Abraxas

Mit strace prüfen, was ein Programm so treibt

Markus Effinger — Sat, 08 May 2010 20:19:13 +0000

Manchmal kommt man mit Fehlermeldungen von Programmen einfach nicht weiter. Bevor man jedoch im Trial- und Errorverfahren Konfigurationsparameter ausprobiert, um dem Fehler auf die Spur zu kommen oder gleich ein alternatives Programm wählt, kann man strace bemühen. Dieses kleine Programm erlaubt es Systemaufrufe eines Programmes zu protokollieren.

Die wichtigsten Parameter von strace

-o filename schreibt die Ausgabe in die Datei filename
-f mit diesem Parameter protokolliert das Programm auch forks (d.h. neue Prozesse, die durch das zu protokollierende Programm gestartet werden)
-tt mit diesem Parameter wird vor jedem Aufruf zunächst die Zeit protokolliert (auf Basis von Mikrosekunden)
-e schränkt die Events ein, die strace protokolliert (siehe Beispiele weiter unten)
-p PID strace protokolliert die Systemaufrufe des Prozesses mit der Prozess-ID PID

Ein beispielhafter Aufruf sieht dann so aus

strace -o logfile.log -f ./mycommand -mycommandparameter

Im Folgenden sind einige nützliche Beispiele für spezielle Programmaufrufe aufgeführt.

Auf welche Dateien greift ein Programm zu?

strace -e trace=open -o logfile.log ./mycommand -mycommandparameter

Das habe ich mir von NetAdminTools abgeschaut.

Welche Programme startet/pausiert/beendet das Programm?

strace -e trace=process -o logfile.log ./mycommand -mycommandparameter

Wie protokolliere ich die Systemaufrufe eine Programms, das schon gestartet ist?

Hierfür gibt es den Parameter -p von strace, mit dem man die entsprechende Prozess-ID des Programms an strace übergibt. Um diese ID herauszufinden bemüht man zunächst ps, welches mit dem folgenden Befehl die IDs aller laufenden Prozesse mit dem Namen mycommand auflistet.

ps aux | grep mycommand | grep -v grep mycommand

Wer es kürzer haben möchte, sollte sich meine bashrc anschauen, in der eine Funktion pg definiert ist, die mit dem Aufruf

pg mycommand

dasselbe Resultat erzielt. Angenommen die Ausgabe in der Spalte PID lautet 123, dann würde man strace folgendermaßen aufrufen.

strace -o logfile.log -p 123

Falls es mit Sicherhheit nur ein Programm namens mycommand läuft, geht das auch schneller mit einem

strace -o logfile.log -p `pidof mycommand`

<strong><strong>strace -e trace=openstrong>strong>

Wie versteht man die Ausgabe von strace?

Am Beispiel der folgenden Ausgabe wollen wir mal grob nachvollziehen, was ein Programm gerade macht

execve("/bin/cat", ["cat", "/var/log/messages"], [/* 37 vars */]) = 0

Was macht der Befehl execve? Dazu rufen wir mit

man execve

die entsprechende Hilfedatei auf und erfahren dort, dass das Programm cat mit dem Parameter /var/log/messages gestartet wird.

Welche Tips und Kniffe fallen euch noch im Zusammenhang mit strace ein?

OpenLDAP für pam_ldap, nss_ldap unter Gentoo im Schnelldurchgang einrichten

Markus Effinger — Sat, 08 May 2010 19:11:28 +0000

In diesem Artikel geht es darum, mit OpenLDAP die Basis für ein Benutzersystem unter Gentoo zu legen und die Linux-Authentifizierung mittels pam_ldap und nss_ldap an diese Basis anzubinden. Unter Gentoo ist die LDAP-Einrichtung zwar grundsätzlich ähnlich wie zu der Beschreibung in meinen anderen Blog-Artikeln (Das kleine OpenLDAP 1×1, OpenLDAP im Mailserversetup unter Ubuntu) beschrieben hatte, allerdings gibt es an der ein oder anderen Stelle ein paar Unterschiede. Damit ich diese selbst nicht vergesse, wenn ich das nächste Mal OpenLDAP einrichte, dokumentiere ich meine Vorgehensweise. Sie orientiert sich vor allem an einem Wikiartikel zu OpenLDAP und der Gentoo-Dokumentation.

Installation von OpenLDAP

Vor der Installation von OpenLDAP habe ich für meine Bedürfnisse die folgenden USE Flags in /etc/portage/package.use definiert

net-nds/openldap berkdb crypt perl ssl tcpd gnutls overlays samba syslog

um anschließend die Installation zu starten mit einem

emerge openldap

Grundkonfiguration von OpenLDAP

Zunächst erzeugen wir mit

slappasswd -h {CRYPT}

ein Passwort für die RootDN (später olcRootPW). Im Beispiel ergibt sich die Zeichenfolge {CRYPT}xVllx1Fyd0nd2 für “test” als Passwort. Nun editieren wir die Datei/etc/openldap/slapd.conf und ändern die Datenbankdefinitionen wie folgt ab

#######################################################################
# BDB database definition for dc=log
#######################################################################
 
database        hdb
suffix          "dc=logs"
#
checkpoint      32      30
rootdn          "cn=admin,dc=logs"
# Cleartext passwords, especially for the rootdn, should
# be avoid.  See slappasswd(8) and slapd.conf(5) for details.
# Use of strong authentication encouraged.
rootpw          {CRYPT}xVllx1Fyd0nd2
# The database directory MUST exist prior to running slapd AND
# should only be accessible by the slapd and slap tools.
# Mode 700 recommended.
directory       /var/lib/openldap-data-logs
# Indices to maintain
index   objectClass     eq
 
#######################################################################
## BDB database definition for dc=effinger,dc=org
########################################################################
#
database        hdb
suffix          "dc=effinger,dc=org"
#
checkpoint      32      30
rootdn          "cn=admin,dc=effinger,dc=org"
# Cleartext passwords, especially for the rootdn, should
# be avoid.  See slappasswd(8) and slapd.conf(5) for details.
# Use of strong authentication encouraged.
rootpw          {CRYPT}xVllx1Fyd0nd2
# The database directory MUST exist prior to running slapd AND
# should only be accessible by the slapd and slap tools.
# Mode 700 recommended.
directory       /var/lib/openldap-data-effinger.org
# Indices to maintain
index   objectClass     eq

Passwörter und die Domain müssen natürlich angepasst werden. Der Kontext dc=log wird übrigens zur Protokollierung der Zugriffe erstellt. Im nächsten Schritt erzeugen wir die notwendigen Verzeichnisse und setzen deren Berechtigungen.

mkdir /var/lib/openldap-data-logs && mkdir /var/lib/openldap-data-effinger.org && mkdir /etc/openldap/slapd.d
chown ldap.ldap /var/lib/openldap-data-logs && chown ldap.ldap /var/lib/openldap-data-effinger.org/ && chown ldap.ldap /etc/openldap/slapd.d
chmod 700 /var/lib/openldap-data-logs && chmod 700 /var/lib/openldap-data-effinger.org && chmod 750 /etc/openldap/slapd.d

Nun erzeugen wir aus der bestehenden slapd.conf das neuere LDIF-basierte Konfigurationsschema in das Verzeichnis /etc/openldap/slapd.d mit dem Befehl

/usr/lib/openldap/slapd -f /etc/openldap/slapd.conf -F /etc/openldap/slapd.d

Danach beenden wir slapd mit

kill -s 15 `pidof slapd`

Nun müssen wir nur noch das Passwort für die Konfiguration festlegen. Dazu editieren wir /etc/openldap/slapd.d/cn\=config/olcDatabase\=\{0\}config.ldif und fügen die Zeile olcRootPW unterhalb von olcRootDN hinzu:

olcRootDN: cn=config
olcRootPW: {CRYPT}xVllx1Fyd0nd2

slappasswd -h {MD5

Wir gehen jetzt nochmal auf Nummer sicher mit den Verzeichnis- und Dateiberechtigungen

chown -Rfv ldap.ldap /etc/openldap/slapd.d
chmod -Rfv 700 /etc/openldap/slapd.d/*
chown -Rfv ldap.ldap /var/lib/openldap-data-logs
chown -Rfv ldap.ldap /var/lib/openldap-data-effinger.org

und editieren wir die Datei /etc/openldap/ldap.conf, um dort die Parameter entsprechend anzupassen

BASE    dc=effinger,dc=org
TLS_CACERT /etc/ssl/certs/ca-certificates.crt
URI     ldapi://%2fvar%2frun%2fopenldap%2fslapd.sock

Dann passen wir noch die Startparameter von OpenLDAP an in der Datei /etc/conf.d/slapd und deaktivieren hier zunächst SSL.

# conf.d file for openldap
#
# To enable both the standard unciphered server and the ssl encrypted
# one uncomment this line or set any other server starting options
# you may desire.
#
# OPTS="-h 'ldaps:// ldap:// ldapi://%2fvar%2frun%2fopenldap%2fslapd.sock'"
# Uncomment the below to use the new slapd configuration for openldap 2.3
#OPTS="-F /etc/openldap/slapd.d -h 'ldaps:// ldap:// ldapi://%2fvar%2frun%2fopenldap%2fslapd.sock'"
OPTS="-F /etc/openldap/slapd.d -h 'ldap:// ldapi://%2fvar%2frun%2fopenldap%2fslapd.sock'"

Abschließend fügen wir den OpenLDAP slapd Daemon zu den Services hinzu, die beim Hochfahren des Systems automatisch gestartet werden, und starten ihn

rc-update add slapd default
/etc/init.d/slapd start

Bevor aber Daten eingegeben werden können, müssen wir die dazu erforderlichen Schemas einbinden mit

ldapadd -D "cn=config" -x -W -f /etc/openldap/schema/cosine.ldif
ldapadd -D "cn=config" -x -W -f /etc/openldap/schema/inetorgperson.ldif
ldapadd -D "cn=config" -x -W -f /etc/openldap/schema/rfc2307bis.ldif
ldapadd -D "cn=config" -x -W -f /etc/openldap/schema/samba.ldif

Wegen eGroupware ist es wichtig, das rfc2307bis-Schema und nicht das nis-Schema zu verwenden. Falls zuvor das nis-Schema verwendet wurde, sollte man zur Migration der entsprechenden Anleitung von eGroupware folgen. Vor der Migration sollte man am Besten das Konfigurationsschema und den Datenbankinhalt mit slapcat sichern, um nach der Umstellung die Datenbank zu löschen und mit slapadd wiederherzustellen.

Falls noch keine rfc2307bis.ldif vorhanden ist, kann man sich diese Datei nach meiner Konvertierungsanleitung aus der entsprechenden Schema-Datei von eGroupware (phpgwapi/doc/ldap/rfc2307bis.schema) erzeugen oder aber von hier kopieren

dn: cn=rfc2307bis,cn=schema,cn=config
objectClass: olcSchemaConfig
cn: rfc2307bis
olcAttributeTypes: ( 1.3.6.1.1.1.1.2 NAME 'gecos' DESC 'The GECOS field; the common name' EQUALITY caseIgnoreIA5Match SUBSTR caseIgnoreIA5SubstringsMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.1.1.1.3 NAME 'homeDirectory' DESC 'The absolute path to the home directory' EQUALITY caseExactIA5Match SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.1.1.1.4 NAME 'loginShell' DESC 'The path to the login shell' EQUALITY caseExactIA5Match SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.1.1.1.5 NAME 'shadowLastChange' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.1.1.1.6 NAME 'shadowMin' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.1.1.1.7 NAME 'shadowMax' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.1.1.1.8 NAME 'shadowWarning' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.1.1.1.9 NAME 'shadowInactive' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.1.1.1.10 NAME 'shadowExpire' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.1.1.1.11 NAME 'shadowFlag' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.1.1.1.12 NAME 'memberUid' EQUALITY caseExactIA5Match SUBSTR caseExactIA5SubstringsMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
olcAttributeTypes: ( 1.3.6.1.1.1.1.13 NAME 'memberNisNetgroup' EQUALITY caseExactIA5Match SUBSTR caseExactIA5SubstringsMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
olcAttributeTypes: ( 1.3.6.1.1.1.1.14 NAME 'nisNetgroupTriple' DESC 'Netgroup triple' EQUALITY caseIgnoreIA5Match SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
olcAttributeTypes: ( 1.3.6.1.1.1.1.15 NAME 'ipServicePort' DESC 'Service port number' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.1.1.1.16 NAME 'ipServiceProtocol' DESC 'Service protocol name' SUP name )
olcAttributeTypes: ( 1.3.6.1.1.1.1.17 NAME 'ipProtocolNumber' DESC 'IP protocol number' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.1.1.1.18 NAME 'oncRpcNumber' DESC 'ONC RPC number' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.1.1.1.19 NAME 'ipHostNumber' DESC 'IPv4 addresses as a dotted decimal omitting leading        zeros or IPv6 addresses as defined in RFC2373' SUP name )
olcAttributeTypes: ( 1.3.6.1.1.1.1.20 NAME 'ipNetworkNumber' DESC 'IP network as a dotted decimal, eg. 192.168,        omitting leading zeros' SUP name SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.1.1.1.21 NAME 'ipNetmaskNumber' DESC 'IP netmask as a dotted decimal, eg. 255.255.255.0,        omitting leading zeros' EQUALITY caseIgnoreIA5Match SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.1.1.1.22 NAME 'macAddress' DESC 'MAC address in maximal, colon separated hex        notation, eg. 00:00:92:90:ee:e2' EQUALITY caseIgnoreIA5Match SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
olcAttributeTypes: ( 1.3.6.1.1.1.1.23 NAME 'bootParameter' DESC 'rpc.bootparamd parameter' EQUALITY caseExactIA5Match SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
olcAttributeTypes: ( 1.3.6.1.1.1.1.24 NAME 'bootFile' DESC 'Boot image name' EQUALITY caseExactIA5Match SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
olcAttributeTypes: ( 1.3.6.1.1.1.1.26 NAME 'nisMapName' DESC 'Name of a A generic NIS map' SUP name )
olcAttributeTypes: ( 1.3.6.1.1.1.1.27 NAME 'nisMapEntry' DESC 'A generic NIS entry' EQUALITY caseExactIA5Match SUBSTR caseExactIA5SubstringsMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.1.1.1.28 NAME 'nisPublicKey' DESC 'NIS public key' EQUALITY octetStringMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.40 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.1.1.1.29 NAME 'nisSecretKey' DESC 'NIS secret key' EQUALITY octetStringMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.40 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.1.1.1.30 NAME 'nisDomain' DESC 'NIS domain' EQUALITY caseIgnoreIA5Match SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
olcAttributeTypes: ( 1.3.6.1.1.1.1.31 NAME 'automountMapName' DESC 'automount Map Name' EQUALITY caseExactIA5Match SUBSTR caseExactIA5SubstringsMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.1.1.1.32 NAME 'automountKey' DESC 'Automount Key value' EQUALITY caseExactIA5Match SUBSTR caseExactIA5SubstringsMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.1.1.1.33 NAME 'automountInformation' DESC 'Automount information' EQUALITY caseExactIA5Match SUBSTR caseExactIA5SubstringsMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 SINGLE-VALUE )
olcObjectClasses: ( 1.3.6.1.1.1.2.0 NAME 'posixAccount' DESC 'Abstraction of an account with POSIX attributes' SUP top AUXILIARY MUST ( cn $ uid $ uidNumber $ gidNumber $ homeDirectory ) MAY ( userPassword $ loginShell $ gecos $ description ) )
olcObjectClasses: ( 1.3.6.1.1.1.2.1 NAME 'shadowAccount' DESC 'Additional attributes for shadow passwords' SUP top AUXILIARY MUST uid MAY ( userPassword $ description $ shadowLastChange $ shadowMin $ shadowMax $ shadowWarning $ shadowInactive $ shadowExpire $ shadowFlag ) )
olcObjectClasses: ( 1.3.6.1.1.1.2.2 NAME 'posixGroup' DESC 'Abstraction of a group of accounts' SUP top AUXILIARY MUST gidNumber MAY ( userPassword $ memberUid $ description ) )
olcObjectClasses: ( 1.3.6.1.1.1.2.3 NAME 'ipService' DESC 'Abstraction an Internet Protocol service.        Maps an IP port and protocol (such as tcp or udp)        to one or more names; the distinguished value of        the cn attribute denotes the services canonical        name' SUP top STRUCTURAL MUST ( cn $ ipServicePort $ ipServiceProtocol ) MAY description )
olcObjectClasses: ( 1.3.6.1.1.1.2.4 NAME 'ipProtocol' DESC 'Abstraction of an IP protocol. Maps a protocol number        to one or more names. The distinguished value of the cn        attribute denotes the protocols canonical name' SUP top STRUCTURAL MUST ( cn $ ipProtocolNumber ) MAY description )
olcObjectClasses: ( 1.3.6.1.1.1.2.5 NAME 'oncRpc' DESC 'Abstraction of an Open Network Computing (ONC)       [RFC1057] Remote Procedure Call (RPC) binding.       This class maps an ONC RPC number to a name.       The distinguished value of the cn attribute denotes       the RPC services canonical name' SUP top STRUCTURAL MUST ( cn $ oncRpcNumber ) MAY description )
olcObjectClasses: ( 1.3.6.1.1.1.2.6 NAME 'ipHost' DESC 'Abstraction of a host, an IP device. The distinguished        value of the cn attribute denotes the hosts canonical        name. Device SHOULD be used as a structural class' SUP top AUXILIARY MUST ( cn $ ipHostNumber ) MAY ( userPassword $ l $ description $ manager ) )
olcObjectClasses: ( 1.3.6.1.1.1.2.7 NAME 'ipNetwork' DESC 'Abstraction of a network. The distinguished value of        the cn attribute denotes the networks canonical name' SUP top STRUCTURAL MUST ipNetworkNumber MAY ( cn $ ipNetmaskNumber $ l $ description $ manager ) )
olcObjectClasses: ( 1.3.6.1.1.1.2.8 NAME 'nisNetgroup' DESC 'Abstraction of a netgroup. May refer to other netgroups' SUP top STRUCTURAL MUST cn MAY ( nisNetgroupTriple $ memberNisNetgroup $ description ) )
olcObjectClasses: ( 1.3.6.1.1.1.2.9 NAME 'nisMap' DESC 'A generic abstraction of a NIS map' SUP top STRUCTURAL MUST nisMapName MAY description )
olcObjectClasses: ( 1.3.6.1.1.1.2.10 NAME 'nisObject' DESC 'An entry in a NIS map' SUP top STRUCTURAL MUST ( cn $ nisMapEntry $ nisMapName ) MAY description )
olcObjectClasses: ( 1.3.6.1.1.1.2.11 NAME 'ieee802Device' DESC 'A device with a MAC address; device SHOULD be        used as a structural class' SUP top AUXILIARY MAY macAddress )
olcObjectClasses: ( 1.3.6.1.1.1.2.12 NAME 'bootableDevice' DESC 'A device with boot parameters; device SHOULD be        used as a structural class' SUP top AUXILIARY MAY ( bootFile $ bootParameter ) )
olcObjectClasses: ( 1.3.6.1.1.1.2.14 NAME 'nisKeyObject' DESC 'An object with a public and secret key' SUP top AUXILIARY MUST ( cn $ nisPublicKey $ nisSecretKey ) MAY ( uidNumber $ description ) )
olcObjectClasses: ( 1.3.6.1.1.1.2.15 NAME 'nisDomainObject' DESC 'Associates a NIS domain with a naming context' SUP top AUXILIARY MUST nisDomain )
olcObjectClasses: ( 1.3.6.1.1.1.2.16 NAME 'automountMap' SUP top STRUCTURAL MUST automountMapName MAY description )
olcObjectClasses: ( 1.3.6.1.1.1.2.17 NAME 'automount' DESC 'Automount information' SUP top STRUCTURAL MUST ( automountKey $ automountInformation ) MAY description )
olcObjectClasses: ( 1.3.6.1.4.1.5322.13.1.1 NAME 'namedObject' SUP top STRUCTURAL MAY cn )

Entsprechendes gilt auch für die samba.ldif, die ich mir aus der /etc/openldap/schema/samba.schema erzeugt habe (diese Datei wird erzeugt, wenn man mit samba installiert). Hier ist ihr Inhalt aufgeführt:

dn: cn=samba,cn=schema,cn=config
objectClass: olcSchemaConfig
cn: samba
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.24 NAME 'sambaLMPassword' DESC 'LanManager Password' EQUALITY caseIgnoreIA5Match SYNTAX 1.3.6.1.4.1.1466.115.121.1.26{32} SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.25 NAME 'sambaNTPassword' DESC 'MD4 hash of the unicode password' EQUALITY caseIgnoreIA5Match SYNTAX 1.3.6.1.4.1.1466.115.121.1.26{32} SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.26 NAME 'sambaAcctFlags' DESC 'Account Flags' EQUALITY caseIgnoreIA5Match SYNTAX 1.3.6.1.4.1.1466.115.121.1.26{16} SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.27 NAME 'sambaPwdLastSet' DESC 'Timestamp of the last password update' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.28 NAME 'sambaPwdCanChange' DESC 'Timestamp of when the user is allowed to update the password' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.29 NAME 'sambaPwdMustChange' DESC 'Timestamp of when the password will expire' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.30 NAME 'sambaLogonTime' DESC 'Timestamp of last logon' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.31 NAME 'sambaLogoffTime' DESC 'Timestamp of last logoff' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.32 NAME 'sambaKickoffTime' DESC 'Timestamp of when the user will be logged off automatically' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.48 NAME 'sambaBadPasswordCount' DESC 'Bad password attempt count' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.49 NAME 'sambaBadPasswordTime' DESC 'Time of the last bad password attempt' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.55 NAME 'sambaLogonHours' DESC 'Logon Hours' EQUALITY caseIgnoreIA5Match SYNTAX 1.3.6.1.4.1.1466.115.121.1.26{42} SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.33 NAME 'sambaHomeDrive' DESC 'Driver letter of home directory mapping' EQUALITY caseIgnoreIA5Match SYNTAX 1.3.6.1.4.1.1466.115.121.1.26{4} SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.34 NAME 'sambaLogonScript' DESC 'Logon script path' EQUALITY caseIgnoreMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.15{255} SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.35 NAME 'sambaProfilePath' DESC 'Roaming profile path' EQUALITY caseIgnoreMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.15{255} SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.36 NAME 'sambaUserWorkstations' DESC 'List of user workstations the user is allowed to logon to' EQUALITY caseIgnoreMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.15{255} SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.37 NAME 'sambaHomePath' DESC 'Home directory UNC path' EQUALITY caseIgnoreMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.15{128} )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.38 NAME 'sambaDomainName' DESC 'Windows NT domain to which the user belongs' EQUALITY caseIgnoreMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.15{128} )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.47 NAME 'sambaMungedDial' DESC 'Base64 encoded user parameter string' EQUALITY caseExactMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.15{1050} )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.54 NAME 'sambaPasswordHistory' DESC 'Concatenated MD5 hashes of the salted NT passwords used on this account' EQUALITY caseIgnoreIA5Match SYNTAX 1.3.6.1.4.1.1466.115.121.1.26{32} )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.20 NAME 'sambaSID' DESC 'Security ID' EQUALITY caseIgnoreIA5Match SUBSTR caseExactIA5SubstringsMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.26{64} SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.23 NAME 'sambaPrimaryGroupSID' DESC 'Primary Group Security ID' EQUALITY caseIgnoreIA5Match SYNTAX 1.3.6.1.4.1.1466.115.121.1.26{64} SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.51 NAME 'sambaSIDList' DESC 'Security ID List' EQUALITY caseIgnoreIA5Match SYNTAX 1.3.6.1.4.1.1466.115.121.1.26{64} )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.19 NAME 'sambaGroupType' DESC 'NT Group Type' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.21 NAME 'sambaNextUserRid' DESC 'Next NT rid to give our for users' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.22 NAME 'sambaNextGroupRid' DESC 'Next NT rid to give out for groups' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.39 NAME 'sambaNextRid' DESC 'Next NT rid to give out for anything' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.40 NAME 'sambaAlgorithmicRidBase' DESC 'Base at which the samba RID generation algorithm should operate' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.41 NAME 'sambaShareName' DESC 'Share Name' EQUALITY caseIgnoreMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.15 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.42 NAME 'sambaOptionName' DESC 'Option Name' EQUALITY caseIgnoreMatch SUBSTR caseIgnoreSubstringsMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.15{256} )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.43 NAME 'sambaBoolOption' DESC 'A boolean option' EQUALITY booleanMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.7 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.44 NAME 'sambaIntegerOption' DESC 'An integer option' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.45 NAME 'sambaStringOption' DESC 'A string option' EQUALITY caseExactIA5Match SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.46 NAME 'sambaStringListOption' DESC 'A string list option' EQUALITY caseIgnoreMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.15 )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.53 NAME 'sambaTrustFlags' DESC 'Trust Password Flags' EQUALITY caseIgnoreIA5Match SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.58 NAME 'sambaMinPwdLength' DESC 'Minimal password length (default: 5)' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.59 NAME 'sambaPwdHistoryLength' DESC 'Length of Password History Entries (default: 0 => off)' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.60 NAME 'sambaLogonToChgPwd' DESC 'Force Users to logon for password change (default: 0 => off, 2 => on)' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.61 NAME 'sambaMaxPwdAge' DESC 'Maximum password age, in seconds (default: -1 => never expire passwords)' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.62 NAME 'sambaMinPwdAge' DESC 'Minimum password age, in seconds (default: 0 => allow immediate password change)' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.63 NAME 'sambaLockoutDuration' DESC 'Lockout duration in minutes (default: 30, -1 => forever)' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.64 NAME 'sambaLockoutObservationWindow' DESC 'Reset time after lockout in minutes (default: 30)' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.65 NAME 'sambaLockoutThreshold' DESC 'Lockout users after bad logon attempts (default: 0 => off)' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.66 NAME 'sambaForceLogoff' DESC 'Disconnect Users outside logon hours (default: -1 => off, 0 => on)' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcAttributeTypes: ( 1.3.6.1.4.1.7165.2.1.67 NAME 'sambaRefuseMachinePwdChange' DESC 'Allow Machine Password changes (default: 0 => off)' EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
olcObjectClasses: ( 1.3.6.1.4.1.7165.2.2.6 NAME 'sambaSamAccount' DESC 'Samba 3.0 Auxilary SAM Account' SUP top AUXILIARY MUST ( uid $ sambaSID ) MAY ( cn $ sambaLMPassword $ sambaNTPassword $ sambaPwdLastSet $ sambaLogonTime $ sambaLogoffTime $ sambaKickoffTime $ sambaPwdCanChange $ sambaPwdMustChange $ sambaAcctFlags $ displayName $ sambaHomePath $ sambaHomeDrive $ sambaLogonScript $ sambaProfilePath $ description $ sambaUserWorkstations $ sambaPrimaryGroupSID $ sambaDomainName $ sambaMungedDial $ sambaBadPasswordCount $ sambaBadPasswordTime $ sambaPasswordHistory $ sambaLogonHours ) )
olcObjectClasses: ( 1.3.6.1.4.1.7165.2.2.4 NAME 'sambaGroupMapping' DESC 'Samba Group Mapping' SUP top AUXILIARY MUST ( gidNumber $ sambaSID $ sambaGroupType ) MAY ( displayName $ description $ sambaSIDList ) )
olcObjectClasses: ( 1.3.6.1.4.1.7165.2.2.14 NAME 'sambaTrustPassword' DESC 'Samba Trust Password' SUP top STRUCTURAL MUST ( sambaDomainName $ sambaNTPassword $ sambaTrustFlags ) MAY ( sambaSID $ sambaPwdLastSet ) )
olcObjectClasses: ( 1.3.6.1.4.1.7165.2.2.15 NAME 'sambaTrustedDomainPassword' DESC 'Samba Trusted Domain Password' SUP top STRUCTURAL MUST ( sambaDomainName $ sambaSID $ sambaNTPassword $ sambaPwdLastSet ) )
olcObjectClasses: ( 1.3.6.1.4.1.7165.2.2.5 NAME 'sambaDomain' DESC 'Samba Domain Information' SUP top STRUCTURAL MUST ( sambaDomainName $ sambaSID ) MAY ( sambaNextRid $ sambaNextGroupRid $ sambaNextUserRid $ sambaAlgorithmicRidBase $ sambaMinPwdLength $ sambaPwdHistoryLength $ sambaLogonToChgPwd $ sambaMaxPwdAge $ sambaMinPwdAge $ sambaLockoutDuration $ sambaLockoutObservationWindow $ sambaLockoutThreshold $ sambaForceLogoff $ sambaRefuseMachinePwdChange ) )
olcObjectClasses: ( 1.3.6.1.4.1.7165.2.2.7 NAME 'sambaUnixIdPool' DESC 'Pool for allocating UNIX uids/gids' SUP top AUXILIARY MUST ( uidNumber $ gidNumber ) )
olcObjectClasses: ( 1.3.6.1.4.1.7165.2.2.8 NAME 'sambaIdmapEntry' DESC 'Mapping from a SID to an ID' SUP top AUXILIARY MUST sambaSID MAY ( uidNumber $ gidNumber ) )
olcObjectClasses: ( 1.3.6.1.4.1.7165.2.2.9 NAME 'sambaSidEntry' DESC 'Structural Class for a SID' SUP top STRUCTURAL MUST sambaSID )
olcObjectClasses: ( 1.3.6.1.4.1.7165.2.2.10 NAME 'sambaConfig' DESC 'Samba Configuration Section' SUP top AUXILIARY MAY description )
olcObjectClasses: ( 1.3.6.1.4.1.7165.2.2.11 NAME 'sambaShare' DESC 'Samba Share Section' SUP top STRUCTURAL MUST sambaShareName MAY description )
olcObjectClasses: ( 1.3.6.1.4.1.7165.2.2.12 NAME 'sambaConfigOption' DESC 'Samba Configuration Option' SUP top STRUCTURAL MUST sambaOptionName MAY ( sambaBoolOption $ sambaIntegerOption $ sambaStringOption $ sambaStringListoption $ description ) )

Der nächste Schritt kann übersprungen werden, falls man nicht meinem Mailserversetup folgen möchte: Wir fügen die in meinem anderen Artikel aufgeführten Schemas dyngroup.schema.ldif und dovecot.schema.ldif hinzu (siehe dort).

Darüber hinaus erstellen wir den Eintrag für die Module, die geladen werden sollen und die Aktivierung der Module. Dazu erzeugen wir die Datei module_basis.ldif mit dem Inhalt

dn: cn=module,cn=config
objectclass: olcModuleList
cn: module
olcModulePath: /usr/lib/openldap/openldap

und die Datei module_load.ldif mit dem Inhalt

dn: cn=module{0},cn=config
changetype: modify
add: olcModuleLoad
olcModuleLoad: dynlist.so
olcModuleLoad: accesslog.so

Dann fügen wir den Inhalt cn=config hinzu mit

ldapadd -D "cn=config" -x -W -f module_basis.ldif
ldapmodify -D "cn=config" -x -W -f module_load.ldif

Festlegen der Basisstruktur des LDAP-Verzeichnises und Eintrag bestehender Daten

Nun können wir die Grundstruktur der Daten ergänzen. Dazu erzeugen wir wieder eine LDIF-Datei namens data.ldif mit dem Inhalt

dn: dc=effinger,dc=org
objectClass: dcObject
objectClass: organization
dc: effinger
o: effinger
 
dn: o=default,dc=effinger,dc=org
objectClass: organization
objectClass: top
o: default
 
dn: ou=accounts,o=default,dc=effinger,dc=org
objectClass: organizationalUnit
objectClass: top
ou: accounts
 
dn: ou=groups,o=default,dc=effinger,dc=org
objectClass: organizationalUnit
objectClass: top
ou: groups
 
dn: ou=machines,o=default,dc=effinger,dc=org
objectClass: organizationalUnit
objectClass: top
ou: machines
 
dn: ou=contacts,o=default,dc=effinger,dc=org
objectClass: organizationalUnit
objectClass: top
ou: contacts

und fügen Sie dem Verzeichnis durch den Befehl

ldapadd -D "cn=admin,dc=effinger,dc=org" -x -W -f data.ldif

hinzu. Ganz wichtig ist übrigens, dass die Passwörter mit dem CRYPT-Algorithmus gehasht sind, denn ansonsten schlägt das Modul pam_unix fehl und man kann sich nicht einloggen. Also vorher bitte sicherstellen, dass die Passwörter mit dem Befehl

slappasswd -h "{CRYPT}"

erzeugt werden. Diese Information stammt aus dem Wiki-Artikel von Brandon Hutchinson.

Einrichten des Systems für die Authentifizierung mit LDAP

Wir installieren pam_ldap und nss_ldap mit einem

emerge pam_ldap nss_ldap

Damit pam und nss LDAP zur Authentifizierung verwendet, müssen verschiedene Dateien angepasst werden. Die folgende Beschreibung orientiert sich dabei an der Gentoo-Dokumentation. Wir beginnen mit /etc/ldap.conf, die von pam_ldap und nss_ldap verwendet wird. Im Gegensatz dazu lesen OpenLDAP und dessen Bibliotheken d/etc/openldap/ldap.conf aus, welche – falls wir das weiter oben nicht schon getan hätten – auch angepasst werden müsste. Bei mir sieht die Datei /etc/ldap.conf nun folgendermaßen aus:

uri ldapi://%2fvar%2frun%2fopenldap%2fslapd.sock
ldap_version 3
scope one
pam_filter objectclass=posixAccount
pam_login_attribute uid
pam_member_attribute memberuid
pam_password exop
nss_base_passwd ou=accounts,o=default,dc=effinger,dc=org?one
nss_base_shadow ou=accounts,o=default,dc=effinger,dc=org?one
nss_base_group  ou=groups,o=default,dc=effinger,dc=org?one
nss_base_hosts  ou=machines,o=default,dc=effinger,dc=org?one
nss_reconnect_tries 4                   # number of times to double the sleep time
nss_reconnect_sleeptime 1               # initial sleep value
nss_reconnect_maxsleeptime 16   # max sleep value to cap at
nss_reconnect_maxconntries 2    # how many tries before sleeping

Nun passen wir noch die Datei /etc/pam.d/system-auth an

auth            required        pam_env.so
auth            sufficient      pam_unix.so try_first_pass likeauth nullok
auth            sufficient      pam_ldap.so use_first_pass
 
account         sufficient      pam_ldap.so
account         required        pam_unix.so
 
password        required        pam_cracklib.so difok=2 minlen=8 dcredit=2 ocredit=2 retry=3
password        required        pam_unix.so try_first_pass use_authtok nullok sha512 shadow
password        sufficient      pam_ldap.so use_authtok use_first_pass
 
session         required        pam_limits.so
session         required        pam_env.so
session         required        pam_unix.so
session         optional        pam_permit.so
session         optional        pam_ldap.so

Ich musste hier alle Zeilen mit pam_ldap ergänzen. Bitte dabei unbedingt die gleiche Reihenfolge der Module beibehalten. Als letztes passen wir noch /etc/nsswitch.conf an (in den aufgeführten drei Zeilen hinten das Wort ldap ergänzen):

passwd:      compat ldap
shadow:      compat ldap
group:       compat ldap

Damit sind wir fertig. Falls ein Benutzeraccount unter ou=accounts,o=default,dc=effinger,dc=org existiert, sollte er nach dem Aufruf von

gentent passwd

aufgeführt werden. Für Benutzergruppen gibt es den analogen Befehl

gentent group

Zum Schluss möchte ich noch anmerken, dass man LDAP damit auch als zentralen Server zur Benutzerauthentifizierung einsetzen kann. Dazu muss auf den Clients selbstverständlich die LDAP-URL vom obigen Beispiel angepasst werden, da sie hier ja auf einen lokalen Unix-Socket verweist.

Erfahrungen mit Gentoo auf Linux-VServer

Markus Effinger — Mon, 15 Mar 2010 20:33:30 +0000

Nachdem ich mittlerweile bei dem attraktiven Angebot von netcup zugegriffen habe, bin ich stolzer Besitzer eines Linux-VServers. Schon länger spiele ich mit dem Gedanken, mal eine andere Distributionslinie als Debian/Ubuntu & Co auszuprobieren und nun bin ich untreu geworden. Auf meinem VServer läuft Gentoo. Leider war Gentoo nicht als vorinstalliertes Image verfügbar (@netcup: hier besteht noch Verbesserungspotential), aber dank der Anleitung von Mark habe ich die Installation auch so geschafft (siehe auch mein Kommentar dort). Soweit lief alles einwandfrei!

Neustarten des Linux-VServers mit Gentoo

Ein kleines Problem hatte ich mit dem Neustart des Systems. Ein einfaches

reboot

half da nicht weiter, denn es trat die folgende Fehlermeldung auf

init: timeout opening/writing control channel /dev/initctl

mit der Folge, dass das System nicht neu startete. Der Hintergrund dieser Fehlermeldung ist, dass unter Linux-VServer kein reguläres init-System läuft – eine detailliertere Beschreibung findet sich in der Mailingliste. Aus diesem Grund ist für einen Neustart ein

reboot -f

erforderlich, wie es auch Nathan Hawks erklärt.

Festlegen des Domainnamens auf dem Gentoo-System

Ich habe mich etwas abgemüht, den Domainnamen des Systems festzulegen. Die Ausgabe von

hostname --fqdn

ergab stets

hostname: Unbekannter Rechner

Auch die Änderung der Datei /etc/hosts von

127.0.0.1       localhost

auf

127.0.0.1       myserver.mydomain.tld  localhost

führte nicht zum gewünschten Erfolg. Ebenso wirkungslos blieb die Änderung von dns_domain_lo in der Datei /etc/conf.d/net. Erst als ich die IP-Adresse von eth0 und den Hostnamen auch noch in /etc/hosts nach dem Schema

xx.xx.xx.xx       myserver.mydomain.tld

eingetragen hatte, funktionierte es. Darauf kam ich aber erst durch einen Forumsbeitrag mit dem gleichen Problem.

Dovecot, Exim, OpenLDAP und getmail unter Ubuntu – (5) DSpam

Markus Effinger — Sat, 20 Feb 2010 20:20:28 +0000

Es ist nun schon eine ganze Weile her seit ich zum letzten Mal über mein Mailserversetup geschrieben habe. In den letzten vier Blogartikeln wurde das Zusammenspiel der Grundkomponenten mit Dovecot, Exim, OpenLDAP und getmail konfiguriert. Jetzt geht es ans Feintuning – das Einrichten eines Spamfilters mit dspam und dovecot-antispam.

Weshalb dspam?

Warum dspam wird vielleicht manch einer fragen und nicht das weitverbreitetere spamassassin? Ich habe mich für dspam entschieden, weil es anders als Spamassassin nicht regelbasiert ist. Spamassassin legt bestimmte Regeln fest, nach denen Punkte vergeben werden und kombiniert dies mit lernenden Elementen (je nach Konfiguration). Regelbasiertes Filtern von Nachrichten hat einen Vorteil: Man hat einen sofort einigermaßen brauchbaren Spamfiltern. Einigermaßen sage ich deswegen, weil natürlich statische Filter so allgemein sein müssen, dass sie für den eigenen spezifischen Spamschutz nicht maßgeschneidert sein können. Man wird damit, wenn man die Regeln auch noch ein bischen für sich anpasst weit kommen, allerdings sind dem Grenzen gesetzt. Mit dspam setze ich auf einen Spamfilter, der rein auf adaptives Lernen setzt und dabei modernste Algorithmen einsetzt. Das hat zwar den Nachteil, dass es eine Lernphase braucht und deshalb anfangs einen relativ hohen Anteil von Spam/Ham nicht richtig klassifiziert, mit der Zeit jedoch erhält man einen auf die persönlichen Bedürfnisse maßgeschneiderten Spamfilter. Diese Argumentation findet sich übrigens auch in der DSPAM FAQ. Ob das jetzt tatsächlich so ist, wird sich bei mir im Praxistest zeigen. Ich werde berichten..

Das Spamfilter-Setup im Überblick

In diesem Abschnitt möchte ich einen Überblick darüber geben, wie sich dspam in die Grundkonfiguration einfügt. Zunächst wird jede Nachricht, die exim zustellt, vor der Übergabe an den dovecot local delivery agent (LDA) von dspam analysiert und das Ergebnis im Mailheader festgehalten. Per Sieve-Filterregel kann man dann die Spammails in den Spamordner verschieben lassen. Wenn eine Mail falsch klassifiziert ist, kann man sie – falls es sich richtigerweise um Spam handelt – an spam@myserver oder andernfalls an ham@myserver schicken. Auf Dauer wäre das jedoch sehr aufwendig. Deswegen gibt es dovecot-antispam, ein Plugin für dovecot, welches beim Verschieben von Nachrichten in den Spamordner diese an spam@myserver schickt bzw. beim Verschieben von Nachrichten aus dem Spamordner in normale Ordner (nicht den Papierkorb) diese an ham@myserver schickt. DSpam kann die nutzerspezifischen Daten auf verschiedene Weisen speichern. In diesem Howto wird MySQL als Backend für dspam genutzt.

Installation und Kompilieren benötigter Pakete

So, beginnen wir mit einer kleinen Korrektur unserer Exim-Installation, die später bei der Prüfung von Paketabhängigkeiten wichtig wird. Wir installieren nämlich das Paket exim, welches auf eines der verschiedenen exim-Pakete verweist (wir haben im dritten Teil des Howtos den exim4-daemon-heavy installiert). Zusätzlich benötigen wir noch MySQL, das Dovecot-Antispam Plugin und dbconfig-common zur Einrichtung eines MySQL-Benutzers. Bei der Installation wird übrigens nach dem MySQL-Root-Passwort gefragt, bitte dieses unbedingt merken, denn wir benötigen es später noch.

sudo apt-get install exim4 dovecot-antispam mysql-server dbconfig-common

Im nächsten Schritt installieren wir dspam. Ich habe mich allerdings dafür entschieden, nicht die in den Repositories erhältliche Version 3.6.8 zu verwenden, sondern selbst die Pakete für die Version 3.9.0 RC2 zu erstellen. Dabei bin ich analog zu der Beschreibung von Jason Axley vorgegangen

sudo apt-get install build-essential
sudo apt-get build-dep dspam

Glücklicherweise gibt es einen aktiven Debian-Nutzer, der quasi alles (Sourcen+Patches) in einem Repository öffentlich zur Verfügung stellt unter http://packages.kirya.net/debian/pool/main/d/dspam/ (übrigens gibt es auch eine Anleitung auf kirya.net). Von dort laden wir nun die Quelldateien und Patches herunter, entpacken sie und wechseln in das Unterverzeichnis dspam

wget http://packages.kirya.net/debian/pool/main/d/dspam/dspam_3.9.0~rc2+git20091231.orig.tar.gz
wget http://packages.kirya.net/debian/pool/main/d/dspam/dspam_3.9.0~rc2+git20091231-1.debian.tar.gz
tar xvzf dspam_3.9.0~rc2+git20091231.orig.tar.gz
tar xvzf dspam_3.9.0~rc2+git20091231-1.debian.tar.gz -C dspam
cd dspam

Dann editieren wir die Datei debian/control, um die Paketabhängigkeiten so zu verändern, dass auch exim als Delivery Agent akzeptiert wird. Wir ergänzen deshalb in der depends-Zeile exim. Aus

Package: dspam
Architecture: any
Depends: ${misc:Depends}, procmail | maildrop | courier-maildrop | sensible-mda, lsb-base (>= 3.0-6), ${shlibs:Depends}

wird dann

Package: dspam
Architecture: any
Depends: ${misc:Depends}, exim4 | procmail | maildrop | courier-maildrop | sensible-mda, lsb-base (>= 3.0-6), ${shlibs:Depends}

Nun können wir die Binärpakete erstellen und installieren mit

fakeroot debian/rules binary
cd ..
sudo dpkg -i dspam_3.9.0~rc2+git20091231-1_i386.deb libdspam7_3.9.0~rc2+git20091231-1_i386.deb libdspam7-drv-mysql_3.9.0~rc2+git20091231-1_i386.deb dspam-doc_3.9.0~rc2+git20091231-1_all.deb

Dabei werden wir gefragt, ob die Datenbankkonfiguration jetzt oder manuell (später) erfolgen soll. Wir wählen die erste Option. Nun wird nach dem MySQL-Passwort von oben gefragt, das wir eingeben. Das Passwort für dspam können wir automatisch festlegen lassen.

Konfigurationsdateien

Ich habe mir die Mühe gemacht und die im Vergleich zur Standardkonfiguration, die in den Teilen (1) bis (4) beschrieben wurde, angepassten Dateien in einem Archiv zusammenzupacken. Dieses Archiv ist damit kein Ersatz für das dort aufgeführte Paket der Konfigurationsdateien, sondern vielmehr eine Ergänzung. Wichtige Anmerkung: Die Konfigurationsdateien können immer nur Ausgangspunkt für die eigene Konfiguration sein u.a. auch deshalb, weil die Berechtigungen für diese Dateien angepasst werden müssen!

Konfiguration von dspam

Jetzt machen wir uns ans Eingemachte, der Konfiguration von dspam, welches leider keine sehr ausführliche Dokumentation bietet. Es gibt jedoch eine kurze Quick-and-Dirty Anleitung von der dspam-user Mailingliste und in der Readme unter /usr/share/doc/dspam/README.gz sind auch einige Informationen zu finden. Außerdem fand ich die Kommentare in einer weiteren Anleitung sehr hilfreich. Wir passen zunächst das MySQL-Datenbankschema an. Ich bevorzuge nämlich das geschwindigkeitsoptimierte Datenbankschema gegenüber dem speicherplatzoptimierten, welches standardmäßig installiert wird. Deshalb habe ich mit

mysql -u root -p -e "drop database dspam; create database dspam; GRANT SELECT, INSERT, UPDATE, DELETE ON dspam.* to dspam@localhost identified by '$(sudo cat /etc/dspam/dspam.d/mysql.conf | grep MySQLPass | cut -f3)';"

erstmal das komplette dspam -Schema gelöscht und neu erzeugt. Dazu wird natürlich wieder das MySQL root Passwort von oben benötigt. Anschließend installieren wir mit

mysql -u dspam -p$(sudo cat /etc/dspam/dspam.d/mysql.conf | grep MySQLPass | cut -f3) dspam < /usr/share/doc/libdspam7-drv-mysql/sql/mysql_objects-speed.sql

das geschwindigkeitsoptimierte Datenbankschema. Wer alternativ doch das speicherplatzoptimierte Schema verwenden will, installiert es mit einem

mysql -u dspam -p$(sudo cat /etc/dspam/dspam.d/mysql.conf | grep MySQLPass | cut -f3) dspam < /usr/share/doc/libdspam7-drv-mysql/sql/mysql_objects-space.sql

Nun schaffen wir die Voraussetzungen dafür, dass virtuelle Benutzer verwendet werden können. Ich habe mich dafür entschieden, dass Datenbankschema so einzurichten, dass nicht existierende Benutzer automatisch angelegt werden.

mysql -u dspam -p$(sudo cat /etc/dspam/dspam.d/mysql.conf | grep MySQLPass | cut -f3) dspam < /usr/share/doc/libdspam7-drv-mysql/sql/virtual_users.sql

Wer alternativ die Benutzer manuell anlegen will, führt stattdessen

mysql -u dspam -p$(sudo cat /etc/dspam/dspam.d/mysql.conf | grep MySQLPass | cut -f3) dspam < /usr/share/doc/libdspam7-drv-mysql/sql/virtual_user_aliases.sql

aus. Jetzt passen wir die Datei /etc/dspam/dspam.d/mysql.conf so an, dass wir virtuelle Benutzer nutzen und die Verbindung von dspam zu MySQL über einen Unix-Socket hergestellt wird (Passwort – hier donotchange – unbedingt so lassen, wie es voreingestellt ist). Mit der Option MySQLUIDInSignature legen wir fest, dass in der DSPAM-Signatur der Benutzer gespeichert wird, für den die Spam-Klassifizierung durchgeführt wurde, so dass zwei serverweite Mail-Adressen (hier ham@ und spam@) ausreichen, um die Mail umzuklassifizieren.

MySQLServer             /var/run/mysqld/mysqld.sock
MySQLUser               dspam
MySQLPass               donotchange
MySQLDb         dspam
MySQLReconnect          true
MySQLVirtualTable               dspam_virtual_uids
MySQLVirtualUIDField            uid
MySQLVirtualUsernameField       username
MySQLUIDInSignature     on

Auch die Datei /etc/dspam/dspam.conf muss angepasst werden. Wir legen secmail, der Benutzer, unter dem der Dovecot LDA Mails zustellt und mit dem später dspam von exim aufgerufen wird, als vertrauenswürdigen Benutzer fest und schließen außerdem die Konfigurationsdateien im Verzeichnis /etc/dspam/dspam.d mitein. Zudem soll die dspam-Signatur nur im Header sein, was mit der Preference signatureLocation eingestellt wird. Die Bedeutung der einzelnen Preference-Optionen wird im dspam-Wiki erklärt. Der Standardpfad für dspam.pid muss aufgrund von Berechtigungsproblemen korrigiert werden. Wir ergänzen bzw. ändern deshalb folgende Zeilen

# Trust user secmail
Trust secmail
 
# Changed to only have MessageIDs in the header
Preference "signatureLocation=headers"
 
# Change dspam.pid location to
ServerPID               /var/run/dspam/dspam.pid
 
# dspam only has to work together with the dspam client in our configuration
ServerMode dspam
 
# Authetication password required for dspam client
# change secret to something else!!
ServerPass.Relay1      "secret"
 
# Use local unix socket to minimize overhead
ServerDomainSocketPath "/tmp/dspam.sock"
 
# Parameters used by dspam client to connect  to the server
# change secret to the password you have chosen above..
ClientHost     /tmp/dspam.sock
ClientIdent    "secret@Relay1"
 
# Include config files from /etc/dspam/dspam.d
Include /etc/dspam/dspam.d/

Als nächstes editieren wir /etc/default/dspam und setzen die Variable START auf YES, damit dspam im Daemon-Mode beim Hochfahren des Systems gestartet wird.

# Variables for dspam.
#
# Do start dspam.
START=yes

Das Startskript für dspam wird angepasst, da dspam nicht automatisch in den Hintergrund geht. Deshalb editieren wir /etc/init.d/dspam und ergänzen die Option –background. Aus

        start-stop-daemon --start --quiet --pidfile $PIDFILE --chuid $USER --exec $DAEMON -- $DAEMON_ARGS \
        || return 2

wird somit

        start-stop-daemon --start --quiet --pidfile $PIDFILE --chuid $USER --exec $DAEMON --background -- $DAEMON_ARGS \
        || return 2

Jetzt fügen wir noch den Benutzer secmail zur Gruppe dspam hinzu, damit es beim Aufruf von exim, der unter dem Nutzer secmail erfolgt, keine Berechtigungsprobleme gibt.

sudo adduser secmail dspam

Nun können wir dspam im Daemon-Modus testen, indem wir es via

sudo dspam --debug --daemon

aufrufen, um es via Strg-C nach einer Minute beenden. Ob es Probleme gibt, sollte man anhand der Logdateien im Verzeichnis /var/log/dspam und der Syslog verfolgen. Wenn das soweit geklappt hat, starten wir dspam dauerhaft mit

sudo service dspam start

Nun prüfen wir das Zusammenspiel von Client und Server und legen gleichzeitig einen Benutzer namens globaluser an. Diesen Benutzer benötigen wir, da dspam beim Reklassifizieren einer Mail die Angabe eines Parameters –user mit gültigem User verlangt, selbst wenn es eigentlich anhand der dspam-Signatur auf den Benutzer schließen könnte, für den die Mail klassifiziert wurde. Ryan Kolak beschreibt dieses Problem ausführlicher, das schon häufiger diskutiert wurde und bei dem es sich meiner Meinung nach um einen Bug handelt (Fehlermeldung: Unable to determine the destination user). Wenn wir den Befehl

echo Subject:test | sudo -u secmail dspam --client --debug --mode=notrain --user globaluser --deliver=spam,innocent --stdout

ausführen und anschließend die dspam-Statistik mit

sudo dspam_stats

abrufen, sollten wir folgendes Ergebnis erhalten

globaluser        TP:     0 TN:     1 FP:     0 FN:     0 SC:     0 NC:     0

Falls Fehler aufgetreten sind, werden diese in den obigen Logdateien bzw.der Syslog festgehalten. Die Konfiguration von dspam ist nun abgeschlossen. Einen kleinen Tip zu dspam von der dspam-user Mailingliste, möchte ich aber noch loswerden. Mit

strings $(which dspam) | grep build

lässt sich feststellen, welche Parameter beim Kompilieren von dspam verwendet wurden. Das kann hilfreich sein, denn bei dspam werden viele Optionen schon beim Kompilieren festgelegt.

Anpassung der exim-Konfiguration

Jetzt machen wir uns daran, Exim zu konfigurieren. Hier habe ich mich an der Anleitung von Robert Fendt und einer Dokumentation in einem Forum orientiert. Zunächst fügen wir zu den bestehen Transporten an die lokalen Mailboxen zwei Zeilen hinzu. Der transport_filter leitet die Nachrichten durch den Spamfilter während die headers_remove Zeile dazu führt, dass in der Nachricht vorhandene DSpam-Header entfernt werden, so dass diese Header tatsächlich nur von dspam stammen können. Wir editieren also die beiden Dateien /etc/exim4/conf.d/transport/30_exim4-config_dovecot_delivery_pipe und /etc/exim4/conf.d/transport/30_exim4-config_dovecot_delivery_pipe_secmail und ergänzen die beiden erwähnten Zeilen:

  driver = pipe
  transport_filter = /usr/bin/dspam --deliver=innocent,spam --user "GET_LOCAL_MAIL" --stdout
  headers_remove = X-DSPAM-Result:X-DSPAM-Processed:X-DSPAM-Confidence:X-DSPAM-Probability:X-DSPAM-Signature
  command = /usr/lib/dovecot/deliver -d "GET_LOCAL_MAIL"

Jetzt müssen wir noch die beiden Mail-Adressen spam@myserver und ham@myserver einrichten. Natürlich sollen nur vom Server selbst oder von authentifizierten Benutzern E-Mails an diese Adressen geschickt werden dürfen. In der Datei /etc/exim4/conf.d/main/00_local_macros ergänzen wir deshalb Macros für eine Hostliste und diese beiden E-Mail-Adressen

# @[] list of all local IPs
# If exim is used localy in batch mode (exim4 -bs) then "$host" is empty, the ": :" adds the empty string.
hostlist own_hosts = @[] : :
 
# address for reclassifying/learning false positive spam mails
MAIL_ADDRESS_HAM = ham
 
# address for reclassifying/learning undetected spam
MAIL_ADDRESS_SPAM = spam

Nun verweigern wir allen nicht authentifizierten Usern von entfernten Hosts das Senden von Mails durch Ergänzung der folgenden Zeilen in der Datei /etc/exim4/conf.d/acl/30_exim4-config_check_rcpt (bitte unbedingt nach der Stelle mit accept authenticated=*)

# Accept if the message arrived over an authenticated connection, from
# any host. Again, these messages are usually from MUAs, so recipient
# verification is omitted, and submission mode is set. And again, we do this
# check before any black list tests.
accept
  authenticated = *
  # Nur unter der Bedingung, dass der Absender ein valider, entfernter User in LDAP
  # ist Empfänger bedingungslos akzeptieren
  condition = IS_SENDER_REMOTE
  #control = submission/sender_retain
 
# Deny all unauthenticated remote hosts to send mail to
# spam or ham email addresses
deny
  hosts = !+own_hosts
  local_parts = MAIL_ADDRESS_HAM : MAIL_ADDRESS_SPAM

Jetzt brauchen wir nur noch einen Router und einen Transporter für das Lernen von Spam bzw. Ham. Den Router erzeugen wir durch die Datei /etc/exim4/conf.d/router/410_exim4-config_spam_classification mit folgendem Inhalt

################################################
### router/410_exim4-config_spam_classification
################################################
 
# This router matches the local spam and ham mailboxes
# which are used to train the spam filter with false
# spam positives or unrecognized spam.
 
router_spam_training:
  debug_print = "R: spam training issued by mail from $sender_address@$sender_address_domain to $local_part@$domain"
  driver = accept
  domains = +local_domains
  local_parts = MAIL_ADDRESS_HAM : MAIL_ADDRESS_SPAM
  transport = transport_spam_training
 
################################################
### router/410_exim4-config_spam_classification
################################################

Den Transporter erstellen wir analog durch die Datei /etc/exim4/conf.d/transport/30_exim4-config_transport_spam_training mit dem Inhalt

#####################################################
### transport/30_exim4-config_transport_spam_training
#####################################################
 
transport_spam_training:
  debug_print = "T: spam training issued by mail from $sender_address@$sender_address_domain to $local_part@$domain"
  driver = pipe
  command = /usr/bin/dspam "${if eq{$local_part}{MAIL_ADDRESS_HAM} {--class=innocent}{--class=spam}}" --source=error --delivery=stdout --user globaluser
  message_prefix =
  message_suffix =
  # Do not add additional Headers
  delivery_date_add = false
  envelope_to_add = false
  return_path_add = false
  log_output
  user = secmail
  group = secmail
 
#####################################################
### transport/30_exim4-config_transport_spam_training
#####################################################

Was mich lange aufgehalten hat, waren die String-Expansions in der command Angabe. Hier kommt es darauf an, die Anführungszeichen zu setzen, wie es sowohl in der FAQ als auch in der Dokumentation von command und unter anderem auch bei der von transport_filter erwähnt wird. Der Grund, warum hier für dspam nicht der Parameter –stdout, sondern –delivery=stdout gewählt wurde, liegt darin, dass ansonsten teilweise die Fehlermeldung “Client exited with error -5″ auftaucht. Dieser Hinweis zur Fehlerbehebung stammt übrigens von der dspam-users Mailinglist. Abschließend wird die Konfigurationsdatei erzeugt und Exim neu gestartet durch ein

sudo update-exim4.conf && sudo /etc/init.d/exim4 restart

Nun kann man mit dem Befehl

echo Subject:test | sudo -u secmail dspam --client --debug --mode=notrain --user globaluser --deliver=spam,innocent --stdout | mail -s "Reclassify" spam

testen, ob die Konfiguration funktioniert. Ein erneutes

sudo dspam_stats

sollte dann dieses Ergebnis

globaluser        TP:     0 TN:     1 FP:     0 FN:     1 SC:     0 NC:     0

ausgeben.

Einrichtung des dovecot-antispam Plugins

Im nächsten Schritt konfigurieren wir das dovecot-antispam plugin. Bei diesem Plugin wird beim Kompilieren festgelegt, welches Backend (dspam-exec, mailtrain oder crm114-exec) verwendet werden soll. Wenn man die Paket-Version von Debian/Ubuntu verwendet, ist man deshalb automatisch auf das mailtrain-Backend festgelegt. Dies kann man zwar erst der Beschreibung des Pakets in Lucid Lynx lesen, trifft aber auch auf vorherige Versionen zu. Passen wir also jetzt die Konfigurationsdatei unter /etc/dovecot/dovecot.conf an. Wir aktivieren das antispam-Plugin im Imap-Abschnitt folgendermaßen

protocol imap {
  mail_plugins = antispam
  # mail_plugin_dir = /usr/lib/dovecot/modules/imap
}

anschließend ergänzen wir den plugin-Abschnitt um die Konfigurationsparameter für dovecot-antispam. Dabei sind unter Umständen die Ordnerbezeichnungen für den Papierkorb und Spam anzupassen.

plugin {
 ##################
 # DSPAM
 # GENERIC OPTIONS
 
 # mail signature (used with any backend requiring a signature)
 antispam_signature = X-DSPAM-Signature
 
 # action to take on mails without signature
 # (used with any backend requiring a signature)
 # (we recommend only setting this to 'move' after verifying that the
 # whole setup is working)
 # antispam_signature_missing = move # move silently without training
 antispam_signature_missing = move
 
 # semicolon-separated list of Trash folders (default unset i.e. none)
 # antispam_trash =
 antispam_trash = trash;Trash;Deleted Items
 
 # semicolon-separated list of spam folders
 antispam_spam = SPAM;Spam;spam
 
 # semicolon-separated list of unsure folders (default unset i.e. none)
 # antispam_unsure =
 
 # Whether to allow APPENDing to SPAM folders or not. Must be set to
 # "yes" (case insensitive) to be activated. Before activating, please
 # read the discussion below.
 # antispam_allow_append_to_spam = no
 
 ###########################
 # BACKEND SPECIFIC OPTIONS
 # please note: the backend has to be specified at compile time
 # the backend used in the Debian/Ubuntu standard package is mailtrain
 
 #===================
 # dspam-exec plugin
 
 # dspam binary
 antispam_dspam_binary = /usr/bin/dspam
 
 # semicolon-separated list of extra arguments to dspam
 # (default unset i.e. none)
 # antispam_dspam_args =
 # antispam_dspam_args = --deliver=;--user;%u  # % expansion done by dovecot
 # antispam_dspam_args = --mode=teft
 
 # Ignore mails where the DSPAM result header contains any of the
 # strings listed in the blacklist
 # (default unset i.e. none)
 # antispam_dspam_result_header = X-DSPAM-Result
 # semicolon-separated list of blacklisted results, case insensitive
 # antispam_dspam_result_blacklist = Virus
 
 #=====================
 # mail sending plugin
 #
 # Because of the way this plugin works, you can also use it
 # to train via an arbitrary program that receives the message
 # on standard input, in that case you can use the config
 # options antispam_mail_spam and antispam_mail_notspam for
 # the argument that distinguishes between ham and spam.
 # For example:
 #   antispam_mail_sendmail = /path/to/mailtrain
 #   antispam_mail_sendmail_args = --for;%u
 #   antispam_mail_spam = --spam
 #   antispam_mail_notspam = --ham
 # will call it, for example, like this:
 #   /path/to/mailtrain --for jberg --spam
 
 # temporary directory
 antispam_mail_tmpdir = /tmp
 
 # spam/not-spam addresses (default unset which will give errors)
 antispam_mail_spam = spam
 antispam_mail_notspam = ham
 
 # sendmail binary
 antispam_mail_sendmail = /usr/sbin/sendmail
 #antispam_mail_sendmail_args = -f;%u@example.com # % expansion done by dovecot
 
 #===================
 # crm114-exec plugin
 
 # mailreaver binary
 antispam_crm_binary = /bin/false
 # antispam_crm_binary = /usr/share/crm114/mailreaver.crm
 
 # semicolon-separated list of extra arguments to dspam
 # (default unset i.e. none)
 # antispam_crm_args =
 # antispam_crm_args = --config=/path/to/config
 
 # NOTE: you need to set the signature for this backend
 antispam_signature = X-CRM114-CacheID
}

Sieve zum automatischen Verschieben der Spamnachrichten

Das Einzige, was jetzt noch fehlt, ist die Einrichtung des Sieve-Filters durch den die Spam-Nachrichten direkt in den Spam-Ordner verschoben und als gelesen markiert werden. Auch hier bitte ggfs. den Namen des Spamordners anpassen.

require ["fileinto","imapflags"];
 
# Spam
# Catch mail tagged as spam, except spam retrained and delivered to the mailbox
if allof(header :contains "X-DSPAM-Result" "Spam",
 not header :contains "X-DSPAM-Reclassified" "Innocent") {
 
 # Mark as read
 setflag "\\Seen";
 
 # Move into the Junk folder
 fileinto "Spam";
 
 # Stop processing here
 stop;
}
 
# The rest goes into INBOX
# default is "implicit keep", we do it explicitly here
keep;

So, damit ist der Spamfilter fertig eingerichtet. Was jetzt noch fehlt, ist das Webinterface für dspam (das Binär-Paket dafür haben wir aber schon erzeugt) und der Webmail-Zugriff mit Roundcube. Fortsetzung folgt..

Kleine Helferlein im Alltag

Markus Effinger — Wed, 30 Dec 2009 14:31:22 +0000

In diesem Artikel möchte ich das Augenmerk auf ein paar kleine Programme lenken, die einem das Leben einfacher machen können – eben kleine Helferlein im Alltag.

Helferlein unter Ubuntu

Glipper der Manager der Zwischenablage unter Gnome hat auch einen Fan unter ubuntu.wordpress.com. Installation mit

sudo apt-get install glipper

Shutter (vormals GScrot) ein Screenshot-Programm mit deutlich größerem Funktionsumfang als gnome-screenshot und ausführlicher Anleitung auf ubuntuusers.de
gFTP, ein grafischer FTP-Client, der sich einfach via
```
sudo apt-get install gftp
```
installieren lässt.
SSH-Menu – mit einem Klick zum gewünschten Server verbinden. Installation mit
```
sudo apt-get install sshmenu-gnome
```
Mit rename kann man Dateien anhand von regulären Ausdrücken umbenennen. Das Programm ist unter Ubuntu standardmäßig vorinstalliert. Eine Anleitung gibt es im Webmaster Tips Blog
Mit gnochm, kann man Windows-Hilfe Dateien (chm-Dateien) lesen. Dieses Format wird leider nach wie vor aus unerklärlichen Gründen für Ebooks eingesetzt. Eine Alternative ist xchm.
Encspot stellt bei MP3-Dateien fest, welcher Encoder verwendet wurde, so dass man hierdurch auch auf die Qualität der Umwandlung schließen kann.
Nautilus in der zweispaltigen Variante. Vielen Dank an Christoph für den Tip! Außerdem ist es hilfreich mit
```
sudo apt-get install nautilus-open-terminal
```
die Erweiterung nautilus-open-terminal zu installieren, mit der man direkt aus Nautilus ein Terminalfenster im aktuellen Ordner öffnen kann.
Tipp10, ein Programm, mit dem man Maschinenschreiben lernen kann. Ein Ubuntu-Paket ist auf http://www.tipp10.de/ vorhanden.
Mit GCStar lassen sich alle Möglichen Arten von Sammlungen verwalten, unter anderem CDs, Filme, Bücher. Unter Windows war ich ein Fan von WhereIsIt als der Festplattenspeicher teuer und die CDs billig waren. GCStar steht WhereIsIt in fast nichts nach. Miit einem
```
sudo apt-get install gcstar
```
lässt es sich installieren und die Plugins, die sich Informationen aus verschiedenen Webseiten zusammensuchen, kann man durch
```
sudo gcstar -u -w
```
auf den letzten Stand bringen (der Anleitung von oshelpdesk.org entnommen).
Mit at, einem Kommandozeilentool, das cron ähnelt, lassen sich auch viele nette Dinge anstellen, wie ein Artikel im Freien Magazin beweist.
Das Progamm unclutter verbirgt den Mauszeiger bei Inaktivität, was besonders nützlich ist, wenn man Zattoo schaut. Es lässt sich mittels
```
sudo apt-get install unclutter
```
installieren. Bei ubuntu-tutorials.com gibt es weitere Informationen zur Einrichtung von unclutter.

Thunderbird Add-ons (laufen alle bis auf Lightning 0.9 mit Thunderbird 3.0)

Change quote and reply format erlaubt es, beim Antworten auf eine Mail, den Antwortkopf anzupassen also statt “xyz schrieb:” kann man folgendes Format festlegen:
——– Original-Nachricht ——–
Betreff: XYZ
Von: keine@mail.nix
An: meine@email.nix
Datum: 11.11.2009 11:11

Mit Copy Sent To Current kann man direkt beim Schreiben der Mails auswählen, in welchen Ordner die Nachricht beim Versenden abgelegt werden soll.
Das deutsche Wörterbuch von thunderbird-mail.de
Enigmail zum Verschlüsseln von E-Mails, sogar mit Handbuch.
MinimizeToTray Plus, damit der Bildschirmplatz durch Thunderbird nur minimal kleiner wird.
Quote Colors hebt in verschachtelten Mails und News-Nachrichten die Ausführungen unterschiedlichen Autoren farblich hervor (wichtig, für alle, die den Überblick bei den ganzen “>>” “>>>” usw. behalten wollen)
Sieve, ein super Plugin um die ganzen Sieve-Mailregeln auf dem Server zu verwalten. Prüft sogar den Syntax und funktioniert wunderbar mit meinem Dovecot-Setup zusammen.
Lightning um Termine zu verwalten (wenn es doch nur eine Stable-Version für Thunderbird 3.0 geben würde).

Firefox Add-ons

Adblock Plus, damit Werbung der Vergangenheit angehört
Mit CustomizeGoogle kann man viele Optionen zur Google-Suche einstellen und der Datensammelwut wenigstens etwas Einhalt gebieten.
Firebug hilft vor allem Webentwicklern beim Debuggen von JavaScript.
Greasemonkey damit man Webseiten aufpeppen und modifizieren kann. In Kombination mit http://userscripts.org unschlagbar.
StartupMaster umgeht einen lästigen Bug von Firefox, welches beim Starten sonst sehr oft das Master-Passwort abfragt. Wirklich schade, dass ein solcher nervenaufreibender Bug, der seit 2008 bekannt ist, immer noch nicht gefixt wurde.
Tab Mix Plus, mein Lieblingsmanager für Tabs mit einer sehr guten Sitzungsverwaltung.
Mit userChromeJS kann man unter anderem die Menüs für Firefox anpassen, was ich ja schon beschrieben hatte.
Zotero habe ich zum ersten Mal bei meiner Diplomarbeit als Literaturverwaltungsprogramm genutzt. Es eignet sich aber auch prima, um wichtige Webseiten zu archivieren, z.B. AGBs & Co bei Online-Bestellungen.