Während früher die Aktualität und Anzahl der Pakete im Vordergrund stand, setzen Mandrake, Red Hat und Suse heute vermehrt auf Stabilität und Kontinuität. Mit dem Erscheinen von Red Hat Enterprise Linux 4 verfügen nun alle drei über eine Enterprise-Distribution mit Kernel 2.6 als Zugpferd.

Linux-Distributoren wollen Anwendern den Einstieg in Linux so schmackhaft wie möglich machen und Systemadministratoren von der Stabilität ihrer Produkte überzeugen. Da sich die Integration neuester Anwendersoftware und das Streben nach Stabilität nicht immer vertragen – Fehler einer Software sind oft nicht von Anfang an ersichtlich oder treten erst im Zusammenspiel mit anderen Programmen zu Tage – führen die meisten Distributoren deshalb zwei oder mehrere Produktlinien.

Für Endanwender liefern Mandrake, Novell und Red Hat Produkte, die die jeweils aktuelle Kernelversion und stets neue Versionen der grafischen Oberflächen KDE und Gnome enthalten. Auch bei den übrigen Paketen achten sie darauf, die Versionen so aktuell wie möglich zu halten. Diese Produkte bringen die Distributoren unter den Namen Suse Linux Professional, Mandrakelinux und Fedora Core alle sechs bis acht Monate auf den Markt. Die darin enthaltene Software ist zwar in der Regel auf dem neuesten Stand, bringt aber selten die Stabilität und Kontinuität mit, die sich der professionelle Anwender wünscht.

Business-Lösungen

Für Administratoren von Servern in Firmen bietet sich deshalb eine der Enterprise-Lösungen an: Mandrakelinux Corporate Server, Red Hat Enterprise Linux oder Suse Linux Enterprise Server. Bei diesen Produkten geht es den Distributoren darum, möglichst stabile und langlebige Softwareversionen einzusetzen. Der Release-Zyklus beträgt folglich auch 18 Monate.

Auf Updates der Kernelversion verzichten die Distributoren in der Regel, um die Kontinuität des bestehenden Systems zu gewährleisten. Falls nötig bauen die Entwickler Funktionen aus neueren Kernelversionen in den alten Kernel ein (so genanntes Backporting). Weitere große Unterschiede zwischen den Endanwender- und den Businessprodukten sind die Lizenzierung und der Support.

Während die Software für Heimanwender in der Regel frei verfügbar ist und der Distributor dazu kaum Support anbietet, sind die Enterprise-Lösungen meist per Server oder per CPU lizenziert und mit einem umfangreichen Support-Angebot verbunden (siehe Kasten “Preise, Support und Zertifizierung”). Die Enterprise-Produkte und der damit verbundene Support bilden entsprechend auch das wichtigste Standbein von Red Hat & Co.

Enterprise Linux 4

Red Hat verwendet in Enterprise Linux 4 (RHEL 4, [1]) Kernel 2.6.9-5EL. Als besondere Neuigkeiten sind die Integration von SE-Linux [2] und LVM in der Version 2 zu nennen. Mit Hilfe von SE-Linux lässt sich der Zugriff von Applikationen auf Dateien und Geräte beschränken. So dürfen beispielsweise Programme nur noch Dateien modifizieren, die ihnen zugeordnet sind. Das begrenzt den Schaden, den ein Angreifer über ein kompromittiertes Programm anrichtet. Zusätzlich zu diesen Neuerungen entfällt in RHEL 4 das Storage-Limit der Vorgängerversion von 2 GByte.

Red Hat hat sich mit Enterprise Linux 3 zum Linux-Marktführer etabliert. Mit Version 4 möchte das amerikanische Unternehmen nun offiziell Solaris den Rang als Enterprise-Serversystem streitig machen. Dazu hat die Firma in RHEL 4 das Red Hat Networks Management um einige Solaris-spezifische Funktionen erweitert. So ist es jetzt möglich, Solaris-Rechner über einen zentralen RHEL-4-Server zu updaten. Red Hat garantiert für den Enterprise Server sieben Jahre Maintenance. Das Produkt gibt es in zwei Versionen: RHEL 4 ES ist für den Einsatz auf kleinen und mittleren Servern gedacht, die AS-Version richtet sich an große Datenzentren. Dem folgenden Test lag die ES-Variante zu Grunde. Informationen zu den unterstützten Plattformen zeigt Tabelle 1.

Abbildung 1: Mandrakes Corporate Server 3.0 enthält eine Reihe von Server-Assistenten, die bei der Konfiguration verbreiteter Servertools helfen. Zu sehen ist der DCHP-Wizard.

Corporate Server 3.0

Mandrake setzt beim Corporate Server 3.0[3] auf Kernel 2.6.3-20mdksecure. Das Kürzel nach der Versionsnummer deutet darauf hin, dass Mandrake Änderungen am Kernel vorgenommen hat, wie dies auch Suse und – in deutlich geringerem Umfang <m> Red Hat tun. Hierbei handelt es sich überwiegend um Sicherheitspatches. Dank Kernel 2.6 weist der neue Corporate Server eine verbesserte Hardware-Unterstützung auf. Die Bedienung erleichtern zahlreiche Wizzards (siehe Abbildung 1).

Der französische Linux-Hersteller garantiert Updates und Support für fünf Jahre. Die LSB-2.0-zertifizierte Distribution ist für Intel-kompatible x86-Systeme sowie für AMDs x86-64-Plattform verfügbar.

Enterprise Server 9

Novells Suse Linux Enterprise Server 9 (SLES 9,[4]) setzt den Kernel 2.6.5-7.97-default ein. Zu den Neuheiten zählt neben der Verwendung des 2.6er Kernels auch der Support für Non Uniform Memory Access (NUMA). Dieses Feature ist auf Highend-Systemen mit NUMA-Architektur – Rechner mit Dutzenden oder gar Hunderten von CPUs – relevant.

Interessant sind auch einige neue Module für Suses Administrationswerkzeug Yast: Das Konfigurationsutility zum Aufsetzen von User Mode Linux Images (siehe Abbildung 2) eignet sich zum Beispiel für Webhoster, die ihren Kunden virtuelle Maschinen auf UML-Basis anbieten. Die Maintenance-Laufzeit für SLES 9 beträgt fünf Jahre, der Release-Zyklus wie bei Red Hat und Mandrake 18 Monate.

Test-Szenario

Ein Blick auf die unterstützen Architekturen in Tabelle 1 zeigt, dass Mandrakes Corporate Server in erster Linie auf kleine und mittlere Unternehmen ausgelegt ist. Red Hat und Novell peilen mit ihrer Enterprise-Lösung eher die Großkunden an. Es ist deshalb schwierig, einen Testaufbau zu finden, der allen gerecht wird. Für diesen Test wählte der Autor deshalb ein Szenario, wie es in Firmenabteilungen oder kleineren Unternehmen zu finden ist (Abbildung 3) und dort klassische Serveraufgaben wie File-, Print- und Authentikations-Server bearbeitet.

Als Testrechner kam ein Dual-Pentium-III mit 512 MByte Hauptspeicher sowie einer 80-GByte-IDE-Festplatte zum Einsatz. Der Server besitzt eine von Linux nur schlecht unterstützte Kyro-Karte, die die Distributionen mit Hilfe des Framebuffer-Treibers ansteuern mussten. Für das Testen der automatischen Partitionierung kam eine separate 40-GByte-Platte zum Einsatz.

Aufgabe der drei Distributionen war es, NFS-, Samba- und Printserver zur Verfügung zu stellen sowie den Clients den Internetzugang zu ermöglichen. Von außen sollte der Server per SSH zu erreichen sein, allerdings über Port 24. Grundlage war die vom Hersteller festgelegte Standardinstallation.

Mandrakes Drakx

Bei der Installation des Corporate Server fiel negativ auf, dass es in vielen Fällen keine Möglichkeit gibt, zum vorherigen Bildschirm zurückzukehren und Einstellungen zu ändern. Als Root-Passwort akzeptierte der Corporate Server bei Auswahl der Sicherheitsoption »High« zwar »short« nicht, »shorter« ließ er aber unbeanstandet durch. Erst bei der für Server empfohlenen Sicherheitsvariante »Higher« akzeptierte der Installer auch »shorter« nicht mehr. Die Firewall ist zwar standardmäßig nicht aktiviert, lässt sich aber bereits während der Installation einschalten.

Abbildung 2: Der Suse Linux Enterprise Server 9 enthält vielfältige grafische Konfigurationsmöglichkeiten. Besonders interessant ist die Option, mit Yast ein User Mode Linux zu konfigurieren.

Als Standard-Bootloader setzt Mandrakelinux Lilo ein, die Anwendung von Grub ist aber auch möglich. Gut gefiel im Test, dass Mandrake für »/home« eine eigene Partition einrichtet (siehe Abbildung 4). So lässt sich das System notfalls neu installieren, ohne hinterher das Backup der Homeverzeichnisse einspielen zu müssen.

Installation mit Yast

Die Installation spielt im Leben eines Servers nur eine untergeordnete Rolle, der Artikel geht daher nur auf einige Besonderheiten ein. Die Installer aller drei Distributionen (Yast, Anaconda und Drakx) dürften keinen Administrator vor nennenswerte Hürden stellen.

Yast modifizierte im Test beim Ändern der Tastaturbelegung auch die Standard-Software-Auswahl der Suse-Distribution. Zur ursprünglichen Auswahl gesellten sich auf einmal die Optionen »Yast« und »Basic Runtime System« hinzu. Wie weitere Tests zeigten, sind die darin enthaltenen Pakete immer ausgewählt, Yast zeigt beide Einträge aber normalerweise nicht an. Einen weiteren Bug förderte der erste CD-Wechsel zu Tage: Yast verlangte zwar nach der zweiten CD, zeigte jedoch nach dem Wechsel weiterhin CD 1 als Installationsquelle an.

SLES 9 liefert aber auch neue Features: Bereits während der Installation lassen sich eine Certificate Authority (CA) anlegen und der Open-LDAP-Server konfigurieren. Sämtliche Servermodule von Yast können dann auf den konfigurierten LDAP-Server zurückgreifen. Gut gefiel, dass Yast bei der Benutzereinrichtung und beim Root-Account zu einfache Passwörter bemängelt und sich das System noch vor Abschluss der Installation per Online-Update aktualisieren lässt.

Abbildung 3: Dieses Testnetz sollten die Enterprise-Server verwirklichen.

Abbildung 4: Bei der automatischen Partitionierung der 40 GByte-Platte verfolgen alle drei Distributionen einen anderen Ansatz.

Red Hat Anaconda

Anaconda fragt vor der Installation von Red Hat Enterprise Linux 4 nach, ob es die Installationsmedien auf Fehler prüfen soll. Eine sinnvolle Option, wenn man bedenkt, dass Installations-CDs immer häufiger per Download beim Endkunden landen. Wie Mandrakes Drakx akzeptiert der Installer das unsichere Passwort »shorter« ohne weitere Hinweise.

Security Enhanced Linux

Als Einziger der drei Distributoren baute Red Hat auch Security Enhanced Linux – ein Projekt der amerikanischen National Security Agency (NSA), das in enger Zusammenarbeit mit Red Hat entstand – in seine Software ein (siehe Abbildung 5). SE-Linux ist zwar seit Version 2.6 fester Bestandteil des Kernels, wird aber mangels Unterstützung durch Benutzeranwendungen von den meisten Distributionen noch nicht aktiv verwendet. Bei ReiserFS gab es anfänglich auch Probleme mit den erweiterten Attributen, über die SE-Linux realisiert wird. Sie sind aber inzwischen behoben.</>

Um SE-Linux benutzen zu können, müssen Dateien mit einem entsprechenden Attribut versehen sein (zum Beispiel »apache«). Der Zugriff auf solche Dateien ist dann nur Programmen und Prozessen möglich, die demselben Attribut (auch Domain genannt) zugeordnet sind. SE-Linux ermöglicht es auf diese Weise, Programmen, die mit Root-Rechten laufen, Rechte zu entziehen. Der Webserver Apache beispielsweise darf nur noch Dateien mit dem Attribut »apache« ändern.

Die Installation dauerte bei allen Systemen höchstens 40 Minuten. Besonders schnell war Mandrake mit rund 20 Minuten. Der Corporate Server installierte auch mit Abstand die wenigsten Pakete: ein Pluspunkt auf einem Serversystem. Alle Distributionen fanden nach der Installation über den ADSL-Router per DHCP automatisch ins Netz.

Erster Eindruck

Abbildung 4 zeigt die Aufteilung einer 40-GByte-Festplatte, wie sie die einzelnen Distributionen bei Verwendung der Standardeinstellungen vornehmen. Besonders auffällig ist, dass Red Hat die Swap- und Root-Partitionen als Logical Volumes in eine Volume Group verpackt. Red Hat legt auch eine eigene Partition für »/boot« an. Suse setzt standardmäßig auf ReiserFS als Dateisystem, Red Hat und Mandrake auf Ext 3.

Mandrakes Corporate Server erweist sich mit der Sicherheitseinstellung »Higher« als kleine Festung: Ein Login als Root auf der Konsole ist zum Beispiel nicht möglich. Verantwortlich dafür ist die Option »Allow direct root login« im Mandrake-Kontrollzentrum. Sie ist standardmäßig auf »no« gesetzt, sodass sich der Administrator nur über »su« anmelden kann. Auch eine Vielzahl von potenziell kritischen Systemkommandos ist bei entsprechenden Einstellungen durch normale Benutzer nicht ausführbar. Die Logdateien offenbaren ferner eine Reihe periodischer Checks des Systems. Der installierte Desktop ist mit Ice WM etwas spartanisch, was bei einem Serversystem aber nicht tragisch ist.

Abbildung 5: Red Hat Enterprise Linux 4 enthält SE-Linux. Es erlaubt die feingranulare Konfiguration zusätzlicher Hürden gegen potenzielle Angreifer.

Der SLES 9 präsentiert sich mit KDE 3.2. Wie Mandrake integriert Suse alle Konfigurationsoptionen in einer einheitlichen Oberfläche. Yast bietet von allen drei Distributionen mit Abstand die meisten Konfigurationsmöglichkeiten. Auf der Konsole präsentiert sich Yast aufgeräumt, ist allerdings im Vergleich mit der grafischen Oberfläche etwas umständlicher zu bedienen.

Ohne Kontrollzentrum

Red Hat Enterprise Linux präsentiert nach der Installation eine aufgeräumte Gnome-Oberfläche. Anders als Suse und Mandrake setzen die Amerikaner nicht auf ein einziges Kontrollzentrum, sondern auf Einzelanwendungen. Eine Liste der Tools zeigt »system-config-« gefolgt von [Tab]. Für die rund 20 Tools stehen mit dem gleichen Befehl ein grafisches und ein Ascii-Konfigurationswerkzeug zur Verfügung, wobei die Bedienung der Ascii-Oberfläche vielfach ziemlich umständlich ist.

Von SE-Linux merkt man im täglichen Betrieb lobenswerterweise nichts, obwohl der Eingriff ins System durch SE-Linux nicht klein ist. Ein Login als Root ist auch auf der Konsole sofort erlaubt.

Kontaktaufnahme

Es war eine der Vorgaben der Testaufgabe, dass die Systeme von außen über Port 24 per SSH erreichbar sein sollten. Ähnliche Setups sind in manchen Unternehmen zu finden, zum Beispiel als zusätzliches Fallback. Die Wahl erfolgte hier jedoch, um zu demonstrieren, welche Änderungen am System erforderlich und wie leicht sie zu bewältigen sind. Bereits während der Installation erlaubt es Mandrake, über die Einstellung »Advanced« im Firewall-Dialog neben einigen speziellen Diensten auch verschiedene Ports freizuschalten und somit bereits frühzeitig Port 24 für SSH zu öffnen.

Red Hat lässt während der Installation nur das Freischalten einzelner Dienste zu, ohne die Möglichkeit zur Festlegung spezieller zusätzlicher Ports (siehe Abbildung 6). Die Nachkonfiguration ist jedoch einfach. SLES erlaubt ähnlich wie der Corporate Server auch das Öffnen des gewünschten Ports. Wer dies während der Installation vergessen hat, darf die Einstellung im entsprechenden Yast-Modul nachholen.

SSH auf Port 24

Für das Umschalten des SSH-Zugangs auf Port 24 muss der Administrator bei allen drei Systemen die Konfigurationsdatei »/etc/ssh/sshd_config« editieren. Dank der weitgehenden Standardisierung aller drei Systeme befindet sich die Konfigurationsdatei bei allen Distributionen am gleichen Ort des Systems. Der Zugang zu Suse und Red Hat war danach via SSH möglich. Mandrake weigerte sich jedoch unter der Sicherheitseinstellung »Higher« standhaft Kontakt aufzunehmen. Erst der Eintrag von »sshd: ALL« in »/etc/hosts.allow« ermöglichte den SSH-Zugang auch der höheren Sicherheitsstufe.

Gateway-Funktion

SLES 9 bietet für die Konfiguration des DHCP-Servers unter »Netzwerk Services« ein Yast-Modul an. Zwar war der entsprechende Yast-Eintrag vorhanden, die Serversoftware hingegen fehlte, da sie nicht Teil der Standardinstallation ist. Das System meldete sich jedoch mit dem Angebot, das Paket »dhcp-server« nachzuinstallieren.

Auch das Masquerading lässt sich bequem über Yast erledigen. Einfach im Modul »Firewall« interne und externe Schittstelle wählen (siehe Abbildung 7), dann im nächsten Dialog bei »Masquerading« die entsprechende Checkbox ankreuzen. Vielfältigere Möglichkeiten bieten sich durch das Editieren der Datei »/etc/sysconfig/Susefirewall2«.

Abbildung 6: Bei Red Hats Enterprise Linux sind SE-Linux und die Firewall standardmäßig aktiv. Die wichtigsten Dienste lassen sich zwar per Mausklick aktivieren, Samba fehlt jedoch in der Liste.

Etwas schwerer war die Konfiguration des Masquerading bei Red Hat. Der sehr ausführliche System Administration Guide liefert im Index keine Einträge zu Routing, Masquerading oder NAT. Erst nach einigem Suchen fand sich im online verfügbaren Red Hat Enterprise Linux Security Guide[10] die Information (Forward and NAT rules), dass die Funktionalität durch einen Eintrag in der Datei »/etc/sysctl.conf« erreicht wird. Ein Hinweis im Administrationshandbuch wäre angebracht.

Auch die Konfiguration des DHCP-Servers erfolgt manuell durch die Konfiguration von »/etc/dhcpd.conf«. Probeweise kopierte der Autor die von Yast erstellte Konfigurationsdatei auf das Red- Hat-System – die Clients erhielten nach dem Neustart des »dhcpd«-Dienstes die gewünschte IP. Red Hat bietet auch Templates für die Datei »dhcpd.conf« an. Ähnlich problemlos wie bei Suse verlief die Konfiguration der DHCP-Funktionalität mit dem Assistenten »Configure DHCP Server« bei Mandrake. Auch die Masquerading-Funktionalität lässt sich über das Modul »Internet Connection Sharing« per Mausklick einstellen.

Printserver einrichten

RHEL 4 lässt sich mit Hilfe weniger Mausklicks in einen Printserver verwandeln. In der Drucker-Konfiguration wählt der Sysadmin dazu einen Drucker aus und klickt auf die Option »Sharing«. Anschließend legt er fest, ob allen Rechnern oder nur Netzen an bestimmten Netzwerkgeräten der Zugang zum Drucker erlaubt ist. Mandrake ermöglicht die Konfiguration des Printsharing einmal mehr aus dem Mandrake Control Center heraus.

Suse muss wie schon beim DHCP-Server zunächst das entsprechende Paket nachinstallieren. Nach der Aktivierung der Option »Cups full server installation« (unterhalb von »Advanced«) wird der Drucker auf allen Clients sichtbar. In den meisten internen Netzen läuft jedoch auf der Mehrzahl der Clients Windows, was Samba-Freigaben erfordert.

Mit Hilfe des Samba-Moduls war diese Konfiguration im Test unter SLES 9 in wenigen Minuten erledigt. Alle zuvor eingerichteten Drucker standen den Windows-Clients zur Verfügung. Mandrake bietet eine ähnlich komfortable Freigabe von Druckern über Samba. Unter Red Hat ist das Exportieren von Druckern nur durch das Editieren der Datei »/etc/samba/smb.conf« möglich.

NFS-Server

Für die Freischaltung des NFS-Servers stehen unter allen drei Systemen Wizzards zur Verfügung. Am besten funktionierten diese beim SLES 9. Hier sorgt das Yast-Modul auch dafür, dass der NFS-Server in Runlevel 5 automatisch startet. Das Editieren von »/etc/exports« mit anschließendem »chkconfig –add nfs« dürfte jedoch bei allen drei Systemen der schnellste Weg zum Erfolg sein.

Mandrake verfolgt noch einen zusätzlichen Weg: Dazu legt der Administrator mit Hilfe des Moduls »Local disk sharing« fest, ob überhaupt Bereiche über das Netzwerk verfügbar sein sollen, und falls ja, über welches Protokoll (NFS und/oder SMB). Anschließend können Benutzer in Nautilus ihre Verzeichnisse freigeben, indem sie mit der rechten Maustaste auf einen Ordner klicken und die Option »Share« auswählen.

Abbildung 7: Im Firewall-Modul von Yast legt der Administrator das interne und externe Netzwerk-Interface für das Masquerading fest und schaltet anschließend einzelne Dienste und Ports der Firewall frei.

Fazit

Im realen Leben gestaltet sich das Netzwerk wesentlich komplizierter als in diesem Szenario. Erst dann zeigen sich auch die Stärken und Schwächen der grafischen Konfigurationswerkzeuge: Sie decken zwar zahlreiche Funktionen mit wenigen Mausklicks ab, erfüllen jedoch die Anforderungen von Firmen, die Enterprise-Produkte in großem Stil anwenden, oft nicht. Red Hat schenkt sich denn auch aufwändige grafische Tools und vertraut auf das Wissen des Systemadministrators. Ob sich dieses Verhalten angesichts der zunehmenden Nachfrage nach Linux-Servern auch aus Nicht-Unix-Kreisen aufrecht erhalten lässt, ist fraglich.

Mandrake, Novell und Red Hat konzentrierten sich in den letzten Jahren darauf, an ihren Enterprise-Systemen zu feilen. Grobe Mängel förderte der Test auch nicht zu Tage. Treten dennoch Probleme oder Sicherheitslücken auf, stellen die Distributoren per Online-Update neue Pakete zur Verfügung. Bei Suse hat sich dazu auch das traditionelle Service Pack eingebürgert (siehe Kasten “Service Pack 1 für SLES 9”).

Da alle drei Systeme auf den gleichen Open-Source-Komponenten beruhen, gibt es technisch kaum Unterschiede, abgesehen davon, dass Mandrake nur in der unteren Liga für X86 und AMD 64 mitspielt. Die Entscheidung für oder gegen eine Distribution bestimmen daher in erster Linie das Supportangebot, die Zertifizierungen von Hard- und Software sowie der Preis. (mhi)