Seite 20 - Linux

Ein selbstgeschriebenes CLI-Tool wirkt erst richtig fertig, wenn die Tab-Taste Unterbefehle, Optionen und Argumente vorschlägt, genau wie bei git oder docker. Das Bash-Builtin complete zusammen mit compgen macht das ohne externe Abhängigkeiten möglich, von einer einfachen Wortliste bis zu dynamisch aus einer Datenbank oder API geladenen Vorschlägen.

Ein neuer Codepfad in einem produktiv genutzten Bash-Skript ist immer ein Risiko, egal wie sorgfältig er getestet wurde. Ein Feature Flag verwandelt dieses Alles-oder-Nichts-Risiko in eine steuerbare Entscheidung: Der neue Pfad existiert im Skript, ist aber standardmäßig aus, lässt sich gezielt für einzelne Läufe aktivieren und im Ernstfall mit einem einzigen Wert wieder abschalten.

LXC bietet echte Systemcontainer mit vollständigem Userspace, eigenem Init-System und mehreren parallelen Diensten, während Docker einen einzelnen Anwendungsprozess kapselt. Für Admins, die eine leichtgewichtige Alternative zu virtuellen Maschinen suchen, liefert der LXD-Workflow von Installation über Netzwerk und Storage bis zu Snapshots eine praxisnahe Grundlage für produktive Umgebungen, in denen ein vollwertiges Betriebssystem statt eines einzelnen Prozesses benötigt wird.

sysfs bildet jedes Kernel-Objekt, jeden Treiber und jedes erkannte Gerät als einfache Datei unter /sys ab. Wer diese Struktur versteht, kann Hardware-Zustände diagnostizieren, Block-Device-Scheduler tunen und Kernel-Modul-Parameter zur Laufzeit ändern, ganz ohne zusätzliche Werkzeuge oder einen Reboot.

Wer Linux-Server mit gemeinsam genutzten Zugängen und ungepflegten Konten betreibt, riskiert Sicherheitslücken, die erst nach einem Vorfall auffallen. Dieser Artikel erklärt useradd, usermod und groupadd von Grund auf, zeigt das Prinzip des dedizierten unprivilegierten Benutzers pro Anwendung und liefert ein praxisnahes Vorgehen, um bestehende Benutzer und Gruppen auf einem Server systematisch zu auditieren.

rsync vergleicht Dateien Datei für Datei und kostet bei Millionen kleiner Dateien wertvolle Zeit allein für den Vergleich. Btrfs Send und Receive umgeht dieses Problem vollständig, indem es direkt die Unterschiede zwischen zwei Snapshots auf Blockebene ermittelt und überträgt, ohne den Dateibaum überhaupt durchlaufen zu müssen.

chmod kennt nur einen Besitzer und eine einzige Gruppe pro Datei, doch reale Serverumgebungen brauchen oft mehrere Zugriffsebenen gleichzeitig. Dieser Leitfaden erklärt setfacl und getfacl, zeigt an einem Deploy-User-Beispiel granulare Zugriffskontrolle jenseits von rwx und erläutert Default-ACLs, die neue Dateien automatisch mit den richtigen Rechten versehen.

Auf Multi-Core-Servern landen Netzwerkkarten-Interrupts ohne gezielte IRQ-Affinity oft alle auf demselben CPU-Kern, waehrend die restlichen Kerne unbeteiligt bleiben. Bei hoher Paketrate wird dieser eine Kern zum Flaschenhals, lange bevor die Gesamt-CPU-Auslastung des Servers auch nur annaehernd ausgereizt ist.

Bash kann TCP-Sockets öffnen, HTTP-Requests von Hand zusammenbauen und Ports testen, ganz ohne curl, wget oder netcat, über das eingebaute Pseudo-Device /dev/tcp. Wer die Mechanik dahinter versteht, kann minimale Container und restriktive Umgebungen absichern, muss aber auch die klaren Grenzen kennen: kein TLS, kein UDP mit echter Rückmeldung, keine Header-Kontrolle wie bei einem echten HTTP-Client.

Klassisches Kernel-Debugging bedeutete lange Zeit entweder ein eigenes Kernel-Modul zu schreiben, mit allen Risiken für die Systemstabilität, oder sich mit dem Overhead von ptrace-basierten Werkzeugen abzufinden. eBPF hat diese Wahl aufgelöst: Sicherer, sandboxed Code läuft direkt im Kernel, und bpftrace macht diese Fähigkeit für Admins ohne C-Kernel-Programmierung zugänglich.