verwenden häufig /dev/sda, /dev/sdb und so weiter; ihre Partitionen erhalten eine zusätzliche Nummer, etwa /dev/sdb1. NVMe-Namen enthalten bereits Ziffern, daher erhält eine Partition zusätzlich ein p: /dev/nvme0n1p2 ist Partition 2 von /dev/nvme0n1. SD- und eMMC-Geräte verwenden Namen wie /dev/mmcblk0p1; viele virtuelle Maschinen verwenden /dev/vda1.

Die Erkennungsreihenfolge kann diese Namen ändern. Identifiziere ein Laufwerk anhand mehrerer Merkmale, nicht anhand des gestrigen Buchstabens:

lsblk -o NAME,SIZE,MODEL,RM,TYPE,MOUNTPOINTS
lsblk -f
sudo blkid
sudo fdisk -l

lsblk zeigt den Datenträger und seine Partitionen als Baum. RM=1 bezeichnet ein als entfernbar markiertes Gerät; TYPE unterscheidet disk und part. Der Einhängepunkt / bezeichnet das Wurzeldateisystem. lsblk -f ergänzt Dateisystemtypen, Bezeichnungen und UUIDs. blkid liefert Kennungen und Typen, während fdisk -l Partitionsgrenzen und den Tabellentyp zeigt. Diese Untersuchungsbefehle partitionieren nichts neu.

Tabellentyp und Dateisystemtyp unterscheiden

MBR erlaubt vier primäre Partitionen; eine davon kann eine erweiterte Partition mit logischen Partitionen ab Nummer 5 sein. Bei 512-Byte-Sektoren beträgt die Adressierungsgrenze 2 TiB. GPT verarbeitet größere Laufwerke und stellt üblicherweise 128 Partitionseinträge bereit. UEFI-Systeme starten über eine EFI-Systempartition, die mit FAT formatiert und häufig unter /boot/efi eingehängt ist.

Debian und Ubuntu verwenden häufig ext4; RHEL verwendet standardmäßig XFS; Fedora Workstation und openSUSE verwenden häufig Btrfs. FAT32 erscheint unter Linux als vfat und kann keine einzelne Datei von 4 GiB oder mehr enthalten. exFAT eignet sich für größere Dateien auf Wechselmedien; NTFS ist auf Windows-Datenträgern verbreitet. Allein das Vorhandensein einer Partition bedeutet nicht, dass sie bereits ein Dateisystem hat.

Die Größeneinheiten ablesen

lsblk, df -h und du -h verwenden binäre Einheiten: G steht für ein GiB oder 1.073.741.824 Byte. Laufwerkshersteller verwenden dezimale GB mit jeweils 1.000.000.000 Byte. Daher erscheint ein Laufwerk mit 500.107.862.016 Byte als 465.8G; 32.000.000.000 Byte entsprechen etwa 29.8G. lsblk -b zeigt die genaue Anzahl der Bytes. Dieser Unterschied in den Bezeichnungen ist keine verlorene Kapazität.

Um ein neues leeres Laufwerk vorzubereiten, musst du es zunächst partitionieren und anschließend ein Dateisystem erstellen, zum Beispiel mit sudo mkfs.ext4 /dev/sdb1. Prüfe vor dem Ändern von Partitionen oder Formatieren das Ziel anhand von Größe, Modell und Wechseldatenträgerstatus, vergewissere dich, dass seine Daten zerstört werden dürfen, und hänge es aus. fdisk -l listet nur auf; das interaktive fdisk schreibt Änderungen, wenn du w verwendest.

Das Einhängen verbindet ein Dateisystem mit einem Verzeichnis, seinem Einhängepunkt. Ein unter /data eingehängtes Dateisystem wird über Pfade wie /data/report.pdf zugänglich. Der Verzeichnisbaum bleibt zusammenhängend, selbst wenn mehrere Datenträger seinen Inhalt bereitstellen.

Einhängen und untersuchen

Angenommen, lsblk -f identifiziert /dev/sdb1 als das Dateisystem, das du lesen möchtest. Erstelle ein leeres Verzeichnis als Einhängepunkt und hänge es dann ein:

sudo mkdir -p /mnt/usb
sudo mount /dev/sdb1 /mnt/usb
findmnt /mnt/usb

mount erkennt den Typ normalerweise selbst. Gib -t ext4 an, wenn du ihn ausdrücklich nennen musst. findmnt zeigt TARGET, SOURCE, FSTYPE und OPTIONS. mount ohne Argumente listet Einhängungen auf, einschließlich virtueller Dateisysteme; df -h meldet deren Speicherplatz und lsblk zeigt Einhängepunkte neben den Blockgeräten.

Das Einhängen über einem Verzeichnis verbirgt dessen vorhandenen Inhalt. Lag /mnt/usb/local.txt vorher dort, ist die Datei nicht sichtbar, solange das USB-Dateisystem eingehängt ist, und erscheint nach dem Aushängen wieder. Sie wurde weder auf das Laufwerk kopiert noch gelöscht.

Optionen für die Aufgabe wählen

Verwende -o für eine durch Kommas getrennte Optionsliste. sudo mount -o ro /dev/sdb1 /mnt/usb verhindert gewöhnliche Schreibzugriffe auf Dateien über diese Einhängung. Das ist für eine Untersuchung nützlich, obwohl das Einhängen selbst noch auf das Gerät schreiben kann. rw erlaubt Schreibzugriffe.

noexec verhindert die direkte Ausführung von Dateien auf dem eingehängten Dateisystem. Es hindert einen Interpreter nicht daran, ein Skript zu lesen: bash /mnt/usb/script.sh kann weiterhin ein lesbares Skript ausführen. Betrachte dies als Einschränkung der direkten Ausführung, nicht als vollständige Sperre gegen die Ausführung des Inhalts.

FAT und exFAT speichern keine Unix-Eigentümer. Wenn root ein solches Laufwerk einhängt, gib den gewünschten Eigentümer über Einhängeoptionen an. Prüfe beide IDs mit id -u und id -g. Wenn beide 1000 ausgeben:

sudo mount -o uid=1000,gid=1000 /dev/sdb1 /mnt/usb
cp report.pdf /mnt/usb/

Dies legt die von Linux angezeigte Eigentümer- und Gruppenzuordnung für die Einhängung fest. Das Ändern von Rechten mit chmod ist nicht derselbe Mechanismus für die Eigentümerzuordnung wie bei ext4.

Die Arbeit abschließen

Verlasse das Dateisystem und schließe Programme, die es nutzen. Führe dann aus:

sudo umount /mnt/usb

Der Befehl wird umount geschrieben. Hänge Wechselspeicher aus, bevor du ihn abziehst, damit gepufferte Schreibvorgänge das Laufwerk erreichen. Auf einem Desktop erledigt die Aktion „Auswerfen“ im Dateimanager diese Aufgabe.

Meldet der Befehl „target is busy“, nutzt ein Prozess das Dateisystem noch. Eine Shell, deren aktuelles Verzeichnis /mnt/usb ist, genügt dafür. Führe cd in dieser Shell aus, schließe offene Dateien und versuche es erneut. fuser -vm /mnt/usb oder lsof /mnt/usb hilft, Nutzer des Dateisystems zu identifizieren.

Desktopsysteme richten automatische Einhängungen von Wechselmedien normalerweise über udisks2 ein, unter /media/USER/LABEL oder unter Fedora unter /run/media/USER/LABEL. Server verwenden im Allgemeinen konfigurierte Einhängungen beim Systemstart oder manuelle Befehle. Durch Einhängungen können auch ein Dateisystemabbild, Arbeitsspeicher oder eine Netzwerkfreigabe zugänglich gemacht werden. Nach dem Erstellen von /mnt/iso stellt beispielsweise sudo mount -o loop,ro ubuntu.iso /mnt/iso ein ISO-Abbild als Verzeichnis bereit.

Eine manuelle Einhängung erstellt keine Regel für den Systemstart. /etc/fstab liefert diese Regeln, einen Eintrag pro Dateisystem oder Auslagerungsbereich. Auf einem System mit systemd wandelt ein Generator Dateisystemeinträge in Mount-Units und Swap-Einträge in Swap-Units um.

Alle sechs Felder lesen

Ein ext4-Dateisystem für Daten kann diesen Eintrag verwenden:

UUID=3f2c9a1e-7b4d-4e8a-9c61-2d5f0b8e4a17 /data ext4 defaults,nofail 0 2

Leerzeichen oder Tabulatoren trennen die sechs Felder. Kommas verbinden Optionen innerhalb eines Feldes; setze keine Leerzeichen in diese Liste.

1. Quelle: eine UUID, Bezeichnung oder ein Gerätepfad.
2. Einhängepunkt: hier /data.
3. Typ: hier ext4.
4. Optionen: hier defaults,nofail.
5. Dump-Kennzeichen: normalerweise 0, wodurch das alte Dump-Sicherungskennzeichen deaktiviert wird.
6. Prüfreihenfolge der Dateisysteme: 1 für das Wurzeldateisystem, 2 für andere Dateisysteme, die geprüft werden müssen, 0 zum Überspringen; XFS und Btrfs verwenden normalerweise 0.

Eine Zeile, die mit # beginnt, ist ein Kommentar. Ein Swap-Eintrag verwendet none als Feld für den Einhängepunkt, den Typ swap und endet üblicherweise mit 0 0.

Eine dauerhafte Kennung wählen

Ermittle die UUID des Dateisystems mit lsblk -f oder sudo blkid. Anders als ein Name wie /dev/sdb1 bleibt die UUID beim Dateisystem, wenn sich die Erkennungsreihenfolge der Laufwerke ändert. Beim Neuformatieren entsteht ein neues Dateisystem mit einer neuen UUID, aktualisiere daher anschließend seinen fstab-Eintrag.

defaults umfasst Lese- und Schreibzugriff sowie automatisches Einhängen. nofail erlaubt die Fortsetzung des Systemstarts, wenn ein optionales Laufwerk fehlt. noauto überspringt das automatische Einhängen; der Eintrag kann später trotzdem sudo mount /data ermöglichen. ro bedeutet schreibgeschützt und noexec blockiert die direkte Ausführung. user erlaubt einem normalen Benutzer, den Eintrag einzuhängen.

Einen Eintrag hinzufügen und testen

Für eine bereits vorbereitete ext4-Datenpartition:

sudo cp /etc/fstab /etc/fstab.bak
lsblk -f
sudo mkdir -p /data

Bearbeite /etc/fstab und füge die Zeile mit der tatsächlich ausgegebenen UUID hinzu. Teste dann vor dem Neustart:

sudo findmnt --verify
sudo systemctl daemon-reload
sudo mount -a
findmnt /data

findmnt --verify prüft die Tabelle, auch auf Probleme mit ihren Feldern und Quellen. Durch das Neuladen liest systemd die geänderte Konfiguration erneut ein. mount -a hängt geeignete Einträge ein, die noch nicht eingehängt sind. findmnt /data bestätigt anschließend Quelle, Typ und aktuelle Optionen. Ein erfolgreiches mount -a bedeutet nicht, dass ein noauto-Eintrag getestet wurde; hänge diesen Eintrag ausdrücklich ein.

Das Wurzelverzeichnis eines neu eingehängten ext4-Dateisystems kann root gehören. Sobald das richtige Dateisystem eingehängt ist, macht sudo chown lee:lee /data Lee zum Eigentümer dieses Verzeichnisses. Führst du dies vor dem Einhängen aus, änderst du stattdessen das darunterliegende Verzeichnis des Einhängepunkts.

Eine falsche UUID, ein falscher Typ oder ein nicht verfügbares benötigtes Gerät kann den Systemstart unterbrechen und das System im Notfallmodus zurücklassen. Korrigiere solche Fehler, während das System läuft. systemctl list-units --type=mount zeigt die daraus entstandenen aktiven Mount-Units.

df meldet den Speicherplatz eingehängter Dateisysteme. Es beantwortet die Frage: „Wie voll ist das Dateisystem, das diesen Pfad enthält?“ Es addiert nicht die Dateien eines Verzeichnisses. Dank dieses Unterschieds kannst du das betroffene Speichermedium identifizieren, bevor du nach seinen größten Inhalten suchst.

Einen Speicherplatzbericht lesen

Untersuche mit df -h /var/log das Dateisystem, das das Protokollverzeichnis enthält. Ein Bericht könnte Folgendes zeigen:

Filesystem Size Used Avail Use% Mounted on
/dev/vda1   98G  61G   32G  66% /
/dev/vdb1  916G 210G  660G  25% /data

Hier verwenden Protokolle unter /var/log das Wurzeldateisystem, sofern dort kein separates Dateisystem eingehängt ist. Der freie Speicherplatz des Dateisystems /data hilft einem Schreibvorgang nach /var/log nicht allein deshalb, weil beide zu einem Rechner gehören.

Die Spalten beschreiben die Größe des Dateisystems, den belegten Speicherplatz, den für normale Benutzer verfügbaren Speicherplatz, den belegten Anteil in Prozent und den Einhängepunkt. GNU df berechnet Use% als Used geteilt durch Used plus Avail und rundet auf. Im Beispiel für das Wurzeldateisystem ergibt 61 geteilt durch 93 etwa 65,6 %, angezeigt als 66%. Die menschenlesbaren Zahlen selbst sind gerundet.

Size kann größer als Used + Avail sein. Ein ext4-Dateisystem reserviert normalerweise 5 % seiner Blöcke für root, damit wichtige Dienste weiterarbeiten können, wenn Benutzer den Rest füllen. Fünf Prozent von 98G sind etwa 4,9G. Diese ungenutzten reservierten Blöcke sind im für normale Benutzer verfügbaren Avail nicht enthalten; sie sind keine Dateidaten in Used. Die Reserve kann mit tune2fs -m angepasst werden, etwa auf 1 % für ein großes Dateisystem für Daten. Auch Metadaten benötigen Speicherplatz.

Eine geeignete Ansicht wählen

df -h verwendet die binären Einheiten K, M und G. df -H verwendet dezimale Potenzen von 1000. df ohne Optionen meldet normalerweise Blöcke von 1024 Byte, und df -T ergänzt den Dateisystemtyp. Um weniger Einträge für Dateisysteme im Arbeitsspeicher anzuzeigen:

df -h -x tmpfs -x devtmpfs

Ein tmpfs-Eintrag bezeichnet Speicher im Arbeitsspeicher, während efivarfs Firmware-Variablen zugänglich macht. free misst RAM und Auslagerungsspeicher und kann daher df für die Kapazität von Datenträgern nicht ersetzen. lsblk zeigt dir, wie groß ein Datenträger oder eine Partition ist, nicht wie viel freien Speicherplatz das Dateisystem darauf hat.

Auch die Dateieinträge prüfen

Ein Inode ist ein Eintrag im Dateisystem für eine Datei oder ein Verzeichnis. Namen mit Hardlinks teilen sich einen Eintrag. Ein ext4-Dateisystem hat einen festen Vorrat an Inodes, der mit dem Dateisystem erstellt wird. Sehr viele winzige Dateien können ihn aufbrauchen, während noch Gigabytes an Datenspeicher frei bleiben.

df -i /var/log

Lies IUsed, IFree und IUse%. Ist IFree null, kann das Erstellen einer neuen Datei mit „No space left on device“ fehlschlagen, selbst wenn df -h freien Speicherplatz zeigt. Das Entfernen einiger weniger großer Dateien gibt Blöcke, aber nur sehr wenige Inodes frei; das Bereinigen vieler unerwünschter Sitzungs- oder Cache-Dateien behebt einen Inode-Mangel.

Wenn der Speicher des Wurzeldateisystems voll ist, können Datenbanken stehen bleiben, Protokollierung und Updates fehlschlagen und Anmeldungen scheitern. Prüfe frühzeitig sowohl df -h PATH als auch df -i PATH. Die Berichte zeigen, welche Ressource erschöpft ist und welches eingehängte Dateisystem Aufmerksamkeit benötigt.

Sobald df das volle Dateisystem identifiziert hat, finde mit du die Verzeichnisse, die dort Speicherplatz belegen. Untersuche sie vor dem Löschen: Anwendungszustand und ersetzbare Cache-Dateien können aus sehr unterschiedlichen Gründen groß sein.

Den Verzeichnisbaum abwärts durchsuchen

sudo du -h -d 1 /var | sort -h
sudo du -sh /var/log

-d 1 liefert Summen für eine Verzeichnisebene darunter, und -s gibt eine Gesamtsumme aus. sort -h versteht Größen wie 900M und 2.1G. Verwende sudo, um Verzeichnisse einzubeziehen, die dein reguläres Konto nicht lesen kann. Ist /var/log groß, wiederhole dort den ersten Befehl, um das wachsende Unterverzeichnis zu finden.

du -sh * überspringt Namen, die mit einem Punkt beginnen, weil das Shell-Muster * nicht auf sie zutrifft. du -h -d 1 ~ | sort -h berücksichtigt bei der Untersuchung eines Home-Verzeichnisses versteckte Verzeichnisse wie .cache und .local.

Um einzelne große Dateien auf dem Wurzeldateisystem zu finden:

sudo find / -xdev -type f -size +500M 2>/dev/null

-xdev bleibt auf dem Ausgangsdateisystem; -type f wählt reguläre Dateien; M bedeutet hier MiB. ls -lhS sortiert die Dateien eines Verzeichnisses von der größten zur kleinsten.

Unterschiedliche Summen verstehen

ls -l meldet die logische Länge einer Datei. du zählt normalerweise den zugewiesenen Speicherplatz. Eine Datei mit „hi“ und einem Zeilenvorschub ist 3 Byte lang, kann aber einen 4-KiB-Block belegen, angezeigt als 4.0K. Ein Sparse-Abbild eines virtuellen Datenträgers kann eine große logische Länge haben und dabei viel weniger tatsächlichen Speicherplatz belegen. du --apparent-size meldet stattdessen logische Längen.

Eine höhere Belegung bei df als bei der Untersuchung eines Verzeichnisses kann auch durch nicht lesbare Verzeichnisse, unter Einhängepunkten verborgene Dateien oder gelöschte, noch geöffnete Dateien entstehen. Das Löschen eines Namens gibt die Daten nicht frei, solange ein Prozess die Datei geöffnet hält.

Beispielsweise kann das Entfernen eines 20G großen laufenden Anwendungsprotokolls df unverändert lassen. Untersuche solche Dateien mit sudo lsof +L1. Ein Neustart des zugehörigen Dienstes gibt seine geöffnete Datei frei, sodass der Speicherplatz freigegeben werden kann. Um ein bekanntes entbehrliches aktives Protokoll zu leeren, ohne eine geöffnete Datei ohne Verzeichniseintrag zu hinterlassen, hält sudo truncate -s 0 /var/log/app/app.log Namen und Datei an Ort und Stelle. Dies löscht den aufgezeichneten Inhalt.

Daten mit dem zuständigen Werkzeug bereinigen

Paketwerkzeuge wissen, welche heruntergeladenen Dateien ersetzt werden können. Verwende sudo apt clean unter Debian oder Ubuntu beziehungsweise sudo dnf clean all unter Fedora oder RHEL. Prüfe die von apt autoremove oder dnf autoremove vorgeschlagenen Änderungen, bevor du ungenutzte Pakete entfernst. Räume deine eigenen unerwünschten Downloads und den Papierkorb auf. Lösche keine Dateien aus /usr, /boot oder /var/lib von Hand, um Platz zu schaffen.

Bei einem wachsenden Journal entfernt sudo journalctl --vacuum-size=1G alte archivierte Journaldateien, bis ihre Gesamtsumme innerhalb der Grenze liegt. Durch aktive Dateien kann die gesamte Journalbelegung über dieser Größe bleiben. Setze für eine dauerhafte Begrenzung SystemMaxUse=1G in /etc/systemd/journald.conf und starte systemd-journald neu.

Führe nach der Bereinigung erneut df -h PATH oder df -i PATH aus, um zu bestätigen, dass die Ressource, die den Fehler verursacht hat, wieder verfügbar ist. Wächst das Journal oder ein anderes Protokoll wiederholt, untersuche sowohl die Meldungen, die das Wachstum verursachen, als auch die Aufbewahrungseinstellungen.

Eine Netzwerkschnittstelle ist ein Verbindungspunkt, über den der Kernel Datenverkehr sendet. Es kann sich um Ethernet, WLAN, Loopback oder eine virtuelle Verbindung wie ein VPN handeln. Namen wie enp0s3, eno1 und wlp2s0 bezeichnen physische Adapter; lo ist Loopback. Manche virtuellen Systeme und Cloud-Systeme verwenden eth0.

IPv4 und sein Präfix lesen

Ethernet- und WLAN-Schnittstellen haben eine 48 Bit lange MAC-Adresse, die als sechs hexadezimale Paare geschrieben und für die Zustellung im lokalen Netzwerk verwendet wird. Eine IP-Adresse identifiziert einen Host für die Kommunikation über Netzwerkgrenzen hinweg. Eine Schnittstelle kann mehrere IP-Adressen haben.

IPv4 hat 32 Bit und wird als vier Zahlen von 0 bis 255 geschrieben. In 192.168.1.50/24 identifizieren die ersten 24 Bit das Netzwerk und acht Bit bleiben für Adressen darin. Das Netzwerk ist 192.168.1.0/24 mit der Netzmaske 255.255.255.0.

Diese acht Bit liefern 256 Adressen. Die erste bezeichnet das Netzwerk und die letzte, 192.168.1.255, ist dessen Broadcast-Adresse. Es bleiben 254 Hostadressen. Ein /26 hat sechs Hostbits: insgesamt 64 Adressen und 62 gewöhnliche Hostadressen. /24 zählt Netzwerkbits, keine Rechner.

Die privaten Bereiche sind 10.0.0.0/8, 172.16.0.0/12 und 192.168.0.0/16. Sie werden nicht öffentlich geroutet; ein Heimrouter verwendet häufig NAT, um privaten Datenverkehr auf seine öffentliche Adresse umzusetzen. 127.0.0.1 ist Loopback und bezeichnet den Rechner, auf dem der Befehl läuft. Eine link-lokale Adresse 169.254.x.x weist oft auf eine fehlgeschlagene DHCP-Konfiguration hin. Die Dokumentation verwendet 192.0.2.0/24, 198.51.100.0/24 und 203.0.113.0/24.

IPv6 erkennen

IPv6 hat 128 Bit in acht hexadezimalen Gruppen. Entferne führende Nullen innerhalb einer Gruppe und ersetze eine Folge von Nullgruppen durch ::: Aus 2001:0db8:0000:0000:0000:0000:0000:0042 wird 2001:db8::42. Verwende :: nur einmal in einer Adresse. ::1 ist Loopback; fe80:-Adressen sind auf IPv6-fähigen Ethernet- und WLAN-Verbindungen link-lokal. Lokale IPv6-Netzwerke verwenden häufig /64, und ein Host hat oft mehrere Adressen.

Netzwerke und Dienste erreichen

Ein Host sendet Datenverkehr direkt an Ziele in einem direkt verbundenen Netzwerk. Sein Standardgateway ist für Ziele zuständig, für die es keine spezifischere Route gibt. Das Gateway ist ein Router, der über die lokale Verbindung erreichbar ist. Ohne passende Route oder Standardroute sind andere Netzwerke unerreichbar.

Ein Port bezeichnet einen Dienst an einer Adresse: SSH verwendet TCP 22, DNS verwendet UDP und TCP 53, HTTP verwendet TCP 80 und HTTPS üblicherweise TCP 443. TCP stellt zuverlässige Verbindungen bereit; UDP überträgt unabhängige Nachrichten. Ein Socket-Endpunkt kombiniert eine Adresse und einen Port, etwa 192.168.1.50:22.

Die Konfiguration beziehen oder festlegen

DHCP für IPv4 überlässt einem Host vorübergehend eine Adresse, ein Präfix, ein Gateway und DNS-Einstellungen. Bei statischer Konfiguration werden feste Werte festgelegt, wie häufig bei Servern. IPv6-SLAAC bildet eine Adresse aus Informationen, die der Router bekannt gibt. DHCPv6 kann IPv6-Adressen und DNS-Server bereitstellen; Informationen über den IPv6-Standardrouter stammen aus Routerankündigungen. Eine DHCPv6-Adresse allein liefert diese Route nicht.

Der Befehl ip zeigt den aktuellen Zustand des Netzwerks. Seine Objekte beschreiben unterschiedliche Teile: addr für Adressen, link für den Schnittstellenzustand, route für das Routing und neigh für lokale Nachbarn. ss zeigt Sockets und ihre lauschenden Dienste.

Eine Schnittstelle untersuchen

ip -br addr
ip addr show dev enp0s3
ip link show

Die Kurzansicht könnte enp0s3 UP 192.168.1.50/24 fe80::a00:27ff:fe3a:5c71/64 zeigen. Die Schnittstelle ist aktiv und hat eine IPv4-Adresse und eine link-lokale IPv6-Adresse. Die längere Ausgabe trennt diese Felder:

link/ether 08:00:27:3a:5c:71 brd ff:ff:ff:ff:ff:ff
inet 192.168.1.50/24 brd 192.168.1.255 scope global dynamic enp0s3
inet6 fe80::a00:27ff:fe3a:5c71/64 scope link

link/ether gibt die MAC-Adresse an. inet leitet IPv4 ein und inet6 IPv6. Der IPv4-Wert brd ist die Broadcast-Adresse, nicht das Gateway. dynamic weist auf eine dynamisch zugewiesene Adresse hin und valid_lft zeigt, wie lange sie gültig bleibt. UP ist der administrative Zustand; LOWER_UP zeigt eine funktionierende Verbindung auf der darunterliegenden Ebene an.

ip -4 addr und ip -6 addr wählen eine Adressfamilie. ip link lässt IP-Adressen weg. hostname -I gibt die konfigurierten Adressen des Rechners aus. Wähle nicht 127.0.0.1, wenn du einem anderen Rechner eine Adresse für diesen Host gibst.

Die Route getrennt lesen

default via 192.168.1.1 dev enp0s3 proto dhcp src 192.168.1.50 metric 100
192.168.1.0/24 dev enp0s3 proto kernel scope link src 192.168.1.50 metric 100

ip route show erzeugt eine solche Ausgabe. Das lokale Netzwerk 192.168.1.0/24 ist direkt über enp0s3 erreichbar. Andere Ziele verwenden gemäß der Standardroute das Gateway 192.168.1.1. proto dhcp zeigt, woher diese Route stammt; src gibt die bevorzugte Quelladresse an.

Untersuche mit ip route get 203.0.113.10 den gewählten Weg zu einem Ziel. ip -6 route show listet IPv6-Routen auf. ip neigh zeigt ermittelte lokale Zuordnungen von IP- zu MAC-Adressen; ein Gateway-Eintrag mit FAILED bedeutet, dass die Nachbarauflösung die benötigte lokale Antwort nicht erhalten hat.

Prüfen, wo ein Dienst lauscht

sudo ss -tulnp

Die Optionen stehen für TCP, UDP, lauschend, numerische Adressen und Prozessdetails. Lies die Spalte für die lokale Adresse. 0.0.0.0:22 nimmt Datenverkehr an allen lokalen IPv4-Adressen an, während 127.0.0.1:5432 nur lokal erreichbar ist. [::]:80 bezeichnet alle IPv6-Adressen. Das Lauschen ist nur eine Voraussetzung; Netzwerkerreichbarkeit und Zugriffsregeln spielen weiterhin eine Rolle. ss -tn listet aktuelle TCP-Verbindungen auf, ohne nur lauschende Sockets auszuwählen.

Ältere Anleitungen verwenden ifconfig, route, arp und netstat. Ihre aktuellen Entsprechungen sind ip addr/ip link, ip route, ip neigh und ss. Fehlt ifconfig, fehlt ein Werkzeug, nicht das Netzwerk. Kurzformen wie ip a, ip r und ip l sind zulässige Abkürzungen.

Ein temporärer Befehl und ein gespeichertes Netzwerkprofil erfüllen unterschiedliche Zwecke. ip ändert den laufenden Kernelzustand sofort; der Netzwerkmanager der Distribution stellt gespeicherte Einstellungen beim Systemstart wieder her und kann temporäre Änderungen schon früher ersetzen.

Eine temporäre Änderung vornehmen

An einer Übungsschnittstelle namens enp0s8:

sudo ip link set dev enp0s8 up
sudo ip addr add 192.168.50.10/24 dev enp0s8
sudo ip route add default via 192.168.50.1

Gib das Präfix an. Ohne /24 erhält eine hinzugefügte IPv4-Adresse /32, sodass die erwartete Route zum lokalen /24-Netzwerk fehlt. ip addr del entfernt die angegebene Adresse, ip route del default entfernt die Standardroute und ip link set ... down deaktiviert die Schnittstelle.

Änderst du die Schnittstelle, über die eine entfernte SSH-Sitzung läuft, kann deine Verbindung abbrechen. Verwende dafür Konsolenzugriff oder ein Konfigurationswerkzeug mit Rücksetzfunktion.

Einstellungen mit dem aktiven Netzwerkmanager speichern

Fedora, RHEL und viele Desktops verwenden NetworkManager. Finde das Profil mit nmcli device status und ändere dann seine Verbindung anhand ihres Namens:

sudo nmcli connection modify "Wired connection 1" ipv4.method manual ipv4.addresses 192.168.1.60/24 ipv4.gateway 192.168.1.1 ipv4.dns 192.168.1.1
sudo nmcli connection up "Wired connection 1"

Setzt du ipv4.method auto, kehrt das Profil zu DHCP zurück. Ubuntu verwendet häufig netplan-YAML unter /etc/netplan/; andere Systeme verwenden .network-Dateien von systemd-networkd oder /etc/network/interfaces von Debians ifupdown. Cloud-Systeme nutzen oft DHCP und cloud-init.

Eine statische netplan-Konfiguration kann so aussehen:

network:
  version: 2
  ethernets:
    enp0s3:
      dhcp4: false
      addresses: [192.168.1.60/24]
      routes:
        - to: default
          via: 192.168.1.1
      nameservers:
        addresses: [192.168.1.1]

Verwende zum Einrücken Leerzeichen. sudo netplan try wendet die Konfiguration an und gibt dir vor dem Zurücksetzen 120 Sekunden Zeit zur Bestätigung. sudo netplan apply wendet sie direkt an.

Eine Ebene nach der anderen testen

Beginne mit ip -br link, dann ip -br addr und danach ip route. Eine fehlende aktive Verbindung, eine fehlende geeignete Adresse und eine fehlende Standardroute sind unterschiedliche Fehler. Teste das Gateway mit ping -c 3 192.168.1.1, dann eine externe Adresse und dann einen Namen. Die Anzahl bei -c lässt ping unter Linux nach einer festen Zahl von Anfragen stoppen; verwende sonst Strg+C.

Eine Antwort meldet die Umlaufzeit, während die Zusammenfassung den Paketverlust meldet. Eine ausbleibende Echoantwort kann sowohl auf ICMP-Filterung als auch auf einen ausgefallenen Host oder eine fehlerhafte Route zurückgehen. Funktioniert eine Adresse, aber ein Name führt zu „Temporary failure in name resolution“, untersuche die Namensauflösung. Gibt ping die aufgelöste Adresse aus und erhält danach keine Antworten, war die Namensauflösung bereits erfolgreich.

tracepath oder traceroute zeigt antwortende Router entlang des Pfads. Teste auch die tatsächliche Anwendung: curl -I https://example.com fragt HTTP-Header ab. Ist eine lokale Webanfrage erfolgreich, aber entfernte Anfragen schlagen fehl, untersuche sudo ss -tlnp. Ein an 127.0.0.1:80 gebundener Dienst benötigt für den entfernten Zugriff eine Bindungsadresse, die im Netzwerk erreichbar ist, sowie die nötigen Netzwerkzugriffsregeln.

Namen ermöglichen es, web1.example.com zu verwenden, statt sich eine Adresse zu merken. DNS, das Domain Name System, speichert Einträge in einer verteilten Hierarchie von Domains. Ein kurzer Hostname wie web1 bezeichnet einen Rechner; sein vollqualifizierter Domainname identifiziert ihn innerhalb der gesamten Hierarchie.

Erkennen, was ein Eintrag beantwortet

DNS-Server verwenden Port 53 sowohl über UDP als auch über TCP. Die Gültigkeitsdauer (TTL) eines Eintrags gibt in Sekunden an, wie lange Zwischenspeicher ihn behalten dürfen. Eine TTL von 3600 entspricht einer Stunde. Das Ändern eines Eintrags entfernt die ältere Antwort nicht sofort aus jedem Zwischenspeicher.

Der Resolver ist die Clientseite der Namensauflösung: Bibliothekscode und häufig ein Dienst wie systemd-resolved. Seine konfigurierten Nameserver sind normalerweise rekursive Resolver, die von einem Router, Anbieter, einer Organisation oder einem öffentlichen Dienst betrieben werden. Sie suchen Antworten und speichern sie für Clients zwischen.

Die Reihenfolge der Systemquellen prüfen

Linux-Anwendungen verwenden im Allgemeinen die Abfragequellen, die in der Zeile hosts: in /etc/nsswitch.conf konfiguriert sind. Ein einfaches Beispiel ist:

hosts: files dns

Hier bedeutet files die Datei /etc/hosts, die vor DNS geprüft wird. Andere Installationen enthalten Quellen wie resolve oder mdns4_minimal. Lies beim Vergleich zweier Systeme die tatsächliche Zeile.

/etc/hosts enthält eine Adresse, gefolgt von ihrem Hauptnamen und optionalen Aliasnamen:

127.0.0.1 localhost
::1 localhost ip6-localhost
192.168.1.20 nas.home.arpa nas

Bei der gezeigten Suchreihenfolge wird nas auf diesem Rechner zu 192.168.1.20 aufgelöst. home.arpa ist für Heimnetzwerke reserviert. Änderungen an der hosts-Datei werden ohne Neustart wirksam, betreffen aber nur den Rechner, dessen Datei du bearbeitest. Die Datei akzeptiert weder Platzhalter noch Portnummern: 192.168.1.20:8080 nas ist ungültig.

Lokale Einträge gezielt nutzen

Ein Eintrag in der hosts-Datei kann ein Gerät in einem kleinen Netzwerk benennen oder deinen Rechner vor einer öffentlichen DNS-Änderung auf einen Ersatz-Webserver verweisen. Die Zuordnung eines Namens zu 0.0.0.0 wird ebenfalls verwendet, um ihn lokal zu blockieren. Jede dieser Anwendungen ändert die Adressauflösung, nicht den Port oder die Konfiguration des Dienstes.

Angenommen, eine Website zieht um und funktioniert auf anderen Rechnern, aber nicht auf deinem. Ein alter Eintrag in /etc/hosts kann deinen Browser weiterhin an die frühere Adresse leiten, selbst wenn DNS korrekt ist. Vergleiche den lokalen Eintrag mit dem aktuell vorgesehenen Ziel, bevor du Netzwerkrouten änderst.

Der eigene Hostname des Rechners ist eine separate Einstellung. hostname gibt ihn aus; sudo hostnamectl set-hostname web1 ändert ihn. /etc/hostname speichert den konfigurierten Namen. Debian und Ubuntu ordnen ihn üblicherweise auch in /etc/hosts zu, zum Beispiel 127.0.1.1 web1. Aktualisiere nach einer Umbenennung auch diese Zuordnung. Eine Abweichung kann bei der Verwendung von sudo die Warnung „unable to resolve host web1“ verursachen. Das Ändern deines Hostnamens erstellt keinen öffentlichen DNS-Eintrag dafür.

Verwende einen Test, der zu deiner Fragestellung passt. Eine direkte Abfrage prüft die Antwort eines DNS-Servers. Eine Systemabfrage prüft die Quellen, die Linux-Anwendungen normalerweise nutzen und die neben DNS auch lokale Dateien umfassen können.

Die Resolver-Konfiguration lesen

/etc/resolv.conf kann nameserver 192.168.1.1 und search example.com enthalten. Die Nameserver-Zeile bezeichnet einen DNS-Server; durch das Suchsuffix kann ein kurzer Name wie web1 als web1.example.com versucht werden. Der herkömmliche Resolver verwendet bis zu drei konfigurierte Nameserver, normalerweise der Reihe nach. Optionen können das Verhalten bei Zeitüberschreitungen und erneuten Versuchen einstellen.

Diese Datei wird oft von einem Netzwerkdienst erzeugt. Ein Kommentar oder symbolischer Link zeigt, wer sie verwaltet. Direkte Änderungen können bei der nächsten Netzwerkaktualisierung verschwinden. Ändere gespeicherte DNS-Werte daher über NetworkManager, netplan oder den aktiven Netzwerkmanager.

Auf einem System mit systemd-resolved verweist die Datei häufig auf /run/systemd/resolve/stub-resolv.conf und nennt 127.0.0.53. Das ist ein lokaler DNS-Stub und kein externer Server, der versehentlich durch Loopback ersetzt wurde. Er leitet Abfragen weiter und speichert Antworten zwischen. Verwende:

resolvectl status
resolvectl query example.com
resolvectl flush-caches

Der erste Befehl zeigt die tatsächlichen vorgelagerten DNS-Server einschließlich der Einstellungen pro Schnittstelle. Leere den Zwischenspeicher, wenn du bei der Untersuchung einer Änderung gespeicherte Ergebnisse verwerfen musst.

Das Abfragewerkzeug wählen

host web1.example.com fragt einen Namen bei DNS ab. host 203.0.113.10 führt eine Rückwärtsauflösung durch; host -t MX example.com fragt Maileinträge ab. dig example.com A +short gibt eine knappe IPv4-Antwort aus und dig @1.1.1.1 example.com A wählt ausdrücklich einen DNS-Server. nslookup ist ein älteres DNS-Abfragewerkzeug. Die Werkzeuge sind üblicherweise in den Paketen dnsutils oder bind-utils enthalten.

getent hosts nas folgt der Suchreihenfolge des Systems aus /etc/nsswitch.conf, wie die meisten Anwendungen. dig, host und nslookup lesen /etc/hosts nicht selbst. Eine Abfrage des Stubs von systemd-resolved kann jedoch eine Antwort zurückgeben, die der Dienst aus dieser Datei bezieht. Wähle ausdrücklich einen bekannten vorgelagerten Server, wenn du seine DNS-Daten mit der lokalen Abfrage vergleichen möchtest.

Das Ergebnis vor Änderungen auswerten

NXDOMAIN bedeutet, dass der abgefragte DNS-Server geantwortet hat, der Name existiere nicht. SERVFAIL bedeutet, dass der Server die Abfrage nicht abschließen konnte. Eine Zeitüberschreitung bedeutet, dass vor Ablauf der Frist keine brauchbare Antwort eingetroffen ist. „Name or service not known“ von einem Programm ist ein Fehler der Systemabfrage und für sich genommen kein DNS-Antwortcode.

Angenommen, ein ping an eine externe Adresse ist erfolgreich, aber die Abfrage von example.com meldet einen vorübergehenden Fehler. Untersuche den konfigurierten Resolver und vergleiche eine direkte Abfrage an ihn mit einer Abfrage an einen anderen bekannten Resolver. Eine gültige Antwort des zweiten Servers grenzt das Problem auf den konfigurierten Server, den Weg dorthin oder die lokalen Resolver-Einstellungen ein. Schlagen beide fehl, unterscheide tatsächliche Fehlerantworten von Zeitüberschreitungen, bevor du eine Firewall verantwortlich machst. DNS-Verkehr und ICMP-ping sind unterschiedlicher Datenverkehr, selbst wenn sie dasselbe Netzwerk nutzen.

SSH, Secure Shell, verschlüsselt entfernte Sitzungen und Dateiübertragungen. Der Client ssh verbindet sich mit sshd, normalerweise auf TCP-Port 22. OpenSSH ist die übliche Linux-Implementierung. Ältere Werkzeuge wie telnet und FTP übertragen Passwörter im Klartext.

Die entfernte Sitzung prüfen und öffnen

Verbinde dich mit ssh lee@web1.example.com; lasse lee@ weg, um deinen lokalen Benutzernamen zu verwenden. Für einen anderen Port verwende ssh -p 2222 lee@web1.example.com. Prüfe die Identität des entfernten Rechners, bevor du Befehle ausführst; exit oder Strg+D bringt dich zur lokalen Shell zurück.

Beim ersten Kontakt zeigt SSH einen Fingerabdruck des Hostschlüssels. Vergleiche ihn über einen vertrauenswürdigen Weg mit der Angabe des Serveradministrators oder Anbieters. Der Administrator kann ihn mit ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub ausgeben. Durch die Annahme wird der Schlüssel zum späteren Vergleich in deiner Datei ~/.ssh/known_hosts gespeichert.

Eine Warnung über einen geänderten Hostschlüssel bedeutet, dass sich die vorgelegte Identität von der gespeicherten unterscheidet. Eine Neuinstallation oder eine wiederverwendete Adresse kann dies erklären, ebenso aber ein Angreifer. Prüfe zuerst den neuen Fingerabdruck. Sobald die Änderung bestätigt ist, entfernt ssh-keygen -R 203.0.113.10 den alten Eintrag für diese Adresse, sodass du dich verbinden und den neuen speichern kannst.

Einen Befehl ausführen, ohne angemeldet zu bleiben

ssh lee@web1.example.com 'df -h /'

Der Befehl läuft auf dem entfernten Rechner, seine Ausgabe erscheint lokal und die Verbindung endet. Eine nachfolgende lokale Pipe kann diese Ausgabe verarbeiten. Programme, die ein Terminal benötigen, darunter interaktives sudo, können ssh -t verwenden, zum Beispiel ssh -t lee@web1.example.com sudo systemctl restart nginx.

Ein Übertragungswerkzeug wählen

scp report.pdf lee@web1.example.com:/home/lee/ lädt eine Datei hoch. scp lee@web1.example.com:/home/lee/results.csv . lädt sie in das aktuelle lokale Verzeichnis herunter. Der Doppelpunkt kennzeichnet den entfernten Pfad; ohne ihn ist lee@web1.example.com ein lokaler Dateiname. -r kopiert Verzeichnisse und -P 2222 wählt einen Port, mit einem großen P. Aktuelles scp verwendet im Hintergrund SFTP.

sftp lee@web1.example.com öffnet eine interaktive Sitzung. Verwende get zum Herunterladen, put zum Hochladen, cd für das entfernte Verzeichnis, lcd für das lokale und bye zum Beenden. Für wiederholte Verzeichniskopien sendet rsync -av site/ lee@web1.example.com:/srv/site/ Änderungen über SSH; rsync muss an beiden Enden installiert sein.

Speichere wiederholt benötigte Verbindungsdaten in ~/.ssh/config:

Host web1
    HostName 203.0.113.10
    User lee
    Port 2222
    IdentityFile ~/.ssh/id_ed25519

Dann verwenden ssh web1 und scp notes.txt web1: diese Einstellungen.

Die Phase des Fehlers erkennen

„Connection refused“ weist auf eine aktive Ablehnung hin, häufig weil auf dem gewählten Port nichts lauscht. Eine Zeitüberschreitung bedeutet, dass keine Antwort eingetroffen ist; mögliche Ursachen sind Routing, Filterung oder ein ausgefallener Host. „Permission denied (publickey)“ bedeutet, dass die Verbindung die Authentifizierung erreicht hat, aber dein Konto oder der angebotene Schlüssel nicht akzeptiert wurde. ssh -v zeigt den Fortschritt bei Verbindung und Authentifizierung, sodass du die fehlgeschlagene Phase untersuchen kannst.

Die Schlüsselanmeldung beweist, dass dein Client einen privaten Schlüssel besitzt, der zu einem autorisierten öffentlichen Schlüssel gehört. Der Client signiert Authentifizierungsdaten; er sendet den privaten Schlüssel nicht an den Server. Die beiden Dateien haben daher unterschiedliche Ziele und Schutzanforderungen.

Das Paar erzeugen und schützen

Auf deinem eigenen Rechner:

ssh-keygen -t ed25519 -C "lee@laptop"

Wähle bei der Abfrage eine Passphrase. Die Standarddateien sind ~/.ssh/id_ed25519, der private Schlüssel, und ~/.ssh/id_ed25519.pub, der öffentliche Schlüssel. Der Text bei -C ist ein Kommentar zur Identifizierung. Ed25519 ist seit OpenSSH 9.5 der Standard von ssh-keygen; die ausdrückliche Nennung macht das Beispiel klar. Für einen älteren Server, der RSA verlangt, erzeugt ssh-keygen -t rsa -b 4096 einen 4096 Bit langen RSA-Schlüssel.

Eine Passphrase verschlüsselt die private Schlüsseldatei. Sie schützt den gespeicherten Schlüssel, falls jemand die Datei erhält; sie unterscheidet sich vom Passwort des entfernten Kontos. Automatisierte Aufgaben verwenden manchmal Schlüssel ohne Passphrase mit eingeschränkten Kontorechten. Bewahre den privaten Schlüssel geheim auf dem Client auf.

Ein SSH-Agent hält entsperrte Schlüssel im Arbeitsspeicher, damit du die Passphrase nicht für jede Verbindung erneut eingeben musst. Desktopsitzungen starten häufig einen Agenten. Füge den Schlüssel mit ssh-add ~/.ssh/id_ed25519 hinzu und gib bei Aufforderung seine Passphrase ein.

Den öffentlichen Schlüssel für ein Konto autorisieren

ssh-copy-id lee@web1.example.com

Nach der Authentifizierung am Serverkonto von Lee hängt der Befehl einen öffentlichen Schlüssel an die Datei ~/.ssh/authorized_keys dieses Kontos an. Gibt es mehrere Clientschlüssel, wählt ssh-copy-id -i ~/.ssh/id_ed25519.pub lee@web1.example.com den öffentlichen Schlüssel ausdrücklich aus. Bei der Bereitstellung in der Cloud kann er beim Erstellen des Servers installiert werden.

Jede authorized_keys-Zeile enthält einen Schlüsseltyp, kodierte Daten des öffentlichen Schlüssels und normalerweise einen Kommentar. Mehrere Schlüssel können separate Geräte oder Personen autorisieren. Ein Schlüssel in der Datei von Lee gewährt Zugriff auf das Konto von Lee, nicht auf das Konto von root. Das Entfernen seiner Zeile entzieht diesem Schlüssel dort den Zugang; entferne nach einem Bekanntwerden seinen öffentlichen Schlüssel von jedem betroffenen Server.

Eigentümer und Rechte prüfen

Auf dem Server im vorgesehenen Konto:

chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

Achte darauf, dass das Home-Verzeichnis nicht für die Gruppe oder andere beschreibbar ist. Bei den üblichen strengen Prüfungen lehnt sshd unsicher beschreibbare Autorisierungsdateien oder übergeordnete Verzeichnisse ab. Auf dem Client schützt Modus 600 den privaten Schlüssel; zu offene Rechte können „UNPROTECTED PRIVATE KEY FILE!“ auslösen. Die öffentliche .pub-Datei darf mit Modus 644 lesbar sein.

Den Anmeldeweg bestätigen

Öffne eine neue Verbindung mit ssh lee@web1.example.com. Eine Passphrase-Abfrage entsperrt den lokalen privaten Schlüssel; ein bereits geladener Agent kann das unnötig machen. Suche in der ausführlichen Ausgabe nach einer erfolgreichen Authentifizierung mit „publickey“.

Schlägt die Anmeldung fehl, prüfe zuerst den Kontonamen, dann seinen Eintrag für den öffentlichen Schlüssel, Eigentümer und Rechte und schließlich den angebotenen Clientschlüssel. ssh -i ~/.ssh/other_key lee@web1.example.com wählt einen bestimmten privaten Schlüssel; IdentityFile macht diese Auswahl zum Teil einer gespeicherten Hostkonfiguration. Das Erzeugen eines weiteren Schlüssels repariert keinen fehlenden Autorisierungseintrag für den bestehenden.

Das Serverprogramm ist sshd aus dem Paket openssh-server. Debian und Ubuntu nennen seinen systemd-Dienst ssh; Fedora, RHEL, openSUSE und Arch nennen ihn im Allgemeinen sshd. Verwende beim Prüfen des Status, Aktivieren oder Neuladen des Dienstes den Namen deiner Distribution.

Die wirksame Konfiguration finden

Installiere mit sudo apt install openssh-server oder sudo dnf install openssh-server. Für einen Dienst unter Fedora oder RHEL startet sudo systemctl enable --now sshd ihn und aktiviert ihn für den Systemstart. systemctl status sshd meldet seinen Zustand.

Der Server liest /etc/ssh/sshd_config. /etc/ssh/ssh_config ist für den Client. Viele Systeme binden /etc/ssh/sshd_config.d/*.conf nahe dem Anfang der Serverdatei ein. Bei den meisten Anweisungen gilt der zuerst gelesene Wert. Ein anderer Wert am Ende der Hauptdatei kann wirkungslos bleiben.

Gib die wirksamen Einstellungen mit sudo sshd -T aus. Zeigt der Befehl trotz eines späteren no den Wert passwordauthentication yes, prüfe eingebundene Dateien. Auf einem Ubuntu-Cloud-Abbild kann 50-cloud-init.conf den früheren Wert liefern. Nach einer früher anwendbaren Datei wie 10-no-passwords.conf oder einer Änderung der maßgeblichen Einstellung müssen Validierung und Neuladen folgen.

Die vorgesehene Authentifizierung verlangen

Nachdem die Schlüsselanmeldung funktioniert, richten diese Einstellungen einen Zugriff ausschließlich mit Schlüsseln ein:

PubkeyAuthentication yes
PasswordAuthentication no
KbdInteractiveAuthentication no
AuthenticationMethods publickey
PermitRootLogin no

Die erste Einstellung aktiviert Schlüssel. Die nächsten beiden deaktivieren die Passwortmethode und die tastaturinteraktive Methode, die beide Passwörter annehmen können. AuthenticationMethods publickey verlangt ausdrücklich die Authentifizierung mit einem öffentlichen Schlüssel. PermitRootLogin no blockiert die SSH-Anmeldung als root; Administratoren melden sich mit ihrem eigenen Konto an und verwenden sudo. Der Standardwert prohibit-password ist anders: Er erlaubt root weiterhin die Anmeldung mit einem Schlüssel. AllowUsers lee deploy kann einschränken, welche Konten sich anmelden dürfen.

Sicher anwenden und testen

Halte die funktionierende Sitzung offen und bestätige in einem zweiten Terminal, dass die Schlüsselanmeldung funktioniert, bevor du den Passwortzugang entfernst. Nach der Bearbeitung:

sudo sshd -t
sudo systemctl reload sshd

Verwende unter Debian oder Ubuntu reload ssh. sshd -t gibt bei gültiger Konfiguration nichts aus; korrigiere Fehler vor dem Neuladen. Ein Neuladen erhält bestehende Sitzungen, daher prüft erst eine neue Verbindung die geänderte Richtlinie. Halte die alte Sitzung offen, bis dieser Test erfolgreich ist.

Zugriff und Protokolle prüfen

journalctl -u sshd oder journalctl -u ssh zeigt Versuche. Zu den herkömmlichen Protokolldateien gehören /var/log/auth.log unter Debian/Ubuntu und /var/log/secure unter RHEL. Wiederholte Passwortversuche mit ungültigen Benutzern sind auf Servern mit Internetzugang häufig; ein Zugriff ausschließlich mit Schlüsseln schließt das Erraten von Passwörtern als Anmeldeweg aus.

Erlaube den SSH-Dienst durch die aktive Firewall: unter Ubuntu mit sudo ufw allow OpenSSH oder unter Fedora/RHEL mit sudo firewall-cmd --permanent --add-service=ssh, gefolgt von sudo firewall-cmd --reload. Auch eine Regel des Cloud-Anbieters muss den Port erlauben, auf dem der Dienst lauscht. SSH auf Port 2222 zu verlegen kann störende Einträge durch Scans verringern, doch Schlüssel, eingeschränkte Anmeldung und OpenSSH-Updates bieten den eigentlichen Schutz.