© Buchachon Petthanya, 123RF.com

Smartphones gehören zur Standardausrüstung von Systemverwaltern, oft gesellt sich noch ein Tablet dazu. Dann bleibt das Notebook im Büro und der Admin greift zu Geräten, die ihren Gadget-Status abgelegt haben. Das Linux-Magazin hat die wichtigsten Apps für Admins getestet.

In der Prä-Smartphone-Ära, die noch gar nicht so lange vergangen ist, war an den Einsatz eines mobilen Geräts für die Systemverwaltung praktisch kaum zu denken – wenn man von Laptops mit grafischen und Weboberflächen oder auf hohe Latenzen spezialisierter Terminalsoftware [1] absieht.

Breitband bringt mobile Geräte ins Unternehmen

Doch das hat sich geändert: Mit allgegenwärtigen breitbandigen und mobilen Datenverbindungen, Hotspots und auch in Firmen verbreiteten WLANs kommen die Admins zunehmend hinter dem Schreibtisch hervor und aus dem Serverraum raus. Smartphones und Tablets mit ausreichend großen Bildschirmdiagonalen werden zu Multifuntionswerkzeugen, mit denen sich die wichtigsten Aufgaben nicht nur im Notfall und von unterwegs erledigen lassen.

Ein typischer Gerätezoo

Da sich Android-Geräte nicht durch einen homogenen Versionsstand auszeichnen, haben die Autoren die Programme auf verschiedenen Devices getestet: So kamen ein Nexus 4 mit aktuellem Android 4.3, ein Nook HD+ mit einer etwas älteren 4er Version, aber auch ein betagteres Motorola Defy mit Cyanogen Mod 7 und Android 2.3.7 zum Einsatz, dazu ein Sony Experia Go mit Android 2.3 und zahlreichen Backports des Herstellers sowie ein HTC Desire Z mit Android AOSP 4.2.2. Keines der getesteten Programme zeigte dabei auf einem der Geräte Kompatibilitätsprobleme.

Auf Apple-Seite standen ein iPhone mit I-OS 6 und ein iPad der ersten Generation mit I-OS 5 für die Tests zur Verfügung. Auch hier traten keine Komplikationen auf (Abbildungen 1 und 2).

Abbildung 1: Es muss nicht immer das Notebook sein. Smartphones und Tablets in unterschiedlichen Größen, Preisklassen und Geschmacksrichtungen ermöglichen das mobile Administrieren.

Abbildung 2: Auch betagte Geräte wie das mehrere Jahre alte HTC Desire Z eignen sich für die schnelle Admin-Arbeit von unterwegs. Ein aktuelles, halbwegs sicheres Android mit VPN ist dann allerdings Pflicht.

Stores und VPN

Wer den Play Store von Google oder Apples App Store durchwühlt, findet eine große Zahl von meist kostenlosen Apps, die Sysadmins dabei helfen wollen, mit einem vergleichsweise kleinen Endgerät halbwegs komfortabel die von ihnen betreuten Systemen von unterwegs zu verwalten. Darüber hinaus gibt es eine Vielzahl von Werkzeugen, die IT-Spezialisten das Leben leichter machen.

Da die meisten Systeme nicht einfach schutzlos über das Internet zu erreichen sind, sondern gut gesichert hinter der Firewall einer Firma stehen, kann ein Zugriff meist nur über eine VPN-Verbindung erfolgen. Das Einrichten einer solchen Verbindung beschreiben [2] für Android und [3] für I-OS.

Herr der Konsole

Wer häufig Unix- und Linux-Server verwaltet, benötigt als primäres Allzweckwerkzeug zunächst einen SSH-Client. Auf Android-Geräten stellt der Connectbot [4] von Kenny Root und Jeffrey Sharkey die zurzeit wohl beste Wahl dar. Er unterstützt die Anmeldung mittels SSH-Schlüsselpaar und kann auch Ports tunneln. Das erweist sich vor allem dann als hilfreich, wenn ein Zugang per SSH als Ersatz für ein vollwertiges VPN vorgesehen ist.

Connectbot (Abbildung 3) baut auch mehrere simultane Sitzungen auf und ermöglicht Copy&Paste zu anderen Anwendungen, um beispielsweise Kollegen den aktuellen Systemstand per Mail mitzuteilen oder einen Spickzettel mit häufig benötigten Kommandos zu nutzen. Auch wer unterwegs einen Passwortmanager wie Keepass Droid [5] einsetzt, wird diese Funktion bald schätzen. Ein nettes Detail ist, dass der Anwender nach einem Login automatisch Kommandos absetzen kann. Diese Post-Login-Automation erledigt dann zum Beispiel Standardaufgaben wie das Prüfen aktiver Logins oder von Ressourcen.

Abbildung 3: Connectbot emuliert zahlreiche für die Shell nützliche Funktionstasten auf Android-Telefonen und -Tablets.

X für Android

Ebenfalls nützlich ist dies, um ein Display zu exportieren, sodass in Kombination mit dem X-Server für Android [6] der Start von grafischen Anwendungen möglich wird. Leider unterstützt der Android-X-Server nicht alle erforderlichen Extensions, um etwa Firefox zu starten. Dennoch bietet er nach wie vor die umfangreichste X-Server-Implementierung auf Android.

Hacker’s Keyboard

Wer die Vorteile bei der Tastaturbedienung einer Shell kennt, sehnt sich auch auf Touchscreens nach einigen erweiterten Features. Das fängt schon bei der vielerorts fehlenden Tabulator-Taste für die Autocompletion an, nur die wenigsten Androiden haben dieses praktische Detail bereits eingebaut (Abbildung 2). Erst Hacker’s Keyboard ([7], Abbildung 4) macht die Unix-Shell mit Connectbot um einiges angenehmer bedienbar, da es Tabulator-, [Strg]-, [Esc]- und Pfeiltasten nachrüstet.

Abbildung 4: Connectbot und Hacker’s Keyboard gemeinsam in Aktion. Freunde der Kommandozeile dürften sich hier heimischer fühlen als mit dem Standardlayout.

Schmerzlich vermisst: Tabulator-Tasten

Bei der Installation ist zu beachten, dass aus Sicherheitsgründen neue Android-Tastaturen nicht automatisch aktiv sind, sondern der Anwender diese erst über die Systemeinstellungen aktivieren muss. Das scheint zwar auf den ersten Blick unnötig kompliziert, doch ist es durchaus sinnvoll: Unbeabsichtigt installierte Tastaturen könnten als Keylogger funktionieren und unter anderem Passwörter abgreifen.

Apfelkonsole

Auch an der I-OS-Front versieht mit I-SSH ([8], Abbildung 5) ein mächtiger SSH-Client seinen Dienst, der außer den bei Connectbot beschriebenen Features ab Werk sogar mit dem Remote Desktop Protocol (RDP) und Virtual Network Computing (VNC) klarkommt und einen eigenen X-Server mitbringt.

Abbildung 5: I-SSH für I-OS-Geräte bietet einen integrierten X-Server, der neben X11-Anwendungen (hier Xclock) auch Firefox starten kann.

Da funktioniert auch der Start von Firefox problemlos, auch wenn im Vergleich zu der für Tablets und Smartphones optimierten mobilen Version die Anwender hier Abstriche machen müssen. Für den schnellen Zugriff auf Intranet-Ressourcen mag das dennoch eine sicherere Alternative eröffnen. I-SSH ist durch den eingebauten X-Server deutlich komfortabler zu verwenden als das Gespann aus Connectbot und X-Server, da wesentlich weniger Konfigurationsaufwand notwendig ist.

Entfernt fensterln

Wenn ein Konsolenzugriff nicht genügt, sondern auch Zugriff auf Windows-Systeme erforderlich ist, bieten Einzel-Apps für Terminalserver-Protokolle wie das Remote Desktop Protocol (RDP) und Virtual Network Connectivity (VNC) eine breite Auswahl. Der Wunsch nach mehr Komfort führt zu einer App mit dem umständlichen Namen Pocket Cloud Remote RDP/VNC [9] von Wyse Technology. Sie ermöglicht RDP- und VNC-Zugriffe auf Windows-, Linux- und Mac-Systeme und steht sowohl für Android als auch für I-OS zur Verfügung.

Zwei Varianten

Die App unterstützt zwei Wege zur Anmeldung. Beim ersten fragt ein Dialog die IP-Adresse oder den Hostnamen des Zielsystems, den Zielport und eventuell weitere notwendige Login-Informationen ab. Zweitens bietet das Tool aber auch einen automatischen Modus, wobei hier der Pocket Cloud Companion auf dem Zielsystem installiert sein muss. Auch ein Gmail-Account ist nötig. Vor allem für regelmäßig betreute Privatsysteme jenseits des Firmennetzes dürfte das eine interessante Alternative sein.

Als große Einschränkung der kostenlosen Version ist zu beachten, dass sie nur eine Verbindung zu speichern gestattet. Vor dem Anlegen einer neuen Verbindung muss der Anwender die bestehende löschen. Wem dies nicht genügt, der kann für knapp 12 Euro die kommerzielle Version erwerben, die keine solche Einschränkung kennt und auch noch 256-Bit-NLA/TLS-Encryption für RDP-Verbindungen und die Unterstützung für VMware View mitbringt.

Wer häufig mehrere unterschiedliche RDP-Sitzungen aufbauen muss, kann den 2XClient RDP/Remote Desktop [10] einsetzen. Er funktioniert schon seit der uralten Android-Version 1.6 und ermöglicht es, mehrere Verbindungen anzulegen. Für reinen VNC-Zugriff bietet Mocha VNC Lite für Android und I-OS [11] eine Alternative. Leider erlaubt auch sie nur einen Server.

Nomachine

Admins, die beim Verwalten ihrer Remote-Systeme auf Free NX oder das proprietäre NX von Nomachine angewiesen sind, stehen momentan noch ein wenig im Regen. Bislang existiert hier noch kein Client, der auf Android oder I-OS läuft. Zwar findet sich für besonders Hartgesottene eine Anleitung, die beschreibt, wie sich NX in einer Chroot-Umgebung mit Ubuntu auf Android betreiben lässt [12], doch scheint der Nutzen dieser Lösung im harten Alltag noch recht gering.

Nomachine arbeitet aber derzeit offenbar an einem Client für Android und I-OS, will sich laut dem Hinweis auf der Download-Seite [13] damit aber wohl noch bis Dezember 2013 Zeit lassen. Der Quelle ist nicht zu entnehmen, ob ältere Versionen als die V4 des Protokolls unterstützt werden – und für die kürzlich erschienene vierte Programmausgabe haben sich die ehemals italienischen, jetzt luxemburgischen Hersteller viele Jahre Zeit genommen, sehr zum Ärger vieler Kunden. Da scheint einige Geduld gefragt.

Teamviewer mit dem Remote-Touch

Neben den gängigsten Desktop-Betriebssystemen Windows, Mac OS und Linux steht die verbreitete proprietäre, aber für den privaten Einsatz kostenfreie Desktop-Sharing-Software Teamviewer ([14], Abbildung 6) ebenfalls für Android und I-OS in einer Client-Version zur Verfügung. Teamviewer lässt sich für Online-Präsentationen oder -Meetings nutzen, eignet sich aber auch gut für Fernwartungsaufgaben. Hierbei macht sich positiv bemerkbar, dass es eine Quick-Support-Version gibt, die keine Installation erfordert und sich somit besonders für die spontane und unkomplizierte Hilfe für technisch weniger versierte Anwender eignet.

Abbildung 6: Teamviewer steht für eine Vielzahl an Client-Server-Kombinationen bereit. Hier in Aktion bei der Verwaltung einer Mac-OS-Sitzung.

Diese müssen nur ein Programm herunterladen und starten. Danach zeigt ihnen die Software eine Session-ID und ein Passwort an. Beides teilen sie dem mobilen Helfer in der Not am Telefon mit – und schon kann der sich auf das System verbinden und das Problem lösen. Jetzt übernimmt der das Ruder, er kann sogar per Gestensteuerung das System bedienen und Dateien in beide Richtungen übertragen.

Handarbeit

So elegant ein Konsolen-Login oder eine grafische Sitzung auch sein kann, oft sind einfach nur die üblichen Fragen zu beantworten, die einen Systemverwalter umtreiben. Welchen Füllstand haben die Dateisysteme, wie viele User sind auf dem System angemeldet und wie lange läuft es eigentlich schon?

Wer seine Systeme nicht in ein übergeordnetes Monitoringsystem wie Nagios integriert hat, findet an einem Werkzeug wie dem nur für Android erhältlichen Cura-Sysadmin ([15], Abbildung 7) sicherlich Gefallen. Cura beantwortet diese und weitere Fragen unter einer Oberfläche und bringt noch einen eher rudimentären Terminal-Emulator, den Portscanner Nmap und einen Logfile-Betrachter mit. Dieser bietet vorkonfigurierten Zugriff auf die wichtigsten Systemprotokolle in »/var/log« , die sich auch auf dem Android-Gerät speichern lassen.

Abbildung 7: Cura-Sysadmin zeigt die wichtigsten Monitoring-Daten auf einen Android-Blick.

Ein unschönes, aber optionales Feature von Cura verhindert die Installation auf Android-Geräten, die keine SIM-Karte haben: Weil Cura eine Option zum entfernten Löschen der Cura-Datenbank und zum Versenden einer SMS/E-Mail mit den aktuellen Positionsdaten im Verlustfall implementiert hat, ist die GSM-Konnektivität zwingend notwendig.

Dateien managt der ES Datei Explorer

Anwender, die einen Dateimanager suchen, der sich auch für den Einsatz im Netzwerk eignet, kommen fast nicht um den ES Datei Explorer [16] herum. Neben seiner Funktionalität als einfach zu bedienender Dateimanager mit Unterstützung für Zip- und Rar-Archive bietet er auch eine Suchfunktion, mit der sich exemplarisch alle Videodateien auf dem Gerät ermitteln lassen, und einen integrierten Dateibetrachter, der mit den meisten Formaten umzugehen weiß.

Jenseits des eigenen Geräts gewinnt eine breite Protokollunterstützung an Bedeutung. So erlaubt der ES Datei Explorer den Zugriff auf per FTP, SFTP, FTPS, Webdav und CIFS bereitgestellte Ressourcen. Wer seine Daten in der Cloud ablegt, kann unter anderem zu Dropbox, Skydrive, Gdrive und Amazons S3 Verbindung aufbauen. In besonders heterogenen Umgebungen würde man sich noch über eine Implementierung des Network File System (NFS) und des Apple Filing Protocol (AFP) freuen – doch die ist auf mobilen Devices rar.

I-OS-Anwender, die auf Netzwerk-Shares und Cloudressourcen zugreifen wollen, greifen zu Werkzeugen wie den kostenpflichtigen File Explorer [17], dessen kostenfreie Version (File Explorer Free) auf ein Ziel beschränkt bleibt.

Das eigene Netzwerk scannen und sniffen

Wer genug mobil administriert hat und in seinem Netzwerk nach dem Rechten schauen will, dem sei die eierlegende Wollmilchsau Fing ([18], Abbildung 8) ans Herz gelegt. Sie arbeitet sowohl auf Android als auch I-OS und erfasst alle im Netzwerk angemeldeten Geräte mit Hostnamen, IP- und MAC-Adresse und wenn möglich auch dem Hersteller des Netzwerkgeräts.

Abbildung 8: Von links nach rechts: Fing listet die auf einem gescannten System laufenden Dienste und verknüpft entsprechende Zugriffsprogramme, zeigt die Informationen zum aktuellen WLAN an und ermittelt den Internetanbieter. Ganz rechts der Passwortverwalter Keepass Droid, der als mobile Brieftasche für Passwörter dienen mag.

Die übersichtliche Liste kann helfen, um schnell die IP-Adresse eines vergessenen Geräts zu ermitteln oder zu checken, ob eine Maschine online ist, und welche DHCP-Adresse sie vom Server bekommen hat. Die Listen lassen sich entweder direkt auf dem Gerät oder beim Hersteller in der Cloud der allerdings kostenpflichtigen Fingbox speichern.

Portscan und Wake-on-LAN

Das Antippen eines Eintrags startet einen Portscan auf dem entsprechenden Target. Wer dabei offene Dienste findet, kann direkt zum Dienst passende Apps aufrufen. Bei SSH sieht die App etwa Connectbot vor, And FTP [19] für SCP und SFTP. Auch ein direkter Zugriff auf CIFS-Verbindungen per And SMB [20] ist vorkonfiguriert, ebenso der Zugriff auf ein gefundenes Webinterface.

Darüber hinaus lässt sich für einen Host eine Reihe klassischer Netzwerktools aufrufen, Telnet, Ping und Traceroute beispielsweise. Aber auch das Aufwecken eines Systems per Wake-on-LAN (WOL) ist eingebaut. Wer ein nicht in der Liste verzeichnetes Gerät aufwecken will, erreicht das über das globale Einstellungsmenü. Dort kann er auch DNS-Einträge nachschlagen oder Pings und Traceroutes auf beliebige Rechner ausführen.

Fing ist auch als Securitytool nützlich: Wer beispielsweise unterwegs im Hotel-WLAN feststellen möchte, ob der Router Client Isolation betreibt, also die einzelnen Endgeräte sich gegenseitig sehen oder nicht, ist nach einem Fing-Lauf schlauer. Sieht er andere Systeme und Dienste, sollte er es sich sehr genau überlegen, unverschlüsselt Daten zu übertragen.

Wifi Analyzer

Administratoren, die weniger die Geräte im eigenen Netzwerk erkunden wollen, sondern sich eher für die Funknetze in der Umgebung interessieren, sollten einen Blick auf den Klassiker Wifi Analyzer [21] werfen. Das intuitive, schon für Laien geeignete Werkzeug scannt alle in Reichweite gefundenen Funknetzwerke und stellt sie in der Kanalübersicht verständlich in Form einer farbigen Kurvengrafik dar (Abbildung 9). Das hilft bei Empfangsproblemen oder bei der WLAN-Planung.

Abbildung 9: Der Wifi Analyzer zeigt alle gefunden WLANs und erlaubt es, nach möglichst wenig genutzten Kanälen zu suchen.

Geht es darum, den optimalen Standort eines Accesspoints zu ermitteln, hilft der Signalstärkemodus mit seiner Tachonadel, die den Empfang zur ausgewählten Gegenstelle in Echtzeit entweder grün, gelb oder grau darstellt. Wer den Ton aktiviert, kann die App wie einen Geigerzähler verwenden und sich akustisch über die Empfangsqualität informieren.

WLAN-Planung und Interferenzanalyse

Die Kanalbewertung erlaubt es aber auch, das eigene Funknetz auf einem möglichst interferenzfreien Kanal zu betreiben. Sie zeigt die einzelnen Kanäle mit Sternchen bewertet an und hilft, schnell die am wenigsten frequentierten zu ermitteln, was in dicht bewohnten Gebieten durchaus zu einer Herausforderung gerät.

Eher für technisch interessierte Nutzer oder fürs fortgeschrittene Debuggen ist die AP-Liste gedacht, die neben den Namen der einzelnen Netzwerke auch die verwendeten Kanäle, Frequenzen, Verschlüsselungen und die Signalstärken anzeigt, bei mehreren verfügbaren Accesspoints mit derselben ESSID auch deren Details.

Apple erlaubt keine Sniffer

Auf I-OS-Seite hat sich die Auswahl an solchen Apps deutlich verschlechtert, da Apple Mitte 2010 systematisch damit begann, Sniffer aus dem App Store zu entfernen. Begründung: Sniffer setzten auf unerlaubte “private Frameworks zum Ausspähen von Zugangs- und Wifi-Daten”, also direkt auf die eingesetzten Funkchips, nicht auf die von Apple verlangten Bibliotheksaufrufe.

Weiter erlaubt bleiben Anwendungen mit einer eigenen WLAN-Datenbank, was aber nur wenig dabei hilft, die Funknetze in der eigenen Umgebung zu untersuchen. Den Ausweg bahnen nur ein Jailbreak und das Ausweichen auf das App-Verzeichnis Cydia, das eine breitere Auswahl von Sniffern bietet.

Ob der Rootzugriff eine Alternative ist, muss der Admin im Einzelfall selbst entscheiden, viele Sicherheitsexperten raten ohnehin dazu, nach dem Motto “Möglich ist er, also machen Sie das doch lieber selbst, als dieses Feld nur dem Hacker zu überlassen”. Dennoch bietet dieses Thema Stoff für hitzige Diskussionen unter Securityberatern.

Wem es weniger darum geht, einzelne Geräte, sondern das große Ganze im Blick zu behalten, der setzt meist ohnehin eine Monitoringlösung wie Nagios oder Icinga ein. Für beide sind passende Apps und Webinterfaces erhältlich, mit denen der Admin unterwegs alle wichtigen Systeme auch auf einem kleinen Bildschirm im Blick behält. Die Nagios-Homepage kann gar eine ganze Handvoll mobiler Interfaces aufzählen [22].

Fazit

Smartphones und Tablets mit Android und I-OS haben sich in den letzten Jahren für Admins zu einer sehr brauchbaren Alternative entwickelt, wenn es darum geht, mal eben schnell auf einem betreuten System nach dem Rechten zu schauen. Sie haben trotz gravierender Sicherheitsmängel ihr unseriöses Image verloren. Eine breite Auswahl von Apps für praktisch jeden Einsatzzweck macht die mobilen Geräte zu Allzweckwerkzeugen, und zwar bereits ohne Rootrechte auf den Devices (siehe Kasten “Mehr Spaß mit Rootrechten”).

Mehr Spaß mit Rootrechten

Keine der im Artikel vorgestellten Anwendungen erfordert Rootrechte. Wer jedoch die erweiterten Berechtigungen auf seinem Gerät vorweisen kann, öffnet die Tür für weitere interessante Apps, etwa das Netzwerksicherheitstool Wifiinspect [23]. Ein Netzwerkscan geht damit zwar wesentlich behäbiger vonstatten als bei Fing, dafür klopft das Tool aber auch Rechner auf gängige Sicherheitslücken ab oder schneidet Netzwerktraffic im Pcap-Format mit. Intern dienen dazu altbekannte Werkzeuge wie Nmap oder Tcpdump.

Die Funktionsübersicht in Googles Play Store listet weitere Schmankerl auf, so etwa das Testen von Accesspoints auf nicht veränderte, unsichere Default-Passwörter.

Ebenfalls attraktiv für sicherheitsbewusste Admins sind Schwachstellendetektoren wie die Pentesting-App Zanti ([24], Abbildung 10) oder Android-Forensiktools wie das Arbeitsspeicher-Analyseprogramm Volatility oder das RAM-Schnappschuss-Tool Lime [25]. Die meisten dieser Werkzeuge entwickeln ihr volles Potenzial erst mit Rootrechten.

Abbildung 10: Scannt lokale Netze auf Verwundbarkeiten: Zanti.

Das Marschgepäck des mobilen Admin wird deutlich leichter, Notebook und PC bleiben stationär. Für ausgedehnte Sitzungen kann es aber nicht schaden, ein Notebook parat zu haben oder zumindest per Bluetooth eine richtige Tastatur anzubinden. Der Rest ist Touch.

Der Autor

Holger Gantikow hat an der Hochschule Furtwangen Informatik studiert und ist bei der Science + Computing AG in Tübingen als Senior Systems Engineer tätig. Dort beschäftigt er sich mit der Komplexität heterogener Systeme im CAE-Berechnungsumfeld und betreut Kunden aus dem technisch-wissenschaftlichen Bereich.