für den IT-Administrator

Redaktion IT-Administrator

In jeder Ausgabe präsentiert Ihnen IT-Administrator Tipps, Tricks und Tools zu den aktuellen Betriebssystemen und Produkten, die in vielen Unternehmen im Einsatz sind. Wenn Sie einen tollen Tipp auf Lager haben, zögern Sie nicht und schicken Sie ihn per E-Mail an tipps@it-administrator.de.

Monitoring

Wir nutzen zum Monitoring unseres IT-Netzwerks im Unternehmen die Software Paessler PRTG Network Monitor. Bisher haben wir uns vorrangig auf die Überwachung von Netzwerkkomponenten und Windows-Rechnern konzentriert. Nun möchten wir auch unsere Linux-Systeme ins Monitoring aufnehmen. Am liebsten wäre es uns, die zu überwachenden Komponenten mittels Scripting exakt auf unsere Anforderungen abzustimmen. Haben Sie hier eine Empfehlung für uns?

Für die von Ihnen genannte Anforderung hat Paessler PRTG einen Skriptsensor im Funktionsumfang. Kürzlich wurde der sogenannte "Script v2 Sensor" veröffentlicht. Dieser startet ein Python-Skript mit der Dateiendung ".py" auf dem Probe-

System. Um einen einfach verständlichen Einstieg in den Umgang mit dem Sensor und dem zur Verfügung gestellten JSON-Schema zu erhalten, hat der Hersteller eine Reihe von Beispielskripten bereits mitgeliefert. Das beiliegende Skript "remote_ ssh_linux_system_load.py" etwa zeigt, wie Sie ein Linux-System via SSH monitoren können. Mit dem Sensor stehen Ihnen zusammen mit Python zahlreiche Möglichkeiten offen. In der Knowledge Base von Paessler finden Sie eine Übersicht der mitgelieferten Skripte inklusive ihrer Funktionen. Dort ist außerdem Schritt für Schritt erläutert [Link-Code: https://www.paessler.com/support/videos-and-webinars/videos/ticketing-system], wie Sie den Sensor genau nutzen können.

Für weitere Tipps und Tricks rund um das Thema Monitoring mit PRTG bietet Paessler unter [Link-Code: https://www.youtube.com/c/PRTGNetworkMonitorByPAESSLER?utm_source=itadministrator&utm_medium=referral&utm_campaign=tipps/] auch einen YouTube-Kanal mit Tutorials an.

Windows

Beim Teilen von Daten in Microsoft 365 vergessen Kollegen immer wieder, den Zugang nach getaner Arbeit wieder zu schließen. Welche Möglichkeiten gibt es in M365, um das Teilen von Daten zu regulieren?

Das flexible File-Sharing in der Microsoft-Cloud ist Fluch und Segen zugleich, da sich eigenständig erstellte Freigaben der Kontrolle durch Admins weitgehend entziehen. Microsoft 365 bietet jedoch einige Voreinstellungen, um die Rahmenbedingungen für das Teilen von Daten zu steuern. Über das SharePoint Admin Center etwa lässt sich unter dem Menüpunkt "Freigaben" das externe Teilen von Daten für SharePoint und OneDrive in vier Stufen anpassen: Die Optionen reichen vom Blockieren externer Freigaben über das Beschränken auf Konten, die sich mit einem Überprüfungscode authentifizieren, bis hin zum freien Teilen über "Jeder"-Links. Darüber hinaus lassen sich die Voreinstellungen für Freigabelinks verändern, sodass beim Teilen von Dokumenten etwa die Berechtigungsstufe "Anzeigen" anstelle von "Bearbeiten" vorausgewählt ist. Für Organisationen, die "Jeder"-Links verwenden, lässt sich zudem ein Ablaufdatum erzwingen, nach dem der Zugang automatisch verfällt.

Wichtig zu beachten ist, dass diese Einstellungen nur externe Freigaben betreffen. Auch das interne Teilen von Daten kann sich jedoch zu einem echten Problem auswachsen, wenn sensible Daten für andere Abteilungen oder Standorte zugänglich gemacht werden. Insbesondere, da sich Dateifreigaben mit den Standardwerkzeugen der Microsoft-Cloud nicht effektiv nachvollziehen lassen. Um Datenschutz- und Sicherheitsrisiken rechtzeitig zu identifizieren und Admins die Überprüfung geteilter Dokumente zu ermöglichen, empfiehlt sich der Einsatz einer Software für das Berechtigungsmanagement, die Freigaben in der Microsoft-Cloud automatisch auswertet und übersichtlich zusammenfasst.

Weitere Tipps zum Thema Active Directory finden Sie im IAM-Blog von tenfold unter https://tenfold-security.com/ratgeber/

Virtualisierung

Wir wollen unsere Remote-Workloads künftig über Azure Virtual Desktops hosten, doch die Verwaltung und Wartung erfordert zu viele Ressourcen in unserem IT-Team. Gibt es auch einen einfacheren Weg?

Die Verwaltung und Wartung einer produktionsbereiten Azure-Virtual-Desktop-Umgebung (AVD) erfordert tiefgreifende Kenntnisse über Azure, Automatisierung, Profilverwaltung, Scripting und vieles mehr. Doch mit Parallels RAS (Remote Application Server) gibt es eine leichter managebare Variante. Er lässt sich direkt in AVD integrieren, vermindert die Komplexität und ermöglicht die Verbindung und Veröffentlichung von Ressourcen in wenigen Minuten. Mit den folgenden Schritten richten Sie eine Azure-Virtual-Desktop-Umgebung mit Parallels RAS ein:

Gehen Sie zunächst in der Parallels-RAS-Konsole zu "Farm" und dem "Feature"-Tab unter den Settings. Prüfen Sie hier, ob "Azure Virtual Desktop-Management" aktiviert ist. Um den neuen AVD-Provider einzurichten, gehen Sie in der Parallels-RAS-Konsole auf die Registerkarte "Provider" (Farm / Azure Virtual Desktop) und fügen Sie den neuen Provider mit dem "+"-Button hinzu. Dazu benötigen Sie die Informationen zur Tenant-ID, Subscription-ID, die zuvor erstellte Application-ID und den Sicherheitsschlüssel. Klicken Sie im gleichen Frame auf die Schaltfläche "Credentials". Diese Anmeldeinformationen verwenden Sie, um Parallels-RAS-Agenten auf die AVD-Hosts zu übertragen. Anschließend führt Sie der Assistent durch die Erstellung Ihrer neuen AVD-Arbeitsbereiche und Host-Pools oder durch die Verwaltung bestehender Workspaces.

Die Parallels-RAS-Konsole ist nun Ihre zentrale Anlaufstelle für die Bereitstellung und das Management von Azure Virtual Desktop, einschließlich Profil- und Image-Verwaltung, automatischer Skalierung und vielem mehr. Das reduziert den Aufwand für die Administration von AVD, ermöglicht hybride Szenarien und spart Azure-Nutzungskosten.

Cloud

Wir verwenden als Dateisystem für Applikationen in der AWS-Cloud das Open-Source-Projekt OpenZFS. Das Filesystem bietet uns hohe Datenintegrität, Flexibilität und Skalierbarkeit unserer Daten. Aber wie können wir die Leistung und Zuverlässigkeit unseres OpenZFS-Speichers noch weiterreichend optimieren?

Als AWS-Kunde können Sie hierfür auf den vollständig verwalteten Amazon-Dienst "FSx for OpenZFS" zugreifen. Er ermöglicht auch das Migrieren von Daten aus lokalen ZFS- oder anderen Linux-basierten Dateisystemen zum Cloudprovider. Dabei ist es nicht notwendig, den Anwendungscode oder die Art der Datenverwaltung zu verändern. Der Dienst verbindet die Vorteile von OpenZFS mit der Agilität von AWS. FSx for OpenZFS bietet Ihnen die einfache Nutzung eines skalierbaren, leistungsfähigen und funktionsreichen Dateisystems. Sie müssen sich nicht mehr darum kümmern, Server und Speicher-Volumen einzurichten oder bereitzustellen. Die eigenhändige Replikation von Daten, die Installation sowie das Patchen von Software entfallen. Auch die manuelle Sicherung sowie die Identifikation und Behebung von Hardwarefehlern übernimmt der Dienst, den Sie auf diese Weise in Betrieb nehmen.

Klicken Sie zunächst auf "Create file system" und wählen Sie "Amazon FSx for OpenZFS" aus. An dieser Stelle haben Sie nun zwei Möglichkeiten: "Quick create" (Best Practices) oder "Standard create" (eigene Konfiguration). Für das folgende Beispiel entscheiden wir uns für die erste Variante. Geben Sie einen Namen ein und wählen Sie den benötigten SSD-Speicher, eine VPC sowie ein Subnetz aus. Klicken Sie danach auf "Next". Überprüfen Sie die Einstellungen und klicken Sie auf "Create file system". Das Dateisystem ist innerhalb von ein oder zwei Minuten eisatzbereit. Viele Attribute des Filesystems lassen sich bei Bedarf auch nachträglich bearbeiten. Mit "Attach" erhalten Sie eine Übersicht über die Befehle, um Ihren Client einzubinden. Für eine bessere Genauigkeit können Sie das Root-Volume (/fsx) in Ihr Dateisystem einbinden. Dadurch lässt es sich wie jedes andere Filesystem verwenden. Nachdem Sie Dateien hinzugefügt haben, können Sie über "Action" in der Konsole ein Backup erstellen und wiederherstellen. Außerdem lassen sich Metriken wie der Gesamtdurchsatz anzeigen und ändern. Über "Create volume" schließlich erzeugen Sie jederzeit weitere Volumes. Wichtig dabei: Das neue Volume befindet sich im Namespace des übergeordneten Volumes und lässt sich entweder darüber abrufen oder separat einbinden.

Tools

Es ist eine Binsenweisheit, dass mit dem Plus, das Home Office und Remote Work in den letzten Jahren erfahren haben, auch die Anzahl der Supportfälle steigt, bei denen der IT-Verantwortliche keinen physischen Zugriff auf das betroffene Gerät hat. Doch Werkzeuge für den Remotesupport verlangen oft Anpassungen des Netzwerks, die Firmen manchmal nicht wünschen oder aus technischen Gründen nicht vornehmen können. Der kostenlose Dienst Compute Continuum MeshCentral ermöglicht es, Rechner aus der Ferne ohne Netzanpassungen zu steuern. Per Browser, Android-App oder Webapp für iOS lassen sich Rechner auch ein- und ausschalten.

MeshCentral steht unter der Ägide von Ylian Saint-Hilaire, der bei Intel angestellt ist. Der Dienst nutzt ein Peer-to-Peer-Netz, um einzelne Rechner zu überwachen und zu steuern. Das Werkzeug umfasst dazu mehrere Komponenten: Die eigentliche Verwaltung erfolgt über die Website "meshcentral.com", auf der IT-Verantwortliche zunächst einen Account anlegen müssen. Dort lassen sich dann mehrere Meshes anlegen und diesen Rechner zuweisen. Die Website zeigt anschließend alle zu einem Mesh gehörenden Maschinen an und auch, ob diese etnweder eingeschaltet, im Schlafmodus oder ausgeschaltet sind.

Für jedes Mesh kann der Admin definieren, welche Aktionen ausgeführt werden dürfen. Für die eigentliche Einrichtung eines Meshs kommt aber der MeshCentral Connector zum Einsatz. Diese Desktopsoftware muss nur auf einem Rechner installiert sein und ist ausschließlich für administrative Aufgaben gedacht. Eine der wichtigsten davon ist das Erstellen der notwendigen Zertifikate für die einzelnen Rechner. Sobald das Mesh auf diese Weise eingerichtet ist, ist auf jedem Client ein Mesh-Agent erforderlich. Diesen spielt der Admin über einen Assistenten auf der MeshCentral-Website ein und hat dabei die Auswahl zwischen Agenten für Windows, macOS sowie Linux. Dabei finden neben x86-Systemen mit 32 und 64 Bit auch Systeme mit MIPS und ARM-Prozessen Berücksichtigung. Zudem lässt sich die Software auch auf Routern mit dd-wrt oder dem Sheeva-Plug betreiben. Auch Android auf x86 und ARM sowie Meego auf x86-Prozessoren werden unterstützt.

Die einem Mesh zugehörigen Rechner sind nun über ein Webinterface, eine App für Android oder iOS steuerbar. Dabei stehen die Funktionen Wake, Sleep, Hibernate, Reset, Power Off und Alert zur Verfügung. Darüber hinaus bietet MeshCentral über VNC den direkten Zugriff auf einen Client. Ähnliches ist über die Funktion "Desktop" möglich: Sie erstellt Screenshots des Desktops, die in Kacheln aufgeteilt an den Browser geliefert werden. Ändert sich ein Teil des Desktops, werden die entsprechenden Kacheln aktualisiert. Auch die Steuerung per Tastatur und Maus ist möglich, das ist aber langsamer als mit VNC und funktioniert derzeit nur unter Windows. Für den Dateiaustausch steht "Files" zur Verfügung, eine Art Dateimanager, der im Browser Zugriff auf die auf einem Rechner gespeicherten Dateien gibt.

Link-Code: https://www.meshcommander.com/meshcentral2

Baut eine Anwendung eine Verbindung ins Internet auf, ist das normal und meist völlig legitim. Es gibt aber selbst im Open-Source-Bereich Programme, die gern nach Hause telefonieren oder den Benutzer tracken, ohne dass der immer weiß, ob das in seinem Interesse liegt oder nur die Neugier des Herstellers befriedigt. OpenSnitch agiert als Firewall auf Anwendungsbasis und erlaubt so zu steuern, wann und zu welchem Zweck ein Programm eine Verbindung ins Internet nutzen darf.

Die OpenSnitch-Firewall analysiert den ausgehenden Datenverkehr von Anwendungen, entlarvt bei entsprechender Konfiguration Tracker und ähnliche unerwünschte Verhaltensweisen. Generell stoppt die Software jeden Versuch einer Anwendung, ins Internet zu gelangen, und fragt nach, ob der IT-Verantwortliche das zulassen möchte. Das erfolgt über die Definition einer Regel. Über Github steht die Software mit DEB- und RPM-Paketen für 32- und 64-Bit-Systeme sowie für die Architekturen Armhf und Arm64 bereit.

Ist OpenSnitch installiert, öffnet es immer, wenn eine Anwendung auf das Internet zugreifen möchte, für die es noch keine Regel gibt, einen Dialog. Das betrifft am Anfang erst einmal alle Applikationen, die der Admin auf diese Weise mehr oder weniger automatisch abarbeitet und mit einem Regelwerk ausstattet. Denn bevor er Open-Snitch selbst zum ersten Mal startet, melden sich höchstwahrscheinlich bereits mehrere Fenster, die signalisieren, dass Anwendungen Hosts außerhalb des eigenen Netzwerks kontaktieren möchten. Aus einer solchen Meldung lässt sich bereits eine Regel bauen, die entweder bis zum nächsten Neustart, dauerhaft oder für einen definierten Zeitraum Gültigkeit hat. Die so erstellten Policies speichert das Tool im JSON-Format und lassen sich auch händisch editieren. Auch ermöglicht es OpenSnitch, eine Liste mit gesprächsfreudigen Anwendungen als CSV-Datei abzulegen.

Das Werkzeug kann praktisch alles kontrollieren, was von einem Linux-System aus eine Verbindung zu einem Host herstellt. Bei Multi-User-Systemen lassen sich die Regeln auch für jeden Benutzer individuell definieren.

Link-Code: https://github.com/evilsocket/opensnitch

Das Überwachen einer Website gilt heutzutage oft nicht mehr nur der kompletten Site, sondern Fachabteilungen wie das Marketing wollen sicherstellen, dass wichtige Teilbereiche oder Unterseiten tadellos ihren Dienst verrichten. Doch entsprechende Monitoringtools sind für die Fachkollegen oft zu komplex und nicht selten mit für diese Zwecke nicht relevanten Daten überfrachtet. Das freie Uptime Kuma beschränkt sich auf das Wesentliche und ist somit ein guter Kandidat für den eben geschilderten Einsatzzweck. Aber auch im Home- oder Testlabor des Administrators erfüllt es als schlankes und einfach zu bedienendes Überwachungswerkzeug wertvolle Dienste.

Uptime Kuma begrüßt die angemeldeten Benutzer mit einem aufgeräumten Dashboard, das wichtige Informationen wie den aktuellen Status, die Response-Zeit sowie die Laufzeit des Zertifikats zentral darstellt. Grundsätzlich verrichtet das Tool die Aufgabe, Statusseiten für Projekte zu erzeugen. Dabei hat der Admin die Option, einzelne Checks zu Gruppen zuzuordnen sowie das Erscheinungsbild der Statusseite mittels CSS anzupassen. Treten Fehler oder Vorfälle auf, lassen sich individuelle "Incidents" erstellen, die dann oben auf der Startseite erscheinen, um Besucher entsprechend zu informieren.

Das Monitoring eines Hosts kann klassisch über HTTP(S) und Ports, aber auch für Docker-Container erfolgen. Dazu muss Docker aber auf dem selben Host laufen oder aber über TCP mittels Docker Daemon abgefragt werden. Weitere Möglichkeiten zur Abfrage sind DNS, MySQL, PostgreSQL, Radius, MQTT und andere. Benachrichtigungen verschickt Uptime Kuma über diverse SMS-Dienstleister, Webhooks, Discord, Pushover und auch Telegram.