Foxwiki - Benutzerbeiträge [de]

Webserver

2026-06-17T09:51:55Z

Dirkwagner:

'''Webserver''' - [[Server]], der [[Dokument]]e an [[Client]]s wie einen [[Webbrowser]] überträgt

== Beschreibung ==
; Webserver
* Webserver-Software
* Computer mit Webserver-Software

; Einsatz von Webserver
* lokal
* in Firmennetzwerken
* [[WWW]]-Dienst im [[Internet]] (überwiegend)

; Dokumente
Dem geforderten Zweck zur Verfügung gestellt werden
* lokal
* firmenintern
* weltweit

<noinclude>
== Anhang ==
=== Siehe auch ===
<div style="column-count:2">
<categorytree hideroot=on mode="pages">Webserver</categorytree>
</div>
----
{{Special:PrefixIndex/{{BASEPAGENAME}}/}}

=== Links ===
==== Weblinks ====
# https://de.wikipedia.org/wiki/Webserver

[[Kategorie:Webserver]]
[[Kategorie:Glossar/Netzwerk]]

</noinclude>

Webserver

2026-06-17T09:49:18Z

Dirkwagner:

'''Webserver''' - [[Server]], der [[Dokument]]e an [[Client]]s wie einen [[Webbrowser]] überträgt

== Beschreibung ==
Als Webserver bezeichnet man den Computer
* mit Webserver-Software oder
* nur die Webserver-Software selbst

Einsatz von Webserver
* lokal
* in Firmennetzwerken
* [[WWW]]-Dienst im [[Internet]] (überwiegend)

Dokumente können dem geforderten Zweck lokal, firmenintern und weltweit zur Verfügung gestellt werden

<noinclude>

== Anhang ==
=== Siehe auch ===
<div style="column-count:2">
<categorytree hideroot=on mode="pages">Webserver</categorytree>
</div>
----
{{Special:PrefixIndex/{{BASEPAGENAME}}/}}

=== Links ===
==== Weblinks ====
# https://de.wikipedia.org/wiki/Webserver

[[Kategorie:Webserver]]

</noinclude>
[[Kategorie:Glossar/Netzwerk]]

Webserver

2026-06-17T09:48:44Z

Dirkwagner:

Webserver

2026-06-17T09:48:16Z

Dirkwagner:

'''Webserver''' - [[Server]], der [[Dokument]]er an [[Client]]a wie einen [[Webbrowser]] überträgt

== Beschreibung ==
Als Webserver bezeichnet man den Computer
* mit Webserver-Software oder
* nur die Webserver-Software selbst

Einsatz von Webserver
* lokal
* in Firmennetzwerken
* [[WWW]]-Dienst im [[Internet]] (überwiegend)

Dokumente können dem geforderten Zweck lokal, firmenintern und weltweit zur Verfügung gestellt werden

<noinclude>

== Anhang ==
=== Siehe auch ===
<div style="column-count:2">
<categorytree hideroot=on mode="pages">Webserver</categorytree>
</div>
----
{{Special:PrefixIndex/{{BASEPAGENAME}}/}}

=== Links ===
==== Weblinks ====
# https://de.wikipedia.org/wiki/Webserver

[[Kategorie:Webserver]]

</noinclude>

Webserver

2026-06-17T09:47:41Z

Dirkwagner: /* Beschreibung */

'''Webserver''' - [[Server]], der [[Dokumente]] an [[Clients]] wie einen [[Webbrowser]] überträgt

== Beschreibung ==
Als Webserver bezeichnet man den Computer
* mit Webserver-Software oder
* nur die Webserver-Software selbst

Einsatz von Webserver
* lokal
* in Firmennetzwerken
* [[WWW]]-Dienst im [[Internet]] (überwiegend)

Dokumente können dem geforderten Zweck lokal, firmenintern und weltweit zur Verfügung gestellt werden

<noinclude>

== Anhang ==
=== Siehe auch ===
<div style="column-count:2">
<categorytree hideroot=on mode="pages">Webserver</categorytree>
</div>
----
{{Special:PrefixIndex/{{BASEPAGENAME}}/}}

=== Links ===
==== Weblinks ====
# https://de.wikipedia.org/wiki/Webserver

[[Kategorie:Webserver]]

</noinclude>

Webserver

2026-06-17T09:46:18Z

Dirkwagner:

'''Webserver''' - [[Server]], der [[Dokumente]] an [[Clients]] wie einen [[Webbrowser]] überträgt

== Beschreibung ==
Als Webserver bezeichnet man den Computer
* mit Webserver-Software oder
* nur die Webserver-Software selbst

Webserver werden
* lokal
* in Firmennetzwerken und
* überwiegend als [[WWW]]-Dienst im Internet eingesetzt

Dokumente können somit dem geforderten Zweck lokal, firmenintern und weltweit zur Verfügung gestellt werden

<noinclude>

== Anhang ==
=== Siehe auch ===
<div style="column-count:2">
<categorytree hideroot=on mode="pages">Webserver</categorytree>
</div>
----
{{Special:PrefixIndex/{{BASEPAGENAME}}/}}

=== Links ===
==== Weblinks ====
# https://de.wikipedia.org/wiki/Webserver

[[Kategorie:Webserver]]

</noinclude>

Webserver

2026-06-17T09:45:54Z

Dirkwagner: /* Beschreibung */

'''Webserver'''

Ein [[Webserver]] ist ein [[Server]], der [[Dokumente]] an [[Clients]] wie einen [[Webbrowser]] überträgt

== Beschreibung ==
Als Webserver bezeichnet man den Computer
* mit Webserver-Software oder
* nur die Webserver-Software selbst

Webserver werden
* lokal
* in Firmennetzwerken und
* überwiegend als [[WWW]]-Dienst im Internet eingesetzt

Dokumente können somit dem geforderten Zweck lokal, firmenintern und weltweit zur Verfügung gestellt werden

<noinclude>

== Anhang ==
=== Siehe auch ===
<div style="column-count:2">
<categorytree hideroot=on mode="pages">Webserver</categorytree>
</div>
----
{{Special:PrefixIndex/{{BASEPAGENAME}}/}}

=== Links ===
==== Weblinks ====
# https://de.wikipedia.org/wiki/Webserver

[[Kategorie:Webserver]]

</noinclude>

Diskussion:Webserver

2026-06-17T09:42:34Z

Dirkwagner: Die Seite wurde neu angelegt: „Host des ersten Webservers von Tim Berners-Lee am CERN war ein NeXTcube-Computer]] Ein '''Webserver''' ({{laS|''servire''}} ‚dienen‘; {{enS|''server''}} ‚Diener‘, ‚Dienst‘) ist ein Server, der Dokumente an Clients wie z. B. Webbrowser überträgt. Als Webserver bezeichnet man den Computer mit Webserver-Software oder nur die Webserver-Software selbst. Webserver…“

[[Datei:First Web Server.jpg|mini|Der [[Hostrechner|Host]] des ersten Webservers von [[Tim Berners-Lee]] am [[CERN]] war ein [[NeXTcube]]-Computer]]

Ein '''Webserver''' ({{laS|''servire''}} ‚dienen‘; {{enS|''server''}} ‚Diener‘, ‚Dienst‘) ist ein [[Server]], der Dokumente an Clients wie z. B. [[Webbrowser]] überträgt. Als Webserver bezeichnet man den Computer mit Webserver-[[Software]] oder nur die Webserver-Software selbst. Webserver werden lokal, in Firmennetzwerken und überwiegend als [[World Wide Web|WWW]]-Dienst im Internet eingesetzt. Dokumente können somit dem geforderten Zweck lokal, firmenintern und weltweit zur Verfügung gestellt werden.

== Technik ==
Die Hauptaufgabe eines Webservers ist die Auslieferung statischer Dateien, z. B. unveränderlicher [[Hypertext Markup Language|HTML]]- oder Bild-Dateien, oder dynamisch erzeugter Daten, z. B. Seiten, deren Inhalte stets individuell gemäß dem Profil eines eingeloggten Benutzers erstellt werden.

Für eine komplette Webseite werden in der Regel die HTML-Seite inklusive verknüpfter Designbeschreibungen ([[Cascading Style Sheets|CSS]]) und Bilddateien ([[JPEG File Interchange Format|JPG]], [[Portable Network Graphics|PNG]], [[Graphics Interchange Format|GIF]], [[Scalable Vector Graphics|SVG]]) jeweils als einzelne Dateien übertragen. Für jede benötigte Datei muss der Webbrowser eine eigene Anfrage an den Webserver senden, d. h. zur Darstellung einer komplexen Webseite sind manchmal hunderte Anfragen und Serverantworten nötig. Ein Webserver ist in der Lage, die Inhalte einer Webseite gleichzeitig auf viele verschiedene Rechner auszuliefern. Wie schnell Nutzeranfragen bearbeitet werden können, hängt nicht zuletzt von der Komplexität der Webinhalte ab: Beispielsweise benötigen dynamische Webinhalte mehr Ressourcen als statische.<ref>{{cite web|url=https://hosting.1und1.de/digitalguide/server/knowhow/webserver-definition-hintergruende-software-tipps/ |title=Was ist ein Webserver? |publisher=1und1.de/digitalguide| accessdate=2017-12-04}}</ref>

Als Übertragungsmethoden dienen standardisierte Übertragungsprotokolle ([[Hypertext Transfer Protocol|HTTP]], [[Hypertext Transfer Protocol Secure|HTTPS]]) und Netzwerkprotokolle wie [[Internet Protocol|IP]] und [[Transmission Control Protocol|TCP]], üblicherweise über [[Port (Netzwerkadresse)|Port]] 80 (HTTP) und Port 443 (HTTPS). Aktuell ist [[HTTP/2]], welches aus dem experimentellen Protokoll [[SPDY]] hervorging.

=== Dynamische Dokumente ===
Bei den meisten Webseiten werden die Inhalte erst beim Aufruf aus unterschiedlichen Quellen zusammengestellt.

[[Skriptsprache]]n wie [[Active Server Pages|ASP]], [[PHP]] oder [[JavaServer Pages|JSP]] [[Parser|interpretieren]] ein HTML-Dokument während des Aufrufs serverseitig und lassen es vom Webserver an den Webbrowser übertragen.
Dabei wird der zuvor getrennte Inhalt und die Struktur aus Dateien und [[Datenbank]]en mit [[Content-Management-System]] zu einem Dokument verarbeitet.
Webseiten und Applikationen wie [[Blog]]s, [[Internetforum|Onlineforen]], [[Elektronischer Handel#Onlineshop|Onlineshops]] etc. nutzen diese Technik.

==== Schnittstellen ====
{{Navigationsleiste Webserver-Schnittstellen}}

=== Weitere Funktionen ===
Neben dem Ausliefern von statischen oder dynamischen Dokumenten können Webserver noch weitere Funktionen erfüllen:
; Zugriffsbeschränkung
: wird die [[Authentifizierung]] nicht durch das [[Content-Management-System|CMS]] verwaltet, können Webserver auch die [[HTTP-Authentifizierung]] einsetzen.
; Sicherheit
: Zur [[Verschlüsselung]] der Server-Client-Kommunikation wird ggf. das [[Hypertext Transfer Protocol Secure|HTTPS]]-Verfahren eingesetzt.
; Cookieverwaltung
: Webserver können auch [[HTTP-Cookie]]s verwalten.
; Weiterleitung
: soll gar kein Dokument ausgeliefert werden, sondern der Aufruf auf ein anderes Dokument [[Weiterleitung|weitergeleitet]] werden, wird die Anfrage mit einer [[Rewrite-Engine]] umgeleitet.
; Fehler
: etwaige Fehler oder Erfolge werden dem Browser mit [[HTTP-Statuscode]]s und einer [[Fehlerseite]] mitgeteilt.
; Protokollierung
: Auf einem Webserver werden üblicherweise alle Anfragen in einer [[Logdatei]] protokolliert, aus der mittels [[Logdateianalyse]] Statistiken über Anzahl der Zugriffe pro Seite generiert werden können. HTTP ist ein verbindungs- und zustandsloses Protokoll. Damit ist die Zuordnung einer Anforderung zu einem Nutzer über die IP-Adresse grundsätzlich möglich. Die Zuordnung ist jedoch z. B. bei Web-Zugängen über LAN nicht immer eindeutig. Die Angabe von ''Visits'', ''Hits'', ''Benutzer'' o. Ä. ist daher nur eingeschränkt aussagekräftig. Zwischengeschaltete [[Proxy (Rechnernetz)|Proxyserver]], die gegenüber dem Webserver als Client auftreten, erschweren diese Zuordnung zusätzlich.
; Caching
: bei großen Zugriffszahlen kann vor allem die aufwändige dynamische Inhaltsauslieferung gepuffert werden und mit [[HTTP Caching|HTTP-Caching]] der Webserver, Skripte und Datenbanken geschont werden.

[[Konfiguration (Computer)|Konfiguriert]] werden Webserver durch spezifische Konfigurationsdateien oder Interfaces global oder auch durch standardisierte Formate wie [[.htaccess]].

== Beispiel ==
Ein Nutzer ist mit dem Internet verbunden und gibt in die Adresszeile seines Webbrowsers eine Webadresse (''URL'' oder [[Uniform Resource Locator]]) ein, z. B. „<nowiki>https://de.wikipedia.org/wiki/Webserver</nowiki>“. Für den darin enthaltenen Domain-Bestandteil „de.wikipedia.org“ fragt der Webbrowser beim [[Betriebssystem]] eine [[Domain Name System|DNS]]-Namensauflösung an, was den Domainnamen in eine [[IP-Adresse]] umsetzt, z. B. 145.168.145.25 ([[IPv4]]) oder 2a00:1450:8007::63 ([[IPv6]]). Der Webbrowser baut anschließend eine [[HTTPS]]-Verbindung zur IP-Adresse auf [[Port (Netzwerkadresse)|Port]] 443 auf und überträgt die Parameter aus der angefragten URL per [[Hypertext Transfer Protocol#HTTP-GET|HTTP-Anfrage]] an den Webserver. Der Webserver schickt eine HTTP-Antwort an den Webbrowser, die das angefragte Dokument enthält, im genannten Beispiel eine [[HTML-Seite]].

== Geschichte ==
1989 schlug [[Tim Berners-Lee]] seinem Arbeitgeber [[CERN]], der Europäischen Organisation für Kernforschung, ein Projekt vor, das den Austausch von Informationen unter den mehreren tausend Mitarbeitern sichern sollte. Er führte unter anderem aus, dass ein „Web“ miteinander verbundener Informationen nützlicher als eine festgelegte Hierarchie sei und die Speichersoftware von der Anzeigesoftware getrennt sein müsse. Er konnte dieses Projekt verwirklichen und entwickelte in dessen Verlauf den ersten Webserver [[CERN httpd]] und den ersten [[Webbrowser]] [[WorldWideWeb]], beide unter [[NeXTStep]]. Der CERN httpd wurde auf [[Unix]] und [[Virtual Memory System|VMS]] portiert und bis 1996 weiterentwickelt.<ref>{{cite web | url = https://www.w3.org/Daemon/Status.html | title = CERN httpd | accessdate = 2009-04-25 | author = | publisher = World Wide Web Consortium}}</ref>

1994 entschied sich Tim Berners-Lee, das [[World Wide Web Consortium]] zu gründen, um die weitere Entwicklung der verwendeten Technologien (Protokolle, Darstellungssprachen, Unicode usw.) zu regulieren.

== Software ==
Die am weitesten verbreiteten Webserver-[[Computerprogramm]]e sind [[Apache HTTP Server]], [[nginx]], [[Microsoft Internet Information Services]] und [[Google Web Server]].<ref name="netcraft">[https://news.netcraft.com/archives/category/web-server-survey/ Web Server Survey | Netcraft]</ref> Apache und nginx sind [[freie Software]], während der Microsoft IIS und der Google Web Server [[proprietäre Software]] sind.

Weitere Webserver-Software:

* [[AOLserver]] ([[AOL|America Online]]; freie Software)
* [[Apache Tomcat]] ([[Apache Software Foundation]]; freie Software)
* [[Boa (Webserver)]] ([[GNU General Public License]])
* [[CERN httpd]] (Open Source)
* [[Hiawatha Webserver|Hiawatha]] (GNU General Public License)
* [[iPlanet]] (Sun Microsystems)
* [[Jetty (Webserver)|Jetty]] (für Webapplikationen in [[Java (Programmiersprache)|Java]])
* [[Jigsaw (Webserver)|W3C Jigsaw]] (Open Source)
* [[lighttpd]] (BSD-Lizenz)
* [[Node.js]] (Node.js Foundation; MIT-Lizenz)
* [[OpenWrt#uHTTPd|uHTTPd]] ([[Freifunk]]/[[OpenWrt]]; freie Software)
* [[Zope (Webanwendungsserver)|Zope]] (Zope Corporation, freie Software)

=== Marktanteile ===
[[Datei:Usage share of web servers (Source Netcraft).svg|mini|Marktanteile nach [[Netcraft]]]]Schätzungen von Marktanteilen beruhen auf unterschiedlichen Messverfahren und unterscheiden sich deshalb zum Teil massiv:

* Netcraft "all sites" misst den Typ des Webservers einer [[Domain (Internet)|Domäne]] unabhängig davon, wie oft diese besucht wird. Der Webauftritt einer Privatperson zählt hier gleich viel wie derjenige von Google oder Facebook (diese Messgröße wird aus historischen Gründen weiter erhoben<ref>{{Internetquelle |url=https://www.netcraft.com/active-sites/ |titel=How many active sites are there? |hrsg=Netcraft.com |abruf=2019-01-29 |sprache=en |kommentar=In the early days of the web, hostnames were a good indication of actively managed content providing information and services to the Internet community. The situation is now considerably more blurred […]}}</ref>)
* Netcraft "active sites" schließt Seiten aus, die sich über längere Zeit nicht ändern, also meist private Homepages mit statischem Inhalt oder Domains mit ausschließlich automatisch generierten Inhalten<ref>{{Internetquelle |url=https://www.netcraft.com/active-sites/ |titel=Active Sites |abruf=2019-01-29 |sprache=en |kommentar=It is therefore desirable to find a way to count sites, rather than IPs, but excluding those sites which come from a standard or computer-filled template.}}</ref>
* Netcraft "top million" ist eine dritte Kategorie derselben Firma, die nur die am meisten besuchten Domänen berücksichtigt
* W3Tech berücksichtigt ebenfalls die am meisten besuchten Domains<ref>{{Internetquelle |url=https://w3techs.com/technologies |titel=Technologies Overview |hrsg=W3Techs |abruf=2019-01-29 |kommentar=We include only the top 10 million websites […] in the statistics in order to limit the impact of domain spammers.}}</ref>

{| class="wikitable"
|-
! Datum
! Quelle
! Apache
! Microsoft IIS
! nginx
! Google Web Server
|-
| Januar 2013
|[[Netcraft]], „all sites“
| style="text-align:right" | 55,26 %
| style="text-align:right" | 16,93 %
| style="text-align:right" | 12,64 %
| style="text-align:right" | 3,58 %
|-
| Juli 2013
|[[Netcraft]], „all sites“
| style="text-align:right" | 52,19 %
| style="text-align:right" | 19,65 %
| style="text-align:right" | 13,60 %
| style="text-align:right" | 3,92 %
|-
| Januar 2014
|[[Netcraft]], „all sites“
| style="text-align:right" | 41,64 %
| style="text-align:right" | 29,42 %
| style="text-align:right" | 14,40 %
| style="text-align:right" | 2,47 %
|-
| Juli 2014
|[[Netcraft]], „all sites“
| style="text-align:right" | 51,14 %
| style="text-align:right" | 14,35 %
| style="text-align:right" | 11,86 %
| style="text-align:right" | 8,12 %
|-
| Januar 2015
|[[Netcraft]], „all sites“
| style="text-align:right" | 39,74 %
| style="text-align:right" | 27,52 %
| style="text-align:right" | 14,61 %
| style="text-align:right" | 2,30 %
|-
| Juli 2015
|[[Netcraft]], „all sites“
| style="text-align:right" | 38,34 %
| style="text-align:right" | 26,52 %
| style="text-align:right" | 15,47 %
| style="text-align:right" | 2,38 %
|-
| Januar 2016
|[[Netcraft]], „all sites“
| style="text-align:right" | 33,56 %
| style="text-align:right" | 28,95 %
| style="text-align:right" | 15,60 %
| style="text-align:right" | 2,29 %
|-
| Juli 2016
|[[Netcraft]], „all sites“
| style="text-align:right" | 31,72 %
| style="text-align:right" | 35,26 %
| style="text-align:right" | 15,92 %
| style="text-align:right" | 2,10 %
|-
| Januar 2017
|[[Netcraft]], „all sites“
| style="text-align:right" | 21,51 %
| style="text-align:right" | 45,66 %
| style="text-align:right" | 17,63 %
| style="text-align:right" | 1,00 %
|-
| rowspan="2" | Februar 2017
|[[Netcraft]], „all sites“<ref name="netcraft-2017-02">[https://news.netcraft.com/archives/2017/02/27/february-2017-web-server-survey.html Netcraft February 2017 Web Server Survey]</ref>
| style="text-align:right" | 20,89 %
| style="text-align:right" | 43,16 %
| style="text-align:right" | 19,42 %
| style="text-align:right" | 1,03 %
|-
|[[Netcraft]], „active sites“<ref name="netcraft-2017-02" />
| style="text-align:right" | 45,78 %
| style="text-align:right" | 9,22 %
| style="text-align:right" | 19,60 %
| style="text-align:right" | 6,70 %
|-
| rowspan="4" |Dezember 2018
|Netcraft, „all sites“
| style="text-align:right" |18,94 %
| style="text-align:right" |41,53 %
| style="text-align:right" |21,63 %
| style="text-align:right" |1,44 %
|-
|Netcraft, „active sites“
| style="text-align:right"|30,05 %
| style="text-align:right"|6,72 %
| style="text-align:right"|22,11 %
| style="text-align:right"|7,81 %
|-
|Netcraft, „top million“
| style="text-align:right"|33,04 %
| style="text-align:right"|9,33 %
| style="text-align:right"|25,89 %
| style="text-align:right"|k. A.
|-
|W3Techs<ref>{{Internetquelle |url=https://w3techs.com/technologies/overview/web_server/all |titel=Usage of web servers for websites |hrsg=W3Techs |abruf=2019-01-29 |sprache=en}}</ref>, „top 10 million“
| style="text-align:right"|44,4 %
| style="text-align:right"|8,9 %
| style="text-align:right"|41,0 %
| style="text-align:right"|0,9 %
|-
| rowspan="4" |Dezember 2019
|Netcraft, „all sites“
| style="text-align:right" |24,36 %
| style="text-align:right" |14,59 %
| style="text-align:right" |37,77 %
| style="text-align:right" |2,94 %
|-
|Netcraft, „active sites“
| style="text-align:right"|29,25 %
| style="text-align:right"|4,96 %
| style="text-align:right"|19,14 %
| style="text-align:right"|9,59 %
|-
|Netcraft, „top million“
| style="text-align:right"|30,42 %
| style="text-align:right"|8,17 %
| style="text-align:right"|25,46 %
| style="text-align:right"|1,82 %
|-
|W3Techs, „top 10 million“
| style="text-align:right"|41,8 %
| style="text-align:right"|7,9 %
| style="text-align:right"|31,3 %
| style="text-align:right"|1,1 %
|-
| rowspan="4" |Dezember 2020
|Netcraft, „all sites“
| style="text-align:right" |27,07 %
| style="text-align:right" |7,49 %
| style="text-align:right" |33,48 %
| style="text-align:right" |3,82 %
|-
|Netcraft, „active sites“
| style="text-align:right"|25,60 %
| style="text-align:right"|3,87 %
| style="text-align:right"|19,76 %
| style="text-align:right"|10,08 %
|-
|Netcraft, „top million“
| style="text-align:right"|24,63 %
| style="text-align:right"|6,85 %
| style="text-align:right"|23,21 %
| style="text-align:right"|- %
|-
|W3Techs, „top 10 million“
| style="text-align:right"|35,0 %
| style="text-align:right"|7,3 %
| style="text-align:right"|32,8 %
| style="text-align:right"|1,2 %
|-
| rowspan="4" |Dezember 2021
|Netcraft, „all sites“
| style="text-align:right" |24 %
| style="text-align:right" | - %<ref>Microsoft wird von Netcraft nicht mehr aufgelistet</ref>
| style="text-align:right" |32 %
| style="text-align:right" |- %
|-
|Netcraft, „active sites“
| style="text-align:right"|24 %
| style="text-align:right"|- %
| style="text-align:right"|20 %
| style="text-align:right"|10 %
|-
|Netcraft, „top million“
| style="text-align:right"|24 %
| style="text-align:right"|- %
| style="text-align:right"|22 %
| style="text-align:right"|- %
|-
|W3Techs, „top 10 million“
| style="text-align:right"|31 %
| style="text-align:right"|6 %
| style="text-align:right"|33 %
| style="text-align:right"|1 %
|}

== Siehe auch ==
* [[Virtual Hosting]]
* [[Common Gateway Interface]]
* [[Servlet]]

== Weblinks ==
{{Wiktionary}}
* [[:en:Comparison of web server software|Vergleich von Webservern]] in der englischsprachigen Wikipedia
* [https://www.stern.de/digital/online/die-erste-webseite-wird-20-mit-165-woertern-in-die-zukunft-3037904.html ''Mit 165 Wörtern in die Zukunft''.] ([[Stern (Zeitschrift)|Stern]]-Artikel zum 20-Jahr-Jubiläum des WWW)
* [https://cds.cern.ch/record/1547556 ''Servicing the first web server – Tim Berners-Lee's NeXT''] (Bilder des ersten Webservers, betrieben durch [[Tim Berners-Lee]])

== Einzelnachweise ==
<references />

[[Kategorie:Webserver (Thema)| ]]
[[Kategorie:CERN]]
[[Kategorie:Englische Phrase]]

Webserver

2026-06-17T09:41:24Z

Dirkwagner: /* Weblinks */

Webserver

2026-06-17T09:40:24Z

Dirkwagner: /* Projekt */

'''Webserver'''

== Beschreibung ==

<noinclude>

== Anhang ==
=== Siehe auch ===
<div style="column-count:2">
<categorytree hideroot=on mode="pages">Webserver</categorytree>
</div>
----
{{Special:PrefixIndex/{{BASEPAGENAME}}/}}

=== Links ===
==== Weblinks ====



[[Kategorie:Webserver]]

</noinclude>

Webserver

2026-06-17T09:40:13Z

Dirkwagner: /* Dokumentation */

'''Webserver'''

== Beschreibung ==

<noinclude>

== Anhang ==
=== Siehe auch ===
<div style="column-count:2">
<categorytree hideroot=on mode="pages">Webserver</categorytree>
</div>
----
{{Special:PrefixIndex/{{BASEPAGENAME}}/}}

=== Links ===
==== Projekt ====
==== Weblinks ====



[[Kategorie:Webserver]]

</noinclude>

Webserver

2026-06-17T09:39:54Z

Dirkwagner:

'''Webserver'''

== Beschreibung ==

<noinclude>

== Anhang ==
=== Siehe auch ===
<div style="column-count:2">
<categorytree hideroot=on mode="pages">Webserver</categorytree>
</div>
----
{{Special:PrefixIndex/{{BASEPAGENAME}}/}}

=== Dokumentation ===


=== Links ===
==== Projekt ====
==== Weblinks ====



[[Kategorie:Webserver]]

</noinclude>

Webserver

2026-06-17T09:39:25Z

Dirkwagner: /* Installation */

'''Webserver'''

== Beschreibung ==

<noinclude>

== Anhang ==
=== Siehe auch ===
<div style="column-count:2">
<categorytree hideroot=on mode="pages">{{BASEPAGENAME}}</categorytree>
</div>
----
{{Special:PrefixIndex/{{BASEPAGENAME}}/}}

=== Dokumentation ===


=== Links ===
==== Projekt ====
==== Weblinks ====



[[Kategorie:Webserver]]

</noinclude>

Webserver

2026-06-17T09:39:06Z

Dirkwagner: /* Konfiguration */

'''Webserver'''

== Beschreibung ==

== Installation ==
<syntaxhighlight lang="bash" highlight="1" line copy>
</syntaxhighlight>

<noinclude>

== Anhang ==
=== Siehe auch ===
<div style="column-count:2">
<categorytree hideroot=on mode="pages">{{BASEPAGENAME}}</categorytree>
</div>
----
{{Special:PrefixIndex/{{BASEPAGENAME}}/}}

=== Dokumentation ===


=== Links ===
==== Projekt ====
==== Weblinks ====



[[Kategorie:Webserver]]

</noinclude>

Webserver

2026-06-17T09:38:48Z

Dirkwagner: /* Anwendung */

'''Webserver'''

== Beschreibung ==

== Installation ==
<syntaxhighlight lang="bash" highlight="1" line copy>
</syntaxhighlight>

== Konfiguration ==
=== Dateien ===
{| class="wikitable options big"
|-
! Datei !! Beschreibung
|-
| ||
|-
| ||
|}

<noinclude>

== Anhang ==
=== Siehe auch ===
<div style="column-count:2">
<categorytree hideroot=on mode="pages">{{BASEPAGENAME}}</categorytree>
</div>
----
{{Special:PrefixIndex/{{BASEPAGENAME}}/}}

=== Dokumentation ===


=== Links ===
==== Projekt ====
==== Weblinks ====



[[Kategorie:Webserver]]

</noinclude>

Webserver

2026-06-17T09:38:35Z

Dirkwagner: /* Aufruf */

'''Webserver'''

== Beschreibung ==

== Installation ==
<syntaxhighlight lang="bash" highlight="1" line copy>
</syntaxhighlight>

== Anwendung ==
<syntaxhighlight lang="bash" highlight="1" line copy>
</syntaxhighlight>


<syntaxhighlight lang="bash" highlight="" line>
</syntaxhighlight>

=== Problembehebung ===

== Konfiguration ==
=== Dateien ===
{| class="wikitable options big"
|-
! Datei !! Beschreibung
|-
| ||
|-
| ||
|}

<noinclude>

== Anhang ==
=== Siehe auch ===
<div style="column-count:2">
<categorytree hideroot=on mode="pages">{{BASEPAGENAME}}</categorytree>
</div>
----
{{Special:PrefixIndex/{{BASEPAGENAME}}/}}

=== Dokumentation ===


=== Links ===
==== Projekt ====
==== Weblinks ====



[[Kategorie:Webserver]]

</noinclude>

Webserver

2026-06-17T09:38:08Z

Dirkwagner: Weiterleitung auf Kategorie:Webserver entfernt

'''Webserver'''

== Beschreibung ==

== Installation ==
<syntaxhighlight lang="bash" highlight="1" line copy>
</syntaxhighlight>

== Aufruf ==
<syntaxhighlight lang="bash" highlight="1" line copy>
</syntaxhighlight>

=== Optionen ===
{| class="wikitable sortable options gnu big"
|-
! Unix !! GNU !! Parameter !! Beschreibung
|-
| || || ||
|-
|}

=== Parameter ===
=== Umgebungsvariablen ===
=== Exit-Status ===
{| class="wikitable options col1center big"
|-
! Wert !! Beschreibung
|-
| 0 || Erfolg
|-
| >0 || Fehler
|}

== Anwendung ==
<syntaxhighlight lang="bash" highlight="1" line copy>
</syntaxhighlight>


<syntaxhighlight lang="bash" highlight="" line>
</syntaxhighlight>

=== Problembehebung ===

== Konfiguration ==
=== Dateien ===
{| class="wikitable options big"
|-
! Datei !! Beschreibung
|-
| ||
|-
| ||
|}

<noinclude>

== Anhang ==
=== Siehe auch ===
<div style="column-count:2">
<categorytree hideroot=on mode="pages">{{BASEPAGENAME}}</categorytree>
</div>
----
{{Special:PrefixIndex/{{BASEPAGENAME}}/}}

=== Dokumentation ===


=== Links ===
==== Projekt ====
==== Weblinks ====



[[Kategorie:Webserver]]

</noinclude>

MediaWiki/Performance

2026-06-17T09:35:20Z

Dirkwagner: /* Beschreibung */

'''MediaWiki/Performance''' - Leistungsoptimierungen für [[MediaWiki]]

== Beschreibung ==
; Ressourcen
[[Webserver]] und [[PHP]] genügend [[Arbeitsspeicher]] und [[CPU-Kapazität]] zuweisen

; Caching-Tools
Es gibt eine Vielzahl von Caching-Tools
* die in Verbindung mit MediaWiki (und untereinander) verwendet werden können([[Varnish]] und [[Memcached]])
* https://www.mediawiki.org/wiki/Manual:Varnish_caching

; CPU-Auslastung reduzieren
* [[PHP]] [[OPcache]] aktivieren
* Objekt-Caching
* APCu/Memcached installieren
* ressourcenintensive Bot-Crawler blockieren

; Alternative Webserver
Nginx oder Lighttpd
* Die Verwendung von Nginx oder Lighttpd als Webserver anstelle von Apache kann die Leistung stark frequentierter Websites erheblich verbessern

; Links
* [https://www.mediawiki.org/wiki/Manual:Performance_tuning Alle Optionen für das Caching]
* https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

== PHP-Caching ==
; PHP-Caching aktivieren (unbedingt erforderlich)
PHP kompiliert Code standardmäßig bei jeder Seitenanfrage neu.
* Zwischenspeichern dieser Skripte reduziert die CPU-Auslastung
* https://www.mediawiki.org/wiki/Manual:Varnish_caching
* https://www.mediawiki.org/wiki/Manual:Performance_tuning

; OPcache
OPcache in der <code>php.ini</code>-Datei aktivieren
* <code>opcache.enable=1</code>
* <code>opcache.memory_consumption=128</code>

; APCu
APCu-PHP-Erweiterung installieren
* schnelles, lokales Objekt-Caching
* https://www.mediawiki.org/wiki/Manual:Performance_tuning/ca
* https://wiki.centos-webpanel.com/improve-website-performance
* https://www.mediawiki.org/wiki/Manual:Varnish_caching

== Objekt- und Hauptcache ==
; MediaWiki-Objekt- und Hauptcache konfigurieren
Datenbankabfragen zwischensoeichern

; LocalSettings.php
<syntaxhighlight lang="bash" highlight="" line copy>
$wgMainCacheType = CACHE_ACCEL;
$wgParserCacheType = CACHE_ACCEL;
$wgSessionCacheType = CACHE_ACCEL;
</syntaxhighlight>

* [[mediawikiwiki:Manual:$wgMainCacheType]]
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166
* https://lists.wikimedia.org/hyperkitty/list/mediawiki-l@lists.wikimedia.org/thread/S7YWAMM6BHTZBOK7ZPQ2ZBKRSML42OPP/
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166

== Bots und Crawler ==
; Bots und Crawler optimieren
Aggressive Suchmaschinen-Bots können dynamische Seiten (wie <code>api.php</code> oder <code>index.php?action=history</code>) indexieren und Ihre CPU überlasten.
* https://github.com/bitnami/charts/issues/3138
* https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

Erstelle oder aktualisiere eine strenge <code>robots.txt</code>-Datei in deinem Hauptverzeichnis, um nicht-kanonische URLs und Systemseiten zu blockieren.

; Beispielregeln
text User-agent:*
Disallow: /wiki/Special:
Disallow: /w/api.php Disallow: /w/index.php

* https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

== Erweiterungen ==
; Ressourcenintensive Erweiterungen anpassen
Komplexe Erweiterungen wie ''Semantic MediaWiki (SMW)'' können von Seiten zu erheblicher Serverbelastung führen
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166

; Abfrage-Caching
''Abfrage-Caching'' bei SMW aktivieren
* verhindert, dass komplexe semantische Abfragen bei jedem Besuch neu berechnet werden

''LocalSettings.php''
$smwgEnableCache = true;

== Zähler ==
; Seitenzähler deaktivieren
Erfassung der Seitenaufrufen kann auf stark frequentierten Seiten zu einem sprunghaften Anstieg der CPU-Auslastung führen
* [[mediawikiwiki:Topic:Rncjbh4poqojjt9k]]
Werden keine Seitenstatistiken benötigt, kann der Seitenzähler deaktiviert werden

; LocalSettings.php
<syntaxhighlight lang="php" highlight="" copy>
$wgDisableCounters = true;
</syntaxhighlight>

== PHP-FPM / FastCGI ==
; PHP-FPM / FastCGI optimieren
Wenn [[PHP-FPM]]-Prozesse
* aufgrund hohen Datenverkehrs
* übermäßig viel CPU-Leistung beanspruchen
* begrenze die Laufzeit jedes Prozesses, bevor er recycelt wird, um Speicher freizugeben.
** [[mediawikiwiki:Topic:U1sl12b4w1gkbh2k]]
** https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

; php-fpm.conf
Pool-Konfiguration
* um Prozesse zu aktualisieren

; Beispiel
<syntaxhighlight lang="bash" highlight="1" line copy>
pm.max_requests = 500
</syntaxhighlight>

; Skalierung
Anleitung zur Skalierung
* [[mediawikiwiki:Manual:Performance_tuning|MediaWiki-Handbuch zur Leistungsoptimierung]]
* [[mediawikiwiki:Manual:Performance_tuning|Manual:Performance_tuning]]

; Erweiterungen
Welche Erweiterungen (wie Semantic MediaWiki) sind aktiv?
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166

<noinclude>

== Anhang ==
=== Siehe auch ===
<div style="column-count:2">
<categorytree hideroot=on mode="pages">{{BASEPAGENAME}}</categorytree>
</div>
----
{{Special:PrefixIndex/{{BASEPAGENAME}}/}}

=== Dokumentation ===


=== Links ===
==== Projekt ====
==== Weblinks ====
# https://www.mediawiki.org/wiki/Manual:Varnish_caching


[[Kategorie:MediaWiki/Verwaltung]]

</noinclude>

MediaWiki/Performance

2026-06-17T09:32:40Z

Dirkwagner: /* Beschreibung */

'''MediaWiki/Performance''' - Leistungsoptimierungen für [[MediaWiki]]

== Beschreibung ==
; Ressourcen
[[Webserver]] und [[PHP]] genügend [[Arbeitsspeicher]] und [[CPU-Kapazität]] zuweisen

; Caching-Tools
* Es gibt eine Vielzahl von Caching-Tools
** die in Verbindung mit MediaWiki (und untereinander) verwendet werden können([[Varnish]] und [[Memcached]])
** https://www.mediawiki.org/wiki/Manual:Varnish_caching

; CPU-Auslastung reduzieren
* [[PHP]] [[OPcache]] aktivieren
* Objekt-Caching
* APCu/Memcached installieren
* ressourcenintensive Bot-Crawler blockieren

; Alternative Webserver
Nginx oder Lighttpd
* Die Verwendung von Nginx oder Lighttpd als Webserver anstelle von Apache kann die Leistung stark frequentierter Websites erheblich verbessern

; Links
* [https://www.mediawiki.org/wiki/Manual:Performance_tuning Alle Optionen für das Caching]
* https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

== PHP-Caching ==
; PHP-Caching aktivieren (unbedingt erforderlich)
PHP kompiliert Code standardmäßig bei jeder Seitenanfrage neu.
* Zwischenspeichern dieser Skripte reduziert die CPU-Auslastung
* https://www.mediawiki.org/wiki/Manual:Varnish_caching
* https://www.mediawiki.org/wiki/Manual:Performance_tuning

; OPcache
OPcache in der <code>php.ini</code>-Datei aktivieren
* <code>opcache.enable=1</code>
* <code>opcache.memory_consumption=128</code>

; APCu
APCu-PHP-Erweiterung installieren
* schnelles, lokales Objekt-Caching
* https://www.mediawiki.org/wiki/Manual:Performance_tuning/ca
* https://wiki.centos-webpanel.com/improve-website-performance
* https://www.mediawiki.org/wiki/Manual:Varnish_caching

== Objekt- und Hauptcache ==
; MediaWiki-Objekt- und Hauptcache konfigurieren
Datenbankabfragen zwischensoeichern

; LocalSettings.php
<syntaxhighlight lang="bash" highlight="" line copy>
$wgMainCacheType = CACHE_ACCEL;
$wgParserCacheType = CACHE_ACCEL;
$wgSessionCacheType = CACHE_ACCEL;
</syntaxhighlight>

* [[mediawikiwiki:Manual:$wgMainCacheType]]
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166
* https://lists.wikimedia.org/hyperkitty/list/mediawiki-l@lists.wikimedia.org/thread/S7YWAMM6BHTZBOK7ZPQ2ZBKRSML42OPP/
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166

== Bots und Crawler ==
; Bots und Crawler optimieren
Aggressive Suchmaschinen-Bots können dynamische Seiten (wie <code>api.php</code> oder <code>index.php?action=history</code>) indexieren und Ihre CPU überlasten.
* https://github.com/bitnami/charts/issues/3138
* https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

Erstelle oder aktualisiere eine strenge <code>robots.txt</code>-Datei in deinem Hauptverzeichnis, um nicht-kanonische URLs und Systemseiten zu blockieren.

; Beispielregeln
text User-agent:*
Disallow: /wiki/Special:
Disallow: /w/api.php Disallow: /w/index.php

* https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

== Erweiterungen ==
; Ressourcenintensive Erweiterungen anpassen
Komplexe Erweiterungen wie ''Semantic MediaWiki (SMW)'' können von Seiten zu erheblicher Serverbelastung führen
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166

; Abfrage-Caching
''Abfrage-Caching'' bei SMW aktivieren
* verhindert, dass komplexe semantische Abfragen bei jedem Besuch neu berechnet werden

''LocalSettings.php''
$smwgEnableCache = true;

== Zähler ==
; Seitenzähler deaktivieren
Erfassung der Seitenaufrufen kann auf stark frequentierten Seiten zu einem sprunghaften Anstieg der CPU-Auslastung führen
* [[mediawikiwiki:Topic:Rncjbh4poqojjt9k]]
Werden keine Seitenstatistiken benötigt, kann der Seitenzähler deaktiviert werden

; LocalSettings.php
<syntaxhighlight lang="php" highlight="" copy>
$wgDisableCounters = true;
</syntaxhighlight>

== PHP-FPM / FastCGI ==
; PHP-FPM / FastCGI optimieren
Wenn [[PHP-FPM]]-Prozesse
* aufgrund hohen Datenverkehrs
* übermäßig viel CPU-Leistung beanspruchen
* begrenze die Laufzeit jedes Prozesses, bevor er recycelt wird, um Speicher freizugeben.
** [[mediawikiwiki:Topic:U1sl12b4w1gkbh2k]]
** https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

; php-fpm.conf
Pool-Konfiguration
* um Prozesse zu aktualisieren

; Beispiel
<syntaxhighlight lang="bash" highlight="1" line copy>
pm.max_requests = 500
</syntaxhighlight>

; Skalierung
Anleitung zur Skalierung
* [[mediawikiwiki:Manual:Performance_tuning|MediaWiki-Handbuch zur Leistungsoptimierung]]
* [[mediawikiwiki:Manual:Performance_tuning|Manual:Performance_tuning]]

; Erweiterungen
Welche Erweiterungen (wie Semantic MediaWiki) sind aktiv?
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166

<noinclude>

== Anhang ==
=== Siehe auch ===
<div style="column-count:2">
<categorytree hideroot=on mode="pages">{{BASEPAGENAME}}</categorytree>
</div>
----
{{Special:PrefixIndex/{{BASEPAGENAME}}/}}

=== Dokumentation ===


=== Links ===
==== Projekt ====
==== Weblinks ====
# https://www.mediawiki.org/wiki/Manual:Varnish_caching


[[Kategorie:MediaWiki/Verwaltung]]

</noinclude>

MediaWiki/Performance

2026-06-17T09:30:35Z

Dirkwagner: /* Beschreibung */

'''MediaWiki/Performance''' - Leistungsoptimierungen für [[MediaWiki]]

== Beschreibung ==
; Ressourcen
Arbeitsspeicher
* Stellen Sie sicher, dass Ihrem [[Webserver]] und [[PHP]] genügend Arbeitsspeicher zugewiesen ist

; Caching-Tools
* Es gibt eine Vielzahl von Caching-Tools
** die in Verbindung mit MediaWiki (und untereinander) verwendet werden können([[Varnish]] und [[Memcached]])
** https://www.mediawiki.org/wiki/Manual:Varnish_caching

; CPU-Auslastung reduzieren
* [[PHP]] [[OPcache]] aktivieren
* Objekt-Caching
* APCu/Memcached installieren
* ressourcenintensive Bot-Crawler blockieren

; Alternative Webserver
Nginx oder Lighttpd
* Die Verwendung von Nginx oder Lighttpd als Webserver anstelle von Apache kann die Leistung stark frequentierter Websites erheblich verbessern

; Links
* [https://www.mediawiki.org/wiki/Manual:Performance_tuning Alle Optionen für das Caching]
* https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

== PHP-Caching ==
; PHP-Caching aktivieren (unbedingt erforderlich)
PHP kompiliert Code standardmäßig bei jeder Seitenanfrage neu.
* Zwischenspeichern dieser Skripte reduziert die CPU-Auslastung
* https://www.mediawiki.org/wiki/Manual:Varnish_caching
* https://www.mediawiki.org/wiki/Manual:Performance_tuning

; OPcache
OPcache in der <code>php.ini</code>-Datei aktivieren
* <code>opcache.enable=1</code>
* <code>opcache.memory_consumption=128</code>

; APCu
APCu-PHP-Erweiterung installieren
* schnelles, lokales Objekt-Caching
* https://www.mediawiki.org/wiki/Manual:Performance_tuning/ca
* https://wiki.centos-webpanel.com/improve-website-performance
* https://www.mediawiki.org/wiki/Manual:Varnish_caching

== Objekt- und Hauptcache ==
; MediaWiki-Objekt- und Hauptcache konfigurieren
Datenbankabfragen zwischensoeichern

; LocalSettings.php
<syntaxhighlight lang="bash" highlight="" line copy>
$wgMainCacheType = CACHE_ACCEL;
$wgParserCacheType = CACHE_ACCEL;
$wgSessionCacheType = CACHE_ACCEL;
</syntaxhighlight>

* [[mediawikiwiki:Manual:$wgMainCacheType]]
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166
* https://lists.wikimedia.org/hyperkitty/list/mediawiki-l@lists.wikimedia.org/thread/S7YWAMM6BHTZBOK7ZPQ2ZBKRSML42OPP/
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166

== Bots und Crawler ==
; Bots und Crawler optimieren
Aggressive Suchmaschinen-Bots können dynamische Seiten (wie <code>api.php</code> oder <code>index.php?action=history</code>) indexieren und Ihre CPU überlasten.
* https://github.com/bitnami/charts/issues/3138
* https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

Erstelle oder aktualisiere eine strenge <code>robots.txt</code>-Datei in deinem Hauptverzeichnis, um nicht-kanonische URLs und Systemseiten zu blockieren.

; Beispielregeln
text User-agent:*
Disallow: /wiki/Special:
Disallow: /w/api.php Disallow: /w/index.php

* https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

== Erweiterungen ==
; Ressourcenintensive Erweiterungen anpassen
Komplexe Erweiterungen wie ''Semantic MediaWiki (SMW)'' können von Seiten zu erheblicher Serverbelastung führen
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166

; Abfrage-Caching
''Abfrage-Caching'' bei SMW aktivieren
* verhindert, dass komplexe semantische Abfragen bei jedem Besuch neu berechnet werden

''LocalSettings.php''
$smwgEnableCache = true;

== Zähler ==
; Seitenzähler deaktivieren
Erfassung der Seitenaufrufen kann auf stark frequentierten Seiten zu einem sprunghaften Anstieg der CPU-Auslastung führen
* [[mediawikiwiki:Topic:Rncjbh4poqojjt9k]]
Werden keine Seitenstatistiken benötigt, kann der Seitenzähler deaktiviert werden

; LocalSettings.php
<syntaxhighlight lang="php" highlight="" copy>
$wgDisableCounters = true;
</syntaxhighlight>

== PHP-FPM / FastCGI ==
; PHP-FPM / FastCGI optimieren
Wenn [[PHP-FPM]]-Prozesse
* aufgrund hohen Datenverkehrs
* übermäßig viel CPU-Leistung beanspruchen
* begrenze die Laufzeit jedes Prozesses, bevor er recycelt wird, um Speicher freizugeben.
** [[mediawikiwiki:Topic:U1sl12b4w1gkbh2k]]
** https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

; php-fpm.conf
Pool-Konfiguration
* um Prozesse zu aktualisieren

; Beispiel
<syntaxhighlight lang="bash" highlight="1" line copy>
pm.max_requests = 500
</syntaxhighlight>

; Skalierung
Anleitung zur Skalierung
* [[mediawikiwiki:Manual:Performance_tuning|MediaWiki-Handbuch zur Leistungsoptimierung]]
* [[mediawikiwiki:Manual:Performance_tuning|Manual:Performance_tuning]]

; Erweiterungen
Welche Erweiterungen (wie Semantic MediaWiki) sind aktiv?
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166

<noinclude>

== Anhang ==
=== Siehe auch ===
<div style="column-count:2">
<categorytree hideroot=on mode="pages">{{BASEPAGENAME}}</categorytree>
</div>
----
{{Special:PrefixIndex/{{BASEPAGENAME}}/}}

=== Dokumentation ===


=== Links ===
==== Projekt ====
==== Weblinks ====
# https://www.mediawiki.org/wiki/Manual:Varnish_caching


[[Kategorie:MediaWiki/Verwaltung]]

</noinclude>

MediaWiki/Performance

2026-06-17T09:28:30Z

Dirkwagner:

'''MediaWiki/Performance''' - Leistungsoptimierungen für [[MediaWiki]]

== Beschreibung ==
; Ressourcen
Arbeitsspeicher
* Stellen Sie sicher, dass Ihrem [[Webserver]] und [[PHP]] genügend Arbeitsspeicher zugewiesen ist

; Caching-Tools
* Es gibt eine Vielzahl von Caching-Tools
** die in Verbindung mit MediaWiki (und untereinander) verwendet werden können([[Varnish]] und [[Memcached]])
** https://www.mediawiki.org/wiki/Manual:Varnish_caching

; CPU-Auslastung reduzieren
* PHP OPcache aktivieren
* Objekt-Caching
* APCu/Memcached installieren
* ressourcenintensive Bot-Crawler blockieren

; Alternative Webserver
Nginx oder Lighttpd
* Die Verwendung von Nginx oder Lighttpd als Webserver anstelle von Apache kann die Leistung stark frequentierter Websites erheblich verbessern

; Links
* [https://www.mediawiki.org/wiki/Manual:Performance_tuning Alle Optionen für das Caching]
* https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

== PHP-Caching ==
; PHP-Caching aktivieren (unbedingt erforderlich)
PHP kompiliert Code standardmäßig bei jeder Seitenanfrage neu.
* Zwischenspeichern dieser Skripte reduziert die CPU-Auslastung
* https://www.mediawiki.org/wiki/Manual:Varnish_caching
* https://www.mediawiki.org/wiki/Manual:Performance_tuning

; OPcache
OPcache in der <code>php.ini</code>-Datei aktivieren
* <code>opcache.enable=1</code>
* <code>opcache.memory_consumption=128</code>

; APCu
APCu-PHP-Erweiterung installieren
* schnelles, lokales Objekt-Caching
* https://www.mediawiki.org/wiki/Manual:Performance_tuning/ca
* https://wiki.centos-webpanel.com/improve-website-performance
* https://www.mediawiki.org/wiki/Manual:Varnish_caching

== Objekt- und Hauptcache ==
; MediaWiki-Objekt- und Hauptcache konfigurieren
Datenbankabfragen zwischensoeichern

; LocalSettings.php
<syntaxhighlight lang="bash" highlight="" line copy>
$wgMainCacheType = CACHE_ACCEL;
$wgParserCacheType = CACHE_ACCEL;
$wgSessionCacheType = CACHE_ACCEL;
</syntaxhighlight>

* [[mediawikiwiki:Manual:$wgMainCacheType]]
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166
* https://lists.wikimedia.org/hyperkitty/list/mediawiki-l@lists.wikimedia.org/thread/S7YWAMM6BHTZBOK7ZPQ2ZBKRSML42OPP/
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166

== Bots und Crawler ==
; Bots und Crawler optimieren
Aggressive Suchmaschinen-Bots können dynamische Seiten (wie <code>api.php</code> oder <code>index.php?action=history</code>) indexieren und Ihre CPU überlasten.
* https://github.com/bitnami/charts/issues/3138
* https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

Erstelle oder aktualisiere eine strenge <code>robots.txt</code>-Datei in deinem Hauptverzeichnis, um nicht-kanonische URLs und Systemseiten zu blockieren.

; Beispielregeln
text User-agent:*
Disallow: /wiki/Special:
Disallow: /w/api.php Disallow: /w/index.php

* https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

== Erweiterungen ==
; Ressourcenintensive Erweiterungen anpassen
Komplexe Erweiterungen wie ''Semantic MediaWiki (SMW)'' können von Seiten zu erheblicher Serverbelastung führen
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166

; Abfrage-Caching
''Abfrage-Caching'' bei SMW aktivieren
* verhindert, dass komplexe semantische Abfragen bei jedem Besuch neu berechnet werden

''LocalSettings.php''
$smwgEnableCache = true;

== Zähler ==
; Seitenzähler deaktivieren
Erfassung der Seitenaufrufen kann auf stark frequentierten Seiten zu einem sprunghaften Anstieg der CPU-Auslastung führen
* [[mediawikiwiki:Topic:Rncjbh4poqojjt9k]]
Werden keine Seitenstatistiken benötigt, kann der Seitenzähler deaktiviert werden

; LocalSettings.php
<syntaxhighlight lang="php" highlight="" copy>
$wgDisableCounters = true;
</syntaxhighlight>

== PHP-FPM / FastCGI ==
; PHP-FPM / FastCGI optimieren
Wenn [[PHP-FPM]]-Prozesse
* aufgrund hohen Datenverkehrs
* übermäßig viel CPU-Leistung beanspruchen
* begrenze die Laufzeit jedes Prozesses, bevor er recycelt wird, um Speicher freizugeben.
** [[mediawikiwiki:Topic:U1sl12b4w1gkbh2k]]
** https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

; php-fpm.conf
Pool-Konfiguration
* um Prozesse zu aktualisieren

; Beispiel
<syntaxhighlight lang="bash" highlight="1" line copy>
pm.max_requests = 500
</syntaxhighlight>

; Skalierung
Anleitung zur Skalierung
* [[mediawikiwiki:Manual:Performance_tuning|MediaWiki-Handbuch zur Leistungsoptimierung]]
* [[mediawikiwiki:Manual:Performance_tuning|Manual:Performance_tuning]]

; Erweiterungen
Welche Erweiterungen (wie Semantic MediaWiki) sind aktiv?
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166

<noinclude>

== Anhang ==
=== Siehe auch ===
<div style="column-count:2">
<categorytree hideroot=on mode="pages">{{BASEPAGENAME}}</categorytree>
</div>
----
{{Special:PrefixIndex/{{BASEPAGENAME}}/}}

=== Dokumentation ===


=== Links ===
==== Projekt ====
==== Weblinks ====
# https://www.mediawiki.org/wiki/Manual:Varnish_caching


[[Kategorie:MediaWiki/Verwaltung]]

</noinclude>

MediaWiki/Performance

2026-06-17T09:25:25Z

Dirkwagner: /* PHP-FPM / FastCGI */

'''MediaWiki/Performance'''

== Beschreibung ==
; Ressourcen
Stellen Sie sicher, dass Ihrem Webserver und PHP genügend Arbeitsspeicher zugewiesen ist
* Es gibt eine Vielzahl von Caching-Tools
** die in Verbindung mit MediaWiki (und untereinander) verwendet werden können([[Varnish]] und [[Memcached]])
** https://www.mediawiki.org/wiki/Manual:Varnish_caching

; CPU-Auslastung reduzieren
* PHP OPcache aktivieren
* Objekt-Caching
* APCu/Memcached installieren
* ressourcenintensive Bot-Crawler blockieren

; Alternative Webserver
Nginx oder Lighttpd
* Die Verwendung von Nginx oder Lighttpd als Webserver anstelle von Apache kann die Leistung stark frequentierter Websites erheblich verbessern

; Links
* [https://www.mediawiki.org/wiki/Manual:Performance_tuning Alle Optionen für das Caching]
* https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

== PHP-Caching ==
; PHP-Caching aktivieren (unbedingt erforderlich)
PHP kompiliert Code standardmäßig bei jeder Seitenanfrage neu.
* Zwischenspeichern dieser Skripte reduziert die CPU-Auslastung
* https://www.mediawiki.org/wiki/Manual:Varnish_caching
* https://www.mediawiki.org/wiki/Manual:Performance_tuning

; OPcache
OPcache in der <code>php.ini</code>-Datei aktivieren
* <code>opcache.enable=1</code>
* <code>opcache.memory_consumption=128</code>

; APCu
APCu-PHP-Erweiterung installieren
* schnelles, lokales Objekt-Caching
* https://www.mediawiki.org/wiki/Manual:Performance_tuning/ca
* https://wiki.centos-webpanel.com/improve-website-performance
* https://www.mediawiki.org/wiki/Manual:Varnish_caching

== Objekt- und Hauptcache ==
; MediaWiki-Objekt- und Hauptcache konfigurieren
Datenbankabfragen zwischensoeichern

; LocalSettings.php
<syntaxhighlight lang="bash" highlight="" line copy>
$wgMainCacheType = CACHE_ACCEL;
$wgParserCacheType = CACHE_ACCEL;
$wgSessionCacheType = CACHE_ACCEL;
</syntaxhighlight>

* [[mediawikiwiki:Manual:$wgMainCacheType]]
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166
* https://lists.wikimedia.org/hyperkitty/list/mediawiki-l@lists.wikimedia.org/thread/S7YWAMM6BHTZBOK7ZPQ2ZBKRSML42OPP/
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166

== Bots und Crawler ==
; Bots und Crawler optimieren
Aggressive Suchmaschinen-Bots können dynamische Seiten (wie <code>api.php</code> oder <code>index.php?action=history</code>) indexieren und Ihre CPU überlasten.
* https://github.com/bitnami/charts/issues/3138
* https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

Erstelle oder aktualisiere eine strenge <code>robots.txt</code>-Datei in deinem Hauptverzeichnis, um nicht-kanonische URLs und Systemseiten zu blockieren.

; Beispielregeln
text User-agent:*
Disallow: /wiki/Special:
Disallow: /w/api.php Disallow: /w/index.php

* https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

== Erweiterungen ==
; Ressourcenintensive Erweiterungen anpassen
Komplexe Erweiterungen wie ''Semantic MediaWiki (SMW)'' können von Seiten zu erheblicher Serverbelastung führen
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166

; Abfrage-Caching
''Abfrage-Caching'' bei SMW aktivieren
* verhindert, dass komplexe semantische Abfragen bei jedem Besuch neu berechnet werden

''LocalSettings.php''
$smwgEnableCache = true;

== Zähler ==
; Seitenzähler deaktivieren
Erfassung der Seitenaufrufen kann auf stark frequentierten Seiten zu einem sprunghaften Anstieg der CPU-Auslastung führen
* [[mediawikiwiki:Topic:Rncjbh4poqojjt9k]]
Werden keine Seitenstatistiken benötigt, kann der Seitenzähler deaktiviert werden

; LocalSettings.php
<syntaxhighlight lang="php" highlight="" copy>
$wgDisableCounters = true;
</syntaxhighlight>

== PHP-FPM / FastCGI ==
; PHP-FPM / FastCGI optimieren
Wenn [[PHP-FPM]]-Prozesse
* aufgrund hohen Datenverkehrs
* übermäßig viel CPU-Leistung beanspruchen
* begrenze die Laufzeit jedes Prozesses, bevor er recycelt wird, um Speicher freizugeben.
** [[mediawikiwiki:Topic:U1sl12b4w1gkbh2k]]
** https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

; php-fpm.conf
Pool-Konfiguration
* um Prozesse zu aktualisieren

; Beispiel
<syntaxhighlight lang="bash" highlight="1" line copy>
pm.max_requests = 500
</syntaxhighlight>

; Skalierung
Anleitung zur Skalierung
* [[mediawikiwiki:Manual:Performance_tuning|MediaWiki-Handbuch zur Leistungsoptimierung]]
* [[mediawikiwiki:Manual:Performance_tuning|Manual:Performance_tuning]]

; Erweiterungen
Welche Erweiterungen (wie Semantic MediaWiki) sind aktiv?
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166

<noinclude>

== Anhang ==
=== Siehe auch ===
<div style="column-count:2">
<categorytree hideroot=on mode="pages">{{BASEPAGENAME}}</categorytree>
</div>
----
{{Special:PrefixIndex/{{BASEPAGENAME}}/}}

=== Dokumentation ===


=== Links ===
==== Projekt ====
==== Weblinks ====
# https://www.mediawiki.org/wiki/Manual:Varnish_caching


[[Kategorie:MediaWiki/Verwaltung]]

</noinclude>

MediaWiki/Performance

2026-06-17T09:21:01Z

Dirkwagner: /* PHP-FPM / FastCGI */

'''MediaWiki/Performance'''

== Beschreibung ==
; Ressourcen
Stellen Sie sicher, dass Ihrem Webserver und PHP genügend Arbeitsspeicher zugewiesen ist
* Es gibt eine Vielzahl von Caching-Tools
** die in Verbindung mit MediaWiki (und untereinander) verwendet werden können([[Varnish]] und [[Memcached]])
** https://www.mediawiki.org/wiki/Manual:Varnish_caching

; CPU-Auslastung reduzieren
* PHP OPcache aktivieren
* Objekt-Caching
* APCu/Memcached installieren
* ressourcenintensive Bot-Crawler blockieren

; Alternative Webserver
Nginx oder Lighttpd
* Die Verwendung von Nginx oder Lighttpd als Webserver anstelle von Apache kann die Leistung stark frequentierter Websites erheblich verbessern

; Links
* [https://www.mediawiki.org/wiki/Manual:Performance_tuning Alle Optionen für das Caching]
* https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

== PHP-Caching ==
; PHP-Caching aktivieren (unbedingt erforderlich)
PHP kompiliert Code standardmäßig bei jeder Seitenanfrage neu.
* Zwischenspeichern dieser Skripte reduziert die CPU-Auslastung
* https://www.mediawiki.org/wiki/Manual:Varnish_caching
* https://www.mediawiki.org/wiki/Manual:Performance_tuning

; OPcache
OPcache in der <code>php.ini</code>-Datei aktivieren
* <code>opcache.enable=1</code>
* <code>opcache.memory_consumption=128</code>

; APCu
APCu-PHP-Erweiterung installieren
* schnelles, lokales Objekt-Caching
* https://www.mediawiki.org/wiki/Manual:Performance_tuning/ca
* https://wiki.centos-webpanel.com/improve-website-performance
* https://www.mediawiki.org/wiki/Manual:Varnish_caching

== Objekt- und Hauptcache ==
; MediaWiki-Objekt- und Hauptcache konfigurieren
Datenbankabfragen zwischensoeichern

; LocalSettings.php
<syntaxhighlight lang="bash" highlight="" line copy>
$wgMainCacheType = CACHE_ACCEL;
$wgParserCacheType = CACHE_ACCEL;
$wgSessionCacheType = CACHE_ACCEL;
</syntaxhighlight>

* [[mediawikiwiki:Manual:$wgMainCacheType]]
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166
* https://lists.wikimedia.org/hyperkitty/list/mediawiki-l@lists.wikimedia.org/thread/S7YWAMM6BHTZBOK7ZPQ2ZBKRSML42OPP/
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166

== Bots und Crawler ==
; Bots und Crawler optimieren
Aggressive Suchmaschinen-Bots können dynamische Seiten (wie <code>api.php</code> oder <code>index.php?action=history</code>) indexieren und Ihre CPU überlasten.
* https://github.com/bitnami/charts/issues/3138
* https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

Erstelle oder aktualisiere eine strenge <code>robots.txt</code>-Datei in deinem Hauptverzeichnis, um nicht-kanonische URLs und Systemseiten zu blockieren.

; Beispielregeln
text User-agent:*
Disallow: /wiki/Special:
Disallow: /w/api.php Disallow: /w/index.php

* https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

== Erweiterungen ==
; Ressourcenintensive Erweiterungen anpassen
Komplexe Erweiterungen wie ''Semantic MediaWiki (SMW)'' können von Seiten zu erheblicher Serverbelastung führen
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166

; Abfrage-Caching
''Abfrage-Caching'' bei SMW aktivieren
* verhindert, dass komplexe semantische Abfragen bei jedem Besuch neu berechnet werden

''LocalSettings.php''
$smwgEnableCache = true;

== Zähler ==
; Seitenzähler deaktivieren
Erfassung der Seitenaufrufen kann auf stark frequentierten Seiten zu einem sprunghaften Anstieg der CPU-Auslastung führen
* [[mediawikiwiki:Topic:Rncjbh4poqojjt9k]]
Werden keine Seitenstatistiken benötigt, kann der Seitenzähler deaktiviert werden

; LocalSettings.php
<syntaxhighlight lang="php" highlight="" copy>
$wgDisableCounters = true;
</syntaxhighlight>

== PHP-FPM / FastCGI ==
; PHP-FPM / FastCGI optimieren
Wenn [[PHP-FPM]]-Prozesse
* aufgrund hohen Datenverkehrs
* übermäßig viel CPU-Leistung beanspruchen
* begrenze die Laufzeit jedes Prozesses, bevor er recycelt wird, um Speicher freizugeben.
** [[mediawikiwiki:Topic:U1sl12b4w1gkbh2k]]
** https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

; php-fpm.conf
Konfigurieren
* php-fpm.conf
* Pool-Konfiguration
pm.max_requests
um Prozesse zu aktualisieren, beispielsweise
pm.max_requests = 500

; Skalierung
Anleitung zur Skalierung
* [[mediawikiwiki:Manual:Performance_tuning|MediaWiki-Handbuch zur Leistungsoptimierung]]
* [[mediawikiwiki:Manual:Performance_tuning|Manual:Performance_tuning]]

; Erweiterungen
Welche Erweiterungen (wie Semantic MediaWiki) sind aktiv?
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166

<noinclude>

== Anhang ==
=== Siehe auch ===
<div style="column-count:2">
<categorytree hideroot=on mode="pages">{{BASEPAGENAME}}</categorytree>
</div>
----
{{Special:PrefixIndex/{{BASEPAGENAME}}/}}

=== Dokumentation ===


=== Links ===
==== Projekt ====
==== Weblinks ====
# https://www.mediawiki.org/wiki/Manual:Varnish_caching


[[Kategorie:MediaWiki/Verwaltung]]

</noinclude>

MediaWiki/Performance

2026-06-17T09:20:17Z

Dirkwagner: /* Zähler */

'''MediaWiki/Performance'''

== Beschreibung ==
; Ressourcen
Stellen Sie sicher, dass Ihrem Webserver und PHP genügend Arbeitsspeicher zugewiesen ist
* Es gibt eine Vielzahl von Caching-Tools
** die in Verbindung mit MediaWiki (und untereinander) verwendet werden können([[Varnish]] und [[Memcached]])
** https://www.mediawiki.org/wiki/Manual:Varnish_caching

; CPU-Auslastung reduzieren
* PHP OPcache aktivieren
* Objekt-Caching
* APCu/Memcached installieren
* ressourcenintensive Bot-Crawler blockieren

; Alternative Webserver
Nginx oder Lighttpd
* Die Verwendung von Nginx oder Lighttpd als Webserver anstelle von Apache kann die Leistung stark frequentierter Websites erheblich verbessern

; Links
* [https://www.mediawiki.org/wiki/Manual:Performance_tuning Alle Optionen für das Caching]
* https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

== PHP-Caching ==
; PHP-Caching aktivieren (unbedingt erforderlich)
PHP kompiliert Code standardmäßig bei jeder Seitenanfrage neu.
* Zwischenspeichern dieser Skripte reduziert die CPU-Auslastung
* https://www.mediawiki.org/wiki/Manual:Varnish_caching
* https://www.mediawiki.org/wiki/Manual:Performance_tuning

; OPcache
OPcache in der <code>php.ini</code>-Datei aktivieren
* <code>opcache.enable=1</code>
* <code>opcache.memory_consumption=128</code>

; APCu
APCu-PHP-Erweiterung installieren
* schnelles, lokales Objekt-Caching
* https://www.mediawiki.org/wiki/Manual:Performance_tuning/ca
* https://wiki.centos-webpanel.com/improve-website-performance
* https://www.mediawiki.org/wiki/Manual:Varnish_caching

== Objekt- und Hauptcache ==
; MediaWiki-Objekt- und Hauptcache konfigurieren
Datenbankabfragen zwischensoeichern

; LocalSettings.php
<syntaxhighlight lang="bash" highlight="" line copy>
$wgMainCacheType = CACHE_ACCEL;
$wgParserCacheType = CACHE_ACCEL;
$wgSessionCacheType = CACHE_ACCEL;
</syntaxhighlight>

* [[mediawikiwiki:Manual:$wgMainCacheType]]
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166
* https://lists.wikimedia.org/hyperkitty/list/mediawiki-l@lists.wikimedia.org/thread/S7YWAMM6BHTZBOK7ZPQ2ZBKRSML42OPP/
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166

== Bots und Crawler ==
; Bots und Crawler optimieren
Aggressive Suchmaschinen-Bots können dynamische Seiten (wie <code>api.php</code> oder <code>index.php?action=history</code>) indexieren und Ihre CPU überlasten.
* https://github.com/bitnami/charts/issues/3138
* https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

Erstelle oder aktualisiere eine strenge <code>robots.txt</code>-Datei in deinem Hauptverzeichnis, um nicht-kanonische URLs und Systemseiten zu blockieren.

; Beispielregeln
text User-agent:*
Disallow: /wiki/Special:
Disallow: /w/api.php Disallow: /w/index.php

* https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

== Erweiterungen ==
; Ressourcenintensive Erweiterungen anpassen
Komplexe Erweiterungen wie ''Semantic MediaWiki (SMW)'' können von Seiten zu erheblicher Serverbelastung führen
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166

; Abfrage-Caching
''Abfrage-Caching'' bei SMW aktivieren
* verhindert, dass komplexe semantische Abfragen bei jedem Besuch neu berechnet werden

''LocalSettings.php''
$smwgEnableCache = true;

== Zähler ==
; Seitenzähler deaktivieren
Erfassung der Seitenaufrufen kann auf stark frequentierten Seiten zu einem sprunghaften Anstieg der CPU-Auslastung führen
* [[mediawikiwiki:Topic:Rncjbh4poqojjt9k]]
Werden keine Seitenstatistiken benötigt, kann der Seitenzähler deaktiviert werden

; LocalSettings.php
<syntaxhighlight lang="php" highlight="" copy>
$wgDisableCounters = true;
</syntaxhighlight>

== PHP-FPM / FastCGI ==
; PHP-FPM / FastCGI optimieren
Wenn PHP-FPM-Prozesse
* aufgrund hohen Datenverkehrs
* übermäßig viel CPU-Leistung beanspruchen
* begrenze die Laufzeit jedes Prozesses, bevor er recycelt wird, um Speicher freizugeben.
** [[mediawikiwiki:Topic:U1sl12b4w1gkbh2k]]
** https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

; php-fpm.conf
Konfigurieren
* php-fpm.conf
* Pool-Konfiguration
pm.max_requests
um Prozesse zu aktualisieren, beispielsweise
pm.max_requests = 500

; Skalierung
Anleitung zur Skalierung
* [[mediawikiwiki:Manual:Performance_tuning|MediaWiki-Handbuch zur Leistungsoptimierung]]
* [[mediawikiwiki:Manual:Performance_tuning|Manual:Performance_tuning]]

; Erweiterungen
Welche Erweiterungen (wie Semantic MediaWiki) sind aktiv?
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166

<noinclude>

== Anhang ==
=== Siehe auch ===
<div style="column-count:2">
<categorytree hideroot=on mode="pages">{{BASEPAGENAME}}</categorytree>
</div>
----
{{Special:PrefixIndex/{{BASEPAGENAME}}/}}

=== Dokumentation ===


=== Links ===
==== Projekt ====
==== Weblinks ====
# https://www.mediawiki.org/wiki/Manual:Varnish_caching


[[Kategorie:MediaWiki/Verwaltung]]

</noinclude>

MediaWiki/Performance

2026-06-17T09:20:03Z

Dirkwagner: /* Zähler */

'''MediaWiki/Performance'''

== Beschreibung ==
; Ressourcen
Stellen Sie sicher, dass Ihrem Webserver und PHP genügend Arbeitsspeicher zugewiesen ist
* Es gibt eine Vielzahl von Caching-Tools
** die in Verbindung mit MediaWiki (und untereinander) verwendet werden können([[Varnish]] und [[Memcached]])
** https://www.mediawiki.org/wiki/Manual:Varnish_caching

; CPU-Auslastung reduzieren
* PHP OPcache aktivieren
* Objekt-Caching
* APCu/Memcached installieren
* ressourcenintensive Bot-Crawler blockieren

; Alternative Webserver
Nginx oder Lighttpd
* Die Verwendung von Nginx oder Lighttpd als Webserver anstelle von Apache kann die Leistung stark frequentierter Websites erheblich verbessern

; Links
* [https://www.mediawiki.org/wiki/Manual:Performance_tuning Alle Optionen für das Caching]
* https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

== PHP-Caching ==
; PHP-Caching aktivieren (unbedingt erforderlich)
PHP kompiliert Code standardmäßig bei jeder Seitenanfrage neu.
* Zwischenspeichern dieser Skripte reduziert die CPU-Auslastung
* https://www.mediawiki.org/wiki/Manual:Varnish_caching
* https://www.mediawiki.org/wiki/Manual:Performance_tuning

; OPcache
OPcache in der <code>php.ini</code>-Datei aktivieren
* <code>opcache.enable=1</code>
* <code>opcache.memory_consumption=128</code>

; APCu
APCu-PHP-Erweiterung installieren
* schnelles, lokales Objekt-Caching
* https://www.mediawiki.org/wiki/Manual:Performance_tuning/ca
* https://wiki.centos-webpanel.com/improve-website-performance
* https://www.mediawiki.org/wiki/Manual:Varnish_caching

== Objekt- und Hauptcache ==
; MediaWiki-Objekt- und Hauptcache konfigurieren
Datenbankabfragen zwischensoeichern

; LocalSettings.php
<syntaxhighlight lang="bash" highlight="" line copy>
$wgMainCacheType = CACHE_ACCEL;
$wgParserCacheType = CACHE_ACCEL;
$wgSessionCacheType = CACHE_ACCEL;
</syntaxhighlight>

* [[mediawikiwiki:Manual:$wgMainCacheType]]
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166
* https://lists.wikimedia.org/hyperkitty/list/mediawiki-l@lists.wikimedia.org/thread/S7YWAMM6BHTZBOK7ZPQ2ZBKRSML42OPP/
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166

== Bots und Crawler ==
; Bots und Crawler optimieren
Aggressive Suchmaschinen-Bots können dynamische Seiten (wie <code>api.php</code> oder <code>index.php?action=history</code>) indexieren und Ihre CPU überlasten.
* https://github.com/bitnami/charts/issues/3138
* https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

Erstelle oder aktualisiere eine strenge <code>robots.txt</code>-Datei in deinem Hauptverzeichnis, um nicht-kanonische URLs und Systemseiten zu blockieren.

; Beispielregeln
text User-agent:*
Disallow: /wiki/Special:
Disallow: /w/api.php Disallow: /w/index.php

* https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

== Erweiterungen ==
; Ressourcenintensive Erweiterungen anpassen
Komplexe Erweiterungen wie ''Semantic MediaWiki (SMW)'' können von Seiten zu erheblicher Serverbelastung führen
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166

; Abfrage-Caching
''Abfrage-Caching'' bei SMW aktivieren
* verhindert, dass komplexe semantische Abfragen bei jedem Besuch neu berechnet werden

''LocalSettings.php''
$smwgEnableCache = true;

== Zähler ==
; Seitenzähler deaktivieren
Erfassung der Seitenaufrufen kann auf stark frequentierten Seiten zu einem sprunghaften Anstieg der CPU-Auslastung führen
* mediawikiwiki:Topic:Rncjbh4poqojjt9k
Werden keine Seitenstatistiken benötigt, kann der Seitenzähler deaktiviert werden

; LocalSettings.php
<syntaxhighlight lang="php" highlight="" copy>
$wgDisableCounters = true;
</syntaxhighlight>

== PHP-FPM / FastCGI ==
; PHP-FPM / FastCGI optimieren
Wenn PHP-FPM-Prozesse
* aufgrund hohen Datenverkehrs
* übermäßig viel CPU-Leistung beanspruchen
* begrenze die Laufzeit jedes Prozesses, bevor er recycelt wird, um Speicher freizugeben.
** [[mediawikiwiki:Topic:U1sl12b4w1gkbh2k]]
** https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

; php-fpm.conf
Konfigurieren
* php-fpm.conf
* Pool-Konfiguration
pm.max_requests
um Prozesse zu aktualisieren, beispielsweise
pm.max_requests = 500

; Skalierung
Anleitung zur Skalierung
* [[mediawikiwiki:Manual:Performance_tuning|MediaWiki-Handbuch zur Leistungsoptimierung]]
* [[mediawikiwiki:Manual:Performance_tuning|Manual:Performance_tuning]]

; Erweiterungen
Welche Erweiterungen (wie Semantic MediaWiki) sind aktiv?
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166

<noinclude>

== Anhang ==
=== Siehe auch ===
<div style="column-count:2">
<categorytree hideroot=on mode="pages">{{BASEPAGENAME}}</categorytree>
</div>
----
{{Special:PrefixIndex/{{BASEPAGENAME}}/}}

=== Dokumentation ===


=== Links ===
==== Projekt ====
==== Weblinks ====
# https://www.mediawiki.org/wiki/Manual:Varnish_caching


[[Kategorie:MediaWiki/Verwaltung]]

</noinclude>

MediaWiki/Performance

2026-06-17T09:19:12Z

Dirkwagner: /* Zähler */

'''MediaWiki/Performance'''

== Beschreibung ==
; Ressourcen
Stellen Sie sicher, dass Ihrem Webserver und PHP genügend Arbeitsspeicher zugewiesen ist
* Es gibt eine Vielzahl von Caching-Tools
** die in Verbindung mit MediaWiki (und untereinander) verwendet werden können([[Varnish]] und [[Memcached]])
** https://www.mediawiki.org/wiki/Manual:Varnish_caching

; CPU-Auslastung reduzieren
* PHP OPcache aktivieren
* Objekt-Caching
* APCu/Memcached installieren
* ressourcenintensive Bot-Crawler blockieren

; Alternative Webserver
Nginx oder Lighttpd
* Die Verwendung von Nginx oder Lighttpd als Webserver anstelle von Apache kann die Leistung stark frequentierter Websites erheblich verbessern

; Links
* [https://www.mediawiki.org/wiki/Manual:Performance_tuning Alle Optionen für das Caching]
* https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

== PHP-Caching ==
; PHP-Caching aktivieren (unbedingt erforderlich)
PHP kompiliert Code standardmäßig bei jeder Seitenanfrage neu.
* Zwischenspeichern dieser Skripte reduziert die CPU-Auslastung
* https://www.mediawiki.org/wiki/Manual:Varnish_caching
* https://www.mediawiki.org/wiki/Manual:Performance_tuning

; OPcache
OPcache in der <code>php.ini</code>-Datei aktivieren
* <code>opcache.enable=1</code>
* <code>opcache.memory_consumption=128</code>

; APCu
APCu-PHP-Erweiterung installieren
* schnelles, lokales Objekt-Caching
* https://www.mediawiki.org/wiki/Manual:Performance_tuning/ca
* https://wiki.centos-webpanel.com/improve-website-performance
* https://www.mediawiki.org/wiki/Manual:Varnish_caching

== Objekt- und Hauptcache ==
; MediaWiki-Objekt- und Hauptcache konfigurieren
Datenbankabfragen zwischensoeichern

; LocalSettings.php
<syntaxhighlight lang="bash" highlight="" line copy>
$wgMainCacheType = CACHE_ACCEL;
$wgParserCacheType = CACHE_ACCEL;
$wgSessionCacheType = CACHE_ACCEL;
</syntaxhighlight>

* [[mediawikiwiki:Manual:$wgMainCacheType]]
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166
* https://lists.wikimedia.org/hyperkitty/list/mediawiki-l@lists.wikimedia.org/thread/S7YWAMM6BHTZBOK7ZPQ2ZBKRSML42OPP/
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166

== Bots und Crawler ==
; Bots und Crawler optimieren
Aggressive Suchmaschinen-Bots können dynamische Seiten (wie <code>api.php</code> oder <code>index.php?action=history</code>) indexieren und Ihre CPU überlasten.
* https://github.com/bitnami/charts/issues/3138
* https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

Erstelle oder aktualisiere eine strenge <code>robots.txt</code>-Datei in deinem Hauptverzeichnis, um nicht-kanonische URLs und Systemseiten zu blockieren.

; Beispielregeln
text User-agent:*
Disallow: /wiki/Special:
Disallow: /w/api.php Disallow: /w/index.php

* https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

== Erweiterungen ==
; Ressourcenintensive Erweiterungen anpassen
Komplexe Erweiterungen wie ''Semantic MediaWiki (SMW)'' können von Seiten zu erheblicher Serverbelastung führen
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166

; Abfrage-Caching
''Abfrage-Caching'' bei SMW aktivieren
* verhindert, dass komplexe semantische Abfragen bei jedem Besuch neu berechnet werden

''LocalSettings.php''
$smwgEnableCache = true;

== Zähler ==
; Zähler Deaktiviere
Erfassung der Seitenaufrufen kann auf stark frequentierten Seiten zu einem sprunghaften Anstieg der CPU-Auslastung führen
* mediawikiwiki:Topic:Rncjbh4poqojjt9k

; Seitenzähler deaktivieren
Werden keine Seitenstatistiken benötigt, kann der Seitenzähler deaktiviert werden

; LocalSettings.php
<syntaxhighlight lang="php" highlight="" copy>
$wgDisableCounters = true;
</syntaxhighlight>

== PHP-FPM / FastCGI ==
; PHP-FPM / FastCGI optimieren
Wenn PHP-FPM-Prozesse
* aufgrund hohen Datenverkehrs
* übermäßig viel CPU-Leistung beanspruchen
* begrenze die Laufzeit jedes Prozesses, bevor er recycelt wird, um Speicher freizugeben.
** [[mediawikiwiki:Topic:U1sl12b4w1gkbh2k]]
** https://serverfault.com/questions/397482/need-help-trouble-shooting-high-cpu-usage-by-php-fpm

; php-fpm.conf
Konfigurieren
* php-fpm.conf
* Pool-Konfiguration
pm.max_requests
um Prozesse zu aktualisieren, beispielsweise
pm.max_requests = 500

; Skalierung
Anleitung zur Skalierung
* [[mediawikiwiki:Manual:Performance_tuning|MediaWiki-Handbuch zur Leistungsoptimierung]]
* [[mediawikiwiki:Manual:Performance_tuning|Manual:Performance_tuning]]

; Erweiterungen
Welche Erweiterungen (wie Semantic MediaWiki) sind aktiv?
* https://hexshift.medium.com/step-by-step-guide-to-optimizing-mediawiki-performance-with-caching-and-profiling-391b5203d166

<noinclude>

== Anhang ==
=== Siehe auch ===
<div style="column-count:2">
<categorytree hideroot=on mode="pages">{{BASEPAGENAME}}</categorytree>
</div>
----
{{Special:PrefixIndex/{{BASEPAGENAME}}/}}

=== Dokumentation ===


=== Links ===
==== Projekt ====
==== Weblinks ====
# https://www.mediawiki.org/wiki/Manual:Varnish_caching


[[Kategorie:MediaWiki/Verwaltung]]

</noinclude>

BSI/200-4/10 Business-Continuity-Strategie

2026-06-17T08:47:10Z

Dirkwagner: /* Identifikation */

<noinclude>
----
{{Navigation|BSI/200-4/09 Risikoanalyse|BSI/200-4/11 Geschäftsfortführung}}
----
</noinclude>
'''BSI/200-4/10 Business-Continuity-Strategie'''

== Beschreibung ==
; Entwicklung von BC-Strategien und -Lösungen
; Vorgehen
{|class="wikitable options big col1center col2bold"
! !! Schritt !! Beschreibung
|-
| 1 || [[#Identifikation|Identifikation]] ||Identifikation möglicher BC-Strategien
|-
| 2 || [[#Bewertung|Bewertung]] || Bewertung von BC-Strategien
|-
| 3 || [[#Auswahl|Auswahl]] || Auswahl der BC-Strategien durch die Institutionsleitung
|-
| 4 || [[#Umsetzung|Umsetzung]] ||Umsetzung der BC-Strategien
|}

[[File:img-209-398.png|800px]]

== Identifikation ==
; Auswahl der BC-Strategien durch die Institutionsleitung (AS)
{| class="wikitable options big col2center"
|-
! !! !!
|-
| Betrachtungsgrundlage|| Ressourcenkategorien, SPoF, identifizierte Korrektur- und Verbesserungsmaßnahmen vorangegangener BCM-Tätigkeiten||Ressourcenkategorien (Beispiele)
|-
| BC-Strategie-Optionen je Ressourcenkategorie|| ||
* Informationstechnik
* Personal
* Infrastruktur
* Dienstleistungen
|-
|
|
|
|}

=== BC-Strategien ===
Die Institution muss geeignete BC-Strategien definieren, die den Handlungsbedarf aus der BCM-Risikoanalyse abdecken
* Üblicherweise übernimmt diese Tätigkeit der oder die [[BCB]]

=== Ressourcenkategorien ===
Hierzu kann sich der oder die [[BCB]] zunächst an den in der [[BIA]] festgelegten Ressourcenkategorien orientieren
* Für jede Ressourcenkategorie ist es empfehlenswert, zu prüfen, welche grundsätzlichen BC-Strategien möglich wären, um die jeweilige Ressourcenkategorie abzusichern
* Eine BC-Strategie kann sowohl dazu geeignet sein, die Eintrittshäufigkeit eines Ressourcen- oder Geschäftsprozessausfalls durch Vorsorgemaßnahmen zu senken, als auch einen Notbetrieb durch BC-Lösungen sowie Notfallmaßnahmen zu ermöglichen
* Sie sollte geeignet sein, den Geschäftsbetrieb mindestens über den abzusichernden Zeitraum mit einem angemessenen Notbetrieb abzudecken

=== Wiederherstellungsplanung ===
Liegt bereits eine Wiederherstellungsplanung vor, beispielsweise aus einem [[ITSCM]] oder einem früheren BCM-Zyklus, dann können aus dieser Planung Rückschlüsse gezogen werden, wie lange eine vollständige Wiederherstellung der Ressource voraussichtlich zeitlich in Anspruch nehmen wird
* Diese Information kann im [[BCM]] genutzt werden, um in der Auswahl von BC-Strategien und -Lösungen die maximal mögliche Notbetriebsdauer mit der voraussichtlich notwendigen Notbetriebsdauer vergleichen zu können
* Die Wiederherstellungsplanung unterstützt somit bei der Identifikation bedarfsgerechter und wirtschaftlicher BC-Strategien und -Lösungen

=== Ressourcenkategorien ===
Zusätzlich kann es zweckmäßig sein, einzelne Ressourcenkategorien weiter zu unterteilen
* Dies ist etwa dann sinnvoll, wenn für unterteilte Ressourcenkategorien durch unterschiedliche BC-Strategien ein besseres Gesamtergebnis der BC-Strategien möglich wird
Die Ressourcenkategorie Gebäude und Infrastruktur kann etwa einen gesamten Standort, ein einzelnes Gebäude oder gar einzelne Gebäudeteile umfassen
* Bei einem gesamten Standortausfall könnte die BC-Strategie lauten, sämtliche Tätigkeiten oder eine vorhandene Produktion an einen Ausweichstandort zu verlagern
* Fallen hingegen nur einzelne Gebäudeteile aus, dann kann eine BC-Strategie dazu lauten, die Arbeitsplätze oder die Produktion innerhalb des Gebäudes oder Standortes zu verlagern

=== Korrektur und Verbesserung ===
; Korrekturbedarfen und Verbesserungsmöglichkeiten
Die BC-Strategien sollten die noch nicht adressierten Korrekturbedarfe und Verbesserungsmöglichkeiten aus vorangegangenen BCMS-Zyklen angemessen berücksichtigen

Zu den identifizierten Korrekturbedarfen und Verbesserungsmöglichkeiten vorangegangener BCMS-Zyklen zählen etwa Lücken, die mit den bestehenden personellen, finanziellen oder zeitlichen Ressourcen bislang nicht behandelt werden konnten oder bewusst nicht behandelt wurden
* Dies gilt insbesondere für initiale Entwicklungsstufen

=== Cyberangriffe ===
Obwohl Cyberangriffe nicht in der BC-Planung des [[BCM]] oder [[ITSCM]] vollumfänglich abgedeckt werden können, kann es sinnvoll sein, diese themenübergreifenden Aspekte in der Identifikation von BC-Strategien mit zu berücksichtigen und dazu das ISMS mit einzubinden
* Sofern ein ISMS besteht, können hierbei die Anforderungen an die jeweiligen BC-Strategien sowie mögliche Vorsorgemaßnahmen, die mitunter im ISMS bereits bestehen, gemeinsam abgestimmt und in eine BC-Strategie überführt werden
* Jedoch können [[RTO]] und [[RPO]] bei einem Cyberangriff meist nicht eingehalten werden

== Bewertung ==
; Bewertung von BC-Strategien (AS)
{| class="wikitable options col1center big"
|-
! !! !!
|-
| || ||
|-
| || ||
|}

Nachdem der oder die [[BCB]] die grundsätzlich möglichen BC-Strategien identifiziert hat, muss er oder sie bewerten, ob diese für die Institution wirksam und angemessen sind

Eine BC-Strategie ist dann wirksam, wenn durch die umgesetzte BC-Strategie die Eintrittshäufigkeit eines Ausfalls auf ein akzeptables Maß gesenkt werden kann oder die zeitkritischen Geschäftsprozesse innerhalb der [[RTO]] auf dem Notbetriebsniveau fortgeführt werden können
* Angemessen ist eine BC-Strategie dann, wenn sie den allgemeinen Zielen der Institution entspricht, die geltenden rechtlichen und regulatorischen Anforderungen einhält und wenn der Nutzen die Kosten überwiegt
* Um die BC-Strategien bewerten zu können, ist es empfehlenswert, dass der oder die [[BCB]] verschiedene Bewertungskriterien festlegt
* Anhand der Bewertungskriterien können die BC-Strategien qualitativ und quantitativ bewertet und gegeneinander abgewogen werden
* Falls sich frühzeitig herausstellt, dass eine BC-Strategie nicht wirksam oder angemessen ist, ist es nicht notwendig, diese weiter zu bewerten

; Bewertungskriterien
Bewertungskriterien, die bei der Bewertung mindestens berücksichtigt werden müssen

; Einhalten der [[RTO]]
Für die betrachteten BC-Strategien muss geprüft werden, ob nach deren Umsetzung der Notbetrieb der entsprechenden Ressourcen innerhalb der [[RTO]] hergestellt werden kann

; Erreichbares Notbetriebsniveau
Es muss geprüft werden, ob die betrachteten BC-Strategien in der Lage sind, das Notbetriebsniveau sicherzustellen
* Wird durch eine Maßnahme zwar die [[RTO]] erreicht, jedoch nicht das Notbetriebsniveau, dann ist die betrachtete BC-Strategie je nach Risikobereitschaft der Institution nicht hinreichend geeignet oder muss um weitere Maßnahmen ergänzt werden

; Restrisiken
Es muss geprüft werden, welches Restrisiko eines Ressourcenausfalls trotz umgesetzter BC-Strategie bestehen bleibt
* Wird etwa ein Ausweichstandort geplant, der gleichen regionalen Bedrohungen ausgesetzt ist wie der primäre Standort, dann verbleibt ein mögliches Restrisiko, dass beide Standorte durch dasselbe Ereignis betroffen sind
* Dies kann beispielsweise der Fall sein durch eine Bombenentschärfung bei Standorten in derselben Region oder durch Hochwasser eines Flusses bei Standorten im gleichen Hochwassergebiet oder durch ein Erdbeben im selben Erdbebengebiet etc
* Hierzu zählt unter anderem auch das Restrisiko bei der BC-Strategie „Redundante Zuliefernde“, falls beispielsweise in beiden Lieferketten der gleiche Zuliefernde auftaucht oder die Lieferketten durch gleiche Bedrohungen gefährdet sind
* Ziel der BC-Strategien ist es, die Bedrohungen nach Möglichkeit auszuschließen und daher im Vorhinein die Tätigkeiten auf unterschiedliche Standorte und Services zu verteilen, die ausreichend voneinander getrennt sind
* So würde der Ausfall eines Standortes mitunter gar nicht erst zum Ausfall des Geschäftsprozesses führen
* Dies wäre dann der Fall, wenn die Leistung der verbliebenen Standorte ausreicht, den Geschäftsprozess auf dem Notbetriebsniveau fortsetzen zu können

; Finanzielle Aufwände
Es muss geprüft werden, welche finanziellen Aufwände mit den identifizierten BC-Strategien einhergehen und ob diese in einem angemessenen Verhältnis zu den erwarteten Schäden der ausgefallenen Geschäftsprozesse stehen
* Entsprechende Aussagen kann beispielsweise das (Risiko-)Controlling treffen
* Finanzielle Aufwände beinhalten die Anschaffungskosten, die notwendigen Kosten während und nach einem Notfall sowie die erforderlichen Kosten, um die BC-Strategien aufrechtzuerhalten, beispielsweise die laufenden Kosten eines Ausweichstandortes oder zusätzliche Kontroll-und Steuerungsaufwände
Einhaltung interner und externer Anforderungen: Es sollte geprüft werden, ob die betrachteten BC-Strategien den Rahmenbedingungen der Institution entsprechen
* So sollten die BC-Strategien etwa dahingehend geprüft werden, ob sie mögliche rechtliche und regulatorische Anforderungen einhalten, die Interessen interner und externer Interessengruppen einbeziehen sowie die allgemeine Risikobereitschaft der Institutionsleitung berücksichtigen
* Mögliche interne und externe Anforderungen wurden bereits mit den erweiterten Rahmenbedingungen zum BCMS erfasst (siehe 4.2 Analyse der erweiterten Rahmenbedingungen)

; Maximal mögliche Notbetriebsdauer
Es sollte geprüft werden, wie lange die eingesetzten BC-Strategien einen Notbetrieb ermöglichen können, bis alternative Lösungen gefunden sind oder der Normalbetrieb wiederhergestellt ist
* Die maximal mögliche Notbetriebsdauer sollte mindestens den abzusichernden Zeitraum abdecken (siehe 3.2.3 Abzusichernder Zeitraum durch ein BCMS (R+AS))
Die maximal mögliche Notbetriebsdauer ist darüber hinaus von Bedeutung, weil bei einem langfristigen Ressourcenausfall weitere Schäden entstehen könnten
* So könnten etwa verdrängte, im Betrachtungszeitraum der [[BIA]] nicht zeitkritische Arbeitsplätze langfristig auch zeitkritisch werden und ebenfalls Ausweicharbeitsplätze benötigen
* Auch können die Kosten der aktivierten Notfallmaßnahmen ab einem bestimmten Zeitpunkt die erwarteten Schäden der ausgefallenen Ressourcen und Geschäftsprozesse übertreffen
* Dies kann etwa der Fall sein, wenn zusätzliche Büroflächen über einen sehr langen Zeitraum angemietet werden müssen

; Optionale Bewertungskriterien
Neben den mindestens zu betrachtenden Bewertungskriterien können weitere optionale Bewertungskriterien betrachtet werden, wie etwa die folgenden:

; Organisatorische Aufwände
Es wird empfohlen, zu prüfen, welche organisatorischen Aufwände mit den identifizierten BC-Strategien einhergehen und ob diese im Verhältnis zu den erwarteten Schäden der ausgefallenen Ressourcen stehen

; Entstehende Risiken
Es wird empfohlen, zu prüfen, ob die betrachteten BC-Strategien zu neuen Risiken führen können
* Werden etwa gleiche Tätigkeiten auf mehrere Standorte verteilt, so könnte dies in der Folge zu Effizienzverlusten oder einem mangelnden Wissensaustausch der beteiligten Mitarbeitenden führen, Aber es können auch neue Risiken entstehen, die unabhängig von einem zweiten Standort sind, beispielsweise Abweichungen zu Vorgaben an den Arbeitsschutz oder Verletzungen der Schutzziele der Informationssicherheit
* Solche Risiken werden empfehlenswerter Weise mittels einer übergreifenden Risikoanalyse gegeneinander abgewogen
Entstehender Zusatznutzen: Es wird empfohlen, zu prüfen, ob die betrachteten BC-Strategien auch im Normalbetrieb zu Verbesserungen führen oder positive Seiteneffekte auf Schnittstellen und andere Aspekte haben, beispielsweise Einkaufsvorteile
* So kann der oder die [[BCB]] auch prüfen, ob Synergien zwischen den BC-Strategien oder zu anderen Tätigkeiten in der Institution bestehen oder geschaffen werden können

; Einschätzung Verhältnis Kosten-Nutzen-Risiko
Die Entscheidung für oder gegen eine BC-Strategie ergibt sich aus der Abwägung der entstehenden Kosten im Verhältnis dazu, wie sehr die Eintrittshäufigkeit oder das Schadenspotenzial des Risikos einer Geschäftsunterbrechung reduziert werden können
* Eine BC-Strategie kann dann als sinnvoll betrachtet werden, wenn die Kosten für ihre Umsetzung und ihren Betrieb gerechtfertigt sind, um das Risiko zu minimieren

; Zusätzlichen Nutzen
Ferner ist es empfehlenswert, einen möglichen zusätzlichen Nutzen in der Kosten-Nutzen-Risiko Abwägung zu berücksichtigen

Um die notwendigen Informationen zu erheben, kann der oder die [[BCB]] beispielsweise auf die Ressourcen- und Prozesszuständigen zugehen, in deren Zuständigkeitsbereich die BC-Strategien umgesetzt werden
* Auch kann er oder sie mit Anbietern entsprechender Lösungen in Kontakt treten
Die Bewertung der BC-Strategien kann in der Dokumentvorlage Bewertungstabelle BC-Strategien aus den Hilfsmitteln dokumentiert werden

; Beispiel für die Bewertung der BC-Strategie „Mobiles Arbeiten“
[[File:bcmTab33-1.png|600px]]
[[File:bcmTab33-2.png|600px]]

=== Übersicht sinnvoller BC-Strategien ===
Als Ergebnis erhält der oder die [[BCB]] eine Übersicht prinzipiell sinnvoller BC-Strategien und kann ersehen, inwieweit diese sowohl wirksam als auch angemessen sind
* Es ist empfehlenswert, dass die Rolle [[BCB]] die aus ihrer Sicht passendsten BC-Strategien vorauswählt
* Dies erleichtert es der Institutionsleitung, die bestmöglich geeignete BC-Strategie festzulegen
* Dazu ist es hilfreich, dass der oder die [[BCB]] prüft, welche der BC-Strategien die Anforderungen an die BC-Planung sowie die Rahmenbedingungen der Institution bestmöglich vereinen

Nachdem der oder die [[BCB]] die BC-Strategien geprüft hat, kann er oder sie je Ressourcenkategorie eine oder mehrere BC-Strategien vorauswählen
* Insbesondere wenn die BC-Strategien nicht von allen Organisationseinheiten gleichermaßen genutzt werden können, kann es sinnvoll sein, mehrere prinzipiell mögliche BC-Strategien vorzuschlagen
Als Ergebnis dieser Phase verfügt der oder die [[BCB]] für jede Ressourcenkategorie über mindestens eine mögliche BC-Strategie, die der Institutionsleitung im folgenden Schritt vorgestellt werden muss

== Auswahl ==
; Auswahl der BC-Strategien durch die Institutionsleitung (AS)
{| class="wikitable options col1center big"
|-
! !! !!
|-
| || ||
|-
| || ||
|}

; Auswahl und Entscheidung
Nachdem der oder die [[BCB]] mögliche BC-Strategien vorausgewählt hat, muss die Institutionsleitung in ihrer Rolle als Gesamtverantwortliche für das [[BCM]] sowie aufgrund der Reichweite der BC-Strategien über die letztlich umzusetzenden BC-Strategien entscheiden
* Die Institutionsleitung muss hierzu die Wirksamkeit beziehungsweise den Nutzen der BC-Strategien sowie die erwarteten Kosten und die eigene Risikobereitschaft gegeneinander abwägen

; Entscheidungspräsentation
Es ist empfehlenswert, die BC-Strategien im Rahmen einer Entscheidungspräsentation vorzustellen und abzustimmen
* Die Entscheidungspräsentation ermöglicht es dem oder der [[BCB]] , die BC-Strategien, die relevanten Inhalte sowie Vor- und Nachteile strukturiert und visuell gegenüberzustellen sowie seine jeweiligen Favoriten zu empfehlen

; Inhalte der Entscheidungspräsentation
Allgemeinen Ziele von BC-Strategien
* Da die Institutionsleitung erfahrungsgemäß nur an bestimmten Stellen zum Thema BC-Strategien mit einbezogen wird, ist es empfehlenswert, dass der oder die [[BCB]] zu Beginn der Entscheidungspräsentation auf die Ziele der BC-Strategien eingeht
* Er oder sie kann hierzu erläutern, was unter BC-Strategien zu verstehen ist, welche Aufgabe die Institutionsleitung hierbei hat und welche Schritte auf die Entscheidung der Institutionsleitung folgen

Betrachtungsgrundlage der BC-Strategien
* Um der Institutionsleitung zu verdeutlichen, was in der BC-Planung durch die BC-Strategien abgesichert werden muss, kann der oder die [[BCB]] die betrachteten Ressourcenkategorien und Teilkategorien vorstellen
* Er oder sie kann hierbei auch auf identifizierte Single-Points-of-Failure und Verbesserungsbedarfe vorangegangener BCMS-Tätigkeiten eingehen, die durch die BC-Strategien berücksichtigt werden sollten

Vor- und Nachteile empfohlene BC-Strategien
* Je vorgestellter Ressourcenkategorie kann der oder die [[BCB]] die empfohlenen BC-Strategien vorstellen sowie die jeweiligen Vor- und Nachteile erläutern
* Hierbei kann er oder sie auch auf mögliche Synergien, Abhängigkeiten und Konflikte eingehen, die mit den jeweiligen BC-Strategien einhergehen

; Umzusetzende BC-Strategien auswählen
Auf Basis der empfohlenen BC-Strategien ist die Institutionsleitung in der Lage, sich eine fachliche Übersicht über die möglichen BC-Strategien zu verschaffen und zu entscheiden, wie sie die BC-Planung ausrichten möchte
* Auch kann die Institutionsleitung über die BC-Strategien steuern, wie weit die Ressourcenkategorien mit entsprechenden Aufwänden abgesichert werden sollen, wie Vorteile genutzt werden können und welches Restrisiko sie zu übernehmen bereit ist

; Dienstleistungsunternehmen und Lieferketten
Sofern zeitkritische Prozesse durch Dienstleistungsunternehmen oder in Lieferketten erbracht werden, müssen BC-Strategien ausgewählt werden, die eine angemessene Leistungserbringung im Notfall sicherstellen
* Hierzu ist es empfehlenswert, die weitreichenden Erläuterungen in dem Hilfsmittel Vorschläge zu BC-Strategien zu berücksichtigen

Dort wird näher erläutert, welche Auswirkungen je nach gewählter BC-Strategie auf unterschiedliche Phasen des PDCA-Zyklus im BCMS bestehen

; Ressourcenkategorie und BC-Strategien
Die Institutionsleitung kann sich entscheiden, je Ressourcenkategorie eine oder mehrere BC-Strategien auszuwählen, verschiedene BC-Strategien zu kombinieren oder eine eigene BC-Strategie auszuwählen

; Entscheidung
Nachdem die BC-Strategien durch die Institutionsleitung ausgewählt und freigegeben wurden, sollte diese Entscheidung dokumentiert werden
* Die dokumentierte Entscheidung ist der Auftrag an den oder die [[BCB]] , einen Umsetzungsplan zu erstellen
* Sollte aus Sicht der Institutionsleitung keine der vorgeschlagenen BC-Strategien ausreichend wirksam oder angemessen erscheinen, kann sie den oder die [[BCB]] auch damit beauftragen, neue BC-Strategien zu entwickeln
* Sind auch die neu entwickelten BC-Strategien aus ihrer Sicht unwirksam oder unangemessen, kann sich die Institutionsleitung auch dazu entscheiden, keine BC-Strategie umzusetzen
* Dies kann etwa der Fall sein, wenn das Risiko oder der mögliche Schaden ausgefallener Ressourcen oder Geschäftsprozesse die Aufwände der BC-Strategien aus Sicht der Institutionsleitung nicht rechtfertigen würden

; Restrisiko
In diesem Fall muss die Institutionsleitung das Restrisiko übernehmen, solange es keine regulatorischen oder gesetzlichen Verpflichtungen gibt, die dies verbieten
* Das jeweilige Risiko muss im Rahmen der Risikobeurteilung dokumentiert, regelmäßig neu bewertet und daraufhin geprüft werden, ob das Risiko durch neue BC-Strategien gesenkt werden kann

== Umsetzung ==
; Umsetzung der BC-Strategien und Lösungen (AS)
{| class="wikitable options col1center big"
|-
! !! !!
|-
| || ||
|-
| || ||
|}

=== Zuständigkeiten und Fachwissen ===
Nachdem die Institutionsleitung die BC-Strategien freigegeben hat, muss festgelegt werden, wer für die Umsetzung zuständig ist und wer das hierzu notwendige Fachwissen beisteuern kann
* Gemeinsam mit dem oder der [[BCB]] können diese Personen abstimmen, wie die BC-Strategien umgesetzt werden
* Hierzu ist es empfehlenswert, zunächst zu prüfen, aus welchen Vorsorgemaßnahmen, BC-Lösungen und Notfallmaßnahmen sich die ausgewählten BC-Strategien zusammensetzen
* Vorsorgemaßnahmen und BC-Lösungen können im Rahmen von Projekten oder innerhalb der [[AAO]] umgesetzt werden, da diese in der Regel umfassender sind und oft verschiedene Organisationseinheiten, Stellen und Kontaktpersonen betreffen
* Falls im Falle von Outsourcing die BC-Strategie Ausreichende BC-Fähigkeit des Dienstleistungsunternehmens gewählt wird, muss die Institution zusätzlich die erwarteten BC-Fähigkeiten der relevanten, zeitkritischen Dienstleistungsunternehmen anhand von BC-Anforderungen definieren und bewerten (siehe Hilfsmittel BC-Strategievorschläge)

=== Umsetzungsplan ===
Nachdem der oder die [[BCB]] die jeweiligen Ressourcenzuständigen ermittelt hat, muss ein Umsetzungsplan erstellt werden
* Erfahrungsgemäß wird dieser von den [[Ressourcenzuständigen]] erstellt
* Der Umsetzungsplan muss die konkret benötigten Ressourcen und Tätigkeiten dokumentieren, die benötigt werden, um die ausgewählten [[BC-Strategie]]n umzusetzen

; Inhalte
* Konkrete Handlungsschritte, die notwendig sind, um die jeweilige BC-Lösung umsetzen zu können
* Finanzielle, personelle und zeitliche Ressourcen, die benötigt werden, um die Handlungsschritte umsetzen zu können inklusive der benötigten Dienstleistungsunternehmen
* Personen, die die Handlungsschritte des Umsetzungsplans umsetzen sollen
* Zeiträume, in denen die Handlungsschritte umgesetzt werden sollen Während der Umsetzungsplan erstellt wird, können sich mitunter zusätzlich notwendige Ressourcen im Sinne von Mitteln oder Maßnahmen ergeben, die bisher noch nicht bedacht wurden

; Prüfung
Die erstellten Umsetzungspläne müssen folglich dahingehend überprüft werden, ob das erwartete Gesamtergebnis im Hinblick auf die ausgewählten BC-Strategien weiterhin wirksam und angemessen ist

; Freigabe
Nachdem die Umsetzungspläne und benötigten Ressourcen im Sinne von Mitteln von der Institutionsleitung freigegeben wurden, müssen die beschlossenen Maßnahmen durch die Zuständigen umgesetzt werden
* Sie sollten im festgelegten Zeitraum umgesetzt werden

Der oder die BCB sollte die Umsetzung dieser Maßnahmen steuern und kontrollieren
* Hierzu ist der Maßnahmenplan ein sehr geeignetes Mittel
* Die Notfallmaßnahmen werden im Rahmen der Geschäftsfortführungsplanung sowie Wiederanlaufplanung behandelt

=== Geschäftsfortführungspläne ===
Innerhalb von Geschäftsfortführungsplänen ([[GFP]]) wird dokumentiert, wie eine Institution auf der Prozessebene auf eine Geschäftsunterbrechung nach einem Ressourcenausfall reagiert
* Hierzu werden konkrete Notfallmaßnahmen und Verfahren aus den BC-Strategien und -Lösungen abgeleitet, wie zeitkritische Geschäftsprozesse bis zur Wiederherstellung der ausgefallenen Ressourcen im erforderlichen Umfang aufrechterhalten werden können

; Wiederanlaufpläne
Innerhalb von Wiederanlaufplänen (WAP) wird dokumentiert, wie die Institution ausgefallene Ressourcen auf einem abgestimmten Notbetriebsniveau wieder in Betrieb nimmt, beispielsweise durch umgesetzte BC-Lösungen oder Ersatzlösungen

; Wiederherstellungspläne
Innerhalb von Wiederherstellungsplänen ([[WHP]]) wird dokumentiert, wie bei Ressourcenausfall der Normalzustand auf Ressourcenebene wieder erreicht werden kann

; Notfallhandbuch
Die beschriebenen Dokumente bilden zusammen mit den Informationen aus dem Aufbau und der Befähigung der [[BAO]] die Inhalte des Notfallhandbuchs
* Das Notfallhandbuch ist die zentrale Dokumentensammlung zur erfolgreichen Notfallbewältigung

; Aufbau und Einsatz des Notfallhandbuchs
[[File:img-222-430.png|800px]]

<noinclude>
----
{{Navigation|BSI/200-4/09 Risikoanalyse|BSI/200-4/11 Geschäftsfortführung}}
----

== Anhang ==
=== Siehe auch ===
{{Special:PrefixIndex/BSI/200-4/}}
==== Sicherheit ====
=== Dokumentation ===
=== Links ===
==== Projekt ====
==== Weblinks ====

[[Kategorie:BSI/200-4]]
</noinclude>

BSI/200-4/10 Business-Continuity-Strategie

2026-06-17T08:46:49Z

Dirkwagner: /* Identifikation */

<noinclude>
----
{{Navigation|BSI/200-4/09 Risikoanalyse|BSI/200-4/11 Geschäftsfortführung}}
----
</noinclude>
'''BSI/200-4/10 Business-Continuity-Strategie'''

== Beschreibung ==
; Entwicklung von BC-Strategien und -Lösungen
; Vorgehen
{|class="wikitable options big col1center col2bold"
! !! Schritt !! Beschreibung
|-
| 1 || [[#Identifikation|Identifikation]] ||Identifikation möglicher BC-Strategien
|-
| 2 || [[#Bewertung|Bewertung]] || Bewertung von BC-Strategien
|-
| 3 || [[#Auswahl|Auswahl]] || Auswahl der BC-Strategien durch die Institutionsleitung
|-
| 4 || [[#Umsetzung|Umsetzung]] ||Umsetzung der BC-Strategien
|}

[[File:img-209-398.png|800px]]

== Identifikation ==
; Auswahl der BC-Strategien durch die Institutionsleitung (AS)
{| class="wikitable options big"
|-
! !! !!
|-
| Betrachtungsgrundlage|| Ressourcenkategorien, SPoF, identifizierte Korrektur- und Verbesserungsmaßnahmen vorangegangener BCM-Tätigkeiten||Ressourcenkategorien (Beispiele)
|-
| BC-Strategie-Optionen je Ressourcenkategorie|| ||
* Informationstechnik
* Personal
* Infrastruktur
* Dienstleistungen
|-
|
|
|
|}

=== BC-Strategien ===
Die Institution muss geeignete BC-Strategien definieren, die den Handlungsbedarf aus der BCM-Risikoanalyse abdecken
* Üblicherweise übernimmt diese Tätigkeit der oder die [[BCB]]

=== Ressourcenkategorien ===
Hierzu kann sich der oder die [[BCB]] zunächst an den in der [[BIA]] festgelegten Ressourcenkategorien orientieren
* Für jede Ressourcenkategorie ist es empfehlenswert, zu prüfen, welche grundsätzlichen BC-Strategien möglich wären, um die jeweilige Ressourcenkategorie abzusichern
* Eine BC-Strategie kann sowohl dazu geeignet sein, die Eintrittshäufigkeit eines Ressourcen- oder Geschäftsprozessausfalls durch Vorsorgemaßnahmen zu senken, als auch einen Notbetrieb durch BC-Lösungen sowie Notfallmaßnahmen zu ermöglichen
* Sie sollte geeignet sein, den Geschäftsbetrieb mindestens über den abzusichernden Zeitraum mit einem angemessenen Notbetrieb abzudecken

=== Wiederherstellungsplanung ===
Liegt bereits eine Wiederherstellungsplanung vor, beispielsweise aus einem [[ITSCM]] oder einem früheren BCM-Zyklus, dann können aus dieser Planung Rückschlüsse gezogen werden, wie lange eine vollständige Wiederherstellung der Ressource voraussichtlich zeitlich in Anspruch nehmen wird
* Diese Information kann im [[BCM]] genutzt werden, um in der Auswahl von BC-Strategien und -Lösungen die maximal mögliche Notbetriebsdauer mit der voraussichtlich notwendigen Notbetriebsdauer vergleichen zu können
* Die Wiederherstellungsplanung unterstützt somit bei der Identifikation bedarfsgerechter und wirtschaftlicher BC-Strategien und -Lösungen

=== Ressourcenkategorien ===
Zusätzlich kann es zweckmäßig sein, einzelne Ressourcenkategorien weiter zu unterteilen
* Dies ist etwa dann sinnvoll, wenn für unterteilte Ressourcenkategorien durch unterschiedliche BC-Strategien ein besseres Gesamtergebnis der BC-Strategien möglich wird
Die Ressourcenkategorie Gebäude und Infrastruktur kann etwa einen gesamten Standort, ein einzelnes Gebäude oder gar einzelne Gebäudeteile umfassen
* Bei einem gesamten Standortausfall könnte die BC-Strategie lauten, sämtliche Tätigkeiten oder eine vorhandene Produktion an einen Ausweichstandort zu verlagern
* Fallen hingegen nur einzelne Gebäudeteile aus, dann kann eine BC-Strategie dazu lauten, die Arbeitsplätze oder die Produktion innerhalb des Gebäudes oder Standortes zu verlagern

=== Korrektur und Verbesserung ===
; Korrekturbedarfen und Verbesserungsmöglichkeiten
Die BC-Strategien sollten die noch nicht adressierten Korrekturbedarfe und Verbesserungsmöglichkeiten aus vorangegangenen BCMS-Zyklen angemessen berücksichtigen

Zu den identifizierten Korrekturbedarfen und Verbesserungsmöglichkeiten vorangegangener BCMS-Zyklen zählen etwa Lücken, die mit den bestehenden personellen, finanziellen oder zeitlichen Ressourcen bislang nicht behandelt werden konnten oder bewusst nicht behandelt wurden
* Dies gilt insbesondere für initiale Entwicklungsstufen

=== Cyberangriffe ===
Obwohl Cyberangriffe nicht in der BC-Planung des [[BCM]] oder [[ITSCM]] vollumfänglich abgedeckt werden können, kann es sinnvoll sein, diese themenübergreifenden Aspekte in der Identifikation von BC-Strategien mit zu berücksichtigen und dazu das ISMS mit einzubinden
* Sofern ein ISMS besteht, können hierbei die Anforderungen an die jeweiligen BC-Strategien sowie mögliche Vorsorgemaßnahmen, die mitunter im ISMS bereits bestehen, gemeinsam abgestimmt und in eine BC-Strategie überführt werden
* Jedoch können [[RTO]] und [[RPO]] bei einem Cyberangriff meist nicht eingehalten werden

== Bewertung ==
; Bewertung von BC-Strategien (AS)
{| class="wikitable options col1center big"
|-
! !! !!
|-
| || ||
|-
| || ||
|}

Nachdem der oder die [[BCB]] die grundsätzlich möglichen BC-Strategien identifiziert hat, muss er oder sie bewerten, ob diese für die Institution wirksam und angemessen sind

Eine BC-Strategie ist dann wirksam, wenn durch die umgesetzte BC-Strategie die Eintrittshäufigkeit eines Ausfalls auf ein akzeptables Maß gesenkt werden kann oder die zeitkritischen Geschäftsprozesse innerhalb der [[RTO]] auf dem Notbetriebsniveau fortgeführt werden können
* Angemessen ist eine BC-Strategie dann, wenn sie den allgemeinen Zielen der Institution entspricht, die geltenden rechtlichen und regulatorischen Anforderungen einhält und wenn der Nutzen die Kosten überwiegt
* Um die BC-Strategien bewerten zu können, ist es empfehlenswert, dass der oder die [[BCB]] verschiedene Bewertungskriterien festlegt
* Anhand der Bewertungskriterien können die BC-Strategien qualitativ und quantitativ bewertet und gegeneinander abgewogen werden
* Falls sich frühzeitig herausstellt, dass eine BC-Strategie nicht wirksam oder angemessen ist, ist es nicht notwendig, diese weiter zu bewerten

; Bewertungskriterien
Bewertungskriterien, die bei der Bewertung mindestens berücksichtigt werden müssen

; Einhalten der [[RTO]]
Für die betrachteten BC-Strategien muss geprüft werden, ob nach deren Umsetzung der Notbetrieb der entsprechenden Ressourcen innerhalb der [[RTO]] hergestellt werden kann

; Erreichbares Notbetriebsniveau
Es muss geprüft werden, ob die betrachteten BC-Strategien in der Lage sind, das Notbetriebsniveau sicherzustellen
* Wird durch eine Maßnahme zwar die [[RTO]] erreicht, jedoch nicht das Notbetriebsniveau, dann ist die betrachtete BC-Strategie je nach Risikobereitschaft der Institution nicht hinreichend geeignet oder muss um weitere Maßnahmen ergänzt werden

; Restrisiken
Es muss geprüft werden, welches Restrisiko eines Ressourcenausfalls trotz umgesetzter BC-Strategie bestehen bleibt
* Wird etwa ein Ausweichstandort geplant, der gleichen regionalen Bedrohungen ausgesetzt ist wie der primäre Standort, dann verbleibt ein mögliches Restrisiko, dass beide Standorte durch dasselbe Ereignis betroffen sind
* Dies kann beispielsweise der Fall sein durch eine Bombenentschärfung bei Standorten in derselben Region oder durch Hochwasser eines Flusses bei Standorten im gleichen Hochwassergebiet oder durch ein Erdbeben im selben Erdbebengebiet etc
* Hierzu zählt unter anderem auch das Restrisiko bei der BC-Strategie „Redundante Zuliefernde“, falls beispielsweise in beiden Lieferketten der gleiche Zuliefernde auftaucht oder die Lieferketten durch gleiche Bedrohungen gefährdet sind
* Ziel der BC-Strategien ist es, die Bedrohungen nach Möglichkeit auszuschließen und daher im Vorhinein die Tätigkeiten auf unterschiedliche Standorte und Services zu verteilen, die ausreichend voneinander getrennt sind
* So würde der Ausfall eines Standortes mitunter gar nicht erst zum Ausfall des Geschäftsprozesses führen
* Dies wäre dann der Fall, wenn die Leistung der verbliebenen Standorte ausreicht, den Geschäftsprozess auf dem Notbetriebsniveau fortsetzen zu können

; Finanzielle Aufwände
Es muss geprüft werden, welche finanziellen Aufwände mit den identifizierten BC-Strategien einhergehen und ob diese in einem angemessenen Verhältnis zu den erwarteten Schäden der ausgefallenen Geschäftsprozesse stehen
* Entsprechende Aussagen kann beispielsweise das (Risiko-)Controlling treffen
* Finanzielle Aufwände beinhalten die Anschaffungskosten, die notwendigen Kosten während und nach einem Notfall sowie die erforderlichen Kosten, um die BC-Strategien aufrechtzuerhalten, beispielsweise die laufenden Kosten eines Ausweichstandortes oder zusätzliche Kontroll-und Steuerungsaufwände
Einhaltung interner und externer Anforderungen: Es sollte geprüft werden, ob die betrachteten BC-Strategien den Rahmenbedingungen der Institution entsprechen
* So sollten die BC-Strategien etwa dahingehend geprüft werden, ob sie mögliche rechtliche und regulatorische Anforderungen einhalten, die Interessen interner und externer Interessengruppen einbeziehen sowie die allgemeine Risikobereitschaft der Institutionsleitung berücksichtigen
* Mögliche interne und externe Anforderungen wurden bereits mit den erweiterten Rahmenbedingungen zum BCMS erfasst (siehe 4.2 Analyse der erweiterten Rahmenbedingungen)

; Maximal mögliche Notbetriebsdauer
Es sollte geprüft werden, wie lange die eingesetzten BC-Strategien einen Notbetrieb ermöglichen können, bis alternative Lösungen gefunden sind oder der Normalbetrieb wiederhergestellt ist
* Die maximal mögliche Notbetriebsdauer sollte mindestens den abzusichernden Zeitraum abdecken (siehe 3.2.3 Abzusichernder Zeitraum durch ein BCMS (R+AS))
Die maximal mögliche Notbetriebsdauer ist darüber hinaus von Bedeutung, weil bei einem langfristigen Ressourcenausfall weitere Schäden entstehen könnten
* So könnten etwa verdrängte, im Betrachtungszeitraum der [[BIA]] nicht zeitkritische Arbeitsplätze langfristig auch zeitkritisch werden und ebenfalls Ausweicharbeitsplätze benötigen
* Auch können die Kosten der aktivierten Notfallmaßnahmen ab einem bestimmten Zeitpunkt die erwarteten Schäden der ausgefallenen Ressourcen und Geschäftsprozesse übertreffen
* Dies kann etwa der Fall sein, wenn zusätzliche Büroflächen über einen sehr langen Zeitraum angemietet werden müssen

; Optionale Bewertungskriterien
Neben den mindestens zu betrachtenden Bewertungskriterien können weitere optionale Bewertungskriterien betrachtet werden, wie etwa die folgenden:

; Organisatorische Aufwände
Es wird empfohlen, zu prüfen, welche organisatorischen Aufwände mit den identifizierten BC-Strategien einhergehen und ob diese im Verhältnis zu den erwarteten Schäden der ausgefallenen Ressourcen stehen

; Entstehende Risiken
Es wird empfohlen, zu prüfen, ob die betrachteten BC-Strategien zu neuen Risiken führen können
* Werden etwa gleiche Tätigkeiten auf mehrere Standorte verteilt, so könnte dies in der Folge zu Effizienzverlusten oder einem mangelnden Wissensaustausch der beteiligten Mitarbeitenden führen, Aber es können auch neue Risiken entstehen, die unabhängig von einem zweiten Standort sind, beispielsweise Abweichungen zu Vorgaben an den Arbeitsschutz oder Verletzungen der Schutzziele der Informationssicherheit
* Solche Risiken werden empfehlenswerter Weise mittels einer übergreifenden Risikoanalyse gegeneinander abgewogen
Entstehender Zusatznutzen: Es wird empfohlen, zu prüfen, ob die betrachteten BC-Strategien auch im Normalbetrieb zu Verbesserungen führen oder positive Seiteneffekte auf Schnittstellen und andere Aspekte haben, beispielsweise Einkaufsvorteile
* So kann der oder die [[BCB]] auch prüfen, ob Synergien zwischen den BC-Strategien oder zu anderen Tätigkeiten in der Institution bestehen oder geschaffen werden können

; Einschätzung Verhältnis Kosten-Nutzen-Risiko
Die Entscheidung für oder gegen eine BC-Strategie ergibt sich aus der Abwägung der entstehenden Kosten im Verhältnis dazu, wie sehr die Eintrittshäufigkeit oder das Schadenspotenzial des Risikos einer Geschäftsunterbrechung reduziert werden können
* Eine BC-Strategie kann dann als sinnvoll betrachtet werden, wenn die Kosten für ihre Umsetzung und ihren Betrieb gerechtfertigt sind, um das Risiko zu minimieren

; Zusätzlichen Nutzen
Ferner ist es empfehlenswert, einen möglichen zusätzlichen Nutzen in der Kosten-Nutzen-Risiko Abwägung zu berücksichtigen

Um die notwendigen Informationen zu erheben, kann der oder die [[BCB]] beispielsweise auf die Ressourcen- und Prozesszuständigen zugehen, in deren Zuständigkeitsbereich die BC-Strategien umgesetzt werden
* Auch kann er oder sie mit Anbietern entsprechender Lösungen in Kontakt treten
Die Bewertung der BC-Strategien kann in der Dokumentvorlage Bewertungstabelle BC-Strategien aus den Hilfsmitteln dokumentiert werden

; Beispiel für die Bewertung der BC-Strategie „Mobiles Arbeiten“
[[File:bcmTab33-1.png|600px]]
[[File:bcmTab33-2.png|600px]]

=== Übersicht sinnvoller BC-Strategien ===
Als Ergebnis erhält der oder die [[BCB]] eine Übersicht prinzipiell sinnvoller BC-Strategien und kann ersehen, inwieweit diese sowohl wirksam als auch angemessen sind
* Es ist empfehlenswert, dass die Rolle [[BCB]] die aus ihrer Sicht passendsten BC-Strategien vorauswählt
* Dies erleichtert es der Institutionsleitung, die bestmöglich geeignete BC-Strategie festzulegen
* Dazu ist es hilfreich, dass der oder die [[BCB]] prüft, welche der BC-Strategien die Anforderungen an die BC-Planung sowie die Rahmenbedingungen der Institution bestmöglich vereinen

Nachdem der oder die [[BCB]] die BC-Strategien geprüft hat, kann er oder sie je Ressourcenkategorie eine oder mehrere BC-Strategien vorauswählen
* Insbesondere wenn die BC-Strategien nicht von allen Organisationseinheiten gleichermaßen genutzt werden können, kann es sinnvoll sein, mehrere prinzipiell mögliche BC-Strategien vorzuschlagen
Als Ergebnis dieser Phase verfügt der oder die [[BCB]] für jede Ressourcenkategorie über mindestens eine mögliche BC-Strategie, die der Institutionsleitung im folgenden Schritt vorgestellt werden muss

== Auswahl ==
; Auswahl der BC-Strategien durch die Institutionsleitung (AS)
{| class="wikitable options col1center big"
|-
! !! !!
|-
| || ||
|-
| || ||
|}

; Auswahl und Entscheidung
Nachdem der oder die [[BCB]] mögliche BC-Strategien vorausgewählt hat, muss die Institutionsleitung in ihrer Rolle als Gesamtverantwortliche für das [[BCM]] sowie aufgrund der Reichweite der BC-Strategien über die letztlich umzusetzenden BC-Strategien entscheiden
* Die Institutionsleitung muss hierzu die Wirksamkeit beziehungsweise den Nutzen der BC-Strategien sowie die erwarteten Kosten und die eigene Risikobereitschaft gegeneinander abwägen

; Entscheidungspräsentation
Es ist empfehlenswert, die BC-Strategien im Rahmen einer Entscheidungspräsentation vorzustellen und abzustimmen
* Die Entscheidungspräsentation ermöglicht es dem oder der [[BCB]] , die BC-Strategien, die relevanten Inhalte sowie Vor- und Nachteile strukturiert und visuell gegenüberzustellen sowie seine jeweiligen Favoriten zu empfehlen

; Inhalte der Entscheidungspräsentation
Allgemeinen Ziele von BC-Strategien
* Da die Institutionsleitung erfahrungsgemäß nur an bestimmten Stellen zum Thema BC-Strategien mit einbezogen wird, ist es empfehlenswert, dass der oder die [[BCB]] zu Beginn der Entscheidungspräsentation auf die Ziele der BC-Strategien eingeht
* Er oder sie kann hierzu erläutern, was unter BC-Strategien zu verstehen ist, welche Aufgabe die Institutionsleitung hierbei hat und welche Schritte auf die Entscheidung der Institutionsleitung folgen

Betrachtungsgrundlage der BC-Strategien
* Um der Institutionsleitung zu verdeutlichen, was in der BC-Planung durch die BC-Strategien abgesichert werden muss, kann der oder die [[BCB]] die betrachteten Ressourcenkategorien und Teilkategorien vorstellen
* Er oder sie kann hierbei auch auf identifizierte Single-Points-of-Failure und Verbesserungsbedarfe vorangegangener BCMS-Tätigkeiten eingehen, die durch die BC-Strategien berücksichtigt werden sollten

Vor- und Nachteile empfohlene BC-Strategien
* Je vorgestellter Ressourcenkategorie kann der oder die [[BCB]] die empfohlenen BC-Strategien vorstellen sowie die jeweiligen Vor- und Nachteile erläutern
* Hierbei kann er oder sie auch auf mögliche Synergien, Abhängigkeiten und Konflikte eingehen, die mit den jeweiligen BC-Strategien einhergehen

; Umzusetzende BC-Strategien auswählen
Auf Basis der empfohlenen BC-Strategien ist die Institutionsleitung in der Lage, sich eine fachliche Übersicht über die möglichen BC-Strategien zu verschaffen und zu entscheiden, wie sie die BC-Planung ausrichten möchte
* Auch kann die Institutionsleitung über die BC-Strategien steuern, wie weit die Ressourcenkategorien mit entsprechenden Aufwänden abgesichert werden sollen, wie Vorteile genutzt werden können und welches Restrisiko sie zu übernehmen bereit ist

; Dienstleistungsunternehmen und Lieferketten
Sofern zeitkritische Prozesse durch Dienstleistungsunternehmen oder in Lieferketten erbracht werden, müssen BC-Strategien ausgewählt werden, die eine angemessene Leistungserbringung im Notfall sicherstellen
* Hierzu ist es empfehlenswert, die weitreichenden Erläuterungen in dem Hilfsmittel Vorschläge zu BC-Strategien zu berücksichtigen

Dort wird näher erläutert, welche Auswirkungen je nach gewählter BC-Strategie auf unterschiedliche Phasen des PDCA-Zyklus im BCMS bestehen

; Ressourcenkategorie und BC-Strategien
Die Institutionsleitung kann sich entscheiden, je Ressourcenkategorie eine oder mehrere BC-Strategien auszuwählen, verschiedene BC-Strategien zu kombinieren oder eine eigene BC-Strategie auszuwählen

; Entscheidung
Nachdem die BC-Strategien durch die Institutionsleitung ausgewählt und freigegeben wurden, sollte diese Entscheidung dokumentiert werden
* Die dokumentierte Entscheidung ist der Auftrag an den oder die [[BCB]] , einen Umsetzungsplan zu erstellen
* Sollte aus Sicht der Institutionsleitung keine der vorgeschlagenen BC-Strategien ausreichend wirksam oder angemessen erscheinen, kann sie den oder die [[BCB]] auch damit beauftragen, neue BC-Strategien zu entwickeln
* Sind auch die neu entwickelten BC-Strategien aus ihrer Sicht unwirksam oder unangemessen, kann sich die Institutionsleitung auch dazu entscheiden, keine BC-Strategie umzusetzen
* Dies kann etwa der Fall sein, wenn das Risiko oder der mögliche Schaden ausgefallener Ressourcen oder Geschäftsprozesse die Aufwände der BC-Strategien aus Sicht der Institutionsleitung nicht rechtfertigen würden

; Restrisiko
In diesem Fall muss die Institutionsleitung das Restrisiko übernehmen, solange es keine regulatorischen oder gesetzlichen Verpflichtungen gibt, die dies verbieten
* Das jeweilige Risiko muss im Rahmen der Risikobeurteilung dokumentiert, regelmäßig neu bewertet und daraufhin geprüft werden, ob das Risiko durch neue BC-Strategien gesenkt werden kann

== Umsetzung ==
; Umsetzung der BC-Strategien und Lösungen (AS)
{| class="wikitable options col1center big"
|-
! !! !!
|-
| || ||
|-
| || ||
|}

=== Zuständigkeiten und Fachwissen ===
Nachdem die Institutionsleitung die BC-Strategien freigegeben hat, muss festgelegt werden, wer für die Umsetzung zuständig ist und wer das hierzu notwendige Fachwissen beisteuern kann
* Gemeinsam mit dem oder der [[BCB]] können diese Personen abstimmen, wie die BC-Strategien umgesetzt werden
* Hierzu ist es empfehlenswert, zunächst zu prüfen, aus welchen Vorsorgemaßnahmen, BC-Lösungen und Notfallmaßnahmen sich die ausgewählten BC-Strategien zusammensetzen
* Vorsorgemaßnahmen und BC-Lösungen können im Rahmen von Projekten oder innerhalb der [[AAO]] umgesetzt werden, da diese in der Regel umfassender sind und oft verschiedene Organisationseinheiten, Stellen und Kontaktpersonen betreffen
* Falls im Falle von Outsourcing die BC-Strategie Ausreichende BC-Fähigkeit des Dienstleistungsunternehmens gewählt wird, muss die Institution zusätzlich die erwarteten BC-Fähigkeiten der relevanten, zeitkritischen Dienstleistungsunternehmen anhand von BC-Anforderungen definieren und bewerten (siehe Hilfsmittel BC-Strategievorschläge)

=== Umsetzungsplan ===
Nachdem der oder die [[BCB]] die jeweiligen Ressourcenzuständigen ermittelt hat, muss ein Umsetzungsplan erstellt werden
* Erfahrungsgemäß wird dieser von den [[Ressourcenzuständigen]] erstellt
* Der Umsetzungsplan muss die konkret benötigten Ressourcen und Tätigkeiten dokumentieren, die benötigt werden, um die ausgewählten [[BC-Strategie]]n umzusetzen

; Inhalte
* Konkrete Handlungsschritte, die notwendig sind, um die jeweilige BC-Lösung umsetzen zu können
* Finanzielle, personelle und zeitliche Ressourcen, die benötigt werden, um die Handlungsschritte umsetzen zu können inklusive der benötigten Dienstleistungsunternehmen
* Personen, die die Handlungsschritte des Umsetzungsplans umsetzen sollen
* Zeiträume, in denen die Handlungsschritte umgesetzt werden sollen Während der Umsetzungsplan erstellt wird, können sich mitunter zusätzlich notwendige Ressourcen im Sinne von Mitteln oder Maßnahmen ergeben, die bisher noch nicht bedacht wurden

; Prüfung
Die erstellten Umsetzungspläne müssen folglich dahingehend überprüft werden, ob das erwartete Gesamtergebnis im Hinblick auf die ausgewählten BC-Strategien weiterhin wirksam und angemessen ist

; Freigabe
Nachdem die Umsetzungspläne und benötigten Ressourcen im Sinne von Mitteln von der Institutionsleitung freigegeben wurden, müssen die beschlossenen Maßnahmen durch die Zuständigen umgesetzt werden
* Sie sollten im festgelegten Zeitraum umgesetzt werden

Der oder die BCB sollte die Umsetzung dieser Maßnahmen steuern und kontrollieren
* Hierzu ist der Maßnahmenplan ein sehr geeignetes Mittel
* Die Notfallmaßnahmen werden im Rahmen der Geschäftsfortführungsplanung sowie Wiederanlaufplanung behandelt

=== Geschäftsfortführungspläne ===
Innerhalb von Geschäftsfortführungsplänen ([[GFP]]) wird dokumentiert, wie eine Institution auf der Prozessebene auf eine Geschäftsunterbrechung nach einem Ressourcenausfall reagiert
* Hierzu werden konkrete Notfallmaßnahmen und Verfahren aus den BC-Strategien und -Lösungen abgeleitet, wie zeitkritische Geschäftsprozesse bis zur Wiederherstellung der ausgefallenen Ressourcen im erforderlichen Umfang aufrechterhalten werden können

; Wiederanlaufpläne
Innerhalb von Wiederanlaufplänen (WAP) wird dokumentiert, wie die Institution ausgefallene Ressourcen auf einem abgestimmten Notbetriebsniveau wieder in Betrieb nimmt, beispielsweise durch umgesetzte BC-Lösungen oder Ersatzlösungen

; Wiederherstellungspläne
Innerhalb von Wiederherstellungsplänen ([[WHP]]) wird dokumentiert, wie bei Ressourcenausfall der Normalzustand auf Ressourcenebene wieder erreicht werden kann

; Notfallhandbuch
Die beschriebenen Dokumente bilden zusammen mit den Informationen aus dem Aufbau und der Befähigung der [[BAO]] die Inhalte des Notfallhandbuchs
* Das Notfallhandbuch ist die zentrale Dokumentensammlung zur erfolgreichen Notfallbewältigung

; Aufbau und Einsatz des Notfallhandbuchs
[[File:img-222-430.png|800px]]

<noinclude>
----
{{Navigation|BSI/200-4/09 Risikoanalyse|BSI/200-4/11 Geschäftsfortführung}}
----

== Anhang ==
=== Siehe auch ===
{{Special:PrefixIndex/BSI/200-4/}}
==== Sicherheit ====
=== Dokumentation ===
=== Links ===
==== Projekt ====
==== Weblinks ====

[[Kategorie:BSI/200-4]]
</noinclude>

BSI/200-4/10 Business-Continuity-Strategie

2026-06-17T08:46:39Z

Dirkwagner: /* Identifikation */

<noinclude>
----
{{Navigation|BSI/200-4/09 Risikoanalyse|BSI/200-4/11 Geschäftsfortführung}}
----
</noinclude>
'''BSI/200-4/10 Business-Continuity-Strategie'''

== Beschreibung ==
; Entwicklung von BC-Strategien und -Lösungen
; Vorgehen
{|class="wikitable options big col1center col2bold"
! !! Schritt !! Beschreibung
|-
| 1 || [[#Identifikation|Identifikation]] ||Identifikation möglicher BC-Strategien
|-
| 2 || [[#Bewertung|Bewertung]] || Bewertung von BC-Strategien
|-
| 3 || [[#Auswahl|Auswahl]] || Auswahl der BC-Strategien durch die Institutionsleitung
|-
| 4 || [[#Umsetzung|Umsetzung]] ||Umsetzung der BC-Strategien
|}

[[File:img-209-398.png|800px]]

== Identifikation ==
; Auswahl der BC-Strategien durch die Institutionsleitung (AS)
{| class="wikitable options col1center big"
|-
! !! !!
|-
| Betrachtungsgrundlage|| Ressourcenkategorien, SPoF, identifizierte Korrektur- und Verbesserungsmaßnahmen vorangegangener BCM-Tätigkeiten||Ressourcenkategorien (Beispiele)
|-
| BC-Strategie-Optionen je Ressourcenkategorie|| ||
* Informationstechnik
* Personal
* Infrastruktur
* Dienstleistungen
|-
|
|
|
|}

=== BC-Strategien ===
Die Institution muss geeignete BC-Strategien definieren, die den Handlungsbedarf aus der BCM-Risikoanalyse abdecken
* Üblicherweise übernimmt diese Tätigkeit der oder die [[BCB]]

=== Ressourcenkategorien ===
Hierzu kann sich der oder die [[BCB]] zunächst an den in der [[BIA]] festgelegten Ressourcenkategorien orientieren
* Für jede Ressourcenkategorie ist es empfehlenswert, zu prüfen, welche grundsätzlichen BC-Strategien möglich wären, um die jeweilige Ressourcenkategorie abzusichern
* Eine BC-Strategie kann sowohl dazu geeignet sein, die Eintrittshäufigkeit eines Ressourcen- oder Geschäftsprozessausfalls durch Vorsorgemaßnahmen zu senken, als auch einen Notbetrieb durch BC-Lösungen sowie Notfallmaßnahmen zu ermöglichen
* Sie sollte geeignet sein, den Geschäftsbetrieb mindestens über den abzusichernden Zeitraum mit einem angemessenen Notbetrieb abzudecken

=== Wiederherstellungsplanung ===
Liegt bereits eine Wiederherstellungsplanung vor, beispielsweise aus einem [[ITSCM]] oder einem früheren BCM-Zyklus, dann können aus dieser Planung Rückschlüsse gezogen werden, wie lange eine vollständige Wiederherstellung der Ressource voraussichtlich zeitlich in Anspruch nehmen wird
* Diese Information kann im [[BCM]] genutzt werden, um in der Auswahl von BC-Strategien und -Lösungen die maximal mögliche Notbetriebsdauer mit der voraussichtlich notwendigen Notbetriebsdauer vergleichen zu können
* Die Wiederherstellungsplanung unterstützt somit bei der Identifikation bedarfsgerechter und wirtschaftlicher BC-Strategien und -Lösungen

=== Ressourcenkategorien ===
Zusätzlich kann es zweckmäßig sein, einzelne Ressourcenkategorien weiter zu unterteilen
* Dies ist etwa dann sinnvoll, wenn für unterteilte Ressourcenkategorien durch unterschiedliche BC-Strategien ein besseres Gesamtergebnis der BC-Strategien möglich wird
Die Ressourcenkategorie Gebäude und Infrastruktur kann etwa einen gesamten Standort, ein einzelnes Gebäude oder gar einzelne Gebäudeteile umfassen
* Bei einem gesamten Standortausfall könnte die BC-Strategie lauten, sämtliche Tätigkeiten oder eine vorhandene Produktion an einen Ausweichstandort zu verlagern
* Fallen hingegen nur einzelne Gebäudeteile aus, dann kann eine BC-Strategie dazu lauten, die Arbeitsplätze oder die Produktion innerhalb des Gebäudes oder Standortes zu verlagern

=== Korrektur und Verbesserung ===
; Korrekturbedarfen und Verbesserungsmöglichkeiten
Die BC-Strategien sollten die noch nicht adressierten Korrekturbedarfe und Verbesserungsmöglichkeiten aus vorangegangenen BCMS-Zyklen angemessen berücksichtigen

Zu den identifizierten Korrekturbedarfen und Verbesserungsmöglichkeiten vorangegangener BCMS-Zyklen zählen etwa Lücken, die mit den bestehenden personellen, finanziellen oder zeitlichen Ressourcen bislang nicht behandelt werden konnten oder bewusst nicht behandelt wurden
* Dies gilt insbesondere für initiale Entwicklungsstufen

=== Cyberangriffe ===
Obwohl Cyberangriffe nicht in der BC-Planung des [[BCM]] oder [[ITSCM]] vollumfänglich abgedeckt werden können, kann es sinnvoll sein, diese themenübergreifenden Aspekte in der Identifikation von BC-Strategien mit zu berücksichtigen und dazu das ISMS mit einzubinden
* Sofern ein ISMS besteht, können hierbei die Anforderungen an die jeweiligen BC-Strategien sowie mögliche Vorsorgemaßnahmen, die mitunter im ISMS bereits bestehen, gemeinsam abgestimmt und in eine BC-Strategie überführt werden
* Jedoch können [[RTO]] und [[RPO]] bei einem Cyberangriff meist nicht eingehalten werden

== Bewertung ==
; Bewertung von BC-Strategien (AS)
{| class="wikitable options col1center big"
|-
! !! !!
|-
| || ||
|-
| || ||
|}

Nachdem der oder die [[BCB]] die grundsätzlich möglichen BC-Strategien identifiziert hat, muss er oder sie bewerten, ob diese für die Institution wirksam und angemessen sind

Eine BC-Strategie ist dann wirksam, wenn durch die umgesetzte BC-Strategie die Eintrittshäufigkeit eines Ausfalls auf ein akzeptables Maß gesenkt werden kann oder die zeitkritischen Geschäftsprozesse innerhalb der [[RTO]] auf dem Notbetriebsniveau fortgeführt werden können
* Angemessen ist eine BC-Strategie dann, wenn sie den allgemeinen Zielen der Institution entspricht, die geltenden rechtlichen und regulatorischen Anforderungen einhält und wenn der Nutzen die Kosten überwiegt
* Um die BC-Strategien bewerten zu können, ist es empfehlenswert, dass der oder die [[BCB]] verschiedene Bewertungskriterien festlegt
* Anhand der Bewertungskriterien können die BC-Strategien qualitativ und quantitativ bewertet und gegeneinander abgewogen werden
* Falls sich frühzeitig herausstellt, dass eine BC-Strategie nicht wirksam oder angemessen ist, ist es nicht notwendig, diese weiter zu bewerten

; Bewertungskriterien
Bewertungskriterien, die bei der Bewertung mindestens berücksichtigt werden müssen

; Einhalten der [[RTO]]
Für die betrachteten BC-Strategien muss geprüft werden, ob nach deren Umsetzung der Notbetrieb der entsprechenden Ressourcen innerhalb der [[RTO]] hergestellt werden kann

; Erreichbares Notbetriebsniveau
Es muss geprüft werden, ob die betrachteten BC-Strategien in der Lage sind, das Notbetriebsniveau sicherzustellen
* Wird durch eine Maßnahme zwar die [[RTO]] erreicht, jedoch nicht das Notbetriebsniveau, dann ist die betrachtete BC-Strategie je nach Risikobereitschaft der Institution nicht hinreichend geeignet oder muss um weitere Maßnahmen ergänzt werden

; Restrisiken
Es muss geprüft werden, welches Restrisiko eines Ressourcenausfalls trotz umgesetzter BC-Strategie bestehen bleibt
* Wird etwa ein Ausweichstandort geplant, der gleichen regionalen Bedrohungen ausgesetzt ist wie der primäre Standort, dann verbleibt ein mögliches Restrisiko, dass beide Standorte durch dasselbe Ereignis betroffen sind
* Dies kann beispielsweise der Fall sein durch eine Bombenentschärfung bei Standorten in derselben Region oder durch Hochwasser eines Flusses bei Standorten im gleichen Hochwassergebiet oder durch ein Erdbeben im selben Erdbebengebiet etc
* Hierzu zählt unter anderem auch das Restrisiko bei der BC-Strategie „Redundante Zuliefernde“, falls beispielsweise in beiden Lieferketten der gleiche Zuliefernde auftaucht oder die Lieferketten durch gleiche Bedrohungen gefährdet sind
* Ziel der BC-Strategien ist es, die Bedrohungen nach Möglichkeit auszuschließen und daher im Vorhinein die Tätigkeiten auf unterschiedliche Standorte und Services zu verteilen, die ausreichend voneinander getrennt sind
* So würde der Ausfall eines Standortes mitunter gar nicht erst zum Ausfall des Geschäftsprozesses führen
* Dies wäre dann der Fall, wenn die Leistung der verbliebenen Standorte ausreicht, den Geschäftsprozess auf dem Notbetriebsniveau fortsetzen zu können

; Finanzielle Aufwände
Es muss geprüft werden, welche finanziellen Aufwände mit den identifizierten BC-Strategien einhergehen und ob diese in einem angemessenen Verhältnis zu den erwarteten Schäden der ausgefallenen Geschäftsprozesse stehen
* Entsprechende Aussagen kann beispielsweise das (Risiko-)Controlling treffen
* Finanzielle Aufwände beinhalten die Anschaffungskosten, die notwendigen Kosten während und nach einem Notfall sowie die erforderlichen Kosten, um die BC-Strategien aufrechtzuerhalten, beispielsweise die laufenden Kosten eines Ausweichstandortes oder zusätzliche Kontroll-und Steuerungsaufwände
Einhaltung interner und externer Anforderungen: Es sollte geprüft werden, ob die betrachteten BC-Strategien den Rahmenbedingungen der Institution entsprechen
* So sollten die BC-Strategien etwa dahingehend geprüft werden, ob sie mögliche rechtliche und regulatorische Anforderungen einhalten, die Interessen interner und externer Interessengruppen einbeziehen sowie die allgemeine Risikobereitschaft der Institutionsleitung berücksichtigen
* Mögliche interne und externe Anforderungen wurden bereits mit den erweiterten Rahmenbedingungen zum BCMS erfasst (siehe 4.2 Analyse der erweiterten Rahmenbedingungen)

; Maximal mögliche Notbetriebsdauer
Es sollte geprüft werden, wie lange die eingesetzten BC-Strategien einen Notbetrieb ermöglichen können, bis alternative Lösungen gefunden sind oder der Normalbetrieb wiederhergestellt ist
* Die maximal mögliche Notbetriebsdauer sollte mindestens den abzusichernden Zeitraum abdecken (siehe 3.2.3 Abzusichernder Zeitraum durch ein BCMS (R+AS))
Die maximal mögliche Notbetriebsdauer ist darüber hinaus von Bedeutung, weil bei einem langfristigen Ressourcenausfall weitere Schäden entstehen könnten
* So könnten etwa verdrängte, im Betrachtungszeitraum der [[BIA]] nicht zeitkritische Arbeitsplätze langfristig auch zeitkritisch werden und ebenfalls Ausweicharbeitsplätze benötigen
* Auch können die Kosten der aktivierten Notfallmaßnahmen ab einem bestimmten Zeitpunkt die erwarteten Schäden der ausgefallenen Ressourcen und Geschäftsprozesse übertreffen
* Dies kann etwa der Fall sein, wenn zusätzliche Büroflächen über einen sehr langen Zeitraum angemietet werden müssen

; Optionale Bewertungskriterien
Neben den mindestens zu betrachtenden Bewertungskriterien können weitere optionale Bewertungskriterien betrachtet werden, wie etwa die folgenden:

; Organisatorische Aufwände
Es wird empfohlen, zu prüfen, welche organisatorischen Aufwände mit den identifizierten BC-Strategien einhergehen und ob diese im Verhältnis zu den erwarteten Schäden der ausgefallenen Ressourcen stehen

; Entstehende Risiken
Es wird empfohlen, zu prüfen, ob die betrachteten BC-Strategien zu neuen Risiken führen können
* Werden etwa gleiche Tätigkeiten auf mehrere Standorte verteilt, so könnte dies in der Folge zu Effizienzverlusten oder einem mangelnden Wissensaustausch der beteiligten Mitarbeitenden führen, Aber es können auch neue Risiken entstehen, die unabhängig von einem zweiten Standort sind, beispielsweise Abweichungen zu Vorgaben an den Arbeitsschutz oder Verletzungen der Schutzziele der Informationssicherheit
* Solche Risiken werden empfehlenswerter Weise mittels einer übergreifenden Risikoanalyse gegeneinander abgewogen
Entstehender Zusatznutzen: Es wird empfohlen, zu prüfen, ob die betrachteten BC-Strategien auch im Normalbetrieb zu Verbesserungen führen oder positive Seiteneffekte auf Schnittstellen und andere Aspekte haben, beispielsweise Einkaufsvorteile
* So kann der oder die [[BCB]] auch prüfen, ob Synergien zwischen den BC-Strategien oder zu anderen Tätigkeiten in der Institution bestehen oder geschaffen werden können

; Einschätzung Verhältnis Kosten-Nutzen-Risiko
Die Entscheidung für oder gegen eine BC-Strategie ergibt sich aus der Abwägung der entstehenden Kosten im Verhältnis dazu, wie sehr die Eintrittshäufigkeit oder das Schadenspotenzial des Risikos einer Geschäftsunterbrechung reduziert werden können
* Eine BC-Strategie kann dann als sinnvoll betrachtet werden, wenn die Kosten für ihre Umsetzung und ihren Betrieb gerechtfertigt sind, um das Risiko zu minimieren

; Zusätzlichen Nutzen
Ferner ist es empfehlenswert, einen möglichen zusätzlichen Nutzen in der Kosten-Nutzen-Risiko Abwägung zu berücksichtigen

Um die notwendigen Informationen zu erheben, kann der oder die [[BCB]] beispielsweise auf die Ressourcen- und Prozesszuständigen zugehen, in deren Zuständigkeitsbereich die BC-Strategien umgesetzt werden
* Auch kann er oder sie mit Anbietern entsprechender Lösungen in Kontakt treten
Die Bewertung der BC-Strategien kann in der Dokumentvorlage Bewertungstabelle BC-Strategien aus den Hilfsmitteln dokumentiert werden

; Beispiel für die Bewertung der BC-Strategie „Mobiles Arbeiten“
[[File:bcmTab33-1.png|600px]]
[[File:bcmTab33-2.png|600px]]

=== Übersicht sinnvoller BC-Strategien ===
Als Ergebnis erhält der oder die [[BCB]] eine Übersicht prinzipiell sinnvoller BC-Strategien und kann ersehen, inwieweit diese sowohl wirksam als auch angemessen sind
* Es ist empfehlenswert, dass die Rolle [[BCB]] die aus ihrer Sicht passendsten BC-Strategien vorauswählt
* Dies erleichtert es der Institutionsleitung, die bestmöglich geeignete BC-Strategie festzulegen
* Dazu ist es hilfreich, dass der oder die [[BCB]] prüft, welche der BC-Strategien die Anforderungen an die BC-Planung sowie die Rahmenbedingungen der Institution bestmöglich vereinen

Nachdem der oder die [[BCB]] die BC-Strategien geprüft hat, kann er oder sie je Ressourcenkategorie eine oder mehrere BC-Strategien vorauswählen
* Insbesondere wenn die BC-Strategien nicht von allen Organisationseinheiten gleichermaßen genutzt werden können, kann es sinnvoll sein, mehrere prinzipiell mögliche BC-Strategien vorzuschlagen
Als Ergebnis dieser Phase verfügt der oder die [[BCB]] für jede Ressourcenkategorie über mindestens eine mögliche BC-Strategie, die der Institutionsleitung im folgenden Schritt vorgestellt werden muss

== Auswahl ==
; Auswahl der BC-Strategien durch die Institutionsleitung (AS)
{| class="wikitable options col1center big"
|-
! !! !!
|-
| || ||
|-
| || ||
|}

; Auswahl und Entscheidung
Nachdem der oder die [[BCB]] mögliche BC-Strategien vorausgewählt hat, muss die Institutionsleitung in ihrer Rolle als Gesamtverantwortliche für das [[BCM]] sowie aufgrund der Reichweite der BC-Strategien über die letztlich umzusetzenden BC-Strategien entscheiden
* Die Institutionsleitung muss hierzu die Wirksamkeit beziehungsweise den Nutzen der BC-Strategien sowie die erwarteten Kosten und die eigene Risikobereitschaft gegeneinander abwägen

; Entscheidungspräsentation
Es ist empfehlenswert, die BC-Strategien im Rahmen einer Entscheidungspräsentation vorzustellen und abzustimmen
* Die Entscheidungspräsentation ermöglicht es dem oder der [[BCB]] , die BC-Strategien, die relevanten Inhalte sowie Vor- und Nachteile strukturiert und visuell gegenüberzustellen sowie seine jeweiligen Favoriten zu empfehlen

; Inhalte der Entscheidungspräsentation
Allgemeinen Ziele von BC-Strategien
* Da die Institutionsleitung erfahrungsgemäß nur an bestimmten Stellen zum Thema BC-Strategien mit einbezogen wird, ist es empfehlenswert, dass der oder die [[BCB]] zu Beginn der Entscheidungspräsentation auf die Ziele der BC-Strategien eingeht
* Er oder sie kann hierzu erläutern, was unter BC-Strategien zu verstehen ist, welche Aufgabe die Institutionsleitung hierbei hat und welche Schritte auf die Entscheidung der Institutionsleitung folgen

Betrachtungsgrundlage der BC-Strategien
* Um der Institutionsleitung zu verdeutlichen, was in der BC-Planung durch die BC-Strategien abgesichert werden muss, kann der oder die [[BCB]] die betrachteten Ressourcenkategorien und Teilkategorien vorstellen
* Er oder sie kann hierbei auch auf identifizierte Single-Points-of-Failure und Verbesserungsbedarfe vorangegangener BCMS-Tätigkeiten eingehen, die durch die BC-Strategien berücksichtigt werden sollten

Vor- und Nachteile empfohlene BC-Strategien
* Je vorgestellter Ressourcenkategorie kann der oder die [[BCB]] die empfohlenen BC-Strategien vorstellen sowie die jeweiligen Vor- und Nachteile erläutern
* Hierbei kann er oder sie auch auf mögliche Synergien, Abhängigkeiten und Konflikte eingehen, die mit den jeweiligen BC-Strategien einhergehen

; Umzusetzende BC-Strategien auswählen
Auf Basis der empfohlenen BC-Strategien ist die Institutionsleitung in der Lage, sich eine fachliche Übersicht über die möglichen BC-Strategien zu verschaffen und zu entscheiden, wie sie die BC-Planung ausrichten möchte
* Auch kann die Institutionsleitung über die BC-Strategien steuern, wie weit die Ressourcenkategorien mit entsprechenden Aufwänden abgesichert werden sollen, wie Vorteile genutzt werden können und welches Restrisiko sie zu übernehmen bereit ist

; Dienstleistungsunternehmen und Lieferketten
Sofern zeitkritische Prozesse durch Dienstleistungsunternehmen oder in Lieferketten erbracht werden, müssen BC-Strategien ausgewählt werden, die eine angemessene Leistungserbringung im Notfall sicherstellen
* Hierzu ist es empfehlenswert, die weitreichenden Erläuterungen in dem Hilfsmittel Vorschläge zu BC-Strategien zu berücksichtigen

Dort wird näher erläutert, welche Auswirkungen je nach gewählter BC-Strategie auf unterschiedliche Phasen des PDCA-Zyklus im BCMS bestehen

; Ressourcenkategorie und BC-Strategien
Die Institutionsleitung kann sich entscheiden, je Ressourcenkategorie eine oder mehrere BC-Strategien auszuwählen, verschiedene BC-Strategien zu kombinieren oder eine eigene BC-Strategie auszuwählen

; Entscheidung
Nachdem die BC-Strategien durch die Institutionsleitung ausgewählt und freigegeben wurden, sollte diese Entscheidung dokumentiert werden
* Die dokumentierte Entscheidung ist der Auftrag an den oder die [[BCB]] , einen Umsetzungsplan zu erstellen
* Sollte aus Sicht der Institutionsleitung keine der vorgeschlagenen BC-Strategien ausreichend wirksam oder angemessen erscheinen, kann sie den oder die [[BCB]] auch damit beauftragen, neue BC-Strategien zu entwickeln
* Sind auch die neu entwickelten BC-Strategien aus ihrer Sicht unwirksam oder unangemessen, kann sich die Institutionsleitung auch dazu entscheiden, keine BC-Strategie umzusetzen
* Dies kann etwa der Fall sein, wenn das Risiko oder der mögliche Schaden ausgefallener Ressourcen oder Geschäftsprozesse die Aufwände der BC-Strategien aus Sicht der Institutionsleitung nicht rechtfertigen würden

; Restrisiko
In diesem Fall muss die Institutionsleitung das Restrisiko übernehmen, solange es keine regulatorischen oder gesetzlichen Verpflichtungen gibt, die dies verbieten
* Das jeweilige Risiko muss im Rahmen der Risikobeurteilung dokumentiert, regelmäßig neu bewertet und daraufhin geprüft werden, ob das Risiko durch neue BC-Strategien gesenkt werden kann

== Umsetzung ==
; Umsetzung der BC-Strategien und Lösungen (AS)
{| class="wikitable options col1center big"
|-
! !! !!
|-
| || ||
|-
| || ||
|}

=== Zuständigkeiten und Fachwissen ===
Nachdem die Institutionsleitung die BC-Strategien freigegeben hat, muss festgelegt werden, wer für die Umsetzung zuständig ist und wer das hierzu notwendige Fachwissen beisteuern kann
* Gemeinsam mit dem oder der [[BCB]] können diese Personen abstimmen, wie die BC-Strategien umgesetzt werden
* Hierzu ist es empfehlenswert, zunächst zu prüfen, aus welchen Vorsorgemaßnahmen, BC-Lösungen und Notfallmaßnahmen sich die ausgewählten BC-Strategien zusammensetzen
* Vorsorgemaßnahmen und BC-Lösungen können im Rahmen von Projekten oder innerhalb der [[AAO]] umgesetzt werden, da diese in der Regel umfassender sind und oft verschiedene Organisationseinheiten, Stellen und Kontaktpersonen betreffen
* Falls im Falle von Outsourcing die BC-Strategie Ausreichende BC-Fähigkeit des Dienstleistungsunternehmens gewählt wird, muss die Institution zusätzlich die erwarteten BC-Fähigkeiten der relevanten, zeitkritischen Dienstleistungsunternehmen anhand von BC-Anforderungen definieren und bewerten (siehe Hilfsmittel BC-Strategievorschläge)

=== Umsetzungsplan ===
Nachdem der oder die [[BCB]] die jeweiligen Ressourcenzuständigen ermittelt hat, muss ein Umsetzungsplan erstellt werden
* Erfahrungsgemäß wird dieser von den [[Ressourcenzuständigen]] erstellt
* Der Umsetzungsplan muss die konkret benötigten Ressourcen und Tätigkeiten dokumentieren, die benötigt werden, um die ausgewählten [[BC-Strategie]]n umzusetzen

; Inhalte
* Konkrete Handlungsschritte, die notwendig sind, um die jeweilige BC-Lösung umsetzen zu können
* Finanzielle, personelle und zeitliche Ressourcen, die benötigt werden, um die Handlungsschritte umsetzen zu können inklusive der benötigten Dienstleistungsunternehmen
* Personen, die die Handlungsschritte des Umsetzungsplans umsetzen sollen
* Zeiträume, in denen die Handlungsschritte umgesetzt werden sollen Während der Umsetzungsplan erstellt wird, können sich mitunter zusätzlich notwendige Ressourcen im Sinne von Mitteln oder Maßnahmen ergeben, die bisher noch nicht bedacht wurden

; Prüfung
Die erstellten Umsetzungspläne müssen folglich dahingehend überprüft werden, ob das erwartete Gesamtergebnis im Hinblick auf die ausgewählten BC-Strategien weiterhin wirksam und angemessen ist

; Freigabe
Nachdem die Umsetzungspläne und benötigten Ressourcen im Sinne von Mitteln von der Institutionsleitung freigegeben wurden, müssen die beschlossenen Maßnahmen durch die Zuständigen umgesetzt werden
* Sie sollten im festgelegten Zeitraum umgesetzt werden

Der oder die BCB sollte die Umsetzung dieser Maßnahmen steuern und kontrollieren
* Hierzu ist der Maßnahmenplan ein sehr geeignetes Mittel
* Die Notfallmaßnahmen werden im Rahmen der Geschäftsfortführungsplanung sowie Wiederanlaufplanung behandelt

=== Geschäftsfortführungspläne ===
Innerhalb von Geschäftsfortführungsplänen ([[GFP]]) wird dokumentiert, wie eine Institution auf der Prozessebene auf eine Geschäftsunterbrechung nach einem Ressourcenausfall reagiert
* Hierzu werden konkrete Notfallmaßnahmen und Verfahren aus den BC-Strategien und -Lösungen abgeleitet, wie zeitkritische Geschäftsprozesse bis zur Wiederherstellung der ausgefallenen Ressourcen im erforderlichen Umfang aufrechterhalten werden können

; Wiederanlaufpläne
Innerhalb von Wiederanlaufplänen (WAP) wird dokumentiert, wie die Institution ausgefallene Ressourcen auf einem abgestimmten Notbetriebsniveau wieder in Betrieb nimmt, beispielsweise durch umgesetzte BC-Lösungen oder Ersatzlösungen

; Wiederherstellungspläne
Innerhalb von Wiederherstellungsplänen ([[WHP]]) wird dokumentiert, wie bei Ressourcenausfall der Normalzustand auf Ressourcenebene wieder erreicht werden kann

; Notfallhandbuch
Die beschriebenen Dokumente bilden zusammen mit den Informationen aus dem Aufbau und der Befähigung der [[BAO]] die Inhalte des Notfallhandbuchs
* Das Notfallhandbuch ist die zentrale Dokumentensammlung zur erfolgreichen Notfallbewältigung

; Aufbau und Einsatz des Notfallhandbuchs
[[File:img-222-430.png|800px]]

<noinclude>
----
{{Navigation|BSI/200-4/09 Risikoanalyse|BSI/200-4/11 Geschäftsfortführung}}
----

== Anhang ==
=== Siehe auch ===
{{Special:PrefixIndex/BSI/200-4/}}
==== Sicherheit ====
=== Dokumentation ===
=== Links ===
==== Projekt ====
==== Weblinks ====

[[Kategorie:BSI/200-4]]
</noinclude>

Kryptografie/Webserver

2026-06-17T08:40:49Z

Dirkwagner: Textersetzung - „ )“ durch „)“

=== Apache ===
Note that any cipher suite starting with EECDH can be omitted, if in doubt. (Compared to the theory section, EECDH in Apache and ECDHE in OpenSSL are synonyms [[https://bettercrypto.org/#_footnotedef_4 4]])

==== Tested with Versions ====
* Apache 2.2.22, Debian Wheezy with OpenSSL 1.0.1e
* Apache 2.4.6, Debian Jessie with OpenSSL 1.0.1e
* Apache 2.4.10, Debian Jessie 8.2 with OpenSSL 1.0.1k
* Apache 2.4.7, Ubuntu 14.04.2 Trusty with OpenSSL 1.0.1f
* Apache 2.4.6, CentOS Linux 7 (Core) with OpenSSL 1.0.1e
* Apache 2.4.18, Ubuntu 16.04.3 LTS with OpenSSL 1.0.2g

==== Settings ====
Enabled modules <tt>SSL</tt> and <tt>Headers</tt> are required.

; SSL configuration for an Apache vhost
SSLCertificateFile /etc/ssl/certs/ssl-cert-snakeoil.pem
SSLCertificateKeyFile /etc/ssl/private/ssl-cert-snakeoil.key
#SSLCertificateChainFile /etc/apache2/ssl.crt/server-ca.crt
#SSLCACertificateFile /etc/apache2/ssl.crt/ca-bundle.crt
SSLProtocol All -SSLv2 -SSLv3
SSLHonorCipherOrder On
SSLCompression off
Header always set Strict-Transport-Security "max-age=15768000"
# Strict-Transport-Security: "max-age=15768000 ; includeSubDomains"
Header always set Public-Key-Pins "pin-sha256=\"YOUR_HASH=\"; pin-sha256=\"YOUR_BACKUP_HASH=\"; max-age=7776000; report-uri=\"https://YOUR.REPORT.URL\""
SSLCipherSuite 'EDH+CAMELLIA:EDH+aRSA:EECDH+aRSA+AESGCM:EECDH+aRSA+SHA256:EECDH:+CAMELLIA128:+AES128:+SSLv3:!aNULL:!eNULL:!LOW:!3DES:!MD5:!EXP:!PSK:!DSS:!RC4:!SEED:!IDEA:!ECDSA:kEDH:CAMELLIA128-SHA:AES128-SHA'

{| class="wikitable options"
|-
||
|| Add six earth month HSTS header for all users…
|-
||
|| If you want to protect all subdomains, use the following header. ALL subdomains HAVE TO support HTTPS if you use this!
|-
||
|| CALL subdomains HAVE TO support HTTPS if you use this! At least use one Backup-Key and/or add whole CA, think of Cert-Updates!
|-
|}

==== Additional settings ====
You might want to redirect everything to <tt>https://</tt> if possible. In Apache you can do this with the following setting inside of a VirtualHost environment:

; https auto-redirect vhost
<VirtualHost *:80>
Redirect permanent / https://SERVER_NAME/
</VirtualHost>

==== References ====
[https://httpd.apache.org/docs/2.4/ssl/ Apache Docs on SSL and TLS]

==== How to test ====
See appendix [https://bettercrypto.org/#tools Tools]

=== lighttpd ===

==== Tested with Versions ====
* lighttpd/1.4.31-4 with OpenSSL 1.0.1e on Debian Wheezy
* lighttpd/1.4.33 with OpenSSL 0.9.8o on Debian Squeeze (note that TLSv1.2 does not work in openssl 0.9.8 thus not all ciphers actually work)
* lighttpd/1.4.28-2 with OpenSSL 0.9.8o on Debian Squeeze (note that TLSv1.2 does not work in openssl 0.9.8 thus not all ciphers actually work)
* lighttpd/1.4.31, Ubuntu 14.04.2 Trusty with Openssl 1.0.1f

==== Settings ====

; SSL configuration for lighttpd
$SERVER["socket"] == "0.0.0.0:443" {
ssl.engine = "enable"
ssl.use-sslv2 = "disable"
ssl.use-sslv3 = "disable"
ssl.pemfile = "/etc/lighttpd/server.pem"
ssl.ca-file = "/etc/ssl/certs/server.crt"
ssl.cipher-list = "EDH+CAMELLIA:EDH+aRSA:EECDH+aRSA+AESGCM:EECDH+aRSA+SHA256:EECDH:+CAMELLIA128:+AES128:+SSLv3:!aNULL:!eNULL:!LOW:!3DES:!MD5:!EXP:!PSK:!DSS:!RC4:!SEED:!IDEA:!ECDSA:kEDH:CAMELLIA128-SHA:AES128-SHA"
ssl.honor-cipher-order = "enable"
setenv.add-response-header = ("Strict-Transport-Security" => "max-age=15768000") # six months
# use this only if all subdomains support HTTPS!
# setenv.add-response-header = ("Strict-Transport-Security" => "max-age=15768000; includeSubDomains")
}
Starting with lighttpd version 1.4.29 Diffie-Hellman and Elliptic-Curve Diffie-Hellman key agreement protocols are supported. By default, elliptic curve "prime256v1" (also "secp256r1") will be used, if no other is given. To select special curves, it is possible to set them using the configuration options <tt>ssl.dh-file</tt> and <tt>ssl.ec-curve</tt>.

; SSL EC/DH configuration for lighttpd
# use group16 dh parameters
ssl.dh-file = "/etc/lighttpd/ssl/dh4096.pem"
ssl.ec-curve = "secp384r1"
Please read section [https://bettercrypto.org/#dh A note on Diffie Hellman Key Exchanges] for more information on Diffie Hellman key exchange and elliptic curves.

==== Additional settings ====
As for any other webserver, you might want to automatically redirect <tt>https://</tt> traffic toward <tt>https://</tt>. It is also recommended to set the environment variable <tt>HTTPS</tt>, so the PHP applications run by the webserver can easily detect that HTTPS is in use.

; https auto-redirect configuration
$HTTP["scheme"] == "http" {
# capture vhost name with regex condition -> %0 in redirect pattern
# must be the most inner block to the redirect rule
$HTTP["host"] =~ ".*" {
url.redirect = (".*" => "https://%0$0")
}
# Set the environment variable properly
setenv.add-environment = (
"HTTPS" => "on"
)
}

==== Additional information ====
The config option <tt>honor-cipher-order</tt> is available since 1.4.30, the supported ciphers depend on the used OpenSSL-version (at runtime). ECDHE has to be available in OpenSSL at compile-time, which should be default. SSL compression should by deactivated by default at compile-time (if not, it’s active). Support for other SSL-libraries like GnuTLS will be available in the upcoming 2.x branch, which is currently under development.

==== References ====
* [https://redmine.lighttpd.net/projects/1/wiki/HowToRedirectHttpToHttps How to redirect HTTP requests to HTTPS]
* [https://redmine.lighttpd.net/projects/lighttpd/wiki/Docs_SSL Lighttpd Docs: Secure HTTP]
* [https://redmine.lighttpd.net/projects/lighttpd/wiki/Release-1_4_30 Release 1.4.30 (How to mitigate BEAST attack)]
* [https://redmine.lighttpd.net/issues/2445 Lightpd issue: SSL Compression disabled by default]

==== How to test ====
See appendix [https://bettercrypto.org/#tools Tools]

=== nginx ===

==== Tested with Version ====
* 1.4.4 with OpenSSL 1.0.1e on OS X Server 10.8.5
* 1.2.1-2.2+wheezy2 with OpenSSL 1.0.1e on Debian Wheezy
* 1.4.4 with OpenSSL 1.0.1e on Debian Wheezy
* 1.2.1-2.2 bpo60+2 with OpenSSL 0.9.8o on Debian Squeeze (note that TLSv1.2 does not work in openssl 0.9.8 thus not all ciphers actually work)
* 1.4.6 with OpenSSL 1.0.1f on Ubuntu 14.04.2 LTS

==== Settings ====

; SSL settings for nginx
ssl on;
ssl_certificate cert.pem;
ssl_certificate_key cert.key;
ssl_session_timeout 5m;
ssl_prefer_server_ciphers on;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2; # not possible to do exclusive
ssl_ciphers 'EDH+CAMELLIA:EDH+aRSA:EECDH+aRSA+AESGCM:EECDH+aRSA+SHA256:EECDH:+CAMELLIA128:+AES128:+SSLv3:!aNULL:!eNULL:!LOW:!3DES:!MD5:!EXP:!PSK:!DSS:!RC4:!SEED:!IDEA:!ECDSA:kEDH:CAMELLIA128-SHA:AES128-SHA';
add_header Strict-Transport-Security "max-age=15768000"; # six months
# add_header Strict-Transport-Security "max-age=15768000; includeSubDomains";

{| class="wikitable sortable options" style="border-spacing:0;width:8.618cm;"
|-
||
|| Use this only if all subdomains support HTTPS!
|-
|}
If you absolutely want to specify your own DH parameters, you can specify them via
ssl_dhparam file. However, we advise you to read section [https://bettercrypto.org/#dh A note on Diffie Hellman Key Exchanges] and stay with the standard IKE/IETF parameters (as long as they are >1024 bits).

==== Additional settings ====
If you decide to trust NIST’s ECC curve recommendation, you can add the following line to nginx’s configuration file to select special curves:

; SSL EC/DH settings for nginx
ssl_ecdh_curve secp384r1;
You might want to redirect everything to <tt>https://</tt> if possible. In Nginx you can do this with the following setting:

; https auto-redirect in nginx
return 301 https://$server_name$request_uri;
The variable <tt>$server_name</tt> refers to the first <tt>server_name</tt> entry in your config file. If you specify more than one <tt>server_name</tt> only the first will be taken. Please be sure to not use the <tt>$host</tt> variable here because it contains data controlled by the user.

==== References ====
* [https://nginx.org/en/docs/http/ngx_http_ssl_module.html Module ngx_http_ssl_module]
* [https://nginx.org/en/docs/http/configuring_https_servers.html Configuring HTTPS servers]

==== How to test ====
See appendix [https://bettercrypto.org/#tools Tools]

=== Cherokee ===

==== Tested with Version ====
* Cherokee/1.2.104 on Debian Wheezy with OpenSSL 1.0.1e 11 Feb 2013

==== Settings ====
The configuration of the cherokee webserver is performed by an admin interface available via the web. It then writes the configuration to <tt>/etc/cherokee/cherokee.conf</tt>, the important lines of such a configuration file can be found at the end of this section.
* General Settings
** Network
*** ''SSL/TLS back-end'': <tt>OpenSSL/libssl</tt>
** Ports to listen
*** Port: 443, TLS: TLS/SSL port
* Virtual Servers, For each vServer on tab ''Security'':
** ''Required SSL/TLS Values'': Fill in the correct paths for ''Certificate'' and ''Certificate key''
* Advanced Options
** ''Ciphers'':<br/>EDH+CAMELLIA:EDH+aRSA:EECDH+aRSA+AESGCM:EECDH+aRSA+SHA256:EECDH:+CAMELLIA128:+AES128:+SSLv3:!aNULL:!eNULL:!LOW:!3DES:!MD5:!EXP:!PSK:!DSS:!RC4:!SEED:!IDEA:!ECDSA:kEDH:CAMELLIA128-SHA:AES128-SHA
*** ''Server Preference'': Prefer
*** ''Compression'': Disabled
* Advanced: TLS
** SSL version 2 and SSL version 3: No
** TLS version 1, TLS version 1.1 and TLS version 1.2: Yes

==== Additional settings ====
For each vServer on the Security tab it is possible to set the Diffie Hellman length to up to 4096 bits. We recommend to use >1024 bits. More information about Diffie-Hellman and which curves are recommended can be found in section [https://bettercrypto.org/#dh A note on Diffie Hellman Key Exchanges].
In Advanced: TLS it is possible to set the path to a Diffie Hellman parameters file for 512, 1024, 2048 and 4096 bits.
HSTS can be configured on host-basis in section ''vServers'' / ''Security'' / ''HTTP Strict Transport Security (HSTS)'':* ''Enable HSTS'': Accept
* ''HSTS Max-Age'': 15768000
* ''Include Subdomains'': depends on your setup
To redirect HTTP to HTTPS, configure a new rule per Virtual Server in the ''Behavior'' tab. The rule is ''SSL/TLS'' combined with a ''NOT'' operator. As ''Handler'' define ''Redirection'' and use <tt>/(.*)$</tt> as ''Regular Expression'' and <tt>+https://$\{host}/$1+</tt> as ''Substitution''.

; SSL configuration for cherokee
server!bind!2!port = 443
server!bind!2!tls = 1
server!tls = libssl
vserver!1!hsts = 1
vserver!1!hsts!max_age = 15768000
vserver!1!hsts!subdomains = 1
vserver!1!rule!5!handler = redir
vserver!1!rule!5!handler!rewrite!10!regex = /(.*)$
vserver!1!rule!5!handler!rewrite!10!show = 1
vserver!1!rule!5!handler!rewrite!10!substring = https://${host}/$1
vserver!1!rule!5!handler!type = just_about
vserver!1!rule!5!match = not
vserver!1!rule!5!match!right = tls
vserver!1!ssl_certificate_file = /etc/ssl/certs/ssl-cert-snakeoil.pem
vserver!1!ssl_certificate_key_file = /etc/ssl/private/ssl-cert-snakeoil.key
vserver!1!ssl_cipher_server_preference = 1
vserver!1!ssl_ciphers = EDH+CAMELLIA:EDH+aRSA:EECDH+aRSA+AESGCM:EECDH+aRSA+SHA256:EECDH:+CAMELLIA128:+AES128:+SSLv3:!aNULL:!eNULL:!LOW:!3DES:!MD5:!EXP:!PSK:!DSS:!RC4:!SEED:!IDEA:!ECDSA:kEDH:CAMELLIA128-SHA:AES128-SHA
vserver!1!ssl_compression = 0
vserver!1!ssl_dh_length = 2048

==== References ====
* [https://cherokee-project.com/doc/cookbook_ssl.html Cookbook: SSL, TLS and certificates]
* [https://cherokee-project.com/doc/cookbook_http_to_https.html Cookbook: Redirecting all traffic from HTTP to HTTPS]

==== How to test ====
See appendix [https://bettercrypto.org/#tools Tools]

=== MS IIS ===
To configure SSL/TLS on Windows Server [https://www.nartac.com/Products/IISCrypto/ IIS Crypto] can be used. Simply start the Programm, no installation required. The tool changes the registry keys described below. A restart is required for the changes to take effect.
[[Image:Bild2.png|top|alt="IIS Crypto Tool"]]
Instead of using the IIS Crypto Tool the configuration can be set using the Windows Registry. The following Registry keys apply to the newer Versions of Windows (Windows 7, Windows Server 2008, Windows Server 2008 R2, Windows Server 2012 and Windows Server 2012 R2). For detailed information about the older versions see the Microsoft knowledgebase article [https://support.microsoft.com/en-us/help/245030 How to restrict the use of certain cryptographic algorithms and protocols in Schannel.dll].

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\Schannel]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\Schannel\Ciphers]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\Schannel\CipherSuites]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\Schannel\Hashes]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\Schannel\KeyExchangeAlgorithms]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\Schannel\Protocols]

==== Tested with Version ====
* Windows Server 2008
* Windows Server 2008 R2
* Windows Server 2012
* Windows Server 2012 R2
* Windows Vista and Internet Explorer 7 and upwards
* Windows 7 and Internet Explorer 8 and upwards
* Windows 8 and Internet Explorer 10 and upwards
* Windows 8.1 and Internet Explorer 11

==== Settings ====
When trying to avoid RC4 (RC4 biases) as well as CBC (BEAST-Attack) by using GCM and to support perfect forward secrecy, Microsoft SChannel (SSL/TLS, Auth,.. Stack) supports ECDSA but lacks support for RSA signatures (see [https://safecurves.cr.yp.to/rigid.html ECC suite B doubts]).
Since one is stuck with ECDSA, an elliptic curve certificate needs to be used.
The configuration of cipher suites MS IIS will use, can be configured in one of the following ways:# Group Policy: [https://docs.microsoft.com/de-de/windows/desktop/SecAuthN/prioritizing-schannel-cipher-suites Prioritizing Schannel Cipher Suites]
# Registry: [https://support.microsoft.com/en-us/help/245030 How to restrict the use of certain cryptographic algorithms and protocols in Schannel.dll]
# [https://www.nartac.com/Products/IISCrypto/ IIS Crypto]
# Powershell
Table [https://bettercrypto.org/#MS_IIS_Client_Support Client support] shows the process of turning on one algorithm after another and the effect on the supported clients tested using [https://www.ssllabs.com/ https://www.ssllabs.com].
<tt>SSL 3.0</tt>, <tt>SSL 2.0</tt> and <tt>MD5</tt> are turned off. <tt>TLS 1.0</tt> and <tt>TLS 1.2</tt> are turned on.
Table 1. Client support

{| class="wikitable sortable options" style="border-spacing:0;width:16.251cm;"
|-
! align=center| Cipher Suite
! align=center| Client
|-
|| TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256+
|| only IE 10,11, OpenSSL 1.0.1e
|-
|| TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256+
|| Chrome 30, Opera 17, Safari 6+
|-
|| TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA+
|| FF 10-24, IE 8+, Safari 5, Java 7
|-
|}

Table [https://bettercrypto.org/#MS_IIS_Client_Support Client support] shows the algorithms from strongest to weakest and why they need to be added in this order. For example insisting on SHA-2 algorithms (only first two lines) would eliminate all versions of Firefox, so the last line is needed to support this browser, but should be placed at the bottom, so capable browsers will choose the stronger SHA-2 algorithms.
<tt>TLS_RSA_WITH_RC4_128_SHA</tt> or equivalent should also be added if MS Terminal Server Connection is used (make sure to use this only in a trusted environment). This suite will not be used for SSL, since we do not use a RSA Key.

Clients not supported:
# Java 6
# WinXP
# Bing

==== Additional settings ====
It’s recommended to use ´Strict-Transport-Security: max-age=15768000` for detailed information visit the [https://docs.microsoft.com/en-us/iis/configuration/system.webServer/httpProtocol/customHeaders/ Microsoft knowledgebase article in custom Headers].
You might want to redirect everything to http'''s''':// if possible. In IIS you can do this with the following setting by Powershell:
Set-WebConfiguration -Location "$WebSiteName/$WebApplicationName" `
-Filter 'system.webserver/security/access' `
-Value "SslRequireCert"

==== Justification for special settings (if needed) ====

==== References ====
* [https://support.microsoft.com/en-us/help/245030 How to restrict the use of certain cryptographic algorithms and protocols in Schannel.dll]
* [https://support.microsoft.com/en-us/help/187498 How to disable PCT 1.0, SSL 2.0, SSL 3.0, or TLS 1.0 in Internet Information Services]

==== How to test ====
See appendix [https://bettercrypto.org/#tools Tools]

[[Kategorie:Kryptografie/Best Practice]]
[[Kategorie:Webserver]]

Security Information and Event Management

2026-06-17T08:40:48Z

Dirkwagner: Textersetzung - „ )“ durch „)“

'''Security Information and Event Management''' (SIEM) - System zu Echtzeitanalyse von Sicherheitsalarmen

== Beschreibung ==
; SIEM dient der [[Computersicherheit]]

; Kombination
* Security Information Management (SIM)
* Security Event Management (SEM)

; Echtzeitanalyse von Sicherheitsalarmen
* Anwendungen
* Netzwerkkomponenten

; Softwareprodukt
* zentral installiert
* als Cloudservice

; Funktionen
* Daten von Netzwerk- und Sicherheitskomponenten sammeln, analysieren und präsentieren
* Umgang mit [[Sicherheitslücke]]n
* Logdateien von Betriebssystemen, Datenbanken und Anwendungen auswerten
* Externe Gefahren berücksichtigen
* Echtzeit-Warnungen

; Anbieter
{| class="wikitable sortable options"
|-
! Anbieter !! Beschreibung
|-
| Arcsight ||
|-
| Empow ||
|-
| Exabeam ||
|-
| LogPoint ||
|-
| Logrhythm ||
|-
| QRadar ||
|-
| Wazuh ||
|}

<noinclude>

== Anhang ==
=== Siehe auch ===
{{Special:PrefixIndex/{{BASEPAGENAME}}/}}
=== Links ===
==== Weblinks ====
# https://de.wikipedia.org/wiki/Security_Information_and_Event_Management

= TMP =
=== Was ist SIEM? ===
SIEM, ausgesprochen "sim", ist ein Akronym für Security Information and Event Management.

Unter Sicherheitsinformationsmanagement versteht man den Prozess der Erfassung, Überwachung und Protokollierung von Daten, um verdächtige Aktivitäten auf einem System zu erkennen und zu melden.
* SIM-Software/-Tools sind automatisierte Tools, die dabei helfen, diese Informationen zu sammeln und zu verarbeiten, um bei der Früherkennung und Sicherheitsüberwachung zu helfen. 

Sicherheitsereignismanagement ist das process zu identifizieren und monitoring security events on a system in real time for proper analysis of threats and quick action.

Man könnte über die Ähnlichkeiten zwischen SIM und SEM argumentieren, es ist jedoch erwähnenswert, dass sie sich im Gesamtziel ähneln.
* SIM beinhaltet die processDas Erstellen und Analysieren historischer Protokollanalysen und -berichte, während SEM Echtzeitaktivitäten zum Sammeln und Analysieren von Protokollen umfasst.

SIEM ist eine Sicherheitslösung, die Unternehmen dabei hilft, Sicherheitsprobleme und Bedrohungen zu überwachen und zu identifizieren, bevor sie ihrem System Schaden zufügen.
* SIEM-Tools automatisieren Prozesse im Zusammenhang mit der Protokollerfassung, der Normalisierung von Protokollen, der Benachrichtigung, der Alarmierung und der Erkennung von Vorfällen und Bedrohungen in einem System.

; Einstieg ins Security Information and Event Management, kurz SIEM, muss nicht teuer und zeitaufwendig sein
SIEM-Software ([https://www.computerweekly.com/de/definition/Security-Information-and-Event-Management-SIEM Security Information and Event Management]) war früher gleichbedeutend mit relativ einfachen Lösungen zum Verwalten von Ereignissen im Firmennetz.
* Das hat sich in den vergangenen Jahren aber stark geändert.
* Aktuelle SIEM-Tools können deutlich mehr und verfügen über weit mehr Funktionen.
* Das ist ein großer Vorteil für Unternehmen, die nach neuen Möglichkeiten suchen, um Informationen über ihre Systeme und Netzwerke zu erhalten.

Besonders einfach gelingt der SIEM-Einstieg mit Anwendungen aus dem [https://www.computerweekly.com/de/definition/Open-Source Open-Source-Bereich].
* Unternehmen können sie zunächst in Ruhe und bei niedrigen Anfangskosten ausprobieren und müssen deswegen erst später, wenn ihnen eine Lösung zusagt, größere Summen für zum Beispiel Support in ein Produkt investieren.
* Abhängig von den Funktionen, die Sie benötigen, stehen unterschiedliche Lösungen bereit, aus denen Sie wählen können.
* Im Folgenden werden kurz die wichtigsten SIEM-Tools aus dem Open-Source-Bereich vorgestellt.

=== Warum ist SIEM wichtig? ===
[https://geekflare.com/de/cyberattack-protection-techniques/ Cyber Attacke] hat erheblich zugenommen, da immer mehr Unternehmen und Organisationen auf die Cloud-Nutzung umsteigen.
* Ob Sie ein kleines Unternehmen oder eine große Organisation haben, Sicherheit ist gleichally sind von wesentlicher Bedeutung und sollten entsprechend gehandhabt werden.

Für den langfristigen Erfolg ist es von entscheidender Bedeutung, sicherzustellen, dass Ihr System gesichert und in der Lage ist, einen möglichen Verstoß zu bewältigen.
* Ein erfolgreicher Datenverstoß könnte zu einer Verletzung der Privatsphäre der Benutzer führen und sie Angriffen aussetzen.

Ein Sicherheitsinformations- und Managementsystem könnte dabei helfen, die Daten und Systeme von Unternehmen zu schützen, indem es innerhalb des Systems auftretende Ereignisse protokolliert, Protokolle analysiert, um Unregelmäßigkeiten zu erkennen, und sicherstellt, dass die Bedrohung rechtzeitig behandelt wird, bevor der Schaden entsteht.

SIEM kann Unternehmen auch dabei helfen, die Einhaltung von Vorschriften aufrechtzuerhalten, indem sichergestellt wird, dass ihr System stets dem Standard entspricht.

=== Funktionen von SIEM ===
Bei der Entscheidung, welches SIEM-Tool Sie in Ihrem Unternehmen verwenden möchten, ist es wichtig, einige Funktionen des SIEM-Tools Ihrer Wahl zu berücksichtigen, um eine umfassende Überwachung und Erkennung basierend auf Ihrem Systemanwendungsfall sicherzustellen.
* Hier sind einige Funktionen, auf die Sie bei der Entscheidung für SIEM achten sollten.

==== Datenerfassung und Protokollverwaltung in Echtzeit ====
Protokolle sind das Rückgrat für die Gewährleistung eines sicheren Systems.
* SIEM-Tools sind auf diese Protokolle angewiesen, um jedes System zu erkennen und zu überwachen.
* Stellen Sie sicher, dass das auf Ihrem System bereitgestellte SIEM-Tool möglichst viele wichtige Daten aus internen und externen Quellen sammeln kann.

Ereignisprotokolle werden aus verschiedenen Abschnitten eines Systems erfasst.
* Daher muss das Tool in der Lage sein, diese Daten effektiv zu verwalten und zu analysieren.

==== Verhaltensanalyse von Benutzern und Entitäten (UEBA) ====
Die Analyse des Benutzerverhaltens ist eine hervorragende Möglichkeit, Sicherheitsbedrohungen zu erkennen.
* Mit Hilfe des SIEM-Systems kombiniert mit [https://geekflare.com/de/machine-learning-books-for-graduates/ Maschinelles Lernen], kann dem Benutzer eine Risikobewertung zugewiesen werden, die auf dem Grad der verdächtigen Aktivität basiert, die jeder Benutzer während einer Sitzung versucht, und die dazu verwendet wird, Anomalien in der Aktivität des Benutzers zu erkennen.
* UEBA kann unter anderem Insider-Angriffe, kompromittierte Konten, Privilegien und Richtlinienverstöße erkennen.

==== Incident Management und Threat Intelligence ====
Jedes Ereignis außerhalb der normalen Aktivität kann als potenzielle Bedrohung für die Sicherheit eines Systems eingestuft werden und kann bei unsachgemäßer Behandlung zu einem tatsächlichen Vorfall und einer Datenpanne oder einem Angriff führen.

SIEM-Tools sollten in der Lage sein, eine Sicherheitsbedrohung und einen Sicherheitsvorfall zu erkennen und Maßnahmen zu ergreifen, um sicherzustellen, dass diese Vorfälle gemanagt werden, um einen Verstoß im System zu vermeiden. [https://geekflare.com/de/best-threat-intelligence-platforms/ Bedrohungsinformationen] nutzt künstliche Intelligenz und maschinelles Lernen, um Unregelmäßigkeiten zu erkennen und festzustellen, ob sie eine Bedrohung für das System darstellen.

==== Benachrichtigung und Alarmierung in Echtzeit ====
Benachrichtigungen und Warnungen sind wesentliche Bestandteile/Funktionen, die bei der Auswahl eines SIEM-Tools berücksichtigt werden sollten.
* Es ist wichtig sicherzustellen, dass das SIEM-Tool in Echtzeit Benachrichtigungen über Angriffe oder die Erkennung von Bedrohungen auslösen kann, damit die Sicherheitsanalysten schnell reagieren können, um die mittlere Erkennungszeit (MTTD) und die mittlere Reaktionszeit (MTTR) zu reduzieren) Dadurch wird die Zeit verkürzt, in der eine Bedrohung in Ihrem System verbleibt.

==== Compliance-Management und Reporting ====
Organisationen, die die strikte Einhaltung bestimmter Vorschriften und Sicherheitsmechanismen sicherstellen müssen, sollten auch nach SIEM-Tools Ausschau halten, die ihnen dabei helfen, diese Vorschriften einzuhalten.

SIEM-Tools könnten Unternehmen dabei helfen, Daten in ihrem gesamten System zu sammeln und zu analysieren, um sicherzustellen, dass das Unternehmen die Vorschriften einhält.
* Einige SIEM-Lösungen können generierenate Echtzeit-Konformität des Unternehmens mit PCI-DSS, GPDR, FISMA, ISO und anderen Beschwerdestandards, sodass Verstöße leichter erkannt und rechtzeitig behoben werden können.

Entdecken Sie jetzt die Liste der besten Open-Source-SIEM-Systeme.

=== Merkmale und Funktionalitäten von SIEM-Software ===
Bevor Sie sich für eine SIEM-Lösung entscheiden, möchten wir kurz auf die Grundlagen des SIEM eingehen.
* Worauf sollten Sie bei einem SIEM-Tool achten? Was sind die Vor- und Nachteile beim Test von kostenlosen oder Open-Source-Lösungen im Vergleich zu Software, die aufgrund von Vollständigkeit im Funktionsumfang sowie bei allen anderen Aspekten uneingeschränkt für den professionellen Einsatz geeignet ist?

Security-Information-and-Event-Management, kurz SIEM, vereint zwei Bereiche, die zuvor separat betrachtet wurden: Security-Information-Management (SIM) und Security-Event-Management (SEM).
* Noch heute werden die drei Begriffe häufig synonym verwendet, obwohl es feine, aber bedeutende Unterschiede gibt.

SEM-Software verfolgt laufende Netzwerkereignisprotokolle, was einschließt, kurzfristige Analysen und Troubleshooting bei Unterbrechungen durchzuführen.
* SIM-Software hingegen speichert und analysiert immense Mengen von historischen Netzwerkdaten, und ist somit eher zur Vorhersage zukünftiger Bedrohungen geeignet.
* In einer vereinheitlichten SIEM-Lösung sollten diese lang- und kurzfristigen Sicherheitsbemühungen kombiniert sein.

Ganz gleich, ob Sie nach einer gebührenpflichtigen, kostenlosen oder Open-Source-SIEM-Lösung suchen, sollten Sie auf Tools mit folgenden Merkmalen achten:* '''Ereignisprotokoll erstellen''': Auf der untersten Ebene von SIEM nimmt das Ereignisprotokoll eine zentrale Rolle ein.
* Durch die Erfassung aller Ereignisse im Netzwerk können Sie Abweichungen in Echtzeit erkennen und Störungen untersuchen.
* '''Erkennung von Intrusion:''' Ein gutes SIEM verfolgt nicht nur das Netzwerkverhalten, sondern kann die Daten nahezu in Echtzeit analysieren.
* Ohne Zusammenhänge ergeben die Daten jedoch keinen Sinn; so kann ein Benutzer mit vielen fehlgeschlagenen Kennworteingaben harmlos sein, aber viele gleichzeitige Versuche im gesamten System können einen Sicherheitsvorfall größeren Ausmaßes bedeuten.
* '''Automatisierte Warnmeldungen: '''Neben Analyse und Intrusionserkennung sollten SIEM-Systeme die Netzwerkadministratoren benachrichtigen können.
* Die Alert-Funktion ist von besonderer Bedeutung.
* '''KI/Intelligente Bedrohungserkennung:''' Ein gutes SIEM-System erkennt nicht nur ein unbefugtes Eindringen, sondern kann zukünftige Bedrohungen auch prognostizieren und vorhersehen.
* Dazu werden Informationsflüsse über die neuesten Bedrohungen benötigt, um sie mit aktuellen wie mit archivierten Daten zu vergleichen.
* '''Datenfilterung und Datenspeicher: '''Ereignisprotokolle generieren riesige Datenmengen, die für eine gründliche Archivanalyse vorgehalten werden müssen. Ähnlich wie bei der Ereignisprotokollierung lassen sich auf diese Weise Abweichungen erkennen und aufgetretene Probleme untersuchen.
* Gute SIEM-Lösungen setzen ebenso gute wie nützliche Filter voraus, um zu gewährleisten, dass spezifische, nützliche Daten verwendet werden, und den Benutzern die Möglichkeit der leicht abrufbaren, kosteneffizienten Speicherung dieser Daten zu geben.
* '''Visualisierung: '''Eine gute Übersicht der vorhandenen Daten sowie eine Einschätzung der Bedrohungslage, abgebildet als Diagramm, unterstützt Sie perfekt bei Ihren Sicherheitsbemühungen.
* Die grafische Darstellung in der SIEM-Software entweder als integrierte Funktion oder als Erweiterung eines Drittanbieters setzt sich immer mehr durch.
* '''Kompatibilität:''' SIEM-Software sollte mit dem vorhandenen Netzwerk der Anwender kompatibel sein, was Voraussetzung für ein vollständiges Bild der Ereignisse ermöglicht.
* '''Compliance:''' In bestimmten Branchen muss die SIEM-Software zur Einhaltung gesetzlicher Auflagen beitragen.

Es ist uns bewusst, dass viele kleinere Organisationen, die gerade erst mit der Protokollierung und Analyse ihrer Ereignisdaten beginnen, sich für kostenlose und/oder Open-Source-SIEM-Tools entscheiden.
* Selbstverständlich ist diese Option kostengünstiger.
* Mit der Zeit allerdings wird vielen IT-Abteilungen klar, dass die kostenfreien Tools zu viel Arbeitsaufwand erfordern, und sie entscheiden sich stattdessen für ein Produkt, das, gemessen an den Anforderungen, uneingeschränkt im professionellen Umfeld einsetzbar ist.
* Wir kennen kaum eine IT-Abteilung, die mit einer SIEM-Gratisoption langfristig zufrieden ist.

==== Ein letztes Wort zur besten erhältlichen SIEM-Software ====
SIEM-Lösungen sollten bei minimalem Aufwand und geringen Kosten für Setup und Anpassung sowohl kurz- als auch langfristige Überwachung und Schutz bieten.
* Wenn Ihre Organisation zum ersten Mal SIEM einsetzt oder Ihr Betrieb nicht sehr groß ist, können Sie diese kostenlosen und Open-Source-Produkte für SIEM sinnvoll testen.
* Wenn Sie jedoch lieber SIEM-Software auf einem perfekten Level einsetzen möchten, empfehlen wir ein Tool wie den [https://www.solarwinds.com/de/security-event-manager/registration?CMP=ORG-BLG-DNS-X_WW_X_NP_X_X_GR_X_X-SEM-20191012_FunfBestSIEMToo_X_X_VidNo_X-X Security Event Manager], das eine umfassende Sicherheitsverwaltungslösung mit Schwerpunkten auf Protokollierung und Compliance darstellt.

[https://www.dnsstuff.com/de/die-besten-kostenlosen-siem-open-source-tools https://www.dnsstuff.com/de/die-besten-kostenlosen-siem-open-source-tools]

=== Open-Source-SIEM-Systeme ===
; Zur Verbesserung der Sicherheit
In der heutigen Zeit, in der Daten ein wesentlicher Bestandteil der meisten Unternehmen sind, ist Sicherheit für jedes Unternehmen, das diese Daten erfasst und speichert, von entscheidender Bedeutung.

Dies ist wichtig, da dies der entscheidende Faktor dafür sein kann, ob das Unternehmen langfristig erfolgreich ist oder scheitert.
* SIEM-Systeme sind Tools, die dazu beitragen können, dass Unternehmen über eine Sicherheitsebene verfügen, die bei der Überwachung, Erkennung und schnellen Reaktion auf Sicherheitsbedrohungen hilft.

=== Zusammenfassung ===
* Es ist wichtig zu erwähnen, dass es in puncto Sicherheit kein einheitliches Tool gibt.
* SIEM-Systeme sind üblicher Weise eine Sammlung dieser Werkzeuge, die verschiedene Bereiche bearbeiten und unterschiedliche Funktionen ausführen.

Daher muss eine Organisation ihr System verstehen, um die richtige Kombination von Tools für die Einrichtung ihrer SIEM-Systeme auszuwählen.
* Die meisten der hier genannten Tools sind Open Source und somit für manipul verfügbarate and configure to meet the demand.

Als nächstes sehen Sie sich die besten an [https://geekflare.com/de/best-siem-solutions/ SIEM-Werkzeuge] um Ihr Unternehmen vor Cyberangriffen zu schützen.

[[Kategorie:SIEM]]
[[Kategorie:DER]]

</noinclude>

Certbot/Anwendung

2026-06-17T08:40:48Z

Dirkwagner: Textersetzung - „ )“ durch „)“

'''Certbot/Anwendung'''

=== Beschreibung ===
Certbot can obtain and install HTTPS/TLS/SSL certificates. By default, it will attempt to use a webserver both for obtaining and installing the certificate. The most common SUBCOMMANDS and flags are:

=== obtain, install, and renew certificates ===
{| class="wikitable sortable options big"
|-
! Befehl !! Beschreibung
|-
| (default) run || Obtain & install a certificate in your current webserver
|-
| certonly || Obtain or renew a certificate, but do not install it
|-
| renew || Renew all previously obtained certificates that are near expiry
|-
| enhance || Add security enhancements to your existing configuration
|-
| -d DOMAINS || Comma-separated list of domains to obtain a certificate for
|-
| --apache || Use the Apache plugin for authentication & installation
|-
| --standalone || Run a standalone webserver for authentication
|-
| --nginx || Use the Nginx plugin for authentication & installation
|-
| --webroot || Place files in a server's webroot folder for authentication
|-
| --manual || Obtain certificates interactively, or using shell script hooks
|-
| -n || Run non-interactively
|-
| --test-cert || Obtain a test certificate from a staging server
|-
| --dry-run || Test "renew" or "certonly" without saving any certificates to disk
|}

=== manage certificates ===
{| class="wikitable sortable options big"
|-
! Aufgabe !! Befehl
|-
| certificates || Display information about certificates you have from Certbot
|-
| revoke || Revoke a certificate (supply --cert-name or --cert-path)
|-
| delete || Delete a certificate (supply --cert-name)
|}

=== manage your account ===
{| class="wikitable sortable options big"
|-
! Aufgabe !! Befehl
|-
| register || Create an ACME account
|-
| unregister || Deactivate an ACME account
|-
| update_account || Update an ACME account
|-
| show_account || Display account details
|-
| --agree-tos || Agree to the ACME server's Subscriber Agreement
|-
| -m EMAIL || Email address for important account notifications
|}

=== optional arguments ===
{| class="wikitable sortable options big"
|-
! Unix !! GNU !! Beschreibung
|-
| -h || --help || show this help message and exit
|-
| -c CONFIG_FILE || --config CONFIG_FILE || path to config file (default: /etc/letsencrypt/cli.ini and ~/.config/letsencrypt/cli.ini)
|-
| -v || --verbose || This flag can be used multiple times to incrementally increase the verbosity of output, e.g. -vvv. (default:0)
|-
| || --max-log-backups MAX_LOG_BACKUPS || Specifies the maximum number of backup logs that should be kept by Certbot's built in log rotation. Setting this flag to 0 disables log rotation entirely, causing Certbot to always append to the same log file. (default: 1000)
|-
| -n || --non-interactive --noninteractive || Run without ever asking for user input. This may require additional command line flags; the client will try to explain which ones are required if it finds one missing (default: False)
|-
| || --force-interactive || Force Certbot to be interactive even if it detects it's not being run in a terminal. This flag cannot be used with the renew subcommand. (default: False)
|-
| -d DOMAIN || --domain DOMAIN --domain DOMAIN || Domain names to apply. For multiple domains you can use multiple -d flags or enter a comma separated list of domains as a parameter. The first domain provided will be the subject CN of the certificate, and all domains will be Subject Alternative Names on the certificate. The first domain will also be used in some software user interfaces and as the file paths for the certificate and related material unless otherwise specified or you already have a certificate with the same name. In the case of a name collision it will append a number like 0001 to the file path name.(default: Ask)
|-
| || --eab-kid EAB_KID || Key Identifier for External Account Binding (default: None)
|-
| || --eab-hmac-key EAB_HMAC_KEY || HMAC key for External Account Binding (default: None)
|-
| --cert-name CERTNAME || Certificate name to apply. This name is used by Certbot for housekeeping and in file paths; it doesn't affect the content of the certificate itself. To see certificate names, run 'certbot certificates'. When creating a new certificate, specifies the new certificate's name. (default: the first provided domain or the name of an existing certificate on your system for the same domains)
|-
| || --dry-run || Perform a test run of the client, obtaining test (invalid) certificates but not saving them to disk. This can currently only be used with the 'certonly' and 'renew' subcommands. Note: Although --dry-run tries to avoid making any persistent changes on a system, it is not completely side-effect free: if used with webserver authenticator plugins like apache and nginx, it makes and then reverts temporary config changes in order to obtain test certificates, and reloads webservers to deploy and then roll back those changes. It also calls --pre-hook and --post-hook commands if they are defined because they may be necessary to accurately simulate renewal. --deploy-hook commands are not called. (default: False)
|-
| || --debug-challenges || After setting up challenges, wait for user input before submitting to CA. When used in combination with the `-v` option, the challenge URLs or FQDNs and their expected return values are shown. (default: False)
|-
| || --preferred-chain PREFERRED_CHAIN || Set the preferred certificate chain. If the CA offers multiple certificate chains, prefer the chain whose topmost certificate was issued from this Subject Common Name. If no match, the default offered chain will be used. (default: None)
|-
| || --preferred-challenges PREF_CHALLS || A sorted, comma delimited list of the preferred challenge to use during authorization with the most preferred challenge listed first (Eg, "dns" or "http,dns"). Not all plugins support all challenges. See https://certbot.eff.org/docs/using.html#plugins for details. ACME Challenges are versioned, but if you pick "http" rather than "http-01", Certbot will select the latest version automatically. (default: [])
|-
| || --issuance-timeout ISSUANCE_TIMEOUT || This option specifies how long (in seconds) Certbot will wait for the server to issue a certificate. (default: 90)
|-
| || --user-agent USER_AGENT || Set a custom user agent string for the client. User agent strings allow the CA to collect high level statistics about success rates by OS, plugin and use case, and to know when to deprecate support for past Python versions and flags. If you wish to hide this information from the Let's Encrypt server, set this to "". (default: CertbotACMEClient/1.24.0 (certbot; OS_NAME OS_VERSION) Authenticator/XXX Installer/YYY (SUBCOMMAND; flags: FLAGS) Py/major.minor.patchlevel). The flags encoded in the user agent are: --duplicate,
|-
| || --force-renew --allow-subset-of-names || -n, and whether any hooks are set.
|-
| || --user-agent-comment USER_AGENT_COMMENT || Add a comment to the default user agent string. May be used when repackaging Certbot or calling it from another tool to allow additional statistical data to be collected. Ignored if --user-agent is set. (Example: Foo-Wrapper/1.0) (default: None)
|}

=== automation ===
Flags for automating execution & other tweaks

--keep-until-expiring, --keep, --reinstall
If the requested certificate matches an existing
certificate, always keep the existing one until it is
due for renewal (for the 'run' subcommand this means
reinstall the existing certificate). (default: Ask)
--expand If an existing certificate is a strict subset of the
requested names, always expand and replace it with the
additional names. (default: Ask)
--version show program's version number and exit
--force-renewal, --renew-by-default
If a certificate already exists for the requested
domains, renew it now, regardless of whether it is
near expiry. (Often --keep-until-expiring is more
appropriate). Also implies --expand. (default: False)
--renew-with-new-domains
If a certificate already exists for the requested
certificate name but does not match the requested
domains, renew it now, regardless of whether it is
near expiry. (default: False)
--reuse-key When renewing, use the same private key as the
existing certificate. (default: False)
--no-reuse-key When renewing, do not use the same private key as the
existing certificate. Not reusing private keys is the
default behavior of Certbot. This option may be used
to unset --reuse-key on an existing certificate.
(default: False)
--allow-subset-of-names
When performing domain validation, do not consider it
a failure if authorizations can not be obtained for a
strict subset of the requested domains. This may be
useful for allowing renewals for multiple domains to
succeed even if some domains no longer point at this
system. This option cannot be used with --csr.
(default: False)
--agree-tos Agree to the ACME Subscriber Agreement (default: Ask)
--duplicate Allow making a certificate lineage that duplicates an
existing one (both can be renewed in parallel)
(default: False)
-q, --quiet Silence all output except errors. Useful for
automation via cron. Implies --non-interactive.
(default: False)

=== security ===
Security parameters & server settings

--rsa-key-size N Size of the RSA key. (default: 2048)
--key-type {rsa,ecdsa}
Type of generated private key. Only *ONE* per
invocation can be provided at this time. (default:
rsa)
--elliptic-curve N The SECG elliptic curve name to use. Please see RFC
8446 for supported values. (default: secp256r1)
--must-staple Adds the OCSP Must Staple extension to the
certificate. Autoconfigures OCSP Stapling for
supported setups (Apache version >= 2.3.3). (default:
False)
--redirect Automatically redirect all HTTP traffic to HTTPS for
the newly authenticated vhost. (default: redirect
enabled for install and run, disabled for enhance)
--no-redirect Do not automatically redirect all HTTP traffic to
HTTPS for the newly authenticated vhost. (default:
redirect enabled for install and run, disabled for
enhance)
--hsts Add the Strict-Transport-Security header to every HTTP
response. Forcing browser to always use SSL for the
domain. Defends against SSL Stripping. (default: None)
--uir Add the "Content-Security-Policy: upgrade-insecure-
requests" header to every HTTP response. Forcing the
browser to use https:// for every https:// resource.
(default: None)
--staple-ocsp Enables OCSP Stapling. A valid OCSP response is
stapled to the certificate that the server offers
during TLS. (default: None)
--strict-permissions Require that all configuration files are owned by the
current user; only needed if your config is somewhere
unsafe like /tmp/ (default: False)
--auto-hsts Gradually increasing max-age value for HTTP Strict
Transport Security security header (default: False)

=== testing ===
The following flags are meant for testing and integration purposes only.

--test-cert, --staging
Use the staging server to obtain or revoke test
(invalid) certificates; equivalent to --server
https://acme-staging-v02.api.letsencrypt.org/directory
(default: False)
--debug Show tracebacks in case of errors (default: False)
--no-verify-ssl Disable verification of the ACME server's certificate.
(default: False)
--http-01-port HTTP01_PORT
Port used in the http-01 challenge. This only affects
the port Certbot listens on. A conforming ACME server
will still attempt to connect on port 80. (default:
80)
--http-01-address HTTP01_ADDRESS
The address the server listens to during http-01
challenge. (default:)
--https-port HTTPS_PORT
Port used to serve HTTPS. This affects which port
Nginx will listen on after a LE certificate is
installed. (default: 443)
--break-my-certs Be willing to replace or renew valid certificates with
invalid (testing/staging) certificates (default:
False)

=== paths ===
Flags for changing execution paths & servers

--cert-path CERT_PATH
Path to where certificate is saved (with certonly
--csr), installed from, or revoked (default: None)
--key-path KEY_PATH Path to private key for certificate installation or
revocation (if account key is missing) (default: None)
--fullchain-path FULLCHAIN_PATH
Accompanying path to a full certificate chain
(certificate plus chain). (default: None)
--chain-path CHAIN_PATH
Accompanying path to a certificate chain. (default:
None)
--config-dir CONFIG_DIR
Configuration directory. (default: /etc/letsencrypt)
--work-dir WORK_DIR Working directory. (default: /var/lib/letsencrypt)
--logs-dir LOGS_DIR Logs directory. (default: /var/log/letsencrypt)
--server SERVER ACME Directory Resource URI. (default:
https://acme-v02.api.letsencrypt.org/directory)

=== manage ===
Various subcommands and flags are available for managing your
certificates:

certificates List certificates managed by Certbot
delete Clean up all files related to a certificate
renew Renew all certificates (or one specified with --cert-
name)
revoke Revoke a certificate specified with --cert-path or
--cert-name
update_symlinks Recreate symlinks in your /etc/letsencrypt/live/
directory

=== run ===
Options for obtaining & installing certificates

=== certonly ===
Options for modifying how a certificate is obtained

--csr CSR Path to a Certificate Signing Request (CSR) in DER or
PEM format. Currently --csr only works with the
'certonly' subcommand. (default: None)

=== renew ===
The 'renew' subcommand will attempt to renew any certificates previously
obtained if they are close to expiry, and print a summary of the results.
By default, 'renew' will reuse the plugins and options used to obtain or
most recently renew each certificate. You can test whether future renewals
will succeed with `--dry-run`. Individual certificates can be renewed with
the `--cert-name` option. Hooks are available to run commands before and
after renewal; see https://certbot.eff.org/docs/using.html#renewal for
more information on these.

--pre-hook PRE_HOOK Command to be run in a shell before obtaining any
certificates. Intended primarily for renewal, where it
can be used to temporarily shut down a webserver that
might conflict with the standalone plugin. This will
only be called if a certificate is actually to be
obtained/renewed. When renewing several certificates
that have identical pre-hooks, only the first will be
executed. (default: None)
--post-hook POST_HOOK
Command to be run in a shell after attempting to
obtain/renew certificates. Can be used to deploy
renewed certificates, or to restart any servers that
were stopped by --pre-hook. This is only run if an
attempt was made to obtain/renew a certificate. If
multiple renewed certificates have identical post-
hooks, only one will be run. (default: None)
--deploy-hook DEPLOY_HOOK
Command to be run in a shell once for each
successfully issued certificate. For this command, the
shell variable $RENEWED_LINEAGE will point to the
config live subdirectory (for example,
"/etc/letsencrypt/live/example.com") containing the
new certificates and keys; the shell variable
$RENEWED_DOMAINS will contain a space-delimited list
of renewed certificate domains (for example,
"example.com www.example.com" (default: None)
--disable-hook-validation
Ordinarily the commands specified for --pre-
hook/--post-hook/--deploy-hook will be checked for
validity, to see if the programs being run are in the
$PATH, so that mistakes can be caught early, even when
the hooks aren't being run just yet. The validation is
rather simplistic and fails if you use more advanced
shell constructs, so you can use this switch to
disable it. (default: False)
--no-directory-hooks Disable running executables found in Certbot's hook
directories during renewal. (default: False)
--disable-renew-updates
Disable automatic updates to your server configuration
that would otherwise be done by the selected installer
plugin, and triggered when the user executes "certbot
renew", regardless of if the certificate is renewed.
This setting does not apply to important TLS
configuration updates. (default: False)
--no-autorenew Disable auto renewal of certificates. (default: True)

=== certificates ===
List certificates managed by Certbot

=== delete ===
Options for deleting a certificate

=== revoke ===
Options for revocation of certificates

--reason {unspecified,keycompromise,affiliationchanged,superseded,cessationofoperation}
Specify reason for revoking certificate. (default:
unspecified)
--delete-after-revoke
Delete certificates after revoking them, along with
all previous and later versions of those certificates.
(default: None)
--no-delete-after-revoke
Do not delete certificates after revoking them. This
option should be used with caution because the 'renew'
subcommand will attempt to renew undeleted revoked
certificates. (default: None)

=== register ===
Options for account registration

--register-unsafely-without-email
Specifying this flag enables registering an account
with no email address. This is strongly discouraged,
because you will be unable to receive notice about
impending expiration or revocation of your
certificates or problems with your Certbot
installation that will lead to failure to renew.
(default: False)
-m EMAIL, --email EMAIL
Email used for registration and recovery contact. Use
comma to register multiple emails, ex:
u1@example.com,u2@example.com. (default: Ask).
--eff-email Share your e-mail address with EFF (default: None)
--no-eff-email Don't share your e-mail address with EFF (default:
None)

=== update_account ===
Options for account modification

=== unregister ===
Options for account deactivation.

--account ACCOUNT_ID Account ID to use (default: None)

=== install ===
Options for modifying how a certificate is deployed

=== rollback ===
Options for rolling back server configuration changes

--checkpoints N Revert configuration N number of checkpoints.
(default: 1)

=== plugins ===
Options for the "plugins" subcommand

--init Initialize plugins. (default: False)
--prepare Initialize and prepare plugins. (default: False)
--authenticators Limit to authenticator plugins only. (default: None)
--installers Limit to installer plugins only. (default: None)

=== update_symlinks ===
Recreates certificate and key symlinks in /etc/letsencrypt/live, if you
changed them by hand or edited a renewal configuration file

=== enhance ===
Helps to harden the TLS configuration by adding security enhancements to
already existing configuration.

=== show_account ===
Options useful for the "show_account" subcommand:

=== plugins ===
Plugin Selection: Certbot client supports an extensible plugins
architecture. See 'certbot plugins' for a list of all installed plugins
and their names. You can force a particular plugin by setting options
provided below. Running --help <plugin_name> will list flags specific to
that plugin.

--configurator CONFIGURATOR
Name of the plugin that is both an authenticator and
an installer. Should not be used together with
--authenticator or --installer. (default: Ask)
-a AUTHENTICATOR, --authenticator AUTHENTICATOR
Authenticator plugin name. (default: None)
-i INSTALLER, --installer INSTALLER
Installer plugin name (also used to find domains).
(default: None)
--apache Obtain and install certificates using Apache (default:
False)
--nginx Obtain and install certificates using Nginx (default:
False)
--standalone Obtain certificates using a "standalone" webserver.
(default: False)
--manual Provide laborious manual instructions for obtaining a
certificate (default: False)
--webroot Obtain certificates by placing files in a webroot
directory. (default: False)
--dns-cloudflare Obtain certificates using a DNS TXT record (if you are
using Cloudflare for DNS). (default: False)
--dns-cloudxns Obtain certificates using a DNS TXT record (if you are
using CloudXNS for DNS). (default: False)
--dns-digitalocean Obtain certificates using a DNS TXT record (if you are
using DigitalOcean for DNS). (default: False)
--dns-dnsimple Obtain certificates using a DNS TXT record (if you are
using DNSimple for DNS). (default: False)
--dns-dnsmadeeasy Obtain certificates using a DNS TXT record (if you are
using DNS Made Easy for DNS). (default: False)
--dns-gehirn Obtain certificates using a DNS TXT record (if you are
using Gehirn Infrastructure Service for DNS).
(default: False)
--dns-google Obtain certificates using a DNS TXT record (if you are
using Google Cloud DNS). (default: False)
--dns-linode Obtain certificates using a DNS TXT record (if you are
using Linode for DNS). (default: False)
--dns-luadns Obtain certificates using a DNS TXT record (if you are
using LuaDNS for DNS). (default: False)
--dns-nsone Obtain certificates using a DNS TXT record (if you are
using NS1 for DNS). (default: False)
--dns-ovh Obtain certificates using a DNS TXT record (if you are
using OVH for DNS). (default: False)
--dns-rfc2136 Obtain certificates using a DNS TXT record (if you are
using BIND for DNS). (default: False)
--dns-route53 Obtain certificates using a DNS TXT record (if you are
using Route53 for DNS). (default: False)
--dns-sakuracloud Obtain certificates using a DNS TXT record (if you are
using Sakura Cloud for DNS). (default: False)

=== apache ===
Apache Web Server plugin (Please note that the default values of the
Apache plugin options change depending on the operating system Certbot is
run on.)

--apache-enmod APACHE_ENMOD
Path to the Apache 'a2enmod' binary (default: None)
--apache-dismod APACHE_DISMOD
Path to the Apache 'a2dismod' binary (default: None)
--apache-le-vhost-ext APACHE_LE_VHOST_EXT
SSL vhost configuration extension (default: -le-
ssl.conf)
--apache-server-root APACHE_SERVER_ROOT
Apache server root directory (default: /etc/apache2)
--apache-vhost-root APACHE_VHOST_ROOT
Apache server VirtualHost configuration root (default:
None)
--apache-logs-root APACHE_LOGS_ROOT
Apache server logs directory (default:
/var/log/apache2)
--apache-challenge-location APACHE_CHALLENGE_LOCATION
Directory path for challenge configuration (default:
/etc/apache2)
--apache-handle-modules APACHE_HANDLE_MODULES
Let installer handle enabling required modules for you
(Only Ubuntu/Debian currently) (default: False)
--apache-handle-sites APACHE_HANDLE_SITES
Let installer handle enabling sites for you (Only
Ubuntu/Debian currently) (default: False)
--apache-ctl APACHE_CTL
Full path to Apache control script (default:
apache2ctl)
--apache-bin APACHE_BIN
Full path to apache2/httpd binary (default: None)

=== dns-cloudflare ===
Obtain certificates using a DNS TXT record (if you are using Cloudflare
for DNS).

--dns-cloudflare-propagation-seconds DNS_CLOUDFLARE_PROPAGATION_SECONDS
The number of seconds to wait for DNS to propagate
before asking the ACME server to verify the DNS
record. (default: 10)
--dns-cloudflare-credentials DNS_CLOUDFLARE_CREDENTIALS
Cloudflare credentials INI file. (default: None)

=== dns-cloudxns ===
Obtain certificates using a DNS TXT record (if you are using CloudXNS for
DNS).

--dns-cloudxns-propagation-seconds DNS_CLOUDXNS_PROPAGATION_SECONDS
The number of seconds to wait for DNS to propagate
before asking the ACME server to verify the DNS
record. (default: 30)
--dns-cloudxns-credentials DNS_CLOUDXNS_CREDENTIALS
CloudXNS credentials INI file. (default: None)

=== dns-digitalocean ===
Obtain certificates using a DNS TXT record (if you are using DigitalOcean
for DNS).

--dns-digitalocean-propagation-seconds DNS_DIGITALOCEAN_PROPAGATION_SECONDS
The number of seconds to wait for DNS to propagate
before asking the ACME server to verify the DNS
record. (default: 10)
--dns-digitalocean-credentials DNS_DIGITALOCEAN_CREDENTIALS
DigitalOcean credentials INI file. (default: None)

=== dns-dnsimple ===
Obtain certificates using a DNS TXT record (if you are using DNSimple for
DNS).

--dns-dnsimple-propagation-seconds DNS_DNSIMPLE_PROPAGATION_SECONDS
The number of seconds to wait for DNS to propagate
before asking the ACME server to verify the DNS
record. (default: 30)
--dns-dnsimple-credentials DNS_DNSIMPLE_CREDENTIALS
DNSimple credentials INI file. (default: None)

=== dns-dnsmadeeasy ===
Obtain certificates using a DNS TXT record (if you are using DNS Made Easy
for DNS).

--dns-dnsmadeeasy-propagation-seconds DNS_DNSMADEEASY_PROPAGATION_SECONDS
The number of seconds to wait for DNS to propagate
before asking the ACME server to verify the DNS
record. (default: 60)
--dns-dnsmadeeasy-credentials DNS_DNSMADEEASY_CREDENTIALS
DNS Made Easy credentials INI file. (default: None)

=== dns-gehirn ===
Obtain certificates using a DNS TXT record (if you are using Gehirn
Infrastructure Service for DNS).

--dns-gehirn-propagation-seconds DNS_GEHIRN_PROPAGATION_SECONDS
The number of seconds to wait for DNS to propagate
before asking the ACME server to verify the DNS
record. (default: 30)
--dns-gehirn-credentials DNS_GEHIRN_CREDENTIALS
Gehirn Infrastructure Service credentials file.
(default: None)

=== dns-google ===
Obtain certificates using a DNS TXT record (if you are using Google Cloud
DNS for DNS).

--dns-google-propagation-seconds DNS_GOOGLE_PROPAGATION_SECONDS
The number of seconds to wait for DNS to propagate
before asking the ACME server to verify the DNS
record. (default: 60)
--dns-google-credentials DNS_GOOGLE_CREDENTIALS
Path to Google Cloud DNS service account JSON file.
(See https://developers.google.com/identity/protocols/
OAuth2ServiceAccount#creatinganaccount forinformation
about creating a service account and
https://cloud.google.com/dns/access-
control#permissions_and_roles for information about
therequired permissions.) (default: None)

=== dns-linode ===
Obtain certificates using a DNS TXT record (if you are using Linode for
DNS).

--dns-linode-propagation-seconds DNS_LINODE_PROPAGATION_SECONDS
The number of seconds to wait for DNS to propagate
before asking the ACME server to verify the DNS
record. (default: 120)
--dns-linode-credentials DNS_LINODE_CREDENTIALS
Linode credentials INI file. (default: None)

=== dns-luadns ===
Obtain certificates using a DNS TXT record (if you are using LuaDNS for
DNS).

--dns-luadns-propagation-seconds DNS_LUADNS_PROPAGATION_SECONDS
The number of seconds to wait for DNS to propagate
before asking the ACME server to verify the DNS
record. (default: 30)
--dns-luadns-credentials DNS_LUADNS_CREDENTIALS
LuaDNS credentials INI file. (default: None)

=== dns-nsone ===
Obtain certificates using a DNS TXT record (if you are using NS1 for DNS).

--dns-nsone-propagation-seconds DNS_NSONE_PROPAGATION_SECONDS
The number of seconds to wait for DNS to propagate
before asking the ACME server to verify the DNS
record. (default: 30)
--dns-nsone-credentials DNS_NSONE_CREDENTIALS
NS1 credentials file. (default: None)

=== dns-ovh ===
Obtain certificates using a DNS TXT record (if you are using OVH for DNS).

--dns-ovh-propagation-seconds DNS_OVH_PROPAGATION_SECONDS
The number of seconds to wait for DNS to propagate
before asking the ACME server to verify the DNS
record. (default: 30)
--dns-ovh-credentials DNS_OVH_CREDENTIALS
OVH credentials INI file. (default: None)

=== dns-rfc2136 ===
Obtain certificates using a DNS TXT record (if you are using BIND for
DNS).

--dns-rfc2136-propagation-seconds DNS_RFC2136_PROPAGATION_SECONDS
The number of seconds to wait for DNS to propagate
before asking the ACME server to verify the DNS
record. (default: 60)
--dns-rfc2136-credentials DNS_RFC2136_CREDENTIALS
RFC 2136 credentials INI file. (default: None)

=== dns-route53 ===
Obtain certificates using a DNS TXT record (if you are using AWS Route53
for DNS).

--dns-route53-propagation-seconds DNS_ROUTE53_PROPAGATION_SECONDS
The number of seconds to wait for DNS to propagate
before asking the ACME server to verify the DNS
record. (default: 10)

=== dns-sakuracloud ===
Obtain certificates using a DNS TXT record (if you are using Sakura Cloud
for DNS).

--dns-sakuracloud-propagation-seconds DNS_SAKURACLOUD_PROPAGATION_SECONDS
The number of seconds to wait for DNS to propagate
before asking the ACME server to verify the DNS
record. (default: 90)
--dns-sakuracloud-credentials DNS_SAKURACLOUD_CREDENTIALS
Sakura Cloud credentials file. (default: None)

=== manual ===
Authenticate through manual configuration or custom shell scripts. When
using shell scripts, an authenticator script must be provided. The
environment variables available to this script depend on the type of
challenge. $CERTBOT_DOMAIN will always contain the domain being
authenticated. For HTTP-01 and DNS-01, $CERTBOT_VALIDATION is the
validation string, and $CERTBOT_TOKEN is the filename of the resource
requested when performing an HTTP-01 challenge. An additional cleanup
script can also be provided and can use the additional variable
$CERTBOT_AUTH_OUTPUT which contains the stdout output from the auth
script. For both authenticator and cleanup script, on HTTP-01 and DNS-01
challenges, $CERTBOT_REMAINING_CHALLENGES will be equal to the number of
challenges that remain after the current one, and $CERTBOT_ALL_DOMAINS
contains a comma-separated list of all domains that are challenged for the
current certificate.

--manual-auth-hook MANUAL_AUTH_HOOK
Path or command to execute for the authentication
script (default: None)
--manual-cleanup-hook MANUAL_CLEANUP_HOOK
Path or command to execute for the cleanup script
(default: None)

=== nginx ===
Nginx Web Server plugin

--nginx-server-root Nginx_SERVER_ROOT
Nginx server root directory. (default: /etc/nginx or
/usr/local/etc/nginx)
--nginx-ctl Nginx_CTL
Path to the 'nginx' binary, used for 'configtest' and
retrieving nginx version number. (default: nginx)
--nginx-sleep-seconds Nginx_SLEEP_SECONDS
Number of seconds to wait for nginx configuration
changes to apply when reloading. (default: 1)

=== null ===
Null Installer

=== standalone ===
Spin up a temporary webserver

=== webroot ===
Place files in webroot directory

--webroot-path WEBROOT_PATH, -w WEBROOT_PATH
public_html / webroot path. This can be specified
multiple times to handle different domains; each
domain will have the webroot path that preceded it.
For instance: `-w /var/www/example -d example.com -d
www.example.com -w /var/www/thing -d thing.net -d
m.thing.net` (default: Ask)
--webroot-map WEBROOT_MAP
JSON dictionary mapping domains to webroot paths; this
implies -d for each entry. You may need to escape this
from your shell. E.g.: --webroot-map
'{"eg1.is,m.eg1.is":"/www/eg1/", "eg2.is":"/www/eg2"}'
This option is merged with, but takes precedence over,
-w / -d entries. At present, if you put webroot-map in
a config file, it needs to be on a single line, like:
webroot-map = {"example.com":"/var/www"}. (default:
{})

[[Kategorie:Let's Encrypt]]
[[Kategorie:Linux/Befehl]]
[[Kategorie:Kryptografie/Anwendung]]

Coturn

2026-06-17T08:40:48Z

Dirkwagner: Textersetzung - „ )“ durch „)“

'''Coturn''' - ist ein TURN-Server/Gateway für VoIP-Medienverkehr-NAT-Traversal

== Beschreibung ==
; TURN-Server und -Gateway für den Netzwerkverkehr
* Free open source Implementation of TURN and STUN Server

; Entwickelte sich aus dem rfc5766-turn-server Projekt
* https://code.google.com/p/rfc5766-turn-server/

; Es gibt viele neue erweiterte TURN-Spezifikationen, die weit über das ursprüngliche RFC 5766-Dokument hinausgehen
* Dieses Projekt nimmt den Code von rfc5766-turn-server als Ausgangspunkt und fügt ihm neue erweiterte Funktionen hinzu
* Eine Online-Verwaltungsschnittstelle (über Telnet oder über HTTPS) für den TURN-Server ist verfügbar
* Enthält auch einige zusätzliche experimentelle Funktionen

; Ziele
* Die Implementierung soll einfach, leicht zu installieren und konfigurieren sein
* Der Schwerpunkt des Projekts liegt auf Leistung, Skalierbarkeit und Einfachheit
* Ziel ist es, eine unternehmenstaugliche TURN-Lösung bereitzustellen

; Projekte, die TURN/STUN verwenden
* [[:Kategorie:Nextcloud/Talk | Nextcloud-Talk]]
* [[:Kategorie:BigBlueButton|Big Blue Button]]
* Jitsi-Meeting
* Matrix-Server
* Ejabberd

; Voraussetzungen
* Mindestens ein kleiner virtueller Server mit einer Root-Shell

== Installation ==
# apt install coturn

== Konfiguration ==
=== Annahmen ===
* Domain: example.com
* Server-IPv4: 10.0.0.1
* Server-IPv6: 2001:db8:1234::1
* Öffentliche Client-IPv4: 78.47.166.55
* Private Client-IPv4: 192.168.0.10
=== Konfigurationsdatei ===
<tt>/etc/turnserver.conf</tt>
* Es sind viele Optionen in der Standardkonfigurationsdatei dokumentiert

Verwenden Sie die folgende Datei für <tt>/etc/turnserver.conf</tt> und nehmen Sie folgende Änderungen vor:
* Ersetzen '''<tt><turn.example.com></tt>''' mit dem Hostnamen Ihres TURN-Servers und
* Ersetzen '''<tt><example.com></tt>''' mit dem Bereich Ihres TURN-Servers und
* Ersetzen '''<tt><secret_value></tt>''' auf einen zufälligen Wert für ein gemeinsames Geheimnis
** Sie können einen durch Ausführen generieren <tt>openssl rand -hex 16</tt>
* Ersetzen '''<tt><IP></tt>''' mit der externen IP Ihres TURN-Servers

Diese Konfigurationsdatei setzt voraus, dass sich Ihr TURN-Server nicht hinter NAT befindet und eine öffentliche IP-Adresse hat.
listening-port=3478
tls-listening-port=443

listening-ip=$IP
relay-ip=$IP

# If the server is behind NAT, you need to specify the external IP address.
# If there is only one external address, specify it like this:
#external-ip=172.17.19.120
# If you have multiple external addresses, you have to specify which
# internal address each corresponds to, like this. The first address is the
# external ip, and the second address is the corresponding internal IP.
#external-ip=172.17.19.131/10.0.0.11
#external-ip=172.17.18.132/10.0.0.12

min-port=32769
max-port=65535
verbose

fingerprint
lt-cred-mech
use-auth-secret
static-auth-secret=<secret_value>
realm=<example.com>

cert=/etc/turnserver/fullchain.pem
pkey=/etc/turnserver/privkey.pem
From https://ssl-config.mozilla.org/ Intermediate, openssl 1.1.0g, 2020-01
cipher-list="ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384" dh-file=/etc/turnserver/dhp.pem

keep-address-family
no-cli
no-tlsv1
no-tlsv1_1

# Block connections to IP ranges which shouldn't be reachable
no-loopback-peers
no-multicast-peers
# CVE-2020-26262
# If running coturn version older than 4.5.2, uncomment these rules and ensure
# that you have listening-ip set to ipv4 addresses only.
#denied-peer-ip=0.0.0.0-0.255.255.255
#denied-peer-ip=127.0.0.0-127.255.255.255
#denied-peer-ip=::1
# Private (LAN) addresses
# If you are running BigBlueButton within a LAN, you might need to add an "allow" rule for your address range.
# IPv4 Private-Use
denied-peer-ip=10.0.0.0-10.255.255.255
denied-peer-ip=172.16.0.0-172.31.255.255
denied-peer-ip=192.168.0.0-192.168.255.255
# Other IPv4 Special-Purpose addresses
denied-peer-ip=100.64.0.0-100.127.255.255
denied-peer-ip=169.254.0.0-169.254.255.255
denied-peer-ip=192.0.0.0-192.0.0.255
denied-peer-ip=192.0.2.0-192.0.2.255
denied-peer-ip=198.18.0.0-198.19.255.255
denied-peer-ip=198.51.100.0-198.51.100.255
denied-peer-ip=203.0.113.0-203.0.113.255
# IPv6 Unique-Local
denied-peer-ip=fc00::-fdff:ffff:ffff:ffff:ffff:ffff:ffff:ffff
# IPv6 Link-Local Unicast
denied-peer-ip=fe80::-febf:ffff:ffff:ffff:ffff:ffff:ffff:ffff
# Other IPv6 Special-Purpose assignments
denied-peer-ip=::ffff:0:0-::ffff:ffff:ffff
denied-peer-ip=64:ff9b::-64:ff9b::ffff:ffff
denied-peer-ip=64:ff9b:1::-64:ff9b:1:ffff:ffff:ffff:ffff:ffff
denied-peer-ip=2001::-2001:1ff:ffff:ffff:ffff:ffff:ffff:ffff
denied-peer-ip=2001:db8::-2001:db8:ffff:ffff:ffff:ffff:ffff:ffff
denied-peer-ip=2002::-2002:ffff:ffff:ffff:ffff:ffff:ffff:ffff

=== DNS ===
* Es wird ein vollständig qualifizierten Domänennamen benötigt
** der in die externe IP-Adresse Ihres Turn-Servers aufgelöst
* Mit diesem Domänennamen werden TLS-Zertifikat mit Let's Encrypt erstellt

==== Allgemeine DNS-Einträge ====
turn.example.com. 14400 IN A 10.0.0.1
turn.example.com. 14400 IN AAAA 2001:db8:1234::1
stun.example.com. 14400 IN A 10.0.0.1
stun.example.com. 14400 IN AAAA 2001:db8:1234::1

@ IN NAPTR 10 0 "s" "RELAY:turn.udp" "" _turn._udp.example.com.

==== Ein Server ====
Folgende DNS-Einträge sollten verwendet werden, wenn Sie nur '''einen''' TURN/STUN-Server installieren:
_stun._udp.example.com. 14400 IN SRV 5 0 3478 turn.example.com.
_stun._tcp.example.com. 14400 IN SRV 5 0 3478 turn.example.com.
_stuns._tcp.example.com. 14400 IN SRV 5 0 5349 turn.example.com.

_turn._udp.example.com. 14400 IN SRV 5 0 3478 turn.example.com.
_turn._tcp.example.com. 14400 IN SRV 5 0 3478 turn.example.com.
_turns._tcp.example.com. 14400 IN SRV 5 0 5349 turn.example.com.

==== Zwei Server ====
Für beste Leistung und Ausfallsicherheit sollten mindestens zwei TURN/STUN-Server betrieben werden:
_stun._udp.example.com. 14400 IN SRV 5 50 3478 turn1.example.com.
_stun._udp.example.com. 14400 IN SRV 10 50 3478 turn2.example.com.
_stun._tcp.example.com. 14400 IN SRV 5 50 3478 turn1.example.com.
_stun._tcp.example.com. 14400 IN SRV 10 50 3478 turn2.example.com.
_stuns._tcp.example.com. 14400 IN SRV 5 50 5349 turn1.example.com.
_stuns._tcp.example.com. 14400 IN SRV 10 50 5349 turn2.example.com.
_turn._udp.example.com. 14400 IN SRV 5 50 3478 turn1.example.com.
_turn._udp.example.com. 14400 IN SRV 10 50 3478 turn2.example.com.
_turn._tcp.example.com. 14400 IN SRV 5 50 3478 turn1.example.com.
_turn._tcp.example.com. 14400 IN SRV 10 50 3478 turn2.example.com.
_turns._tcp.example.com. 14400 IN SRV 5 50 5349 turn1.example.com.
_turns._tcp.example.com. 14400 IN SRV 10 50 5349 turn2.example.com.

; DNS-Einträge (A und AAAA) für turn1.example.comund turn2.example.com
* Ws kann auch ein zweiter A- und AAAA-Eintrag für turn.example.com und stun.example.com bereitgestellt werden
** Dies wird nicht empfohlen

=== Erforderliche Ports ===
Auf dem Coturn-Server müssen die folgenden Ports erreichbar sein, damit Clients eine Verbindung herstellen können (Port 3478 und 443) und Coturn eine Verbindung zu Ihrem zu den Clients herstellen kann (32768 - 65535).
{| class="wikitable"
|-
! | Ports
! | Protokoll
! | Beschreibung
|-
|| 3478
|| TCP / UDP
|| Coturn Listening Port
|-
|| 443
|| TCP / UDP
|| TLS-Abhörport
|-
|| 32768-65535
|| UDP
|| Relaisanschlussbereich
|-
|}

=== Erstellen der Datei <tt>dph.pem</tt> ===
# mkdir -p /etc/turnserver
# openssl dhparam -dsaparam -out /etc/turnserver/dhp.pem 2048

=== Konfiguration ===
Sichern der Originalversion
# mv /etc/turnserver.conf /etc/turnserver.conf.orig

<tt> /etc/turnserver.conf </tt>
listening-port=3478
tls-listening-port=5349

fingerprint
lt-cred-mech

use-auth-secret
static-auth-secret=replace-this-secret

realm=turn.example.com

total-quota=100
stale-nonce=600

cert=/etc/letsencrypt/live/turn.example.com/cert.pem
pkey=/etc/letsencrypt/live/turn.example.com/privkey.pem
cipher-list="ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384"

no-sslv3
no-tlsv1
no-tlsv1_1
#no-tlsv1_2

dh2066

no-stdout-log
log-file=/var/tmp/turn.log
#log-file=/dev/null

no-loopback-peers
no-multicast-peers

proc-user=turnserver
proc-group=turnserver

; Geheimnis erzeugen
sed -i "s/replace-this-secret/$(openssl rand -hex 32)/" /etc/turnserver.conf



=== Zertifikate ===
; TLS-Zertifikate von [[Let's Encrypt|Let’s Encrypt]]
# certbot certonly --standalone --preferred-challenges http -d <turn.example.com>

Aktuelle Versionen des Befehls certbot richten standardmäßig eine automatische Verlängerung ein.

; Renewal-Hook
* Um sicherzustellen, dass die Zertifikate von lesbar sind <tt>coturn</tt>, die als läuft <tt>turnserver</tt>Benutzer, fügen Sie den folgenden Erneuerungs-Hook zu Let's Encrypt hinzu.
* Erstellen Sie zunächst das Verzeichnis <tt>/etc/letsencrypt/renewal-hooks/deploy</tt>.
# mkdir -p /etc/letsencrypt/renewal-hooks/deploy

; Renewal-Hook Skript
<tt>/etc/letsencrypt/renewal-hooks/deploy/coturn</tt>

#!/bin/bash -e
for certfile in fullchain.pem privkey.pem ; do
cp -L /etc/letsencrypt/live/<turn.example.com>/"${certfile}" /etc/turnserver/"${certfile}".new
chown turnserver:turnserver /etc/turnserver/"${certfile}".new
mv /etc/turnserver/"${certfile}".new /etc/turnserver/"${certfile}"
done

systemctl kill -sUSR2 coturn.service

Datei ausführbar machen
# chmod 0755 /etc/letsencrypt/renewal-hooks/deploy/coturn

=== Protokollrotation ===
So drehen Sie die Protokolle für <tt>coturn</tt>Installieren Sie die folgende Konfigurationsdatei in <tt>/etc/logrotate.d/coturn</tt>

/var/log/turnserver/*.log
{
rotate 7
daily
missingok
notifempty
compress
postrotate
/bin/systemctl kill -s HUP coturn.service
endscript
}

Und erstellen Sie das zugehörige Protokollverzeichnis
# mkdir -p /var/log/turnserver
# chown turnserver:turnserver /var/log/turnserver

=== Coturn starten ===
Starten Sie den TURN-Server nach Abschluss der obigen Schritte neu
# /etc/letsencrypt/renewal-hooks/deploy/coturn <nowiki># Initial copy of certificates </nowiki>
# systemctl daemon-reload <nowiki># Ensure the override file is loaded</nowiki>
# systemctl restart coturn <nowiki># Restart</nowiki>
* Stellen Sie sicher, dass die <tt>coturn</tt> hat an Port 443 mit gebunden <tt>netstat -antp | grep 443</tt>.
* Starten Sie auch Ihren TURN-Server neu und stellen Sie dies sicher <tt>coturn</tt> wird ausgeführt (und nach dem Neustart an Port 443 gebunden).

=== TURN-Server aktivieren ===
; /etc/default/coturn
# Uncomment it if you want to have the turnserver running as
# an automatic system service daemon
#
TURNSERVER_ENABLED=1

=== Testen ===
* Standardmäßig versucht Ihr Browser, über WebRTC eine direkte Verbindung zu Kurento oder FreeSWITCH herzustellen.
* Wenn keine direkte Verbindung hergestellt werden kann, wird der TURN-Server als einer der ICE-Kandidaten (Interconnectivity Connectivity Exchange) zum Weiterleiten der Medien verwendet.

==== FireFox ====
; Mit FireFox können Sie direkte Verbindungen deaktivieren und einen Fallback zu Ihrem TURN-Server benötigen.
* Starten Sie FireFox und öffnen Sie es <tt>about:config</tt> und suchen Sie nach 'Relais <tt>. You should see a parameter</tt> media.peerconnection.ice.relay_only <tt>. Set this value to </tt>wahr`.
* Wenn FireFox so konfiguriert ist, dass nur ein TURN-Server verwendet wird, öffnen Sie eine neue Registerkarte, nehmen Sie an einer BigBlueButton-Sitzung teil und geben Sie Ihre Webcam frei.
* Wenn Ihre Webcam angezeigt wird, können Sie überprüfen, ob FireFox Ihren TURN-Server verwendet, indem Sie eine neue Registerkarte öffnen und auswählen <tt>about:webrtc</tt>.
* Klicken <tt>show details</tt> und Sie sehen eine Tabelle für ICE-Statistiken.
* Die erfolgreiche Verbindung, die oben in der Tabelle angezeigt wird, sollte haben <tt>(relay-tcp)</tt>in der Spalte Lokaler Kandidat.
* Dies bedeutet, dass die Videoverbindung erfolgreich über Ihren TURN-Server weitergeleitet wurde.
* Wenn Sie jedoch beim Freigeben einer Webcam eine 1020 erhalten haben (Verbindung kann nicht hergestellt werden), kann der Browser möglicherweise keine Verbindung zum TURN-Server herstellen oder der TURN-Server wird nicht ordnungsgemäß ausgeführt oder konfiguriert.

; Überprüfen der Browserkonsole in FireFox
WebRTC: ICE failed, your TURN server appears to be broken, see about:webrtc for more details
* FireFox kann nicht mit dem TURN-Server kommunizieren

==== test.bigbluebutton.org ====
* Um sicherzustellen, dass Ihre Firewall keine UDP-Verbindungen über Port 443 blockiert, öffnen Sie einen Test-Besuch unter https://test.bigbluebutton.org/
* starten Sie eine Testsitzung und versuchen Sie, Ihre Webcam freizugeben.
* Der Browser kann möglicherweise keine Verbindung zum TURN-Server herstellen, oder der TURN-Server wird nicht ordnungsgemäß ausgeführt oder konfiguriert.
* Der TURN-Server fungiert auch als STUN-Server, sodass Sie zunächst überprüfen können, ob der STUN-Teil mit dem funktioniert

==== stunclient ====
===== Installation =====
# apt install stuntman-client

===== Anwendung =====
# stunclient --mode full --localport 30000 <your-turn-server-host> 3478

Bei Erfolg sollte die Ausgabe für angezeigt werden <tt>stunclient</tt> sollte ähnlich wie folgt sein.
Binding test: success
Local address: xxx.xxx.xxx.xxx:30000
Mapped address: xxx.xxx.xxx.xxx:30000
Behavior test: success
Nat behavior: Direct Mapping
Filtering test: success
Nat filtering: Endpoint Independent Filtering

Wenn Sie eine Fehlermeldung erhalten, überprüfen Sie dies <tt>coturn</tt> wird auf dem TURN-Server mit ausgeführt <tt>systemctl status coturn.service</tt>.

* Überprüfen Sie die Protokolle, indem Sie dies tun <tt>tail -f /var/log/turnserver/coturn.log</tt>.
* Sie können ausführliche Protokolle erhalten, indem Sie hinzufügen <tt>verbose</tt> zu <tt>/etc/turnserver.conf</tt> und Neustart des TURN-Servers <tt>systemctl restart coturn.service</tt>
* Sie können Ihren TURN-Server mithilfe der testen [https://webrtc.github.io/samples/src/content/peerconnection/trickle-ice/ Trickle-ICE-] Seite.
* Auf diese Weise erhalten Sie ein Protokoll der Relaiskandidaten, wenn diese von der ICE-Sammlung zurückgegeben werden.
* Um auf dieser Seite zu testen, müssen Sie einige Testanmeldeinformationen generieren.
* Führen Sie das folgende BASH-Skript aus und ersetzen Sie es <tt><turn.example.com></tt> mit dem Hostnamen Ihres TURN-Servers und <tt><secret_value></tt> mit dem Passwort für Ihren TURN-Server.

#!/bin/bash

HOST=<turn.example.com>
SECRET=<secret_value>

time=$(date +%s)
expiry=8400
username=$(($time + $expiry))

echo
echo " https://webrtc.github.io/samples/src/content/peerconnection/trickle-ice/"
echo
echo URI : turn:$HOST:443
echo username : $username
echo password : $(echo -n $username | openssl dgst -binary -sha1 -hmac $SECRET | openssl base64)
echo

* Geben Sie die Werte in URI, Benutzername und Passwort auf der Trickle ICE-Seite ein und klicken Sie auf "Kandidaten sammeln".
* Sie sollten eine Liste der Staffelkandidaten sehen.
* Wenn Sie dies nicht tun, überprüfen Sie erneut, ob Ihr TURN-Server ausgeführt wird, und beenden Sie die Protokolle, über die der TURN-Server protokolliert <tt>tail -f /var/log/turnserver/coturn.log</tt> oder <tt>journalctl -f -u coturn.service</tt>.

Sie können ausführliche Protokolle erhalten, indem Sie hinzufügen <tt>verbose</tt> zu <tt>/etc/turnserver.conf</tt> und dann den TURN-Server neu starten <tt>systemctl restart coturn.service</tt>und versuchen Sie es erneut mit FireFox oder der obigen Tricke ICE-Seite.

=== Dateien ===

== Anwendung ==
=== Starten und testen ===
* Wir werden wiederum mit der Ausführung beginnen systemctl start coturn. Verwenden systemctl status coturnwir können testen, ob coturn läuft.
* Wir wissen noch nicht, ob unsere Konfiguration erfolgreich war, aber zum Glück gibt es einen Tester: WebRTC-Beispiele Trickle ICE

Entfernen Sie den Standardserver aus der Liste. Das Feld für "STUN or TURN URI" sollte so aussehen:
stun:stun.example.com

Sie können aber auch die IP verwenden:
stun:10.0.0.1:3478

Um die SSL/TLS-Kryptografie zu testen, verwenden Sie port 5349. Sie können TURN hier nicht testen, da der Tester dies nicht unterstützt.

Klicken Sie anschließend auf Add Serverund dann weiter Gather candidates.

Die Ausgabe sollte etwa so aussehen:
Time Component Type Foundation Protocol Address Port Priority
0.019 1 host 0 UDP 192.168.0.10 41904 126 | 32512 | 255
0.024 1 host 2 TCP 192.168.0.10 9 125 | 32704 | 255
0.027 2 host 0 UDP 192.168.0.10 53438 126 | 32512 | 254
0.030 2 host 2 TCP 192.168.0.10 9 125 | 32704 | 254
0.134 1 srflx 1 UDP 78.47.166.55 41904 100 | 32543 | 255
0.152 2 srflx 1 UDP 78.47.166.55 53438 100 | 32543 | 254
0.153 Done

; Wenn Sie ein Timeout mit bekommen Not reachable?
* Die Verbindung wird wahrscheinlich durch eine Firewall blockiert.
* Überprüfen Sie erneut, ob die Ports 3478und 5349für den TURN-Server sind offen.
* Testen Sie auch, ob Sie es von Ihrem Computer oder einem anderen Server aus erreichen können, telnet oder nmap.

; Wenn alles wie erwartet funktioniert
Deaktivieren der Protokollierung von IP-Adressen
* dient der besten Privatsphäre

# log-file=/var/log/turn.log
log-file=/dev/null

== Aufruf ==
=== Optionen ===
=== Argumente ===
=== Umgebung ===
=== Rückgabewert ===

== Sicherheit ==

== Dokumentation ==
=== RFCs ===
; TURN specs
* <nowiki>RFC 5766</nowiki> - base TURN specs
* <nowiki>RFC 6062</nowiki> - TCP relaying TURN extension
* <nowiki>RFC 6156</nowiki> - IPv6 extension for TURN
* <nowiki>RFC 7443</nowiki> - ALPN support for STUN & TURN
* <nowiki>RFC 7635</nowiki> - oAuth third-party TURN/STUN authorization
* DTLS support (<nowiki>https://tools.ietf.org/html/draft-petithuguenin-tram-turn-dtls-00</nowiki>).
* Mobile ICE (MICE) support (<nowiki>https://tools.ietf.org/html/draft-wing-tram-turn-mobility-02</nowiki>).
* TURN REST API (<nowiki>https://tools.ietf.org/html/draft-uberti-behave-turn-rest-00</nowiki>)
* Origin field in TURN (Multi-tenant TURN Server) (<nowiki>https://tools.ietf.org/html/draft-ietf-tram-stun-origin-06</nowiki>)
* TURN Bandwidth draft specs (<nowiki>https://tools.ietf.org/html/draft-thomson-tram-turn-bandwidth-01</nowiki>)
* TURN-bis (with dual allocation) draft specs (<nowiki>https://tools.ietf.org/html/draft-ietf-tram-turnbis-04</nowiki>).

;STUN specs
* <nowiki>RFC 3489</nowiki> - "classic" STUN
* <nowiki>RFC 5389</nowiki> - base "new" STUN specs
* <nowiki>RFC 5769</nowiki> - test vectors for STUN protocol testing
* <nowiki>RFC 5780</nowiki> - NAT behavior discovery support
* <nowiki>RFC 7443</nowiki> - ALPN support for STUN & TURN
* <nowiki>RFC 7635</nowiki> - oAuth third-party TURN/STUN authorization

:Supported ICE and related specs
* <nowiki>RFC 5245</nowiki> - ICE
* <nowiki>RFC 5768</nowiki> - ICE-SIP
* <nowiki>RFC 6336</nowiki> - ICE-IANA Registry
* <nowiki>RFC 6544</nowiki> - ICE-TCP
* <nowiki>RFC 5928</nowiki> - TURN Resolution Mechanism

;The implementation fully supports the following client-to-TURN-server protocols
* UDP (per <nowiki>RFC 5766</nowiki>)
* TCP (per <nowiki>RFC 5766</nowiki> and <nowiki>RFC 6062</nowiki>)
* TLS (per <nowiki>RFC 5766</nowiki> and <nowiki>RFC 6062</nowiki>): TLS1.0/TLS1.1/TLS1.2; ECDHE is supported.
* DTLS (<nowiki>https://tools.ietf.org/html/draft-petithuguenin-tram-turn-dtls-00</nowiki>): DTLS versions 1.0 and 1.2.
* SCTP (experimental implementation).

=== Supported relay protocols ===
* UDP (per <nowiki>RFC 5766</nowiki>)
* TCP (per <nowiki>RFC 6062</nowiki>)

=== Supported user databases ===
For user repository, with passwords or keys, if authentication is required
* [[SQLite]]
* [[MySQL]]
* [[PostgreSQL]]
* [[Redis]]
** kann auch für die Speicherung von Status und Statistiken sowie für Benachrichtigungen verwendet werden.
* [[MongoDB]]

Standardmäßig ist ein Prometheus-Export-Endpunkt deaktiviert
* wenn er aktiviert ist, wird er auf Port 9641 unter dem Pfad /metrics überwacht.

=== Unterstützte Algorithmen zur Überprüfung der Nachrichtenintegrität ===
* HMAC-SHA1, mit MD5-gehashten Schlüsseln (wie von STUN- und TURN-Standards gefordert)

=== Unterstützte TURN-Authentifizierungsmechanismen ===
* klassischer Langzeit-Authentifizierungsmechanismus
* TURN REST API
** eine Modifikation des Langzeit-Mechanismus
** für zeitlich begrenzte geheimnisbasierte Authentifizierung für WebRTC-Anwendungen
** https://tools.ietf.org/html/draft-uberti-behave-turn-rest-00
* experimentelle oAuth-basierte Client-Autorisierungsoption eines Drittanbieters

Wenn er als Teil einer ICE-Lösung für VoIP-Konnektivität eingesetzt wird, kann dieser TURN-Server Tausende von gleichzeitigen Anrufen pro CPU (bei Verwendung des TURN-Protokolls) oder Zehntausende von Anrufen, wenn nur das STUN-Protokoll verwendet wird, verarbeiten.
* Für praktisch unbegrenzte Skalierbarkeit kann ein Lastausgleichsschema verwendet werden.

=== Tools zum Lastausgleich ===
Einzeln oder in Kombination
* DNS SRV-basierter Lastausgleich
* eingebauter 300 ALTERNATE-SERVER-Mechanismus
** erfordert die Unterstützung von 300 Antworten durch den TURN-Client
* Netzwerk-Load-Balancer-Server

=== Leistung und Skalierbarkeit ===
; Um eine hohe Leistung und Skalierbarkeit zu erreichen, wird der TURN-Server mit den folgenden Eigenschaften implementiert
* Verwendung der hochleistungsfähigen, industrietauglichen Network IO Engine libevent2
* Konfigurierbares Multi-Threading-Modell zur vollen Nutzung der verfügbaren CPU-Ressourcen (wenn das Betriebssystem Multi-Threading erlaubt)
* Mehrere Abhör- und Relaisadressen können konfiguriert werden Effizientes Speichermodell verwendet
* Der TURN-Projektcode kann in einer benutzerdefinierten, proprietären Netzwerkumgebung verwendet werden.
* Im TURN-Server-Code wird eine abstrakte Netzwerk-API verwendet.
* Nur ein paar Dateien im Projekt müssen neu geschrieben werden, um den TURN-Server in eine proprietäre Umgebung einzubinden.
* Mit diesem Projekt wird nur eine Implementierung für die Standard UNIX Networking/IO API zur Verfügung gestellt, aber der Anwender kann jede andere Umgebung implementieren.
* Der Code des TURN-Servers wurde ursprünglich für eine hochperformante proprietäre Unternehmensumgebung entwickelt und dann für die UNIX Networking API übernommen.
* Der TURN-Server arbeitet als User-Space-Prozess, ohne besondere Anforderungen an das System zu stellen

; Um die TURN Server Software, die Client Messaging Library und die Testprogramme herunterzuladen, klicken Sie auf den Reiter "Downloads".

=== Man-Page ===
=== Info-Pages ===
== Siehe auch ==
# [[TURN-Protokoll]]

== Links ==

=== Projekt ===
# https://github.com/coturn/coturn
# https://groups.google.com/forum/#!forum/turn-server-project-rfc5766-turn-server

=== Weblinks ===
== Weblinks ==
# https://community.hetzner.com/tutorials/install-turn-stun-server-on-debian-ubuntu-with-coturn
# https://community.letsencrypt.org/t/are-pre-hook-and-post-hook-and-etc-letsencrypt-renewal-hooks-scripts-mutually-exclusive/96471
# https://certbot.eff.org/docs/using.html?highlight=hooks#pre-and-post-validation-hooks
# https://github.com/certbot/certbot/issues/5935
# https://serverfault.com/questions/849683/how-to-setup-coturn-with-letsencrypt
# https://github.com/coturn/coturn/issues/268
# https://www.google.com/search?client=firefox-b-d&q=turnserver%3A+0%3A+WARNING%3A+cannot+find+certificate+file
# https://decatec.de/home-server/nextcloud-talk-mit-eigenem-turn-server-coturn/

[[Kategorie:Coturn]]

Apt-Quellen

2026-06-17T08:40:47Z

Dirkwagner: Textersetzung - „ )“ durch „)“

== Apt-Quellen konfigurieren ==
[https://wiki.debian.org/Apt Apt] lädt Pakete von einem oder mehreren [https://wiki.debian.org/DebianRepository Software-Repositories] (Quellen) herunter und installiert sie auf Ihrem Computer.

Ein Repository ist im Allgemeinen ein Netzwerkserver, wie das offizielle [https://wiki.debian.org/DebianStable DebianStable] Repository. Lokale Verzeichnisse oder CD/DVD werden ebenfalls akzeptiert.

Die spezifischen Repositories (Paketquellen), die auf Ihrem Rechner konfiguriert sind, wirken sich aus: * Welche Softwarepakete stehen zum Download zur Verfügung
* Welche Versionen der Pakete sind verfügbar
* Wer paketiert die Software

== Häufig verwendete Paketquellen ==

{| class="wikitable options"
! Repository !! Beschreibung
|-
| [https://wiki.debian.org/DebianStable Stable] || offizielles Debian-Repository für die aktuelle Veröffentlichung
|-
| [https://wiki.debian.org/StableProposedUpdates StableProposedUpdates] || offizielles Debian-Repository für kommende [https://wiki.debian.org/DebianReleases/PointReleases Punktveröffentlichungen] (Sicherheits- und wichtige Fehlerbehebungen alle ~2 Monate)
|-
| [https://wiki.debian.org/StableUpdates StableUpdates] || offizielles Debian-Repository für Änderungen, die nicht bis zur nächsten [https://wiki.debian.org/DebianReleases/PointReleases Punktveröffentlichung] warten können, Pakete werden auch zu [https://wiki.debian.org/StableProposedUpdates StableProposedUpdates] hinzugefügt, um sie in die nächste Punktveröffentlichung aufzunehmen
|-
| [https://wiki.debian.org/DebianSecurity Security] || offizielles Debian-Repository für häufige Sicherheitsaktualisierungen
|-
| [https://wiki.debian.org/DebianBackports Backports] || neuere Versionen einiger Pakete, kompatibel mit [https://wiki.debian.org/DebianStable DebianStable].
|-
| [https://wiki.debian.org/DebianTesting Testing] || aktueller Entwicklungsstand der nächsten stabilen Debian-Distribution
|-
| [https://wiki.debian.org/DebianUnstable Unstable] || rollende Entwicklungsversion mit den neuesten Paketen
|-
| [https://wiki.debian.org/DebianExperimental Experimental] || Entwicklungsversion mit den experimentellen/alpha/beta/untest Paketen
|}

== Bearbeiten von Software-Quellen ==
=== Vorsichtsmaßnahmen ===
Die Möglichkeit, die von Ihrem [https://wiki.debian.org/PackageManagement Paketverwaltungssystem] verwendeten Repositories zu ändern, ist eine mächtige Funktion, aber diese Macht geht mit einer gewissen Verantwortung einher
* Benutzer werden gewarnt, dass es möglich ist, [https://wiki.debian.org/DontBreakDebian das System zu zerstören] (auf eine Art und Weise, die schwierig oder unmöglich zu beheben sein könnte), indem man Repositories von Drittanbietern hinzufügt, oder Repositories für eine Debian-Version, die nicht mit der aktuellen Version übereinstimmt - diese Repositories erzeugen das Risiko von widersprüchlichen Paketversionen, was manchmal als "Franken-Debian"-System bezeichnet wird
* Das ganze Konzept hinter einer stabilen Debian-Veröffentlichung ist, dass die Debian-Entwickler einen Satz von Software und deren Versionen ausgewählt haben, die gut zusammen funktionieren
* Während diese Software gepatcht wird, um Sicherheitsprobleme zu beheben, ist die Software häufig nicht die neueste Version
* Es bedarf einiger Erfahrung, um zu wissen, wie die Repos geändert werden können, ohne das Risiko einzugehen, das System zu zerstören
* Benutzern aller Stufen wird empfohlen, Repos vorsichtig zu ändern

=== Verwendung eines grafischen Programms ===
Einige Programme ermöglichen die Konfiguration von Apt-Quellen über eine grafische Oberfläche.

Zum Beispiel:
* <tt>Anwendungen Menü > Einstellungen > Software und Updates</tt> ([https://packages.debian.org/software-properties-gtk software-properties-gtk] Paket)

=== Verwendung eines Texteditors ===
Die Hauptkonfigurationsdatei der Apt-Quellen befindet sich unter <tt>'''/etc/apt/sources.list'''</tt>. Sie können diese Datei (als [https://wiki.debian.org/root root]) mit Ihrem bevorzugten [https://wiki.debian.org/TextEditor Texteditor] bearbeiten. Siehe die [https://manpages.debian.org/man/sources.list.5 sources.list Handbuchseite] für weitere Informationen.

Um benutzerdefinierte Quellen hinzuzufügen, sollten Sie separate Dateien unter <tt>/etc/apt/sources.list.d/</tt> im DEB822-Quellformat erstellen. Siehe die [https://manpages.debian.org/man/deb822.5 deb822 Handbuchseite] für weitere Informationen.

=== quellen.liste format ===
[https://www.debian.org/doc/manuals/debian-reference/ch02#_debian_archive_basics Debian Referenzhandbuch - 2.1.4. Grundlagen der Debian-Archive]

Die Einträge in dieser Datei haben normalerweise folgendes Format:

deb https://site.example.com/debian distribution komponente1 komponente2 komponente3 deb-src https://site.example.com/debian distribution komponente1 komponente2 komponente3

==== Archiv-Typ ====
Das erste Wort in jeder Zeile, '''deb''' oder '''deb-src''', gibt den Typ des Archivs an. '''Deb''' zeigt an, dass das Archiv Binärpakete ([https://wiki.debian.org/deb deb]) enthält, also die vorkompilierten Pakete, die wir normalerweise verwenden. '''Deb-src''' weist auf [https://wiki.debian.org/SourcePackage Quellpakete] hin, die das Originalprogramm [https://wiki.debian.org/source Quellen] plus die Debian-Steuerdatei (.[https://wiki.debian.org/dsc dsc]) und die diff.gz mit den für die Paketierung des Programms notwendigen Änderungen enthalten.

==== Repository-URL ====
Der nächste Eintrag in der Zeile ist eine URL zu dem [https://wiki.debian.org/DebianRepository Repository], von dem Sie die Pakete herunterladen möchten. Die Hauptliste der Debian-Repository-Spiegel befindet sich [https://www.debian.org/mirror/list hier].

==== Vertrieb ====
Die "Verteilung" kann entweder der Name des Veröffentlichungscodes / Alias ([https://wiki.debian.org/DebianStretch stretch], [https://wiki.debian.org/DebianBuster buster], [https://wiki.debian.org/DebianBullseye bullseye], [https://wiki.debian.org/DebianBookworm bookworm], [https://wiki.debian.org/DebianSid sid]) bzw. die Release-Klasse ([https://wiki.debian.org/DebianOldOldStable oldoldstable], [https://wiki.debian.org/DebianOldStable oldstable], [https://wiki.debian.org/DebianStable stable], [https://wiki.debian.org/DebianTesting testing], [https://wiki.debian.org/DebianUnstable unstable]). Wenn Sie eine Veröffentlichungsklasse verfolgen wollen, verwenden Sie den Klassennamen, wenn Sie eine Debian-Punktveröffentlichung verfolgen wollen, verwenden Sie den Codenamen. Vermeiden Sie es, [https://wiki.debian.org/DebianStable stable] in Ihrer sources.list zu verwenden, da dies zu bösen Überraschungen und kaputten Systemen führt, wenn die nächste Veröffentlichung gemacht wird; ein Upgrade auf eine neue Veröffentlichung sollte eine bewusste, vorsichtige Aktion sein und das Bearbeiten einer Datei einmal alle zwei Jahre ist keine Belastung.

Wenn Sie zum Beispiel immer beim Testen der Testversion helfen wollen, verwenden Sie "testing". Wenn Sie trixie verfolgen und von der Testphase bis zum Ende der Lebensdauer dabei bleiben wollen, verwenden Sie 'trixie'.

==== Komponente ====
[https://www.debian.org/doc/debian-policy/ch-archive#s-main main] besteht aus [https://www.debian.org/social_contract#guidelines DFSG]-konformen Paketen, die nicht auf Software außerhalb dieses Bereichs angewiesen sind, um zu funktionieren. Dies sind die einzigen Pakete, die als Teil der Debian-Distribution angesehen werden.

[https://www.debian.org/doc/debian-policy/ch-archive#s-contrib contrib] Pakete enthalten DFSG-konforme Software, haben aber Abhängigkeiten, die nicht in main sind (möglicherweise für Debian in non-free gepackt).

[https://www.debian.org/doc/debian-policy/ch-archive#s-non-free non-free] enthält Software, die nicht mit der DFSG übereinstimmt.

[https://www.debian.org/doc/debian-policy/ch-archive#the-non-free-firmware-archive-area Non-Free-Firmware] stellt Firmware bereit, die für bestimmte Hardware benötigt wird, aber nicht den DFSG entspricht.

Das Debian-Projekt hat [https://lists.debian.org/debian-devel-announce/2022/10/msg00001.html im Jahr 2022-10 die Entscheidung] getroffen, eine neue Repository-Komponente <tt>non-free-firmware</tt> zu erstellen und deren Inhalt auf den Installationsmedien für den Debian-''Buchwurm'' einzubinden, um die Dinge für unsere Benutzer einfacher zu machen. Und wenn Sie mehr Informationen haben möchten, können Sie gerne dem [https://lists.debian.org/debian-devel/2022/10/msg00020.html Firmware GR Ergebnis folgen - was passiert als nächstes?]. Das Debian-Wiki hat eine Seite über [https://wiki.debian.org/Firmware Firmware] für ältere Veröffentlichungen, Bookworm und später.

== Beispiel sources.list ==
Unten ist ein Beispiel einer <tt>sources.list</tt> für Debian 12/Bookworm (stable), veröffentlicht am 10. Juni 2023.

deb https://deb.debian.org/debian bookworm main non-free-firmware deb-src https://deb.debian.org/debian bookworm main non-free-firmware
deb https://security.debian.org/debian-security bookworm-security main non-free-firmware
deb-src https://security.debian.org/debian-security bookworm-security main non-free-firmware
deb https://deb.debian.org/debian bookworm-updates main non-free-firmware
deb-src https://deb.debian.org/debian bookworm-updates main non-free-firmware

Der entsprechende Eintrag im deb822-Stil unter <tt>/etc/apt/sources.list.d/debian.sources</tt> sieht wie folgt aus:
Typen: deb deb-src URIs: https://deb.debian.org/debian Suites: bookworm bookworm-updates Komponenten: main Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg
Typen: deb deb-src URIs: https://security.debian.org/debian-security Suites: bookworm-security Komponenten: main Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg

Wenn Sie die Komponenten contrib, non-free und non-free-firmware benötigen, fügen Sie <tt>contrib non-free non-free-firmware</tt> nach <tt>main</tt> ein.

Zum Beispiel für Debian 12/Bookworm:
deb https://deb.debian.org/debian bookworm main contrib non-free non-free-firmware
deb-src https://deb.debian.org/debian bookworm main contrib non-free non-free-firmware
deb https://security.debian.org/debian-security bookworm-security main contrib non-free non-free-firmware
deb-src https://security.debian.org/debian-security bookworm-security main contrib non-free non-free-firmware
deb https://deb.debian.org/debian bookworm-updates main contrib non-free non-free-firmware
deb-src https://deb.debian.org/debian bookworm-updates main contrib non-free non-free-firmware

Der entsprechende Eintrag im deb822-Stil enthält die <tt>non-free</tt> und <tt>non-free-firmware</tt> Komponenten:
; Typen
deb deb-src URIs: https://deb.debian.org/debian
; Suites
bookworm bookworm-updates Komponenten: main contrib non-free non-free-firmware Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg Typen: deb deb-src URIs: https://security.debian.org/debian-security Suites: bookworm-security Komponenten: main contrib non-free non-free-firmware Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg

Wenn Sie die [https://wiki.debian.org/Backports Backports], contrib und non-free Komponenten benötigen, fügen Sie '''bookworm-backports''' Zeilen hinzu. Zum Beispiel, für Debian 12/Bookworm:

deb https://deb.debian.org/debian bookworm-backports main contrib non-free non-free-firmware
deb-src https://deb.debian.org/debian bookworm-backports main contrib non-free non-free-firmware

Der entsprechende Eintrag im Stil von deb822 enthält die <tt>non-free non-free-firmware</tt> und <tt>bookworm-backports</tt> Komponente:

Typen: deb deb-src URIs: https://deb.debian.org/debian Suites: bookworm bookworm-updates bookworm-backports Komponenten: main contrib non-free non-free-firmware Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg Types: deb deb-src URIs: https://security.debian.org/debian-security Suites: bookworm-security Komponenten: main contrib non-free non-free-firmware Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg

Unten ist ein Beispiel für eine <tt>sources.list</tt> für Debian 11/Bullseye (oldstable).

deb https://deb.debian.org/debian bullseye main deb-src https://deb.debian.org/debian bullseye main
deb https://deb.debian.org/debian-security/ bullseye-security main
deb-src https://deb.debian.org/debian-security/ bullseye-security main
deb https://deb.debian.org/debian bullseye-updates main
deb-src https://deb.debian.org/debian bullseye-updates main

Wenn Sie die contrib und non-free Komponenten benötigen, fügen Sie '''contrib non-free''' nach '''main''' ein. Zum Beispiel für Debian 11/Bullseye:
deb https://deb.debian.org/debian bullseye main contrib non-free
deb-src https://deb.debian.org/debian bullseye main contrib non-free
deb https://deb.debian.org/debian-security/ bullseye-security main contrib non-free
deb-src https://deb.debian.org/debian-security/ bullseye-security main contrib non-free
deb https://deb.debian.org/debian bullseye-updates main contrib non-free
deb-src https://deb.debian.org/debian bullseye-updates main contrib non-free

Wenn Sie die [https://wiki.debian.org/Backports Backports], contrib und non-free Komponenten benötigen, fügen Sie '''bullseye-backports''' Zeilen hinzu. Zum Beispiel, für Debian 11/Bullseye:
deb https://deb.debian.org/debian bullseye-backports main contrib non-free
deb-src https://deb.debian.org/debian bullseye-backports main contrib non-free

[https://wiki.debian.org/DebianReleases Fragen zum Förderzyklus?]

Wenn Sie die [https://wiki.debian.org/DebianUnstable Debian Unstable] benötigen, dann ändern Sie die Distribution auf '''unstable'''.
* Beachten Sie, dass Updates und Sicherheit nicht verwendet werden, da Unstable eine rollierende Entwicklungsversion ist, die aus den neuesten Paketen besteht. Das heißt, '''unstable main''' wird der einzige Eintrag in <tt>sources.list</tt> sein.
deb https://deb.debian.org/debian/ unstable main
deb-src https://deb.debian.org/debian/ unstable main

Sie können stattdessen <tt>https://...</tt> in allen obigen Zeilen verwenden, um die Repositories über verschlüsselte HTTPS-Verbindungen zu nutzen, wenn der entsprechende Spiegel HTTPS unterstützt. (Benutzer von Debian 9/Stretch oder älteren Versionen müssen zuerst das [https://packages.debian.org/apt-transport-https apt-transport-https] Paket installieren).

Sie können ein [https://packages.debian.org/software-properties-gtk GNOME-Werkzeug] verwenden, um Ihre <tt>sources.list</tt>-Datei zu bearbeiten. Sie erreichen sie über Menü → System → Verwaltung → Softwarequellen.

== Tor mit Apt benutzen ==
Apt kann Updates über [https://en.wikipedia.org/wiki/Tor_(anonymity_network) Tor] abrufen und herunterladen. Damit dies funktioniert, müssen Sie die Pakete [https://packages.debian.org/tor tor] und [https://packages.debian.org/apt-transport-tor apt-transport-tor] installieren. Sie können dann die offiziellen [https://onion.debian.org/ onion services] verwenden, die von Debian bereitgestellt werden.

Hier ist ein Beispiel für <tt>sources.list</tt> unter Verwendung der Zwiebel-Dienste für Debian 11/Bullseye: .

deb tor+https://2s4yqjx5ul6okpp3f2gaunr2syex5jgbfpfvhxxbbjwnrsvbk5v3qbid.onion/debian bullseye main deb-src tor+https://2s4yqjx5ul6okpp3f2gaunr2syex5jgbfpfvhxxbbjwnrsvbk5v3qbid.onion/debian bullseye main deb tor+https://5ajw6aqf3ep7sijnscdzw77t7xq4xjpsy335yb2wiwgouo7yfxtjlmid.onion/ debian-security bullseye-security main deb-src tor+https://5ajw6aqf3ep7sijnscdzw77t7xq4xjpsy335yb2wiwgouo7yfxtjlmid.onion/ debian-security bullseye-security main deb tor+https://2s4yqjx5ul6okpp3f2gaunr2syex5jgbfpfvhxxbbjwnrsvbk5v3qbid.onion/debian bullseye-updates main deb-src tor+https://2s4yqjx5ul6okpp3f2gaunr2syex5jgbfpfvhxxbbjwnrsvbk5v3qbid.onion/debian bullseye-updates main

== CD-ROM ==
Wenn Sie lieber Ihre CD-ROM für die Installation von Paketen oder die automatische Aktualisierung Ihres Systems mit APT verwenden möchten, können Sie sie in Ihre <tt>/etc/apt/sources.list</tt> aufnehmen. Dazu können Sie das Programm [https://manpages.debian.org/man/8/apt-cdrom apt-cdrom] wie folgt verwenden:

# apt-cdrom add

mit der Debian-CD-ROM im Laufwerk.

Sie können -d für das Verzeichnis des CD-ROM-Einhängepunkts verwenden oder einen Nicht-CD-Einhängepunkt (z. B. ein USB-Stick) hinzufügen.

== Namensauflösung ==
Gelegentlich kann die Namensauflösung scheitern.

# apt update 0% [Working]Nicht unterstützter Socketcall: 20 Unterstützter Socketaufruf: 20 Unterstützter Socketaufruf: 20 Unterstützter Socketaufruf: 20 Unterstützter Socketaufruf: 20 Unterstützter Socketaufruf: 20 Unterstützter Socketaufruf: 20 Unterstützter Socketaufruf: 20 Err:1 https://deb.debian.org/debian testing InRelease Vorübergehender Fehler bei der Auflösung von 'deb.debian.org' Lesen von Paketlisten... Done W: Failed to fetch https://deb.debian.org/debian/dists/testing/InRelease Vorübergehender Fehler beim Auflösen von 'deb.debian.org' W: Einige Index-Dateien konnten nicht heruntergeladen werden. Sie wurden ignoriert oder stattdessen alte Dateien verwendet.

Sie können dieses Problem vorübergehend umgehen, indem Sie die IP-Adresse von einem anderen Rechner abrufen und dann die IP-Adresse anstelle des URI verwenden:

echo "deb https://128.30.2.26/debian testing main" > /etc/apt/sources.list apt update Get:1 https://128.30.2.26/debian testing InRelease [232 kB] Get:2 https://128.30.2.26/debian testing/main s390x Pakete [7583 kB] Get:3 https://128.30.2.26/debian testing/main Translation-de [5134 kB] Holen von 13.0 MB in 32s (403 kB/s) Lesen von Paketlisten... Erledigt

== Debugsymbol-Pakete ==
Um einen Absturz zu beheben, benötigen Sie oft die zugehörigen Debugsymbol-Dateien. Für die meisten Debian-Pakete befinden sich diese in [https://wiki.debian.org/AutomaticDebugPackages dbgsym-Paketen]. Diese sind in einem separaten Archiv verfügbar.

Hier ist ein Beispieleintrag für Ihre <tt>sources.list</tt> für Debian 12/Bookworm dbgsym Pakete:
deb https://deb.debian.org/debian-debug/ bookworm-debug main

Und ein Beispiel für Debian 11/Bullseye:
deb https://deb.debian.org/debian-debug/ bullseye-debug main

Dasselbe, wenn Sie Tests durchführen:
deb https://deb.debian.org/debian-debug/ testing-debug main

Und noch ein Beispiel, wenn Sie die instabile Verteilung verwenden:
deb https://deb.debian.org/debian-debug/ unstable-debug main

== Weitere Informationen ==
* Eine Liste von [https://wiki.debian.org/UnofficialRepositories UnofficialRepositories], um zusätzliche Software zu erhalten (Skype, Opera, Google)
* [https://deb.debian.org/ Über deb.debian.org, ein Dienst, der das Problem der Auswahl eines Debian-Spiegels lösen soll.]
* [https://www.debianadmin.com/adding-source-lists-using-apt-setup.html Hinzufügen von Quelllisten, einschließlich CDs, mit apt-setup]
* [https://wiki.debian.org/DebianPackageManagement APT HOWTO]
* [https://wiki.debian.org/AptCLI AptCLI]
* [https://wiki.debian.org/AptPreferences AptPreferences]
* [https://wiki.debian.org/Backports Backports]
* [https://www.debian.org/CD/ Debian auf CDs]
* [https://wiki.debian.org/DebianRepository/UseThirdParty DebianRepository/UseThirdParty] - Anweisungen zur Verwendung eines Drittanbieter-Repository
* [https://manpages.debian.org/man/5/sources.list sources.list(5)] Handbuchseite

[https://wiki.debian.org/CategoryPackageManagement KategoriePaketManagement]

[[Kategorie:APT]]

SASL

2026-06-17T08:40:47Z

Dirkwagner: Textersetzung - „ )“ durch „)“

'''topic''' - Kurzbeschreibung

== Beschreibung ==
Die SMTP-Protokollspezifikationen enthalten eine Möglichkeit zur Benutzerauthentifizierung, geben jedoch nicht die genauen Details des Protokollnachrichtenaustauschs an und greifen stattdessen auf den SASL-Standard (Simple Authentication and Security Layer) zurück (siehe <nowiki>RFC 4954</nowiki> und <nowiki>RFC 4422</nowiki>).
* SASL ist ein generisches Authentifizierungs-Framework für Authentifizierungsmechanismen, von denen es viele gibt, und jeder von ihnen hat sein eigenes spezielles Verfahren, das die notwendigen kryptografischen Schritte vorschreibt, die mit den Authentifizierungsdaten und Nachrichten zum Austausch über die Verbindung durchzuführen sind.
* Daher authentifiziert Postfix selbst SMTP-Benutzer nicht mit Benutzernamen und Passwörtern oder auf andere Weise, um keine künstlichen Grenzen für die damit verwendbaren Authentifizierungsmechanismen aufzuerlegen.
* Es verlagert diese Aufgabe auf eine SASL-Implementierung, die separat installiert werden muss.
* Der SASL-Authentifizierungs-Daemon ist sowohl für die Richtlinie (dh wo gültige Benutzernamen und Geheimnisse wie Passwörter aufbewahrt werden) als auch für den Mechanismus (wie genau Clients Anmeldeinformationen bereitstellen) verantwortlich.
* Dies steht im Gegensatz zu zB OpenSMTPD , das nur PLAIN- und LOGIN-SASL-Mechanismen unterstützt, aber nicht auf externe Bibliotheken oder Dämonen angewiesen ist.

== Einführung ==
Sobald Postfix eingerichtet ist und ausgeführt wird, können Sie die SASL-Authentifizierung hinzufügen, um eine Weiterleitung zu vermeiden.
* Um zu verhindern, dass anonyme Benutzer spammen, können nur authentifizierte und vertrauenswürdige Benutzer E-Mails senden.

Da Postfix -Paket in [extra] bereits mit SASL-Unterstützung kompiliert ist, haben Sie zwei Möglichkeiten, um die SASL-Authentifizierung zu aktivieren:
* Verwenden Sie das cyrus-sasl- Paket.
* Oder aktivieren Sie Ihr bereits konfiguriertes Dovecot , um die Postfix-Authentifizierung (sowie seine eigene) zu handhaben.

; Von der Postfix-Website
* Leute, die sich die Mühe machen, Postfix zu installieren, haben vielleicht die Erwartung, dass Postfix sicherer ist als einige andere Mailer.
* Die Cyrus SASL-Bibliothek enthält viel Code.
** Damit wird Postfix so sicher wie andere Mailsysteme, die die Cyrus SASL-Bibliothek verwenden.
** Dovecot bietet eine Alternative, die eine Überlegung wert sein könnte.

== Installation ==
== Aufruf ==
=== Optionen ===
=== Argumente ===
=== Umgebung ===
=== Rückgabewert ===

== Konfiguration ==
=== Dateien ===

== Anwendung ==
== Konfiguration mit dem Paket cyrus-sasl ==
Installieren Sie das cyrus-sasl- Paket.

Um SASL für das Akzeptieren von E-Mails von anderen Benutzern zu aktivieren, öffnen Sie den "Nachrichtenübermittlung" (TCP 587) in <code>/etc/postfix/master.cf</code>, indem Sie diese Zeilen auskommentieren (die standardmäßig vorhanden sind, nur kommentiert):
Übermittlung inet n - n - - smtpd
-o syslog_name=postfix/submission
-o smtpd_tls_security_level=verschlüsseln
-o smtpd_sasl_auth_enable=ja
-o smtpd_reject_unlisted_recipient=nein
# -o smtpd_client_restrictions=$mua_client_restrictions
# -o smtpd_helo_restrictions=$mua_helo_restrictions
# -o smtpd_sender_restrictions=$mua_sender_restrictions
-o smtpd_recipient_restrictions=permit_sasl_authenticated,ablehnen
-o milter_macro_daemon_name=URSPRUNG
Beachten Sie, dass dies auch SSL aktiviert.
* Wenn Sie also kein SSL-Zertifikat haben, lassen Sie die Option "smtpd_tls_security_level" auskommentiert.

Die drei Restriktionsoptionen (client, helo, sender) können auch auskommentiert bleiben, da smtpd_recipient_restrictions bereits SASL-Benutzer behandelt.

SASL kann verschiedene Authentifizierungsmethoden verwenden. Der Standardwert ist PAM (wie konfiguriert in <code>/etc/conf.d/saslauthd</code>), aber um es richtig einzurichten, müssen Sie es erstellen <code>/etc/sasl2/smtpd.conf</code>:
pwcheck_method: saslauthd
mech_list: EINFACHES LOGIN
log_level: 7

Da pambase 20190105.1-1 und neuer einen restriktiven Fallback für "andere" PAM-Dienste verwendet, ist jetzt eine pam-Konfigurationsdatei erforderlich. [1] [2]

Schaffen <code>/etc/pam.d/smtp</code>.
#%PAM-1.0
Authentifizierung erforderlich pam_unix.so
Konto erforderlich pam_unix.so

Bei Verwendung von PAM in Verbindung mit openldap zur Authentifizierung ist eine '''alternative''' pam-Konfigurationsdatei (<code>/etc/pam.d/smtp</code>) könnte ähnlich aufgebaut sein wie: LDAP-Authentifizierung#PAM-Konfiguration
#%PAM-1.0
auth ausreichend pam_ldap.so try_first_pass minimum_uid=2000
Authentifizierung erforderlich pam_unix.so

Konto ausreichend pam_ldap.so minimum_uid=2000
Konto erforderlich pam_unix.so
Starten/aktivieren Sie die <code>saslauthd.service</code>.

Starten Sie die <code>postfix.service</code>.

Wenn Sie den SASL-PAM-Authentifizierungsprozess validieren möchten, kann der folgende Befehl ausgeführt werden, um festzustellen, ob SASL über PAM authentifizieren kann:
# testsaslauthd -u <Benutzername> -p <Passwort> -s smtp

Hoffentlich sollten Sie mit Telnet auf Ihren Postfix-Server zugreifen können:

<code>telnet localhost 587</code>

Sie sollten dann Folgendes eingeben:

<code>EHLO example.com</code>

Dies ist ungefähr das, was Sie sehen sollten:
Versuche es mit 127.0.0.1...

Verbunden mit localhost.localdomain
Escape-Zeichen ist '^]'

220 Justin ESMTP-Postfix
EHLO-Beispiel.com
250-justin
250-PIPELINING
250-GRÖSSE 10240000
250-VRFY
250-ETRN
250-AUTH PLAIN OTP DIGEST-MD5 CRAM-MD5
250 8BITMIME

== Konfiguration mit Dovecot ==
Wenn Sie Dovecot als IMAP- oder POP-Mailserver verwenden und sich Ihre Benutzer bereits authentifizieren (möglicherweise mit PAM), müssen Sie kein weiteres Paket konfigurieren.

Einfach bearbeiten <code>/etc/postfix/master.cf</code>und fügen Sie die folgenden Zeilen unter der hinzu <code>submission</code>oder <code>smtp</code>Abschnitt (je nachdem, was Sie verwenden):
# SASL-Authentifizierung mit dovecot
-o smtpd_tls_security_level=verschlüsseln
-o smtpd_sasl_auth_enable=ja
-o smtpd_sasl_type=Taubenschlag
-o smtpd_sasl_path=privat/auth
-o smtpd_sasl_security_options=noanonymous
-o smtpd_sasl_local_domain=$meinHostname
-o smtpd_client_restrictions=permit_sasl_authenticated,ablehnen
-o smtpd_recipient_restrictions=reject_non_fqdn_recipient,reject_unknown_recipient_domain,permit_sasl_authenticated,reject
Die Verwendung dieser Konfiguration impliziert, dass nur authentifizierte Benutzer E-Mails senden können. Sie können dies von sehen <code>smtpd_client_restrictions</code>Möglichkeit.

Fügen Sie nun Folgendes zur Dovecot-Konfigurationsdatei hinzu <code>/etc/dovecot/conf.d/10-master.conf</code>:
Service-Authentifizierung {
unix_listener /var/spool/postfix/private/auth {
Gruppe = Postfix
Modus = 0660
Benutzer = postfix
}
Benutzer = root
}

Wie Sie sehen, wird ein Unix-Socket erstellt <code>/var/spool/postfix/private/auth</code>, das gleiche angegeben in <code>smtpd_sasl_path</code>Option von <code>master.cf</code>

abschließend Postfix- als auch den Dovecot-Dienst neu.
== Sicherheit ==
== Dokumentation ==
=== RFC ===
=== Man-Page ===
=== Info-Pages ===
=== Siehe auch ===
# Postfix SASL Readme in der offiziellen Postfix-Dokumentation.
# SASL-Authentifizierung mit Dovecot in der offiziellen Dovecot-Dokumentation.
# Centos Howto Postfix SASL

== Links ==
=== Projekt-Homepage ===
=== Weblinks ===

[[Kategorie:Postfix/Sicherheit]]

Gawk/Operatoren

2026-06-17T08:40:46Z

Dirkwagner: Textersetzung - „ )“ durch „)“

{{DISPLAYTITLE:gawk/Operatoren}}

Awk kennt nahezu das komplette Repertoire an Operatoren, die die Programmiersprachen zur Manipulation von Ausdrücken zur Verfügung stellen.

== Arithmetische Operatoren ==
{|class="wikitable"
|-
| | '''+'''
| | Addition
|-
| | '''-'''
| | Subtraktion
|-
| | '''*'''
| | Multiplikation
|-
| | '''/'''
| | Division
|-
| | '''%'''
| | Modulo
|-
| | '''^'''
| | Potenzieren (Posix)
|-
| | '''**'''
| | Potenzieren (gawk u.a.)
|-
|}

* Da letzterer Potenzoperator (**) nicht im POSIX-Standard enthalten ist, muss eine konkrete Awk-Implementierung diesen nicht zwangläufig verstehen.
* Verwenden Sie daher stets ''^'', um Ihre Awk-Skripte portabel zu halten.

Im Falle der Division sollten Sie prüfen, dass der Divisor nicht 0 wird, da Awk sonst mit einem Ausnahmefehler das Programm abbricht:
$ '''awk 'BEGIN { x=5; y; print x/y; }''''
awk: Kommandozeile:1: Fatal: Division durch Null wurde versucht

Für arithmetische Operationen gelten die üblichen Vorrangregeln.
$ '''awk 'BEGIN { print 5*4+20, 5*(4+20); }''''
40 120

== Zuweisungsoperatoren ==
* Das Gleichheitszeichen zur Zuweisung eines Wertes an eine Variable sollte hinreichend bekannt sein; dem C erfahrenen Programmierer sollten auch die folgenden Operatoren vertraut erscheinen:
{|class="wikitable"
|-
| | '''Operator '''
| | '''Kurzschreibweise für'''
|-
| | '''x++''' bzw. '''++x'''
| | x = x + 1
|-
| | '''x-- '''bzw. ''' --x'''
| | x = x - 1
|-
| | '''X += y'''
| | x = x + y
|-
| | '''X -=y '''
| | x = x - y
|-
| | '''X *= y'''
| | x = x * x
|-
| | '''X /= y'''
| | x = x / y
|-
| | '''X %= y'''
| | x = x % y
|-
| | '''X ^= y'''
| | x = x ^ y
|-
| | '''X **= y'''
| | x = x ** y
|-
|}
* Mit Ausnahme von Inkrement- und Dekrement-Operatoren bleibt es Ihnen überlassen, ob Sie die Kurzform der ausführlichen Schreibweise vorziehen.
* Für Inkrement bzw. 
* Dekrement entsprechen genau genommen nur ++x und --x (Prefix-Operatoren) der Semantik der langen Darstellung, denn nur hier werden die Zuweisungen zuerst ausgeführt und erst anschließend der Wert von x evaluiert.
* Als Postfix-Operatoren (x++, x--) verwendet, geht der alte Wert der Variable x in einem Ausdruck ein und erst nach Auswertung erfolgt die Zuweisung des neuen Wertes an x.
; Beispiele

$ '''awk 'BEGIN { x=5; print x = x + 1, x; }''''
6 6
$ '''awk 'BEGIN { x=5; print x++, x; }''''
5 6
$ '''awk 'BEGIN { x=5; print ++x, x; }''''
6 6
Das folgende Beispiel demonstriert, dass tatsächlich in scheinbar gleichwertigen Ausdrücken abweichende Resultate erzielt werden:
$ '''awk 'BEGIN { while (++x < 5) print x }''''
1
2
3
4

$ '''awk 'BEGIN { while (x++ < 5) print x }''''
1
2
3
4
5

Das nächste Beispiel zählt die Dateien im aktuellen Verzeichnis und berechnet ihren Speicherbedarf:
$ '''ls -l | awk '{ ++files; sum+=$5 } END { print sum, "Bytes in", files, "Dateien"; }''''

== Vergleichsoperatoren ==
{|class="wikitable"
|-
| | '''<'''
| | Kleiner als
|-
| | '''>'''
| | Größer als
|-
| | '''<='''
| | Kleiner als oder gleich
|-
| | '''>='''
| | Größer als oder gleich
|-
| | '''='''
| | Gleich
|-
| | '''!='''
| | Ungleich
|-
| | '''~'''
| | Übereinstimmung
|-
| | '''!~'''
| | Keine Übereinstimmung
|-
|}
* Der Zweck der ersten 6 Operatoren sollte leicht erkenntlich sein.
* Beachten Sie, dass der Test auf Gleichheit ''='' anstatt ''='' verwendet.
* Eine Verwechslung wäre kein Syntaxfehler (und ist daher als Fehler schwer zu erkennen), führt aber zu abweichenden Ergebnissen!
* Bei den Operatoren ~ und !~ dürfen als rechtsseitige Operanden auch reguläre Ausdrücke stehen, während bei allen anderen Operatoren einzig Variablen und Konstanten zulässig sind.
'''Beispiel'''

Finde alle Benutzer, deren Heimatverzeichnis unter /home liegt:
$ '''awk '$6 ~ /^\/home.*/ { print $1; }' /etc/passwd'''
user
tux

== Logische Operatoren ==
{|class="wikitable"
|-
| | '''&&'''
| | Logisches UND
|-
| | '''||'''
| | Logisches ODER
|-
| | '''!'''
| | Negation
|-
|}

* Logische oder boolesche Operatoren dienen maßgeblich zur Verknüpfung mehrerer Vergleichsoperatoren oder mehrerer regulärer Ausdrücke.

Das Beispiel listet alle Dateien des aktuellen Verzeichnisses auf, die zwischen 4097 und 8192 Bytes groß sind:
$ '''ls -l /etc/ | awk '$5 >= 4097 && $5 <= 8192 {print $NF; }''''
bogofilter.cf
csh.cshrc
csh.login
dhcpd.conf
enscript.cfg
freshclam.conf
my.cnf
...

Ein weiteres Beispiel veranschaulicht die Verwendung der Negation, indem im aktuellen Verzeichnis alle Dateien gesucht werden, die ''nicht'' dem aktuell angemeldeten Benutzer gehören:
$ '''ls -l | awk 'FNR > 1 && !($3 = ENVIRON["USER"]) {print $NF; }''''
* Der Vergleich ist auch mit ''!='' möglich.

== Priorität der Auswertung ==
* Verknüpfen Sie mehrere Ausdrücke per logischer Operatoren, so kann die Priorität der Auswertung eine Rolle spielen:* Eine Negation wird vor dem logischen UND und dieses vor dem logischen ODER betrachtet.
* Nutzen Sie die Klammerung, um ggf. eine andere Bearbeitungsreihenfolge zu erzwingen.
{{DEFAULTSORT:gawk:Operatoren}}

[[Kategorie:Gawk]]

Multiplexverfahren

2026-06-17T08:40:46Z

Dirkwagner: Textersetzung - „ )“ durch „)“

'''topic''' - Kurzbeschreibung
== Beschreibung ==
'''Multiplexverfahren''' (lat. ''multiplex'' "vielfach, vielfältig") sind Methoden zur Signal- und Nachrichtenübertragung, bei denen mehrere [[Elektrisches Signal|Signale]] zusammengefasst ''(gebündelt)'' und simultan über ein Medium ([[Elektrische Leitung|Leitung]], [[Kabel]] oder [[Funktechnik|Funkstrecke]]) übertragen werden.
* Oftmals werden Multiplexverfahren auch kombiniert, um eine noch höhere Nutzung zu erreichen.
* Die Bündelung erfolgt, nachdem die Nutzdaten auf ein Trägersignal [[Modulation (Technik)|moduliert]] wurden.
* Entsprechend werden sie beim Empfänger ''nach'' der Entbündelung (dem ''Demultiplexen'') demoduliert.

[[Datei:Dot matrix.gif|mini|130px|Veranschaulichung einer LED-[[Matrixanzeige|Matrix]]-Ansteuerung mit synchronem Zeilen-Multiplexing]]
[[Datei:7segment multiplexing.gif|mini|Veranschaulichung einer [[7-Segment-Anzeige]] mit synchronem Segment-Multiplexing]]
Speziell das synchrone ''Zeitmultiplexverfahren'' (siehe unten) kommt auch bei der [[Serielle Schnittstelle|seriellen digitalen Datenübertragung]], der simultanen Datenerfassung mehrerer analoger Kanäle und bei der Ansteuerung von Anzeigen (LED- und [[Fluoreszenzanzeige]]n, [[Flüssigkristallanzeige|LCD]]-, [[Plasmabildschirm|Plasma]]- und [[Bildröhre|CRT-Bildschirme]] sowie -displays) zum Einsatz.

Die Intentionen für die Anwendung von Multiplexing sind bei leitungsgebundener und bei Funkübertragung teilweise unterschiedlich.
* Bei leitungsgebundener Übertragung werden die Signale aus mehreren Quellen durch einen so genannten [[Multiplexer]] gebündelt und gemeinsam über einen statt über mehrere parallele Wege übertragen.
* Der [[Demultiplexer]] entbündelt die Signale dann wieder.
* Ziel hierbei ist es, die Kosten für die Übertragungsstrecke möglichst niedrig zu halten.
Die Funktechnik eignet sich besonders, um mehrere Teilnehmer, die meist auch räumlich verteilt sind, gleichzeitig mit einer zentralen Funkstation verbinden zu können.
Beim [[Richtfunk]] als Punkt-zu-Punkt-Verbindung gibt es ebenfalls Multiplextechniken.
* Hier wird der Hochfrequenzübertragungskanal gemeinsam für eine Vielzahl von Datenströmen benutzt.

=== Allgemeines ===
Multiplexverfahren wurden entwickelt, um eine optimale Ausnutzung der Leitungen und Frequenzen zu erreichen, die in der Elektronik und [[Kommunikationstechnik]] als Übertragungswege zur Verfügung stehen.<br />
Hierdurch werden die Kosten verringert und die Zuverlässigkeit erhöht, da zum Beispiel weniger Anschluss- und Verbindungsleitungen erforderlich sind.
* Manche technische Lösungen sind überhaupt nur mit multiplexer Signalübertragung realisierbar (beispielsweise s Auslesen und das Beschreiben einzelner Pixel [[Digitalkamera|digitaler Kameras]] oder [[Flachbildschirm]]e).

Beim Multiplexverfahren werden mehrere verschiedene Signale gebündelt oder zeitlich ineinander verschachtelt, um sie ohne gegenseitige Beeinflussung simultan und gemeinsam übertragen zu können.

In der [[Kommunikationstechnik]] und Signalübertragung unterscheidet man die folgenden Multiplexverfahren:
; Raummultiplexverfahren: Übertragungskanäle (Leitungen, Richtfunkstrecken) werden zur parallelen, aber exklusiven Nutzung durch mehrere Sender und Empfänger gebündelt.
; Frequenz- bzw. 
* Wellenlängenmultiplexverfahren: Bei Leitungsübertragung werden mehrere Signale in unterschiedlichen Frequenzbereichen getrennt übertragen; bei [[Funktechnik|Funk]]- und [[Lichtwellenleiter]]übertragung werden unterschiedlichen Signalen unterschiedliche Wellenlängen zugewiesen.
* Da Frequenz und Wellenlänge fest über die [[Phasengeschwindigkeit|Ausbreitungsgeschwindigkeit]] miteinander verkoppelt sind, sind ''Frequenz-'' und Wellenlängenmultiplex synonyme Verfahren.
; Zeitmultiplexverfahren: Mehrere Signale werden zeitversetzt übertragen.
* Sie sind zeitlich ineinander verschachtelt.
* Die Zeitfenster können synchronisiert und gleich lang oder asynchron und bedarfsabhängig sein.
; Codemultiplexverfahren: Dieses Verfahren wird in der Funktechnik und in [[Datenbus]]sen eingesetzt.
* Verschiedene Signalfolgen werden über eine Leitung oder eine Funkfrequenz übertragen und können anhand ihrer unterschiedlichen [[Codierung]] zugeordnet werden; im Empfänger wird nur das passend kodierte Signal erkannt und ausgewertet.


== Analogien zur Veranschaulichung ==
; Raummultiplexverfahren: Personen sprechen an verschiedenen Orten miteinander.
* Bei genügend großem Abstand stören sich die Gespräche nicht gegenseitig.
; Frequenzmultiplexverfahren: Eine [[Hundepfeife]] oder Fledermäuse erzeugen für den Menschen unhörbare Signale.
* Eine Kommunikation ist parallel möglich.
; Zeitmultiplexverfahren: In einer Schulklasse oder beim [[CB-Funk]] hat in der Regel nur je ein Sprecher gleichzeitig das Wort (asynchrones Zeitmultiplexverfahren), in Parlamenten hat jeder Redner eine Redezeit definierter Länge (synchrones Zeitmultiplexverfahren)
; Codemultiplexverfahren: Bei vielen gleichzeitig gesprochenen Sprachen hört man seine Muttersprache heraus.
* Bekannte Personen erkennt man am Klang ihrer Stimme.

== Begriffsunterscheidung "Multiplexing" und "Multiple Access" ==
Im Zusammenhang mit den hier beschriebenen Multiplexverfahren wird teils von ''Multiplexing'' (oft in Verbindung mit Hardware) und teils von ''Multiple Access'' (oft als Softwarelösung) gesprochen.

Um '''Multiplexing''' im engeren Sinne handelt es sich dann, wenn am Anfang eines Übertragungsweges ein ''Multiplexer'' mehrere Signale bündelt und am Ende ein ''Demultiplexer'' diese wieder auftrennt.
* Im Bereich der Audio-/Videobearbeitung spricht man auch von Multiplexing, wenn eine Videospur mit einer Tonspur durch entsprechende Software in eine einzelne Datei (beispielsweise *.mpeg) zusammengeführt wird.

Der Begriff '''Multiple Access''' wird eher dann verwendet, wenn es mehrere Sender-Empfänger-Paare (beispielsweise Mobilfunkteilnehmer) gibt, die sich ein Übertragungsmedium (in der Regel eine Funkschnittstelle - also die Luft in der Umgebung einer [[Basisstation]] oder eines Funkrouters) selbständig aufteilen.
* Das geschieht entweder mit einer zentralen Instanz (beispielsweise die Basisstation beim [[Mobiltelefon|mobilen Telefonieren]]), die die Kanäle zuteilt, oder die Teilnehmergeräte arbeiten mit einer [[Kollisionserkennung (Kommunikationstechnik)|Kollisionserkennung]].

Die Verfahren zur gemeinsamen Nutzung des Übertragungsmediums sind bei Multiplexing und Multiple Access jedoch gleich und werden deshalb in diesem Artikel gemeinsam beschrieben.

== Multiplexing bei Webseiteaufrufen ==
Wenn im Internet eine Webseite aufgerufen wird, müssen in der Regel mehrere Dateien geladen werden ([[html]], Bilder, [[Cascading Style Sheets|Style Sheets]], Favicon, …).
* Für jeden dieser Aufrufe muss eine eigene Verbindung erstellt werden.
* Da mehrere [[Handshake]]s hintereinander ausgeführt werden müssen ([[Transmission Control Protocol|TCP]], [[Transport Layer Security#TLS Handshake Protocol|TLS]], dann [[http]]), dauert das Laden der Webseite aufgrund der [[Paketumlaufzeit]] länger.
* Falls [[HTTP/2]] verwendet wird, können mehrere Aufrufe in einer einzigen Verbindung zusammengefasst werden.
* Dies wird als Multiplexing bezeichnet.

Dabei besteht jedoch weiterhin das Problem des sogenannten [[Head-of-Line-Blocking]].
* Das heißt, falls Pakete für einen Aufruf verloren gehen, stocken auch die anderen Aufrufe.
* Dies wird mit [[HTTP/3]] weiter verbessert, da dieses auf [[QUIC]] anstelle von [[Transmission Control Protocol|TCP]] basiert.

== Raummultiplexverfahren (SDMA) ==
Mit ''Raummultiplexverfahren'' (engl. {{lang|en|''Space Division Multiplex, SDM''}} oder {{lang|en|''Space Division Multiple Access, SDMA''}}) bezeichnet man in der [[Nachrichtentechnik]] das Übertragen von mehreren Nachrichten über parallel installierte Übertragungswege, die den einzelnen Sendern und Empfängern jeweils zur exklusiven Nutzung bereitgestellt werden.

Man unterscheidet hierbei zwischen zwei verschiedenen Varianten:
* kabelgebundenes Raummultiplexverfahren
* kabelloses Raummultiplexverfahren

=== Kabelgebundene Raummultiplexverfahren ===
[[Datei:Kreuzschienenverteilung002.png|mini|250px|Schematische Darstellung einer Kreuzschienenverteilung]]
Das kabelgebundene Raummultiplexverfahren ist das einfachste und älteste Multiplexverfahren.
* Hierbei werden zur gleichzeitigen Unterstützung von individuellen Verbindungen mehrere Leitungen parallel installiert.
* Diese parallelen Leitungen werden auch als [[Leitungsbündel]] (engl. {{lang|en|''trunk''}}) bezeichnet.

Die einfachste Anwendung dieses Verfahrens sind die schon in der Anfangszeit der [[Telekommunikation]] und bis heute gebräuchlichen mehradrigen Kabel.
* Eine andere Methode des Raummultiplexverfahrens ist die Kreuzschienenverteilung (engl. {{lang|en|''cross bar switching''}}), die auch als [[Koppelfeld]] bezeichnet wird.
* Hierbei handelt es sich um eine Matrix aus mehreren Leitungen mit vielen Schaltern.
* Hier zeigt sich einer der Vorteile des Raummultiplexverfahrens: Durch diese Matrix ist sichergestellt, dass jeder Sender jeden Empfänger erreichen kann, sofern die Leitung frei und der Schalter aktiv ist.

=== Kabellose Raummultiplexverfahren ===
Beim kabellosen Raummultiplexverfahren wird für jede Gruppe von Verbindungen ein separates Gebiet oder eine eigene Richtfunkstrecke verwendet.
* Normalerweise erfolgt eine Mehrfachausnutzung einer solchen Funkstrecke oder eines Gebietes mit Hilfe des Frequenzmultiplexverfahrens oder des Zeitmultiplexverfahren oder einer Kombination aus beiden.

Das Raummultiplexverfahren wird notwendig, wenn die Anzahl der zu übertragenden Verbindungen steigt und gleichzeitig Frequenzknappheit besteht.
* Dann wird die gleiche Frequenz mit ausreichendem räumlichen Abstand mehrfach benutzt.
* Der ausreichende räumliche Abstand ist notwendig, um zwischen den verschiedenen Sendern mit gleicher Sendefrequenz störende [[Interferenz (Physik)|Interferenzen]] zu vermeiden.
* Zum Einsatz kommt dieses Verfahren unter anderem in den Richtfunknetzen und bei der Frequenzzuteilung beim [[Rundfunk]], [[Fernsehen]] und zellularem [[Mobilfunk]].

Ein Spezialfall ist [[MIMO (Nachrichtentechnik)|Multiple Input Multiple Output]], bei dem ein logisches Signal durch mehrere kooperierende Antennen übertragen wird, um so Qualität (geringe Bitfehlerhäufigkeit) und Datenrate einer drahtlosen Verbindung deutlich zu verbessern.

== Frequenzmultiplexverfahren (FDMA) ==
[[Frequenzmultiplexverfahren]]

Das Frequenzmultiplexverfahren, im Englischen {{lang|en|''Frequency Division Multiplex''}} (FDM) oder {{lang|en|''Frequency Division Multiple Access''}} (FDMA), ist sowohl in drahtgebundenen als auch in drahtlosen Kommunikationssystemen anwendbar.
* Ein erster Vorschlag zur Vielfachausnutzung von Leitungen durch Frequenzmultiplexverfahren wurde 1886 für die Telegraphie durch [[Elisha Gray]] gemacht.
* Die wohl bekannteste Anwendung ist die [[Pilotton-Multiplexverfahren|Stereotonübertragung]] im UKW-Radio.

=== Frequenzmultiplex auf Leitungen ===
[[Datei:Frequenzmultiplex001.svg|mini|Schematische Darstellung des Frequenzmultiplexverfahrens]]
Hierbei werden mehrere Signale auf je eine eigene [[Trägerfrequenz]] [[Modulation (Technik)|moduliert]].
* Da bei der Modulation zwei identische Seitenbänder entstehen, wird bei den Trägerfrequenzsystemen der Nachrichtentechnik ein Seitenband und die Trägerfrequenz selbst unterdrückt.
* Die entstehenden, schmalen [[Frequenzband|Frequenzbänder]] werden zu einem breitbandigen Signal zusammengefasst und dann gemeinsam übertragen.
* Die Übertragung der Signale erfolgt dabei gleichzeitig und unabhängig voneinander.

Der Empfänger muss die Trägerfrequenzen wieder ergänzen und kann mit Hilfe von [[Filter (Elektrotechnik)|Filtern]] die Signale wieder trennen, um sie dann durch [[Demodulation]] in ihre ursprüngliche Frequenzlage zurückzuwandeln.
* Zur Vermeidung von [[Interferenz (Physik)|Interferenzen]] und um eine bessere Trennung der Signale im Empfängerfilter zu erreichen, werden unbenutzte, sogenannte Schutzbänder (engl. ''guard bands'') zwischen den einzelnen Frequenzbändern freigelassen.

Angewendet wurde Frequenzmultiplex vor allem auf den (Kupfer-)Fernverbindungsleitungen im Telefonnetz.
* Inzwischen wird im Telefonnetz meist Zeitmultiplex oder Wellenlängenmultiplex genutzt, die das Glasfasernetz verwenden.

Heute kommt das Frequenzmultiplex noch bei der Übertragung von Informationen über [[Breitbandverteilnetz]]e, wie etwa dem [[Kabelfernsehen]] zum Einsatz.
* Auch bei den Rundfunk- und Fernsehsignalen wird nur ein Seitenband übertragen, allerdings wird die Trägerfrequenz nicht unterdrückt, da sich dadurch die Empfänger vereinfachen lassen.

=== Frequenzmultiplex bei Funkübertragung ===
Hierbei wird ebenfalls jedes Signal auf eine eigene Trägerfrequenz moduliert, die Signalbänder werden dann zusammengefasst und ausgestrahlt.
* Die Trägerfrequenz ist die Mittenfrequenz der abgestrahlten [[Funkwellen|Funkwelle]].
* Im Empfänger werden die von der Antenne kommenden Frequenzbänder durch Filterung oder das [[Superheterodyn]]-Verfahren aufgeteilt und anschließend demoduliert.

Klassische Beispiele sind der [[Terrestrische Übertragung|terrestrische Rundfunk]] und das [[Satellitenfernsehen]].

Heutige Anwendungsbereiche sind die [[Richtfunk|Richt-]] und [[Mobilfunk]]technik in der [[Telekommunikation]].
* Das russische Satellitennavigationssystem [[GLONASS]] verwendet ebenfalls das Frequenzmultiplexverfahren.
* Zudem ist dieses Verfahren mit dem Zeitmultiplexverfahren kombinierbar, zum Beispiel beim [[Global System for Mobile Communications]] (GSM), bei [[Digital Enhanced Cordless Telecommunications]] (DECT) oder bei [[Bluetooth]].

Eine Weiterentwicklung des FDM ist das [[Orthogonales Frequenzmultiplexverfahren|OFDM]] (engl. {{lang|en|''Orthogonal Frequency Division Multiplexing''}}) bei dem ein Signal auf mehrere (tausend) Unterträger verteilt wird, deren Frequenzen orthogonal zueinander stehen, das heißt, dass deren Kreisfrequenzen jeweils ganzzahlige Vielfache einer Grundfrequenz sind.
* Anwendung findet das OFDM heute vor allem bei LTE, DVB-T und digitalen Funkkameras.

Anmerkung: Die Zuweisung unterschiedlicher Frequenzen zu unterschiedlichen (räumlich getrennten) Sendestationen (beispielsweise Mobilfunkzellen) bezeichnet man üblicherweise nicht als Frequenzmultiplex.
* Hier spricht man von Frequenzplanung oder Raummultiplex (SDM).


=== Optisches Wellenlängenmultiplexverfahren ===
Das '''Wellenlängenmultiplexverfahren''' (engl. ''Wavelength Division Multiplex'', '''WDM''' oder ''Wavelength Division Multiple Access'', WDMA) ist ein optisches Frequenzmultiplexverfahren, das bei der Übertragung von Daten (Signalen) über Glasfaserkabel ([[Lichtwellenleiter]]) verwendet wird.

[[Datei:Arrayed-Waveguide-Grating.svg|mini|Wellenlängenmultiplexverfahren Mittels [[Arrayed-Waveguide Grating]].
* Der Lichtweg von (1) nach (5) funktioniert als optischer Demultiplexer und von (5) nach (1) als opt. Multiplexer.]]
Beim Wellenlängenmultiplexverfahren werden aus verschiedenen [[Wellenlänge]]n (''siehe: [[Frequenzband#Optische Datenkommunikation|Frequenzbänder der optischen Datenkommunikation]]'') bestehende Lichtsignale zur Übertragung in einem Lichtwellenleiter verwendet.
* Als Quelle für die Lichtsignale dienen vorwiegend [[Laserdiode]]n (LD) oder lichtemittierende Dioden ([[LED]]).
* Jede dieser so erzeugten schmalbandigen [[Wellenlängenbereich]]e bildet somit einen eigenen [[Übertragungskanal]], auf den man nun die Daten (Signale) eines Senders modulieren kann.
* Die so modulierten Daten (Signale) werden dann durch optische Koppelelemente gebündelt und gleichzeitig sowie unabhängig voneinander übertragen.
* Am Ziel dieser optischen Multiplexverbindung werden die einzelnen optischen Übertragungskanäle durch passive optische Filter oder wellenlängensensible opto-elektrische Empfängerelemente wieder getrennt.
* Das Verfahren ist mit anderen optischen Multiplexverfahren kombinierbar.
[[Datei:Mehrere FBG Sensoren in einer Glasfaser.png|mini]]
Inzwischen gibt es mikrooptische Bauteile, die einzelne optische Kanäle ohne vorherige Wandlung zu elektrischen Signalen verstärken, trennen und schalten ([[Routing|routen]]) können.
* Damit können rein optische Netze realisiert werden.
* Wesentliche Komponenten dieser Technik sind optische Multi- und Demultiplexer, [[Optischer Verstärker|optische Verstärker]] und [[Optischer Crossconnect|optische Crossconnects]], die die Kanäle durch Filter trennen.

''Siehe auch: [[Arrayed-Waveguide Grating]] (Bild rechts).''

Bei der Wellenlängen-Multiplex Technik wird heute zwischen ''Dense'' (DWDM), ''Coarse'' (CWDM) und ''Wide Wavelength Division Multiplex'' (WWDM) unterschieden.

==== DWDM ====
Das so genannte '''Dichte Wellenlängen-Multiplex''' (engl. ''Dense Wavelength Division Multiplex'', DWDM) gilt zurzeit als leistungsstärkste Variante.
* Hier liegen die zur Übertragung im Glasfaserkabel verwendeten Wellenlängen (Spektralfarben) sehr dicht beieinander.
* Der Frequenzbereich der Wellenlängen liegt üblicherweise im [[Frequenzband#Optische Datenkommunikation|C- oder L-Band]] bei einem Frequenzabstand von 0,4 nm (50 [[Gigahertz|GHz]]) bis 1,6 [[Nanometer|nm]] (200 GHz).
* Diese geringen Frequenzabstände können nur erreicht werden, indem temperatur- und wellenlängenstabilisierte Laser (thermostatierte [[DFB-Laser]]dioden) und hochwertige Filter eingesetzt werden.
* Hierdurch erhält man [[Datenübertragungsrate]]n um 10-100 Gbit/s pro Kanal bei bis zu 80 Kanälen.
* Durch Kombination des C- und L-Bandes sind bis zu 160 Kanäle möglich.<br />
Je nach Hersteller, Netzdesign und Glasfasertyp sind optische Verstärker alle 80-200 km erforderlich sowie eine elektrische Daten-Regeneration alle circa 600-2000 km.
* Aus diesem Grund ist der hauptsächliche Anwendungsbereich dieser Variante der Einsatz über weite Entfernungen im [[Wide Area Network|Wide]]- und [[Global Area Network]].

Je höher die Datenrate auf einem Kanal, umso größer werden Beeinflussungen durch [[Dispersion (Physik)|Dispersion]].
* Bei Datenraten ab 10 Gbit/s muss mit Beeinflussungen durch [[chromatische Dispersion]] gerechnet werden, bei Datenraten ab 40 Gbit/s kommen weitere Effekte, wie etwa die [[Polarisationsmodendispersion]] (PMD) hinzu.
* Diese linearen Verzerrungen treten innerhalb jedes Kanals getrennt auf und können zumindest teilweise kompensiert werden, entweder durch Hardware-Kompensatoren oder durch schnelle Signalprozessoren.
* In Wellenlängen-Multiplexsystem kann es darüber hinaus auch zu nichtlinearen Verzerrungen kommen, durch welche die optische Leistung in einem Kanal die Übertragung der Nachbarkanäle stört.
* Bei der Vierwellenlängen-Mischung entsteht aus drei optischen Frequenzen eine vierte, die in einen anderen Übertragungskanal fallen kann.
* Durch die Kreuz-Phasen-Modulation ändert die Leistung eines optischen Kanals den [[Brechungsindex]] der Faser und damit die Phase der Nachbarkanäle, wodurch auch eine Depolarisation eintreten kann.

==== CWDM ====
Eine kostengünstigere Variante stellt das '''Grobe Wellenlängen-Multiplex''' (engl. ''Coarse Wavelength Division Multiplex'', CWDM) dar.
* Zur Übertragung von Signalen stehen 18 genormte Wellenlängen mit einem Kanalabstand von 20 nm zwischen 1271 nm und 1611 nm zur Verfügung.
* Je nach Fasertyp und Systemhersteller können nicht immer alle Wellenlängen genutzt werden.
* Diese "grobe" Aufteilung der Wellenlängen wurde gewählt, um kostengünstigere Laser und Komponenten verwenden zu können.
* Es werden Datenübertragungsraten bis 10 Gbit/s pro Kanal und Leitungsreichweiten bis 70 km ohne Signalverstärkung erreicht.
* Als Einsatzgebiete gelten Netzverbindungen im Stadtbereich (so genannte [[Metropolitan Area Network]]).

==== WWDM ====
Die einfachste Möglichkeit stellt '''WWDM''' (engl. ''wide wavelength division multiplex'') dar.
* Am häufigsten kommt die Technik zur Anwendung, um gleichzeitig die Signale aus dem 1310-nm- und 1550-nm-Fenster auf einer Faser zu übertragen.

== Polarisationsmultiplex (PM) ==
Bei gleicher Datenrate wird die benötigte Bandbreite halbiert, indem die beiden Polarisationsrichtungen getrennt moduliert werden.
* Das Polarisationsmultiplexverfahren wird für die Übertragung von 100 Gbps über Lichtwellenleiter im Weitverkehrsnetz eingesetzt.
* Wird jede Polarisationsrichtung mit QPSK moduliert, so hat das kombinierte Signal eine Schrittgeschwindigkeit von 25 Gbaud.
* Damit lassen sich 100 Gbps über die weitverbreiteten Übertragungssysteme mit 50 GHz Kanalabstand übertragen.
* Dieses Modulationsformat heißt DPQPSK (Dual Polarization Quadrature Phase Shift Keying) oder PMQPSK.
Für den Empfang sind polarisationsselektive Empfänger notwendig, die den sich laufend ändernden Polarisationsrichtungen folgen können.
* Dazu werden insbesondere kohärente Empfänger mit schnellen Signalprozessoren eingesetzt.

== Zeitmultiplexverfahren (TDMA) ==
Beim ''Zeitmultiplexverfahren'' (Abk. ''TDM'' für {{lang|en|''Time Division Multiplex''}} oder ''TDMA'' für {{lang|en|''Time Division Multiple Access''}}) werden in bestimmten Zeitabschnitten ([[Zeitschlitz]]en) die Daten (Signale) verschiedener Sender auf einem Kanal übertragen.
* Das Zeitmultiplexverfahren unterscheidet zwischen dem [[Synchronität|synchronen]] und [[Asynchronität|asynchronen]] Verfahren.

=== Synchrones Verfahren ===
[[Datei:Zeitmultiplex-synchron 1.jpg|mini|250px|synchrones Verfahren]]
Beim Synchronen Verfahren (Abk. ''STD'' für ''Synchronous Time Division'') wird jedem Sender durch den Multiplexer ein fester Zeitabschnitt zur Übertragung seiner Daten (Signale) auf dem Übertragungskanal zugeordnet.

Dies hat den Vorteil, dass jede Verbindung eine konstante Datenübertragungsrate erhält.
* Zusätzlich ist jederzeit ein Sender durch seine Position auf dem Übertragungskanal identifizierbar.
* Dies vereinfacht am Ziel den notwendigen Prozess des Demultiplexens.

Der Nachteil ist, dass, wenn ein Sender keine Daten (Signale) sendet, der entsprechende Zeitabschnitt ungenutzt bleibt.
* Der Übertragungskanal wird in einem solchen Fall nicht optimal ausgelastet.

=== Asynchrones Verfahren ===
[[Datei:Zeitmultiplex-asynchron 1.jpg|mini|250px|asynchrones Verfahren]]
Durch das [[Asynchronous Time Division|asynchrone Verfahren]] (Abk. ''ATD'' für {{lang|en|''Asynchronous Time Division''}}) wird der Nachteil des synchronen Verfahrens vermieden, so dass ungenutzte, zugeordnete Zeitabschnitte auch von anderen Datenströmen belegt werden können.
* Dies geschieht, indem nur jene Sender auf den Übertragungskanal zugreifen dürfen, die auch wirklich Daten (Signale) senden.
* Weil aber die eindeutige Zuordnung von Zeitabschnitt und Datenstrom so verloren geht, ist es notwendig, jedem Datenpaket eine Kanalinformation (andere Bezeichnungen: Header, Channel Identifier) hinzuzufügen.
* Anhand dieser Kanalinformation kann der Demultiplexer am Ziel des Übertragungskanals die Datenpakete dem richtigen Strom wieder zuteilen.
* Deshalb wird das asynchrone Verfahren auch teilweise als ''Adressen-Multiplexen'' oder {{lang|en|''label-multiplexing''}} bezeichnet.
* Durch diese bedarfsgerechte Zuweisung der Zeitabschnitte wird der Übertragungskanal sehr ökonomisch genutzt.
* Wenn alle Sender Daten (Signale) übertragen, erhalten alle eine konstante Datenübertragungsrate.
* Freie Zeitabschnitte durch nicht aktive Sender werden von den anderen Sendern mitbenutzt, wodurch deren Datenübertragungsrate steigt.
* Dies bezeichnet man dann auch als [[dynamisches Multiplexen]].
* Als Nachteil gilt, dass die Datenpakete durch die Kanalinformation sowie der Aufwand des Demultiplexens größer werden.

=== Flexibles Zeitmultiplexverfahren ===
Das flexible Zeitmultiplexverfahren (Flexible Time Division Multiple Access/FTDMA) wird auch als Minislot-Verfahren bezeichnet.
* Das Verfahren ist vorteilhaft, wenn geringe Anforderungen hinsichtlich der Latenzzeit bestehen.
* Das Verfahren wird beispielsweise
* eingesetzt um dynamische Segmente bei [[FlexRay]] zu übertragen.

=== Zeitmultiplex bei der Mensch-Maschine-Kommunikation ===

Da die Wahrnehmung des Menschen nicht in der Lage ist, optische Reize zeitlich sehr hoch aufzulösen, bietet es sich bei Anzeigen wie Bildschirmen bzw. 
* LEDs an, die Information per Zeitmultiplex auszugeben.
* Da Menschen auch nicht beliebig schnell tippen können, gelten analoge Überlegungen für Eingaben zum Beispiel bei Tastaturen.
* Durch Multiplex-Verfahren ist es möglich, den Verdrahtungsaufwand gegenüber einzeln angeschlossenen LEDs oder Tasten (je nach deren Anzahl erheblich) zu verringern.
* Diese Art Zeitmultiplex könnte unter "asynchron" eingeordnet werden, aufgrund der gegenüber der Nachrichtenübertragung anderen Zielsetzung jedoch wird eine derartige Einordnung im Allgemeinen nicht vorgenommen.

==== Anzeigen und Eingabetasten in Matrixschaltung ====
[[Datei:Mattrix.png|mini|Anordnung von 35 Leuchtdioden als 7×5-Matrix]]
Mehrere Anzeigeelemente, beispielsweise [[Leuchtdiode]]n werden zu einer [[Matrixschaltung|Matrixanordnung verschaltet]]. Über an den Zeilen- bzw. Spaltenanschlüsse angeschlossene elektronischer Schalter (Transistoren, im Bild nicht dargestellt) kann jede Zeile bzw. Spalte nacheinander angesteuert werden.
* Diese Ansteuerung erfolgt so schnell, dass für das Auge alle angesteuerten Elemente gleichzeitig zu leuchten scheinen; siehe dazu die Animation in der Einleitung des Artikels.
* Im Allgemeinen muss dafür Sorge getragen werden, dass der Strom nur den direkten Strompfad durch das Anzeigeelement im Kreuzungsbereich von aktivierter Zeile und Spalte nimmt ''(Entkopplung).'' Der indirekte Weg über mehrere Anzeigeelemente ist unerwünscht.
* Bei der Benutzung von Leuchtdioden erfolgt die Entkopplung dadurch, dass diese Strom nur in einer Richtung leiten.

Neben der naheliegenden Verschaltung einer [[Matrixanzeige]] zu einer Matrixschaltung können auch mehrere scheinbar einzelne Leuchtdioden in einem Gerät zu einer Matrixschaltung verschaltet sein.

Analog lassen sich Tasten bzw. Tastenfelder verschalten.
* Die Steuerung aktiviert die Spalten nacheinander, während sie an den Zeilen auf ankommende Signale achtet.
* Um mehr als zwei gleichzeitig gedrückte Tasten sicher zu erkennen, müssen zur Entkopplung der Tasten untereinander Dioden verwendet werden.
* Dieser Aufwand wird beispielsweise bei [[Keyboard]]s betrieben; bei schreibmaschinenartigen Computertastaturen hingegen begnügt man sich im Allgemeinen damit, die [[Tastatur#Key Rollover|Verkopplung]] bei mehr als zwei gedrückten Tasten zu ignorieren.

Für ein Tastenfeld von 64 Tasten genügen 8 + 8 = 16 Leitungen; man spart gegenüber der Einzelabfrage jeder Taste 48 Signalleitungen ein.

==== Charlieplex-Verfahren ====
Eine Variante des Zeitmultiplexverfahren ist das Charlieplex-Verfahren.
* Dabei kommt man mit noch weniger Leitungen aus; dafür werden aber [[Tri-State]]-Komponenten benötigt.

Für ein Tastenfeld von 66 Tasten (ohne Dioden) genügen 12 Leitungen, man spart gegenüber der Einzelabfrage 54 Leitungen ein.

=== Historische Lösungen und heutige Anwendungen ===
Das Zeitmultiplexverfahren ist wie das Frequenzmultiplexverfahren sowohl in drahtgebundenen als auch in drahtlosen Kommunikationssystemen anwendbar.
* Die ersten bekannten Anwendungen des Zeitmultiplexverfahren gehen auf den Italiener [[Giovanni Caselli (Physiker)|Giovanni Caselli]] und den Franzosen [[Jean-Maurice-Émile Baudot]] zurück.
* Caselli entwickelte den [[Pantelegraph]]en mit dem ab 1865 zwei Bilder zeilenweise multiplex übertragen wurden.
* Baudots 1874 entwickelte Apparatur machte es möglich, vier bis sechs Telegrafiesignale über eine Leitung im synchronen Zeitmultiplexverfahren zu übertragen.
* Heutige Anwendungsbereiche sind Übertragungstechniken, wie [[Integrated Services Digital Network]] (ISDN), [[Asynchronous Transfer Mode]] (ATM) oder [[Up0-Schnittstelle|U<sub>p0</sub>-Schnittstelle]].
* Das [[Global System for Mobile Communications|GSM]]-Mobilfunknetz verwendet sowohl das Zeitmultiplexverfahren als auch das Frequenzmultiplexverfahren und das Raummultiplexverfahren.

== Codemultiplexverfahren (CDMA) ==
[[Codemultiplexverfahren]]Beim [[Codemultiplexverfahren]] (CDM oder CDMA) werden verschiedene Signalfolgen über eine Leitung oder eine Funkfrequenz übertragen und im Empfänger anhand ihrer [[Codierung]] erkannt und zugeordnet.
* Die von den Teilnehmern benutzten Codes sind derart gewählt, dass beim Empfang eines Signals durch den "falschen" Empfänger am Demodulator-Ausgang praktisch kein Ausgangssignal erscheint; die Codes haben gegeneinander eine minimale [[Kreuzkorrelation]].
* Je nach verwendetem Verfahren ist, im Gegensatz zum Zeitmultiplexverfahren, keine Koordinierung der Zeitfenster erforderlich.

Beispiele sind [[Funkfernsteuerung]]en sowie die funkgesteuerte [[Zentralverriegelung]] bei [[Kraftfahrzeug]]en.

Das [[Universal Mobile Telecommunications System|UMTS]] arbeitet bei der Unterscheidung mehrerer Teilnehmer ebenfalls mit [[Code Division Multiple Access|CDMA]]; Sende- und Empfangsrichtung sind dabei außerdem auf zwei verschiedene Frequenzen verteilt (FDD).

=== Siehe auch ===
* [[Übertragungstechnik]]
* [[Synchrone Digitale Hierarchie]] (SDH)
* [[Plesiochrone Digitale Hierarchie]] (PDH)
* [[Skyplex]]
* [[Generic Framing Procedure]] ([[GFP]])

==== Weblinks ====
# https://de.wikipedia.org/wiki/Multiplexverfahren
* [https://chem.ch.huji.ac.il/~eugeniik/history/baudot.html Geschichte und Bilder von Baudots Telegraf]
* [https://www.cubeoptics.com/img/FCKeditor/File/cwdm_white_paper.pdf White Paper CWDM: lower cost for capacity in the short haul]
* [https://www.harzoptics.de/pof-demultiplexer.html WDM-Demultiplexer for Plastic Optical Fiber]

[[Kategorie:Netzwerk/Nachrichtentechnik]]

Linux/Netzwerk/Virtuelle Schnittstelle

2026-06-17T08:40:45Z

Dirkwagner: Textersetzung - „ )“ durch „)“

'''Virtuelle Schnittstelle''' - Virtuelle Netzwerkschnittstelle

== Beschreibung ==
; Schnittstellen für virtuelle Netzwerke
Linux verfügt über umfangreiche virtuelle Netzwerkfunktionen
* Grundlage für das Hosting von VMs und Containern sowie für Cloud-Umgebungen
* häufig verwendeten virtuellen Netzwerkschnittstellentypen

; Tunnel
Für andere Schnittstellen wie Tunnel lesen Sie bitte
; An introduction to Linux virtual interfaces: Tunnels

; Übersicht
{| class="wikitable sortable options big"
|-
! Option !! Beschreibung
|-
| [[#Brücke|Brücke]] ||
|-
| [[#Gebundene Schnittstelle|Gebundene Schnittstelle]] ||
|-
| [[#Team-Gerät|Team-Gerät]] ||
|-
| [[#VLAN|VLAN]] || Virtuelles LAN
|-
| [[#VXLAN|VXLAN]] || Virtuelles eXtensible Local Area Network
|-
| [[#MACVLAN|MACVLAN]] ||
|-
| [[#IPVLAN|IPVLAN]] ||
|-
| [[#MACVTAP/IPVTAP|MACVTAP/IPVTAP]] ||
|-
| [[#MACsec|MACsec]] || Sicherheit der Medienzugriffskontrolle
|-
| [[#VETH|VETH]] || Virtuelles Ethernet
|-
| [[#VCAN|VCAN]] || Virtueller CAN
|-
| [[#VXCAN|VXCAN]] ||Virtueller CAN-Tunnel
|-
| [[#IPOIB|IPOIB]] || IP-über-InfiniBand
|-
| [[#NLMON|NLMON]] || NetLink MONitor
|-
| [[#Dummy|Dummy]] || Dummy-Schnittstelle
|-
| [[#IFB|IFB]] || Intermediate Functional Block
|-
| [[#netdevsim|netdevsim]]
|}

== Brücke ==
Eine Linux-Bridge verhält sich wie ein Netzwerk-Switch
* Sie leitet Pakete zwischen Schnittstellen weiter, die mit ihr verbunden sind
* Sie wird normalerweise für die Weiterleitung von Paketen auf Routern, Gateways oder zwischen VMs und Netzwerk-Namespaces auf einem Host verwendet
* Sie unterstützt auch STP, VLAN-Filter und Multicast-Snooping

Verwenden Sie eine Bridge, wenn Sie Kommunikationskanäle zwischen VMs, Containern und Ihren Hosts einrichten möchten

So erstellen Sie eine Bridge
<syntaxhighlight lang="bash" line copy>
ip link add br0 type bridge
ip link set eth0 master br0
ip link set tap1 master br0
ip link set tap2 master br0
ip link set veth1 master br0
</syntaxhighlight>

Dadurch wird ein Bridge-Gerät mit dem Namen <code>br0</code> erstellt und zwei TAP-Geräte (<code>tap1</code>, <code>tap2</code>), ein VETH-Gerät (<code>veth1</code>) und ein physisches Gerät (<code>eth0</code>) als seine Slaves festgelegt, wie in der obigen Abbildung dargestellt

== Gebundene Schnittstelle ==
Der Linux-Bonding-Treiber bietet eine Methode, um mehrere Netzwerkschnittstellen zu einer einzigen logischen "gebundenen" Schnittstelle zusammenzufassen
* Das Verhalten der gebondeten Schnittstelle hängt vom Modus ab; im Allgemeinen bieten die Modi entweder Hot-Standby- oder Lastausgleichsdienste

Verwenden Sie eine gebondete Schnittstelle, wenn Sie die Verbindungsgeschwindigkeit erhöhen oder einen Failover auf Ihrem Server durchführen möchten

So erstellen Sie eine gebondete Schnittstelle
<syntaxhighlight lang="bash" line copy>
ip link add bond1 type bond miimon 100 mode active-backup
ip link set eth0 master bond1
ip link set eth1 master bond1
</syntaxhighlight>

Damit wird eine bonded-Schnittstelle namens <code>bond1</code> mit dem Modus active-backup erstellt
* Für andere Modi lesen Sie bitte die Kernel-Dokumentation

== Team-Gerät ==
Ähnlich wie eine gebundene Schnittstelle dient ein Teamdevice dazu, mehrere NICs (Ports) auf der L2-Schicht zu einem logischen Gerät (Teamdev) zusammenzufassen

Das Wichtigste ist, dass ein Teamdevice nicht versucht, eine gebondete Schnittstelle zu replizieren oder zu imitieren
* Vielmehr wird dasselbe Problem mit einem anderen Ansatz gelöst, beispielsweise mit einem schlosslosen (RCU) TX/RX-Pfad und einem modularen Design

Es gibt aber auch einige funktionale Unterschiede zwischen einer gebondeten Schnittstelle und einem Team
* So unterstützt ein Team beispielsweise LACP-Lastausgleich, NS/NA (IPV6)-Link-Überwachung, D-Bus-Schnittstelle und weitere, die bei Bonding nicht vorhanden sind
* Weitere Einzelheiten zu den Unterschieden zwischen Bonding und Team finden Sie unter Bonding vs. Team-Funktionen

Verwenden Sie ein Team, wenn Sie einige Funktionen nutzen möchten, die Bonding nicht bietet

So erstellen Sie ein Team
<syntaxhighlight lang="bash" line copy>
teamd -o -n -U -d -t team0 -c '{"runner": {"name": "activebackup"}, "link_watch": {"name": "ethtool"}}'
ip link set eth0 down
ip link set eth1 down
teamdctl team0 port add eth0
teamdctl team0 port add eth1
</syntaxhighlight>

Dadurch wird eine Team-Schnittstelle namens <code>team0</code> mit dem Modus <code>active-backup</code> erstellt, und <code>eth0</code> und <code>eth1</code> werden als Sub-Schnittstellen von <code>team0</code> hinzugefügt

Ein neuer Treiber namens net_failover wurde kürzlich zu Linux hinzugefügt
* Er ist ein weiteres Failover-Master-Netzgerät für die Virtualisierung und verwaltet ein primäres (Passthru/VF [Virtual Function]-Gerät) Slave-Netzgerät und ein Standby-Slave-Netzgerät (die ursprüngliche paravirtuelle Schnittstelle)

== VLAN ==
Ein VLAN, auch bekannt als virtuelles LAN, trennt Broadcast-Domänen durch Hinzufügen von Tags zu Netzwerkpaketen
* VLANs ermöglichen es Netzwerkadministratoren, Hosts unter demselben Switch oder zwischen verschiedenen Switches zu gruppieren

; Der VLAN-Header sieht wie folgt aus

Verwenden Sie ein VLAN, wenn Sie Subnetze in VMs, Namespaces oder Hosts trennen möchten

; So erstellen Sie ein VLAN
<syntaxhighlight lang="bash" line copy>
ip link add link eth0 name eth0.2 type vlan id 2
ip link add link eth0 name eth0.3 type vlan id 3
</syntaxhighlight>

Dies fügt VLAN 2 mit dem Namen <code>eth0.2</code> und VLAN 3 mit dem Namen <code>eth0.3</code> hinzu
* Die Topologie sieht wie folgt aus

; Hinweis
: Wenn Sie ein VLAN konfigurieren, müssen Sie sicherstellen, dass der mit dem Host verbundene Switch in der Lage ist, VLAN-Tags zu verarbeiten, beispielsweise indem Sie den Switch-Port auf den Trunk-Modus einstellen

== VXLAN ==
VXLAN (Virtual eXtensible Local Area Network) ist ein Tunneling-Protokoll, das entwickelt wurde, um das Problem der begrenzten VLAN-IDs (4.096) in IEEE 802.1q zu lösen
* Es ist im IETF <nowiki>RFC 7348</nowiki> beschrieben

Mit einer 24-Bit-Segment-ID, auch bekannt als VXLAN Network Identifier (VNI), ermöglicht VXLAN bis zu 2^24 (16.777.216) virtuelle LANs, was dem 4.096-fachen der VLAN-Kapazität entspricht

VXLAN kapselt Layer-2-Frames mit einem VXLAN-Header in ein UDP-IP-Paket ein, das wie folgt aussieht

VXLAN wird normalerweise in Rechenzentren auf virtualisierten Hosts eingesetzt, die über mehrere Racks verteilt sein können

So verwenden Sie VXLAN
<syntaxhighlight lang="bash">
ip link add vx0 type vxlan id 100 local 1.1.1.1 remote 2.2.2.2 dev eth0 dstport 4789
</syntaxhighlight>

Als Referenz können Sie die VXLAN-Kernel-Dokumentation oder diese VXLAN-Einführung lesen

== MACVLAN ==
Mit VLAN können Sie mehrere Schnittstellen zusätzlich zu einer einzigen erstellen und Pakete auf der Grundlage eines VLAN-Tags filtern
* Mit MACVLAN können Sie mehrere Schnittstellen mit unterschiedlichen Layer-2-Adressen (d. h. Ethernet-MAC-Adressen) zusätzlich zu einer einzigen Schnittstelle erstellen

Vor MACVLAN mussten Sie, wenn Sie von einer VM oder einem Namensraum aus eine Verbindung zu einem physischen Netzwerk herstellen wollten, TAP/VETH-Geräte erstellen und eine Seite an eine Bridge anschließen und gleichzeitig eine physische Schnittstelle an die Bridge auf dem Host anschließen, wie unten dargestellt

Mit MACVLAN können Sie nun eine physische Schnittstelle, die mit einem MACVLAN verbunden ist, direkt an Namespaces binden, ohne dass eine Bridge erforderlich ist

; Es gibt fünf MACVLAN-Typen
# Private: Erlaubt keine Kommunikation zwischen MACVLAN-Instanzen auf derselben physischen Schnittstelle, selbst wenn der externe Switch den Hairpin-Modus unterstützt
# VEPA: Daten von einer MACVLAN-Instanz zu einer anderen auf derselben physischen Schnittstelle werden über die physische Schnittstelle übertragen
#* Entweder muss der angeschlossene Switch den Hairpin-Modus unterstützen oder es muss ein TCP/IP-Router vorhanden sein, der die Pakete weiterleitet, um die Kommunikation zu ermöglichen
# Bridge: Alle Endpunkte sind mit einer einfachen Bridge über die physische Schnittstelle direkt miteinander verbunden
# Passthru: Eine einzelne VM kann direkt mit der physischen Schnittstelle verbunden werden
# Quelle: Der Quellmodus wird zum Filtern des Datenverkehrs auf der Grundlage einer Liste zulässiger MAC-Quelladressen verwendet, um MAC-basierte VLAN-Zuordnungen zu erstellen
#* Bitte beachten Sie die Commit-Meldung

Der Typ wird je nach den verschiedenen Anforderungen gewählt
* Der Bridge-Modus ist der am häufigsten verwendete

Verwenden Sie ein MACVLAN, wenn Sie von Containern aus eine direkte Verbindung zu einem physischen Netzwerk herstellen möchten

So richten Sie ein MACVLAN ein
<syntaxhighlight lang="bash" line copy>
ip link add macvlan1 link eth0 type macvlan mode bridge
ip link add macvlan2 link eth0 type macvlan mode bridge
ip netns add net1
ip netns add net2
ip link set macvlan1 netns net1
ip link set macvlan2 netns net2
</syntaxhighlight>

Dadurch werden zwei neue MACVLAN-Geräte im Bridge-Modus erstellt und diese zwei Geräte zwei verschiedenen Namensräumen zugewiesen

== IPVLAN ==
IPVLAN ist ähnlich wie MACVLAN, mit dem Unterschied, dass die Endpunkte dieselbe MAC-Adresse haben

IPVLAN unterstützt die Modi L2 und L3
* Der L2-Modus von IPVLAN verhält sich wie ein MACVLAN im Bridge-Modus
* Die übergeordnete Schnittstelle sieht wie eine Brücke oder ein Switch aus

Im IPVLAN L3-Modus verhält sich die übergeordnete Schnittstelle wie ein Router und die Pakete werden zwischen den Endpunkten weitergeleitet, was eine bessere Skalierbarkeit ermöglicht

In der IPVLAN-Kerneldokumentation heißt es, dass MACVLAN und IPVLAN "in vielerlei Hinsicht sehr ähnlich sind und der spezifische Anwendungsfall sehr wohl bestimmen kann, welches Gerät zu wählen ist

(a) Der Linux-Host, der mit dem externen Switch/Router verbunden ist, hat eine Richtlinie konfiguriert, die nur einen Mac pro Port erlaubt

(b) Die Anzahl der auf einem Master erstellten virtuellen Geräte übersteigt die Mac-Kapazität und versetzt die Netzwerkkarte in den Promiscuous-Modus, so dass Leistungseinbußen zu befürchten sind

(c) Wenn das Slave-Gerät in den feindlichen / nicht vertrauenswürdigen Netzwerk-Namensraum gesetzt werden soll, wo L2 auf dem Slave geändert / missbraucht werden könnte

So richten Sie eine IPVLAN-Instanz ein
<syntaxhighlight lang="bash" line copy>
ip netns add ns0
ip link add name ipvl0 link eth0 type ipvlan mode l2
ip link set dev ipvl0 netns ns0
</syntaxhighlight>

Dadurch wird ein IPVLAN-Gerät mit dem Namen <code>ipvl0
</code> und dem Modus L2 erstellt, das dem Namensraum <code>ns0</code> zugeordnet ist

== MACVTAP/IPVTAP ==
MACVTAP/IPVTAP ist ein neuer Gerätetreiber, der virtualisierte überbrückte Netzwerke vereinfachen soll
* Wenn eine MACVTAP/IPVTAP-Instanz auf einer physischen Schnittstelle erstellt wird, erstellt der Kernel auch ein Zeichengerät/dev/tapX, das genau wie ein TUN/TAP-Gerät verwendet werden kann, das direkt von KVM/QEMU verwendet werden kann

Mit MACVTAP/IPVTAP können Sie die Kombination von TUN/TAP- und Bridge-Treibern durch ein einziges Modul ersetzen

Typischerweise wird MACVLAN/IPVLAN verwendet, um sowohl den Gast als auch den Host direkt auf dem Switch erscheinen zu lassen, mit dem der Host verbunden ist
* Der Unterschied zwischen MACVTAP und IPVTAP ist der gleiche wie bei MACVLAN/IPVLAN

So erstellen Sie eine MACVTAP-Instanz
<syntaxhighlight lang="bash">
ip link add link eth0 name macvtap0 type macvtap
</syntaxhighlight>

== MACsec ==
MACsec (Media Access Control Security) ist ein IEEE-Standard für die Sicherheit in verkabelten Ethernet-LANs. Ähnlich wie IPsec kann MACsec als Layer-2-Spezifikation nicht nur den IP-Verkehr, sondern auch ARP, Nachbarschaftserkennung und DHCP schützen
* Die MACsec-Header sehen wie folgt aus

Der Hauptanwendungsfall für MACsec ist die Sicherung aller Nachrichten in einem Standard-LAN, einschließlich ARP-, NS- und DHCP-Nachrichten

; So richten Sie eine MACsec-Konfiguration ein
<syntaxhighlight lang="bash">
ip link add macsec0 link eth1 type macsec
</syntaxhighlight>

; Hinweis
: Dies fügt nur ein MACsec-Gerät namens <code>macsec0</code> an der Schnittstelle <code>eth1</code> hinzu
:* Für detailliertere Konfigurationen lesen Sie bitte den Abschnitt "Konfigurationsbeispiel" in dieser MACsec-Einführung von Sabrina Dubroca

== VETH ==
Das VETH-Gerät (Virtual Ethernet) ist ein lokaler Ethernet-Tunnel
* Die Geräte werden paarweise erstellt, wie in der Abbildung unten dargestellt

Pakete, die auf einem Gerät des Paares gesendet werden, werden sofort auf dem anderen Gerät empfangen
* Wenn eines der beiden Geräte ausfällt, ist der Verbindungsstatus des Paares gestört

Verwenden Sie eine VETH-Konfiguration, wenn Namespaces mit dem Haupt-Host-Namespace oder untereinander kommunizieren müssen

So richten Sie eine VETH-Konfiguration ein
<syntaxhighlight lang="bash" line copy>
ip netns add net1
ip netns add net2
ip link add veth1 netns net1 type veth peer name veth2 netns net2
</syntaxhighlight>

Dadurch werden zwei Namensräume, <code>net1</code> und <code>net2</code>, und ein Paar VETH-Geräte erstellt, und <code>veth1</code> wird dem Namensraum <code>net1</code> und <code>veth2</code> dem Namensraum <code>net2</code> zugewiesen
* Diese beiden Namespaces sind mit diesem VETH-Paar verbunden
* Weisen Sie ein Paar IP-Adressen zu, und Sie können zwischen den beiden Namespaces pingen und kommunizieren

== VCAN ==
Ähnlich wie die Netzwerk-Loopback-Geräte bietet der VCAN (Virtual CAN)-Treiber eine virtuelle lokale CAN (Controller Area Network)-Schnittstelle, so dass Benutzer CAN-Nachrichten über eine VCAN-Schnittstelle senden/empfangen können
* CAN wird heutzutage hauptsächlich im Automobilbereich eingesetzt

Weitere Informationen zum CAN-Protokoll finden Sie in der Kernel-CAN-Dokumentation

Verwenden Sie einen VCAN, wenn Sie eine CAN-Protokollimplementierung auf dem lokalen Host testen möchten

So erstellen Sie einen VCAN
<syntaxhighlight lang="bash">
ip link add dev vcan1 type vcan
</syntaxhighlight>

== VXCAN ==
Ähnlich wie der VETH-Treiber implementiert ein VXCAN (Virtual CAN tunnel) einen lokalen CAN-Verkehrstunnel zwischen zwei VCAN-Netzwerkgeräten
* Wenn Sie eine VXCAN-Instanz erstellen, werden zwei VXCAN-Geräte als Paar erstellt
* Wenn ein Ende ein Paket empfängt, erscheint das Paket auf dem Paar des Geräts und umgekehrt
* VXCAN kann für die namensraumübergreifende Kommunikation verwendet werden

Verwenden Sie eine VXCAN-Konfiguration, wenn Sie CAN-Nachrichten über Namespaces hinweg senden wollen

So richten Sie eine VXCAN-Instanz ein
<syntaxhighlight lang="bash" line copy>
ip netns add net1
ip netns add net2
ip link add vxcan1 netns net1 type vxcan peer name vxcan2 netns net2
</syntaxhighlight>

; Hinweis
: VXCAN wird in Linux noch nicht unterstützt

== IPOIB ==
Ein IPOIB-Gerät unterstützt das IP-over-InfiniBand-Protokoll
* Dieses transportiert IP-Pakete über InfiniBand (IB), so dass Sie Ihr IB-Gerät als schnelle NIC verwenden können

Der IPoIB-Treiber unterstützt zwei Betriebsmodi: Datagramm und verbunden
* Im Datagramm-Modus wird der IB UD-Transport (Unreliable Datagram) verwendet
* Im Verbindungsmodus wird der IB RC (Reliable Connected)-Transport verwendet
* Der Verbindungsmodus nutzt die Vorteile des verbundenen IB-Transports und erlaubt eine MTU bis zur maximalen IP-Paketgröße von 64K

Weitere Einzelheiten finden Sie in der IPOIB-Kerneldokumentation

Verwenden Sie ein IPOIB-Gerät, wenn Sie ein IB-Gerät haben und mit einem entfernten Host über IP kommunizieren wollen

So erstellen Sie ein IPOIB-Gerät
# ip link add ib0 name ipoib0 type ipoib pkey IB_PKEY mode connected

== NLMON ==
NLMON ist ein Netlink-Monitor-Gerät

Verwenden Sie ein NLMON-Gerät, wenn Sie System-Netlink-Meldungen überwachen wollen

; So erstellen Sie ein NLMON-Gerät
<syntaxhighlight lang="bash" line copy>
ip link add nlmon0 type nlmon
ip link set nlmon0 up
tcpdump -i nlmon0 -w nlmsg.pcap
</syntaxhighlight>

Damit wird ein NLMON-Gerät namens <code>nlmon0</code> erstellt und eingerichtet
* Verwenden Sie einen Packet Sniffer (beispielsweise <code>tcpdump</code>), um Netlink-Nachrichten zu erfassen
* Neuere Versionen von Wireshark können Netlink-Nachrichten dekodieren

== Dummy ==
; Dummy-Schnittstelle
Eine Dummy-Schnittstelle ist eine rein virtuelle Schnittstelle, wie beispielsweise die Loopback-Schnittstelle
* Der Zweck einer Dummy-Schnittstelle ist es, ein Gerät zur Verfügung zu stellen, durch das Pakete geleitet werden, ohne dass sie tatsächlich übertragen werden

Mit einer Dummy-Schnittstelle kann man eine inaktive SLIP-Adresse (Serial Line Internet Protocol) wie eine echte Adresse für lokale Programme aussehen lassen
* Heutzutage wird eine Dummy-Schnittstelle meist zum Testen und Debuggen verwendet

; So erstellen Sie eine Dummy-Schnittstelle
<syntaxhighlight lang="bash" line copy>
ip link add dummy1 type dummy
ip addr add 1.1.1.1/24 dev dummy1
ip link set dummy1 up
</syntaxhighlight>

== IFB ==
Der IFB-Treiber (Intermediate Functional Block) stellt ein Gerät zur Verfügung, das die Bündelung von Datenverkehr aus verschiedenen Quellen und das Shaping von eingehendem Datenverkehr ermöglicht, anstatt ihn zu verwerfen

Verwenden Sie eine IFB-Schnittstelle, wenn Sie den eingehenden Datenverkehr in eine Warteschlange stellen und formen wollen

; So erstellen Sie eine IFB-Schnittstelle
<syntaxhighlight lang="bash" line copy>
ip link add ifb0 type ifb
ip link set ifb0 up
tc qdisc add dev ifb0 root sfq
tc qdisc add dev eth0 handle ffff: ingress
tc filter add dev eth0 parent ffff: u32 match u32 0 0 action mirred egress redirect dev ifb0
</syntaxhighlight>

Dadurch wird ein IFB-Gerät mit dem Namen <code>ifb0</code> erstellt und der Root-qdisc-Scheduler durch SFQ (Stochastic Fairness Queueing), einen klassenlosen Warteschlangen-Scheduler, ersetzt
* Dann fügt er einen Ingress-qdisc-Scheduler auf <code>eth0</code> hinzu und leitet den gesamten Ingress-Verkehr zu <code>ifb0</code> um

Weitere Anwendungsfälle für IFB qdisc finden Sie in diesem Wiki der Linux Foundation über IFB

== netdevsim ==
; netdevsim-Schnittstelle
netdevsim ist ein simuliertes Netzwerkgerät, das zum Testen verschiedener Netzwerk-APIs verwendet wird
* Zur Zeit konzentriert es sich besonders auf das Testen von Hardware
Offloading, tc/XDP BPF und SR-IOV

Ein netdevsim-Gerät kann wie folgt erstellt werden
<syntaxhighlight lang="bash" line copy>
ip link add dev sim0 type netdevsim
ip link set dev sim0 up
</syntaxhighlight>

So aktivieren Sie tc offload
<syntaxhighlight lang="bash">
ethtool -K sim0 hw-tc-offload on
</syntaxhighlight>

Um XDP BPF oder tc BPF Programme zu laden
<syntaxhighlight lang="bash">
ip link set dev sim0 xdpoffload obj prog.o
</syntaxhighlight>

So fügen Sie VFs für SR-IOV-Tests hinzu
<syntaxhighlight lang="bash" line copy>
echo 3 > /sys/class/net/sim0/device/sriov_numvfs
ip link set sim0 vf 0 mac
</syntaxhighlight>

Um die vf-Nummern zu ändern, müssen Sie sie zunächst vollständig deaktivieren
<syntaxhighlight lang="bash" line copy>
echo 0 > /sys/class/net/sim0/device/sriov_numvfs
echo 5 > /sys/class/net/sim0/device/sriov_numvfs
</syntaxhighlight>

; Hinweis
: netdevsim wird in RHEL standardmäßig nicht kompiliert

<noinclude>

== Anhang ==
=== Siehe auch ===
{{Special:PrefixIndex/{{BASEPAGENAME}}/}}
=== Dokumentation ===
; Man-Page
;Info-Page
=== Links ===
==== Projekt ====
==== Weblinks ====
; Weitere Ressourcen
* Artikel über virtuelle Netzwerke auf dem Red Hat Developer Blog
* Dynamische IP-Adressverwaltung im Open Virtual Network (OVN)
* Open vSwitch ohne Root-Rechte in Linux
* Open vSwitch-Artikel im Red Hat Developer Blog

[[Kategorie:Linux/Tunnel]]

</noinclude>

Docker

2026-06-17T08:40:45Z

Dirkwagner: Textersetzung - „ )“ durch „)“

'''Docker''' - Isolierung von Anwendungen durch [[Containervirtualisierung|Container-Virtualisierung]]

== Beschreibung ==
; Schlanke Frorm der Virtualisierungen
[[File:dockerDevelopFaster.png|mini|300px]]
* Prozesse laufen auf dem Kernel des Host-Betriebssystems
* Abschottung durch
** [[cgroups]]
** [[namespaces]]
** …

=== Linzenz ===
[[Docker]] ist [[freie Software]]

=== Realisierung von Containern ===
; Linux-Techniken
[[Datei:Docker-linux-interfaces.svg|mini|400px|Schnittstellen, um auf Virtualisierungsfunktionen des Linux-Kernels zuzugreifen.]]
* [[cgroups]]
* [[Namespaces]]
* Anfänglich [[LXC]]-Schnittstelle des [[Linux (Kernel)|Linux-Kernels]]
* Mittlerweile eine eigene [[Programmierschnittstelle]] namens ''libcontainer''
* Als Speicher-[[Frontend und Backend|Backend]] verwendet Docker das Overlay-Dateisystem [[aufs]]
** seit Version 0.8 wird auch [[btrfs]] unterstützt
<br clear=all>

=== Begriffe ===
{| class="wikitable sortable options big"
|-
! Begriff !! Beschreibung
|-
| [[Docker/Volume|Volume]] || Volumes ermöglichen es, dass Daten erhalten bleiben, auch wenn ein Docker-Container gelöscht wird. Volumes sind auch eine praktische Möglichkeit, Daten zwischen dem Host und dem Container auszutauschen.
|-
| [[Docker/Image|Image]] || Ein Docker-Image ist eine schreibgeschützte Vorlage, die von der Docker-Engine benutzt wird, um einen Container zu erzeugen.
[[Image-Datei|Speicherabbild]] eines Containers
* Das Image selbst besteht aus mehreren Layern, die schreibgeschützt sind und somit nicht verändert werden können
* Ein Image ist portabel, kann in [[Repository|Repositories]] gespeichert und mit anderen Nutzern geteilt werden
* Aus einem Image können immer mehrere Container gestartet werden
|-
| [[Docker/Container|Container]] || Docker-Container sind isolierte Ausführungseinheiten für Anwendungen und ihre Abhängigkeiten
Aktive Instanz eines Images
* Der Container wird also gerade ausgeführt und ist beschäftigt
* Sobald der Container kein Programm ausführt oder mit seinem Auftrag fertig ist, wird der Container automatisch beendet
|-
| [[Docker/Layer|Layer]] || Teil eines Images und enthält einen Befehl oder eine Datei, die dem Image hinzugefügt wurde
* Anhand der Layer kann die ganze Historie des Images nachvollzogen werden
|-
| [[Docker/Dockerfile|Dockerfile]] || Beschreibung zur Erstellung eines Docker-Container
* [[Textdatei]], die mit verschiedenen Befehlen ein Image beschreibt
* werden bei der Ausführung abgearbeitet und für jeden Befehl wird ein einzelner Layer angelegt
|-
| [[Docker/Repository|Repository]] || Satz gleichnamiger Images mit verschiedenen Tags, zumeist Versionen
|-
| [[Docker/Registry|Registry]] || Verwaltung von Repositories (''Docker Hub'', ''Artifactory'', ...)
|}

=== Bibliotheken ===
{| class="wikitable options big"
|-
! Begriff !! Beschreibung
|-
| [[Docker/libcontainer|libcontainer]] || Schnittstelle zu den Grundfunktionen von Docker
|-
| [[Docker/libswarm|libswarm]] || Schnittstelle, um Docker-Container zu steuern
|-
| [[Docker/libchan|libchan]] || Einfache („light weighted“) Kommunikation zwischen Prozessteilen und Prozessen
|}

== Aufbau und Funktionen ==
; „Build, Ship and Run Any App, Anywhere“
[[Image:01_csm_virtuelle-maschinen-vs-docker-vergleich_2b58cdd628.webp|mini|400px|alt="Bild: Virtuelle Maschinen und Docker-Container im Vergleich"| Während jede virtuelle Maschine ein eigenes Betriebssystem startet, teilen sich Docker-Container den Kernel des Host-Systems ]]

Unter diesem Motto bewirbt die quelloffene Container-Plattform Docker eine flexible, ressourcensparende Alternative zur Emulation von Hardware-Komponenten auf Basis virtueller Maschinen (VMs)
* Während die '''klassische Hardware-Virtualisierung''' darauf beruht, mehrere Gastsysteme auf einem gemeinsamen Host-System zu starten, werden Anwendungen bei Docker mithilfe von '''Containern''' als isolierte Prozesse auf ein und demselben System ausgeführt
* Man spricht bei der containerbasierten Server-Virtualisierung daher auch von einer '''Operating-System-Level-Virtualisierung'''

Der Vorteil containerbasierter Virtualisierung liegt somit darin, dass sich Anwendungen mit unterschiedlichen Anforderungen isoliert voneinander ausführen lassen, ohne dass dafür der Overhead eines separaten Gastsystems in Kauf genommen werden muss
* Zusätzlich können Anwendungen mit Container '''plattformübergreifend und in unterschiedlichen Infrastrukturen''' eingesetzt werden, ohne dass diese an die Hard- oder Software-Konfigurationen des Hostsystems angepasst werden müssen

Docker ist das bekannteste Software-Projekt, das Anwendern und Anwenderinnen eine '''auf Containern basierende Virtualisierungstechnologie''' zur Verfügung stellt
* Die quelloffene Plattform setzt dabei auf drei grundlegende Komponenten: Um Container auszuführen, brauchen Anwender lediglich die '''[[Docker/Engine|Docker-Engine]]''' sowie spezielle '''[[Docker/Image|Docker-Images]]''', die sich über das '''[[Docker/Hub|Docker-Hub]]''' beziehen oder selbst erstellen lassen

=== Motivation ===
; Vereinfachte Bereitstellung von Anwendungen
* Container, die alle nötigen Pakete enthalten leicht als Dateien transportieren und installieren lassen
* Geringerer Overhead durch geteilten Host-Kernel
* Schnelle Start- und Stopzeiten
* Hohe Dichte isolierter Instanzen pro Host
* Prozess- und Abhängigkeitsisolation (Namespaces, cgroups)
* Reproduzierbare Laufzeitumgebungen durch unveränderliche Images
* Portabilität über unterschiedliche Hosts und Plattformen
* Feingranulares Ressourcen- und Zugriffsmanagement
* Vereinfachtes Lebenszyklus-Management

; Container gewährleisten
Trennung und Verwaltung der auf einem Rechner genutzten Ressourcen
* Code
* Laufzeitmodul
* Systemwerkzeuge
* Systembibliotheken
* alles was auf einem Rechner installiert werden kann

=== Container ===
; Sandbox-Prozess
Ein Container ist ein Sandbox-Prozess, der auf einem Host-Computer ausgeführt wird und von allen anderen auf diesem Host-Computer ausgeführten Prozessen isoliert ist
* Diese Isolierung nutzt Kernel-Namespaces und cgroups, Funktionen, die es in Linux schon seit langem gibt
* Docker macht diese Funktionen zugänglich und einfach zu verwenden
* Ein ist Container eine lauffähige Instanz eines Images

; Container werden über die Docker-API oder die Befehlszeilenschnittstelle
* erstellt
* gestartet
* angehalten
* verschoben
* gelöscht

; Er kann auf lokalen oder virtuellen Maschinen ausgeführt oder in der Cloud bereitgestellt werden
* Er ist portabel (und kann auf jedem Betriebssystem ausgeführt werden)
* Er ist von anderen Containern isoliert und führt seine eigene Software, Binärdateien, Konfigurationen usw

; Erweiterte Form von chroot
* Das Dateisystem wird aus einem Image bereitgestellt
* Allerdings bietet der Container eine zusätzliche Isolation, die mit chroot nicht möglich ist

; Siehe auch
* [[Docker/Container|Container]]

=== Bereitstellung ===
; Image oder Dockerfile
* Fertige Images
* Dockerfiles
** Anweisungen zum Erzeugen eines Images (Dockerfiles) im Projekt verteilen
** Dockerfiles können gut in Projekt-Repositoies bereitgestellt werden

=== Fertige Images ===
DockerHub bietet fertige Images
* Ein solches gestartetes Image nennt sich dann Container und enthält beispielsweise Dateien, die in den Container gemountet oder kopiert werden
* Man kann auch eigene Images bauen, indem man eine entsprechende Konfiguration (Dockerfile) schreibt
* Jeder Befehl bei der Erstellung eines Images erzeugt einen neuen Layer, die sich dadurch mehrere Images teilen können

In der Konfiguration einer Gitlab-CI-Pipeline kann man mit <code>image</code> ein Docker-Image angeben, welches dann in der Pipeline genutzt wird

=== Docker Images ===
Ähnlich wie virtuelle Maschinen basieren Docker-Container auf [[Docker/Image|Images]]

; Schreibgeschützte Vorlage
Dieses isolierte Dateisystem wird von einem Image bereitgestellt, und das Image muss alles enthalten, was zur Ausführung einer Anwendung erforderlich ist - alle Abhängigkeiten, Konfigurationen, Skripte, Binärdateien und so weiter.

; Portables Abbild eines Containers
Als wird ein Docker-Image in Form einer Textdatei beschrieben – man spricht von einem [[Docker/Dockerfile|Dockerfile]]
* Soll ein Container auf einem System gestartet werden, wird zunächst ein Paket mit dem jeweiligen Image geladen – sofern dieses nicht lokal vorliegt
* Das geladene Image stellt das für die Laufzeit benötigte '''Dateisystem inklusive aller Parameter''' bereit
* Ein Container kann als laufender Prozess eines Images betrachtet werden

; Siehe auch
* [[Docker/Images selbst definieren|Images selbst definieren]]

== Docker-Engine ==
Mit [[Docker/Befehle|Docker-Befehlen]] können Anwenderinnen und Anwender Software-Container direkt aus dem Terminal starten, stoppen und verwalten
* Die Ansprache des Daemon erfolgt über das Kommando dockerund Anweisungen wie build (erstelle), pull (lade herunter) oder run (starte)
* Client und Server können sich dabei auf dem gleichen System befinden
* Alternativ steht Anwendern die Möglichkeit offen, einen Docker-Daemon auf einem anderen System anzusprechen
* Je nachdem, welche Art von Verbindung aufgebaut werden soll, erfolgt die Kommunikation zwischen Client und Server über die REST-API, über UNIX-Sockets oder eine Netzwerkschnittstelle

=== Komponenten ===
Zusammenspiel der Docker-Komponenten
[[Image:03_csm_schematische-darstellung-docker-architektur_0cbba145c8.webp|mini|400px|alt="Bild: Schematische Darstellung der Docker-Architektur"|Die Docker-Architektur basiert auf einem Zusammenspiel aus Client (Terminal), Server (Docker-Daemon) und Registry (Docker-Hub)]]

; Beispiel
* docker build
* docker pull
* docker run

; docker build
Das Kommando docker build weist den Docker-Daemon an, ein Image zu erstellen (gepunktete Linie)
* Dazu muss ein entsprechendes [[Dockerfile]] vorliegen

Soll das Image nicht selbst erstellt, sondern aus einem Repository im Docker-Hub geladen werden, kommt das Kommando docker pull zum Einsatz (gestrichelte Linie)
* Wird der Docker-Daemon via docker run angewiesen, einen Container zu starten, prüft das Hintergrundprogramm zunächst, ob das entsprechende Container-Image lokal vorliegt
* Ist dies der Fall, wird der Container ausgeführt (durchgezogene Linie)
* Kann der Daemon das Image nicht finden, leitet dieser automatisch ein Pulling aus dem Repository ein

=== Betriebssysteme ===
; Virtualisierung mit [[Linux]]
Docker auf die Virtualisierung mit [[Linux]] ausgerichtet
* Docker-Technologie benötigt einen [[Linux-Kernel]]

== Container und Virtuelle Maschinen ==
; Varianten
* Hardware
* Betriebssystem
** Linux, FreeBSD, macOS, Windows, …
* Virtualisierung

=== Herkömmliche Virtualisierung ===
<s>Im rechten Bild</s> wird eine herkömmliche Virtualisierung mit virtuellen Maschinen (''VM'') dargestellt
* Dabei wird in der VM ein komplettes Betriebssystem (das "Gast-Betriebssystem") installiert und darin läuft dann die gewünschte Anwendung
* Die Virtualisierung (VirtualBox, VMware, ...) läuft dabei als Anwendung auf dem Host-Betriebssystem und stellt dem Gast-Betriebssystem in der VM einen Rechner mit CPU, RAM, zur Verfügung und übersetzt die Systemaufrufe in der VM in die entsprechenden Aufrufe im Host-Betriebssystem
* Dies benötigt in der Regel entsprechende Ressourcen: Durch das komplette Betriebssystem in der VM ist eine VM (die als Datei im Filesystem des Host-Betriebssystems liegt) oft mehrere 10GB groß
* Für die Übersetzung werden zusätzlich Hardwareressourcen benötigt, d. h. hier gehen CPU-Zyklen und RAM "verloren"
* Das Starten einer VM dauert entsprechend lange, da hier ein komplettes Betriebssystem hochgefahren werden muss
* Dafür sind die Prozesse in einer VM relativ stark vom Host-Betriebssystem abgekapselt, so dass man hier von einer "Sandbox" sprechen kann: Viren o.ä
* können nicht so leicht aus einer VM "ausbrechen" und auf das Host-Betriebssystem zugreifen (quasi nur über Lücken im Gast-Betriebssystem kombiniert mit Lücken in der Virtualisierungssoftware)

=== Virtualisierung auf Containerbasis ===
<s>Im linken Bild</s> ist eine schlanke Virtualisierung auf Containerbasis dargestellt
* Die Anwendungen laufen direkt als Prozesse im Host-Betriebssystem, ein Gast-Betriebssystem ist nicht notwendig
* Durch den geschickten Einsatz von <code>namespaces</code> und <code>cgroups</code> und anderen in Linux und FreeBSD verfügbaren Techniken werden die Prozesse abgeschottet, d. h. der im Container laufende Prozess "sieht" die anderen Prozesse des Hosts nicht
* Die Erstellung und Steuerung der Container übernimmt hier beispielsweise Docker
* Die Container sind dabei auch wieder Dateien im Host-Filesystem
* Dadurch benötigen Container wesentlich weniger Platz als herkömmliche VMs, der Start einer Anwendung geht deutlich schneller und die Hardwareressourcen (CPU, RAM, ...) werden effizient genutzt
* Nachteilig ist, dass hier in der Regel ein Linux-Host benötigt wird (für Windows wird mittlerweile der Linux-Layer (''WSL'') genutzt; für macOS wurde bisher eine Linux-VM im Hintergrund hochgefahren, mittlerweile wird aber eine eigene schlanke Virtualisierung eingesetzt)
* Außerdem steht im Container üblicherweise kein graphisches Benutzerinterface zur Verfügung
* Da die Prozesse direkt im Host-Betriebssystem laufen, stellen Container keine Sicherheitsschicht ("Sandboxen") dar!

In allen Fällen muss die Hardwarearchitektur beachtet werden: Auf einer Intel-Maschine können normalerweise keine VMs/Container basierend auf ARM-Architektur ausgeführt werden und umgekehrt

== Anhang ==
=== Siehe auch ===
; Kategorien
<div style="column-count:2">
<categorytree hideroot=on mode="category">Docker</categorytree>
</div>
; Unterseiten
{{Special:PrefixIndex/Docker/}}

=== Links ===
==== Weblinks ====
# https://docs.docker.com
# https://hub.docker.com/search
# https://de.wikipedia.org/wiki/Docker_(Software)
# https://www.hsbi.de/elearning/data/FH-Bielefeld/lm_data/lm_1359639/building/docker.html
# [https://www.docker.com/ Offizielle Website]
# [http://www.admin-magazin.de/Das-Heft/2014/02/Renaissance-der-Container-Virtualisierung-mit-Docker Renaissance der Container-Virtualisierung mit Docker]
# [https://www.informatik-aktuell.de/entwicklung/methoden/containerplattform-lego-fuer-devops.html Einführung und Praxisbeispiele / Übersicht Docker und Container-Virtualisierung]

[[Kategorie:Docker]]

</noinclude>

MediaWiki/Fehlerbehebung

2026-06-17T08:40:45Z

Dirkwagner: Textersetzung - „ )“ durch „)“

'''topic''' - Beschreibung

= Analyse =
== Protokollierung ==
Protokollierung zur Fehleranalyse

;LocalSettings.php
$wgDebugLogFile = "/full/path/to/your/debug/log/file";

Diese Datei muss von Ihrem Webserver beschreibbar sein.

== Debug-Toolbar ==
* Werkzeug zur Fehleranalyse
* Zeigt Informationen am unteren Rand des Browsers an
** SQL-Aufrufe
** Warnungen
** Debug-Anzeigen

;Aktivierung
$wgDebugToolbar = true;

;Sicherheit

Möglicherweise möchten Sie jedoch nicht, dass jeder die Debugging-Symbolleiste sieht, während sie aktiviert ist
* wenn Sie sie aktivieren, wird sie jeder sehen

;Andere Möglichkeit
* Wenn Sie eine Fehlermeldung sehen, die den Text "(SQL-Abfrage versteckt)" enthält, und Sie das aufgerufene SQL sehen möchten, können Sie es sehen, indem Sie Folgendes zu LocalSettings.php hinzufügen:
$wgShowSQLErrors = true;

== Websuche ==
Text der Fehlermeldung
* oft sind andere auf dasselbe Problem gestoßen
* es gibt eine bekannte Lösung

= Typische Fehler =
== Leere Seite ==
;Ursache

PHP Konfiguration
* leere Seite anstelle einer Fehlermeldung

;Lösung

Aktivieren der PHP-Fehleranzeige
ini_set('display_errors', 1);
* php.ini
* LocalSettings.php
** Am Anfang der Datei, direkt unter der Zeile "<?php"

== Installation ==
* Fehlerhafte Zugriffsrechte
* Fehlende Dateien

== Datenbank ==
* Zugriff
* Berechtigungen
* Fehlende Tabellen
* Fehlende Aktualisierung des Datenbankschemas

== Einstellungen ==
Fehlerhafte Einstellungen
* LocalSettings.php

== Erweiterungen ==
* Inkompatible Versionen

;Hauptseite der Erweiterung'''
* Diskussionsseite prüfen

== Firefox-Nutzer und Session-Loss-Fehler ==
Wenn du die folgende Fehlermeldung erhältst und du den Browser Firefox benutzt, dann geschieht das vermutlich auf Grund eines bekannten Fehlers im Browser. Eine Anleitung zur Fehlervermeidung findest du unten.
{| class="wikitable"
|
|Entschuldigung! Wir konnten deine Bearbeitung nicht verarbeiten, da Sitzungsdaten verloren gegangen sind.

Du wurdest eventuell abgemeldet. '''Bitte stelle sicher, dass du noch angemeldet bist, und versuche es erneut'''.

Falls dies nicht funktioniert, versuche dich abzumelden und anschließend wieder anzumelden und überprüfe, ob dein Browser Cookies von dieser Website akzeptiert.
|}

Das Speichern kann unter Umständen einfach wiederholt erfolgreich sein, aber auch gänzlich scheitern.

Das gleiche Problem beim Browser SeaMonkey (Mozilla) kann auf die gleiche Weise behoben werden. Denke daran, den Browser danach neu zu starten!

=== Das Problem beheben ===
; LocalSettings.php
Folgendes ergänzen:
$wgSessionCacheType = CACHE_DB;

; Firefox 71+
# Öffne ein neues Tab oder Fenster.
# gib oder füge <code>about:config</code> in die Adresszeile ein und bestätige mit [Enter]. (Möglicherweise gibt es danach einen Warnhinweis. Mache nur weiter, wenn du ein erfahrener Benutzer bist.)
# gib oder füge <code>network.cookie.maxPerHost</code> in die Suchleiste ein
# falls die Einstellung existiert, klicke auf das Stifticon, um sie zu bearbeiten. Ansonsten wähle "Number", und klicke auf das Plusicon
# füge einen Wert (siehe unten) ein und klicke auf der Häkchenicon, um zu speichern
# '''Erledigt'''

Möglicherweise musst du die Seite neu laden, dich neu anmelden oder den Browser neu starten, damit die Einstellung wirksam wird; aber wahrscheinlich nicht.

; Wert
* jeder Wert zwischen 200 und 2000 sollte funktionieren.
* Erwarte etwa 5+ Cookies pro Wiki und zähle nur das Projekt (beispielsweise Wiktionary), das du in den meisten unterschiedlichen Sprachversionen aufrufst.

=== Weitere Informationen ===
# phab:T151770
# https://bugzilla.mozilla.org/show_bug.cgi?id=1319403

= Dokumentation =
== Projekt-Homepage ==

= Links =
== Intern ==
== Weblinks ==

[[Kategorie:MediaWiki/Verwaltung]]

Diskussion:Signal (Messenger)

2026-06-17T08:40:45Z

Dirkwagner: Textersetzung - „ )“ durch „)“

= Configuring Apt Sources =
Apt downloads packages from one or more software repositories (sources) and installs them onto your computer.

A repository is generally a network server, such as the official DebianStable repository. Local directories or CD/DVD are also accepted.

The specific repositories (package sources) configured on your machine affect:

* What software packages are available for download
* What versions of packages are available
* Who packages the software

== Commonly used package sources ==

* DebianStable: official Debian repository for the current release
* StableProposedUpdates: official Debian repository for upcoming point releases (security and important bug fixes every ~2 months)
* StableUpdates: official Debian repository for changes that cannot wait for the next point release, packages are also added to StableProposedUpdates for inclusion in the next point release
* DebianSecurity: official Debian repository for frequent security updates
* DebianBackports: more recent versions of some packages, compatible with DebianStable.
* DebianTesting: current development state of the next stable Debian distribution
* DebianUnstable: rolling development version containing the latest packages
* DebianExperimental: development version containing the experimental/alpha/beta/untested packages

== Editing software sources ==

=== Precautions ===
Being able to change the repositories used by your package management system is a powerful feature but this power comes with some responsibility. Users are cautioned that it is possible to break your system (in a way that could be difficult or impossible to cleanly fix) by adding third-party repositories, or repositories for a Debian version that does not match your current version - these repository create a risk of conflicting package versions, creating what's sometimes called a "Franken-Debian" system. The whole concept behind a Debian stable release is that the Debian developers have picked a set of software and their versions that function nicely together. While this software is patched to fix security issues, the software is frequently not the latest version. It takes some experience to know how the repos may be changed without risk of breaking your system. Users of all levels are advised to change repos cautiously.

=== Using a graphical program ===
Some programs allow configuring Apt sources through a graphical interface. For example:

* <code>Applications menu > Settings > Software and updates</code> (software-properties-gtk package)

=== Using a text editor ===
The main Apt sources configuration file is at '''<code>/etc/apt/sources.list</code>'''. You can edit this file (as root) using your favorite text editor. See the sources.list manual page for more info.

To add custom sources, creating separate files under <code>/etc/apt/sources.list.d/</code> in DEB822 source format is preferred. See the deb822 manual page for more info.

=== sources.list format ===
'''Debian Reference Manual - 2.1.4. Debian archive basics'''

The entries in this file normally follow this format:
deb <nowiki>https://site.example.com/debian</nowiki> distribution component1 component2 component3
deb-src <nowiki>https://site.example.com/debian</nowiki> distribution component1 component2 component3

==== Archive type ====
The first word on each line, '''deb''' or '''deb-src''', indicates the type of archive. '''Deb''' indicates that the archive contains binary packages (deb), the pre-compiled packages that we normally use. '''Deb-src''' indicates source packages, which are the original program sources plus the Debian control file (.dsc) and the diff.gz containing the changes needed for packaging the program.

==== Repository URL ====
The next entry on the line is a URL to the repository that you want to download the packages from. The main list of Debian repository mirrors is located here.

==== Distribution ====
The 'distribution' can be either the release code name / alias ( stretch, buster, bullseye, bookworm, sid) or the release class (oldoldstable, oldstable, stable, testing, unstable) respectively. If you mean to be tracking a release class then use the class name, if you want to track a Debian point release, use the code name. Avoid using stable in your sources.list as that results in nasty surprises and broken systems when the next release is made; upgrading to a new release should be a deliberate, careful action and editing a file once every two years is not a burden.

For example, if you always want to help test the testing release, use 'testing'. If you are tracking trixie and want to stay with it from testing to end of life, use 'trixie'.

==== Component ====
main consists of DFSG-compliant packages, which do not rely on software outside this area to operate. These are the only packages considered part of the Debian distribution.

contrib packages contain DFSG-compliant software, but have dependencies not in main (possibly packaged for Debian in non-free).

non-free contains software that does not comply with the DFSG.

The Debian project has taken the decision in 2022-10 to create a new repository component <code>non-free-firmware</code>, and include its content on installation media for the Debian ''bookworm'' to make things easier for our users.

And if you choose to get more information, feel free to follow the firmware GR result - what happens next?.

The Debian wiki has a page about firmware for older releases, bookworm and later.

=== Example sources.list ===
Below is an example of a <code>sources.list</code> for Debian 12/Bookworm (stable) released 10th June 2023.
deb <nowiki>https://deb.debian.org/debian</nowiki> bookworm main non-free-firmware
deb-src <nowiki>https://deb.debian.org/debian</nowiki> bookworm main non-free-firmware

deb <nowiki>https://deb.debian.org/debian-security/</nowiki> bookworm-security main non-free-firmware
deb-src <nowiki>https://deb.debian.org/debian-security/</nowiki> bookworm-security main non-free-firmware

deb <nowiki>https://deb.debian.org/debian</nowiki> bookworm-updates main non-free-firmware
deb-src <nowiki>https://deb.debian.org/debian</nowiki> bookworm-updates main non-free-firmware
The equivalent entry in deb822 style under <code>/etc/apt/sources.list.d/debian.sources</code> looks like this:
Types: deb deb-src
URIs: <nowiki>https://deb.debian.org/debian</nowiki>
Suites: bookworm bookworm-updates
Components: main
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg

Types: deb deb-src
URIs: <nowiki>https://deb.debian.org/debian-security</nowiki>
Suites: bookworm-security
Components: main
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg
If you need the contrib, non-free and non-free-firmware components, add <code>contrib non-free non-free-firmware</code> after <code>main</code>. For example, for Debian 12/Bookworm:
deb <nowiki>https://deb.debian.org/debian</nowiki> bookworm main contrib non-free non-free-firmware
deb-src <nowiki>https://deb.debian.org/debian</nowiki> bookworm main contrib non-free non-free-firmware

deb <nowiki>https://deb.debian.org/debian-security/</nowiki> bookworm-security main contrib non-free non-free-firmware
deb-src <nowiki>https://deb.debian.org/debian-security/</nowiki> bookworm-security main contrib non-free non-free-firmware

deb <nowiki>https://deb.debian.org/debian</nowiki> bookworm-updates main contrib non-free non-free-firmware
deb-src <nowiki>https://deb.debian.org/debian</nowiki> bookworm-updates main contrib non-free non-free-firmware
The equivalent entry in deb822 style including the <code>non-free</code> and <code>non-free-firmware</code> components:
Types: deb deb-src
URIs: <nowiki>https://deb.debian.org/debian</nowiki>
Suites: bookworm bookworm-updates
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg

Types: deb deb-src
URIs: <nowiki>https://deb.debian.org/debian-security</nowiki>
Suites: bookworm-security
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg
If you need the Backports, contrib, and non-free components, add '''bookworm-backports''' lines. For example, for Debian 12/Bookworm:
deb <nowiki>https://deb.debian.org/debian</nowiki> bookworm-backports main contrib non-free non-free-firmware
deb-src <nowiki>https://deb.debian.org/debian</nowiki> bookworm-backports main contrib non-free non-free-firmware
The equivalent entry in deb822 style including the <code>non-free non-free-firmware</code> and <code>bookworm-backports</code> component:
Types: deb deb-src
URIs: <nowiki>https://deb.debian.org/debian</nowiki>
Suites: bookworm bookworm-updates bookworm-backports
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg

Types: deb deb-src
URIs: <nowiki>https://deb.debian.org/debian-security</nowiki>
Suites: bookworm-security
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg
Below is an example of a <code>sources.list</code> for Debian 11/Bullseye (oldstable).
deb <nowiki>https://deb.debian.org/debian</nowiki> bullseye main
deb-src <nowiki>https://deb.debian.org/debian</nowiki> bullseye main

deb <nowiki>https://deb.debian.org/debian-security/</nowiki> bullseye-security main
deb-src <nowiki>https://deb.debian.org/debian-security/</nowiki> bullseye-security main

deb <nowiki>https://deb.debian.org/debian</nowiki> bullseye-updates main
deb-src <nowiki>https://deb.debian.org/debian</nowiki> bullseye-updates main
If you need the contrib and non-free components, add '''contrib non-free''' after '''main'''. For example, for Debian 11/Bullseye:
deb <nowiki>https://deb.debian.org/debian</nowiki> bullseye main contrib non-free
deb-src <nowiki>https://deb.debian.org/debian</nowiki> bullseye main contrib non-free

deb <nowiki>https://deb.debian.org/debian-security/</nowiki> bullseye-security main contrib non-free
deb-src <nowiki>https://deb.debian.org/debian-security/</nowiki> bullseye-security main contrib non-free

deb <nowiki>https://deb.debian.org/debian</nowiki> bullseye-updates main contrib non-free
deb-src <nowiki>https://deb.debian.org/debian</nowiki> bullseye-updates main contrib non-free
If you need the Backports, contrib, and non-free components, add '''bullseye-backports''' lines. For example, for Debian 11/Bullseye:
deb <nowiki>https://deb.debian.org/debian</nowiki> bullseye-backports main contrib non-free
deb-src <nowiki>https://deb.debian.org/debian</nowiki> bullseye-backports main contrib non-free
Questions about the support cycle? Click here

If you need the Debian Unstable, then change the distribution to '''unstable'''. Note that Updates and Security is not used since Unstable is a rolling development version consisting of the latest packages. That is, '''unstable main''' will be the only entry in <code>sources.list</code>.
deb <nowiki>https://deb.debian.org/debian/</nowiki> unstable main
deb-src <nowiki>https://deb.debian.org/debian/</nowiki> unstable main
You can instead use <code>https://...</code> in all of the above lines to use the repositories over encrypted HTTPS connections if the according mirror supports HTTPS. (Users of Debian 9/Stretch or older releases will need to install the apt-transport-https package first.)

You can use a GNOME tool to edit your <code>sources.list</code> file. Access it through Menu → System → Administration → Software Sources.

== Using Tor with Apt ==
Apt can retrieve and download updates through Tor. For this to work you need to install the tor and apt-transport-tor packages. You can then use the official onion services provided by Debian.

Here is an example <code>sources.list</code> using the onion services for Debian 11/Bullseye:
deb tor+<nowiki>https://2s4yqjx5ul6okpp3f2gaunr2syex5jgbfpfvhxxbbjwnrsvbk5v3qbid.onion/debian</nowiki> bullseye main
deb-src tor+<nowiki>https://2s4yqjx5ul6okpp3f2gaunr2syex5jgbfpfvhxxbbjwnrsvbk5v3qbid.onion/debian</nowiki> bullseye main

deb tor+<nowiki>https://5ajw6aqf3ep7sijnscdzw77t7xq4xjpsy335yb2wiwgouo7yfxtjlmid.onion/</nowiki>
debian-security bullseye-security main
deb-src tor+<nowiki>https://5ajw6aqf3ep7sijnscdzw77t7xq4xjpsy335yb2wiwgouo7yfxtjlmid.onion/</nowiki>
debian-security bullseye-security main

deb tor+<nowiki>https://2s4yqjx5ul6okpp3f2gaunr2syex5jgbfpfvhxxbbjwnrsvbk5v3qbid.onion/debian</nowiki> bullseye-updates main
deb-src tor+<nowiki>https://2s4yqjx5ul6okpp3f2gaunr2syex5jgbfpfvhxxbbjwnrsvbk5v3qbid.onion/debian</nowiki> bullseye-updates main

== CD-ROM ==
If you'd rather use your CD-ROM for installing packages or updating your system automatically with APT, you can put it in your <code>/etc/apt/sources.list</code>. To do so, you can use the apt-cdrom program like this:
# apt-cdrom add
with the Debian CD-ROM in the drive.

You can use -d for the directory of the CD-ROM mount point or add a non-CD mount point (i.e. a USB keydrive).

== Name Resolution ==
On occasion name resolution can break.
# apt update
0% [Working]Unsupported socketcall: 20
Unsupported socketcall: 20
Unsupported socketcall: 20
Unsupported socketcall: 20
Unsupported socketcall: 20
Unsupported socketcall: 20
Unsupported socketcall: 20
Unsupported socketcall: 20
Err:1 <nowiki>https://deb.debian.org/debian</nowiki> testing InRelease
Temporary failure resolving 'deb.debian.org'
Reading package lists... Done
W: Failed to fetch <nowiki>https://deb.debian.org/debian/dists/testing/InRelease</nowiki> Temporary failure resolving 'deb.debian.org'
W: Some index files failed to download. They have been ignored, or old ones used instead.
You can temporarily work around it by obtaining the IP address from another machine, and then using the IP address rather than the URI:
echo "deb <nowiki>https://128.30.2.26/debian</nowiki> testing main" > /etc/apt/sources.list

apt update
Get:1 <nowiki>https://128.30.2.26/debian</nowiki> testing InRelease [232 kB]
Get:2 <nowiki>https://128.30.2.26/debian</nowiki> testing/main s390x Packages [7583 kB]
Get:3 <nowiki>https://128.30.2.26/debian</nowiki> testing/main Translation-en [5134 kB]
Fetched 13.0 MB in 32s (403 kB/s)
Reading package lists... Done

== Debug Symbol Packages ==
To debug a crash you often need the related debug symbol files. For most Debian packages these are in dbgsym packages. These are available from a separate archive.

Here is an example entry for your <code>sources.list</code> for Debian 12/Bookworm dbgsym packages:
deb <nowiki>https://deb.debian.org/debian-debug/</nowiki> bookworm-debug main
And an example for Debian 11/Bullseye:
deb <nowiki>https://deb.debian.org/debian-debug/</nowiki> bullseye-debug main
The same if you running testing:
deb <nowiki>https://deb.debian.org/debian-debug/</nowiki> testing-debug main
And one more example if you are using the unstable distribution:
deb <nowiki>https://deb.debian.org/debian-debug/</nowiki> unstable-debug main

== More information ==

* A list of UnofficialRepositories to get extra software ( Skype, Opera, Google)
* About deb.debian.org, a service that aims to solve the problem of choosing a Debian mirror.
* Adding source lists, including cds, using apt-setup
* APT HOWTO
* AptCLI
* AptPreferences
* Backports
* Debian on CDs
* DebianRepository/UseThirdParty - Instructions to use to a third-party repository
* sources.list(5) manual page

----CategoryPackageManagement

Postfix/Virtuelle Domänen

2026-06-17T08:40:45Z

Dirkwagner: Textersetzung - „ )“ durch „)“

Die optionale virtuelle Tabelle gibt Umleitungen für lokale und nicht lokale Empfänger oder Domänen an. Die Umleitungen werden vom Bereinigungsdämon (8) verwendet. Die Umleitungen sind rekursiv.

Die virtuelle Umleitung wird nur auf die Adresse des Empfängerumschlags angewandt und wirkt sich nicht auf Nachrichtenkopfzeilen aus. Denken Sie an den Sendmail-Regelsatz S0 , wenn Sie möchten. Verwenden Sie die kanonische Zuordnung , um Header- und Umschlagadressen im Allgemeinen neu zu schreiben.

Die typische Unterstützung für eine virtuelle Domäne sieht folgendermaßen aus:

virtual.domain ... anything (der Inhalt auf der rechten Seite spielt keine Rolle)
user1@virtual.domain ... address1
user2@virtual.domain zugeordnet ... address2, address3

Damit akzeptiert der SMTP-Server E-Mails fürvirtual.domainund lehnt E-Mails fürunknown@virtual.domainals unzustellbar ab.

Das Format der virtuellen Tabelle lautet wie folgt: Zuordnungen werden in der hier aufgeführten Reihenfolge versucht:

user@domain zugeordnet zu ... address, address, ... : E-Mail für user@domain wird an address umgeleitet. Diese Form hat die höchste Priorität.
user zugeordnet zu ... address, address, ... : $myorigin Mail für user@site wird an address umgeleitet, wenn Site gleich $myorigin wenn Site in $mydestination , oder wenn sie in $inet_interfaces . Diese Funktionalität überschneidet sich mit der Funktionalität der lokalen Aliasdatenbank . Der Unterschied besteht darin, dass die virtuelle Zuordnung auf nicht lokale Adressen angewandt werden kann.
@domain zugeordnet zu ... address, address, ... : @domain Mails für jeden Benutzer in der domain an die address umgeleitet. Diese Form hat die niedrigste Priorität.

Wenn in allen oben genannten Formularen die Adresse das Formular@otherdomain, ist das Ergebnis derselbe Benutzer in einer anderen Domäne. Dies funktioniert nur für die erste Adresse in der Erweiterung.

ADRESSERWEITERUNG: Wenn die Suche fehlschlägt und der Adress-Localpart den optionalen Empfängerbegrenzer enthält (beispielsweise user+foo@domain), wird die Suche nach der nicht erweiterten Adresse (beispielsweise user@domain) wiederholt und die nicht übereinstimmende Adresserweiterung an weitergegeben das Ergebnis der Expansion. Die passende Reihenfolge ist: user+foo@domain , user@domain , user+foo , user und @domain .

= TMP =
[[zh-hans:Virtual user mail system with Postfix, Dovecot and Roundcube]]
{{Related articles start}}
{{Related|Courier MTA}}
{{Related|OpenDKIM}}
{{Related|Postfix}}
{{Related|SOGo}}
{{Related articles end}}
{{Merge|Postfix|Article duplicates [[Postfix]], [[Dovecot]] and [[Roundcube]] and mainly consists of config snippets intended to be copy'n'pasted.}}

This article describes how to set up a virtual user mail system, i.e. where the senders and recipients do not correspond to the Linux system users.

Roughly, the components used in this article are [[Postfix]] as the mail server, [[Dovecot]] as the IMAP server, [[Roundcube]] as the webmail interface and PostfixAdmin as the administration interface to manage it all.

In the end, the provided solution will allow you to use the best currently available security mechanisms, you will be able to send mails using SMTP and SMTPS and receive mails using POP3, POP3S, IMAP and IMAPS. Additionally, configuration will be easy thanks to PostfixAdmin and users will be able to login using Roundcube.

== Installation ==

Before you start, you must have both a working MySQL server as described in [[MySQL]] and a working Postfix server as described in [[Postfix]].

[[Install]] the {{Pkg|postfix-mysql}}, {{Pkg|dovecot}}, and {{Pkg|roundcubemail}} packages.

== Configuration ==

=== User ===

For security reasons, a new user should be created to store the mails:
# groupadd -g 5000 vmail
# useradd -u 5000 -g vmail -s /usr/bin/nologin -d /home/vmail -m vmail
A gid and uid of 5000 is used in both cases so that we do not run into conflicts with regular users. All your mail will then be stored in {{ic|/home/vmail}}. You could change the home directory to something like {{ic|/var/mail/vmail}} but be careful to change this in any configuration below as well.

=== Database ===

You will need to create an empty database and corresponding user. In this article, the user ''postfix_user'' will have read/write access to the database ''postfix_db'' using ''hunter2'' as password. You are expected to create the database and user yourself, and give the user permission to use the database, as shown in the following code.

{{hc|$ mysql -u root -p|
CREATE DATABASE postfix_db;
GRANT ALL ON postfix_db.* TO 'postfix_user'@'localhost' IDENTIFIED BY 'hunter2';
FLUSH PRIVILEGES;
}}

{{Expansion|Further manual database installation is missing. So far, the only way to follow this article is by installing PostfixAdmin with Apache, MySQL and PHP.}}

Now you can go to the PostfixAdmin's setup page, let PostfixAdmin create the needed tables and create the users in there.

==== PostfixAdmin ====

See [[PostfixAdmin]].

=== SSL certificate ===

You will need a SSL certificate for all encrypted mail communications (SMTPS/IMAPS/POP3S). If you do not have one, create one:
# cd /etc/ssl/private/
# openssl req -new -x509 -nodes -newkey rsa:4096 -keyout vmail.key -out vmail.crt -days 1460 #days are optional
# chmod 400 vmail.key
# chmod 444 vmail.crt

Alternatively, create a free trusted certificate using [[Let's Encrypt]]. The private key will be in {{ic|/etc/letsencrypt/live/''yourdomain''/privkey.pem}}, the certificate in {{ic|/etc/letsencrypt/live/''yourdomain''/fullchain.pem}}. Either change the configuration accordingly, or symlink the keys to {{ic|/etc/ssl/private}}:
# ln -s /etc/letsencrypt/live/''yourdomain''/privkey.pem /etc/ssl/private/vmail.key
# ln -s /etc/letsencrypt/live/''yourdomain''/fullchain.pem /etc/ssl/private/vmail.crt

=== Postfix ===

Before you copy & paste the configuration below, check if {{ic|relay_domains}} has already been set. If you leave more than one active, you will receive warnings during runtime.

{{Warning|{{ic|<nowiki>relay_domains</nowiki>}} can be dangerous. You usually do not want Postfix to forward mail of strangers. {{ic|<nowiki>$mydestination</nowiki>}} is a sane default value. Double check its value before running postfix! See https://www.postfix.org/BASIC_CONFIGURATION_README.html#relay_to}}

Also follow [[Postfix#Secure SMTP (receiving)]] pointing to the files you created in [[#SSL certificate]].

==== Setting up Postfix ====

To {{ic|/etc/postfix/main.cf}} append:
relay_domains = $mydestination
virtual_alias_maps = proxy:mysql:/etc/postfix/virtual_alias_maps.cf
virtual_mailbox_domains = proxy:mysql:/etc/postfix/virtual_mailbox_domains.cf
virtual_mailbox_maps = proxy:mysql:/etc/postfix/virtual_mailbox_maps.cf
virtual_mailbox_base = /home/vmail
virtual_mailbox_limit = 512000000
virtual_minimum_uid = 5000
virtual_transport = virtual
virtual_uid_maps = static:5000
virtual_gid_maps = static:5000
local_transport = virtual
local_recipient_maps = $virtual_mailbox_maps
transport_maps = hash:/etc/postfix/transport

smtpd_sasl_auth_enable = yes
smtpd_sasl_type = dovecot
smtpd_sasl_path = /var/run/dovecot/auth-client
smtpd_recipient_restrictions = permit_mynetworks, permit_sasl_authenticated, reject_unauth_destination
smtpd_relay_restrictions = permit_mynetworks, permit_sasl_authenticated, reject_unauth_destination
smtpd_sasl_security_options = noanonymous
smtpd_sasl_tls_security_options = $smtpd_sasl_security_options
smtpd_tls_security_level = may
smtpd_tls_auth_only = yes
smtpd_tls_received_header = yes
smtpd_tls_cert_file = /etc/ssl/private/vmail.crt
smtpd_tls_key_file = /etc/ssl/private/vmail.key
smtpd_sasl_local_domain = $mydomain
smtpd_tls_loglevel = 1
smtp_tls_security_level = may
smtp_tls_loglevel = 1

* In the configuration above {{ic|virtual_mailbox_domains}} is a list of the domains that you want to receive mail for. This CANNOT contain the domain that is set in {{ic|mydestination}}. That is why we left {{ic|mydestination}} to be localhost only.

* {{ic|virtual_mailbox_maps}} will contain the information of virtual users and their mailbox locations. We are using a hash file to store the more permanent maps, and these will then override the forwards in the MySQL database.

* {{ic|virtual_mailbox_base}} is the base directory where the virtual mailboxes will be stored.

The {{ic|virtual_uid_maps}} and {{ic|virtual_gid_maps}} are the real system user IDs that the virtual mails will be owned by. This is for storage purposes.

{{note|Since we will be using a web interface (Roundcube), and do not want people accessing this by any other means, we will be creating this account later without providing any login access.}}

==== Create the file structure ====

Those new additional settings reference a lot of files that do not even exist yet. We will create them with the following steps.

If you were setting up your database with PostfixAdmin and created the database schema through PostfixAdmin, you can create the following files. Do not forget to change the password:

{{hc|/etc/postfix/virtual_alias_maps.cf|<nowiki>
user = postfix_user
password = hunter2
hosts = localhost
dbname = postfix_db
table = alias
select_field = goto
where_field = address
</nowiki>}}

{{hc|/etc/postfix/virtual_mailbox_domains.cf|<nowiki>
user = postfix_user
password = hunter2
hosts = localhost
dbname = postfix_db
table = domain
select_field = domain
where_field = domain
</nowiki>}}

{{hc|/etc/postfix/virtual_mailbox_maps.cf|<nowiki>
user = postfix_user
password = hunter2
hosts = localhost
dbname = postfix_db
table = mailbox
select_field = maildir
where_field = username
</nowiki>}}

For alias domains functionality adjust the following files:

{{hc|/etc/postfix/main.cf|<nowiki>
virtual_alias_maps = proxy:mysql:/etc/postfix/virtual_alias_maps.cf,proxy:mysql:/etc/postfix/virtual_alias_domains_maps.cf
virtual_alias_domains = proxy:mysql:/etc/postfix/virtual_alias_domains.cf
</nowiki>}}

{{hc|/etc/postfix/virtual_alias_domains_maps.cf|<nowiki>
user = postfix_user
password = hunter2
hosts = localhost
dbname = postfix_db
query = SELECT goto FROM alias,alias_domain WHERE alias_domain.alias_domain = '%d' and alias.address = CONCAT('%u', '@', alias_domain.target_domain) AND alias.active = '1' AND alias_domain.active='1'
</nowiki>}}

{{hc|/etc/postfix/virtual_alias_domains.cf|<nowiki>
user = postfix_user
password = hunter2
hosts = localhost
dbname = postfix_db
query = SELECT alias_domain FROM alias_domain WHERE alias_domain='%s' AND active = '1'
</nowiki>}}

{{Note | For setups without using PostfixAdmin, create the following files.}}

{{hc|/etc/postfix/virtual_alias_maps.cf|<nowiki>
user = postfix_user
password = hunter2
hosts = localhost
dbname = postfix_db
table = domains
select_field = virtual
where_field = domain
</nowiki>}}

{{hc|/etc/postfix/virtual_mailbox_domains.cf|<nowiki>
user = postfix_user
password = hunter2
hosts = localhost
dbname = postfix_db
table = forwardings
select_field = destination
where_field = source
</nowiki>}}

{{hc|/etc/postfix/virtual_mailbox_maps.cf|<nowiki>
user = postfix_user
password = hunter2
hosts = localhost
dbname = postfix_db
table = users
select_field = concat(domain,'/',email,'/')
where_field = email
</nowiki>}}

Run ''postmap'' on ''transport'' to generate its db:
# postmap /etc/postfix/transport

=== Dovecot ===

Instead of using the provided Dovecot example configuration file, we will create our own {{ic|/etc/dovecot/dovecot.conf}}. Please note that the user and group here might be vmail '''instead of postfix'''!

{{hc|/etc/dovecot/dovecot.conf|<nowiki>
protocols = imap pop3
auth_mechanisms = plain
passdb {
driver = sql
args = /etc/dovecot/dovecot-sql.conf
}
userdb {
driver = sql
args = /etc/dovecot/dovecot-sql.conf
}

service auth {
unix_listener auth-client {
group = postfix
mode = 0660
user = postfix
}
user = root
}

mail_home = /home/vmail/%d/%n
mail_location = maildir:~

ssl_cert = </etc/ssl/private/vmail.crt
ssl_key = </etc/ssl/private/vmail.key
</nowiki>}}

{{note|If you instead want to modify {{ic|dovecot.conf.sample}}, beware that the default configuration file imports the content of {{ic|conf.d/*.conf}}. Those files call other files that are not present in our configuration.}}

Now we create {{ic|/etc/dovecot/dovecot-sql.conf}}, which we just referenced in the configuration above. Use the following contents and check if everything is set accordingly to your system's configuration.

If you used PostfixAdmin, then you add the following:

{{hc|/etc/dovecot/dovecot-sql.conf|<nowiki>
driver = mysql
connect = host=localhost dbname=postfix_db user=postfix_user password=hunter2
# It is highly recommended to not use deprecated MD5-CRYPT. Read more at https://wiki2.dovecot.org/Authentication/PasswordSchemes
default_pass_scheme = SHA512-CRYPT
# Get the mailbox
user_query = SELECT '/home/vmail/%d/%n' as home, 'maildir:/home/vmail/%d/%n' as mail, 5000 AS uid, 5000 AS gid, concat('dirsize:storage=', quota) AS quota FROM mailbox WHERE username = '%u' AND active = '1'
# Get the password
password_query = SELECT username as user, password, '/home/vmail/%d/%n' as userdb_home, 'maildir:/home/vmail/%d/%n' as userdb_mail, 5000 as userdb_uid, 5000 as userdb_gid FROM mailbox WHERE username = '%u' AND active = '1'
# If using client certificates for authentication, comment the above and uncomment the following
#password_query = SELECT null AS password, ‘%u’ AS user
</nowiki>}}

Without having used PostfixAdmin you can use:

{{hc|/etc/dovecot/dovecot-sql.conf|<nowiki>
driver = mysql
connect = host=localhost dbname=postfix_db user=postfix_user password=hunter2
# It is highly recommended to not use deprecated MD5-CRYPT. Read more at https://wiki2.dovecot.org/Authentication/PasswordSchemes
default_pass_scheme = SHA512-CRYPT
# Get the mailbox
user_query = SELECT '/home/vmail/%d/%n' as home, 'maildir:/home/vmail/%d/%n' as mail, 5000 AS uid, 5000 AS gid, concat('dirsize:storage=', quota) AS quota FROM users WHERE email = '%u'
# Get the password
password_query = SELECT email as user, password, '/home/vmail/%d/%n' as userdb_home, 'maildir:/home/vmail/%d/%n' as userdb_mail, 5000 as userdb_uid, 5000 as userdb_gid FROM users WHERE email = '%u'
# If using client certificates for authentication, comment the above and uncomment the following
#password_query = SELECT null AS password, ‘%u’ AS user
</nowiki>}}

{{Tip|Visit https://wiki2.dovecot.org/Variables to learn more about Dovecot variables.}}

==== DH parameters ====

With v2.3 you are required to provide {{ic|1=ssl_dh = ''/path/to/dh.pem''}} yourself.

To generate a new DH parameters file (this will take very long):

# openssl dhparam -out /etc/dovecot/dh.pem 4096

then add the file to {{ic|/etc/dovecot/dovecot.conf}}

ssl_dh = /etc/dovecot/dh.pem

=== PostfixAdmin ===

See [[PostfixAdmin]].

Note: To match the configuration in this file, config.inc.php should contain the following.

# /etc/webapps/postfixadmin/config.inc.php
...
$CONF['domain_path'] = 'YES';
$CONF['domain_in_mailbox'] = 'NO';
...

=== Roundcube ===

See [[Roundcube]].

Make sure that both {{ic|1=extension=pdo_mysql}} and {{ic|1=extension=iconv}} are uncommented in your {{ic|php.ini}} file. Also check the {{ic|.htaccess}} for access restrictions. Assuming that localhost is your current host, navigate a browser to {{ic|https://localhost/roundcube/installer/}} and follow the instructions.

Roundcube needs a separate database to work. You should not use the same database for Roundcube and PostfixAdmin. Create a second database {{ic|roundcube_db}} and a new user named {{ic|roundcube_user}}.

While running the installer ...

* For the address of the IMAP host, i.e. {{ic|default_host}}, use {{ic|ssl://localhost/}} or {{ic|tls://localhost/}} and not just {{ic|localhost}}.
* Use port {{ic|993}}. Likewise with SMTP.
* For the address of the SMTP host, i.e. {{ic|smtp_server}}, use {{ic|tls://localhost/}} and port {{ic|587}} if you used STARTTLS. Use {{ic|ssl://localhost/}} with port {{ic|465}} if you used SMTPS. If there is a failure to establish a session, try using {{ic|tls://yourservername}} instead, replacing {{ic|yourservername}} with the name of your server.
* See [[#Postfix]] for an explanation on that.
* Make sure the resulting configuration file has {{ic|1=$config['smtp_user'] = '%u';}} and {{ic|1=$config['smtp_pass'] = '%p';}} lines in it or you will not be able to send email.

The post install process is similar to any other webapp like [[PhpMyAdmin]] or PostFixAdmin. The configuration file is in {{ic|/etc/webapps/roundcubemail/config/config.inc.php}} which works as an override over {{ic|defaults.inc.php}}.

==== Apache configuration ====

If you are using Apache, copy the example configuration file to your webserver configuration directory.

# cp /etc/webapps/roundcubemail/apache.conf /etc/httpd/conf/extra/httpd-roundcubemail.conf

Add the following line in

{{hc|/etc/httpd/conf/httpd.conf|<nowiki>
Include conf/extra/httpd-roundcubemail.conf
</nowiki>}}

==== Roundcube: Change Password Plugin ====

To let users change their passwords from within Roundcube, do the following:

Enable the password plugin by adding this line to

{{hc|/etc/webapps/roundcubemail/config/config.inc.php|<nowiki>
$config['plugins'] = array('password');
</nowiki>}}

Configure the password plugin and make sure you alter the settings accordingly:

{{hc|/usr/share/webapps/roundcubemail/plugins/password/config.inc.php|<nowiki>
<?php

$config['password_driver'] = 'sql';
$config['password_db_dsn'] = 'mysql://<postfix_database_user>:<password>@localhost/<postfix_database_name>';
// If you are not using dovecot specify another algorithm explicitly e.g 'sha256-crypt'
$config['password_algorithm'] = 'dovecot';
// For dovecot salted passwords only (above must be set to 'dovecot')
// $config['password_algorithm_prefix'] = 'true';
// $config['password_dovecotpw'] = 'doveadm pw';
// $config['password_dovecotpw_method'] = 'SHA512-CRYPT';
// $config['password_dovecotpw_with_method'] = true;
$config['password_query'] = 'UPDATE mailbox SET password=%P WHERE username=%u';
</nowiki>}}

== Fire it up ==

All necessary daemons should be started in order to test the configuration. [[Start]] both {{ic|postfix}} and {{ic|dovecot}}.

Now for testing purposes, create a domain and mail account in PostfixAdmin. Try to login to this account using Roundcube. Now send yourself a mail.

== Testing ==

{{Style|Needs some cleanup. There are probably more general ways to write this.}}

Now lets see if Postfix is going to deliver mail for our test user.
{{bc|
nc servername 25
helo testmail.org
mail from:<test@testmail.org>
rcpt to:<cactus@virtualdomain.tld>
data
This is a test email.
.
quit
}}

=== Error response ===

451 4.3.0 <lisi@test.com>:Temporary lookup failure
Maybe you have entered the wrong user/password for MySQL or the MySQL socket is not in the right place.

This error will also occur if you neglect to run newaliases at least once before starting postfix. MySQL is not required for local only usage of postfix.

550 5.1.1 <email@spam.me>: Recipient address rejected: User unknown in virtual mailbox table.
Double check content of mysql_virtual_mailboxes.cf and check the main.cf for mydestination

=== See that you have received a email ===

Now type {{ic|$ find /home/vmailer}}.

You should see something like the following:
{{bc|
/home/vmailer/virtualdomain.tld/cactus@virtualdomain.tld
/home/vmailer/virtualdomain.tld/cactus@virtualdomain.tld/tmp
/home/vmailer/virtualdomain.tld/cactus@virtualdomain.tld/cur
/home/vmailer/virtualdomain.tld/cactus@virtualdomain.tld/new
/home/vmailer/virtualdomain.tld/cactus@virtualdomain.tld/new/1102974226.2704_0.bonk.testmail.org
}}
The key is the last entry. This is an actual email, if you see that, it is working.

== Optional Items ==

Although these items are not required, they definitely add more completeness to your setup

=== Quota ===

To enable mailbox quota support by dovecot, do the following:
*First add the following lines to /etc/dovecot/dovecot.conf
dict {
quotadict = mysql:/etc/dovecot/dovecot-dict-sql.conf.ext
}
service dict {
unix_listener dict {
group = vmail
mode = 0660
user = vmail
}
user = root
}
service quota-warning {
executable = script /usr/local/bin/quota-warning.sh
user = vmail
unix_listener quota-warning {
group = vmail
mode = 0660
user = vmail
}
}
mail_plugins=quota
protocol pop3 {
mail_plugins = quota
pop3_client_workarounds = outlook-no-nuls oe-ns-eoh
pop3_uidl_format = %08Xu%08Xv
}
protocol lda {
mail_plugins = quota
postmaster_address = postmaster@yourdomain.com
}
protocol imap {
mail_plugins = $mail_plugins imap_quota
mail_plugin_dir = /usr/lib/dovecot/modules
}
plugin {
quota = dict:User quota::proxy::quotadict
quota_rule2 = Trash:storage=+10%%
quota_warning = storage=100%% quota-warning +100 %u
quota_warning2 = storage=95%% quota-warning +95 %u
quota_warning3 = storage=80%% quota-warning +80 %u
quota_warning4 = -storage=100%% quota-warning -100 %u # user is no longer over quota
}

*Create a new file /etc/dovecot/dovecot-dict-sql.conf.ext with the following code:
connect = host=localhost dbname=yourdb user=youruser password=yourpassword
map {
pattern = priv/quota/storage
table = quota2
username_field = username
value_field = bytes
}
map {
pattern = priv/quota/messages
table = quota2
username_field = username
value_field = messages
}
*Create a warning script /usr/local/bin/quota-warning.sh and make sure it is executable. This warning script works with postfix lmtp configuration as well.
{{bc|<nowiki>
#!/bin/sh
BOUNDARY="$1"
USER="$2"
MSG=""
if [[ "$BOUNDARY" = "+100" ]]; then
MSG="Your mailbox is now overfull (>100%). In order for your account to continue functioning properly, you need to remove some emails NOW."
elif [[ "$BOUNDARY" = "+95" ]]; then
MSG="Your mailbox is now over 95% full. Please remove some emails ASAP."
elif [[ "$BOUNDARY" = "+80" ]]; then
MSG="Your mailbox is now over 80% full. Please consider removing some emails to save space."
elif [[ "$BOUNDARY" = "-100" ]]; then
MSG="Your mailbox is now back to normal (<100%)."
fi

cat << EOF | /usr/lib/dovecot/dovecot-lda -d $USER -o "plugin/quota=maildir:User quota:noenforcing"
From: postmaster@yourdomain.com
Subject: Email Account Quota Warning

Dear User,

$MSG

Best regards,
Your Mail System
EOF
</nowiki>}}

*Edit the user_query line and add iterat_query in dovecot-sql.conf as following:
user_query = SELECT '/home/vmail/%d/%n' as home, 'maildir:/home/vmail/%d/%n' as mail, 5000 AS uid, 5000 AS gid, concat('*:bytes=', quota) AS quota_rule FROM mailbox WHERE username = '%u' AND active = '1'
iterate_query = SELECT username AS user FROM mailbox
*Set up LDA as described above under SpamAssassin. If you are not using SpamAssassin, the pipe should look like this in /etc/postfix/master.cf :
dovecot unix - n n - - pipe
flags=DRhu user=vmail:vmail argv=/usr/lib/dovecot/deliver -f ${sender} -d ${recipient}
As above activate it in Postfix main.cf
virtual_transport = dovecot
*You can set up quota per each mailbox in postfixadmin. Make sure the relevant lines in config.inc.php look like this:
$CONF['quota'] = 'YES';
$CONF['quota_multiplier'] = '1024000';

Restart postfix and dovecot services. If things go well, you should be able to list all users' quota and usage by the this command:
doveadm quota get -A
You should be able to see the quota in roundcube too.

=== Autocreate and autosubscribe folders in Dovecot ===

To automatically create the "usual" mail hierarchy, modify your {{ic|/etc/dovecot/dovecot.conf}} as follows, editing to your specific needs.

{{bc|1=
namespace inbox {
type = private
separator = /
prefix =
inbox = yes
}
namespace inbox {
mailbox Drafts {
auto = subscribe
special_use = \Drafts
}
mailbox Junk {
auto = subscribe
special_use = \Junk
}
mailbox Trash {
auto = subscribe
special_use = \Trash
}
mailbox Sent {
auto = subscribe
special_use = \Sent
}
}
}}

=== Dovecot public folder and global ACLs ===

In this section we enable IMAP namespace public folders combined with global and per-folder [[ACL]]s.

First, add the following lines to {{ic|/etc/dovecot/dovecot.conf}}:

{{bc|1=
### ACLs
mail_plugins = acl
protocol imap {
mail_plugins = $mail_plugins imap_acl
}
plugin {
acl = vfile
# With global ACL files in /etc/dovecot/dovecot-acls file (v2.2.11+):
acl = vfile:/etc/dovecot/dovecot-acl
}

### Public Mailboxes
namespace {
type = public
separator = /
prefix = public/
location = maildir:/home/vmail/public:INDEXPVT=~/public
subscriptions = no
list = children
}
}}

Create the root directory {{ic|/home/vmail/public}} and the folders you want to publicly share, for example (the period is required!) {{ic|/home/vmail/public/.example-1}}.

Change the ownership of all files in the root directory:

$ chown -R vmail:vmail /home/vmail/public

Finally, create and modify your global ACL file to allow users access to these folders:

{{hc|/etc/dovecot/dovecot-acl|2=
public/* user=admin@example.com lrwstipekxa
}}

In the above example, user {{ic|admin@example.com}} has access to, and can do anything to, all the public folders. Edit to fit your specific needs.

{{Note|
* {{ic|lrwstipekxa}} are the permissions being granted. Visit the Dovecot wiki for further details.
* Make sure the user subscribes to the folders in the client they are using.
}}

=== Fighting Spam ===

As an alternative to SpamAssassin, consider {{Pkg|rspamd}}. Out of the box, it delivers an amazing amount of spam reduction, greylisting, etc and includes a nifty webui. See also [https://thomas-leister.de/en/mailserver-debian-stretch/].

== Sidenotes ==

=== Alternative vmail folder structure ===

Instead of having a directory structure like {{ic|/home/vmail/example.com/user@example.com}} you can have cleaner subdirectories (without the additional domain name) by replacing {{ic|select_field}} and {{ic|where_field}} with:
{{bc|1=query = SELECT CONCAT(SUBSTRING_INDEX(email,'@',-1),'/',SUBSTRING_INDEX(email,'@',1),'/') FROM users WHERE email='%s'}}

== Troubleshooting ==

=== IMAP/POP3 client failing to receive mails ===

If you get similar errors, take a look into {{ic|/var/log/mail.log}} or run {{ic|journalctl -xn --unit postfix.service}} as root to find out more.

It may turn out that the Maildir {{ic|/home/vmail/mail@domain.tld}} is just being created if there is at least one email waiting. Otherwise there would not be any need for the directory creation before.

=== Roundcube not able to delete emails or view any 'standard' folders ===

Ensure that the Roundcube config.inc.php file contains the following:

{{bc|1=
$config['default_imap_folders'] = array('INBOX', 'Drafts', 'Sent', 'Junk', 'Trash');
$config['create_default_folders'] = true;
$config['protect_default_folders'] = true;
}}

=== LMTP / Sieve ===

Is LMTP not connecting to sieve? Ensure that your server is not routing the messages locally. This can be set in {{ic| /etc/postfix/main.cf}}:

{{bc|1=
mydestination =
}}

=== Are your emails sent to gmail users ending up in their junk/spam folders? ===

Google gmail (and most other large email providers) will send your emails straight into your recipients junk / spam folder if you have not implemented SPF / DKIM / DMARC policies. (Hint: Rspamd, via the link above, shows you how to set this up, and will DKIM sign your emails.)

== See also ==

* [[Gentoo:Complete Virtual Mail Server]]

[[Kategorie:Postfix/Konfiguration]]

= TMP =
Postfix Virtual Domain Hosting Howto
Purpose of this document

This document requires Postfix version 2.0 or later.

This document gives an overview of how Postfix can be used for hosting multiple Internet domains, both for final delivery on the machine itself and for the purpose of forwarding to destinations elsewhere.

The text not only describes delivery mechanisms that are built into Postfix, but also gives pointers for using non-Postfix mail delivery software.

The following topics are covered:

Canonical versus hosted versus other domains
Local files versus network databases
As simple as can be: shared domains, UNIX system accounts
Postfix virtual ALIAS example: separate domains, UNIX system accounts
Postfix virtual MAILBOX example: separate domains, non-UNIX accounts
Non-Postfix mailbox store: separate domains, non-UNIX accounts
Mail forwarding domains
Mailing lists
Autoreplies

Canonical versus hosted versus other domains

Most Postfix systems are the final destination for only a few domain names. These include the hostnames and [the IP addresses] of the machine that Postfix runs on, and sometimes also include the parent domain of the hostname. The remainder of this document will refer to these domains as the canonical domains. They are usually implemented with the Postfix local domain address class, as defined in the ADDRESS_CLASS_README file.

Besides the canonical domains, Postfix can be configured to be the final destination for any number of additional domains. These domains are called hosted, because they are not directly associated with the name of the machine itself. Hosted domains are usually implemented with the virtual alias domain address class and/or with the virtual mailbox domain address class, as defined in the ADDRESS_CLASS_README file.

But wait! There is more. Postfix can be configured as a backup MX host for other domains. In this case Postfix is not the final destination for those domains. It merely queues the mail when the primary MX host is down, and forwards the mail when the primary MX host becomes available. This function is implemented with the relay domain address class, as defined in the ADDRESS_CLASS_README file.

Finally, Postfix can be configured as a transit host for sending mail across the internet. Obviously, Postfix is not the final destination for such mail. This function is available only for authorized clients and/or users, and is implemented by the default domain address class, as defined in the ADDRESS_CLASS_README file.
Local files versus network databases

The examples in this text use table lookups from local files such as DBM or Berkeley DB. These are easy to debug with the postmap command:

Example: postmap -q info@example.com hash:/etc/postfix/virtual

See the documentation in LDAP_README, MYSQL_README and PGSQL_README for how to replace local files by databases. The reader is strongly advised to make the system work with local files before migrating to network databases, and to use the postmap command to verify that network database lookups produce the exact same results as local file lookup.

Example: postmap -q info@example.com ldap:/etc/postfix/virtual.cf

As simple as can be: shared domains, UNIX system accounts

The simplest method to host an additional domain is to add the domain name to the domains listed in the Postfix mydestination configuration parameter, and to add the user names to the UNIX password file.

This approach makes no distinction between canonical and hosted domains. Each username can receive mail in every domain.

In the examples we will use "example.com" as the domain that is being hosted on the local Postfix machine.

/etc/postfix/main.cf:
mydestination = $myhostname localhost.$mydomain ... example.com

The limitations of this approach are:

A total lack of separation: mail for info@my.host.name is delivered to the same UNIX system account as mail for info@example.com.
With users in the UNIX password file, administration of large numbers of users becomes inconvenient.

The examples that follow provide solutions for both limitations.
Postfix virtual ALIAS example: separate domains, UNIX system accounts

With the approach described in this section, every hosted domain can have its own info und weitere email address. However, it still uses UNIX system accounts for local mailbox deliveries.

With virtual alias domains, each hosted address is aliased to a local UNIX system account or to a remote address. The example below shows how to use this mechanism for the example.com domain.

1 /etc/postfix/main.cf:
2 virtual_alias_domains = example.com ...other hosted domains...
3 virtual_alias_maps = hash:/etc/postfix/virtual
4
5 /etc/postfix/virtual:
6 postmaster@example.com postmaster
7 info@example.com joe
8 sales@example.com jane
9 # Uncomment entry below to implement a catch-all address
10 # @example.com jim
11 ...virtual aliases for more domains...

Notes:

Line 2: the virtual_alias_domains setting tells Postfix that example.com is a so-called virtual alias domain. If you omit this setting then Postfix will reject mail (relay access denied) or will not be able to deliver it (mail for example.com loops back to myself).

NEVER list a virtual alias domain name as a mydestination domain!

Lines 3-8: the /etc/postfix/virtual file contains the virtual aliases. With the example above, mail for postmaster@example.com goes to the local postmaster, while mail for info@example.com goes to the UNIX account joe, and mail for sales@example.com goes to the UNIX account jane. Mail for all other addresses in example.com is rejected with the error message "User unknown".

Line 10: the commented out entry (text after #) shows how one would implement a catch-all virtual alias that receives mail for every example.com address not listed in the virtual alias file. This is not without risk. Spammers nowadays try to send mail from (or mail to) every possible name that they can think of. A catch-all mailbox is likely to receive many spam messages, and many bounces for spam messages that were sent in the name of anything@example.com.

Execute the command "postmap /etc/postfix/virtual" after changing the virtual file, and execute the command "postfix reload" after changing the main.cf file.

Note: virtual aliases can resolve to a local address or to a remote address, or both. They don't have to resolve to UNIX system accounts on your machine.

More details about the virtual alias file are given in the virtual(5) manual page, including multiple addresses on the right-hand side.

Virtual aliasing solves one problem: it allows each domain to have its own info mail address. But there still is one drawback: each virtual address is aliased to a UNIX system account. As you add more virtual addresses you also add more UNIX system accounts. The next section eliminates this problem.
Postfix virtual MAILBOX example: separate domains, non-UNIX accounts

As a system hosts more and more domains and users, it becomes less desirable to give every user their own UNIX system account.

With the Postfix virtual(8) mailbox delivery agent, every recipient address can have its own virtual mailbox. Unlike virtual alias domains, virtual mailbox domains do not need the clumsy translation from each recipient addresses into a different address, and owners of a virtual mailbox address do not need to have a UNIX system account.

The Postfix virtual(8) mailbox delivery agent looks up the user mailbox pathname, uid and gid via separate tables that are searched with the recipient's mail address. Maildir style delivery is turned on by terminating the mailbox pathname with "/".

If you find the idea of multiple tables bothersome, remember that you can migrate the information (once it works), to an SQL database. If you take that route, be sure to review the "local files versus databases" section at the top of this document.

Here is an example of a virtual mailbox domain "example.com":

1 /etc/postfix/main.cf:
2 virtual_mailbox_domains = example.com ...more domains...
3 virtual_mailbox_base = /var/mail/vhosts
4 virtual_mailbox_maps = hash:/etc/postfix/vmailbox
5 virtual_minimum_uid = 100
6 virtual_uid_maps = static:5000
7 virtual_gid_maps = static:5000
8 virtual_alias_maps = hash:/etc/postfix/virtual
9
10 /etc/postfix/vmailbox:
11 info@example.com example.com/info
12 sales@example.com example.com/sales/
13 # Comment out the entry below to implement a catch-all.
14 # @example.com example.com/catchall
15 ...virtual mailboxes for more domains...
16
17 /etc/postfix/virtual:
18 postmaster@example.com postmaster

Notes:

Line 2: The virtual_mailbox_domains setting tells Postfix that example.com is a so-called virtual mailbox domain. If you omit this setting then Postfix will reject mail (relay access denied) or will not be able to deliver it (mail for example.com loops back to myself).

NEVER list a virtual MAILBOX domain name as a mydestination domain!

NEVER list a virtual MAILBOX domain name as a virtual ALIAS domain!

Line 3: The virtual_mailbox_base parameter specifies a prefix for all virtual mailbox pathnames. This is a safety mechanism in case someone makes a mistake. It prevents mail from being delivered all over the file system.

Lines 4, 10-15: The virtual_mailbox_maps parameter specifies the lookup table with mailbox (or maildir) pathnames, indexed by the virtual mail address. In this example, mail for info@example.com goes to the mailbox at /var/mail/vhosts/example.com/info while mail for sales@example.com goes to the maildir located at /var/mail/vhosts/example.com/sales/.

Line 5: The virtual_minimum_uid specifies a lower bound on the mailbox or maildir owner's UID. This is a safety mechanism in case someone makes a mistake. It prevents mail from being written to sensitive files.

Lines 6, 7: The virtual_uid_maps and virtual_gid_maps parameters specify that all the virtual mailboxes are owned by a fixed uid and gid 5000. If this is not what you want, specify lookup tables that are searched by the recipient's mail address.

Line 14: The commented out entry (text after #) shows how one would implement a catch-all virtual mailbox address. Be prepared to receive a lot of spam, as well as bounced spam that was sent in the name of anything@example.com.

NEVER put a virtual MAILBOX wild-card in the virtual ALIAS file!!

Lines 8, 17, 18: As you see, it is possible to mix virtual aliases with virtual mailboxes. We use this feature to redirect mail for example.com's postmaster address to the local postmaster. You can use the same mechanism to redirect an address to a remote address.

Line 18: This example assumes that in main.cf, $myorigin is listed under the mydestination parameter setting. If that is not the case, specify an explicit domain name on the right-hand side of the virtual alias table entries or else mail will go to the wrong domain.

Execute the command "postmap /etc/postfix/virtual" after changing the virtual file, execute "postmap /etc/postfix/vmailbox" after changing the vmailbox file, and execute the command "postfix reload" after changing the main.cf file.

Note: mail delivery happens with the recipient's UID/GID privileges specified with virtual_uid_maps and virtual_gid_maps. Postfix 2.0 and earlier will not create mailDIRs in world-writable parent directories; you must create them in advance before you can use them. Postfix may be able to create mailBOX files by itself, depending on parent directory write permissions, but it is safer to create mailBOX files ahead of time.

More details about the virtual mailbox delivery agent are given in the virtual(8) manual page.
Non-Postfix mailbox store: separate domains, non-UNIX accounts

This is a variation on the Postfix virtual mailbox example. Again, every hosted address can have its own mailbox. However, most parameters that control the virtual(8) delivery agent are no longer applicable: only virtual_mailbox_domains and virtual_mailbox_maps stay in effect. These parameters are needed to reject mail for unknown recipients.

While non-Postfix software is being used for final delivery, some Postfix concepts are still needed in order to glue everything together. For additional background on this glue you may want to take a look at the virtual mailbox domain class as defined in the ADDRESS_CLASS_README file.

The text in this section describes what things should look like from Postfix's point of view. See CYRUS_README or MAILDROP_README for specific information about Cyrus or about Courier maildrop.

Here is an example for a hosted domain example.com that delivers to a non-Postfix delivery agent:

1 /etc/postfix/main.cf:
2 virtual_transport = ...see below...
3 virtual_mailbox_domains = example.com ...more domains...
4 virtual_mailbox_maps = hash:/etc/postfix/vmailbox
5 virtual_alias_maps = hash:/etc/postfix/virtual
6
7 /etc/postfix/vmailbox:
8 info@example.com whatever
9 sales@example.com whatever
10 # Comment out the entry below to implement a catch-all.
11 # Configure the mailbox store to accept all addresses.
12 # @example.com whatever
13 ...virtual mailboxes for more domains...
14
15 /etc/postfix/virtual:
16 postmaster@example.com postmaster

Notes:

Line 2: With delivery to a non-Postfix mailbox store for hosted domains, the virtual_transport parameter usually specifies the Postfix LMTP client, or the name of a master.cf entry that executes non-Postfix software via the pipe delivery agent. Typical examples (use only one):

virtual_transport = lmtp:unix:/path/name (uses UNIX-domain socket)
virtual_transport = lmtp:hostname:port (uses TCP socket)
virtual_transport = maildrop: (uses pipe(8) to command)

Postfix comes ready with support for LMTP. And an example maildrop delivery method is already defined in the default Postfix master.cf file. See the MAILDROP_README document for more details.

Line 3: The virtual_mailbox_domains setting tells Postfix that example.com is delivered via the virtual_transport that was discussed in the previous paragraph. If you omit this virtual_mailbox_domains setting then Postfix will either reject mail (relay access denied) or will not be able to deliver it (mail for example.com loops back to myself).

NEVER list a virtual MAILBOX domain name as a mydestination domain!

NEVER list a virtual MAILBOX domain name as a virtual ALIAS domain!

Lines 4, 7-13: The virtual_mailbox_maps parameter specifies the lookup table with all valid recipient addresses. The lookup result value is ignored by Postfix. In the above example, info@example.com and sales@example.com are listed as valid addresses; other mail for example.com is rejected with "User unknown" by the Postfix SMTP server. It's left up to the non-Postfix delivery agent to reject non-existent recipients from local submission or from local alias expansion. If you intend to use LDAP, MySQL or PgSQL instead of local files, be sure to review the "local files versus databases" section at the top of this document!

Line 12: The commented out entry (text after #) shows how one would inform Postfix of the existence of a catch-all address. Again, the lookup result is ignored by Postfix.

NEVER put a virtual MAILBOX wild-card in the virtual ALIAS file!!

Note: if you specify a wildcard in virtual_mailbox_maps, then you still need to configure the non-Postfix mailbox store to receive mail for any address in that domain.

Lines 5, 15, 16: As you see above, it is possible to mix virtual aliases with virtual mailboxes. We use this feature to redirect mail for example.com's postmaster address to the local postmaster. You can use the same mechanism to redirect any addresses to a local or remote address.

Line 16: This example assumes that in main.cf, $myorigin is listed under the mydestination parameter setting. If that is not the case, specify an explicit domain name on the right-hand side of the virtual alias table entries or else mail will go to the wrong domain.

Execute the command "postmap /etc/postfix/virtual" after changing the virtual file, execute "postmap /etc/postfix/vmailbox" after changing the vmailbox file, and execute the command "postfix reload" after changing the main.cf file.
Mail forwarding domains

Some providers host domains that have no (or only a few) local mailboxes. The main purpose of these domains is to forward mail elsewhere. The following example shows how to set up example.com as a mail forwarding domain:

1 /etc/postfix/main.cf:
2 virtual_alias_domains = example.com ...other hosted domains...
3 virtual_alias_maps = hash:/etc/postfix/virtual
4
5 /etc/postfix/virtual:
6 postmaster@example.com postmaster
7 joe@example.com joe@somewhere
8 jane@example.com jane@somewhere-else
9 # Uncomment entry below to implement a catch-all address
10 # @example.com jim@yet-another-site
11 ...virtual aliases for more domains...

Notes:

Line 2: The virtual_alias_domains setting tells Postfix that example.com is a so-called virtual alias domain. If you omit this setting then Postfix will reject mail (relay access denied) or will not be able to deliver it (mail for example.com loops back to myself).

NEVER list a virtual alias domain name as a mydestination domain!

Lines 3-11: The /etc/postfix/virtual file contains the virtual aliases. With the example above, mail for postmaster@example.com goes to the local postmaster, while mail for joe@example.com goes to the remote address joe@somewhere, and mail for jane@example.com goes to the remote address jane@somewhere-else. Mail for all other addresses in example.com is rejected with the error message "User unknown".

Line 10: The commented out entry (text after #) shows how one would implement a catch-all virtual alias that receives mail for every example.com address not listed in the virtual alias file. This is not without risk. Spammers nowadays try to send mail from (or mail to) every possible name that they can think of. A catch-all mailbox is likely to receive many spam messages, and many bounces for spam messages that were sent in the name of anything@example.com.

Execute the command "postmap /etc/postfix/virtual" after changing the virtual file, and execute the command "postfix reload" after changing the main.cf file.

More details about the virtual alias file are given in the virtual(5) manual page, including multiple addresses on the right-hand side.
Mailing lists

The examples that were given above already show how to direct mail for virtual postmaster addresses to a local postmaster. You can use the same method to direct mail for any address to a local or remote address.

There is one major limitation: virtual aliases and virtual mailboxes can't directly deliver to mailing list managers such as majordomo. The solution is to set up virtual aliases that direct virtual addresses to the local delivery agent:

/etc/postfix/main.cf:
virtual_alias_maps = hash:/etc/postfix/virtual

/etc/postfix/virtual:
listname-request@example.com listname-request
listname@example.com listname
owner-listname@example.com owner-listname

/etc/aliases:
listname: "|/some/where/majordomo/wrapper ..."
owner-listname: ...
listname-request: ...

This example assumes that in main.cf, $myorigin is listed under the mydestination parameter setting. If that is not the case, specify an explicit domain name on the right-hand side of the virtual alias table entries or else mail will go to the wrong domain.

More information about the Postfix local delivery agent can be found in the local(8) manual page.

Why does this example use a clumsy virtual alias instead of a more elegant transport mapping? The reason is that mail for the virtual mailing list would be rejected with "User unknown". In order to make the transport mapping work one would still need a bunch of virtual alias or virtual mailbox table entries.

In case of a virtual alias domain, there would need to be one identity mapping from each mailing list address to itself.
In case of a virtual mailbox domain, there would need to be a dummy mailbox for each mailing list address.

Autoreplies

In order to set up an autoreply for virtual recipients while still delivering mail as normal, set up a rule in a virtual alias table:

/etc/postfix/main.cf:
virtual_alias_maps = hash:/etc/postfix/virtual

/etc/postfix/virtual:
user@domain.tld user@domain.tld, user@domain.tld@autoreply.mydomain.tld

This delivers mail to the recipient, and sends a copy of the mail to the address that produces automatic replies. The address can be serviced on a different machine, or it can be serviced locally by setting up a transport map entry that pipes all mail for autoreply.mydomain.tld into some script that sends an automatic reply back to the sender.

DO NOT list autoreply.mydomain.tld in mydestination!

/etc/postfix/main.cf:
transport_maps = hash:/etc/postfix/transport

/etc/postfix/transport:
autoreply.mydomain.tld autoreply:

/etc/postfix/master.cf:
# =============================================================
# service type private unpriv chroot wakeup maxproc command
# (yes) (yes) (yes) (never) (100)
# =============================================================
autoreply unix - n n - - pipe
flags= user=nobody argv=/path/to/autoreply $sender $mailbox

This invokes /path/to/autoreply with the sender address and the user@domain.tld recipient address on the command line.

For more information, see the pipe(8) manual page, and the comments in the Postfix master.cf file.

Readlink

2026-06-17T08:40:45Z

Dirkwagner: Textersetzung - „ )“ durch „)“

{{DISPLAYTITLE:readlink}}
'''readlink''' - Aufgelöste symbolische Links oder kanonische Dateinamen ausgeben

== Beschreibung ==
Den Wert eines symbolischen Links oder den kanonischen Dateinamen ausgeben

===Modi===
; Readlink-Modus
* Gibt Wert der gegebenen symbolischen Links aus
* Ist das Argument kein symbolischer Link, wird keine Ausgabe erzeugt und ein [[Exit-Code]] ungleich Null erzeugt

; Kanonischer Modus
* Gibt absoluten Namen der angegebenen Dateien aus
** ohne . , .. , wiederholte Trennzeichen (/) oder symbolische Links
* [[realpath]](1) ist der bevorzugte Befehl zur Funktionalität für die Kanonisierung

Standardmäßig, arbeitet readlink im Readlink-Modus.

== Installation ==
== Anwendung ==
== Aufruf ==
$ readlink [OPTION]… DATEI…
=== Optionen ===
{| class="wikitable sortable"
|-
! Unix !! GNU !! Beschreibung
|-
| -f || --canonicalize || Kanonisieren, indem jedem symbolischen Link in jeder Komponente des gegebenen Namens rekursiv gefolgt wird; alle außer der letzten Komponente müssen existieren
|-
| -e || --canonicalize‑existing || Kanonisieren, indem jedem symbolischen Link in jeder Komponente des gegebenen Namens rekursiv gefolgt wird; alle Komponenten müssen existieren
|-
| -m || --canonicalize‑missing || Kanonisieren, indem jedem symbolischen Link in jeder Komponente des gegebenen Namens rekursiv gefolgt wird; ohne Anforderung an Existenz der Komponenten
|-
| -n || --no-newline || Keinen abschließenden Trenner ausgeben
|-
| -q || --quiet ||
|-
| -s || --silent || Die meisten Fehlermeldungen unterdrücken (Voreinstellung)
|-
| -v || --verbose || Fehlermeldungen ausgeben
|-
| -z || --zero || Jede Ausgabezeile mit einem Nullbyte statt des Zeilenumbruchs abschließen
|-
| || --help || zeigt Hilfeinformationen an und beendet das Programm.
|-
| || --version || gibt Versionsinformationen aus und beendet das Programm.
|}

=== Argumente ===
=== Umgebung ===
=== Rückgabewert ===
== Konfiguration ==
=== Dateien ===
== Sicherheit ==
== Dokumentation ==
* Vollständige Dokumentation unter: <https://www.gnu.org/software/coreutils/readlink>
* lokal verfügbar mit: info '(coreutils) readlink invocation'
=== RFC ===
=== Man-Page ===
=== Info-Pages ===
== Siehe auch ==
# [[readlink(2)]]
# [[realpath]](1)
# [[realpath(3)]]

== Links ==
=== Projekt-Homepage ===
=== Weblinks ===

[[Kategorie:Coreutils]]
[[Kategorie:Linux/Befehl]]
{{DEFAULTSORT:readlink}}

Dpkg-reconfigure

2026-06-17T08:40:45Z

Dirkwagner: Textersetzung - „ )“ durch „)“

{{DISPLAYTITLE:dpkg-reconfigure}}
{{DISPLAYTITLE:dpkg-reconfigure}}

'''dpkg-reconfigure''' - rekonfiguriere ein bereits installiertes Paket

= Beschreibung =
* dpkg-reconfigure konfiguriert Pakete erneut, nachdem sie bereits installiert wurden.
* Übergeben Sie ihm den oder die Namen des oder der Pakete, die erneut konfiguriert werden sollen.
* Es stellt dann Konfigurationsfragen, so ähnlich wie bei der Installation des Pakets.
* Falls Sie nur die aktuelle Konfiguration eines Paketes anschauen wollen, lesen Sie stattdessen [[debconf-show]](1).

= Installation =
= Syntax =
# '''dpkg-reconfigure [Optionen] Pakete'''

== Argumente ==
Pakete

== Optionen ==
{| class="wikitable sortable"
|-
! Unix !! GNU !! Beschreibung
|-
| -fTyp || --frontend=Typ || Wählt die zu benutzende Benutzerschnittstelle. Die standardmäßige Schnittstelle kann durch das Folgende dauerhaft geändert werden: dpkg-reconfigure debconf. Beachten Sie, dass, falls Sie normalerweise Debconf die nicht-interaktive Schnittstelle benutzen lassen, dpkg-reconfigure hier stattdessen die Benutzerschnittstelle Dialog benutzt, so dass Sie tatsächlich dazu kommen, das Paket erneut zu konfigurieren.
|-
| -pWert || --priority=Wert || Gibt die Schwell-Priorität für Fragen an, die angezeigt werden sollen. dpkg-reconfigure zeigt normalerweise Fragen mit niedriger Priorität an, egal was Ihre voreingestellte Priorität ist. Siehe debconf(7) für eine Liste.
|-
| || --default-priority || Benutze was immer die voreingestellte Priorität für Fragen ist, statt die niedrige Priorität (low) zu erzwingen.
|-
| -u || --unseen-only || Standardmäßig werden alle Fragen angezeigt, selbst wenn sie schon beantwortet wurden. Falls dieser Parameter aber gesetzt ist, werden nur die Fragen gestellt, die noch nicht gesehen wurden.
|-
| || --force || Zwinge dpkg-reconfigure ein Paket erneut zu konfigurieren, selbst wenn es in einem inkonsistenten oder defekten Zustand ist. Mit Vorsicht zu benutzen.
|-
| || --no-reload || Vermeidet, dass dpkg-reconfigure Vorlagen erneut lädt. Mit Vorsicht zu benutzen; dies vermeidet, dass dpkg-reconfigure defekte Vorlage-Datenbanken repariert. Es kann aber in eingeschränkten Umgebungen nützlich sein, wo das erneute Schreiben der Vorlage-Datenbank teuer ist.
|-
| -h || --help || Zeige Hilfe zur Benutzung an.
|}

== Umgebung ==
== Rückgabewert ==

= Konfiguration =
== Dateien ==

= Anwendung =
= Sicherheit =
= Dokumentation =
== Man-Page ==
== Info-Pages ==
== Siehe auch ==
# [[debconf]](7)
# [[debconf-show]](1).
{{DEFAULTSORT:dpkg-reconfigure}}
[[Kategorie:dpkg]]
{{DEFAULTSORT:dpkg-reconfigure}}

= TMP =
=== dpkg-reconfigure ===
Mit diesem Kommando können Pakete neu konfiguriert werden, die "debconf" (siehe [https://debconf.html/ debconf]) zur Verwaltung der Konfigurationsdateien nutzen (dies sollte mittlerweile für den Großteil der Pakete der Fall sein)
* Hierzu ist neben dem Aufruf des Programmes nur noch der Paketname anzugeben

Ein dpkg-reconfigure debconf konfiguriert debconf selbst neu
* Hierbei kann zwischen verschiedenen interaktiven und vollautomatischen Modi gewählt werden

Welche bereits installierten Pakete sich mit diesem Kommando neu konfigurieren lassen, ermittelt das Programm [https://configure-debian.html/ configure-debian ]

{{Special:PrefixIndex/dpkg}}

Xargs/Anwendung

2026-06-17T08:40:44Z

Dirkwagner: Textersetzung - „ )“ durch „)“

=== Dateinamen mit Leerzeichen ===
; Üblicher Weise enthält der [[IFS]] das Leerzeichen, daher bricht ''xargs ''die Dateinamen dort auseinander
Dem ist abzuhelfen, wenn man die GNU-Version der benutzten Tools (find und xargs) verwendet

''find(1)'' gibt man bekannt, er möge mit ASCII-NUL beendete Zeichenketten ausgeben, und xargs, er möge solche erwarten

<syntaxhighlight lang="bash" highlight="1" line copy>
find / -user toelpel -print0 | xargs -0 rm
</syntaxhighlight>

=== Eingabedatei als Parameter ===
Sollen die Dateien verschoben werden, erwartet mv die Quelldateien als erstes, das Zielverzeichnis als letztes Argument
* Dieses Problem löst man bei ''xargs(1)'' genauso wie bei

<syntaxhighlight lang="bash" highlight="1" line copy>
find / -user toelpel -print0 | xargs -0 mv {} /tmp/toelpel-trash
</syntaxhighlight>

Die Zeichenkombination "{}" zeigt dem ''xargs(1)'', an welcher Stelle er die Argumentliste für das Kommando einzufügen hat

=== Beispiele===

<syntaxhighlight lang="bash" highlight="1" line copy>
find /tmp -name core -type f -print | xargs /bin/rm -f
</syntaxhighlight>

Finde Dateien mit dem Namen core in oder unterhalb des Verzeichnisses /tmp und lösche diese
* Achtung, diese Aktion schlägt fehl falls die Dateinamen Zeilenvorschübe, einfache oder doppelte Anführungszeichen oder Leerzeichen enthalten
* Mit folgendem Befehl werden alle Dateien aus dem aktuellen Verzeichnis entfernt, die auf das Muster '''*.tmp</nowiki>''' passen
* Dabei werden Dateien, deren Namen Leerzeichen enthalten ebenfalls berücksichtigt: find . -name "*.tmp" -print0 | xargs -0 rm
* Als nächstes eine Anwendung mit der Ersatz-Zeichenkette {}
* Alle Dateien des Benutzers mit der uid 1001 werden nach '''/tmp/klaus/test''' verschoben

; Achtung
* Die Verzeichnisstruktur wird dabei nicht wieder hergestellt
* Die Dateien landen wirklich alle in '''/tmp/klaus/test'''

<syntaxhighlight lang="bash" highlight="1" line copy>
find . -uid 1001 -print | xargs -i mv {} /tmp/klaus/test
</syntaxhighlight>

* Wenn man eine Datei '''software.list''' mit den Namen von Paketen hat, die sich im Verzeichnis '''~/installation/''' befindet und die wie folgt aufgebaut ist alltray audacity avidemux azureus compizconfig-settings-manager
* kann man mit xargs -a ~/installation/software.list sudo apt-get install
* die Pakete komfortabel alle auf einmal installieren
* Dabei werden bereits installierte Pakete übersprungen
* Möchte man mehrere Dateien herunterladen, aber die Geschwindigkeit der Server lastet die eigene Internetverbindung nicht aus, so kann man mit xargs einfach mehrere Instanzen benutzen

<syntaxhighlight lang="bash" highlight="1" line copy>
xargs -a downloadlist -n 1 -P 4 wget
</syntaxhighlight>

* Dieser Befehl übergibt jeweils eine URL aus der Datei '''downloadlist''' an wget
* Dabei wird wget vier mal jeweils mit einer anderen Datei gestartet
* So werden vier Dateien auf einmal heruntergeladen und die Internetverbindung optimal ausgenutzt

=== Weitere Möglichkeiten ===
This command is equivalent to using ''find'' with ''xargs'', only a bit shorter and more efficient
* But this form of ''‑exec'' can be combined with a shell feature to solve the other problem (names with spaces)
* The POSIX shell allows us to use: sh -c '''command-line''' [ ''command-name'' [ ''args''... ] ]
* We don't usually care about the ''command-name'', so "X", "dummy", "", or "'inline cmd'" is often used

Here's an example of efficiently copying found files to ''/tmp'', in a POSIX-compliant way
<syntaxhighlight lang="bash" highlight="1" line copy>
find . -name '*.txt' -type f \ -exec sh -c 'exec cp -f "$@" /tmp' X '{}' +
</syntaxhighlight>
Obvious, simple, and readable, isn't it? Perhaps not, but worth knowing since it is safe, portable, and efficient

=== Beispiel 1 ===
Wo in meinem Homeordner liegt die Datei "test.pdf"? find ~ -name test.pdf
* Ihr habt vor ein paar Minuten eilig etwas gespeichert, habt aber den Namen der Datei und den Pfad sofort vergessen
* Irgendwo in eurem Homeordner, irgendein Name, vor ein paar Minuten

<syntaxhighlight lang="bash" highlight="1" line copy>
find ~ -type f ! -path '*/.*' -mmin -10 -ls
</syntaxhighlight>

Die Optionen im Einzelnen
* ~ -- rekursiv in meinem Homeordner
* -type f -- eine Datei (kein Ordner...)
* ! -path '*/.*' -- ohne Dateien oder Ordner, die mit Punkt beginnen
* -mmin -10 -- nicht älter als 10 Minuten
* -ls -- lange Anzeige (wie ls -l)
* Variante: mit Dotfiles, nicht aber Ordner, die mit Punkt beginnen (also ohne .gnome/ oder .kde/ und so weiter, aber mit .bash_history)

Und zwar alle Dateien, die nicht älter als zwei Tage sind

<syntaxhighlight lang="bash" highlight="1" line copy>
find ~ ! -path '*/.*/*' -type f -ctime -2
</syntaxhighlight>

Im Homeordner alle Dateien finden, deren Namen Leerzeichen enthalten

Wieder ohne Dateien oder Ordner, die mit Punkt beginnen
<syntaxhighlight lang="bash" highlight="1" line copy>
find $HOME ! -path '*/.*' -type f -name '* *'
</syntaxhighlight>

$HOME -- ist gleichbedeutend mit ~ * -name '* *' -- Name enthält mindestens ein Leerzeichen
* Ganz ähnlich, aber diesmal wird nach Ordnern gesucht: find $HOME ! -path '*/.*' -type d -name '* *' -type d -- Ordner (type directory)
* Im Ordner public_html alle HTML und PHP Dateien ausfindig machen, in denen ".mp3" erwähnt wird
* Nur die Dateinamen ausgeben

<syntaxhighlight lang="bash" highlight="1" line copy>
find ~/public_html $-name \*.html -o -name \*.php $ | xargs grep -l '.mp3'
</syntaxhighlight>

Zu beachten: () * müssen vor der Bash versteckt, also mit Backslash escaped werden
* Andere Methode (-exec statt xargs), gleiches Ergebnis

<syntaxhighlight lang="bash" highlight="1" line copy>
find ~/public_html $-name \*.html -o -name \*.php $ -exec grep -l '.mp3' '{}' \+
</syntaxhighlight>

Zu beachten: -exec mit''' \+''' abschließen statt mit '''\; '''beschleunigt das Abarbeiten ungemein, weil dann mehrere grep Prozesse parallel gestartet werden (vgl. xargs)
* Setzt eine halbwegs aktuelle Version von find voraus
* Hoppla, da sind auch Dateien mit Leerzeichen im Namen dabei? Kein Problem

<syntaxhighlight lang="bash" highlight="1" line copy>
find ~/public_html $-name \*.html -o -name \*.php $ -print0 | xargs -0 grep -l '.mp3'
</syntaxhighlight>

* finds Option -print0 erzeugt die richtige Ausgabe für xargs Option -0
* Anderer Einsatzzweck: Plattenplatz wird knapp, wo sind die großen Dateien?
* Also zum Beispiel: in meinem Homeordner alle Dateien, die größer als 500MB sind

<syntaxhighlight lang="bash" highlight="1" line copy>
find ~ -size +500M
</syntaxhighlight>

* Alle Dateien/Ordner in meinem Homeordner finden, die nicht mir gehören: find ~ ! -user $(whoami) -ls
* Alle Dateien/Ordner in meinem Homeordner, die root gehören: find ~ -user root
* Alle Dateien/Ordner in meinem Homeordner, die die Rechte auf 777 gesetzt haben,
* also Lese/Schreib/Ausführrechte für alle haben, lange Ausgabe wie "ls -l"

<syntaxhighlight lang="bash" highlight="1" line copy>
find ~ -perm 777 -ls
</syntaxhighlight>

Welche Art von Dateien (Mimetype) liegen im Ordner Documents, mit Rücksicht auf Dateien mit Leerzeichen im Namen, nur in diesem Ordner, keine Unterordner
<syntaxhighlight lang="bash" highlight="1" line copy>
find ~/Documents/ -maxdepth 1 -type f -print0 | xargs -0 file
</syntaxhighlight>

Find sucht immer rekursiv, es sei denn, man schränkt mit "-maxdepth" die Tiefe ein
* Die Liste ließe sich beliebig fortsetzen
* Wie vielseitig find ist, zeigt sich schon an der Länge der manpage
* Find findet nach Name, Regular expression, Größe, Datum, Dateityp,
* und so weiter und läßt sich mit "-exec" und der Pipe für "xargs" zu beinahe allem verwenden, was nur auf bestimmte Dateien/Ordner angewandt werden soll
* Darum wird das Kommando in vielen Shellskripten verwendet

=== Beispiel 2 ===
Dateien im aktuellen Ordner und Unterordnern finden, deren Namen einem bestimmen Muster entsprechen
<syntaxhighlight lang="bash" highlight="1" line copy>
find . -name "*.jpg"
</syntaxhighlight>

Dateien finden, deren Namen nicht einem bestimmten Muster entsprechen

<syntaxhighlight lang="bash" highlight="1" line copy>
find . \! -name "*.jpg"
</syntaxhighlight>

Dateien finden, deren Namen einem bestimmten Muster entsprechen und die einen bestimmten Text enthalten
<syntaxhighlight lang="bash" highlight="1" line copy>
find . -name "*.php" -exec grep -il "suchtext" {} \;
</syntaxhighlight>

Dateien finden, die bestimmte Datei-Endungen haben (Mit Regular-Expressions finden)
<syntaxhighlight lang="bash" highlight="1" line copy>
find . -regex ".*(php|html|tpl)$"
</syntaxhighlight>

Große Dateien finden (Dateien finden, die größer als ca. 500 MB sind)
<syntaxhighlight lang="bash" highlight="1" line copy>
find . -type f -size +500000k -exec ls -lh {} \;
</syntaxhighlight>

Dateien finden, deren Pfade einem bestimmten Pattern entsprechen
<syntaxhighlight lang="bash" highlight="1" line copy>
find . -path "*/.svn*"
</syntaxhighlight>

Dateien finden, deren Pfade nicht einem bestimmten Pattern entsprechen
<syntaxhighlight lang="bash" highlight="1" line copy>
find . \! -path "*/.svn*"
</syntaxhighlight>

Dateien finden, die nicht einem bestimmten User (nicht root) gehören
<syntaxhighlight lang="bash" highlight="1" line copy>
find . \! -user root
</syntaxhighlight>

Dateien finden, die "oo" oder "ee" im Namen haben
<syntaxhighlight lang="bash" highlight="1" line copy>
find . $-name "*oo*" -or -name "*ee*" $
</syntaxhighlight>

Dateien finden, die nicht "oo" oder "ee" im Namen haben
<syntaxhighlight lang="bash" highlight="1" line copy>
find . \! $-name "*oo*" -or -name "*ee*" $
</syntaxhighlight>

Geht nicht mit find (GNU findutils) 4.4.2: '''
<syntaxhighlight lang="bash" highlight="1" line copy>
find . -regex ".*(php|html|tpl)$"''' mkdir /tmp/tst cd /tmp/tst mkdir -p 1/2/3 mkdir -p 4/5/6 touch la.php touch 1/2/uu.tpl touch 4/lala.html touch 4/5/6/eee.php touch 4/5/oooooo' find . -regex ".*(php|html|tpl)$"
</syntaxhighlight>

Keine Ausgabe

=== Beispiel 3 ===
Angenommen, Sie möchten eine Liste der Verzeichnisse in ''/usr/share'' erhalten, dann tippen Sie: find /usr/share -type d
* Angenommen, Sie haben einen HTTP-Server und alle Ihre HTML-Dateien befinden sich in ''/home/httpd/html'', wo Sie sich auch gerade befinden
* Sie möchten eine Liste aller Dateien, deren Inhalt seit einem Monat nicht verändert worden ist
* Da die Seiten von verschiedenen Schreibern stammen, enden einige auf ''html'' und einige auf ''htm''
* Sie möchten diese Dateien in das Verzeichnis ''/home/httpd/obsolete'' verknüpfen
* Geben Sie folgendes ein:[https://www.murnauer.de/mandrakeref/command-find.html#FTN.AEN4397 []

* Denken Sie daran, dass in diesem Beispiel beide Verzeichnisse auf dem selben Dateisystem sein müssen!

<syntaxhighlight lang="bash" highlight="1" line copy>
find $-name "*.htm" -o -name "*.html" $ -a -ctime -30 -exec ln {} /home/httpd/obsolete \;
</syntaxhighlight>

* Gut, das hier ist etwas komplex und verlangt nach Erklärung
* Das Suchkriterium ist Folgendes: $-name "*.htm" -o -name "*.html" $ -a -ctime -30
* Es findet alle Dateien, die entweder auf ''.htm'' oder auf ''.html'' enden (''(-name "*.htm" -o -name "*.html")'') und (''-a'') die in den letzten 30 Tagen nicht modifiziert wurden (''-ctime -30'')
* Beachten Sie die Klammern, die hier notwendig sind, da ''-a'' eine höhere Wertigkeit hat
* Ließen Sie sie weg, würde das Kommando alle Dateien mit der Endung ''.htm'' finden sowie die Dateien, die auf ''.html'' enden und seit einem Monat nicht modifiziert wurden
* Beachten Sie auch, dass die Klammern vor der Shell geschützt wurden
* Gäben Sie ''(..)'' anstelle von ''$.. $'' ein, würde die Shell versuchen, diese zu interpretieren und das Kommando ''-name "*.htm" -o -name "*.html"'' in einer Sub-Shell auszuführen
* Sie können diesen Schutz übrigens auch durch Anführungszeichen erreichen
* Und schließlich das Kommando, das für jede gefundene Datei ausgeführt wird: -exec ln {} /home/httpd/obsolete \;
* Auch hier müssen Sie das '';</nowiki>'' vor der Shell schützen, da diese es sonst als Kommandoseparator interpretiert und find sich beschweren wird, dass ''-exec'' ein Argument fehlt

; Ein letztes Beispiel
* Sie haben ein großes Verzeichnis mit allen möglichen Bilddateien: ''/shared/images''
* Normalerweise benutzen Sie touch, um den Zeitstempel einer Datei namens ''stamp'' in diesem Verzeichnis aufzufrischen, um eine Zeitreferenz zu haben
* Sie wollen eine Liste aller JPEG-Dateien, die jünger als die Datei ''stamp'' sind
* Da Sie die Dateien von verschiedenen Quellen haben, haben Sie die Endungen ''jpg'', ''jpeg'', ''JPG'' oder ''JPEG''

Sie möchten nicht im Verzeichnis ''old'' suchen, Sie möchten diese Liste zugeschickt bekommen und Ihr Benutzername ist ''john''
<syntaxhighlight lang="bash" highlight="1" line copy>
find /shared/images -cnewer \ /shared/images/stamp \ -a -iregex ".*\.jpe?g" \ -a -not -regex ".*/old/.*" \ | mail john -s "Neue Images"
</syntaxhighlight>

Nun wäre es nicht sehr schön, dieses Kommando regelmäßig neu eingeben zu müssen, also brauchen Sie…?

== Sieh auch ==
{{Special:PrefixIndex/xargs}}
----
{{Special:PrefixIndex/find}}
----
{{Special:PrefixIndex/grep}}

[[Kategorie:Linux/Befehl]]
[[Kategorie:findutils]]

Postfix/Greylisting

2026-06-17T08:40:44Z

Dirkwagner: Textersetzung - „ )“ durch „)“

== Greylisting ==
[https://de.wikipedia.org/wiki/Greylisting Greylisting] ist eine Form der SPAM-Bekämpfung. Hierbei wird sich zunutze gemacht, dass normale Mailserver einen gescheiterten Zustellversuch später wiederholen, während Spammer sich im Allgemeinen nicht diese Mühe machen. Der Greylisting-Dienst identifiziert dabei jeden Client über eine Kombination aus IP-Adresse, Absenderadresse und Empfängeradresse. Taucht eine derartige Kombination das erste Mal auf, so wird der Zustellversuch mit einer Fehlermeldung bzgl. eines temporären Problems abgelehnt und diese ID in einer Liste eingetragen. Wird die Kombination erneut zugestellt, wird diese dann vom Mailer akzeptiert.

Nachteil dieser Methode ist, dass die jeweils ersten Emails von neuen Kontakten ein wenig verzögert eintreffen. Vorteil gegenüber herkömmlichen, analyse-gestützten Spamerkennungsverfahren ist, dass die Mail gar nicht erst angenommen und unter Aufwendung von Rechenzeit untersucht werden muss, sondern direkt abgelehnt wird. Gerade auf ausgelasteten Servern stellt das einige günstige Möglichkeit dar, einen Großteil des Mülls gar nicht erst aufs System zu lassen.

=== Installation ===
$sudo apt-get install postgrey

=== Konfiguration ===
'''/etc/postfix/main.cf'''

smtpd_recipient_restrictions = permit_mynetworks,
permit_sasl_authenticated,
reject_unauth_destination,
check_policy_service inet:127.0.0.1:60000

Nach einem Postfix-Neustart

/etc/init.d/postfix restart

oder

/etc/init.d/postfix reload

ist Postgrey als Policy-Server aktiviert. Unter '''/var/log/mail.log''' sollten ab sofort Meldungen auftauchen wie beispielsweise

Jul 24 18:17:45 v212910458 postfix/smtpd[24178]: NOQUEUE: reject: RCPT from unknown[83.234.156.154]: 450 4.7.1 <edwardsm.edwardscv@blubberbla.de>: Recipient address rejected: Greylisted, see https://isg.ee.ethz.ch/tools/postgrey/help/blubberbla.de.html; from=<august26joke@askmen.com> to=<edwardsm.edwardscv@blubberbla.de> proto=ESMTP helo=<home-01590bcaf2>
Jul 24 18:17:46 v212910458 postfix/smtpd[24178]: lost connection after DATA (0 bytes) from unknown[83.234.156.154]

= TMP =
Dieser Artikel oder Abschnitt benötigt Sprach-, Wiki-Syntax- oder Stilverbesserungen.
* Siehe [https://wiki.archlinux.org/title/Help:Style Hilfe:Stil] als Referenz.

Grund: Siehe [https://wiki.archlinux.org/title/Help:Style Help:Style] (Diskutieren in [https://wiki.archlinux.org/title/Talk:Postfix Talk:Postfix])

[https://postgrey.schweikert.ch/ Postgrey] kann verwendet werden, um [https://en.wikipedia.org/wiki/Greylisting_(email) Greylisting] für einen Postfix-Mailserver zu aktivieren.

==== Installation ====
[https://wiki.archlinux.org/title/Install Installieren Sie] das [https://archlinux.org/packages/?name=postgrey postgrey] -Paket.
* Um es schnell zum Laufen zu bringen, bearbeiten Sie die Postfix-Konfigurationsdatei und fügen Sie diese Zeilen hinzu:

; /etc/postfix/main.cf
smtpd_recipient_restrictions =
check_policy_service inet:127.0.0.1:10030

Dann [https://wiki.archlinux.org/title/Start/enable starten/aktivieren Sie] die <tt>postgrey</tt>Service.
* Laden Sie anschließend die <tt>postfix</tt>Service.
* Jetzt sollte Greylisting aktiviert sein.

==== Aufbau ====
Konfiguration erfolgt durch [https://wiki.archlinux.org/title/Extend_the_unit Erweiterung der Einheit] <tt>postgrey.service</tt>.

==== Weiße Liste ====
Um eine automatische Whitelist hinzuzufügen (erfolgreiche Zustellungen werden auf die Whitelist gesetzt und müssen nicht mehr warten), fügen Sie die hinzu <tt>--auto-whitelist-clients=N</tt>Option und ersetzen <tt>N</tt>um eine angemessen kleine Zahl (oder belassen Sie es auf dem Standardwert von 5).

; /etc/systemd/system/postgrey.service.d/override.conf
[Service]
ExecStart=
ExecStart=/usr/bin/postgrey --inet=127.0.0.1:10030 \
--pidfile=/run/postgrey/postgrey.pid \
--group=postgrey --user=postgrey \
--daemonize \
--greylist-text="Für %%s Sekunden auf der Greylist" \
--auto-whitelist-clients

Erstellen Sie die Datei, um zusätzlich zu den Standardclients Ihre eigene Liste mit Whitelist-Clients hinzuzufügen <tt>/etc/postfix/whitelist_clients.local</tt>und geben Sie einen Host oder eine Domäne pro Zeile ein und starten Sie dann neu <tt>postgrey.service</tt>damit die Änderungen wirksam werden.

==== Fehlerbehebung ====
Wenn Sie angeben <tt>--unix=/path/to/socket</tt>und die Socket-Datei nicht erstellt wird, stellen Sie sicher, dass Sie die Standardeinstellung entfernt haben <tt>--inet=127.0.0.1:10030</tt>aus der Servicedatei.

Eine vollständige Dokumentation möglicher Optionen finden Sie unter <tt>perldoc postgrey</tt>.

[[Kategorie:Postfix/Spam]]