Opslag, bestandssystemen en netwerken in Linux

Elk Linux-pad begint in één directoryboom met / als wortel. Een tweede schijf wordt bij het koppelen aan die boom toegevoegd op een directory. De standaard voor de bestandssysteemhiërarchie (FHS) beschrijft het gebruikelijke doel van elke directory; versie 3.0 dateert uit 2015.

Programma's en instellingen

FHS scheidt statische bestanden van bestanden die veranderen, en gedeelde bestanden van bestanden die bij één computer horen. Daardoor staan geïnstalleerde programma's onder /usr, veranderlijke gegevens onder /var en de instellingen van deze computer onder /etc.

De oudere locaties /bin, /sbin en /lib bevatten in de FHS-indeling essentiële commando's en bibliotheken. Veel huidige distributies gebruiken de samengevoegde /usr-structuur: deze paden zijn symbolische koppelingen naar locaties binnen /usr. Zo kunnen /bin/ls en /usr/bin/ls hetzelfde programma bereiken. In /etc mogen geen uitvoerbare binaire bestanden staan, maar beheerscripts mogen er wel worden bewaard.

Persoonlijke bestanden en gegevens van het draaiende systeem

Gewone gebruikers bewaren hun eigen bestanden meestal in /home/NAME; ~ betekent je homedirectory. Gebruikersinstellingen zoals ~/.bashrc zijn daar verborgen vermeldingen. /root is de homedirectory van de rootgebruiker. De rootdirectory / is het begin van de hele boom, niet de homedirectory van die gebruiker.

Onder /var geeft de tweede directory het doel preciezer aan:

• /var/log bevat logboeken.
• /var/cache bevat gegevens die opnieuw kunnen worden gedownload of opgebouwd.
• /var/lib bevat de toestand van programma's, waaronder databases en pakketregistraties.
• /var/spool bevat werk in wachtrijen, zoals afdruktaken.
• /var/tmp bevat tijdelijke bestanden die na een herstart bewaard blijven.

/tmp is voor tijdelijke bestanden die korter nodig zijn. /run bevat gegevens voor de huidige systeemstart, zoals sockets en proces-ID-bestanden, en wordt bij een herstart geleegd. /boot bevat de kernel, de initiële RAM-schijf en bestanden van de opstartlader. /dev, /proc en /sys geven toegang tot apparaten en actuele informatie van de kernel.

Koppelingen en servicegegevens

/mnt is de gebruikelijke plaats voor een tijdelijke handmatige koppeling. Bureaubladsystemen koppelen verwisselbare schijven meestal onder /media/USER/LABEL, of /run/media/USER/LABEL op Fedora. /opt bevat aanvullende software in afzonderlijke pakketdirectory's. /srv bevat gegevens die aan andere computers worden aangeboden; sommige distributies gebruiken locaties zoals /var/www voor websites.

Neem een nginx-server uit een pakket op Debian of Ubuntu. Het uitvoerbare bestand is /usr/sbin/nginx, de hoofdinstellingen staan in /etc/nginx/nginx.conf en verzoeken worden vastgelegd in /var/log/nginx/access.log. De documentatie staat onder /usr/share/doc/nginx. Het doel van de directory vertelt je waar je een wijziging in instellingen of een groeiend logboek onderzoekt.

Installeer een eigen commando onder /usr/local/bin, gescheiden van bestanden die door de pakketbeheerder worden beheerd. Een update kan bestanden onder /usr vervangen. Gebruik voor een systemd-service de vervangende locatie onder /etc/systemd/system in plaats van de meegeleverde unit onder /usr/lib/systemd/system te bewerken.

Tijdelijke bestanden hebben zowel een geschikte levensduur als geschikte rechten nodig. Een bestand kan na een herstart blijven bestaan en toch op een later moment worden opgeruimd, en bescherming tegen verwijderen verschilt van bescherming tegen lezen.

Kies een levensduur

Gebruik /tmp voor kortdurend werk dat een programma bij de volgende uitvoering niet nodig heeft. FHS raadt aan deze directory bij het opstarten te legen. Fedora en Debian 13 koppelen die vaak als tmpfs, dat geheugen en wisselruimte gebruikt; de inhoud verdwijnt bij het afsluiten. De standaardgrootte is beperkt tot de helft van het fysieke RAM, dus een grote tijdelijke taak kan de directory vullen, ook als de hoofdschijf nog ruimte heeft.

Gebruik /var/tmp als tijdelijk werk na een herstart bewaard moet blijven. FHS vereist dat de inhoud bij het opstarten behouden blijft. Het blijft tijdelijke opslag: de oorspronkelijke opruimregels van systemd verwijderen ongebruikte vermeldingen doorgaans na 10 dagen in /tmp en na 30 dagen in /var/tmp. Instellingen van de distributie en lokale instellingen kunnen deze termijnen wijzigen. Bewaar blijvend werk in je homedirectory of een andere permanente gegevensdirectory.

Lees de directoryrechten

Bekijk de directoryvermelding zelf:

ls -ld /tmp

Een voorbeeld van een rechtenreeks is drwxrwxrwt. De eerste d betekent directory. De drie rechtengroepen staan iedereen toe de directory te lezen, erin te schrijven en die te betreden. De laatste t markeert de sticky bit en vervangt het gebruikelijke teken voor het uitvoerrecht van overige gebruikers.

Schrijfrecht op een directory staat een gebruiker normaal toe vermeldingen daarin te verwijderen of te hernoemen, ook bestanden van anderen. In een directory met de sticky bit zijn verwijderen en hernoemen beperkt tot de eigenaar van het bestand, de eigenaar van de directory of root, met inachtneming van de gebruikelijke toegangsregels. De bit is juist nuttig omdat veel gebruikers /tmp delen.

Bijvoorbeeld: Mina maakt /tmp/draft.txt met rechten 644 in een gedeelde directory met de sticky bit waarvan root de eigenaar is. Tomas kan dat bestand lezen omdat de eigen rechten van het bestand dat toestaan. Hij kan het niet verwijderen alleen omdat hij naar /tmp kan schrijven. Mina en root kunnen het verwijderen. Als je de rechten van het bestand wijzigt naar 600, wordt ook de inhoud beschermd tegen andere gewone gebruikers.

Stel de sticky bit in en herken die

Op een gedeelde directory die je beheert:

sudo chmod 1777 /srv/shared

De eerste 1 stelt de sticky bit in; de overige 777 geven alle gebruikers volledige toegang tot de directory. sudo chmod +t /srv/shared voegt de bit toe zonder de andere rechten te vervangen. chmod -t verwijdert de bit als je de rechten mag wijzigen.

Een kleine t betekent dat zowel de sticky bit als het uitvoerrecht voor overige gebruikers is ingesteld. Een hoofdletter T betekent dat de sticky bit is ingesteld maar overige gebruikers geen uitvoerrecht hebben. Rechten 1770 verschijnen bijvoorbeeld als drwxrwx--T. Linux negeert de sticky bit op gewone bestanden; de historische naam komt van het vasthouden van programmacode in geheugen of wisselruimte op het vroege Unix.

Laat mktemp de naam kiezen

mktemp maakt een bestand met een unieke willekeurige naam en rechten 600, en drukt het pad af. mktemp -d maakt een persoonlijke tijdelijke directory. Bewaar in een shellscript de afgedrukte naam in een variabele, gebruik die naam voor het werk en verwijder het bestand daarna als je klaar bent.

Een vaste naam zoals /tmp/results.txt kan al van iemand anders zijn of worden aangemaakt voordat je programma start. Een unieke naam voorkomt die botsing. De sticky bit maakt voorspelbare namen niet veilig en maakt een bestand met rechten 644 niet privé.

Een koppeling geeft een bestand een andere route door de directoryboom. Een symbolische koppeling slaat een pad op. Een harde koppeling biedt een andere naam voor hetzelfde onderliggende bestand. Het verschil in gedrag is van belang als de oorspronkelijke naam wordt verplaatst of verdwijnt.

Maak een symbolische koppeling

De syntaxis is ln -s TARGET LINKNAME: eerst het doel, daarna de nieuwe naam. Bijvoorbeeld:

ln -s /srv/manuals ~/manuals
ls -ld ~/manuals
readlink ~/manuals

ls -l begint de rechtenreeks van een symbolische koppeling met l en drukt een pijl naar het doel af. De weergegeven grootte is de lengte in bytes van het opgeslagen pad, niet de grootte van de doeldirectory. Bij gewone symbolische koppelingen in Linux geven de weergegeven rechten rwxrwxrwx geen toegang tot het doel; de eigen rechten van het doel blijven gelden.

ls -ld /etc toont de directoryvermelding en de rechten. ls -l /etc toont de inhoud. Een afsluitende schuine streep bij een symbolische koppeling naar een directory volgt de koppeling: ls -l manuals/ toont de inhoud van de gekoppelde directory.

Los een relatief doelpad op

Een relatief doelpad begint vanuit de directory die de koppeling bevat. Stel dat /home/lee/notes.txt bestaat en /home/lee/backup een directory is. Voer vanuit /home/lee uit:

ln -s ../notes.txt backup/notes-link

Om de koppeling te volgen, begin je in backup, ga je met .. omhoog en zoek je vervolgens notes.txt. Als je in plaats daarvan ln -s notes.txt backup/notes-link schrijft, wordt een pad naar backup/notes.txt opgeslagen. De werkdirectory waarin je de koppeling maakt, wordt geen onderdeel van dat opgeslagen relatieve pad. Een absoluut doelpad voorkomt deze specifieke onduidelijkheid.

Een verbroken symbolische koppeling blijft bestaan nadat het doelpad is verplaatst of verwijderd. Openen mislukt met “No such file or directory.” readlink LINK toont het opgeslagen doelpad; readlink -f LINK lost waar mogelijk het volledige pad op. find . -xtype l zoekt verbroken koppelingen onder de huidige directory. Maak een verbroken koppeling opnieuw met het juiste doelpad, bijvoorbeeld met ln -sfn NEWTARGET LINKNAME.

Vergelijk met een harde koppeling

printf 'hello\n' > original.txt
ln original.txt second.txt
ln -s original.txt shortcut.txt
rm original.txt

cat second.txt drukt nog steeds “hello” af. Een harde koppeling is een andere directoryvermelding voor dezelfde inode, de bestandsregistratie van het bestandssysteem. Er is geen speciale oorspronkelijke naam die moet blijven bestaan. cat shortcut.txt mislukt omdat het opgeslagen doelpad niet meer bestaat.

ls -i toont hetzelfde inodenummer voor twee harde koppelingen op één bestandssysteem. De tweede kolom van ls -l toont hun aantal harde koppelingen. Als de laatste naam wordt verwijderd, wordt het bestand vrijgegeven zodra geen proces het meer openhoudt.

Verwijder een symbolische koppeling met rm LINKNAME of unlink LINKNAME. Laat bij een koppeling naar een directory de afsluitende schuine streep weg: rm manuals verwijdert alleen de koppeling. Een recursief commando op manuals/ kan de inhoud van het doel bereiken en verwijderen. Systeempaden zoals /bin, commandonamen met versienummers en ingeschakelde systemd-services gebruiken vaak symbolische koppelingen.

Een pad in Linux kan verwijzen naar een schijf, een terminal of actuele kernelinformatie. Het eerste teken in ls -l vertelt je om wat voor soort vermelding het gaat voordat je die als een gewoon document behandelt.

Herken bestandstypen

De markeringen zijn - voor een gewoon bestand, d voor een directory, l voor een symbolische koppeling, b voor een blokapparaat, c voor een tekenapparaat, p voor een benoemde pipe en s voor een socket. Een blokapparaat, zoals /dev/sda1, biedt opslag in blokken die in willekeurige volgorde toegankelijk zijn. Een tekenapparaat, zoals /dev/tty1, biedt een stroom bytes.

Een apparaatvermelding kan er zo uitzien:

brw-rw---- 1 root disk 8, 1 Oct 22 08:00 /dev/sda1

De b duidt een blokapparaat aan. De nummers 8, 1 vervangen het gewone grootteveld: de major- en minornummers identificeren het stuurprogramma en het apparaat voor de kernel. /dev wordt normaal in het geheugen aangeboden door devtmpfs en met hulp van udev gevuld zodra hardware verschijnt. Als je een USB-schijf aansluit, kunnen /dev/sdb en /dev/sdb1 worden aangemaakt.

Rechtstreeks naar een schijfapparaat schrijven kan de gegevens overschrijven zonder om bevestiging te vragen. Controleer met lsblk om welk apparaat het gaat voordat je er zo naartoe schrijft.

Gebruik pseudoapparaten

/dev/null gooit geschreven bytes weg en geeft bij het lezen direct het bestandseinde terug. Dit commando verbergt foutmeldingen terwijl normale resultaten zichtbaar blijven:

find / -name '*.conf' 2>/dev/null

De 2> leidt standaardfoutuitvoer om. Alles wat daarheen wordt gestuurd, wordt weggegooid.

/dev/zero levert nulbytes. Zo maakt dd if=/dev/zero of=test.img bs=1M count=100 een gewoon bestand van 100 MiB met nullen: 104.857.600 bytes. De uitvoer is hier test.img, geen schijfapparaat. /dev/urandom levert willekeurige bytes; head -c 16 /dev/urandom | base64 maakt er 16 afdrukbaar.

Zodra de generator voor willekeurige getallen van Linux is geïnitialiseerd, leveren zowel /dev/random als /dev/urandom cryptografisch veilige willekeurige bytes. Op kernels vanaf 5.6 wacht /dev/random vroeg in het opstartproces op die initialisatie; /dev/urandom kan al bytes teruggeven voordat die is voltooid.

Lees actuele informatie

procfs, gekoppeld aan /proc, maakt informatie op aanvraag aan. Veel vermeldingen tonen een grootte van nul maar geven bij het lezen tekst terug. /proc/cpuinfo beschrijft processoren, /proc/meminfo beschrijft het geheugen en /proc/mounts toont koppelingen. Genummerde directory's beschrijven actieve processen; /proc/sys geeft toegang tot kernelinstellingen. Tools zoals ps, top en free lezen deze informatie.

cat /proc/uptime kan 86400.52 340000.10 afdrukken. De eerste waarde is het aantal seconden sinds het opstarten: ongeveer 24 uur. De tweede telt de inactieve tijd van alle processoren op en kan daardoor groter zijn dan de verstreken tijd.

sysfs, gekoppeld aan /sys, beschrijft apparaten, stuurprogramma's en bussen. ls /sys/class/net/ toont interfaces, ls /sys/block/ toont blokapparaten en cat /sys/class/net/enp0s3/address leest het MAC-adres van één interface. Schrijven naar beschrijfbare instellingen onder /proc of /sys wijzigt de draaiende kernel en vereist normaal rootrechten. Stel bij een back-up van het hele systeem uitsluitingen in voor /proc, /sys, /dev en /run; het draaiende systeem maakt ze opnieuw aan.

Een schijf is een opslagapparaat, fysiek of virtueel. Een partitie is een gedeelte daarvan. De partitietabel legt die gedeelten vast, terwijl een bestandssysteem binnen een partitie de bestanden en directory's ordent. Een partitie kan ook wisselruimte bevatten, die het geheugen ondersteunt in plaats van gewone bestanden op te slaan.

Begrijp de apparaatnaam

SATA-, SAS- en USB-schijven gebruiken doorgaans /dev/sda, /dev/sdb enzovoort; hun partities krijgen een extra nummer, zoals /dev/sdb1. NVMe-namen bevatten al cijfers, dus een partitie krijgt een extra p: /dev/nvme0n1p2 is partitie 2 van /dev/nvme0n1. SD- en eMMC-apparaten gebruiken namen zoals /dev/mmcblk0p1; veel virtuele machines gebruiken /dev/vda1.

De detectievolgorde kan deze namen veranderen. Bepaal aan de hand van meerdere kenmerken om welke schijf het gaat, niet op basis van de letter van gisteren:

lsblk -o NAME,SIZE,MODEL,RM,TYPE,MOUNTPOINTS
lsblk -f
sudo blkid
sudo fdisk -l

lsblk toont de schijf en de partities als een boom. RM=1 duidt een apparaat aan dat als verwisselbaar is gemarkeerd; TYPE maakt onderscheid tussen disk en part. Een koppelpunt / duidt het rootbestandssysteem aan. lsblk -f voegt bestandssysteemtypen, labels en UUID's toe. blkid geeft identificatiecodes en typen, terwijl fdisk -l partitiegrenzen en het type tabel toont. Deze controlecommando's wijzigen geen partities.

Maak onderscheid tussen tabeltype en bestandssysteemtype

MBR staat vier primaire partities toe; één daarvan kan een uitgebreide partitie zijn met logische partities die vanaf 5 zijn genummerd. Bij sectoren van 512 bytes is de adresseringsgrens 2 TiB. GPT kan grotere schijven aan en biedt doorgaans 128 partitietabelvermeldingen. UEFI-systemen starten op vanaf een EFI-systeempartitie, die met FAT is geformatteerd en vaak aan /boot/efi is gekoppeld.

Debian en Ubuntu gebruiken doorgaans ext4; RHEL gebruikt standaard XFS; Fedora Workstation en openSUSE gebruiken doorgaans Btrfs. FAT32 verschijnt in Linux als vfat en kan geen afzonderlijk bestand van 4 GiB of meer bevatten. exFAT is geschikt voor grotere bestanden op verwisselbare media; NTFS komt veel voor op Windows-schijven. Het bestaan van een partitie betekent niet op zichzelf dat die al een bestandssysteem heeft.

Lees de grootte-eenheden

lsblk, df -h en du -h gebruiken binaire eenheden: G staat voor een GiB, of 1.073.741.824 bytes. Schijffabrikanten gebruiken decimale GB, die elk 1.000.000.000 bytes bevatten. Zo verschijnt een schijf met 500.107.862.016 bytes als 465.8G; 32.000.000.000 bytes is ongeveer 29.8G. lsblk -b toont exacte aantallen bytes. Dit verschil in aanduiding is geen verloren capaciteit.

Een nieuwe lege schijf voorbereiden vereist eerst partitioneren en daarna een bestandssysteem aanmaken, bijvoorbeeld met sudo mkfs.ext4 /dev/sdb1. Controleer voordat je partities wijzigt of formatteert het doel aan de hand van de grootte, het model en de status als verwisselbaar apparaat, bevestig dat de gegevens mogen worden vernietigd en ontkoppel het. fdisk -l toont alleen informatie; interactieve fdisk schrijft wijzigingen weg als je w gebruikt.

Bij koppelen verbind je een bestandssysteem met een directory, het koppelpunt. Een bestandssysteem dat aan /data is gekoppeld, wordt toegankelijk via paden zoals /data/report.pdf. De directoryboom blijft één geheel, ook als meerdere schijven de inhoud leveren.

Koppel en controleer

Stel dat lsblk -f /dev/sdb1 aanduidt als het bestandssysteem dat je wilt lezen. Maak een lege koppelpuntdirectory en koppel het bestandssysteem:

sudo mkdir -p /mnt/usb
sudo mount /dev/sdb1 /mnt/usb
findmnt /mnt/usb

mount herkent het type meestal. Geef -t ext4 op als je het expliciet moet noemen. findmnt toont TARGET, SOURCE, FSTYPE en OPTIONS. mount zonder argumenten toont koppelingen, inclusief virtuele bestandssystemen; df -h rapporteert hun ruimte en lsblk toont koppelpunten naast blokapparaten.

Als je over een directory heen koppelt, wordt de bestaande inhoud verborgen. Als /mnt/usb/local.txt er eerst stond, verdwijnt het uit beeld zolang het USB-bestandssysteem is gekoppeld en verschijnt het weer na het ontkoppelen. Het is niet naar de schijf gekopieerd of gewist.

Kies opties voor de taak

Gebruik -o voor een door komma's gescheiden optielijst. sudo mount -o ro /dev/sdb1 /mnt/usb staat normaal schrijven naar bestanden via deze koppeling niet toe. Dat is nuttig voor inspectie, al kan het koppelen zelf nog steeds naar het apparaat schrijven. rw staat schrijven toe.

noexec voorkomt het rechtstreeks uitvoeren van bestanden op het gekoppelde bestandssysteem. Het verhindert niet dat een interpreter een script leest: bash /mnt/usb/script.sh kan een leesbaar script nog steeds uitvoeren. Zie dit als een beperking van rechtstreekse uitvoering, niet als een volledige bescherming tegen het uitvoeren van de inhoud.

FAT en exFAT slaan geen Unix-eigenaars op. Als root zo'n schijf koppelt, geef je de gewenste eigenaar op via koppelopties. Controleer beide ID's met id -u en id -g. Als beide 1000 afdrukken:

sudo mount -o uid=1000,gid=1000 /dev/sdb1 /mnt/usb
cp report.pdf /mnt/usb/

Hiermee stel je het eigenaarschap in dat Linux voor de koppeling weergeeft. Rechten wijzigen met chmod werkt niet op dezelfde manier voor eigenaarschap als op ext4.

Rond het werk af

Verlaat het bestandssysteem en sluit programma's die het gebruiken, en voer daarna uit:

sudo umount /mnt/usb

De spelling is umount. Ontkoppel verwisselbare opslag voordat je die verwijdert, zodat schrijfbewerkingen uit de buffer de schijf bereiken. Op een desktop voert de uitwerpactie van een bestandsbeheerder deze taak uit.

Als het commando “target is busy” meldt, gebruikt een proces het bestandssysteem nog. Een shell met /mnt/usb als huidige directory is daarvoor al voldoende. Voer cd uit in die shell, sluit geopende bestanden en probeer het opnieuw. fuser -vm /mnt/usb of lsof /mnt/usb helpt te bepalen welke processen het bestandssysteem gebruiken.

Bureaubladsystemen regelen automatisch koppelen van verwisselbare media normaal via udisks2, onder /media/USER/LABEL of op Fedora onder /run/media/USER/LABEL. Servers gebruiken doorgaans ingestelde koppelingen bij het opstarten of handmatige commando's. Koppelingen kunnen ook toegang geven tot een imagebestand, geheugen of een gedeelde netwerklocatie. Nadat je bijvoorbeeld /mnt/iso hebt aangemaakt, presenteert sudo mount -o loop,ro ubuntu.iso /mnt/iso een ISO-image als een directory.

Een handmatige koppeling maakt geen opstartregel aan. /etc/fstab levert die regels, met één vermelding per bestandssysteem of wisselruimte. Op een systeem met systemd zet een generator vermeldingen van bestandssystemen om in koppelunits en vermeldingen van wisselruimte in wisselruimte-units.

Lees alle zes velden

Een ext4-gegevensbestandssysteem kan deze vermelding gebruiken:

UUID=3f2c9a1e-7b4d-4e8a-9c61-2d5f0b8e4a17 /data ext4 defaults,nofail 0 2

Spaties of tabs scheiden de zes velden. Komma's verbinden opties binnen één veld; zet geen spaties in die lijst.

1. Bron: een UUID, label of apparaatpad.
2. Koppelpunt: hier /data.
3. Type: hier ext4.
4. Opties: hier defaults,nofail.
5. Dumpvlag: normaal 0, waarmee de oude dumpvlag voor back-ups wordt uitgeschakeld.
6. Controlevolgorde van bestandssystemen: 1 voor root, 2 voor andere bestandssystemen die moeten worden gecontroleerd, 0 om over te slaan; XFS en Btrfs gebruiken normaal 0.

Een regel die begint met # is commentaar. Een vermelding voor wisselruimte gebruikt none als koppelpuntveld, het type swap en eindigt doorgaans op 0 0.

Kies een blijvende identificatiecode

Zoek de UUID van het bestandssysteem met lsblk -f of sudo blkid. Anders dan een naam zoals /dev/sdb1 blijft de UUID bij het bestandssysteem als de detectievolgorde van schijven verandert. Opnieuw formatteren maakt een nieuw bestandssysteem met een nieuwe UUID, dus werk daarna de fstab-vermelding bij.

defaults omvat lees- en schrijftoegang en automatisch koppelen. nofail laat het opstarten doorgaan als een optionele schijf ontbreekt. noauto slaat automatisch koppelen over; de vermelding kan later nog wel worden gebruikt voor sudo mount /data. ro betekent alleen-lezen en noexec blokkeert rechtstreekse uitvoering. user staat een gewone gebruiker toe de vermelding te koppelen.

Voeg een vermelding toe en test die

Voor een al voorbereide ext4-gegevenspartitie:

sudo cp /etc/fstab /etc/fstab.bak
lsblk -f
sudo mkdir -p /data

Bewerk /etc/fstab om de regel met de daadwerkelijk gemelde UUID toe te voegen. Test vervolgens voordat je opnieuw opstart:

sudo findmnt --verify
sudo systemctl daemon-reload
sudo mount -a
findmnt /data

findmnt --verify controleert de tabel, waaronder problemen met de velden en bronnen. Door te herladen leest systemd de gewijzigde configuratie opnieuw. mount -a koppelt in aanmerking komende vermeldingen die nog niet zijn gekoppeld. findmnt /data bevestigt vervolgens de bron, het type en de huidige opties. Een geslaagde mount -a betekent niet dat een noauto-vermelding is getest; koppel die vermelding expliciet.

De root van een nieuw gekoppeld ext4-bestandssysteem kan eigendom zijn van root. Zodra het juiste bestandssysteem is gekoppeld, maakt sudo chown lee:lee /data Lee eigenaar van die directory. Als je dit vóór het koppelen doet, wijzig je in plaats daarvan de onderliggende koppelpuntdirectory.

Een verkeerde UUID, een verkeerd type of een niet beschikbaar vereist apparaat kan het opstarten onderbreken en het systeem in de noodmodus achterlaten. Corrigeer zulke fouten terwijl het systeem draait. systemctl list-units --type=mount toont de resulterende actieve koppelunits.

df rapporteert ruimte voor gekoppelde bestandssystemen. Het beantwoordt de vraag “Hoe vol is het bestandssysteem dat dit pad bevat?” Het telt niet de eigen bestanden van een directory op. Dankzij dat verschil kun je de betreffende opslag bepalen voordat je naar de grootste inhoud zoekt.

Lees een ruimterapport

Gebruik df -h /var/log om het bestandssysteem te bekijken dat de logdirectory bevat. Een rapport kan tonen:

Filesystem Size Used Avail Use% Mounted on
/dev/vda1   98G  61G   32G  66% /
/dev/vdb1  916G 210G  660G  25% /data

Hier gebruiken logboeken onder /var/log het rootbestandssysteem, tenzij daar een afzonderlijk bestandssysteem is gekoppeld. De vrije ruimte van het bestandssysteem /data kan niet zomaar helpen bij een schrijfbewerking naar /var/log omdat beide bij één computer horen.

De kolommen beschrijven de grootte van het bestandssysteem, de gebruikte ruimte, de voor gewone gebruikers beschikbare ruimte, het gebruikspercentage en het koppelpunt. GNU df berekent Use% als Used gedeeld door Used plus Avail, naar boven afgerond. Voor het rootvoorbeeld is 61 gedeeld door 93 ongeveer 65,6 %, weergegeven als 66%. De getallen in leesbare eenheden zijn zelf afgerond.

Size kan groter zijn dan Used + Avail. Een ext4-bestandssysteem reserveert normaal 5 % van de blokken voor root, zodat essentiële services kunnen blijven werken als gebruikers de rest vullen. Vijf procent van 98G is ongeveer 4,9G. Die ongebruikte gereserveerde blokken zijn uitgesloten van Avail voor gewone gebruikers; het zijn geen bestandsgegevens in Used. De reserve kan worden aangepast met tune2fs -m, bijvoorbeeld naar 1 % voor een groot gegevensbestandssysteem. Metadata gebruiken ook ruimte.

Kies een bruikbare weergave

df -h gebruikt binaire K-, M- en G-eenheden. df -H gebruikt decimale machten van 1000. Gewoon df rapporteert normaal blokken van 1024 bytes en df -T voegt het bestandssysteemtype toe. Om minder vermeldingen van geheugenbestandssystemen te zien:

df -h -x tmpfs -x devtmpfs

Een tmpfs-vermelding is opslag in het geheugen, terwijl efivarfs toegang geeft tot firmwarevariabelen. free meet RAM en wisselruimte en kan df dus niet vervangen voor schijfcapaciteit. lsblk vertelt hoe groot een schijf of partitie is, niet hoeveel vrije ruimte het bestandssysteem heeft.

Controleer ook de bestandsregistraties

Een inode is een registratie van een bestand of directory in het bestandssysteem. Namen met harde koppelingen delen één registratie. Een ext4-bestandssysteem heeft een vaste voorraad inodes die bij het bestandssysteem wordt aangemaakt. Heel veel kleine bestanden kunnen die opgebruiken terwijl gigabytes aan gegevensruimte ongebruikt blijven.

df -i /var/log

Lees IUsed, IFree en IUse%. Als IFree nul is, kan het maken van een nieuw bestand mislukken met “No space left on device”, ook als df -h vrije ruimte toont. Door enkele grote bestanden te verwijderen komen blokken vrij, maar heel weinig inodes; door veel ongewenste sessie- of cachebestanden op te ruimen pak je de uitputting van inodes aan.

Als de rootopslag vol raakt, kunnen databases stoppen, logboeken mislukken, updates vastlopen en aanmeldingen mislukken. Controleer vroeg zowel df -h PATH als df -i PATH. De rapporten geven aan welke capaciteit is uitgeput en welk gekoppeld bestandssysteem aandacht nodig heeft.

Zodra df het volle bestandssysteem heeft aangewezen, gebruik je du om de directory's te vinden die het gebruiken. Bekijk de inhoud voordat je iets verwijdert: applicatietoestand en vervangbare cachebestanden kunnen om heel verschillende redenen groot zijn.

Werk de directoryboom af

sudo du -h -d 1 /var | sort -h
sudo du -sh /var/log

-d 1 geeft totalen één directoryniveau lager en -s drukt één samenvattend totaal af. sort -h begrijpt grootten zoals 900M en 2.1G. Gebruik sudo om directory's mee te nemen die je gewone account niet kan lezen. Als /var/log groot is, herhaal je het eerste commando daar om de groeiende subdirectory te vinden.

du -sh * slaat namen over die met een punt beginnen omdat het shellpatroon * daar niet mee overeenkomt. du -h -d 1 ~ | sort -h neemt bij het bekijken van een homedirectory ook verborgen directory's mee, zoals .cache en .local.

Om grote afzonderlijke bestanden op het rootbestandssysteem te vinden:

sudo find / -xdev -type f -size +500M 2>/dev/null

-xdev blijft op het oorspronkelijke bestandssysteem; -type f selecteert gewone bestanden; M betekent hier MiB. ls -lhS sorteert de bestanden van één directory van groot naar klein.

Begrijp verschillende totalen

ls -l rapporteert de logische lengte van een bestand. du telt normaal toegewezen opslag. Een bestand met “hi” en een nieuweregelteken is 3 bytes lang maar kan één blok van 4 KiB innemen, weergegeven als 4.0K. Een sparse schijfimage kan een grote logische lengte hebben terwijl het veel minder werkelijke ruimte gebruikt. du --apparent-size rapporteert in plaats daarvan logische lengten.

Een hoger gebruik volgens df dan volgens een directoryscan kan ook komen door onleesbare directory's, bestanden die onder koppelpunten verborgen zijn of verwijderde maar nog geopende bestanden. Door een naam te verwijderen komen de gegevens niet vrij zolang een proces het bestand openhoudt.

Als je bijvoorbeeld een actief applicatielogbestand van 20G verwijdert, kan df onveranderd blijven. Bekijk zulke bestanden met sudo lsof +L1. Door de betreffende service te herstarten wordt het geopende bestand vrijgegeven, zodat de opslagruimte vrijkomt. Om een actief logbestand waarvan je weet dat de inhoud weg mag te legen zonder een geopend bestand zonder naam achter te laten, houdt sudo truncate -s 0 /var/log/app/app.log de naam en het bestand op hun plaats. Dit wist de vastgelegde inhoud.

Gebruik de beheerder van de gegevens om op te ruimen

Pakkettools weten welke gedownloade bestanden kunnen worden vervangen. Gebruik sudo apt clean op Debian of Ubuntu, of sudo dnf clean all op Fedora of RHEL. Bekijk de voorgestelde wijzigingen van apt autoremove of dnf autoremove voordat je ongebruikte pakketten verwijdert. Ruim je eigen ongewenste downloads en prullenbak op. Verwijder geen bestanden met de hand uit /usr, /boot of /var/lib om ruimte te maken.

Als het logboek groeit, verwijdert sudo journalctl --vacuum-size=1G oude gearchiveerde logboekbestanden totdat hun totaal binnen de limiet past. Door actieve bestanden kan het totale logboekgebruik boven die grootte blijven. Voor blijvende beheersing stel je SystemMaxUse=1G in /etc/systemd/journald.conf in en herstart je systemd-journald.

Voer na het opruimen opnieuw df -h PATH of df -i PATH uit om te bevestigen dat de capaciteit die de storing veroorzaakte weer beschikbaar is. Als het logboek of een ander logbestand herhaaldelijk groeit, onderzoek dan zowel de meldingen die de groei veroorzaken als de instellingen voor het bewaren ervan.

Een netwerkinterface is een verbindingspunt waardoor de kernel verkeer verstuurt. Dat kan Ethernet, wifi, loopback of een virtuele verbinding zoals een VPN zijn. Namen zoals enp0s3, eno1 en wlp2s0 duiden fysieke adapters aan; lo is loopback. Sommige virtuele systemen en cloudsystemen gebruiken eth0.

Lees IPv4 en de prefix

Ethernet- en wifiinterfaces hebben een MAC-adres van 48 bits, geschreven als zes hexadecimale paren, dat wordt gebruikt voor aflevering op het lokale netwerk. Een IP-adres identificeert een computer voor communicatie tussen netwerken. Eén interface kan meerdere IP-adressen hebben.

IPv4 heeft 32 bits, geschreven als vier getallen van 0 tot 255. In 192.168.1.50/24 identificeren de eerste 24 bits het netwerk en blijven acht bits over voor adressen daarbinnen. Het netwerk is 192.168.1.0/24, met netmasker 255.255.255.0.

Die acht bits leveren 256 adressen op. Het eerste duidt het netwerk aan en het laatste, 192.168.1.255, is het broadcastadres, zodat 254 adressen voor computers overblijven. Een /26 heeft zes bits voor computers: 64 adressen in totaal en 62 gewone adressen voor computers. /24 telt netwerkbits, geen computers.

De privébereiken zijn 10.0.0.0/8, 172.16.0.0/12 en 192.168.0.0/16. Ze worden niet openbaar gerouteerd; een thuisrouter gebruikt doorgaans NAT om privéverkeer naar het openbare adres te vertalen. 127.0.0.1 is loopback en betekent de computer die het commando uitvoert. Een link-localadres 169.254.x.x wijst vaak op een mislukte DHCP-configuratie. Documentatie gebruikt 192.0.2.0/24, 198.51.100.0/24 en 203.0.113.0/24.

Herken IPv6

IPv6 heeft 128 bits in acht hexadecimale groepen. Laat voorloopnullen binnen een groep weg en vervang één aaneengesloten reeks nulgroepen door ::: 2001:0db8:0000:0000:0000:0000:0000:0042 wordt 2001:db8::42. Gebruik :: slechts eenmaal in één adres. ::1 is loopback; fe80:-adressen zijn link-local op Ethernet- en wifiverbindingen waarop IPv6 is ingeschakeld. Lokale IPv6-netwerken gebruiken doorgaans /64 en één computer heeft vaak meerdere adressen.

Bereik netwerken en services

Een computer verstuurt verkeer rechtstreeks naar bestemmingen op een direct verbonden netwerk. De standaardgateway verwerkt bestemmingen waarvoor geen specifiekere route bestaat. De gateway is een router die op de lokale verbinding bereikbaar is. Zonder een passende route of standaardroute zijn andere netwerken onbereikbaar.

Een poort duidt een service op een adres aan: SSH gebruikt TCP 22, DNS gebruikt UDP en TCP 53, HTTP gebruikt TCP 80 en HTTPS gebruikt doorgaans TCP 443. TCP biedt betrouwbare verbindingen; UDP draagt afzonderlijke berichten over. Een socketeindpunt combineert een adres en poort, zoals 192.168.1.50:22.

Verkrijg of stel de configuratie in

DHCP voor IPv4 verstrekt tijdelijk een adres, prefix, gateway en DNS-instellingen. Statische configuratie stelt vaste waarden in, doorgaans voor servers. IPv6-SLAAC vormt een adres uit informatie die de router aankondigt. DHCPv6 kan IPv6-adressen en DNS-servers verstrekken; informatie over de IPv6-standaardrouter komt uit routeradvertenties. Een DHCPv6-adres alleen levert die route niet.

Het commando ip toont de huidige toestand van het netwerk. De objecten beschrijven verschillende onderdelen: addr voor adressen, link voor de status van interfaces, route voor routering en neigh voor lokale buren. ss toont sockets en hun luisterende services.

Bekijk een interface

ip -br addr
ip addr show dev enp0s3
ip link show

De beknopte weergave kan enp0s3 UP 192.168.1.50/24 fe80::a00:27ff:fe3a:5c71/64 tonen. De interface staat aan, met één IPv4-adres en één IPv6-link-localadres. De langere uitvoer scheidt deze velden:

link/ether 08:00:27:3a:5c:71 brd ff:ff:ff:ff:ff:ff
inet 192.168.1.50/24 brd 192.168.1.255 scope global dynamic enp0s3
inet6 fe80::a00:27ff:fe3a:5c71/64 scope link

link/ether geeft het MAC-adres. inet leidt IPv4 in en inet6 leidt IPv6 in. De IPv4-waarde brd is het broadcastadres, niet de gateway. dynamic duidt een dynamisch toegewezen adres aan en valid_lft toont hoelang het geldig blijft. UP is de administratieve status; LOWER_UP duidt op een werkende onderliggende verbinding.

ip -4 addr en ip -6 addr selecteren een adresfamilie. ip link laat IP-adressen weg. hostname -I drukt de ingestelde adressen van de computer af. Kies niet 127.0.0.1 wanneer je een andere computer een adres voor deze computer geeft.

Lees de route afzonderlijk

default via 192.168.1.1 dev enp0s3 proto dhcp src 192.168.1.50 metric 100
192.168.1.0/24 dev enp0s3 proto kernel scope link src 192.168.1.50 metric 100

ip route show geeft dit soort uitvoer. Het lokale netwerk 192.168.1.0/24 is rechtstreeks bereikbaar via enp0s3. Andere bestemmingen gebruiken gateway 192.168.1.1 via de standaardroute. proto dhcp geeft aan waar die route vandaan komt; src geeft het voorkeursbronadres op.

Gebruik ip route get 203.0.113.10 om het gekozen pad naar één bestemming te bekijken. ip -6 route show toont IPv6-routes. ip neigh toont geleerde lokale koppelingen van IP- aan MAC-adressen; een gatewayvermelding met FAILED betekent dat de omzetting naar een buuradres niet het benodigde lokale antwoord heeft ontvangen.

Controleer waar een service luistert

sudo ss -tulnp

De opties betekenen TCP, UDP, luisterend, numerieke adressen en procesgegevens. Lees de kolom met het lokale adres. 0.0.0.0:22 accepteert verkeer op alle lokale IPv4-adressen, terwijl 127.0.0.1:5432 alleen lokaal is. [::]:80 duidt alle IPv6-adressen aan. Luisteren is slechts één vereiste; netwerkbereikbaarheid en toegangsregels zijn ook van belang. ss -tn toont huidige TCP-verbindingen zonder alleen luisterende sockets te selecteren.

Oudere handleidingen gebruiken ifconfig, route, arp en netstat. Hun huidige tegenhangers zijn ip addr/ip link, ip route, ip neigh en ss. Een ontbrekend ifconfig is een ontbrekende tool, geen defect netwerk. Korte vormen zoals ip a, ip r en ip l zijn toegestane afkortingen.

Een tijdelijk commando en een opgeslagen netwerkprofiel dienen verschillende doelen. ip wijzigt direct de toestand van de draaiende kernel; de netwerkbeheerder van de distributie herstelt opgeslagen instellingen bij het opstarten en kan tijdelijke wijzigingen eerder vervangen.

Breng een tijdelijke wijziging aan

Op een oefeninterface met de naam enp0s8:

sudo ip link set dev enp0s8 up
sudo ip addr add 192.168.50.10/24 dev enp0s8
sudo ip route add default via 192.168.50.1

Geef de prefix mee. Zonder /24 krijgt een toegevoegd IPv4-adres /32, zodat de verwachte route naar het lokale /24-netwerk ontbreekt. ip addr del verwijdert het opgegeven adres, ip route del default verwijdert de standaardroute en ip link set ... down schakelt de interface uit.

Als je de interface wijzigt waarover een SSH-sessie op afstand loopt, kan de verbinding worden verbroken. Gebruik voor dat werk consoletoegang of een configuratietool met terugdraaifunctie.

Sla instellingen op met de actieve netwerkbeheerder

Fedora, RHEL en veel desktops gebruiken NetworkManager. Zoek het profiel met nmcli device status en wijzig vervolgens de verbinding met behulp van de verbindingsnaam:

sudo nmcli connection modify "Wired connection 1" ipv4.method manual ipv4.addresses 192.168.1.60/24 ipv4.gateway 192.168.1.1 ipv4.dns 192.168.1.1
sudo nmcli connection up "Wired connection 1"

Door ipv4.method auto in te stellen schakel je het profiel terug naar DHCP. Ubuntu gebruikt doorgaans netplan-YAML onder /etc/netplan/; andere systemen gebruiken .network-bestanden van systemd-networkd of /etc/network/interfaces van Debian ifupdown. Cloudsystemen gebruiken vaak DHCP en cloud-init.

Een statische netplan-configuratie kan luiden:

network:
  version: 2
  ethernets:
    enp0s3:
      dhcp4: false
      addresses: [192.168.1.60/24]
      routes:
        - to: default
          via: 192.168.1.1
      nameservers:
        addresses: [192.168.1.1]

Gebruik spaties voor inspringing. sudo netplan try past de configuratie toe met een bevestigingstermijn van 120 seconden voordat die wordt teruggedraaid. sudo netplan apply past de configuratie direct toe.

Test één laag tegelijk

Begin met ip -br link, daarna ip -br addr en daarna ip route. Geen actieve verbinding, geen geschikt adres en geen standaardroute zijn verschillende fouten. Test de gateway met ping -c 3 192.168.1.1, daarna een extern adres en daarna een naam. Het aantal bij -c laat ping op Linux stoppen na een vast aantal verzoeken; gebruik anders Ctrl+C.

Een antwoord rapporteert de retourtijd, terwijl de samenvatting pakketverlies rapporteert. Geen echoantwoord kan zowel wijzen op ICMP-filtering als op een uitgeschakelde computer of een defecte route. Als een adres werkt maar een naam “Temporary failure in name resolution” oplevert, onderzoek dan het opzoeken van namen. Als ping het omgezette adres afdrukt en daarna geen antwoorden krijgt, is het opzoeken al geslaagd.

tracepath of traceroute toont antwoordende routers langs het pad. Test ook de daadwerkelijke applicatie: curl -I https://example.com vraagt HTTP-headers op. Als een lokaal webverzoek slaagt maar verzoeken op afstand mislukken, bekijk dan sudo ss -tlnp. Een service die aan 127.0.0.1:80 is gebonden, heeft voor gebruik op afstand een bindingsadres nodig dat via het netwerk bereikbaar is, evenals de benodigde netwerktoegangsregels.

Dankzij namen kunnen mensen web1.example.com gebruiken in plaats van een adres te onthouden. DNS, het Domain Name System, slaat records op in een gedistribueerde hiërarchie van domeinen. Een korte hostnaam zoals web1 benoemt een computer; de volledig gekwalificeerde domeinnaam identificeert die binnen de volledige hiërarchie.

Herken wat een record beantwoordt

DNS-servers gebruiken poort 53 via zowel UDP als TCP. De levensduur (TTL) van een record vertelt caches hoelang ze het mogen bewaren, in seconden. Een TTL van 3600 is één uur. Door een record te wijzigen wordt het oudere antwoord niet direct uit elke cache verwijderd.

De resolver is de clientkant van het opzoeken van namen: bibliotheekcode en vaak een service zoals systemd-resolved. De ingestelde naamservers zijn doorgaans recursieve resolvers die worden beheerd door een router, provider, organisatie of openbare dienst. Ze vinden antwoorden en bewaren die in de cache voor clients.

Controleer de bronvolgorde van het systeem

Linux-applicaties gebruiken doorgaans de zoekbronnen die zijn ingesteld met de regel hosts: in /etc/nsswitch.conf. Een eenvoudig voorbeeld is:

hosts: files dns

Hier betekent files het bestand /etc/hosts, dat vóór DNS wordt gecontroleerd. Andere installaties bevatten bronnen zoals resolve of mdns4_minimal. Lees de werkelijke regel wanneer je twee systemen vergelijkt.

/etc/hosts bevat een adres gevolgd door de hoofdnaam en optionele aliassen:

127.0.0.1 localhost
::1 localhost ip6-localhost
192.168.1.20 nas.home.arpa nas

Met de getoonde zoekvolgorde wordt nas op deze computer omgezet naar 192.168.1.20. home.arpa is gereserveerd voor thuisnetwerken. Wijzigingen in het hosts-bestand worden van kracht zonder herstart, maar hebben alleen effect op de computer waarvan je het bestand bewerkt. Het bestand accepteert geen jokertekens of poortnummers: 192.168.1.20:8080 nas is ongeldig.

Gebruik lokale vermeldingen bewust

Een vermelding in het hosts-bestand kan een apparaat op een klein netwerk een naam geven of je computer naar een vervangende webserver laten verwijzen voordat openbare DNS verandert. Een naam aan 0.0.0.0 koppelen wordt ook gebruikt om die lokaal te blokkeren. Elk gebruik verandert het opzoeken van adressen, niet de poort of configuratie van de service.

Stel dat een website verhuist en op andere computers wel werkt, maar op die van jou niet. Een oude vermelding in /etc/hosts kan je browser naar het vorige adres blijven sturen, ook als DNS correct is. Vergelijk de lokale vermelding met de huidige bedoelde bestemming voordat je netwerkroutes wijzigt.

De eigen hostnaam van de computer is een afzonderlijke instelling. hostname drukt die af; sudo hostnamectl set-hostname web1 wijzigt die. /etc/hostname bewaart de ingestelde naam. Debian en Ubuntu koppelen die doorgaans ook in /etc/hosts, bijvoorbeeld met 127.0.1.1 web1. Werk die koppeling ook bij na een naamswijziging. Een verschil kan bij gebruik van sudo de waarschuwing “unable to resolve host web1” veroorzaken. Als je de hostnaam wijzigt, wordt daarvoor geen openbaar DNS-record aangemaakt.

Gebruik een test die past bij de vraag die je stelt. Een rechtstreekse vraag controleert het antwoord van een DNS-server. Een zoekopdracht via het systeem controleert de bronnen die Linux-applicaties normaal gebruiken, waaronder naast DNS ook lokale bestanden kunnen vallen.

Lees de resolverconfiguratie

/etc/resolv.conf kan nameserver 192.168.1.1 en search example.com bevatten. De nameserver-regel duidt een DNS-server aan; dankzij het zoekachtervoegsel kan een korte naam zoals web1 worden geprobeerd als web1.example.com. De traditionele resolver gebruikt maximaal drie ingestelde naamservers, normaal op volgorde. Met opties kun je het gedrag bij time-outs en nieuwe pogingen instellen.

Dit bestand wordt vaak gegenereerd door een netwerkservice. Een commentaarregel of symbolische koppeling laat zien wie het beheert. Rechtstreeks aangebrachte wijzigingen kunnen bij de volgende netwerkupdate verdwijnen, dus wijzig opgeslagen DNS-waarden via NetworkManager, netplan of de actieve netwerkbeheerder.

Op een systeem met systemd-resolved verwijst het bestand doorgaans naar /run/systemd/resolve/stub-resolv.conf en vermeldt het 127.0.0.53. Dat is een lokale DNS-stubresolver, geen externe server die per ongeluk door loopback is vervangen. Die stuurt vragen door en bewaart antwoorden in de cache. Gebruik:

resolvectl status
resolvectl query example.com
resolvectl flush-caches

Het eerste commando toont de werkelijke DNS-servers, inclusief instellingen per interface. Leeg de cache wanneer je tijdens het onderzoeken van een wijziging opgeslagen resultaten wilt verwijderen.

Kies de zoektool

host web1.example.com vraagt DNS naar een naam. host 203.0.113.10 voert een omgekeerde zoekopdracht uit; host -t MX example.com vraagt mailrecords op. dig example.com A +short drukt een beknopt IPv4-antwoord af en dig @1.1.1.1 example.com A selecteert expliciet een DNS-server. nslookup is een oudere tool om DNS te bevragen. De tools worden doorgaans aangeboden in het pakket dnsutils of bind-utils.

getent hosts nas volgt de zoekvolgorde van het systeem uit /etc/nsswitch.conf, zoals de meeste applicaties doen. dig, host en nslookup lezen /etc/hosts niet zelf. Als je de stubresolver van systemd-resolved bevraagt, kan die echter een antwoord teruggeven dat de service uit dat bestand haalt. Selecteer expliciet een bekende achterliggende server als je de DNS-gegevens daarvan met de lokale zoekopdracht wilt vergelijken.

Interpreteer het resultaat voordat je instellingen wijzigt

NXDOMAIN betekent dat de bevraagde DNS-server antwoordde dat de naam niet bestaat. SERVFAIL betekent dat de server de zoekopdracht niet kon voltooien. Een time-out betekent dat er vóór de tijdslimiet geen bruikbaar antwoord binnenkwam. “Name or service not known” van een programma is een fout bij het zoeken via het systeem, op zichzelf geen DNS-antwoordcode.

Stel dat ping naar een extern adres slaagt, maar het opzoeken van example.com een tijdelijke fout meldt. Bekijk de ingestelde resolver en vergelijk een rechtstreekse vraag daaraan met een vraag aan een andere bekende resolver. Een geldig antwoord van de tweede server wijst eerder op een probleem met de ingestelde server, de route ernaartoe of de lokale resolverinstellingen. Als beide mislukken, maak dan onderscheid tussen werkelijke foutantwoorden en time-outs voordat je een firewall als oorzaak aanwijst. DNS-verkeer en ICMP-ping zijn verschillend verkeer, ook als ze hetzelfde netwerk gebruiken.

SSH, Secure Shell, versleutelt sessies op afstand en bestandsoverdrachten. De client ssh maakt verbinding met sshd, normaal op TCP-poort 22. OpenSSH is de gebruikelijke Linux-implementatie. Oudere tools zoals telnet en FTP versturen wachtwoorden als platte tekst.

Controleer en open de sessie op afstand

Maak verbinding met ssh lee@web1.example.com; laat lee@ weg om je lokale gebruikersnaam te gebruiken. Gebruik voor een andere poort ssh -p 2222 lee@web1.example.com. Controleer de identiteit van de computer op afstand voordat je commando's uitvoert; exit of Ctrl+D brengt je terug naar de lokale shell.

Bij het eerste contact toont SSH een sleutelvingerafdruk van de hostsleutel. Vergelijk die via een vertrouwd kanaal met de beheerder of provider van de server. De beheerder kan die afdrukken met ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub. Als je die accepteert, wordt de sleutel in je bestand ~/.ssh/known_hosts opgeslagen voor latere vergelijking.

Een waarschuwing over een gewijzigde hostsleutel betekent dat de aangeboden identiteit verschilt van de opgeslagen identiteit. Een opnieuw geïnstalleerde server of een hergebruikt adres kan dit verklaren, maar een aanvaller ook. Controleer eerst de nieuwe sleutelvingerafdruk. Zodra de wijziging is bevestigd, verwijdert ssh-keygen -R 203.0.113.10 de oude vermelding voor dat adres, zodat je verbinding kunt maken en de nieuwe kunt vastleggen.

Voer een commando uit zonder aangemeld te blijven

ssh lee@web1.example.com 'df -h /'

Het commando wordt op afstand uitgevoerd, de uitvoer verschijnt lokaal en de verbinding eindigt. Een daaropvolgende lokale pipe kan die uitvoer verwerken. Programma's die een terminal nodig hebben, waaronder interactieve sudo, kunnen ssh -t gebruiken, bijvoorbeeld ssh -t lee@web1.example.com sudo systemctl restart nginx.

Kies een overdrachtstool

scp report.pdf lee@web1.example.com:/home/lee/ uploadt een bestand. scp lee@web1.example.com:/home/lee/results.csv . downloadt naar de huidige lokale directory. De dubbele punt markeert het pad op afstand; zonder die punt is lee@web1.example.com een lokale bestandsnaam. -r kopieert directory's en -P 2222 selecteert een poort, met een hoofdletter P. Moderne scp gebruikt onderliggend SFTP.

sftp lee@web1.example.com opent een interactieve sessie. Gebruik get om te downloaden, put om te uploaden, cd voor de directory op afstand, lcd voor de lokale directory en bye om af te sluiten. Voor herhaalde directorykopieën verstuurt rsync -av site/ lee@web1.example.com:/srv/site/ wijzigingen via SSH; rsync moet aan beide kanten zijn geïnstalleerd.

Bewaar terugkerende verbindingsgegevens in ~/.ssh/config:

Host web1
    HostName 203.0.113.10
    User lee
    Port 2222
    IdentityFile ~/.ssh/id_ed25519

Daarna gebruiken ssh web1 en scp notes.txt web1: die instellingen.

Lees in welke fase het misgaat

“Connection refused” duidt op een actieve afwijzing, doorgaans omdat niets op de gekozen poort luistert. Een time-out betekent dat geen antwoord is binnengekomen; mogelijke oorzaken zijn routering, filtering of een uitgeschakelde computer. “Permission denied (publickey)” betekent dat de verbinding de authenticatie bereikte, maar dat je account of aangeboden sleutel niet werd geaccepteerd. ssh -v toont de voortgang van verbinding en authenticatie, zodat je de fase kunt onderzoeken die mislukte.

Aanmelden met een sleutel bewijst dat je client een privésleutel bezit die hoort bij een toegestane publieke sleutel. De client ondertekent authenticatiegegevens; die verstuurt de privésleutel niet naar de server. De twee bestanden hebben daarom verschillende bestemmingen en hebben verschillende bescherming nodig.

Maak en bescherm het paar

Op je eigen computer:

ssh-keygen -t ed25519 -C "lee@laptop"

Kies een wachtwoordzin wanneer daarom wordt gevraagd. De standaardbestanden zijn ~/.ssh/id_ed25519, de privésleutel, en ~/.ssh/id_ed25519.pub, de publieke sleutel. De tekst bij -C is commentaar om de sleutel te identificeren. Ed25519 is sinds OpenSSH 9.5 de standaard van ssh-keygen; door het expliciet te noemen is het voorbeeld helder. Voor een oudere server die RSA vereist, genereert ssh-keygen -t rsa -b 4096 een RSA-sleutel van 4096 bits.

Een wachtwoordzin versleutelt het privésleutelbestand. Die beschermt de opgeslagen sleutel als iemand het bestand in handen krijgt; de wachtwoordzin verschilt van het wachtwoord van het account op afstand. Geautomatiseerde taken gebruiken soms sleutels zonder wachtwoordzin, met beperkte accountrechten. Houd de privésleutel op de client en houd die geheim.

Een SSH-agent bewaart ontgrendelde sleutels in het geheugen zodat je de wachtwoordzin niet voor elke verbinding opnieuw invoert. Bureaubladsessies starten doorgaans een agent. Voeg de sleutel toe met ssh-add ~/.ssh/id_ed25519 en voer de wachtwoordzin in wanneer daarom wordt gevraagd.

Geef één account toegang met de publieke sleutel

ssh-copy-id lee@web1.example.com

Na authenticatie bij het serveraccount van Lee voegt het commando een publieke sleutel achteraan toe aan ~/.ssh/authorized_keys van dat account. Als meerdere clientsleutels bestaan, selecteert ssh-copy-id -i ~/.ssh/id_ed25519.pub lee@web1.example.com expliciet de publieke sleutel. Bij het aanmaken van een cloudserver kan de publieke sleutel worden geïnstalleerd.

Elke regel in authorized_keys bevat een sleuteltype, gecodeerde gegevens van de publieke sleutel en meestal commentaar. Meerdere sleutels kunnen afzonderlijke apparaten of personen toegang geven. Een sleutel in het bestand van Lee geeft toegang tot het account van Lee, niet tot het account van root. Door de regel te verwijderen trek je die sleutel daar in; verwijder na een lek de publieke sleutel van elke getroffen server.

Controleer eigenaarschap en rechten

Op de server, in het bedoelde account:

chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

Zorg dat de homedirectory niet beschrijfbaar is voor de groep of overige gebruikers. Bij normale strenge controles weigert sshd onveilig beschrijfbare autorisatiebestanden of bovenliggende directory's. Op de client beschermen rechten 600 de privésleutel; te ruime rechten kunnen “UNPROTECTED PRIVATE KEY FILE!” opleveren. Het publieke .pub-bestand mag met rechten 644 leesbaar zijn.

Bevestig het aanmeldpad

Open een nieuwe verbinding met ssh lee@web1.example.com. Een vraag om de wachtwoordzin ontgrendelt de lokale privésleutel; een al geladen agent kan dat overbodig maken. Zoek in de uitgebreide uitvoer naar geslaagde authenticatie met “publickey”.

Als aanmelden mislukt, controleer dan eerst de accountnaam, vervolgens de publieke-sleutelvermelding, het eigenaarschap en de rechten, en daarna de aangeboden clientsleutel. ssh -i ~/.ssh/other_key lee@web1.example.com selecteert een specifieke privésleutel; met IdentityFile maak je die keuze onderdeel van een opgeslagen hostconfiguratie. Een andere sleutel genereren herstelt geen ontbrekende autorisatievermelding voor de bestaande sleutel.

Het serverprogramma is sshd, geleverd door openssh-server. Debian en Ubuntu noemen de systemd-service ssh; Fedora, RHEL, openSUSE en Arch noemen die doorgaans sshd. Gebruik de naam die je distributie biedt als je de status controleert of de service inschakelt of herlaadt.

Zoek de daadwerkelijk toegepaste configuratie

Installeer met sudo apt install openssh-server of sudo dnf install openssh-server. Voor een service op Fedora of RHEL start sudo systemctl enable --now sshd de service en schakelt het automatisch starten bij het opstarten in. systemctl status sshd rapporteert de status.

De server leest /etc/ssh/sshd_config. /etc/ssh/ssh_config is voor de client. Veel systemen voegen /etc/ssh/sshd_config.d/*.conf in aan het begin van het serverbestand. Voor de meeste instellingen heeft de eerst gelezen waarde voorrang. Een andere waarde onderaan het hoofdbestand toevoegen heeft mogelijk geen effect.

Gebruik sudo sshd -T om de daadwerkelijk toegepaste instellingen af te drukken. Als dit passwordauthentication yes toont ondanks een latere no, controleer dan de ingevoegde bestanden. Op een Ubuntu-cloudimage kan 50-cloud-init.conf de eerdere waarde leveren. Na een eerder toepasselijk bestand zoals 10-no-passwords.conf, of een wijziging van de bepalende instelling, moet je de configuratie controleren en herladen.

Vereis de bedoelde authenticatie

Nadat aanmelden met een sleutel werkt, stellen deze instellingen toegang met alleen sleutels in:

PubkeyAuthentication yes
PasswordAuthentication no
KbdInteractiveAuthentication no
AuthenticationMethods publickey
PermitRootLogin no

De eerste schakelt sleutels in. De volgende twee schakelen de wachtwoordmethode en de interactieve toetsenbordmethode uit, die beide wachtwoorden kunnen accepteren. AuthenticationMethods publickey vereist expliciet authenticatie met een publieke sleutel. PermitRootLogin no blokkeert aanmelden via SSH als root; beheerders melden zich onder hun eigen naam aan en gebruiken sudo. De standaard prohibit-password is anders: die staat aanmelden als root met een sleutel nog steeds toe. AllowUsers lee deploy kan beperken welke accounts toegang krijgen.

Pas veilig toe en test

Houd de werkende sessie open en bevestig in een tweede terminal dat aanmelden met een sleutel werkt voordat je toegang met een wachtwoord verwijdert. Na het bewerken:

sudo sshd -t
sudo systemctl reload sshd

Gebruik reload ssh op Debian of Ubuntu. sshd -t drukt niets af bij een geldige configuratie; corrigeer fouten voordat je herlaadt. Een herlading behoudt bestaande sessies, dus een nieuwe verbinding is de test van het gewijzigde beleid. Houd de oude sessie open totdat die test slaagt.

Controleer toegang en logboeken

journalctl -u sshd of journalctl -u ssh toont pogingen. Traditionele logbestanden zijn onder meer /var/log/auth.log op Debian/Ubuntu en /var/log/secure op RHEL. Herhaalde wachtwoordpogingen voor ongeldige gebruikers komen vaak voor op servers die vanaf internet bereikbaar zijn; toegang met alleen sleutels neemt het raden van wachtwoorden als aanmeldroute weg.

Sta de SSH-service toe via de actieve firewall: sudo ufw allow OpenSSH op Ubuntu, of sudo firewall-cmd --permanent --add-service=ssh op Fedora/RHEL gevolgd door sudo firewall-cmd --reload. Een regel van de cloudprovider moet de luisterende poort ook toestaan. SSH naar poort 2222 verplaatsen kan de ruis van scans verminderen, maar sleutels, beperkte aanmelding en OpenSSH-updates bieden de daadwerkelijke bescherming.