Seite 13 - Linux

chroot ist eines der ältesten Isolationswerkzeuge unter Unix und gleichzeitig eines der am meisten missverstandenen. Wer eine Jail-Umgebung aufbaut, um einen Prozess vom Rest des Dateisystems abzuschotten, muss genau verstehen, was chroot tatsächlich absichert und wo diese Absicherung endet, denn viele Server wurden schon über eine als sicher geglaubte chroot-Umgebung kompromittiert.

Server-Logs enthalten fast immer personenbezogene Daten wie IP-Adressen, was jede DSGVO Log Aufbewahrung zur konkreten Rechtsfrage macht. Wer Aufbewahrungsfristen kennt, logrotate korrekt konfiguriert und Pseudonymisierung technisch umsetzt, betreibt Logging, das sowohl forensisch nützlich als auch datenschutzkonform bleibt.

Zwischen dem Laden des Kernels und dem eigentlichen Root Dateisystem liegt ein Schritt, der auf den meisten Servern unsichtbar bleibt, bis er fehlschlägt: das initramfs. Wer LVM, LUKS oder ein individuelles Storage Setup betreibt, muss verstehen, wie dracut dieses minimale Vorab System baut, damit ein unable to mount root nicht zur stundenlangen Fehlersuche wird.

sysctl macht hunderte Kernel-Parameter zur Laufzeit veränderbar, doch ein Wert, der nur per sysctl -w gesetzt wird, verschwindet beim nächsten Neustart wieder. Dieser Artikel zeigt, wie Änderungen über /etc/sysctl.d dauerhaft greifen, welche Parameter für stark ausgelastete Webserver wie Verbindungs-Backlog, Datei-Limits und Swappiness wirklich zählen, und warum blindes Kopieren fremder Tuning-Guides oft mehr schadet als nützt.

Ein Failover-Mechanismus, der niemals unter realistischen Bedingungen getestet wurde, ist nur eine Annahme über Ausfallsicherheit, kein Beweis dafür. Systematisches Failover-Testen mit kontrollierten Ausfallsimulationen, klaren Messwerten wie RTO und RPO und einem wiederholbaren Testplan deckt genau die Lücken auf, die im echten Ernstfall zu langen Ausfallzeiten führen würden.

Ein Cronjob, der nachts laeuft, verschwindet fuer Prometheus normalerweise spurlos: Kein laufender Prozess bedeutet keinen abfragbaren HTTP-Endpunkt. Der Node Exporter Textfile Collector loest dieses Problem, indem er einfache .prom-Dateien im Dateisystem einliest, die ein Bash-Skript selbst schreibt, und macht Cronjob-Dauer, Erfolg oder Fehlschlag damit ohne zusaetzlichen Dienst fuer Prometheus abfragbar.

Wer /etc, /var, /usr und /opt durcheinanderbringt, baut Server, die sich nicht automatisieren, nicht sauber packen und nicht vorhersehbar warten lassen. Der Filesystem Hierarchy Standard definiert, wofür jedes Top-Level-Verzeichnis unter Linux gedacht ist, und wer sich daran hält, bekommt Systeme, die mit Paketmanagern, systemd und Automatisierungswerkzeugen reibungslos zusammenarbeiten, statt gegen sie zu kämpfen.

Ein Deployment, das aus fuenf nacheinander aufgerufenen Bash-Skripten besteht, hinterlaesst ohne gemeinsame Kennung fuenf isolierte Log-Fragmente, die sich im Nachhinein kaum wieder zu einem zusammenhaengenden Ablauf zusammensetzen lassen. Eine Correlation-ID, einmal am Anfang erzeugt und konsequent per Umgebungsvariable an jedes aufgerufene Skript und jeden aufgerufenen Prozess weitergereicht, macht aus diesen Fragmenten einen durchsuchbaren, zusammenhaengenden Trace.

Jumbo Frames erhoehen die maximale Ethernet-Framegroesse von 1500 auf bis zu 9000 Byte und senken damit den prozentualen Anteil an Header-Overhead pro uebertragenem Megabyte. Fuer die interne Verbindung zwischen Webserver und MySQL-Datenbank oder fuer Backup- und Replikationsverkehr kann das spuerbar CPU-Zyklen sparen, vorausgesetzt die MTU wird auf jedem Geraet im Pfad konsistent gesetzt.

Ein Skript mit mapfile oder sed -i laeuft auf dem Linux Server anstandslos und bricht auf dem MacBook des Kollegen. Der Grund ist die veraltete Bash 3.2 in macOS und die unterschiedlichen Coreutils, die Apple aus lizenzrechtlichen Gruenden ausliefert.