Ingo: Hallo, herzlich willkommen zur Radiotux-Sendung im Januar 2024.
Ingo: Heute mit dabei ist Robert. Hallo Robert.
Robert: Hallo Ingo. Schön, wieder dabei zu sein.
Ingo: Ja, wir hatten dich lange nicht gehört, aber es war schön, auch dich wieder
Ingo: dabei zu haben, damit wir auch unsere BSD-Expertise wieder da haben. Ja.
Ingo: Genau, das hat uns gefehlt tatsächlich. Wir mussten viel über Linux reden, wenig über BSD.
Robert: Ui, ja. Wir hatten ja auch schon, weiß ich, wie ich noch da war,
Robert: schon Leute, die sich interessiert haben. Das freut mich sehr.
Robert: Und ich bin da auch in Kontakt noch mit dem Zuhörer und freue mich,
Robert: der ist da sehr aktiv aufzubauen.
Robert: Sowas macht mir natürlich Freude.
Ingo: Sehr schön. Guck, und auch mich hast du so ein bisschen bekehrt.
Ingo: Ich habe nämlich seit anderthalb Wochen tatsächlich einen BSD im Einsatz.
Robert: Hey!
Ingo: Ja, ich weiß, die Hölle ist zugefroren sozusagen.
Ingo: Ups. Ich hätte auch fast sagen können, ich habe einen Windows-Sause.
Ingo: Nein, gar nichts Schlimmes. das nicht, ähm, hab ich nämlich nicht,
Ingo: also doch so eine virtuelle Maschine, aber sonst eben nicht,
Ingo: aber ein BSD im Einsatz, nämlich eine OpenSense, ähm, OpenSense ist ja so eine,
Ingo: so eine Firewall-Geschichte,
Ingo: äh, und bin grad dabei, mich da so ein bisschen durchzuklicken und die einzurichten,
Ingo: Regeln einzurichten und hab schon gemerkt, doch, es funktioniert so ein bisschen
Ingo: anders, also wenn ich auf die Kommandozeile absteige und dann Befehle eintippe,
Ingo: an die ich mich mittlerweile unter Linux gewöhnt habe, wie so IP und so, dann tut das nicht.
Robert: Ich meine.
Ingo: Ja, ich weiß, es heißt ifconfig oder so hieß es ja früher unter Linux auch und
Ingo: ja, man erinnert sich dann noch und ja, so die meisten Sachen gehen auch,
Ingo: aber es ist auch die Benahmung der Netzwerkinterfaces und so ist halt einfach schon eine andere,
Ingo: und es ist noch eine steile Lernkurve, sagen wir so.
Robert: Das ist, sagen wir so, Ingo, da bist du nicht alleine. Jeder,
Robert: den ich kenne, der der BSD macht, egal ob OpenBSD, FreeBSD,
Robert: der sagt genau das Gleiche, dass die Lernkurve wirklich nochmal an Steigung zunimmt.
Robert: Das war bei mir auch genau das Gleiche.
Robert: Der Vorteil ist, wenn man schon Linux-Erfahrung hat, man kennt schon gewisse
Robert: Dinge und Sachen, die drauf sind.
Robert: Zum Glück sind ja viele Ports auch von Linux auf BSD portiert,
Robert: haben also da auch schon Ähnlichkeiten.
Robert: Es gibt bestimmte Befehle oder Parameter, das ärgert mich manchmal,
Robert: so Parameter, die man bei mir andersrum vom FreeBSD, die ich kenne und die ich
Robert: dann auf einem Linux eintippen möchte, dann merkt man, ach Mist,
Robert: das ist ja hier anders, das ist genau andersrum.
Robert: Aber es freut mich, dass du da eben dich mal dem BSD zugewandt hast.
Robert: Besonders OpenSense finde ich eine sehr gute Firewall-Lösung.
Robert: Es gibt die große Streitfrage, PFSense, OpenSense, da will ich mich nicht äußern dazu.
Robert: Ich kann sehr gut mit OpenSense arbeiten, weil die zuverlässig sind schon seit
Robert: Jahren, auch mit den Updates.
Robert: Das läuft, das funktioniert auf großen Devices, auf kleinen Devices,
Robert: hier zu Hause. Und auch unser Thema, was wir heute haben, da ist die Open Sense,
Robert: also damit kann man gut das Ganze auch umsetzen.
Ingo: Genau, wir wollten uns mal so ein bisschen über unsere Setups austauschen,
Ingo: wie wir das zu Hause hier so machen.
Ingo: Und wie gesagt, bei mir ganz frisch die OpenSense dabei.
Ingo: Ich hatte in einer der letzten Sendungen, ich glaube Oktober oder sowas,
Ingo: auch mit Ansgar schon mal drüber gesprochen und auch so ein bisschen schon mal
Ingo: erklärt, was ich gerade so zusammenbaue und wie so mein Home-Setup aussieht.
Ingo: Also dass ich ziemlich viel mit Proxmox mache und da hat man einige Sachen schon
Ingo: vorgestellt, aber vielleicht kannst du mal erklären, wie du das zu Hause machst.
Ingo: Also ich denke mal, du benutzt auch eine, du hast so einen DSL-Anschluss und
Ingo: dann kommt da auch so eine OpenSense danach, weil du sagst, man braucht eine Firewall-Lösung.
Ingo: Haben wir schon mal die Sachen geklärt. Was hast du, was setzt du aber sonst
Ingo: so ein? Was ist das bei dir?
Robert: Bei mir ist das im Netzwerk,
Robert: Ziemlich geradlinig, größtenteils nur FreeBSD.
Robert: Also, wie du schon gesagt hast, hinter dem Telekom-Router steht schon mal eine
Robert: OpenSense, die als Haupt-Firewall,
Robert: ja, da habe ich es ein bisschen übertrieben, Da habe ich einen Thin Client genommen mit 8 GB,
Robert: 8 Cores und 2 250 GB Festplatten im Miro, damit die Ausfallsicherheit gegeben ist.
Robert: Habe ich es ein bisschen übertrieben, das gebe ich zu. Aber ich habe mir gedacht,
Robert: ich möchte gerne später mehr machen und da möchte ich gerne auch die Ressourcen auf der Maschine haben.
Robert: Und deshalb habe ich da ein bisschen mehr Wumms hingestellt.
Robert: Aber, und das fand ich sehr interessant, ich habe sie, diesen Thin Client kann
Robert: man ja in den BIOS einstellen, wie soll er performen und den habe ich auf Low Energy gestellt.
Robert: Das ist, Entschuldigung, das ist so ein Fujitsu und der läuft im Moment mit 35 Watt ungefähr.
Ingo: Das ist ganz gut. Das sind Festplatten? Nee, das sind SSDs.
Robert: SSD sind es, zwei Samsung.
Ingo: Äh, okay. Gut.
Robert: Ich habe eine Intel 350 T4 mir gekauft, eine gebrauchte.
Robert: Da gibt es ja wunderbare Läden, wo man die gebraucht bekommen kann.
Robert: Funktionell, also refurbished sagt man ja.
Ingo: Was ist das, eine Netzwerkkarte?
Robert: Das ist eine Netzwerkkarte, eine 4-Port-Netzwerkkarte, PCI, weil dieser Thin
Robert: Client hat nur einen PCI-Express-Port und Low-Profile, also da muss man dann
Robert: schon sehr speziell hingehen.
Robert: Die Erfahrung sagt, das wirst du bei OpenSense auch hören und bei FreeBSD auch.
Robert: Auch Intel, FreeBSD hat sehr gute Erfahrungen mit Intel-Netzwerkkarten.
Robert: Da können die ihren Netzwerk-Stack sehr gut ausreizen und die laufen wirklich
Robert: zuverlässig. Da kann man dann sowas machen wie Channel-Bonding,
Robert: also zwei Netzwerk-Ports zu einem zusammenfügen, zu einem Lag-Interface heißt es.
Robert: Das habe ich auch in meiner DMZ, die direkt an der Firewall hängt.
Robert: Da ist ein HP-Gen8, so diese kleinen Würfelserver. die Microserver.
Robert: Und auf dieser DMZ ist natürlich ein FreeBSD und zwar eine Junas drauf,
Robert: die zum einen die ganzen Daten bei uns im Netzwerk eben hostet über NFS und SMB,
Robert: weil die Kinder eben ein Windows haben und eben über zwei SSD-Platten drüber,
Robert: Auch wieder als Miro habe ich über Jails meine ganzen Services in virtuellen
Robert: Maschinen sozusagen gekapselt und stelle die damit zur Verfügung.
Robert: Zum Beispiel Web-Server, Datenbank-Server, Mail-Server.
Robert: Ich hatte jetzt auch einen Snowflake-Proxy-Server mal am Laufen.
Robert: Snowflake ist ja diese Tor-Geschichte, mit der man unterstützen kann,
Robert: Leute ein freies Internet zu bekommen. Das habe ich damit mal laufen lassen.
Robert: Und das ist eigentlich ein sehr schönes Konstrukt, weil dieser Microserver hier
Robert: hat zwei Netzwerkkarten-Ports und die habe ich direkt sozusagen in die Firewall
Robert: hineingestöpselt und zu einem gemacht.
Robert: Dann habe ich zwei Gigabit-Bandbreite gehabt hier zwischen Server und meiner Haupt-Firewall.
Ingo: Ah, okay, du hast da also nicht nochmal einen Switch oder sowas dazwischen? Ne.
Robert: Die habe ich direkt verlinkt, weil wenn man dieses Bonding macht im FreeBSD
Robert: und du machst das über einen Switch, dann muss der dieses Lagging oder dieses
Robert: Lag-Format, dieses Bonding, was man da macht, eben unterstützen.
Robert: Da gibt es dann LACP und 802 irgendwas. Genau, also sowas Kompliziertes.
Robert: Und da habe ich mir gedacht, wenn ich da den Server direkt anschließe und der
Robert: ist ja auch mit FreeBSD, da konnte ich genau dasselbe natürlich dort auch einrichten
Robert: und das funktioniert wunderbar.
Robert: Also.
Ingo: Ich hatte jetzt vor, dass, also noch ist das Setup nicht ganz fertig,
Ingo: aber ich hatte tatsächlich vor, das über einen Switch zu machen und eben zwei
Ingo: jeweils ein Gigabit Interfaces dann auf dem Switch mit per Link Aggregation zusammen zu tun.
Ingo: Aber das finde ich jetzt auch gar nicht so eine schlechte Lösung.
Ingo: Überleg ich nochmal, ob das vielleicht besser wäre.
Ingo: Quasi zwei Server, einmal den mit dem TrueNAS und einmal nochmal ein extra FreeBSD
Ingo: mit allen Diensten drauf? Nee.
Robert: Das ist alles auf der TrueNAS drauf.
Ingo: Achso, das ist alles ein Server, wo alles drauf läuft.
Robert: Der hat vier Festplatten-Schächte, da sind zweimal 8 Terabyte im Mirror für alles Datenmäßige.
Robert: Da läuft eben auch der NFS-Server und der Samba-Server, also die TrueNAS macht das alles.
Robert: Und daneben die anderen zwei Plattenschächte, da sind zwei SSDs drin,
Robert: die auch im Mirror laufen,
Robert: also es sind sozusagen zwei Mirror auf dem Server konfiguriert,
Robert: aber die SSD-Platten, das sind eben dann die, ist die Virtualisierung von FreeBSD,
Robert: die Jails, wie sie heißen, und da sind dann sozusagen gekapselt die virtuellen Server dann am Laufen.
Ingo: Okay, die total, also Mail-Server und so, was...
Robert: Genau, Mail-Server, Web-Server, Datenbank-Server, alles ist gekapselt und jedes
Robert: für sich ein eigener, sozusagen ein eigener Server, damit es möglichst granular
Robert: ist und möglichst, jeder Server möglichst wenig Software hat.
Ingo: Okay, aber du hast dann von diesem jetzt, von diesen TrueNAS nicht zwei,
Ingo: um nochmal irgendwie irgendeine Ausfallsicherheit zu haben.
Ingo: Nein. Also das war auf Festplatten-Ebene eine Ausfallsicherheit.
Robert: Richtig.
Ingo: Also wenn entweder die Hardware, also die Festplatte oder die SSD ausfällt,
Ingo: dann schon, aber du hast jetzt nichts, um nochmal einen Server hinzustellen. Nein.
Robert: Ich muss ganz ehrlich sagen, diese Microserver von HP, die sind recht schön.
Robert: Der 8er ist mittlerweile schon in die Jahre gekommen, das gebe ich zu.
Robert: Er läuft aber wunderbar, der läuft bei mir jetzt schon fast sieben Jahre ohne
Robert: Probleme. Systeme, ist limitiert auf 16 GB Arbeitsspeicher. Das ist das einzige Manko, was ich da habe.
Robert: Ich könnte noch ein bisschen mehr verkraften, aber die Gen 10,
Robert: das ist ja die Nachfolge, die haben dann weniger Limitierung,
Robert: stärkere Prozessoren und auch 32 GB Arbeitsspeicher, die sie verwalten können.
Robert: Kosten halt im Moment und da bin ich noch derjenige, wie du wahrscheinlich auch,
Robert: solange das Ding läuft, sehe ich nicht den Sinn drin, irgendwie zu aktualisieren.
Ingo: Ja, also ich habe tatsächlich, also meine Firewall ist gerade ein alter Desktop-Rechner,
Ingo: der irgendwo abgefallen ist, den jemand nicht mehr brauchte.
Ingo: Aber genau, es ist halt so ein kleiner, wo auch nur eine große PCI-Express-Schnittstelle drin ist.
Ingo: Also die Netzwerkkarte, die du erwähnt hast, wird wahrscheinlich auch eher 8
Ingo: oder 16 oder sowas haben und nicht in so einen PCI-Express,
Ingo: Einmalport reinpassen Richtig Wenn sie schon 4 Ports hat und wahrscheinlich
Ingo: auch 10 Gigabit oder sowas kann auf den Ports Ne.
Robert: Das sind alles 4x1 Gigabit.
Ingo: Oh, sind 4x1 Gigabit, okay Aber die gibt es ja auch bestimmt mit 4x10 Gigabit,
Ingo: wenn man das braucht Genau, da habe ich jetzt meine Firewall gerade drauf.
Ingo: Ich habe die und noch ein, zwei, drei andere virtuellen Maschinen.
Ingo: Und da habe ich tatsächlich zusätzlich jetzt nochmal ein USB-Netzwerk-Schnittstelle
Ingo: und die habe ich, wie gesagt, bei mir läuft Proxmox drauf.
Ingo: Auf diesem Proxmox, also virtualisiert, habe ich die OpenSense und habe dann
Ingo: der OpenSense eben explizit diese Netzwerkschnittstellen gegeben,
Ingo: die ich durchgereicht haben will.
Ingo: Ja, so läuft das bei mir zur Zeit und dann habe ich aber auch nochmal einen
Ingo: Server, auf dem dann auch per Proxmox nochmal mehrere virtuelle Maschinen laufen. Klar.
Robert: Das ist ein gutes Setup, würde ich so sagen.
Robert: Proxmox ist ja auch sehr zuverlässig. Jetzt gerade wollen ja alle auf Proxmox
Robert: gehen nach dem VM, wer, Entschuldigung, verkackt hat.
Robert: Ja.
Ingo: Die machen sich gerade keine Freunde gerade. Wenn du nicht gerade in die Cloud willst, dann ja.
Ingo: Broadcom hat das gekauft, ne?
Robert: Richtig, genau. Die haben es alles umgewürfelt und jetzt, ich lese so viel jetzt
Robert: von den Leuten, die jetzt sagen, oh, gibt es eine gute Anleitung für Proxmox,
Robert: ich möchte gerne lernen. Genau.
Ingo: Genau, da ich halt schon jahrzehntelang gefühlt Debian mache,
Ingo: war für mich Proxmox irgendwie das Ding.
Ingo: Aber ja, wie gesagt, hast du mich jetzt auch, nachdem ich überlegt habe,
Ingo: wie machst du deine Firewall-Lösung, mich an OpenSense ran.
Robert: Also, ich muss halt sagen, das ist jetzt meine Erfahrung und auch beruflich,
Robert: weil wir da auch viel mit dem Paketfilter zu tun haben, haben, aber eher mit OpenBSD.
Robert: Dieser Paketfilter, der gibt dir Möglichkeiten und Szenarien,
Robert: Das habe ich noch nicht in einer anderen Konfiguration so gesehen,
Robert: wie es da möglich ist und wie schnell man es umsetzen kann.
Robert: Das ist eine große Stärke dieser Paketfilter, neben dem Netzwerk-Stack eigentlich.
Ingo: Aber könnte ich auch so Firewalls im 100 Gigabit-Bereich aufbauen mit OpenSense?
Ingo: Weißt du da, ob das geht? Ja.
Robert: Also sagen wir so, aus meiner beruflichen Erfahrung kann ich dir sagen,
Robert: es gibt Firewalls, die locker 40 Gigabit bedienen können. Jetzt mal so von dem Bereich.
Robert: Da sind halt die Limitierungen, die du hast, andere als der Paketfilter.
Robert: Sondern die Limitierung ist hier, dass du natürlich die Ressourcen,
Robert: die du auf der Maschine hast so dimensioniert hast, dass der auch diese Bandbreite, die du hast,
Robert: eventuell durch natürlich die CPU und durch den PCI Express Bus jagen kann,
Robert: weil natürlich da verschiedene Sachen natürlich von der Netzwerkkarte zur CPU.
Robert: Müssen, in den RAM müssen und da verarbeitet werden müssen und weitergeschickt
Robert: werden ist dann eher ressourcentechnisch eine Sache, wo es eng werden kann.
Ingo: Jaja, da muss man dann schon eine potente CPU haben und FPGA zum Beispiel.
Robert: Da ein gutes Thema.
Ingo: Ja da müssen die Netzwerkkarten dann auch entsprechend abgestimmt sein dass
Ingo: da irgendeine Art von Offloading und sowas alles Wenn man sieht.
Robert: Ich weiß ja nicht, Netflix sagt ja allen was und wenn man da mal gelesen hat,
Robert: Netflix betreibt ihre gesamte Videostreaming über einen FreeBSD Server mit 40
Robert: Gigabit die Sekunde Okay.
Robert: Für eine einzige Maschine der Hammer.
Ingo: Das kann ich mir kaum vorstellen, dass das nur eine Maschine macht.
Robert: Sie schreiben es und da gibt es einen, der hat das vorgestellt und der schreibt
Robert: auch ganz genau, wie sieht es durch den RAM in den Prozessor und dann dahin
Robert: und TLS-Verschlüsselung und Pipapu, da gibt es eine,
Robert: Präsentation, die kann ich dann suchen und vielleicht dann zu der Sendung hinzufügen,
Robert: für wen das interessant ist und da schreiben die, dass es eine einzige Maschine ist.
Ingo: Okay, interessant.
Ingo: Gut, jetzt haben wir gesagt, du hast einen TrueNAS, also auch wieder auf BSD-Basis ein NAS-System.
Ingo: Genau, ich habe da bisher tatsächlich für unser Home-Setup noch so ein,
Ingo: ich glaube es ist ein QNAP, also so ein Nas von der Stange sozusagen,
Ingo: wo unsere ganzen Daten, also familienmäßigen Daten irgendwie draufliegen.
Ingo: Genau, hatte ich mir halt damals gekauft, hat übrigens auch schon eine 10,
Ingo: hat einen SFP Plus Port und hat eine 10 Gigabit Anbindung auch.
Ingo: Aber es ist sozusagen das einzige Gerät, was es zum Switch immerhin bringt.
Ingo: Also wenn jetzt mehrere Leute drauf zugreifen würden, würde es ein bisschen auslasten vielleicht.
Ingo: Also das ist bei mir das Setup mit einem QNAP-NAS von der Stange.
Ingo: Du hast einen True NAS und was ganz interessant ist, dass du gesagt hast,
Ingo: naja, du hast dir aber mal Gedanken gemacht und hast jetzt tatsächlich irgendwie mehrere,
Ingo: Sachen machen, oder du hast dir Gedanken gemacht über die Authentifizierung,
Ingo: ich habe da einfach ein paar User bei mir angelegt und dann,
Ingo: User, Passwort können die halt auf mein Nas zugreifen,
Ingo: weil es ist vielleicht auch die einzige Stelle, wo ich es brauche,
Ingo: aber ist jetzt nicht, eventuell nicht der Weisheit letzter Schluss.
Ingo: Du bist da ein bisschen weitergegangen und benutzt da was, was ich LDAP nennen.
Ingo: Vielleicht können wir mal drüber nachdenken.
Ingo: Oder kannst du mir mal erklären, was LDAP ist und was du da machst?
Robert: Also LDAP steht für Light Directory Access Protocol. Ist ein sehr altes Protokoll.
Robert: Directory Directories und es steht für Light Directory.
Robert: Das heißt, es gab schon mal ein FAT oder einfach Directory Access.
Robert: Und das gibt es schon sehr lange und da wurden,
Robert: Eigentlich, manche kennen das vielleicht noch, Yellow Pages,
Robert: NES-Geschichten, da wurden Informationen abgelegt, die bestimmte Informationen,
Robert: also das ist ein Verzeichnis, da konnte man bestimmte Informationen ablegen,
Robert: wie zum Beispiel Benutzer oder Gruppen oder Hosts, Rechnerarten.
Robert: Wie sind Rechner eingerichtet? Was hat der für eine IP-Adresse?
Robert: Sozusagen eine Informationssammlung auf einem sehr kleinen, leichten Server,
Robert: der im Gegensatz zu Datenbanken in der Performance so optimiert wurde,
Robert: dass er im Schreiben der Informationen in das Verzeichnis langsamer ist als
Robert: im Lesen, im Auslesen der Informationen.
Robert: Und das ist die große Stärke, die wir hier haben,
Robert: die auch in aktuellen Technologien wie zum Beispiel dem Active Directory oder
Robert: dem Azure Active Directory auch noch ihre Verwendung finden.
Robert: Also dieses Active Directory nutzt LDAP, um zum Beispiel Benutzerlogins,
Robert: Security Policies, Rechte, Passwörter zu speichern und auch zu authentifizieren
Robert: und hier in einem hohen Maße viele Anfragen schnell verarbeiten zu können.
Ingo: Okay, also es ist ein großes Telefonbuch, in dem Username, Passwörter und auch
Ingo: Rechner und so drinstehen.
Robert: Richtig, das Schöne ist, das ist über sogenannte Schemas, wird genau definiert,
Robert: was für Elemente hast du zum Beispiel bei Personen,
Robert: was gibt es da für Elemente, Vorname, Nachname, Wohnadresse,
Robert: Ort, alles mögliche, was Adresse ist, da gibt es irre Dinge wie,
Robert: wie ist der Name der Sekretärin, was ist das für ein Employee-Type oder was,
Robert: da gibt es verrückte Sachen, die irgendwie hilfreich sein können,
Robert: Aber es gibt auch Schemata,
Robert: die zum Beispiel sich nennen Poisex-Account, in dem der Username abgelegt werden
Robert: kann, sein Passwort verschlüsselt, damals schon verschlüsselt in einer Art und
Robert: Weise, dass man die auf dem Server nicht einfach auslesen kann,
Robert: seine User-ID, seine Gruppen-ID, der Pfad zu seinem Heimverzeichnis,
Robert: der SSH kann man in ein Schema ablegen.
Robert: Das heißt, das wird zentral gesammelt und der Witz ist der, wenn du natürlich
Robert: einen Client hast, der über LDAP Anfragen machen kann, kann man diese Information
Robert: runterziehen auf seinen Rechner.
Ingo: Was heißt runterziehen auf meinen Rechner? Also ich frage diesen Server an.
Robert: Und da komme ich jetzt zu dem Spiel, warum ich mich damit beschäftigt habe.
Robert: Ich habe bei mir, ja, wir hatten auch, ich habe einen Rechner gehabt,
Robert: meine Frau hat einen Laptop gehabt, meine Kinder haben einen Rechner gehabt, fertig.
Robert: Jetzt ist es nur so gewesen, dass ich habe zum Beispiel bei mir im Keller eine
Robert: Werkstatt eingerichtet, habe jetzt angefangen mit 3D-Druck und da habe ich mir gedacht,
Robert: okay, ich habe hier so eine Kiste hier stehen, die kann ich ganz gut nutzen,
Robert: binde ich die damit ein, das ist mein Werkstattrechner.
Robert: Bei meiner Frau, die mit Linux arbeitet, da hat man natürlich Benutzer eingerichtet
Robert: und jetzt kommt man zu dem Problem, User-ID und Group-ID, wie richte ich die ein?
Robert: Wenn ich per NFS dann Freigaben anbinden möchte, habe ich die ja auf der NFS
Robert: schon mit bestimmten User-IDs und Group-IDs dort eingerichtet.
Ingo: Wenn.
Robert: Ich die jetzt maunte beim Laptop, dann muss das ja dort, müssen die User und
Robert: die Gruppen definiert sein.
Robert: Und zwar die richtigen, damit meine Frau, wenn die am Laptop sitzt,
Robert: ihre Freigaben erreichen kann, weil sie zum Beispiel für ihre Arbeit hat sie eine eigene Freigabe.
Robert: Ich habe für meine kleine Agentur, die ich hier zusätzlich habe,
Robert: auch eine eigene Freigabe. die sollen so getrennt sein, dass natürlich nur ich
Robert: zugreifen kann, egal an welchen Rechner ich mich setze.
Robert: Und meine Frau kann an ihre Sachen gehen, an irgendeinen Rechner gehen,
Robert: kann sich dort mit einem einzigen Passwort anmelden können und dann auch nur
Robert: auf ihre Freigaben zugreifen können.
Robert: Und wenn man das mal überlegt, man hat jetzt zwei, drei Rechner, ist das nicht schlimm.
Robert: Wären das aber mehr Rechner, dann wird das anstrengend, wenn man den Rechner
Robert: mal neu installiert hat.
Robert: Oh Gott, wie war jetzt, wer hat, welcher Benutzer hat jetzt welche User-ID und
Robert: Group-ID, damit ich das wirklich einheitlich auf die Maschine bekomme. Und da kann LDAP helfen.
Robert: Denn dort, ich brauche mich nur noch verbinden zum LDAP.
Robert: Und der holt dann, dieser LDAP-Client, den man verwenden kann,
Robert: der holt sich die Informationen runter, User-ID, Group-ID, wie heißt der,
Robert: was hat der für einen Login-Namen und kann dann auch noch, wenn sich diejenigen
Robert: anmelden, Passwort gegen den LDAP-Server prüfen, ist das Passwort,
Robert: was er eingegeben hat, richtig oder nicht?
Robert: So eine Art Single Sign-On.
Ingo: Genau, ja, okay. Das heißt, benutzt du das dann auch so als Domain sozusagen,
Ingo: also dass jemand, der sich an einen Rechner setzt, da anmelden kann und sich,
Ingo: was weiß ich, an einem anderen Rechner oder an einem Laptop anmeldet,
Ingo: sich da auch anmelden kann an dem Rechner? Das.
Robert: Ist quasi domainenmäßig, weil ich kann gleichzeitig an diesem Rechner,
Robert: meinem Rechner hier im Büro sein und kann unten am Werkstattrechner mich auch
Robert: mit demselben Namen und Passwort dort einloggen.
Robert: Und das Schöne ist, unter den Shares wird genau, weil der auch die Gruppen holt
Robert: und die Zugehörigkeit der Gruppen holt, nicht nur die Namen,
Robert: sondern auch die Zugehörigkeit,
Robert: sofort so einrichtet, dass auch wirklich jeder Benutzer nur seine Laufwerke
Robert: bekommt, die man ihm halt zugewiesen hat.
Robert: Also die Rechte auf die Laufwerke, so muss man es sagen.
Ingo: Genau, die Laufwerke müsstest du dann schon nochmal manuell verbinden.
Robert: Richtig.
Ingo: Oder hast du da irgendeinen Automatismus gebaut?
Robert: Also ich habe jetzt keinen Automatismus gebaut. Es gibt auch die Möglichkeit,
Robert: LDAP zusammen mit PAM zu koppeln, diesem Passwort-Modul, diesem modularen Authentifizierungsdienst,
Robert: den es ja auf Linux und Unix gibt,
Robert: kann man das auch so machen, dass nicht nur die Zugriffe und Authentifizierung
Robert: gesteuert werden können,
Robert: dass der sich nur über SSH anmelden kann, der kann sich allgemein anmelden,
Robert: sondern dass zum Beispiel auch wenn kein Home-Verzeichnis zur Verfügung steht
Robert: auf dem Rechner, weil der Benutzer vielleicht neu ist, sogar das Home-Verzeichnis
Robert: automatisch erstellt wird.
Ingo: Okay.
Robert: Das ist natürlich schick. Oder du kannst auch sagen, gibt es auch natürlich Möglichkeiten,
Robert: wenn der Benutzer sich anmeldet, dass über eine Art Automount,
Robert: sage ich jetzt mal, nur die Laufwerke eingehängt werden, die er braucht.
Robert: Das könnte man auch machen.
Robert: Das war jetzt dann für mich Overdrive, weil ich dann gesagt habe,
Robert: okay, ich will einfach die Laufwerke alle da haben, weil wer sie dann nutzt,
Robert: okay, der kann sie dann benutzen. Fertig.
Ingo: Und das Schöne ist natürlich auch dadurch, dass du ein Single Sign-On hast,
Ingo: du hast auch ein Single Point of Administration sozusagen, musst nur an einer Stelle,
Ingo: deine User, deine Benutzer deiner Gruppen verwalten und nicht an jedem Laptop,
Ingo: an jedem Rechner einzeln.
Robert: Also zum Beispiel dann die Tochter sagt, der Laptop ist hier geklaut worden
Robert: da muss man nicht an jeden hingehen und da das Passwort ändern,
Robert: sondern das macht man ein Ein einziges Mal.
Robert: Und dann gilt das für alle. Das ist sehr angenehm. Und das geht auch entweder
Robert: über, da gibt es eine schöne GUI.
Robert: Zwei GUIs, die nicht schlecht sind. Das ist einmal der LAM, der LDAP Account Manager.
Robert: Das ist eine webbasierte Lösung.
Robert: Ist teils frei. Wenn man schönere Erweiterungen haben will, muss man bezahlen.
Robert: Und es gibt noch eine Open Source Lösung, die nennt sich PHP LDAP Admin.
Robert: Die ist robust. ist zwar nicht schick, fancy, CSS, hier fliegt alles hinein,
Robert: sondern die ist robust, macht ihre Sache und da kann man es dann wirklich einfach editieren.
Robert: Und die ganz schöne Sache ist die, dass man sogar mit ParseWD auf dem Terminal,
Robert: mit einem Parameter zusammen dann sagen kann, ich ändere es an einem Rechner
Robert: über ParseWD, mein Passwort und das wird auf dem LDAP geschickt und dort abgelegt.
Ingo: Und welche der beiden Sachen benutzt du jetzt? Also PHP-LDAP-Admin oder wie heißt das Ding?
Robert: PHP-LDAP-Admin und der LDAP-Account-Manager ist es.
Ingo: Okay, und welchen benutzt du?
Robert: Ich verwende ehrlich gesagt den PHP-LDAP-Admin. Ich fand diesen LDAP-Account-Manager
Robert: recht gut, weil der auch schön strukturiert war und hat das schön alles aufbereitet
Robert: und hat auch sehr viel im Hintergrund gemacht, was Sinn gemacht hat.
Robert: Aber die Funktion, die ich dann haben wollte, die ich für sinnvoll erachtet
Robert: habe, Und das war nämlich ein sogenanntes Overlay, das sich Members nennt oder Member of.
Robert: Das gab es nur in der Bezahlversion. Und da habe ich gesagt,
Robert: okay, so oft wie ich den LDAP-Server benutze, dann reicht mir auch der PHP-LDAP-Admin
Robert: mit seiner soliden Struktur.
Robert: Ich kann alles machen. Ich kann das LDAP komplett ansprechen.
Robert: Ich kann neue Benutzer anlegen.
Robert: Ich kann Objekte von den Benutzern erstellen, wegnehmen, tun.
Robert: Ich kann das machen, was ich brauche.
Robert: Und das war für mich dann der Hauptgrund dafür, das zu verwenden.
Ingo: Mhm. Wenn man keine Web-Applikation hat und wenn man schon ein bisschen die
Ingo: Datenstruktur trotzdem sehen will und Änderungen machen will mit GUI,
Ingo: ich habe dieses Apache Directory Studio ab und zu verwendet, da,
Ingo: genau, da kannst du dich auch gegen den LDAP-Server verbinden und dann siehst
Ingo: du eben, du hattest ja diese Struktur vorhin erwähnt, die der LDAP da so aufbaut
Ingo: und dann kannst du dir halt ein Objekt, zum Beispiel, was weiß ich,
Ingo: den Robert sich schnappen, und gucken, was der alles an Daten hat.
Ingo: Und je nachdem, wenn du die entsprechenden Rechte hast, also wenn du dich mit
Ingo: dem richtigen User sozusagen verbunden hast, kannst du natürlich da auch die
Ingo: Änderungen im LDAP gleich machen. Ist bestimmt nicht so schön.
Robert: Der Apache, gut, dass du sagst, es gibt ja verschiedene LDAP-Server.
Robert: Der Apache hat einen eigenen Directory-Server, diesen Apache-Server, den du benannt hast.
Robert: Ich habe mich entschieden, bin ich wieder sehr basic, für OpenLDAP,
Robert: weil das wirklich ein einfacher kleiner LDAP ist, aber der,
Robert: der wirklich viel leisten kann. Und deswegen habe ich mir gesagt,
Robert: okay, nehmen wir die Basis. Das ist eine einfache Software.
Robert: Das gibt es als Paket für FreeBSD. Das gibt es als Paket für Linux.
Robert: Da bin ich dann kompatibel, weil der hat einen LDAP-Server, OpenLDAP-Server
Robert: und einen OpenLDAP-Client.
Robert: Und dann kann ich wirklich übergreifend, plattformübergreifend dieselbe Software
Robert: verwenden. Nur zu empfehlen.
Robert: Und da bist du dann am Anfang sowieso nur auf der Konsole.
Robert: Weil es auch eine ganz schöne Lernkurve auch für mich war, den zum Laufen zu
Robert: bekommen, das ist wirklich eine gute Herausforderung, wenn man mal wieder eine
Robert: Herausforderung sucht.
Ingo: Also ich habe tatsächlich bei Apache Directory habe ich wirklich nur dieses
Ingo: Ding verwendet, ich glaube es ist eine Java-Applikation,
Ingo: also nicht den LDAP-Server per se, sondern dieses Directory Studio, Studio.
Robert: Genau.
Ingo: Eclipse-Base, also genau, ist ein LDAP Browser sozusagen,
Ingo: also ein LDAP-Client, mit dem du halt wirklich einfach reingehen kannst,
Ingo: ist auch Open Source und ja, gibt's dadurch, dass es in Java ist,
Ingo: halt auch für alle Plattformen und dann kannst du dich einfach mit dem LDAP verbinden, egal,
Ingo: was für ein LDAP-Server es ist und dann da so ein paar Änderungen machen,
Ingo: das ist, finde ich immer ganz geschickt, wenn du,
Ingo: naja, wenn du dir eh mal einen Überblick verschaffen willst über den DML-Dub,
Ingo: insbesondere wenn es ganz große sind.
Ingo: Ja, und du dann nur mal so eine Kleinigkeit verändern willst oder auch irgendwie
Ingo: eine Suche basteln möchtest oder musst, weil du, keine Ahnung, nur ein Subset an,
Ingo: Usern oder Gruppen brauchst und dann ist das schon ganz geschickt, das Ding.
Robert: Genau. Das gebe ich dir vollkommen recht. Ich würde auch sagen,
Robert: dass man diese diese webbasierten Lösungen, für mich ist die halt praktisch,
Robert: weil ich könnte sie auch, wenn ich mit dem VPN übers Handy verbunden bin,
Robert: über dem Handy dann reingehen und kann,
Robert: meine kleine Übersicht, die ich da habe,
Robert: bearbeiten, verändern, anpassen.
Robert: Ich würde mal sagen, man könnte es für interessante Heimsets,
Robert: auf alle Fälle, selbstständige, die vielleicht ihre eigene Firma verwalten wollen,
Robert: wo sie zwei, drei Mitarbeiter vielleicht auch noch haben.
Robert: Für kleinere, mittelständische Unternehmen daneben könnte ich es mir auch noch vorstellen.
Robert: Da kommt es natürlich dann auch darauf an, auf welcher Hardware läuft das und
Robert: wie ist das eingerichtet. Auf großen Setups...
Robert: Kann es funktionieren, aber da weiß ich, habe ich keine Erfahrung,
Robert: wie performant es dann ist, aber er könnte das schon bedienen,
Robert: weil der wirklich nah am OpenLDAP-Server eben hängt und da eben schon ganz gute Sachen leisten kann.
Ingo: Eine andere Möglichkeit ist auch einen Samba-Server zu nehmen, also.
Ingo: SMB sprechen zu können und wenn man Samba 4 nimmt und eine Domainer aufmacht,
Ingo: bringen die ihren eigenen LDAP-Server mit, Also du hast ja vorhin schon gesagt,
Ingo: dieses Active Directory ist eigentlich auch nur ein LDAP und ein Kerberos und
Ingo: hast du nicht gesehen, zusammengemixt von Microsoft und es gibt halt auch die
Ingo: Open Source Lösung Samba,
Ingo: die man sich installieren kann und wenn man das in Domain Modus betreibt,
Ingo: die hatten früher Open LDAP mit drin, haben dann glaube ich aber einen eigenen
Ingo: LDAP Server geschrieben und benutzen den jetzt intern.
Ingo: Also, wenn man sagt, man braucht es insbesondere,
Ingo: um mit Windows-Maschinen zu kommunizieren oder um SMB-Dienste,
Ingo: mittlerweile ist ja auch bei macOS, ist ja auch SMB sozusagen das Standardding,
Ingo: um Dateien auszutauschen,
Ingo: dann könnte man natürlich auch einen Samba-Server sich aufsetzen und nicht noch
Ingo: einen extra LDAP-Server betreiben.
Ingo: Also das vielleicht für Leute, die schon jetzt denken, ja, so ein LDAP-Server
Ingo: wäre irgendwie nicht schlecht,
Ingo: dass ich so eine, ja, eine Stelle habe, wo ich die Leute administriere und Samba-Server
Ingo: brauche ich vielleicht eh, weil ich Windows und macOS zu Hause habe und irgendwie
Ingo: die Leute darauf zugreifen sollen.
Ingo: Wollen, dann kann ich es mir auch in der Stelle ein bisschen einfacher machen
Ingo: und einfach ein Summer 4 mit Domäne aufsetzen und hab dann schon einen LDAP-Server, den ich auch.
Ingo: Nochmal abfragen kann, wenn ich es dann wollte. Richtig. Nicht,
Ingo: dass ich das jetzt schon mal gemacht habe, aber geben sollte das.
Robert: Ich gebe aus der Erfahrung mit LDAP gebe ich dir recht.
Robert: Ich habe versucht, ich wollte die Windows-Maschinen, die zwei,
Robert: drei, die da sind, auch gerne über LDAP anmelden lassen. Nur über OpenLDAP.
Robert: Da gibt es, ich habe nur eine Lösung gefunden, wo es einem gesagt wurde,
Robert: es würde gehen. Die nennt sich PGINA.
Robert: Und von der gibt es zwei Forks, da bin ich noch nicht durchgestiegen,
Robert: welche die bessere ist, weil,
Robert: ich habe es nicht zum Laufen gekriegt, kurze, lange Rede, kurzer Sinn,
Robert: dass ich Windows-Maschinen nur am LDAP anmelden kann, ohne das Samba-Gedöns,
Robert: hat nicht funktioniert.
Robert: Und deswegen würde ich auch sagen, wenn jemand mehr LDAP, mehr Windows-Maschinen
Robert: in seinem Netzwerk hat und das gerne schon nutzen möchte,
Robert: ist Samba 4 einfach einfach die bessere Wahl und man kann ja auch ein Linux
Robert: an einem Active Directory anmelden, dann würde ich es eher von der Seite eben machen.
Ingo: Und wenn ich jetzt eher nur Linux und BSD-Maschinen habe, wie hast du das da umgesetzt?
Robert: Also in dem Fall würde ich wirklich, also ich persönlich bin auf OpenLDAP gegangen,
Robert: weil das ja der Ur-Server ist und der sehr schlank ist und man da eben,
Robert: das Setup gut hinbekommt und es gibt Es gibt einige Doku darüber,
Robert: damit man da weiterkommt.
Robert: Und auch die Anbindung von der Client-Software.
Robert: Da gibt es ja auch verschiedene Lösungen.
Robert: Ich hatte PGina schon für Windows genannt. Da gibt es noch zwei andere,
Robert: die wirklich nicht schlecht sind.
Robert: Das ist NSSPAM-LDAP-Diemen. Der wird zum Beispiel unter Trunas verwendet,
Robert: wenn man OpenLDAP als Verzeichnisserver verwenden möchte.
Robert: Und dann gibt es noch den SSSD.
Robert: Der wird bei Red Hat sehr gefördert.
Robert: Ich hatte zuerst den NSS-PAM-LDAP-D und bin aber dann auf den anderen umgeswitcht,
Robert: weil der in manchen Dingen etwas besser läuft als eben dieser NSS-PAM-LDAP-D.
Robert: Klingt so komisch.
Robert: Also das SSSD hat mich da weitergebracht und wo ich zum Beispiel Wert drauf
Robert: gelegt habe, war das Caching.
Robert: Und das ist ja ein Thema, da werden bestimmt einige auch sagen,
Robert: ja, der Robert redet hier von LDAP. und Ding und was ist, wenn mir der LDAP,
Robert: wegfliegt oder ich komme nicht mehr weiter.
Ingo: Kann ich mich dann noch anmelden an meinem System?
Robert: Richtig. Wie kann ich das machen? Und natürlich hat man da den Cache,
Robert: das heißt die ganzen Objekte, die sich der Client gezogen hat,
Robert: liegen in einem Cache lokal auf dem Rechner.
Robert: Man kann auch einrichten, wie lange die gültig sind, wann er die nächste Abfrage
Robert: machen soll, welche Benutzer soll er abrufen, also welche Members was soll er
Robert: denn holen und dann dementsprechend die IDs.
Robert: Das kann man wunderbar konfigurieren und da gibt es auch ein ausführliches Log
Robert: und das ist eigentlich mittlerweile, muss ich sagen, ein guter Dienst,
Robert: der eben auf FreeBSD vorhanden ist und läuft und auch bei dem Linux.
Robert: Ich bin ja, jetzt werde ich wahrscheinlich ausgebucht, ich habe ja ein Linux
Robert: Mint, weil es einfach einfach ist und funktioniert,
Robert: und selbst da gibt es den SSSD und ich kann mit einer kleinen Software auch
Robert: eben das Setup aufbauen,
Robert: damit der Laptop, und das war ja die Überlegung, was ist denn,
Robert: wenn der Laptop gar nicht bei mir zu Hause im Netzwerk ist und man will ihn da benutzen?
Robert: Der kommt nicht zum LDAP-Server hin, also muss da auch eine Möglichkeit geben,
Robert: dass man da auch den Rechner ganz einfach benutzen kann und den Laptop.
Ingo: Könnte natürlich erst eine VPN-Verbindung aufbauen, aber das ist natürlich schwierig,
Ingo: wenn ich mich vor dem Einloggen irgendwie eine VPN-Verbindung aufbaue,
Ingo: weiß ich gar nicht. Ja, ja.
Robert: Also, du verstehst die Problematik. Und da war der SSSD natürlich,
Robert: hat mich da besser zum Ziel gebracht und das fand ich richtig gut.
Robert: Auch für diejenigen, die noch keine Ahnung haben, also wir hatten ja schon gesagt,
Robert: was ist denn, wenn der Hauptserver wegbricht?
Robert: Im LDAP gibt es schon schon integriert eine Replication.
Robert: Das heißt, ich kann einen zweiten LDAP-Server ins Netz hängen und die synchronisieren
Robert: sich automatisch, sobald eine Veränderung am Master-Server, am Provider passiert,
Robert: wird das übertragen zu dem Consumer, so nennt man das bei LDAP.
Robert: Und der hat dann dieselbe Datenbank und die kümmern sich selbstständig um die Aktualisierung.
Robert: Da muss ich gar nichts mehr machen. Und der zweite läuft nicht auf dem Server
Robert: in der DMZ, macht ja keinen Sinn, sondern dafür habe ich einen Raspbian Pi genommen,
Robert: der Raspbian 2 Version 2, also ganz alt noch, weil das vollkommen ausreicht.
Robert: Und der hängt normal im Netz und falls der erste nicht reagiert, gehen sie zum zweiten.
Ingo: Und wie gleichen die sich ab? Also ist das, wie mache ich sowas?
Robert: Das ist eben in dem Server schon integriert. Ich hatte ja schon von den Schemas geredet.
Robert: Das sind diese Objekte. Das sind ja feste Objekte im LDAP, wo die Informationen drin liegen.
Robert: Und neben den Schemas gibt es auch noch dynamische Objekte. Das ist zum Beispiel
Robert: die Replication. Die Replication ist sozusagen ein sogenanntes Overlay,
Robert: nennt man das, das da drüber gelegt wird.
Robert: Da wird ein Benutzer angelegt, da liegt mein eigener Benutzer an,
Robert: der für die Replication zuständig ist, der sich dann eben anmeldet beim anderen
Robert: Server und sagt, hey, hier ist ein neues Paket, auch mit Passwort,
Robert: das heißt, das ist schon mal passwortgeschützt, das ist die Replication.
Robert: Und sagt dann, hey, ich habe hier ein neues Paket, hier habe ich eine Änderung,
Robert: hier, nimm die, trag die bei dir ein.
Robert: Und da geht das wirklich hin und her und die kümmern sich selbstständig.
Robert: Hat man einmal definiert, was ist der zweite Server, der im LDAP-System da ist
Robert: und wenn man bei beiden die Benutzer eingerichtet hat, dann kümmern die sich selbstständig drum.
Robert: Da musst du nichts mehr machen. Du sagst nur noch, wie häufig sollen die das machen.
Ingo: Okay, einfach eingebaut sozusagen. Das wissen die schon.
Robert: Der Oberschlüssel ist der und das wurde schon recht früh geliefert.
Robert: Das Ganze ist auch noch verschlüsselt mit entweder TLS-Verschlüsselung oder SSL.
Ingo: Okay. Ja, gut, da hat sich jemand gleich am Anfang mal Gedanken gemacht.
Robert: Wenn man das nur wüsste, gell?
Ingo: Okay, also du würdest diesen ganzen Mechanismus jetzt empfehlen für zu Hause?
Robert: Also, das ist jetzt eine gute Frage. Wenn man jetzt, wie gesagt,
Robert: jeder seinen eigenen Rechner hat, die Familie, also vielleicht die Eltern haben
Robert: einen Rechner, Kinder haben jeder ihren Rechner.
Robert: Wenn das so ein Setup ist und man hat nur sozusagen sein Zuhause,
Robert: dann ist es schon ein bisschen übertrieben, das Ganze, muss ich ganz ehrlich sagen.
Robert: Erstmal lernen, wie LDAP funktioniert, dann vielleicht noch Zertifikate erstellen,
Robert: mit denen man die Verschlüsselung macht und dann die Struktur aufbaut.
Robert: Das ist schon ein Anspruch. Ist man aber zum Beispiel selbstständig,
Robert: hat vielleicht noch sein Geschäft im Zuhause oder sein Büro hier und irgendein Mitarbeiter,
Robert: der von außen dazukommt, also dass man das Netzwerk in unterschiedliche Bereiche
Robert: aufteilen kann, wo vielleicht Gruppen- und Benutzerrechte unterschiedlich sein
Robert: sollten, damit die Zugriffe gesteuert werden und da man nicht die Übersicht verliert.
Robert: Und da könnte man sich schon überlegen, mit so einer Lösung,
Robert: also zwei LDAP-Server, ich würde zwei nehmen, einfach für die Ausfallsicherheit
Robert: und Verschlüsselung, das Ganze auf ein Level zu stellen, wo man sagt,
Robert: okay, wenn was passiert,
Robert: habe ich eine Stelle, wo ich hingehe, wo ich zum Beispiel den Benutzer deaktiviere
Robert: oder das Passwort schnell ändere, damit nichts mehr geht und aber auch eben
Robert: Gruppenrechte definiert sind.
Robert: Ja, ich bin so, meine Kinder hassen mich dafür.
Robert: Ich habe ja nicht nur für die Arbeit, sondern auch für die Familie verschiedene Gruppen gemacht.
Robert: Da gibt es eben die Familie, dann gibt es die Gruppe Eltern,
Robert: dann gibt es die Gruppe Kinder, dann gibt es die Gruppe meine Familie,
Robert: dann gibt es eine Gruppe für meinen Bruder, die Familie. Da bin ich ziemlich streng.
Robert: Aber das hat auch seinen Grund und jeder hat noch seine eigene Gruppe, jeder Benutzer.
Robert: Also das kann man da alles definieren und dann kann man auch sagen,
Robert: okay, in der Gruppe sind eben die Mitglieder drin, in der Gruppe sind die Mitglieder drin.
Robert: Und das wird dann sofort auf alle Clients verteilt, die eben an dem LDAP angeschlossen sind.
Robert: Und man muss nicht jeden Einzelnen abgrasen und schauen, habe ich die richtige
Robert: Nummer gegeben oder nicht.
Robert: Okay.
Ingo: Also genau, für zwei Leute vielleicht ein bisschen overengineert.
Robert: Aber … Hat man einen Verein zum Beispiel, da kommen wir nämlich noch dazu.
Robert: Ich glaube, das ist das, die Frage, neben dem lohnt sich das?
Robert: Das kommt auch darauf an, in welchem Umfang möchte ich denn LDAP nutzen oder kann ich es nutzen?
Robert: Wir haben jetzt hier schon mal vom Login gesprochen, über Clients an den verschiedenen Systemen.
Robert: Eben die Benutzer- und Gruppenverwaltung, das Management kann ich damit machen,
Robert: auch die Truners kann sich an einen LDAP-Server hängen und du kannst die ganzen
Robert: Benutzer, die auch auf der Truners arbeiten sollen, also die Gruppenrechte und
Robert: was da ist, auch über das Directory auf die Truners bringen.
Robert: Was die Rechte angeht, was die Benutzer angeht, darf der in der Gruppe sein.
Robert: Ich nehme auch Leute aus, Zum Beispiel das erste, was ich mache,
Robert: ist, der Root-Benutzer ist nicht im LDAP.
Robert: Einfach aus dem Grund, wenn zum Beispiel die Maschine vom Netzwerk getrennt
Robert: werden muss, aus irgendeinem Grund kann ich mich als Root eben lokal direkt dort anmelden.
Robert: Da will ich keinen haben. Auch die Gruppe vom Root ist nicht im LDAP drin,
Robert: sondern die ist wirklich separiert,
Robert: dass im Notfall auf alle Fälle der Root-Benutzer Zugriff bekommt.
Robert: Schöne Sache. Dann, wie du jetzt das ist für dich dann vielleicht eine Aufgabe,
Robert: wenn du ein bisschen vertrauter bist mit OpenSense und schon deinen Apache Directory
Robert: Server hast, eine Anmeldung an der Firewall kann man über LDAP machen.
Robert: Dann musst du keinen Benutzer auf der OpenSense anlegen, um dich zum Beispiel
Robert: dort authentifizieren.
Ingo: Kann ich dir auch die Firewall-Regeln im LDAP ablegen?
Robert: Interessante Sache. Interessante Sache. Habe ich noch nichts gefunden dazu.
Ingo: Möglich ist es. Bestimmt mit irgendwelchen Schemaerweiterungen würde auch der
Ingo: Fall gehen. Nicht, dass es sinnvoll wäre, aber eine Möglichkeit.
Robert: Man kann Schema selber schreiben. Das geht, aber da muss man dann ziehen.
Robert: Da bist du dann der König vom LDAP sozusagen.
Robert: Aber wo wir bei dem Thema sind, Firewall, da benutze ich es auch.
Robert: Die VPN-Authentifizierung liegt bei mir im LDAP.
Robert: Ich habe eine Gruppe VPN-User und da liegen die, das Schöne ist ja,
Robert: bei den, bei diesen, da muss man unterscheiden, Gruppen sind im LDAP das,
Robert: was auf dem Linux-Rechner dann die Gruppen sind, da eben Root,
Robert: Robert, Kinder, Eltern, was weiß ich.
Ingo: Users, Media.
Robert: Keine Ahnung. Bei, wenn man jetzt das für bestimmte Services nutzen möchte,
Robert: kommt wieder ein Overlay dazu, ein neues Modul, das nennt sich MemberOf oder DynamicLists.
Robert: Das kann man dann da einrichten und man nimmt so ein DynamicList-Objekt und
Robert: dort werden die IDs, die CommonNames, das ist sozusagen dieser Index von.
Robert: LDAP-Objekten, der Common Name, die werden dann in diese dynamische Liste eingefügt,
Robert: zum Beispiel jetzt bei der, wenn man für den VPN so eine Gruppe definieren möchte,
Robert: so eine Member sozusagen,
Robert: und da kommen dann die Elemente, werden nur verlinkt auf das Objekt,
Robert: die Links werden auf die Objekte reingelegt, also nicht einmal die,
Robert: da wird kein neues Objekt eingekriegt, sondern nur Verknüpfungen sozusagen.
Robert: Und wenn dann ich mich per OpenVPN anmelde, gebe ich ja meinen Benutzernamen und mein Passwort an.
Robert: Und durch den VPN geht die Firewall her, fliegt am LDAP an,
Robert: gibt es auf dem LDAP einen Benutzer, der Member von der Gruppe, oder der Member,
Robert: ja man muss sagen Gruppe, bitte jetzt nicht falsch verstehen,
Robert: der Member einer Gruppe ist, die sich VPN nennt und der Benutzername ist Robert.
Robert: Dann sagt der LDAP-Server, ja, gibt es. Dann geht er her und sagt,
Robert: okay, ich komme jetzt mit dem Benutzer Robert, der hat mir das Passwort gegeben, ist das korrekt?
Robert: Dann sagt der LDAP-Server, ja, ist korrekt und dann sagt der OpenVPN, jetzt darf er rein.
Robert: Und das finde ich sehr schlau, weil wenn dann zum Beispiel das Handy verloren
Robert: gegangen ist, Wenn man eben auch über das Handy da die VPN macht,
Robert: dann braucht man nur eben beim Benutzer das Passwort einmal ändern,
Robert: dann ist der VPN geblockt.
Robert: Dann kann irgendjemand, der mit dem Handy hat und wenn da leider Gottes das
Robert: Passwort gespeichert ist im VPN, kann er es nicht mehr verwenden, kommt nicht mehr rein.
Ingo: Ich kann ja nicht nur den VPN anbinden, sondern eben auch noch ganz,
Ingo: ganz viele andere Sachen.
Ingo: Also VPN ist natürlich, weiß ich nicht, welche, vielleicht welche VPN-Lösung benutzt du da?
Ingo: Ist das egal? Kann ich alles an VPN anbinden, äh, alles an LDAP anbinden?
Robert: Also man kann die OpenVPN kann man anbinden an LDAP. Da gibt es einen eigenen Auth-Plugin.
Robert: Das ist in der OpenSense sogar konfigurierbar.
Robert: Das funktioniert auf alle Fälle. bei IPsec bin ich mir nicht ganz sicher.
Robert: Ich spiele gerade mit Gedanken auf IPsec Strongspawn zu wechseln. Oh Gott.
Ingo: Nein, nein, nein, nein, nein, nein.
Robert: Nein.
Ingo: Nein, nein, nein, nein, nein, nein, nein, nein. IPsec macht keinen Spaß.
Robert: Ich weiß. Das ist aber, da muss ich dich jetzt leider schocken.
Robert: OpenSense hat Strongspawn als IPsec reingebracht, implementiert und die werden da wechseln, leider.
Ingo: Aber da gibt es auch die Möglichkeit.
Robert: Sich mit Benutzername und Passwort zu authentifizieren. Und in der Open Sense
Robert: kannst du dann sagen, gegen welchen Server möchtest du dich authentifizieren.
Robert: Und da kannst du den Open LDAP-Server auch auswählen.
Ingo: Okay, das ist schön. Aber IPsec will ich nicht mehr machen. Ich will binden.
Ingo: Es geht. Das ist halt das.
Robert: Und ja, auch WireGuard, nachdem ja jetzt WireGuard in die Open Sense,
Robert: in die aktuellste, hast du schon die 24.1-Version. die neueste.
Robert: Da ist nämlich WireGuard mittlerweile im Kernel wieder mit drinnen.
Robert: Die kann aber, da kannst du dich nicht authentifizieren, sondern da hast du
Robert: ja nur SSH-Keys, die du verteilst und dann eben die Verbindung aufbaust.
Robert: Das geht nicht.
Ingo: Ja, aber kann man ja irgendwas basteln. Derjenige kann sich einloggen und dann
Ingo: das Zertifikat generieren und dann importieren.
Robert: Richtig. Also das geht auch. Das kann man machen. Zertifikate sollte man sowieso verwenden,
Robert: auch weil ja der Server, wenn du TLS nimmst und SSL oder SSL nimmst als im LDAP,
Robert: brauchst du irgendwo eh ein Zertifikat, mit dem du hergehst.
Robert: Da musst du sowieso dann, das geht ja nicht anders, kommst du sonst auch nicht
Robert: ins Netzwerk rein. Also ja, das kann man machen.
Robert: Hat alles für sich Vor- und Nachteile, aber zumindest kann ich sagen,
Robert: OpenVPN geht auf alle Fälle und ich habe es mir bei IPsec schon mal angeschaut,
Robert: habe aber das Setup noch nicht durchgezogen, dass ich sage, ich probiere es
Robert: mal mit meinem Handy aus, ob das funktioniert, so wie ich es mir vorstelle.
Robert: Einrichten kann man es bei der OpenSense, für die, die es interessiert.
Robert: Ja, PFSense weiß ich nicht, weil ich keine habe.
Ingo: Okay, also ich kann es für meinen Samba-Server benutzen, für Authentifizierung.
Robert: Richtig.
Ingo: Kann ich es auch, weiß ich nicht, benutze es auch für Mail?
Ingo: Also kann ich auch meinen Mail-Server da irgendwie anbinden?
Ingo: Hast du das auch gemacht?
Robert: Ich hab's nicht gemacht. Da bin ich sowieso, muss ich beschimpft werden.
Robert: Ich hab Plain Passwords auf dem Mail-Server. Ich hab's nicht gesagt.
Robert: Ich hab's nicht gesagt. Nein, nein, nein, nein. Das hat niemand gehört.
Robert: Der ist in einem Jail und der ist hinter der Firewall. Also da gehe ich davon
Robert: aus, dass es noch sicher ist.
Robert: Aber ja, ich habe einen DAF-Code-Mail-Server, der kann auch über LDAP,
Robert: mit dem LDAP-Server sprechen.
Robert: Und wenn dann im Benutzerobjekt auch die Mailadresse hinterlegt ist und da kann
Robert: man nicht nur eine an einem Objekt hinterlegen, sondern mehrere E-Mails kann
Robert: man da hinterlegen an einem Objekt,
Robert: dann kann man auch den DAF-Code an den LDAP-Server dranhängen und da kann man
Robert: seine Mail-Accounts mit einem Passwort eben anbinden.
Ingo: Okay.
Robert: Das ist möglich.
Ingo: Und E-Mail-Adressen könnte ich am LDAP auch abbilden, wenn ich will. Richtig.
Robert: Ja.
Ingo: Da könnt ihr jetzt irgendwie irgendwelche Gruppen anlegen von E-Mail-Adressen,
Ingo: keine Ahnung, um irgendwelche Mail-Listen zu erzeugen oder irgendwas anderes.
Robert: Also Mail-Listen bin ich mir nicht sicher, ich weiß aber, und das habe ich auch
Robert: schon vorbereitet, bei mir, bei meinen Objekten ist die Mail schon mit dran,
Robert: an mir, an meiner Frau und so, und ich habe ja auch ein paar E-Mail-Adressen,
Robert: da sind auch die Mail-Adressen von den Konten, die ich am Mail-Server habe,
Robert: auch alle einzeln an einem Objekt hinterlegt.
Robert: Du musst kein Neues mehr dafür erschaffen, sondern gewisse Elemente im LDAP
Robert: können mit mehreren Werten versehen werden.
Robert: Und das ist natürlich dann nochmal praktisch, um natürlich die Übersicht zu
Robert: behalten und das alles möglichst klein und, wie sagt man schön, sauber zu halten.
Robert: Das...
Ingo: Neben dem Mail-Server und VPN
Ingo: und anderen Sachen kann ich natürlich auch zigtausend Web-Tools anbinden.
Robert: Also alles.
Ingo: Glaube ich, fast alles, was man sich irgendwie installieren kann,
Ingo: geht auch gegen LDAP mittlerweile.
Robert: Richtig. Also Klassiker, WordPress. Ich habe auch WordPress am Laufen,
Robert: weil es halt einfach ist.
Robert: Habe ich mich schon informiert. Es gibt ein Plugin dafür. Das habe ich noch nicht ganz rund.
Robert: Aber ja, kann man machen. Das sozusagen auch, wenn man das gepflegt hat mit
Robert: einer Gruppe, dann kann man da eben die Anmeldung gegen LDAP machen und das
Robert: Schöne ist, es geht ja dann vom Web-Server aus zum LDAP-Server,
Robert: also nicht übers Netz, sondern es geht halt schön lokal das Ganze und auch,
Robert: und das finde ich sehr interessant, da bin ich wirklich dabei,
Robert: das zu machen, es gibt bei Nextcloud auch Erweiterungen, dass man lesend auf den LDAP-Server kommt.
Robert: Das heißt, die Benutzer vom Nextcloud sind im LDAP hinterlegt und sogar Schreibzugriff
Robert: auf den LDAP kann man über eine Erweiterung im Nextcloud machen.
Ingo: Und das willst du dann auch für zu Hause einbinden?
Robert: Sagen wir so, nicht schreiben, nur lesen, das ist dann die Oberstufe,
Robert: dass man dann sagt, okay, dann haben wir wirklich quasi in Anführungszeichen ein Single Sign-On,
Robert: was nur mit dem Passwort ist im Moment bei mir.
Robert: Aber ja, man kann auch eine Mehrfaktor-Authentifizierung über Plugins und entsprechenden
Robert: Diensten umsetzen, was bei mir dann auch die Überlegung ist,
Robert: wie weit will ich das dann noch treiben.
Robert: Eben, was man merkt ist, je mehr Dienste du anbindest an das LDAP, umso höher ist,
Robert: also so ist mein Empfinden, umso höher ist die Sicherung des LDAP-Servers gegen
Robert: falsche Zugriffe, gegen Ausfälle und sowas, umso höher steigt dann natürlich
Robert: der Bedarf, dass sozusagen der LDAP natürlich laufen muss,
Robert: weil alles ja damit eben angebunden wird quasi.
Robert: Und man bringt sich da in eine Abhängigkeit, wo man sagt, ja,
Robert: will ich das denn überhaupt so?
Robert: Was ist, wenn da wirklich mal jemand reinkommt, weil er das Passwort gesehen
Robert: hat, wie ich es in der S-Bahn in mein Handy getippt habe oder weiß ich nicht.
Robert: Da kann man natürlich dann wirklich hochspinnen. Aber wenn man sich mal überlegt,
Robert: dass selbst große Firmen eigentlich auch ein LDAP benutzen und auf ihren Telefonen
Robert: auch irgendwelche Zugriffe machen über VPN oder über den OVA oder was weiß ich,
Robert: die Office 365 auch eigentlich nur über Passwörter geht und dann kommt ein Mehrfaktor noch dazu.
Robert: Das ist dieselbe Sicherheitsstufe eigentlich.
Ingo: Es ist auf jeden Fall so, je mehr Dienst du du anbietest, umso höher wird auch der Nutzen.
Ingo: Also nicht nur musst du dir natürlich mehr Sachen über Sicherheit Gedanken machen.
Ingo: Klar, hundertprozentig und zwei Faktor Authentifizierung
Ingo: oder Multi Faktor Authentifizierung sollte man mitdenken.
Ingo: Wir hatten ja auch in einer der letzten Sendungen diese diese Keys,
Ingo: die man sich holen kann, um dann die Sachen abzusichern, wenn man nicht nur OTPs verwenden will.
Ingo: Aber definitiv ist so, gut, bei einem Dienst, wenn ich nur Samba machen will
Ingo: oder so, dann lohnt es sich vielleicht noch nicht.
Ingo: Ja, aber wie gesagt, wenn du sagst, okay, du baust jetzt noch,
Ingo: bindest VPN an, du bindest Storage an, du bindest irgendwie WordPress und Nextcloud.
Ingo: Und was hatte man letztens noch? Paperless in NGX.
Ingo: Und das Tool und jenes Tool, was man zu Hause vielleicht noch so alles braucht,
Ingo: was weiß ich, eine Kochrezepte-App oder so.
Robert: Keine Ahnung. Definitiv, das braucht eine Anwendung.
Ingo: Genau, dann lohnt es sich halt irgendwann. So für einen Dienst würde ich jetzt
Ingo: sagen und für ein paar Rechner, nee,
Ingo: aber je weiter wir kommen, desto mehr denke ich, vielleicht muss ich es dann doch mal angehen.
Ingo: Aber ich habe gerade zum Beispiel auf meinem QNAP-NAS mal geguckt,
Ingo: ich kann da tatsächlich auch einen LDAP-Server einfach einschalten und kann
Ingo: sagen, hier, mach mir den, also selbst wenn ihr jetzt sagt …,
Ingo: Ja, nee, das selber aufsetzen von so einem OpenLDAP mit Replikation und einem
Ingo: Schieß-mich-tot ist mir ein bisschen zu viel.
Robert: Ihr könnt.
Ingo: Wenn ihr ein vorhandenes NAS habt, ich weiß gar nicht, geht das nicht vielleicht
Ingo: in der OpenSense auch, dass man irgendwie einfach nur sagt, man hätte gerne einen LDAP-Server?
Robert: Also in der OpenStance weniger, also sagen wir so, da machst du die Anbindung
Robert: an den LDAP-Server, das geht da über den, da gibt es einen eigenen Server-Bereich, wo du das machst.
Robert: In der TrueNAS, da heißen diese vorgefertigten Jails-Plugins,
Robert: da gibt es auch ein OpenLDAP-Plugin, also ein vorgefertigtes OpenLDAP-Jail,
Robert: was man einrichten kann.
Ingo: Also ein Server.
Robert: Ja, aber es ist ja so, dass du dann natürlich noch die Kurve bringen musst,
Robert: die Daten in das Ding hineinzubekommen und da sind manche Dinge schon eine Lernkurve.
Robert: Wenn man die dann hat, dann kann man beliebig viele OpenAlder-Server aufbauen
Robert: und das wird immer gehen.
Robert: Das kann ich wirklich sagen, weil ich habe jetzt schon erstmal ein paar Mal
Robert: meinen eigenen OpenLDAP-Server hochgezogen, weil es wieder nicht ging und ich verzweifelt bin,
Robert: aber eben auch schon mal andere OpenLDAP-Server aufgebaut für andere Herausforderungen, andere Aufgaben.
Robert: Ja, das geht wirklich gut und das ist wirklich, wie du sagst,
Robert: bei der QNAP einschalten, dass der eingerichtet wird und zack,
Robert: bumm, kommt man drauf und man kann loslegen damit. mit.
Ingo: Genau, also wenn ihr so ein fertiges NAS habt oder,
Ingo: gibt natürlich auch, ich habe früher so Geschichten von Univention verwendet,
Ingo: also Univention Server, also auch auf Debian-Basis, den du installierst,
Ingo: wo du halt quasi gleich eine Web-Oberfläche hast und auch LDAP-Objekte anlegen kannst.
Ingo: Also es gibt da auch fertige Software oder Software, die es einem ein bisschen leichter macht.
Ingo: Aber Aber, wie wir auch beschrieben haben heute hier, den schweren Weg mit harter
Ingo: Lernkurve ist natürlich auch was, wenn man sagt, ja, nee, ich gucke mir das
Ingo: jetzt mal richtig an, so wie der Robert,
Ingo: der das tatsächlich von der Pike auf jetzt alles mal durchprobiert hat und du
Ingo: bist zufrieden mit dem Setup, oder? Hör ich so raus? Ja.
Robert: Ich bin zufrieden. Ich muss sagen, ich sehe jetzt die Vorteile,
Robert: die es bringt, das sehe ich jetzt schon.
Robert: Einfach dadurch, weil wenn sie in der Familie jetzt hier arbeiten und auch die
Robert: Tochter mal runter geht und meint am Werkstattrechner was machen zu müssen für den Drucker oder sowas.
Robert: Sie geht einfach runter, meldet sich dort an, hat ihr sofort die Freigaben und
Robert: die Rechte, alles da, was sie braucht.
Robert: Und ich brauche mir da keine Gedanken machen, dass da irgendwie was verschoben
Robert: wird oder weil sie ausprobiert irgendetwas, da die Gruppenrechte oder jemanden
Robert: die Rechte nimmt und sowas. Das passiert einfach nicht, weil wir die zentrale Sammlung haben.
Robert: Und wenn mal was passieren sollte, was verloren geht, das ist immer so meine Sache. Okay.
Robert: Dass Zugriff von Leuten, die nicht zugreifen sollen, relativ einfach zu lösen sind.
Robert: Wie gesagt, an ALDAB-Servers Passwort ändern, dann ist das Passwort weg vom OpenVPN.
Robert: Der Login an den Rechner geht nicht mehr. Gut, wenn der ist gecached,
Robert: ist schon, aber falls der sich mal wieder verbinden sollte aus dem Grund, dann geht es nicht mehr.
Robert: Also man kann auch Mails dann damit verhindern, wenn ja der Mail-Server auch
Robert: am ALDAB hängt, kann man dann auch den Zugriff auf die Mails mit einem einzigen
Robert: Ändern des Passworts sofort unterbinden.
Robert: Das ist, das ist sehr viel, bringt sehr viel, besonders wenn man unterschiedliche
Robert: Aufgaben in einem kleinen Netzwerk eben hat, wie meine Firma,
Robert: die Firma meiner Frau, wo ich da Zugriff brauche, die Kinder mit Studium,
Robert: was weiß ich, was sie haben, so kann man da schon eine gewisse Ruhe für sich
Robert: selbst reinbringen in das Ganze.
Ingo: Wo wir noch bei Web-Applikationen gerade waren, was man natürlich auch oder
Ingo: was viele Web-Applikationen auch unterstützen, neben LDAP sind solche Geschichten
Ingo: wie OpenID, Connect und Sammel.
Ingo: Da bräuchte man jetzt zum Beispiel Keycloak oder sowas. Sowas hast du aber nicht
Ingo: angebunden an deinen LDAP.
Robert: Oder? Nein, also ich interessiere, ich finde auch diese Passkey-Geschichte sehr
Robert: interessant, ist jetzt bei mir noch nicht so im BSD mit drinnen ich finde sowas sehr interessant auch,
Robert: YubiKey wäre auch so eine Sache, was interessant wäre, aber das habe ich noch
Robert: nicht am Laufen, da muss ich sagen, das sind so die wo ich mehr gar machen möchte
Robert: aber das sind halt Schritte, wo ich sage,
Robert: okay da muss ich jetzt erst einmal noch das Setup festigen und ich muss da sicher
Robert: sein dass ich dann da die nächsten Schritte mache.
Ingo: Okay, da können wir uns ja dann beim nächsten Mal vielleicht drüber noch unterhalten.
Robert: Mal schauen.
Ingo: Genau, ich überlege noch, ob ich mir jetzt auch einen LDAP-Server aufsetze oder nicht.
Ingo: Wie gesagt, das ist jetzt in meinem Setup noch nicht vorgesehen.
Ingo: Ich bin dabei, ein paar Virtual-Maschinen und sowas zu migrieren,
Ingo: aber ich habe, wir betreiben ja, oder ich betreibe ja auch eine Mastodon-Instanz
Ingo: und da ist es auch immer so, ja,
Ingo: zurzeit sind das alles einzelne User sozusagen.
Ingo: So zu sagen, wäre es nicht irgendwie sinnvoller, die zentral vorzuhalten.
Ingo: Eine mögliche Überlegung, aber genau, sonst hat man halt ziemlich viele verschiedene
Ingo: Datenbanken und wäre natürlich geschickter, wenn man die zentral hätte.
Robert: Ich kann dir noch sagen, typische Elemente, die es noch gibt,
Robert: die vielleicht auch die Zuhörer interessieren könnte, Sudo-Regeln kannst du
Robert: auch im LDAP hinterlegen. Ganz interessant.
Robert: Auch Host-Objekte, dass du sagst, dass Benutzer sich sich nur auf bestimmten
Robert: Hosts anmelden können, weil eben bestimmte Hosts nur eingetragen sind für ihn. Das sind alles Sachen.
Robert: Jetzt, wie gesagt, ich komme aus der Sicherheitsbranche und Ding,
Robert: da bin ich ein bisschen paranoid.
Robert: Habe ich nicht gemacht. Sudo mag ich sowieso nicht. Ich bin immer gleich der
Robert: Root-Benutzer. Ich bin da so.
Robert: Free BSD. Gut, die haben auch Sudo.
Robert: Aber ich bin da eben da, wo man sich denkt, das könnte nützlich werden.
Robert: Man schaut es sich an, wie man es implementieren kann. Und das geht halt im
Robert: LDAP einfach, weil dieses LDAP ist schon so ausgereift und bietet verschiedenste
Robert: Möglichkeiten, die man…,
Robert: Noch gar nicht richtig, aber ich selber immer noch staune und sage,
Robert: sowas kann man damit machen, echt nicht schlecht.
Robert: Warum hat man das nicht schon früher irgendwie gemacht?
Robert: Weil es einfach, es bietet Möglichkeiten, wo man sagt, okay,
Robert: das ist eigentlich mal was, wo man vorankommt und wo man sich das Leben auch leichter machen kann.
Ingo: Sehr schön.
Ingo: Und der LDAPs und der Mail-Server sozusagen spielt und ich tatsächlich,
Ingo: die Nextcloud und solche Geschichten einfach gegen den Mail-Server authentifizieren lasse.
Ingo: Weil da meine ganzen User-Daten drin liegen.
Ingo: Das ist aber, so habe ich es zum Beispiel auch beim Java-Server gemacht,
Ingo: genau, da kannst du aber sagen, hier, du hast einen DAV-Card,
Ingo: der DAV-Card holt sich die User aus der Datenbank Und du authentifizierst gegen
Ingo: den DAF-CAD, aber das unterstützen halt nicht viele Programme. Richtig.
Ingo: Das ist schon eher so ein spezielles Ding. Ja.
Ingo: Und entweder man schreibt sich jetzt was, um dann jeweils von den ganzen Programmen
Ingo: auf die Datenbank zuzugreifen, die man eventuell schon angelegt hat.
Ingo: Oder man baut sich dann doch mal was, um alles in den LDAP oder irgendein anderes
Ingo: Format zu kriegen, was man zum Beispiel an den Keycloak anbinden kann.
Ingo: Also das sind so die Überlegungen, die ich habe und deswegen,
Ingo: ja, wollte ich auch mal wissen, warum du dich jetzt für Eldab entschieden hast
Ingo: und wie du das zu Hause baust.
Robert: Es ist ja auch so, ähm.
Robert: Wie ich schon am Anfang sagte, es ist ja ein, wie du auch gesagt hast, so ein Telefonbuch.
Robert: Bei Telefonbuch sind wir genau bei dem Thema, was es ursprünglich nämlich war.
Robert: Es war ein Telefonbuch und Thunderbird zum Beispiel bietet auch an,
Robert: das Adressbuch am LDAB zu hinterlegen.
Robert: Dass man dann die Adressen in seinem Adressbuch in einem schnellen Verzeichnis
Robert: hat, wo verschiedene Leute zugreifen können und man hat eine zentrale Sammelstelle,
Robert: in der sozusagen die Kontakte hinterlegt sind.
Robert: Das war eigentlich der ursprüngliche Gedanke auch vom LDAP, ein zentrales Telefonregister
Robert: zu haben und Thunderbird nutzt das heute noch und die sind da auch dabei.
Robert: Das ist also nicht irgendwie vergessen und man macht es halt,
Robert: sondern das wird auch aktiv angepriesen, dass man sagt, wir können mit den LDAP-Servern
Robert: eben arbeiten und man kann Adressbücher auch dort ablegen. Geht.
Robert: Macht auch manche. Genau.
Ingo: Wenn man ein größeres Unternehmen hat oder mehrere Leute sind,
Ingo: genau, dann kannst du da deinen LDAP-Server anbinden.
Ingo: Wobei ich meinen, weiß ich nicht, meinen Thunderbird oder auch andere Sachen
Ingo: natürlich auch mal benutze unterwegs und dann nicht eigentlich nicht den LDAP
Ingo: freigegeben haben will in alle Welt.
Ingo: Also das machst du ja auch nicht, ne? Also du hast ihn ja auch nur zu Hause
Ingo: in deinem Netzwerk und eben nicht nach außen so freigegeben.
Robert: Richtig.
Ingo: Da müsste man dann schon nochmal irgendwie einen zweiten haben,
Ingo: den man vielleicht mit öffentlichen Daten füllen will oder so.
Robert: Da gibt es Konstrukte wie diesen Tree, dieser Directory Tree,
Robert: der ja die Struktur hier nennt.
Robert: Deswegen gibt es ja auch bei Microsoft dann den Forest, weil der Forest ist
Robert: nichts anderes als verschiedene mehrere Trees, die einfach zusammengebunden
Robert: werden. So einfach ist das Ganze.
Ingo: Ah.
Robert: Ja, Ja, praktisch. Und ja, natürlich kann man dann auch den Tree anders aufstellen und dann sagen,
Robert: okay, der ist dann über SSL oder TLS und mit besonderen Sicherheitsgeschichten
Robert: angebunden, dass man wirklich auch von außen zukommt.
Robert: Aber ja, mein Tipp gleich am Anfang
Robert: vorweg, niemals einen LDAP-Server von Internet aus zugänglich machen.
Robert: Nein, das macht man nicht. Will ich gleich von vornherein sagen.
Ingo: Genau. Außer man hat wirklich einen, der keine Daten enthält,
Ingo: die wichtig sind, die nicht für die komplette Öffentlichkeit sind.
Ingo: Dann kann man das vielleicht machen.
Robert: Vielleicht für Have I Been Porn oder so. Vielleicht kriegt man da Daten in den LDAP-Server oder so.
Robert: Wer weiß. Genau.
Ingo: Ich betreibe eine öffentliche LDAP-Server und ihr könnt mir Daten geben.
Robert: Genau.
Ingo: Ansonsten nochmal an die Hörer da draußen. Ihr könnt gerne natürlich Kommentare,
Ingo: schreiben und uns sagen, was weiß ich, vielleicht haben wir noch ein paar tolle
Ingo: Web-Tools oder so hier vergessen, die man auch an LDAP anbinden kann, die ihr so benutzt.
Ingo: Oder ihr sagt mal, was ihr vielleicht für ein Home-Setup habt.
Ingo: Wie gesagt, wir haben jetzt schon ein bisschen angefangen.
Ingo: Ich bin immer noch am am Aufbauen, Rumbauen, aber immer mehr von der Infrastruktur, die ich vorher ja,
Ingo: bei dem Provider extern hatte, wandert jetzt nach und nach bei mir ins Homelab.
Ingo: Aber ja, da steht jetzt auch schon einiges an Technik und ich habe halt auch
Ingo: einen Glasfaseranschluss und Strom vom Dach, deswegen ist das jetzt so der,
Ingo: der, der, genau, der Punkt, weswegen ich sage, das ist mir einfach einfach zu teuer im Netz.
Ingo: Ich bring das jetzt nach Hause, weil da ist alles vorhanden.
Ingo: Man muss sich bloß mit den ganzen Themen mal mit beschäftigen.
Ingo: Richtig. Und ja, LDAP ist da definitiv ein Punkt, den man sich angucken sollte oder kann.
Ingo: Gut, dann vielen Dank, dass du uns mal in den Setup geführt hast.
Robert: Gern geschehen.
Ingo: Ja, ich hoffe, wir hören dich demnächst. Irgendwas zu BSD zu berichten gibt.
Ingo: Oder wenn wir uns, wie gesagt, dann nochmal tiefer in die,
Ingo: Infrastruktur, die man so zu Hause aufbauen kann.
Robert: Sehr gerne.
Ingo: Vielen Dank und bis zum nächsten Mal.
Robert: Bis zum nächsten Mal. Servus.