Der Alltag eines hauptberuflichen Administrators ist nicht immer leicht, wohl aber voller Abwechslung. Wer die richtigen Tools kennt – und sie auch bedienen kann -, löst in endlicher Zeit auch tückische Probleme. Ein Beispiel ist Ngrep.

Es ist Montagvormittag 07:10 Uhr. Ich erhalte die gerechte Strafe für zu frühes Aufstehen: Ein User ruft mich an. Er erklärt mir wortreich, dass er zwar eigentlich über alles EDV-Wissen der Welt verfüge, ihn nun aber doch ein mysteriöses Problem umtreibt: Ein POP3-Server wolle nichts mit seinem Mail-Client zu tun haben. Bei seinem AOL-Account trete das Problem nicht auf. (Zum Glück beginnt nicht jede Woche so.)

Da er freimütig bekennt, die regelmäßig erscheinenden Dialogboxen mit den Fehlermeldungen ungelesen wegzuklicken (“Da steht doch eh nichts Hilfreiches drin”), greife ich zu dem Tool Ngrep und bitte ihn, noch einmal auf das Postfach zuzugreifen. Auf dem Mailserver liefert mir »ngrep -d eth0 port 110« eine Übersicht über den POP3-Verkehr:

T 10.50.5.9:110 -> 10.0.0.96:33397 [AP]
  +OK POP3 mail.entropy.krzn.de v5.49 server ready..
##
T 10.0.0.96:33397 -> 10.50.5.9:110 [AP]
  user default..
##
T 10.50.5.9:110 -> 10.0.0.96:33397 [AP]
  +OK User name accepted, password please..
##
T 10.0.0.96:33397 -> 10.50.5.9:110 [AP]
  pass xxxxxxxx..
##
T 10.50.5.9:110 -> 10.0.0.96:33397 [AP]
  -ERR Bad login..

Ich rufe also den User an und sage ihm, dass sein User-Name nicht »default« ist, teile ihm als neuen Usernamen »haorxnaag« und als Passwort »uveagbg« zu und hoffe, dass er niemals herausfinden möge, was Rot13 ist.

Ngrep (Informationen, Download: [www.packetfactory.net/projects/ngrep]) ist ein ebenso nützliches Werkzeug wie Tcpdump, da es wertvolle Hilfe beim Diagnostizieren von Klartext-Protokollen wie SMTP, FTP, HTTP oder – wie gesehen – POP3 leistet. Bekommt zum Beispiel ein User beim Versenden von Mail über den Firmen-Mailserver »relaying denied«, dann kann man mit Ngrep schnell herausfinden, wo es hakt:

ngrep 'mail from' tcp port 25
T 10.0.0.20:33411 -> 10.50.5.9:25 [AP]
  mail from: willi.wutz@fimra.org..

Der Buchstabendreher »fimra«/»firma« ist schnell gefunden, ohne mit Helpdesk die komplette Konfiguration des Mail- Clients durchdeklinieren zu müssen.

Auch bei ICMP mach sich Ngrep nützlich. So ist es relativ einfach, anhand eines Ping-Pakets festzustellen, welches Betriebssystem sich dort tummelt. Ngrep soll den gesamten ICMP-Verkehr anzeigen: »ngrep ” icmp«. Nun lassen wir uns von einem Linux-Rechner anpingen:

I 10.0.0.1  -> 10.0.0.96 0:0
  .......<.w.......................... !"#$%&'()*+,-./01234567

Und dann von einem Windows-Rechner:

I 10.50.5.9 -> 10.0.0.95 0:0
  ....abcdefghijklmnopqrstuvwabcdefghi

Der Unterschied im Payload der jeweiligen Pakete ist unverkennbar.

Das war’s für diesen Montag und damit auch für die aktuelle Ausgabe von “Aus dem Alltag eines Sysadmins”.

DHCP und Firewall auf S/390

Ein Beitrag der Rubrik “Sysadmin” befasst sich mit dem IP-Nummern-Verteildienst DHCP, der in keinem Netz fehlen sollte. Der zweite beschreibt Portierung und Installation einer Firewall unter Linux – nicht irgendwo, sondern auf der virtuellen Maschine eines IBM zSeries. Interessant ist der Bericht auch für Leute, die keine so dicken Maschinen zu administrieren haben, beschreibt er doch für jedermann verständlich Erlebnisse aus dem Mainframe-Alltag. (jk)