jtb.blog

Man sollte sich fragen, warum man den Rechner länger nicht mehr benutzt hat, wenn man folgendes in der Kernelausgabe liegt:

md: raidstart(pid 5907) used deprecated START_ARRAY ioctl. This will not be supported beyond July 2006

Da denkt man, es wäre kein Problem mit pam_ldap sich gegen mehrere LDAP-Server zu authentifizieren. Aber man wird schnell eines besseren belehrt...

Mein erster Ansatz: einfach die "auth"-Zeile in der passenden pam-config duplizieren und als Parameter einfach eine weitere Config-Datei angeben. Theoretisch wäre das ja möglich - immerhin gibt es einen config= Parameter für das PAM-Modul. In der Doku steht aber auch:

Configuring multiple instances of pam_ldap for the same service with different configuration files is not supported, because the configuration information is cached.

Blöd - aber es gibt ja auch noch den LDAP-Weg: Referrals.
Nachdem der Referral auf den zweiten Server eingerichtet war, wollte es aber nicht so ganz funktionieren. Aus dem Log-File war ersichtlich, dass der Referral wohl verfolgt wird, aber das Binden danach nicht klappt:

pam_ldap: error trying to bind as user "uid=1234567,dc=testsystem,dc=de" (Invalid credentials)

Eine genaue Analyse brachte dann die Ursache heraus - hier die Schritte vereinfacht dargestellt:
C1: pam_ldap verbindet sich anonym gegen ersten LDAP (S1)
S1: antwortet mit referral
C1: ldap client lib ruft die rebind_proc Methode in pam_ldap auf und bindet sich erfolgreich anonym gegen den zweiten Server (S2)
C1: sendet aufgelöste UserDN und Passwort an S1

Hier liegt natürlich der Fehler. Der Client verfolgt den Referral erfolgreich aber bindet dann gegen den ersten Server!?

Der andere LDAP-Weg ist leider nicht umsetzbar - auf den zweiten LDAP-Server bekomme ich kaum einen authorativen Benutzer mit dem der erste LDAP-Server gegen den zweiten verbinden könnte (dann müsste nicht mehr der Client den Referral verfolgen sondern der erste LDAP-Server selber).



Also bleibt jetzt die einzige Lösung zu warten auf die Reaktion des "Herstellers" PADL - Bug 357

Was passiert, wenn man ein Debian-System (unstable) lange auf Platte hat und nicht aufräumt?
Richtig: man hat ca. 80 Kerneleinträge in der grub.conf.

Was probiert der Hacker dann aus?
Richtig: wann bekommt Grub zuviel?
Ergebnis: bei 600 Einträgen lädt Grub zwar noch aber der Rechner rebootet vor der Anzeige des Bootmenüs..

Aus der Doku:

Menu Interface: A menu-interface listing the preset boot commands, with a programmable timeout, is available. There is no fixed limit on the number of boot command-set entries, and should have space for several hundred.

Jetzt wissen wir was "several hundred bedeutet

Ich dachte eigentlich, dass es so langsam keine Speichergrenzen mehr geben sollte.
Dann versuchte ich eine 2,2 TB Festplatte (so gibt der Raid-Controller es weiter) einzurichten.

Fazit: cfdisk und fdisk in die Tonne geworfen. Jedes mal wenn ich eine 2,2 TB Partition anlegen wollte, war zwar die Anzeige in Ordnung aber beim Neuöffnen des Programms war ersichtlich, dass nur eine 50GB Partition angelegt wurde Einzige Lösung: parted
In parted selber muss der Partitionstabellentype auf gpt geändert werden. Danach kann endlich eine Partition angelegt werden..

Endlich ist es soweit: Apache 2.2 ist unter Gentoo stable

Da weiß ich schon was ich das Wochenende vor habe..

Nach ein wenig Vorbereitung habe ich soeben innerhalb von einer Stunde die Migration von Courier-Imap auf Dovecot erfolgreich beendet.

Nicht nur die Folien von Ralf Hildebrandt haben mich schnell überzeugt zu wechseln. Die Config ist leicht lesbar und ich fand mich gut darin zurecht. Das zeigte sich dann auch an der schnellen Migration - einfach 1A

Der einzige Courier-Überrest ist jetzt nur noch maildrop - aber das will ich auch noch behalten.

Heute habe ich mal wieder schnell ein Linux gebraucht. Ich wollte keine Zeit mit aufwändigen Config-Änderungen verbringen und entschied mich somit für Ubuntu Version 7.04. Da ich für das Projekt Rechenpower benötigte, war das Ziel mein Gaming Rechner.
Nachdem endlich die Live-CD gebootet war (irgendwas hat ewig lang gebraucht und es war kein Hinweis wie man den blöden Bootscreen ausschalten kann ohne es direkt beim Booten einzustellen. Die mir bekannten Tastaturkombinationen gingen auch nicht) ging die Installation schnell über die Bühne. Nach dem obligatorischem Reboot war erstmal Patchen angesagt (immerhin gab es hiervor eine direkte Aufforderung). Wenn man dann gerade mal wieder über eine langsame Internetverbindung online ist, merkt man welche Datenmengen da anfallen - über 175 MB bedeuten quasi eine ebenso lange Installationszeit wie Download/Patch-Zeit
Gerade bei OpenSource würde ich erwarten, dass ein Server die Installations-CD immer wieder aktuell hält - da steckt ja quasi kein Aufwand dahinter.
Wobei mir heute wieder mal negativ aufgefallen ist, dass unter Debian (und somit auch Ubuntu) immer noch ein Programm gleichzeitig Pakete managen darf. Blöderweise wird das Lock schon während des Downloads gesetzt. Also eine halbe Stunde lang keine anderen Pakete parallel installieren Da lobe ich mir doch emerge.

Nachdem ich mir dann endlich dvdrip installiert hatte und meine ersten Schritte unternahm, stolperte ich über eine fehlende Abhängigkeit: die vorbis-tools fehlten. Ein Bugreport dazu existiert schon seit knapp zwei Monaten.
Das VIDEO_TS Verzeichnis wollte ich mir noch von meinem Notebook saugen. Dank integrierten SMB-Client sollte das kein Problem sein: einfach mit Server verbinden, Freigabe auswählen und den passenden Ordner kopieren. Aber dann wurde es komisch: ich konnte den Ordner markieren und per Rechtsklick Kopieren anwählen aber ein Einfügen im Lokalen Ordner hatte keine Wirkung. Nur verschwand dann auf einmal der Ordner in der Auflistung der Ordner unter der Freigabe - ohne jede Fehlermeldung.
Also versuchte ich den umgekehrten Weg: eine Freigabe auf dem Rechner einrichten. Schnell dafür Samba installiert und über die grafische Oberfläche ein Share angelegt. Nur steht dort kein Hinweis auf den User. Da ich mich mit Samba auskenne, war das kein Problem - einfach mit smbpasswd einen neuen Benutzer angelegt.. So funktionierte dann auch das Kopieren der DVD-Dateien..

Besonder ärgerlich war jedoch die fehlerhafte Auflösung. Auch nach der (löblicherweisen sehr einfachen) Installation der Nvidia-Treiber (inkl. anschließendem Reboot) war das höchste der Gefühle nur eine 1280er Auflösung. Das sieht auf einem 1680er Widescreen TFT natürlich nicht gerade berauschend aus. Dadurch entsteht das Gefühl, dass man irgendwas beim DVD-Konvertieren falsch gemacht hat, wenn man statt einem Kreis ein Oval sieht

Als Spielerei habe ich dann mal die Desktop Effects ausprobiert. Leider wurden alle Fensterinhalte nach Aktivierung unscharf. Also schnell wieder aus geschaltet.


Fazit: Ubuntu wird so langsam immer besser. Für ein "Out of the Box alles korrekt" ist aber noch ein gutes Stück Weg übrig

Wenn das mal kein Memory-Leak ist:



und ich wundere mich, warum mein Server anfängt über 500 MB Swapspeicher zu benutzen..

Seit langem habe ich den Plan mir einen HTPC zu bauen.

Bislang nutze ich dafür meine alte, gemoddete Xbox. Die hat jedoch einige Nachteile und fehlende Features. Am nervigsten: die fehlende Erdung - man bekommt ein starkes Brummen sobald man das LAN-Kabel einsteckt
Auch die langen Bootzeiten durch den fehlenden Standby-Support hindern des öftern die Xbox anzuwerfen.

Ziel ist es nun mehr als nur ein Videoabspielgerät zusammenzubasteln. Es soll ein Festplattenrekorder her, der mindestens zwei Programme gleichzeitig handeln kann (Beispielsweise eins aufnehmen und eins wiedergeben).
Da die Werbung in der letzten Zeit immer mehr stört, sollte das temporäre Speichern auf Festplatte bei Pause und das Überspringen von Werbung funktionieren.

Derzeit kommt das TV-Programm bei mir über einen iesy-Kabelanschluß ins Haus. Dank der wirklich bescheuerten "Wir verschlüsseln alles Digitale"-Einstellung und den zusätzlichen Extrakosten ist Digital-TV über Kabelanschluß keine Option (leider)..
Da aber noch auf dem Dach eine Sat-Schüssel mit Universal-LNB ist, lag es nah, sich die Totale Verdummung per DVB-S zu holen - besser noch: DVB-S2 mit HD-Material


Schritt 1: Grundsätzliche Anforderungen
Die große Frage: Linux oder Windows?
Bekannte Software für beide Systeme: MythTV und das Windows Media Center.
Beide bieten die gewünschten Funktionen und Extras wie EPG, Anzeige von RSS-Feeds usw.
Ein grundsätzliches Problem ist jedoch die Hardwareunterstützung. Zwar besserte sich die Unterstützung diverser DVB-Karten durch den aktuellsten Linux-Kernel in den letzten Monaten aber beim DVB-S2-Support sieht es doch recht mager aus
Das Windows Media Center wurde zwar für XP mit zwei großen Patches wesentlich verbessert, State of the Art ist aber das Vista Media Center. Dort bekommt man meistens nur BDA-Treiber für die 32bit Variante.
DVB-S2-Karten werden generell unter Windows unterstützt, aber einige Probleme stehen noch aus
Windows hat aber einen entscheidenen Vorteil: ausgereifter Standby-Support. Ich will zwar nicht mit der Öko-Masche kommen aber die Stromrechnung sollte nicht exorbitant hoch ausfallen
Außerdem weiß ich so, dass der Grafikkartentreiber meine CPU auf jedenfall entlasten wird.


Schritt 2: Test-Ausrüstung besorgen.
Da ich nicht sinnlos Geld in den Sand setzen will, muss natürlich alles vorher getestet werden. Das dies nötig war, zeigte sich kurz später - aber dazu komme ich noch.

Empfohlen wurden mir Technisat-Karten. Problem: das noch vorhandene Kabel-TV kann nicht genutzt werden ohne eine weitere (analoge) Karte.
Also fiel meine Wahl nach längerem Suchen auf die Hauppauge HVR-4000 - Unterstützung für Analog, DVB-T, DVB-S und natürlich DVB-S2. Nachteil: Linux-Treiber sind gerade erst im Entstehen.

Die Installation klappte wunderbar. Das Kabel-TV ließ sich unter MCE allerdings erst nach der Installation des SoftMCE-Encoders in Gang setzen. Dann klappte aber alles wunderbar
Nach etwas Kabelverlegen gab es dann nun auch Sat-Anschluß am Testrechner. Wiederrum musste ein Patch installiert werden, damit alles klappte: DVBS_as_DVBT - ein Emulator, der dem Media Center eine DVB-S-Karte als DVB-T vormacht.
Problem: DVB-S2 wird vom DVB-T-Mapper nicht unterstützt. Ob das nur vorzeitig so ist, ist mir bislang nicht bekannt
Also gerade das Ziel, HDTV zu bekommen nicht erfüllt
Man kann zwar die mitgelieferten Anwendungen benutzen aber an das Media Center kommen die Programme bei weitem nicht dran.
Wunderbar funktioniert die StandBy-Funktion: wenn eine Aufnahme geplant ist, wacht der Rechner dank ACPI automatisch wieder auf - so soll das sein

Jetzt muss ich mir erstmal meine Ziele neu überdenken. U.a. auch weil HDTV natürlich eine viel stärkere Hardware als HTPC braucht als einfache DVB-S- bzw Analog- Aufnahme und Wiedergabe.

Manchmal bin ich echt froh, dass ich in Punkto Sicherheit ein wenig mehr Aufwand reinstecke.
So wurde gestern abend einer meiner Apache-Vhosts gehackt und eine Remote-Shell hochgeladen (Ursache: eine alte PHP-Software, die eigentlich schon geupdatet wurde aber von einem Sicherungs-Restore wieder auf die alte Version zurückgesetzt wurde )

Dank sauberer Trennung der Vhosts (jeder Vhosts hat einen eigenen Systembenutzer) und Hardened-PHP ist nichts passiert.
Jetzt muss ich nur den Inhalt des Vhosts noch komplett löschen und neu aufsetzen.

Ohne Netz und doppeltem Boden? Ohne mich

Ich habe nun endlich qpsmtpd am Laufen. Problem war weniger das Skripten eines MySQL-Plugins sondern eher die Zeit bzw die Muße zu finden sich mal dranzusetzen

Ab sofort gehen Mails an meine beiden Haupt-Domains über qpsmtpd ein. Virenmails sowie Spammails mit einem Rating über 7 werden ab sofort direkt abgewiesen
Auch vom Earlytaker-Plugin erhoffe ich mir weniger Spam. Zwar wird einiges direkt in den Junk-Mail-Ordner sortiert aber warum Ressourcen dafür verschwenden?

Leider kann ich aufgrund der rechtlichen Lage nicht gleich alle Domains umstellen - dafür müsste ich meinen Benutzern eine Auswahl der Filterung anbieten. Also das Spamassassin-Modul um ein MySQL-Lookup erweitern. Aber erstmal muss ich weiter für Klausuren lernen

Wie vielleicht einige festgestellt habe, war mein Server dieses Wochenende down.
Ursache: ein Skript welches durch ein Programmierfehler Amok gelaufen ist. Dadurch wurde quasi alles auf dem Server gelöscht.
Aber das war Murphy noch nicht genug.
Erst musste ich feststellen, dass das per Duplicity erstelle Backup nicht allzu neu war. Gleich danach kam die Erkenntnis, dass das Backup teilweise korrupt war:

Invalid data - SHA1 hash mismatch:
Calculated hash: ac1777d8b234e84e828f9f6a217d19efeea25520
Manifest hash: 6ba474192fe73f4bced06fff403f29e36ecae7a4

sowie

gpg: [don't know]: invalid packet (ctb=14)

Das die Backuplösung nicht robust gegen solche Fehler ist und beim Fehler damit komplett abbricht, spricht nicht gerade für die Lösung.
Wobei mich duplicity schon länger genervt hat: wenn beispielsweise das Passwort falsch ist, bekommt man nur einen gnupg Fehler 2 - den eigentlichen Fehler bekommt man erst raus, wenn man das Debuglevel höher setzt

Aber das war Murphy immer noch nicht genug..
Nachdem mich das Backup schon in einem Zustand des Dauerkotzens brachte, verabschiedete sich auch noch meine /var/www-Partition. Selbst ein fsck.ext3 konnte nichts mehr reparieren. Nach jedem fsck wurde es quasi schlimmer. Selbst nach dem zehnten Durchgang crashte der komplette Server beim Zugriff auf diverse Dateien.
Ein physikalischen Defekt würde ich ausschließen, da die Partition auf einem Mirror-RAID liegt.


Nun ja, mein Blog ist nach zwei Tagen Arbeit wiederhergestellt - zum einen Dank einem lokalen Datenbank-Backup und zum anderen Dank des Google-Caches
Leider sind dadurch zehn Kommentare verloren gegangen - eventl. ziehe ich die demnächst nach.

Mmh, wie soll man da ordentlich eine MySQL optimieren können?
Die meisten Angaben von show status werden durch das Backup verfälscht
Klar, dass beim Backup tausende von Tabellen geöffnet werden und etliche Table-Scans gemacht werden.
mysqlhotcopy ist leider keine Alternative, da ich auch einige InnoDB-Tabellen habe.

Die Leser von der LinuxUser Zeitschrift haben derzeit einen schlechten Eindruck von Vista. Jedenfalls wenn sie das Editorial aus dem LinuxUser 12/2006 gelesen haben.

So steht dort zum Beispiel:

Mit der Benutzung von Windows Vista stimmt man zu, dass Microsoft via "Windows Defender" ohne jede Nachfrage "potenziell unerwünschte Software" vom Rechner entfernt, auch wenn dadurch andere Software auf dem Computer nicht mehr funktioniert oder deren Lizenzbestimmungen verletzt werden. Das kann durchaus auch Software betreffen, die vom Benutzer gar nicht unerwünscht ist, räumt Microsoft unumwunden ein (EULA, Punkt 6).

oh ha - das klingt schonmal böse. Microsoft soll also die absolute Kontrolle über den Rechner haben und wild wüten können?

Nun ja, nicht wirklich - wenn man sich mal die Eula anguckt, entsteht sofort ein anderes Bild:

POTENZIELL UNERWÜNSCHTE SOFTWARE. Wenn es aktiviert ist, sucht Windows Defender auf Ihrem Computer nach „Spyware“, „Adware“ und anderer potenziell unerwünschter Software. Wird potenziell unerwünschte Software gefunden, fragt die Software Sie, ob Sie sie ignorieren, deaktivieren (in Quarantäne verschieben) oder entfernen möchten. Jede potenziell unerwünschte Software mit dem Schweregrad „hoch“ oder „schwerwiegend“ wird nach dem Scanvorgang automatisch entfernt, sofern Sie die Standardeinstellung nicht ändern. Das Entfernen oder Deaktivieren von potenziell unerwünschter Software kann dazu führen, dass
• andere Software auf Ihrem Computer die Funktion einstellt oder
• Sie eine Lizenz zur Verwendung anderer Software auf Ihrem Computer verletzen.
Durch das Verwenden dieser Software ist es möglich, dass Sie auch Software entfernen oder deaktivieren, bei der es sich nicht um potenziell unerwünschte Software handelt.

na ja, das klingt ja schon viel besser. Eine meiner Meinung nach für den Standardbenutzer sinnvolle Einstellung, aber der Profi hat die Möglichkeit alles anzupassen. Außerdem muss der Windows Defender dafür aktiviert sein.
Wenn man sich einen Virenscanner installiert, dürfte man ähnliche Klauseln erwarten können.

Ein weiterer Punkt der genannt wird, ist die angebliche Spionage seitens Microsoft:

Daneben soll sich Vista generell regelmäßig mit Microsoft verbinden, ohne im Einzelfall den Benutzer auch nur davon zu unterrichten, und Informationen über den PC und die installierte Software übermitteln. (EULA, Punkt 7)

Punkt 7 sind "Internetbasierte Dienste" - dort steht:

Die nachfolgend und in den Datenschutzbedingungen von Windows Vista beschriebenen Features der Software stellen über das Internet eine Verbindung mit Computersystemen von Microsoft oder von Serviceprovidern her. In einigen Fällen erhalten Sie keinen gesonderten Hinweis, wenn die Verbindung hergestellt wird. Sie können diese Features abschalten oder nicht verwenden.

Was ist so ein "Internetbasierter Dienst"? Nun ja, es ist beispielsweise einfach nur die "Automatische Aktualisierung von Stammzertifikaten", "Windows-Updatefeature" wenn ich ein neues Gerät anschließe oder sehr simpel der "Windows-Zeitdienst"..
Alle Internetdienste sind unter Punkt 7 aufgelistet und erklärt.

D.h. der Chefredakteur von LinuxUser will ernsthaft, dass Windows mich jedesmal fragt, wenn mein Windows die Systemuhrzeit stellen soll?
Dass die ganzen Dienste freiwillig sind und abgeschaltet bzw nicht verwendet werden können wird auch nicht erwähnt..

Bleibt noch ein Punkt, wo ich zumindest teilweise zustimmen muss: die Aktivierung von Windows ist wirklich ein Ärgernis. Microsoft versucht damit weiter gegen die "Raubkopierer" zu kämpfen, aber der Dumme ist am Ende der normale, zahlende Kunde.

Zwar erwarte ich in einer Linux-Zeitschrift keine Lobpreisungen von Windows Vista, aber ein wenig auf dem Boden bleiben und sich an die Tatsachen halten wäre in meinen Augen angemessen.

Ich war schon dabei mir ein Konstrukt mit qpsmptd vor meinen Postfix zu bauen, aber nun erscheint eine bessere Lösung am Horizont: Postfix 2.3 wird Milter unterstützen

Jetzt warte ich nur noch darauf, dass Postfix 2.3 unter Gentoo stable wird und hoffe, dass Amavisd-new kompatibel mit Postfix-Milter sein wird. Dann steht der Abweisung von Viren und Spam schon während des Empfangs nichts mehr im Wege.

Gruml, da habe ich gerade IPv6 für meine Mails aktiviert und schon musste ich es wieder deaktivieren

Grund: das sendmail von Postfix will /proc/net/if_inet6 lesen. Mein Kernel verweigert dies dank grsecurity und Postfix stellt die Mail nicht zu..



Das ganze mal mit strace mitgezeichnet:

Benutzer mit Restriktion auf /proc:


Benutzer ohne Restriktion auf /proc


Den Benutzer, der sendmail ausführt einfach in die grsecurity-proc-Gruppe zu stecken klappt nicht, da ich dann alle CGI-Benutzer freischalten müsste. Und gerade für die wollte ich ja die Proc-Seperation haben..

Da Postfix die Rechte scheinbar erst nach dem Einlesen von /proc/net/if_inet6 droppt, taucht das Problem erst auf, wenn man versucht lokal eine Mail zu verschicken. Die grundsätzliche IPv6-Verbindung klappt..
Aber nun lauscht Postfix erstmal nicht mehr auf ein IPv6-Interface

Ab sofort empfängt und sendet mein Mailserver auch über IPv6
Ich hoffe, dass damit der IPv6-Traffic mal steigt..

Leider ist mein Server nur über einen 6to4-Tunnel angebunden - natives IPv6 ist in deutschen Rechenzentren bislang schwer zu bekommen

Vielleicht kennt jemand das Problem:
VMWare 5
Host: Linux
Gast: Linux

Im Gast funktioniert die Tastatur beim Booten (Bios und Grub), aber sobald der Linux-Kernel bootet ist die Tastatur weg - kein Num-Lock, kein Strg+Alt+Entf.
Der Any-Any-Patch hilft leider nicht
Das Problem tritt nicht deterministisch auf..

Update: gestestet wurde mit Debian, Fedora Core 4 und Gentoo

So, die ersten Mails werden von FuzzyOcr erkannt:

Nachdem in den letzten Tagen wieder vermehrt Spam durch meinen Mailserver ging ohne als Spam markiert zu werden, habe ich dieses Wochenende wieder mal aufgerüstet.
Häufig gingen Spam-Mails durch, wo der Text völlig harmlos, aber die Werbung in einem Bild enthalten war. Also werden ab jetzt Bilder mittels FuzzyOcr auf typische Spamwörter untersucht. Eine sehr schöne Anleitung dazu findet man unter SpamAssassin: jetzt mit Bilderkennung.