Moderne POSIX kompatible Systeme setzen zur Umgehung dieses Problem heutzutage auf UTF-8 oder UTF-16, um nahezu alle Zeichen der meisten Sprachen darstellen zu können. FreeBSD hatte wohl lange Zeit noch das eine oder andere Problem mit UTF-8, was aber spätestens seit Version 9 der Vergangenheit angehört.

Einstellung der Bildschirm-Console:

/etc/rc.conf editieren:

# Zu verwendende Konsoleschrift (iso8859-15)
font8x14="iso15-8x14"
font8x16="iso15-8x16"
font8x8="iso15-8x8"

# Deutsche Tastaturbelegung
keymap="german.iso"

Einstellung der Lokalisierung (locale)

/etc/login.conf editieren und eine Sprachgruppe anlegen

german:German Users Accounts:\
      :charset=UTF−8:\
      :lang=de_DE.UTF−8:\
      :tc=default:

Die Änderungen aktivieren:

# cap_mkdb /etc/login.conf

Betreffende User der Sprachgruppe german mit dem Kommando vipw  zuweisen:

user:password:UID:GID:german:0:0:USER_NAME:/home/USER_NAME:/bin/SHELL

FreeBSD 9 mit deutscher Lokalisierung ist ein Original von: Dem Commander1024 sein Blog

Seit FreeBSD 8.2  gibts virtio-kmod in der offiziellen Ports-Sammlung. Mit dem gerade erschienenen Release von FreeBSD 9 soll dessen Geschwindigkeit aber deutlich gestiegen und nun sinnvoll einsetzbar sein.

Um diese Vorteile nun unter auch auf einem FreeBSD 9 Gast nutzen zu können, muss der entsprechende Port installiert werden. Damit die Kernel Module sauber durchcompilieren, sind die src-base und src-sys Pakete erforderlich und sollten unter /usr/src/sys vorhanden sein.

# portinstall virtio-kmod

Nun editieren wir /boot/loader.conf. Um die eben gebauten Module beim booten zu laden, fügen wird diese Zeilen vorzugsweise am Anfang der Datei ein:

virtio_load="YES"
virtio_pci_load="YES"
virtio_blk_load="YES"
if_vtnet_load="YES"
virtio_balloon_load="YES"

Nun müssen wir dem System sagen, wie die paravirtualisierten Geräte nach Umstellung auf virtio heißen. Virtuelle HDDs werden dann vtbdX (z. B. vtbd0) und Netzwerkkarten vtnetX (z. B. vtnet0) heißen. Dies müssen wir entsprechend in der /etc/rc.conf ändern, wenn wir dort das Netzwerk konfigurieren und die Laufwerke in der /etc/fstab sollten natürlich auch passend ersetzt werden, sofern wir nicht nach diesem Howto zfs-on-root eingerichtet haben, dann entfallen Änderungen an der (ohnehin leeren) fstab.

Nun können wir den FreeBSD Gast mit shutdown -p now herunterfahren und die HDD/Netzwerkhardware im Hypervisor auf “virtio” umstellen. Dies kann bei Einsatz von libvirt wahlweise mithilfe eines Programms wie virsh, virt-manager, Archipel oder dem Editieren der .xml Gastdefinition unter /etc/libvirt/qemu/ geschehen. In letzterem Fall muss libvirt neu gestartet werden (was keinen Neustart laufender Gäste zur Folge hat).

Unter Debian/Ubuntu:

# /etc/init.d/libvirt-bin restart

Nun starten wir das FreeBSD wieder und erfreuen uns an deutlich schnelleren Festplatten- und Netzwerkzugriffen sowie den weiteren Annehmlichkeiten, die die KVM Paravirtualisierung bietet.

FreeBSD 9 mit virtio als Linux KVM Gast ist ein Original von: Dem Commander1024 sein Blog

2. Erstellen der notwendigen Partitionen auf den HDDs und Hinzufügen des ZFS Bootcodes

Diese Schritte für jede weitere Festplatte wiederholen (ada0, ada1, ada2 …)

gpart create -s gpt ada0
gpart add -b 34 -s 94 -t freebsd-boot ada0
gpart add -t freebsd-zfs -l disk0 ada0
gpart bootcode -b /boot/pmbr -p /boot/gptzfsboot -i 1 ada0

3. Den ZFS pool erstellen

(Warnungen zum Mounten können ignoriert werden)

Installation auf einer HDD (wie in meinem Fall z. B. mit einem LVM-Volume auf dem Linux RAID1 des KVM Hypervisors):

zpool create zroot /dev/gpt/disk0

Installation auf einem Mirror-Setup mit 2 HDDs:

zpool create zroot mirror /dev/gpt/disk0 /dev/gpt/disk1

Installation auf einem raidz Setup (ähnlich Raid5) mit mind. 3 HDDs:

zpool create zroot raidz /dev/gpt/disk0 /dev/gpt/disk1 /dev/gpt/disk2

Installation auf einem raidz2 Setup (ähnlich Raid6) mit mind. 3 HDDs:

zpool create zroot raidz2 /dev/gpt/disk0 /dev/gpt/disk1 /dev/gpt/disk2 /dev/gpt/disk3

4. Einstellen der bootfs Eigenschaften, Prüfsummen und Mountpoints

zpool set bootfs=zroot zroot
zfs set checksum=fletcher4 zroot
zfs set mountpoint=/mnt zroot

5. An diesem Punkt den Pool ex- und wieder importieren unter Beibehaltung des zroot.cache in /var/tmp

zpool export zroot
zpool import -o cachefile=/var/tmp/zpool.cache zroot

6. Erstellen der Dateisysteme

(Hier kann man natürlich improvisieren)

zfs create zroot/usr
zfs create zroot/usr/home
zfs create zroot/var
zfs create -o compression=on -o exec=on -o setuid=off zroot/tmp
zfs create -o compression=lzjb -o setuid=off zroot/usr/ports
zfs create -o compression=off -o exec=off -o setuid=off zroot/usr/ports/distfiles
zfs create -o compression=off -o exec=off -o setuid=off zroot/usr/ports/packages
zfs create -o compression=lzjb -o exec=off -o setuid=off zroot/usr/src
zfs create -o compression=lzjb -o exec=off -o setuid=off zroot/var/crash
zfs create -o exec=off -o setuid=off zroot/var/db
zfs create -o compression=lzjb -o exec=on -o setuid=off zroot/var/db/pkg
zfs create -o exec=off -o setuid=off zroot/var/empty
zfs create -o compression=lzjb -o exec=off -o setuid=off zroot/var/log
zfs create -o compression=gzip -o exec=off -o setuid=off zroot/var/mail
zfs create -o exec=off -o setuid=off zroot/var/run
zfs create -o compression=lzjb -o exec=on -o setuid=off zroot/var/tmp

7. Swap Speicher anlegen und Prüfsummen deaktivieren

(hier werden 4GB Swap erstellt, je nach eigenen Bedürfnissen anpassen)

zfs create -V 4G zroot/swap
zfs set org.freebsd:swap=on zroot/swap
zfs set checksum=off zroot/swap

8. Symbolische Links nach /home und Berechtigungen korrigieren

chmod 1777 /mnt/tmp
cd /mnt ; ln -s usr/home home
chmod 1777 /mnt/var/tmp

9. Die eigentliche FreeBSD Installation

cd /usr/freebsd-dist
export DESTDIR=/mnt
for file in base.txz lib32.txz kernel.txz doc.txz ports.txz src.txz;
do (cat $file | tar --unlink -xpJf - -C ${DESTDIR:-/}); done

10. Den zpool.cache kopieren

(sehr wichtig!)

cp /var/tmp/zpool.cache /mnt/boot/zfs/zpool.cache

11. Erstellen von rc.conf, loader.conf und einer leeren fstab

(sonst meckert das System)

echo 'zfs_enable="YES"' >> /mnt/etc/rc.conf
echo 'zfs_load="YES"' >> /mnt/boot/loader.conf
echo 'vfs.root.mountfrom="zfs:zroot"' >> /mnt/boot/loader.conf
touch /mnt/etc/fstab

12. Alles aushängen und Mountpoints für den ersten Boot vorbereiten

zfs set readonly=on zroot/var/empty
zfs umount -af
zfs set mountpoint=legacy zroot
zfs set mountpoint=/tmp zroot/tmp
zfs set mountpoint=/usr zroot/usr
zfs set mountpoint=/var zroot/var

Jetzt kann das System neu gestartet werden, nach dem Anpassen der Zeitzone, dem Setzen eines Passworts für den root user kann man sein System genießen, oder direkt im Falle einer Virtualisierung unter KVM mit den Einrichten von virtio fortfahren.

FreeBSD 9 mit Root on ZFS ist ein Original von: Dem Commander1024 sein Blog

Dazu <Volume Down>  und  <Power> für ca. 1 Sekunde gleichzeitig drücken und das Bild wird nach einer visuellen Rückmeldung in dem Screenshots Ordner abgelegt, wo er auch über die Galerie wiederzufinden ist.

Screenshots auf dem Galaxy Nexus mit Android 4.0.x ist ein Original von: Dem Commander1024 sein Blog

erschöpft zu sein, schränkten wir die ohnehin schon geringe Auswahl auf diejenigen ein, die mit öffentlichem Nahverkehr bequem erreichbar waren. Bei den verbliebenen gingen wir nach der Speisekarte, da so die Suche nach einem guten angrenzenden Restaurant entfiele.

Letzten Endes fiel die Wahl auf das “Achteck” in Düsseldorf-Garath. Das Hotel ist 3 Minuten Fußweg zur nächsten S-Bahn Station entfernt und in einer Fußgängerzone umgeben von Supermärkten, Sparkasse und Bäcker gelegen. Somit konnten wir mit S-Bahn und U-Bahn in ~45 Minuten von der Haustür direkt zum Eingang des Düsseldorfer Messegeländes fahren und das Auto während dieser Zeit in der hoteleigenen Tiefgarage parken.

Der Messeaufenthalt war sehr interessant, wir haben einige neue Kontakte geknüpft, bestehende aufgefrischt und mit Kunden, potentiellen neuen Kunden sowie Konkurrenten geplauscht. Mein persönliches Highlight war jedoch das Hotel.

Eingecheckt haben wir am Mittwochabend nach dem Aufbau auf dem Messegelände. Wir wurden sehr herzlich empfangen, haben den Wagen abgestellt, kostenlosen Zugang zum WLAN (! – für mich natürlich sehr wichtig) bekommen und mit dem Hotelier Dujo Babic besprochen, wann wir am nächsten Morgen frühstücken wollten, um pünktlich auf dem Messegelände eintreffen zu können. Dabei wusste er sogar zu berücksichtigen, dass der Anschluss von S- an U-Bahn in der Regel nicht klappt und deswegen 10 Minuten mehr einzuplanen seien.

Nachdem wir uns kurz auf dem Zimmer frisch gemacht haben ging es wieder runter ins Restaurant zum Abendessen – wahlweise im Raucher- oder Nichtraucherbereich – und wurden überrascht von einer außerordentlich leckeren Küche und einer schmackhaften Getränkeauswahl – beides zu sehr moderaten Preisen (Speisekarte). Die Bedienung ist sehr nett, aufmerksam und zuvorkommend. Nach dem Essen waren wir aber dann aber auch gar und konnten uns mit vollen Bäuchen in unsere Betten fallen lassen.

An dieser Stelle ein paar selektive Impressionen des Hotels ;-)

Das Frühstück am Morgen in aller Frühe konnte sich wirklich sehen lassen und ließ auch keine Wünsche offen. Die weiteren Tage waren zwar allesamt anstrengend aber insgesamt weniger spannend.

Für das Wochenende war es geplant, dass Chefs Frau für einen Tag inkl. Übernachtung zu Besuch kommen sollte, er hatte daher auch ein Doppelbettzimmer gebucht. Meine Frau wollte zwar auch am Freitag kommen, als bescheidene Menschen, haben wir jedoch nicht geplant zu übernachten – mein Bett im Einzelzimmer war ohnehin zu klein. Beim gemeinsamen Abendessen am Freitagabend mit unseren Frauen kurz bevor meine wieder abreisen wollte, kam Chef die Idee, einfach mal zu fragen, ob es möglich sei, für mein Zimmer ein Beistellbett zu organisieren, damit sie uns morgens zur Messe begleiten und anschließend in aller Ruhe nach Hause zurückfahren konnte und nicht noch nachts raus muss.

Leider ließ der Hotelinhaber verkünden, dass eigentlich kein Bett mehr frei sei, dennoch nahm er meinen Zimmerschlüssel mit und wollte mal schauen, was zu machen sei. Eigentlich hatten wir die Sache bei einen Bierchen schon wieder vergessen, da kam unsere Bedienung strahlend an den Tisch, um uns mitzuteilen, dass sie ein Bett organisieren konnten und, dass Handtücher, etc. auch doppelt ausgeteilt wurden. Im Endeffekt wurde diese außerordentliche Extrawurst nicht einmal berechnet. WOW!. Da musste dann auch ein Trinkgeld her und Web-Propaganda, welche ich hiermit abliefere ;-)

Gut trinken kann man in der gemütlichen Bar des Hauses übrigens auch, was ich an einem Abend auch getan habe :-)

Sehr empfehlenswert der Laden

Hotel “Achteck” Düsseldorf-Garath ist ein Original von: Dem Commander1024 sein Blog

Zum Release der neuen Ubuntu Version (11.10) gibt es eine nette Online Tour (auch wenn ich Ubuntu selbst nicht mehr einsetze, weil es mich zu sehr einschränkt). Diese ist komplett mit Webtechniken gebaut und soll einen Einblick in die Distribution im Browser geben – ohne Live CD, Ohne Installation, ohne Reboot). Diese Webdemo finde ist sogar ziemlich gelungen, besonders weil man die im “Firefox” in dieser Demo wieder selbst aufrufen kann. Natürlich läuft da dann kein Firefox, sondern rendert der normal genutzte Browser das dann einfach in einem iFrame. Aber das funktioniert, wie man hier sehen kann, auch wenn es dann schon ordentlich CPU Leistung benötigt, besonders beim Browser-Resize (wie für den Screenshot geschehen).

Browser in Browser im Browser im Browser ;-)

Rekursion ist ein Original von: Dem Commander1024 sein Blog

Fotos zu Moodlight und 3D-Drucker finden sich auf warpzone.ms

3D Drucker und Moodlight in der warpzone ist ein Original von: Dem Commander1024 sein Blog

meine Web Collage

Drauf gestoßen bin ich durch: Simon Szustkowski

I have been webified ist ein Original von: Dem Commander1024 sein Blog

Zwar wird bei einem Angriff mit dem Exploit-Code einiges an CPU-Leistung verbrannt, der RAM Verbrauch steigt um ein paar hunder MB, reicht aber auf den Systemen unter meiner Kontrolle nicht aus, diese aus dem Tritt zu bringen – zumindest nicht mit nur einem angreifenden Rechner und 1000+ Threads.

Schritte zum Dämpfen der Bedrohung sind entweder die Abschaltung des Byte-Ranges in der Config des Header Moduls, was aber neben dem kompletten Deaktivieren von “resumable Downloads” noch schwerwiegendere Folgen haben dürfte oder aber das Beschränken der Zahl der Range-Requests via mod_rewrite. Ich habe mich wie vermutlich die Meisten für die zweite Lösung entschieden.

Diese Instruktionen beziehen sich auf ein Server-System mit Debian Linux. Bei Verwendung einer anderen Distribution müssen ggf. Dateipfade angepasst werden.
Dazu muss in jedem VHost folgender Code eingefügt werden (z. B. nach der DocumentRoot-Direktive):

# Apache2 Range-Request Rewrite Fix
RewriteEngine On
RewriteCond %{REQUEST_METHOD} ^(HEAD|GET) [NC]
RewriteCond %{HTTP:Range} ([0-9]*-[0-9]*)(\s*,\s*[0-9]*-[0-9]*)+
RewriteRule .* - [F]

Da ich wenig Lust habe, das in jeden VHost manuell einzufügen, lagere ich das in eine eigene Datei in /etc/apache2/conf.d/antiapachekiller aus und füge ein Include /etc/apache2/conf.d/antiapachekiller in jeden VHost nach dem DocumentRoot ein. Weil ich das bei ziemlich vielen Seiten machen muss, habe ich das mit diesem Skiptchen automatisiert. Dieses kann an beliebiger Stelle liegen, der Pfad mit den VHost-Definitionen ist fest eingebaut (und müsste bei Abweichungen angepasst werden), und ein Backup des Apache-Verzeichnisses vorher wird dringend empfohlen!

#!/bin/bash
cp -rvp /etc/apache2/sites-available/ /tmp/
cd /tmp/sites-available/
FILES=`ls *.conf`
for FILE in $FILES
do
echo $FILE
cat $FILE | perl -ne 'print $_; print \
"Include /etc/apache2/conf.d/antiapachekiller\n" \
if ($_ =~ /DocumentRoot/ )' > /etc/apache2/sites-available/$FILE
done

Selbst wenn kein eigenes Backup vorher angelegt wurde, liegen die Originaldateien nach der Anwendung des Skripts noch in /tmp/sites-available/
Danach sollten die VHosts zumindest noch stichprobenartig überprüft werden und dann der Indianer neu geladen werden (/etc/init.d/apache2 reload).

Mit mod_rewrite den ApacheKiller Exploit entschärfen ist ein Original von: Dem Commander1024 sein Blog

Ein Glück, dass wir Hilfe von starken, professionellen Trägern hatten und das nicht alles selbst nach unten tragen mussten.  Im Endeffekt war ein 7m³ Container fast randvoll gefüllt, auch wenn wir uns mit unserer eigenen Schätzung ein wenig vertan haben und einer der beiden leer geblieben ist, was aber auch auf die effiziente Stapeltechnik der “Jungs” zurückzuführen ist, wovon wir nicht ausgegangen sind.

Was wir @work schon immer mal loswerden wollten … ist ein Original von: Dem Commander1024 sein Blog

Weil ohnehin mein Notebook im Flugzeug dabei war und das Handy nichts zu tun hatte, habe ich mir gedacht, dass es doch eine tolle Idee wäre, den Flug mit dem gpsrecorder auf meinem N900 aufzunehmen. Dieses Tool speichert jede Sekunde die genaue Position, die Höhe, die Geschwindigkeit, Steig-/Sinkrate und ein paar Informationen zur Zahl und Signalqualität der verwendeten Satelliten ab. Am Ende nur noch das Programm das native Format (.gpsr) in das populärere XML-Format (.gpx) konvertieren lassen.

Damit konnte ich nun mittels gpx2png (Perl Skript) den Flug schön auf den Mapnik-Karten des OpenStreetMap Projekts zeichnen lassen.

Flugroute von Moskau Domodedovo (DOM) nach Osnabrück International (DUS)

Das ist aber nicht alles, was man aus den Daten “herauslesen” kann. Für das Weitere habe ich das GTK-Programm Viking benutzt.

Detailkarte des Abflug-Flughafens Moskau Domodedovo

Detailkarte des Zielflughafens Düsseldorf International

Wie man sieht, war der Empfang im Flugzeug nicht während des ganzen Fluges optimal, da ich mich halt gut abgeschirmt in einem faradayschen Käfig befand. Ich musste sogar das Handy im Flugzeugfenster mithilfe der Abdunkelungsblende einklemmen, um während des Fluges überhaupt einige Satelliten ‘sehen’ zu können.

Neben dem reinen Verlauf des Fluges sind anhand der GPS-Daten aber auch Werte zu Geschwindigkeit und Flughöhe vorhanden, die sich schön visualisieren lassen:

Höhe während des Fluges

Geschwindigkeit während des Fluges

Und für Liebhaber von Zahlen noch ein paar Statistiken:

zurückgelegte Strecke: 2175,55 km
Höchstgeschwindigkeit: 853,8 km/h
Durchschnittsgeschwindigkeit: 700,53 km/h
Höhendifferenz: 112 m – 11274m
Absoluter Höhengewinn/verlust: 12110 m / 12239 m
Start: Samstag 30. Juli 2011 11:55:35
Ende: Samstag 30. Juli 2011 15:01:55
Dauer: 186 Minuten

Planmäßig hätte das Flugzeug um 13:30 Moskauer Ortszeit starten sollen, konnte aber erst mit 25 Minuten Verspätung starten, die Ankunftszeit in Deutschland ist aber wieder nach Flugplan. Ergo konnte der Pilot durch leicht ‘erhöhte’ Geschwindigkeit die 25 Minuten Verspätung während des Fluges wieder gutmachen.

Spaß mit GPS Track Logging im Flugzeug ist ein Original von: Dem Commander1024 sein Blog

... in der Galerie ist der Rest

Hochzeitsfotos ist ein Original von: Dem Commander1024 sein Blog

Meine frisch angetraute Ehefrau wird das sicher auch nicht für mich sortieren wollen, also muss was aus Software her, was mich dabei unterstützt.

FSlint bereinigt diverse Arten von unnötigen / unnützen Dateien

Ein Tool, das ich schon länger verwende, ist FSlint und sollte in jeder gescheiten Linux Distribution auch in der Paketverwaltung vorhanden sein. Anderenfalls findet man auf der Homepage ggf. neuere Versionen für verschiedene Distributionen. Es findet und bereinigt:

• Duplikate von Dateien
• Dateien mit ungültigen Namen
• temporäre Dateien
• Fehlerhafte Symlinks
• leere Verzeichnisse
• … und noch viel mehr

Außerdem ist es das schnellste Tool (mit GUI), das mir hierfür bekannt ist.

Für Windows ist mir dieses recht brauchbare Tool  unter die Fittiche gekommen, zwar ist es bei Weitem nicht so mächtig, wie FSlint, erfüllt seine Kernaufgabe aber mit akzeptabler Geschwindigkeit und Bedienung ist auch okay.

Musicbrains Picard hilft beim Taggen von falsch oder garnicht getaggten Musikstücken

Nachdem nun Dupletten und co raus sind, wollte ich die Musiksammlung noch in eine einheitliche Form pressen. Da ich es nicht besonders sinnvoll und überdies unpraktikabel finde, sortiere ich die Musik einfach auf einer Ebene Künstler  / Album / Tracks bzw. Sampler-Reihe / Album / Tracks, so finde ich die Musik im Dateisystem am Schnellsten. Für Sortierung nach Genres und Suche nach einzelnen Tracks kann eigentlich jede vernünftige Abspielsoftware herhalten. Dafür sollte aber die Musik korrekt getagged sein.

Dabei hilft Musicbrains Picard enorm. Es ordnet MP3, mit denen es gefüttert wird, nicht nur Alben zu, dessen Informationen es online holt, sondern kann auch komplett unbenannte, ungetaggte Musikstücke anhand der SoundID finden, welche er aus den reinen Audiodaten berechnet und gegen die Online Musikdatenbank abgleicht. Im Screenshot z. B. muss nur noch der “House of Acid Mix” der House of Hell Single zugeordnet werden und schon kann man Dateinamen umbenennen und Tags schreiben lassen.

Am besten Fährt man, wenn man pro Arbeitsschritt nur ein Album oder einen Sampler bearbeitet, da man dann eine kleinere Anzahl an ggf. nicht zugeordneten Stücken manuell nachbessern muss.

Mit einem kostenlosen Account kann man unbekannte Scheiben natürlich auch in die Datenbank hochladen um so die Metainformationen und SoundIDs für andere bereitzustellen.

Ordnung ins Datenchaos bringen ist ein Original von: Dem Commander1024 sein Blog

• wenn man 2 oder mehr OpenVPN Client Instanzen parallel oder
• wenn man 1 oder mehr OpenVPN Remote Access Server und 1 oder mehr OpenVPN Client Instanzen betreibt

Das hängt damit zusammen, wie man die NAT-Regeln gelbaut hat. Bei Interface “OpenVPN” nimmt er dann tatsächlich im round-robin Verfahren jeweils das eine oder andere OpenVPN TUN Device.

Abhilfe schafft, wenn man den / die OpenVPN Server Client Interfaces (z. B. ovpnc2) unter Interfaces -> Assign einem neuen OPT-Device zuordnet. Jetzt unter Interfaces -> OPT1 das Interface aktivieren mit Type = “none” (da der OVPN-Daemon dieses konfiguriert). Sinnvollerweise dem Interface noch einen aussagekräftigen Namen verpassen und unter Firewall -> NAT die Angaben zum Interface anpassen (OpenVPN durch ‘aussagekräftiger Name’ ersetzen). Ggf. auch an Interface-bezogene Regeln unter Firewall -> Rules zum Client Interface denken.

Nun den OpenVPN Client Daemon neu starten und die Paketverluste gehören der Vergangenheit an.

Round-Robin Paketverlust am pfSense bei parallelen OpenVPN-Konfigurationen ist ein Original von: Dem Commander1024 sein Blog

6x2TB WD EcoGreen
ASUS MB mit H67B3
Intel Core i3-2100
4GB 1333 RAM dual channel

Software:

FreeNAS OS (based on FreeBSD 8.2)
ZFS Dateisystem mit raidz2

Nach dem ersten FreeBSD basierten System (pfSense im Router mit Atom-CPU) kommt nun FreeNAS in neuer Hardware im Einsatz.

Auch wenn meine Anforderungen an ein NAS System deutlich simpler sind als an meine Firewall, so gab es dennoch nicht allzuviele Alternativen.

Beherrschen muss es lediglich:

• Shares via CIFS und NFS
• Benutzer  / Gruppenverwaltung
• Volumemanagement und -monitoring
• Datenredundanz (RAID)
• Stabilität
• Geschwindigkeit
• nice-to-have: Snapshots

Zur Diskussion standen:

• Selbstbaulösung auf Basis von Linux
• Fertiglösung auf Basis von Linux (OpenFiler)
• Selbstbaulösung auf Basis von FreeBSD
• Fertiglösung auf Basis von FreeBSD (FreeNAS)

Mangels FreeBSD Softskills (welche ich gerade erst beginne zu entwickeln), wurde rasch ein Testsystem mit FreeNAS aufgesetzt, welches mir mit raidz2 hinreichend Redundanz, sowie mit den automatischen Snapshots auch genug Datensicherheit gegen versehentliches Löschen versprach. Ausserdem sehr simpel einzurichten, findet Platz auf einer 2GB SD-Karte, die via Adapter am IDE-Port hängt und so alle 6 SATA-Ports für HDDs nutzbar macht. Die Performance war selbst auf der betagten Hardware ganz gut, wobei ich schnell bemerkte, dass zfs erst ab 4GB RAM so richtig glücklich und flott wird und auch gerne eine flotte CPU im System stecken hat.

Wie auch schon bei pfSense kann die Config in Form einer einzelnen xml-Datei exportiert werden, um so nach Neuinstallation, Migration, Recover, Systemwechsel etc. wieder eingespielt zu werden.

Im Detail stehen folgende Dienste zur Verfügung:

• AFP (Apple File Sharing)
• Active Directory Anbindung
• CIFS / Samba  / Windows File Sharing
• Dynamic DNS Client (dyndns und co)
• FTP-Server (auch mit SSL/TLS Support)
• LDAP Anbindung
• NFS File Sharing
• SNMP Dienst
• SSH Daemon
• TFTP Trivial File Transfer Protocol (für PXE Network Booting z. B.)
• iSCSI zum Export dedizierter Volumes via Netzwerk

Was ich noch zum Tuning der Performance angepasst habe, ist das explizite Einschalten vom zfs-Prefetching. Das sollte zwar bei 4GB RAM automatisch geschehen, scheinbar saugt die unnütze gfx Card im i3-Prozessor wohl ein wenig ab, sodass eben ein Quäntchen weniger als 4GB übrig bleiben:

# mount -uw /
# vi /boot/loader.conf
vfs.zfs.prefetch_disable=0 am Ende einfügen und Datei speichern
# reboot

Was mir in der Version 8 noch aufgefallen ist: Lokalisierung ist erst für ein späteres Minor Release geplant, was aber eher ein kosmetischer Mangel ist, bisschen nerviger ist die Tatsache, dass der Upload eines eigenen SSL-Zertifikats nicht funktioniert, und dass die Zeitzoneneinstellung kaputt ist, zwar klappt der Sync mit dem NTP-Server, die Uhrzeit wird im System und auf der GUI auch richtig angezeigt, die periodischen Snapshots laufen aber zu den merkwürdigsten Zeiten. Das hab ich nun so umgangen, dass ich statt zu bestimmten Zeiten, alle 2 Stunden den ganzen Tag lang einen neuen erstellen hasse.

Storage System auf Sandy Bridge Basis mit FreeNAS ist ein Original von: Dem Commander1024 sein Blog

Dieses Gerät bietet Folgendes:

• CPU: INTEL Atom N270 mit 1,6GHz
• RAM: 1GB DDR2-SDRAM
• Chipsatz: INTEL 945GSE
• Ethernet: 4x 1GbE Realtek NIC
• 2x USB 2.0
• 1 Compact Flash Slot
• Lüfterloses Kühlsystem
• geringe Stromaufnahme von ~13W

Leider hatte die IPFire Software einige Bugs, die ich anfangs auf die Hardware geschoben hatte, auf dem Intel System aber auch wieder aufgetreten sind. Außerdem ist der IPv6 Support noch in weiter Ferne und einige Funktionen hätte ich gerne besser customizable gewünscht. Also erstmal nach einer Alternative suchen.

Meine Minimalanforderungen an ein vernünftiges Firewall/Router System:

• NAT/DNS-Forwarder (mit der Möglichkeit, eigene DNS Server anzugeben)
• konfigurierbarer DHCP-Server
• konfigurierbare QoS Prioritisierung von IP-Traffic (mit Deep Packet Inspection – l7filter)
• OpenVPN Dial-IN, IPsec Site-to-Site VPN
• mächtige Firewall mit Unterstützung komplexer Regeln
• Radius-Server mit EAP für WPA2-Enterprise Authentifizierung
• geringer Stromverbrauch (powerd)
• nice-to-have: IPv6 Support

Letzten Endes bin ich dann auf pfSense gestoßen. Da die ganz neue 2er Version damals bereits in der Version RC1 verfügbar sind (mittlerweile steht der Stable Release kurz bevor), habe ich direkt auf dieses Pferd gesattelt, zumal mir einige der neuen Funktionen sehr zusagten.

pfSense basiert auf FreeBSD, von dessen Interna ich noch keine große Kenne habe, aber es ist komplett über das Webinterface administrierbar und man muss mit der Shell kaum interagieren (von der Installation abgesehen) um das System nutzen zu können.

Alles in Allem erfüllt pfSense meine Erwartungen an ein modernes, leistungsfähiges Firewall-System sowohl für den Heimeinsatz als auch für den Schutz des Firmennetzwerkes, wo ich eine Juniper Firewall ersetzen konnte. Vorstellen könnte ich mir auch den Einsatz im Rechenzentrum vor dem Serverpark, falls man von einer gewissen Faulheit getrieben wird

Die Bedienung ist sehr intuitiv, bei Standardaufgaben wird man an komplexen Stellen (NAT-Basissetup, QoS Setup, etc.) via Wizard an die Hand genommen, für komplexe Setups, steht eine Experten-GUI zur Verfügung. Informativ sind die Graphen zu CPU-Last und Traffic, und die Zuordnung von Paketen in die QoS Queues um die gewählten Einstellungen zu überprüfen.

Lediglich die Lokalisierung (für deutsche Klientel) an die Eigenheiten der Tastatur  / des Bildschirmzeichensatzes sind verbesserungswürdig, wobei man diese eigentlich nur im Rescuefall bemühen muss. Hier ist es sinnvoll, sich das amerikanische Tastaturlayout einzuprägen. Zwar gibt es auch eine deutsche Belegung, jedoch funktionieren hier einige Sonderzeichen nicht und quittieren Ihren Dienst mit einem Piepton aus dem PC-Speaker.

Auch ist mir ein Problem aufgefallen, dass nur jeder 2. TCP-Verbindungsaufbau in das Netz hinter einem OpenVPN Client gelingt, wenn man parallel noch einen OpenVPN-Remote-Access Server parallel betreibt.

pfSense auf dem Lex Uno Barebone (Atom N270) ist ein Original von: Dem Commander1024 sein Blog

Olga Scholz, Marcus Scholz :-)

Hochzeit 11.6.11 ist ein Original von: Dem Commander1024 sein Blog

Auf neueren Distributionen mit aktuellem Xorg, ist es ein wenig einfacher geworden, dazu legt man lediglich unter  /usr/share/X11/xorg.conf.d/20-thinkpad.conf eine entsprechende Policy an:

Section "InputClass"
        Identifier "Trackpoint Wheel Emulation"
        MatchProduct "TrackPoint"
        MatchDevicePath "/dev/input/event*"
        Driver "evdev"
        Option "EmulateWheel" "true"
        Option "EmulateWheelButton" "2"
        Option "Emulate3Buttons" "false"
        Option "XAxisMapping" "6 7"
        Option "YAxisMapping" "4 5"
EndSection

Nun nur noch X neustarten. [Legacy]

Um den Thinkpad-Nippel auch unter Linux (getestet unter aktuellen Ubuntu’s, Gentoo und Debian Derivaten) für 2D-Scrolling verwenden zu können, ohne die “QuickPaste” Funktionalität einzubüßen, kann man unter /etc/hal/fdi/policy/ die neue Datei 10-x11-input.fdi mit einer zusätzlichen HAL Policy anlegen und folgenden Inhalt reinkopieren:

<?xml version="1.0" encoding="ISO-8859-1"?>
<deviceinfo version="0.2">
 <device> 

   <!-- KVM emulates a USB graphics tablet which works in absolute coordinate mode -->
   <match key="input.product" contains="QEMU USB Tablet">
     <merge key="input.x11_driver" type="string">evdev</merge>
   </match> 

   <!-- FIXME: Support tablets too. -->
   <match key="info.capabilities" contains="input.mouse">
     <merge key="input.x11_driver" type="string">mouse</merge>
     <match key="/org/freedesktop/Hal/devices/computer:system.kernel.name"
         string="Linux">
       <merge key="input.x11_driver" type="string">evdev</merge>
       <merge key="input.x11_options.EmulateWheel" type="string">true</merge>
       <merge key="input.x11_options.EmulateWheelButton" type="string">2</merge>
       <merge key="input.x11_options.YAxisMapping" type="string">4 5</merge>
       <merge key="input.x11_options.XAxisMapping" type="string">6 7</merge>
       <merge key="input.x11_options.Emulate3Buttons" type="string">true</merge>
       <merge key="input.x11_options.EmulateWheelTimeout" type="string">200</merge>
     </match>
   </match> 

   <match key="info.capabilities" contains="input.keys">
     <!-- If we're using Linux, we use evdev by default (falling back to
       keyboard otherwise). -->
     <merge key="input.x11_driver" type="string">keyboard</merge>
     <match key="/org/freedesktop/Hal/devices/computer:system.kernel.name"
         string="Linux">
       <merge key="input.x11_driver" type="string">evdev</merge>
       <merge key="input.x11_XkbLayout" type="string">de</merge>
     </match>
   </match>
 </device>
</deviceinfo>

Am (ThinkPad) Nippel rumspielen… ist ein Original von: Dem Commander1024 sein Blog

O'rly? Seriously Golem, I don't get the point!

Und auch die Artikelansicht ist nicht viel besser lesbar, ausser der Tatsache, dass die Schrift größer ist, aber dafür sollten Betroffene sich lieber ne neue Brille kaufen oder die “Strg” + “+” Funktion ihres Browsers verwenden.

Golem breiter und besser lesbar? ist ein Original von: Dem Commander1024 sein Blog

Das Problem: Ein alter Server (Debian Sarge), der noch nicht UTF-8 als default locale gesetzt hatte, sondern iso-8859-15. Somit waren die deutschen Umlaute solange ok, solange man mit einem Terminal mit gesetzter iso-8859-15-Codepage ein ‘ls’ auf die betroffenen Dateien ausführt, bzw. enstprechend zu einem anderen Frontend wandelt. Kopiert man die Daten mithilfe von scp, nfs und co. auf einen anderen Host (neueren Datums) mit gesetzter UTF-8 locale, kommt nur noch Datensalat bei den Umlauten herum und schon das Öffnen oder Umbenennen der Dateien kann zum Problem werden (wenn man die kaputten Zeichen nicht richtig escape’d).

Hierfür gibt es aber schon seit geraumer Zeit das Tool ‘convmv’. Es gab sogar seit 2008 keine Updates mehr, wodurch man wohl davon ausgehen kann, dass sie hinreichend stabil und fehlerfrei ist. Genau genommen ist das sogar nur ein Perl Skript, sodass es auch dann kein Problem sein sollte, wenn das Paket nicht in der Paketverwaltung der eigenen Distribution zu finden ist, dann lädt man es einfach hier herunter und entpackt das Archiv. Convmv kann nicht nur einzelne Dateien oder Ordner mit Dateien umwandeln, sondern ganze Dateibäume bis hin zu ganzen Dateisystemen – und das sogar ziemlich flott.

Auf dem Zielsystem (mit ‘kaputten’ Umlauten) startet man das Tool, indem man Quell- und Ziellocale gleich mitangibt.

# convmv -f iso-8859-15 -t utf-8 *

Starting a dry run without changes...

mv "./Malvenbl�ten.tif"	"./Malvenblüten.tif"

mv "./Melissenbl�tter.tif"	"./Melissenblätter.tif"

mv "./M�rser aus Olivenholz bearbeitet.psd"	"./Mörser aus Olivenholz bearbeitet.psd"

mv "./M�rser aus Olivenholz.psd"	"./Mörser aus Olivenholz.psd"

No changes to your files done. Use --notest to finally rename the files.

Jetzt ist es an der Zeit zu checken, ob alle Umlaute korrekt konvertiert wurden, bevor man die Änderungen am produktiven Dateisystem durchführt. Die letzte Zeile der Ausgabe gibt den Hinweis, dass man erst explizit den –notest Parameter setzen muss, um das Programm “scharf” zu schalten.

Dies ist übrigens kein Aprilscherz.

ISO kodierte Dateinamen auf UTF-8 Volume kopieren ist ein Original von: Dem Commander1024 sein Blog

Leider waren wir dieses mal sehr nachlässig im Schießen von Fotos, dennoch sinds so viele geworden, dass ich sie im erweiterten Beitrag zeige, damit der Post auf der Startseite nicht zu lang wird ;-)

Viel Spaß beim gucken!

leichter Schneefall über Nacht

Ja gut, so kalt wars zu dem Zeitpunkt gar nicht, hab die Mütze kurz nach dem Foto auch wieder abgenommen ;-)

Antonina und Volodja

wir waren auch da ;-)

Theaterplatz bei Nacht

Olga und Marina

Lichtreflexionen von Straßenlaternen im Schneefall

Ryazan bei Nacht (Langzeitaufnahme)

Ryazan bei Nacht (Langzeitaufnahme)

Om nom nom...

Weihnachtsbaum mit Kuh

Die Datscha von Vassilij

Der zugeschneite Privatsee zum Angeln

Antonina am See

Volodja und ich beim Eisangeln auf dem See

Das angrenzende Waldgebiet

traditionelles Eisangeln

Das Gelände, das Vassilij gehört, ist wirklich phantastisch groß

2 Winterhasen

lecker Schaschlik, auch im Winter eine gute Idee

Der "neue Volga"

Volodjas Auto im Gegenlicht

Blick über den riesigen See

Eisangeln auf einem öffentlich zugänglichen See

Mit dem richtigen Werkzeug ist es ein Leichtes, die Angellöcher zu bohren, warm wird einem dennoch ganz gut dabei ;-)

Acia chillt vorm PC

Blick vom Küchenbalkon

Heisser Vulkan, der Besuch in der Edel-disse war aber eher enttäuschend und es waren kaum Leute und Stimmung da

Schon ein bisschen hinderlich beim Weihnachtsbaumschmücken, wenn die Katze auf einmal Besitzrechte am Schmuck anmeldet

Vorm Supermarkt in Kasimov

Junges, freches Kätzchen der Großeltern von Olga

Hasen werden auch gehalten, ...

... ebenso wie Hühner

der 7 Monate junge, "kleine" Hund der Großeltern

verschneiter Garten der Großeltern

Zu Besuch bei Olgas Nichte

Nicht alles, was von oben kommt, ist was Gutes

Nächtliches, ruhiges Ryazan

Russland Winter 2010/2011 ist ein Original von: Dem Commander1024 sein Blog

Once again: Blog Redesign ist ein Original von: Dem Commander1024 sein Blog

Jetzt hat sich gestern aber mod_gnutls an seinem Cache unter /var/cache/apache2/gnutls_cache verschluckt, was einige unangenehme Folgen hatte.

• Massives Loggen von “PANIC: fatal region error detected; run recovery” in /var/log/apache2/error.log (~25MB/s)
• Extrem hohe Last auf dem Server
• Vollaufen der Festplatte (bzw. der Log-Partition)
• nahezu keine Reaktion auf http/https vom Apache2 auf Anfragen an diesen
• Diverse Kernel Stack Traces, zumeist als Konsequenz der vollen Festplatte

Was als Sofort-Maßnahme hilft, ist das Töten des Apache2 (killall -9 apache2), löschen von /var/cache/apache2/gnutls_cache und /var/log/apache2/error.log und den Webserver wieder starten.

Interessant ist natürlich, warum sein Cache korrumpiert wurde und eigentlich noch viel interessanter, warum mod_gnutls es überhaupt für nötig befindet, einen Cache anzulegen (mod_ssl kommt auch ohne aus). Die Einstellung findet sich übrigens hier: /etc/apache2/mods-available/gnutls.conf. Dort wird im Übrigen auch erwähnt, dass die DBM Variante auch nicht die Schnellste ist. Daher wollte ich einfach mal ein paar MB für einen memcached Dienst abzacken und diesen als Backend-DB für den gnutls-Cache nutzen. Dummerweise bin ich da mal wieder zum x-ten mal in einen Debian-Bug reingerannt (ja es häuft sich ganz extrem), denn der memcached Support ist gar nicht mit einkompiliert (anders als die Doku und das Config File vermuten lassen.)

Ebenfalls undokumentiert ist die Möglichkeit, den dummen, obsoleten Cache ganz abzustellen. Dazu einfach Folgendes in die Config /etc/apache2/mods-available/gnutls.conf einfügen:

  GnuTLSCache none none

Läuft auch nicht langsamer als die DBM-Variante und sollte weit weniger fehleranfällig sein.

mod_gnutls vor die Wand gefahren ist ein Original von: Dem Commander1024 sein Blog

Btw. so ein Flugzeug schirmt ganz gut gegen GPS Empfang ab xD
(Ja, mein Handy kann auch im Offline Mode das GPS-Device nutzen)

Im Bild erkennt man ganz links oben den äußeren süd-östlichen Bereich Moskaus. Im Zentrum Ryazan, im Osten Kasimov und im Süd-Osten die Datscha von Anatoli, zu der wir zum Angeln gefahren sind. Der kleine Abzweig des orangenen Tracks ist btw. der “Stamm Angelsee” der Familie, wo wir ebenfalls “Eisangeln” waren, somit ist es auch vollkommen korrekt, dass der Pfad mitten auf den See führt. ;-)

Bewegungsprofil Winterurlaub Russland ist ein Original von: Dem Commander1024 sein Blog

Download

Das Video, welches ich beim Vortrag vorgeführt habe, darf ich hier vermutlich nicht veröffentlichen, da ich die Nutzungserlaubnis nur für den Vortrag in der Zone eingeholt habe. ;-)

WLAN Sicherheit ist ein Original von: Dem Commander1024 sein Blog