Al Bogner schrieb:

Am Donnerstag 15 Oktober 2009 16:12:10 schrieb Christian Brabandt:

...

Hi Al!

On Do, 15 Okt 2009, Al Bogner wrote:

...

Ich habe mit puttygen keys (testweise) erzeugt und schaffe es nicht mich damit anzumelden.

Mir fällt dabei auf, dass die Keys von puttygen anders aussehen, als die vom Linux-PC Du mußt die Putty-Keys noch mittels puttygen ins OpenSSH Format konvertieren.

Ich glaube, dass das mein Problem ist.

Man kann also mit puttygen keine Keys direkt im Openssh-Format erzeugen?

Natürlich. Wenn du auf Conversions -> Export OpenSSH-Key gehst, dann exportierst du den Private-Key für OpenSSH. Denn der PuttyGen Private-Key ist nicht mit OpenSSH kompatibel. Der Public-Key wird bereits im Textfeld eingeblendet z.B.: ssh-rsa AAAA.........== rsa-key-20091015 Was willst du mehr? Brett vorm Kopf? ;-)

Ich kann nur einen private Key importieren und keinen public Key. Exportiere ich im Openssh-Format, dann wird nur ein private Key erzeugt.

(Siehe oben) -- Gruß Sebastian Wichtiger Hinweis zur openSUSE Mailing Liste: - Achtung: >>> Bitte keine Anhänge! <<< Stattdessen Paste-Service verwenden: http://paste.phati.de/ http://de.pastebin.ca/ - Bitte weitere Netiquette auf folgender wiki-Seite beachten: http://de.opensuse.org/OpenSUSE_mailing_list_netiquette openSUSE Member (Freespacer) openSUSE Build Service Maintainer: - PokerTH (seit Version 0.6.3) - p7zip (seit Version 9.04) -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: opensuse-de+help@opensuse.org

Am Donnerstag 15 Oktober 2009 16:38:03 schrieb Sebastian Siebert:

Hallo Al,

Al Bogner schrieb:

...

Ich habe mit puttygen keys (testweise) erzeugt und schaffe es nicht mich damit anzumelden.

Mir fällt dabei auf, dass die Keys von puttygen anders aussehen, als die vom Linux-PC

Unter Linux habe ich immer:

.ssh/id_rsa.pub ssh-rsa .... user@host

Putty-Key: ---- BEGIN SSH2 PUBLIC KEY ---- Comment: "rsa-key-20091015" A...B ---- END SSH2 PUBLIC KEY ----

Wenn du schon Putty Key Generator bedienst, dann lese bitte auch richtig.

Dort steht nicht zu überlesen: "Public Key for pasting into OpenSSH autherized_keys file"

und darin befindlicher Textfeld sollte in die Datei ~/.ssh/autherized_keys eingefügt werden.

Habe ich natürlich gemacht, aber in auth_o_rized_keys

...

Ziel soll es nun mit putty sein, dass sich ein "DAU" dort mit einem abgespeicherten Profil als root anmelden kann, ohne ein PW oder einen User anzugeben und dann auf der Konsole ein Sicherungsscript aufrufen kann. Mir ist schon klar, dass dies ohne PW nicht optimal ist, aber so einfach denke ich sind die Keys nicht zu hacken.

Generell würde ich einem "DAU" gar keine Root-Rechte geben und ist auch sonstiger Sichtweise nicht empfehlenswert. Denn ein "DAU" kann eine ganze Menge kaputt machen.

Sicher, aber wenn es der Server des DAU ist, kann ich nur warnen und das tun, das vielleicht funktionieren könnte. Ist er nicht lernwillig, dann hat er früher oder später Probleme.

Nicht umsonst hat man dem Root-User die höchstmöglichen Rechte vergeben. Denn die normalen User sollen am System nichts rumfuschen.

Ein Skript aufrufen, könnte schon gut gehen. Da es um eine Sicherung geht, werden Root-Rechte benötigt.

Vorschlag, um ein Sicherheitsskript bei Bedarf aufzurufen: - Richte dem User einen eigenen Account ein - Generiere für den User ein SSH-Key - Der User braucht nur eine Dummy-Datei per "touch runsript" in seinem Home-Verzeichnis zu erstellen. - Richte ein Cronjob als Root-User ein, der ständige nach dieser Dummy-Datei im Home-Verzeichnis sucht und falls die Datei existiert wird entsprechend das Sicherheitsskript ausführt.

Das Skript führt auch "zypper update" aus und da kann Interaktion notwendig sein. Ich habe mir schon überlegt, die Ordnergröße zu bestimmen und alle paar Stunden per Cronjob zu prüfen, ob sich was geändert hat und automatisch zu sichern, sodass nur mehr per Winscp runtergeladen werden muss. Das würde vermutlich meistens gut gehen, aber eventuell nicht immer, und dann wäre ich der Böse, falls es Probleme gibt. Muss er interaktiv entscheiden und baut Mist, dann hat er den Fehler gemacht. Al -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: opensuse-de+help@opensuse.org

Am Donnerstag 15 Oktober 2009 17:37:51 schrieb prengel:

Al Bogner schrieb:

...

Das Skript führt auch "zypper update" aus und da kann Interaktion

zypper hat diverse Schalter um die Interaktion zu automatisieren.

Klar, nur, ob man das will, ist eine andere Frage. Ich will es für meine Rechner nicht. Unter Umständen wird bei einem Update etwas gelöscht, das man nicht will. Al -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: opensuse-de+help@opensuse.org

Am Donnerstag 15 Oktober 2009 18:29:10 schrieb Sebastian Siebert:

...

Das Skript führt auch "zypper update" aus und da kann Interaktion notwendig sein. Ich habe mir schon überlegt, die Ordnergröße zu bestimmen und alle paar Stunden per Cronjob zu prüfen, ob sich was geändert hat und automatisch zu sichern, sodass nur mehr per Winscp runtergeladen werden muss. Das würde vermutlich meistens gut gehen, aber eventuell nicht immer, und dann wäre ich der Böse, falls es Probleme gibt. Muss er interaktiv entscheiden und baut Mist, dann hat er den Fehler gemacht.

Naja, ich würde generell dem Kunden nicht wirklich beim Server freie Hand geben. Wenn er sich nicht gewachsen fühlt, einen Linux-Server zu bedienen und im Fehlerfall auch einzugreifen, dann sollte er es wirklich bleiben lassen.

Es geht nicht um einen Kunden, sondern um einen Freund/Bekannten.

Und weil du dieses Skript geschrieben hast, liegt es auch in deiner Verantwortung, dass es im Fehlerfall ein Rollback durchführt. Wobei man hier auch Fehler machen kann.

Die Verantwortung ist aber nur relativ. Ich bekomme kein Geld dafür.

Fazit: Die Durchführung von Updates in der Verantwortung des DAU-Kunden zu übertragen, ist schon sehr fragwürdig.

Er (Künstler) kann sich nicht mehr leisten und es gilt einen Kompromiss zu finden, der sicher nicht so aussehen kann, dass ich mich permanent um die Wartung kümmere. Es ist schon genug Arbeit, alles aufzusetzen und einzurichten, aber da kann ich viel von meinem eigenen Server übernehmen.

Denn falls der Server nicht mehr funktioniert, weil z.B. ein Kernel-Update durchgeführt wurde und ein wichtiges Kernel-Modul nicht mehr vorhanden ist oder noch neukompiliert werden muss. Wer trägt dann die Verantwortung, wenn der Server nicht mehr startet?

Es ist ein VPS und notfalls kann man sich an den Hoster wenden. Wenn er irgendwas mehr macht, als das Skript aufzurufen, ziehe ich mich sowieso zurück. LOL, vor einiger Zeit hatte er im Webverzeichnis "zusammengeräumt" und Dateien entfernt, die er nicht kannte, worauf nichts mehr funktionierte. Ich hoffe, dass solche Aktionen prägend sind. Lösen musste er das Problem (kurzfristig) selber und welch Wunder er hat es geschafft. Al -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: opensuse-de+help@opensuse.org

Am Donnerstag 15 Oktober 2009 19:10:25 schrieb Sebastian Siebert:

Statt einem VPS sollte er lieber zu einer noch günstigeren Lösung wie Webhosting inkl. Backuplösung zugreifen, weil er eben nicht viel Geld hat. Da braucht er keine Updates durchzuführen, denn die Durchführung der Updates ist der Provider verantwortlich. Im Problemfall kann er sich an den Provider wenden, denn er haftet dafür. ;-)

LOL, aber auch nur in der Theorie. Er will gerade von einem Mini-Reseller- Account ASAP weg. Klar, "you get what you pay for", aber in diesem Fall hat ein Update des Hosters dazu geführt, dass die Cpanel-Backups seit einger Zeit kaputt sind. Das hat er nur gemerkt, weil ich zufällig die MySQL-Sicherung entpackt habe und merkte, das da nur "variable 'quickmax_allowed_packet=16M'" drinnen steht und Ihm die Schuld gibt. Details erspare ich, es ist haarsträubend. Nach dieser Argumentation bin ich der Meinung, dass man sich selber helfen können soll, wenn es brennt. Verklagen ist eine theoretische Sache. Der Hoster sitzt am längeren Ast und kann ziemlich viel behaupten. Es ist einfach schlimm, wenn er mit Root-Rechten behauptet, er kann nicht sichern, weil die Dateirechte nicht stimmen, etc oder meint, dass das Konto gehackt worden ist, etc. Ich meine so schnell weg als möglich von diesem Hoster. Ich frage mich, ob das nicht beabsichtigtest Verhalten ist, weil er 250-300MB Speicher permanent braucht und er den Kunden nicht kündigen will. Daher erfolgt die Migration mit der letzten funktionierenden Sicherung und dann per copy und paste. BTW, ich habe ihm empfohlen, dass sich http://www.panix.com/corp/v-colo/vplans.html#chart (V-C 1 für $20) überlegen soll. Allerdings, steht da noch die Antwort aus, ob mittlerweile Suse 11.1 möglich ist. Ohne VPS gibt es von mir keine Unterstützung mehr. Am Anfang klappt alles sehr gut und dann fangen die Probleme an, weil HD getauscht wurde, etc. Nach 3x Shared-Hosting mit Problemen mag ich nicht mehr. Zur Zeit teste ich auf meinem VPS, in wie weit die Migration funktioniert.

Das er dabei unwissentlich auch noch sein System zerstört hat, sagt doch schon eigentlich alles über ihn aus. Ob er daraus gelernt hat, steht auf einem anderen Planeten. :-)

Ein bisschen schon. Nur wenn er selbst Dinge macht, dann merkt er was da an Arbeit dahinter steht. Al -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: opensuse-de+help@opensuse.org

Am Freitag 16 Oktober 2009 10:31:52 schrieb prengel:

Al Bogner schrieb:

...

Daher erfolgt die Migration mit der letzten funktionierenden Sicherung und dann per copy und paste. BTW, ich habe ihm empfohlen, dass sich http://www.panix.com/corp/v-colo/vplans.html#chart (V-C 1 für $20) überlegen soll. Allerdings, steht da noch die Antwort aus, ob mittlerweile Suse 11.1 möglich ist. Ohne VPS gibt es von mir keine Unterstützung mehr. Am Anfang klappt alles sehr gut und dann fangen die Probleme an, weil HD getauscht wurde, etc. Nach 3x Shared-Hosting mit Problemen mag ich nicht mehr. Zur Zeit teste ich auf meinem VPS, in wie weit die Migration funktioniert.

Je nachdem was wenig Geld bedeuetet wäre ggf. ein Hoster eine Alternativeauf dem ein virtuelles System als VMware oder Xen laufen kann. Der User arbeitet in den VMware und auf Hostebene wird ausreichend häufig voll gesichert. Einfach, schnell und das recovery ist auch kein Problem.

Theoretisch ja. Ich traue mittlerweile keinem Hoster mehr. Jahre lang klappt alles vorbildlich und plötzlich wird es unerträglich. Ich will eine Sicherung lokal haben, dann kann beim Hoster passieren was will. In diesem Fall reicht die Sicherung der MySQL-DB und des srv-Verzeichnis. Alles andere ist nicht so tragisch. die paar Konfigurationen kann man auch notfalls neu machen. Aber natürlich sichere ich auch zB etc komplett mit meinem Skript, nur wenn das fehlen würde, wäre es auch keine Katastrophe. Die MySQL-DB ist bei weitem am wichtigsten. Al -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: opensuse-de+help@opensuse.org

Martin Schröder schrieb:

Am 15. Oktober 2009 16:38 schrieb Sebastian Siebert :

...

- Der User braucht nur eine Dummy-Datei per "touch runsript" in seinem Home-Verzeichnis zu erstellen. - Richte ein Cronjob als Root-User ein, der ständige nach dieser Dummy-Datei im Home-Verzeichnis sucht und falls die Datei existiert wird entsprechend das Sicherheitsskript ausführt. - Nach Abschluss des Sicherheitsskript kann die Datei "~/runscript" vom Skript selbst gelöscht werden.

Gnade. :-(

man sudo

Sicher. Sudo ist auch eine Alternative. Aber das würde wieder Einarbeitung für den "Dau" bedeuten und glaub mir, er wird aus den Manpages nicht wirklich schlau. :-) -- Gruß Sebastian Wichtiger Hinweis zur openSUSE Mailing Liste: - Achtung: >>> Bitte keine Anhänge! <<< Stattdessen Paste-Service verwenden: http://paste.phati.de/ http://de.pastebin.ca/ - Bitte weitere Netiquette auf folgender wiki-Seite beachten: http://de.opensuse.org/OpenSUSE_mailing_list_netiquette openSUSE Member (Freespacer) openSUSE Build Service Maintainer: - PokerTH (seit Version 0.6.3) - p7zip (seit Version 9.04) -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: opensuse-de+help@opensuse.org