Shell und Technik/Probleme: Unterschied zwischen den Seiten

Aus Doc-Wiki
(Unterschied zwischen Seiten)
Zur Navigation springen Zur Suche springen
imported>Abochem
(Clarify instructions if .ifi-login exists.)
 
imported>Wmay
 
Zeile 1: Zeile 1:
  +
11.2018: verbal wird immer wieder von Problemen insbesondere mit der Multimediatechnik berichtet. ''Dokumentiert'' wird das aber nur selten, so dass eine Fehlermeldung an den Hersteller nur schwer bis gar nicht möglich ist. Nur falls es uns gelingt, Meldungen von Problemen zu sammeln, wird irgendwann Ursachenforschung stattfinden.
−
{| style="border: 1pt black dashed"
 
−
|-
  
−
| [[Image:Diamond-caution.png]] || '''Beta Test!''' Please give feedback via '''<tt>feedback(ät)informatik.uni-goettingen.de</tt>'''<br /><small>For problem reports: please include ''always'' information about your system - ''at least'' the exact date+time, your IP address, your user id, what you ''wanted'' to accomplish, what you ''did'' and what happened ''instead''.<br />To remove this warning I need some ''positive'' feedback first...</small>|| [[Image:Diamond-caution.png]]
  
−
|-
  
−
|}
  
   
  +
== Ansprechpartner ==
  +
Störungen sind je nach Kontext unterschiedlich zu melden:
  +
* Sicherung ausgelöst, Licht, Türen, Fenster: [[Hausmeister]]
  +
* Multimediatechnik wie Hörsaal-PC, Beamer, Bedienpanel, Smartboard: Telefon 1171 = stoermeldezentrale@zvw.uni-goettingen.de. <small>Unsere Gebäudenummer ist 2412.</small>
  +
* hausintern: Gunnar Krull <small>http://cs.ugoe.de/krull</small> / Udo Burghardt <small>http://cs.ugoe.de/burghardt</small>
  +
* Schließsystem, Schlüssel + Chipkarte: Annette Kadziora <small>http://cs.ugoe.de/kadziora</small>
  +
* ...
   
  +
== Vorfälle 2018 ==
  +
Die folgende Tabelle kann bitte von jedem Nutzer (egal ob Studierender oder Mitarbeiter!) ergänzt werden. Bitte beachten Sie, dass ''dies hier'' keinen Support-Request auslöst, sondern nur der Dokumentation dient.
   
  +
{| class="wikitable sortable"
−
== Usage ==
  
  +
|- class="hintergrundfarbe5"
−
''Please read [[#2FA]] for initial setup.'' Then simply use SSH to login to this machine:
  
  +
! Datum !! Behoben !! Raum !! Fehlfunktion !! Meldung an/via !! Grund, sofern bekannt !! class="unsortable" | Abhilfe
−  
−
<big>
  
−
~# '''ssh username@shell.stud.informatik.uni-goettingen.de '''
  
−
####### shell.stud.informatik.uni-goettingen.de - login vm: shell5.cip.loc
  
−
...
  
−
'''Verification code: '''
  
−
'''Password: '''
  
−
Welcome to Ubuntu 14.04.4 LTS (GNU/Linux 3.13.0-87-generic x86_64)
  
−
username@shell5:~$
 
−
</big>
  
−  
−
=== Verify Key Fingerprint ===
  
−
The first time you connect to ''any'' ssh-reachable resource via an unstrusted network you need to verify the fingerprint of the used key and ''only then accept it''. For our <tt>shellX</tt>-machines the set of valid public key fingerprints is:
  
−
ECDSA 07:84:c9:e1:59:4f:03:75:69:b1:e4:d0:b4:1f:9a:cd
  
−
ED25519 93:11:29:c4:a2:03:e1:2d:b1:82:05:74:dd:a5:3b:9a
 
−
RSA de:db:6e:72:52:de:30:73:db:bb:6e:79:df:f9:2c:0d
  
−
<!-- <small>(On any server <tt>root</tt> can do this: <tt> ~# for F in /etc/ssh/*.pub ; do ssh-keygen -lf $F; done</tt>)</small> -->
  
−  
−
=== Target audience ===
  
−
These machines are meant to be used by students. But ''of course'' they can be used by all staff members!
 
−  
−
First time users: the only pre-condition is to logon one single time using one of the (physical) pool computers in our building - this will make you a "known user" to our systems. Only then you can (and must) walk through [[#2FA]].
  
−  
−
=== Windows ===
  
−
For '''Windows''': use [[PuTTY]] (simple) or [[Cygwin]] (more complex and powerful) or any other SSH-implementation.
  
−  
−
=== Load Balancing ===
  
−
In fact this term is misleading on this specific installation as it simple does "round-robin", at least for now. The important point is that you'll get connected to ''any'' currently available login machine. This will be the "next" machine one after another and probably ''not'' the same one as one session before. If you landed on an overcrowded system simply disconnect/reconnect to use another machine.
  
−
<!--
  
−
=== Legacy <tt>login.stud</tt> ===
  
−
Both <tt>login.stud.informatik.uni-goettingen.de</tt> and <tt>login.informatik.uni-goettingen.de</tt> (for staff only) are not affected by this new approach. These "old" machines will continue to work unmodified.
  
−
-->
  
−  
−
=== Timeout ===
  
−
* The session Timeout is set to '''36 hours''' -- this is the HAproxy related Timeout regarding the TCP connection
  
−
* [[Kerberos]]/[[OpenAFS]] have separate/shorter timeouts, usually 10 hours. Please check with <tt>klist</tt>. You need to run <tt>kinit && aklog</tt> when you're approaching timeout
  
−  
−
<!--
  
−
=== Availability ===
  
−
The goal - ''of course'' - is 24/7. Take a look at: http://shell.stud.informatik.uni-goettingen.de/ -- use <tt>ifi</tt>/<tt>ifi</tt> to login <small>("bots not welcome")</small>
  
−
-->
  
−  
−
== Self defense of these servers ==
  
−
To fight brute force attacks we tried several mechanisms including fail2ban, knockd and rate limiting. All of them worked technically correctly. But all of them could not reduce the attacks to an acceptable low level. One consequence is the introduction of [[#2FA]] as a requirement.
 
−  
−
=== Blacklists ===
  
−
Finally &mdash; as of 08.August 2016 &mdash; there are several external(!) lists involved. These lists are queried twice a day and a simple "<tt>iptables ... -j DROP</tt>" evaluates an aggregated list. It contains ''more than 40000 single addresses and 900 networks''. The attempts to login as root dropped from >10000 (peaks were >80000) per day to a few dozen.
  
−  
−
* "http://www.projecthoneypot.org/list_of_ips.php?t=d&rss=1" # Project Honey Pot Directory of Dictionary Attacker IPs
  
−
* "https://check.torproject.org/cgi-bin/TorBulkExitList.py?ip=1.1.1.1" # TOR Exit Nodes
  
−
* "https://www.maxmind.com/en/proxy-detection-sample-list" # MaxMind GeoIP Anonymous Proxies
  
−
* "http://danger.rulez.sk/projects/bruteforceblocker/blist.php" # BruteForceBlocker IP List
  
−
* "https://www.spamhaus.org/drop/drop.lasso" # Spamhaus Don't Route Or Peer List (DROP)
  
−
* "http://cinsscore.com/list/ci-badguys.txt" # C.I. Army Malicious IP List
  
−
* "https://www.openbl.org/lists/base.txt" # OpenBL.org 30 day List
  
−
* "https://lists.blocklist.de/lists/all.txt" # blocklist.de attackers
  
−
* "https://www.stopforumspam.com/downloads/toxic_ip_cidr.txt" # StopForumSpam
  
−
* "http://blocklist.greensnow.co/greensnow.txt" # GreenSnow
  
−  
−
Please give feedback if you feel this list to be too restrictive.
  
−  
−
<!-- obsolete
  
−
=== Rate limiting ===
  
−
{| style="border: 1pt black dashed"
 
 
|-
  
|-
  +
|2018-11-06 || || 2.101 || Smart Notebook erratisches Verhalten. Wilde Linien, wilde Dreiecke farblich unterlegt. Läßt sich nicht nach pdf exportieren. Dann Absturz || wm->gk || ||
−
| [[Image:Diamond-caution.png]] || We do limit the rate of ''new'' <tt>ssh</tt>- (<tt>tcp</tt>-) connections from each source IP address to '''10 per minute'''. If you hit this limit your source IP address is blocked for 5 minutes.<br /><small>These parameters are in flux and may change without further notice.</small>|| [[Image:Diamond-caution.png]]
  
 
|-
  
|-
  +
| 2018-11-07 || 2018-11-07|| 2.101 || Smartboard-Darstellungsprobleme --> nicht benutzbar || hausintern || System-Absturz? || Power-Cycle. Später Firmware-Update. Unklar, ob Ursache somit behoben...
−
|}
  
−
-->
  
−
<!-- obsolete
  
−
=== Port knocking ===
  
−
For security reasons a "port knocking daemon" got installed. It works like a secret knocking sequence at the door of a conspiracy meeting: only after you have successfully performed that secret sequence the door is opened ''for a moment''. In our technical context this means that the listening <tt>sshd</tt> is ''reachable'' '''for 300 seconds''' after knocking...
  
−  
−
{| style="border: 1pt black dashed"
 
 
|-
  
|-
  +
|2018-11-07 || || 2.101 || Smart Notebook erratisches Verhalten. Wilde Linien, wilde Dreiecke farblich unterlegt. Speichern ging diesmal noch || wm->gk ||
−
| [[Image:Diamond-caution.png]] || Secret: 33778 &bull; 22999 &bull; 44333 || [[Image:Diamond-caution.png]]
  
  +
|| Dann Firmware-Update. Unklar, ob Ursache somit behoben...
 
|-
  
|-
  +
| 2018-11-08 || 2018-11-14|| 0.101 || Deckenbeamer nicht nutzbar || 1171 --> Multimedia || F112 + FI || Multimedia: Stromversorgung der HDMI-Übertragungsstrecke disfunktional --> Elektrotechnik
−
|}
  
−  
−
{| style="border: 1pt black dashed"
 
 
|-
  
|-
  +
|2018-11-13 || || 2.101 || Smart Notebook erratisches Verhalten. Wilde Linien, wilde Dreiecke farblich unterlegt. Läßt sich nicht nach pdf exportieren. (Der vorher im Raum gewesene Tutor bestätigte, dass er das Problem auch hatte)
−
| [[Image:Diamond-caution.png]] || This approach will get removed during the next days... || [[Image:Diamond-caution.png]]
  
  +
|| wm->gk,ph || Speicher läuft voll? || Foto/Video dokumentiert
 
|-
  
|-
  +
|2018-11-14 || || 0.101 || Stiftauswahl des PDF-Annotators wird bei zu langer (vielleicht 30s?) Nichtbenutzung des Stifts aufgehoben und durch den Standard-Stift der Smartboart-Software ersetzt. Dieses Problem trat in 2.101 bisher nicht auf (auch nicht in MN08, wo ich den Annotator auch benutze). || CD || SW-Konfiguration? ||
−
|}
  
  +
|-
  +
|2018-11-14 || || 2.101 || Smart Notebook erratisches Verhalten. Wilde Linien, wilde Dreiecke farblich unterlegt. Läßt sich nicht nach pdf exportieren. (2 Wochen = 4 Vorlesungen = 4x aufgetreten)
  +
|| wm->gk,ph || ||
  +
|-
  +
|2018-11-15 || || 2.101 || Ähnliches Verhalten wie bei vorherigem Eintrag || cd->gk || ||
   
  +
|- <!-- Datum !! Behoben !! Raum !! Fehlfunktion !! Meldung an/via !! Grund, sofern bekannt !! class="unsortable" | Abhilfe -->
  +
|2018-11-20 || ... || 2.101 || 1) Smart Notebook erratisches Verhalten wie üblich ... Läßt sich noch exportieren, dann "SmartNotes funktioniert nicht mehr" 2) "Smart Learning Suite expires in 7 days" 3) rüberloggen zu login.informatik dauert lange: WinSCP -> "der entfernte Rechner sendet seit mehr als 15 Sekunden nichts mehr ( aufgeben - weiterversuchen )" Bei Weiter versuchen gings dann. || wm->ub || - || ...
   
  +
|- <!-- Datum !! Behoben !! Raum !! Fehlfunktion !! Meldung an/via !! Grund, sofern bekannt !! class="unsortable" | Abhilfe -->
−
Successfully triggering is possible using a variety of software tools:
  
  +
|2018-11-21 || ... || 2.101 || 1) Smart Notebook erratisches Verhalten wie gestern 2) ... in six days, 3) winscp->login.informatik: "der entfernte Rechner liefert keine sftp-Verbindung". Beim zweiten Versuch gings dann || wm->ub || - || ...
   
  +
|- <!-- Datum !! Behoben !! Raum !! Fehlfunktion !! Meldung an/via !! Grund, sofern bekannt !! class="unsortable" | Abhilfe -->
−
* [[#Linux]]
  
  +
| 2018-11-27 || 2018-11-27 || 0.101 || Keine Anzeige auf Ausgabegeräten. Auswahl der Ausgabegeräte über Touchpanel ohne Wirkung. || Steffen -> Gunnar || || Mediensteuerung abgeschaltet, Sicherung raus-rein
−
* [[#Windows]]
  
−
* [[#Android]]
  
−
* [[#OS agnostic Web Browser]]
  
   
  +
|- <!-- Datum !! Behoben !! Raum !! Fehlfunktion !! Meldung an/via !! Grund, sofern bekannt !! class="unsortable" | Abhilfe -->
−
==== Linux ====
  
  +
| 2018-11-27/28|| ... || 2.101 || Tutor berichtet, dass SmartNotebook-Fehler immer noch auftreten. Selber dann mal pdfAnnotator benutzt. Nicht so gut/umständlicher. Will am Ende immer in ein Directory speichern, wo Benutzer nicht hinschreiben koennen. Sowas sollte sinnvoll vorkonfiguriert sein. || wm->ph/gk || - || ...
−
If you are using Linux and the package <tt>knockd</tt> is actually installed (which is not a requirement!) you can use this one-liner to log in:
  
−
~$ knock shell.stud.informatik.uni-goettingen.de 33778 22999 44333 && sleep 1; ssh username@shell.stud.informatik.uni-goettingen.de
  
   
  +
|- <!-- Datum !! Behoben !! Raum !! Fehlfunktion !! Meldung an/via !! Grund, sofern bekannt !! class="unsortable" | Abhilfe -->
−
If this fails try a slower version:
  
  +
|2018-12-04 || ... || x.101 || SmartNotebook: schon nach wenigen Minuten dasselbe wie immer. Nach Totalabsturz und Restart war immerhin der bisherige Inhalt auch wieder da. Allerdings auch in den gespeicherten Seiten schon seltsame Striche und Dreiecke gespeichert. || wm-> ph || - || ...
−
~$ knock shell.stud.informatik.uni-goettingen.de 33778; knock shell.stud.informatik.uni-goettingen.de 22999; knock shell.stud.informatik.uni-goettingen.de 44333 && sleep 1; ssh username@shell.stud.informatik.uni-goettingen.de
  
   
  +
|- <!-- Datum !! Behoben !! Raum !! Fehlfunktion !! Meldung an/via !! Grund, sofern bekannt !! class="unsortable" | Abhilfe -->
  +
|2018-12-05 || ... || x.101 || SmartNotebook: schon nach wenigen Minuten dasselbe wie immer. Diesmal sogar Farbverläufe. Dann sehr langsam, noch eine Zeile "unsichtbar" fertiggeschrieben, die schon nicht mehr angezeigt wurde; keine Reaktion des Smart Notebook mehr. Dann Abschuss und Restart (die letzte Zeile war sogar noch gespeichert worden) und nach ein paar Minuten wieder irre Effekt. Die irren Effekte enstanden auch teilweise von alleine, während ich garnichts am Smartboard gemacht habe ... || wm-> ph || - || ...
   
  +
|- <!-- Datum !! Behoben !! Raum !! Fehlfunktion !! Meldung an/via !! Grund, sofern bekannt !! class="unsortable" | Abhilfe -->
−
''Without'' having the package <tt>knockd</tt> installed: <tt>telnet</tt> to the rescue!
 
  +
| 2018-12-10 || 2018-12-10 || -1.101 || Smartdisplay lässt sich nicht einschalten. || Gunnar || || Reset (Ein-Aus-Schalter lange gedrückt halten)
−
~$ telnet shell.stud.informatik.uni-goettingen.de 33778
  
−
~$ telnet shell.stud.informatik.uni-goettingen.de 22999
  
−
~$ telnet shell.stud.informatik.uni-goettingen.de 44333
  
−
~$ ssh username@shell.stud.informatik.uni-goettingen.de
  
   
  +
|- <!-- Datum !! Behoben !! Raum !! Fehlfunktion !! Meldung an/via !! Grund, sofern bekannt !! class="unsortable" | Abhilfe -->
  +
| 2018-12-11 || ... || 0.101 || Heute dort statt 2.101. SmartNotes nur sehr wenig benutzt. Kein Fehler. Funktionalität: Dort kann man nicht nur im SmartNotes, sondern auch im Browser etc markieren (ging früher auch im mal im 2.101). Mit dem SmartScreen auf dem Tisch kann man nicht schreiben/markieren? Netzkabel fehlte erst, neues funktionierte nicht -> nochmal auswechseln! || wm/gk || - || ...
   
  +
|- <!-- Datum !! Behoben !! Raum !! Fehlfunktion !! Meldung an/via !! Grund, sofern bekannt !! class="unsortable" | Abhilfe -->
  +
|2018-12-12 || ... || 2.101 || Irres Doppelbild (wie schon mal) auf dem Smartboard. Stecker gezogen, neu gestartet. Profil weg. Gunnar sagt "neuer Rechner". Wäre gut, das den Betroffenen auch zu sagen. Profil teilweise neu eingerichtet. Irgendwas ging aber nicht, weiss nicht mehr, was. Vorlesung gehalten. SmartNotebook nur wenig benutzt|| wm->gk || - || Stecker gezogen. Profil irgendwann mal neu einrichten =:(( Manhatjasonstnichtszutun.
   
  +
|- <!-- Datum !! Behoben !! Raum !! Fehlfunktion !! Meldung an/via !! Grund, sofern bekannt !! class="unsortable" | Abhilfe -->
−
[[Image:knockknock.png|343px|right]]
  
  +
| 15.01.2019 || ... || 0.101 || Frontbeamer zeigt kein Bild an und kann auch nicht über Konsole eingeschaltet werden. || ... || - || ...
  +
|-
  +
| 2019-01-15 || 2019-01-16?|| 0.101 || Deckenbeamer nicht nutzbar || UB || vermutlich die Übertragungsstrecke || Hausmeister-->E-Technik ''und'' Multimedia
   
  +
|- <!-- Datum !! Behoben !! Raum !! Fehlfunktion !! Meldung an/via !! Grund, sofern bekannt !! class="unsortable" | Abhilfe -->
−
==== Windows ====
  
  +
|- <!-- Datum !! Behoben !! Raum !! Fehlfunktion !! Meldung an/via !! Grund, sofern bekannt !! class="unsortable" | Abhilfe -->
−
* <tt>telnet</tt> is included in Windows also. But it is not ''installed'' by default. You need to activate it through "Windows-Features aktivieren oder deaktivieren"/"Add windows features" "Telnet-Client". You need Administrator privileges to do so, so this is not an option on foreign computers
  
  +
| ... || ... || x.101 || ... || ... || - || ...
−
* There are dedicated tools available for this purpose. This one is tested and found to work as expected: https://sourceforge.net/projects/knockknock/ <br />The zip-file contains a (surprisingly small) executable. It is usable without installation, so you do ''not'' need Admin privileges
  
−
* Use a web browser to tickle those ports
  
−
* <small><tt>telnet</tt> is included in Windows also, but unfortunately it seems not to work reliably. During reproducible tests the ''third'' knock did not reach the server while the first two were handled correctly</small>
  
−
&nbsp;<br />&nbsp;
  
   
  +
|- <!-- Datum !! Behoben !! Raum !! Fehlfunktion !! Meldung an/via !! Grund, sofern bekannt !! class="unsortable" | Abhilfe -->
−
==== Android ====
  
  +
| ... || ... || x.101 || ... || ... || - || ...
−
"Port Knocker" via [[F-Droid]]: It is recommended to integrate that repository by installing https://f-droid.org/FDroid.apk. A direct link to the relevant package is: https://f-droid.org/repo/com.xargsgrep.portknocker_8.apk
  
   
  +
|}
−
This tool allows an arbitrary application to launch automatically after knocking. Tested successfully with [[ConnectBot]].
  
   
  +
== Vorfälle 2019 ==
  +
Die folgende Tabelle kann bitte von jedem Nutzer (egal ob Studierender oder Mitarbeiter!) ergänzt werden. Bitte beachten Sie, dass ''dies hier'' keinen Support-Request auslöst, sondern nur der Dokumentation dient.
   
  +
{| class="wikitable sortable"
−
==== OS agnostic Web Browser ====
  
  +
|- class="hintergrundfarbe5"
−  
  +
! Datum !! Behoben !! Raum !! Fehlfunktion !! Meldung von/via/an !! Grund, sofern bekannt !! class="unsortable" | Abhilfe
−
Create a new folder for these bookmarks. Prepare three Bookmarks:
 
−
** http://shell.stud.informatik.uni-goettingen.de:33778
  
−
** http://shell.stud.informatik.uni-goettingen.de:22999
  
−
** http://shell.stud.informatik.uni-goettingen.de:44333
  
−  
−
Of course you will end up running into a timeout as ''there is no webserver listening''. You do not have to wait for timeout; simply cancel loading...
  
−  
−
You can "click" them one after another. Browsers like [[Firefox]] offer a context menu entry "Alle in Tabs öffnen"/"Open all bookmarks" which tries to do what it says. You need to close all three of them one by one though.
  
−
-->
  
−  
−
== 2FA ==
  
−
''Two Factor Authentication'' -- '''required, not optional!'''
  
−  
−
=== Concept ===
  
−
We use the well known <tt>google-authenticator</tt> to add a second factor as a requirement for (ssh-) logins. ''First'' you will get prompted for a "Verification code:". Then you'll get a second prompt asking for your normal password.
 
−  
−
The "Verification Code" changes every minute, this approach is called TOTP = '''T'''ime-based '''O'''ne '''T'''ime '''P'''assword.
 
−  
−
<small>(Do not try to use "Counter based OTP". It might work first, but it will do so only for a short while! We are using ''copies'' of the secret file. State updates required by the incremental counter strategy are ''not'' written back. Authentication will fail after reaching the windows size.) </small>
  
−  
−
The order of both inputs is relevant: if an attacker manages to crack the first element (being the TOTP) he has a benefit for some minutes only. If we would ask for the ''Password'' first then the benefit of cracking the first element gives advantages probably for a very long time.
 
−  
−
 
−
You need to have a compatible [[#Generators|generator]] - usually implemented as a small application.
 
−  
−
Please note that often this approach is associated with a specific implementation: ''the'' [[Google Authenticator]]. This is misleading as there are other 100% compatible implementations. See also RFC 6238.
  
−  
−
=== Initialization ===
  
−
Before you can use this technology the first time you need to prepare your personal secret credentials. You do this by using a simple command line tool and answering some questions.
  
−  
−
Of course you can not do this on these shellX-machines as you can not login successfully - this is the classic chicken-and-egg problem. '''Use one of the physical pool computers for this!'''
 
−  
−
(Your personal/private computer is probably ''not'' an option as you need access to your OpenAFS <tt>$HOME</tt>. If you ''do'' have access you might need to install the software by <tt>apt-get install libpam-google-authenticator</tt> which contains the required binary.)
  
−
 
−
''The following instructions are copy-n-pastable as the commands are relative to anyones <tt>$HOME</tt>-folder. ''
 
−  
−
~$ '''google-authenticator'''
 
−
Do you want authentication tokens to be time-based (y/n) '''y'''
  
−
... <small># For full output see [[Shell/2fa-example]]</small>
  
−  
−
=== Create dedicated sub-directory ===
  
−  
−
For '''new''' accounts the folder <tt>.ifi-login</tt> is created automatically on first login. If it actually exists already you can skip nearly this complete block and jump to ''the next section with the <tt>mv .google_authenticator</tt>-command''.
  
−  
−
A successful check:
  
−
~$ file .ifi-login
  
−
.ifi-login: directory
  
−
A missing folder gives:
  
−
~$ file .ifi-login
  
−
.ifi-loginx: cannot open `.ifi-login' (No such file or directory)
  
−  
−
----
  
−  
−
Due to some unusual behavior of [[OpenAFS]] regarding access rights (<small>they work ''only'' on directories, not on files</small>) we need to move that file into another, dedicated subdirectory. This man page explains the access rights mechanism and how to manipulate ''access-control-lists'':
  
−
~$ man fs_setacl
  
−  
−
First you need to create that directory. A special user with the name <tt>ifi-login</tt> needs to have read access to the files in the directory <tt>.ifi-login</tt> inside of your <tt>$HOME</tt>. To be able to reach into that directory he needs to "walk through" your home folder. The third line is required to make this possible by granting "l"="list" access rights to your <tt>$HOME</tt>:
  
−
~$ mkdir .ifi-login
 
−
~$ fs sa -dir .ifi-login -acl ifi-login read
 
−
~$ fs sa -dir . -acl ifi-login l
  
−  
−
Be aware that we are working with "dotfiles": both <tt>.ifi-login</tt> & <tt>.google_authenticator</tt> begin with a "." and are usually ''hidden'' from users eye. To see them use '''<tt>ls -a</tt>'''.
  
−  
−
As usual access rights are inherited. For this reason there are more rights granted than required. You ''might'' remove them now by commands like
  
−
~$ fs sa -dir .ifi-login -acl mta none
  
−
~$ fs sa -dir .ifi-login -acl spamassassin none
  
−
~$ fs sa -dir .ifi-login -acl web-home none
  
−  
−
You can always check the current settings. At the end it may look like this:
  
−
~$ fs la .ifi-login
  
−
Access list for .ifi-login is
  
−
Normal rights:
  
−
system:administrators rlidwka
  
−
username rlidwka
  
−
username.system rl
  
−
'''ifi-login rl''' '' # this is the important one (in this context) ''
  
−  
−
'''WARNING:''' do not remove rights if you are not absolutely sure they are not needed. ''It is very easy to remove too many rights'', leaving you with a directory that is not usable anymore!
  
−  
−
=== Move credential file ===
  
−  
−
Now move the created credential file into that new destination:
  
−
~$ mv .google_authenticator .ifi-login/
  
−  
−
Please remember to repeat this step if you modify/recreate your configuration!
  
−  
−
=== Generators ===
  
−
{| style="border: 1pt black dashed"
 
 
|-
  
|-
  +
| 15.4.2019 || ... || 2.101 || Versucht, ob man dort Vorlesung halten kann. Laptop eingesteckt -> Sicherung raus. Hausmeister behoben. Smartboard geht nicht. Gunnar im Urlaub. Udo probiert diverses und stellt fest dass es nicht funktioniert
−
| [[Image:Diamond-caution.png]] || The '''system time''' is used equivalent to a shared secret! Make sure your clock is set correctly or all generated codes will fail.
  
  +
|| wm->ub/ph, ub/ph->E-Learning || - || ...
  +
|-
  +
|2019-04-15 || || 2.101 || kein Bild --> Power Cycle (mehrfach) = bleibt tot.<br />Bereits der "Einschalt-Bildschirm" kommt ''nicht'' || ub --> 1171 --> Multimedia || ||
 
|-
  
|-
−
|}
  
   
  +
| 16.4.2019 10-12 || ... || 2.101 || Vorlesung. Smartboard funktioniert -natürlich- nicht... || ... || - || ...
−
For all generators you need the secret created above. You can use any tool you want to look into the file <tt>.ifi-login/.google_authenticator</tt>. A one-liner which outputs ''only'' the "secret" is this:
  
  +
|-
−
~$ head -n1 .ifi-login/.google_authenticator
 
−
P2ZOMKQLEIC6SKCL
  
   
  +
| 17.4.2019 10-12 || ... || 2.101 || Vorlesung. Smartboard funktioniert -natürlich- nicht... || ... || - || ...
−
[[Image:winauth+putty.png|399px|right]]
  
  +
|-
   
  +
| 11.6.2019 || ... || -1.101 || Smartboard ist "eingeschlafen", Bedienung des Rechners funktionierte. || wm, ph || - || Rechner neu gestartet.
−
* Android
  
  +
|-
−
** Play Store: "<tt>Google Authenticator</tt>".
 
−
** [[F-Droid]]: https://f-droid.org/app/com.google.android.apps.authenticator2
  
   
  +
| 17.6.2019 10-12 || ... || 2.101 || Heute mal wieder im 2.101. SR-PC fährt noch hoch, bootet Windows, dann Fehlermeldung am Monitor irgendwas mit "monitor timing". Anzeige am Smartboard OK. Meldung an GK, bastelt irgendwas mit Kabeln, Matrix etc. Irgendwann gehts dann. || wm, gk || gk bitte noch eintragen || ...
−
* Linux
  
  +
|-
−
** install <tt>oathtool</tt> to get some compatible command line utilities. Then this works:
  
−
~$ oathtool --totp -b $(head -n1 .ifi-login/.google_authenticator)
  
−
123456
  
   
  +
| 17.6.2019 14-16 || ... || 2.101 || gk noch am Basteln ... SR-PC-Bildschirm Bildschirm flimmert .. irgendwann gehts dann || wm, gk || - || ...
−
* Ubuntu Touch
  
  +
|-
−
** Authenticator
  
   
  +
| 18.6.2019 || ... || -1.101 || wie 11.6. || wm->ph || - || SmartNotes neu gestartet
−
* Windows:
  
  +
|-
−
** WinAuth: https://github.com/winauth/winauth -- <small>direct download as of 06.2016: https://winauth.com/downloads/3.x/WinAuth-3.5.1.zip</small><br />This is an installation-free application, no setup and no administrative access needed.
 
   
  +
| ... || ... || x.101 || ... || ... || - || ...
−
* Windows Phone:
  
  +
|-
−
** Token2: free application from Microsoft Store. The QR-Code seems to be incompatible, so you need to type in your secret manually. Nevertheless: ''it works''.
 
   
  +
| ... || ... || x.101 || ... || ... || - || ...
  +
|-
   
  +
|}
−
* OS agnostic
  
−
** [[Chromium]] Browser: GAuth application
  
−
** https://5apps.com/gbraad/gauth -- direct use web-application (think twice!) & application for Chrome and Firefox
  
   
−
== Tips 'n' Tricks ==
 +
== Siehe auch ==
  +
* [[Technik]]
  +
* [[Hausmeister]]
   
−
=== Connecting to a specific machine ===
  
−
If you are trying to connect to the ''same machine as last time'' (for example to execute [[Long Running Processes]]) you need to connect from a ''semi-local source address'' which includes:
  
−
* <tt>134.76.0.0/16</tt> - official Gönet address space
 
−
* <tt>10.0.0.0/8</tt> - official Gönet wide routed RFC1918 address space
  
−
* <tt>172.16.0.0/12</tt> - Institute local address space
  
−
In this case circumventing the Round-Robin mechanism is possible by connecting to a specific port <tt>42000+''n''</tt> with <tt>''n''={1..6}</tt>. The example connects to machine number 4:
  
−
 
−
~$ ssh -p 42004 username@shell.stud.informatik.uni-goettingen.de
  
−
#######
  
−
####### shell.stud.informatik.uni-goettingen.de - login vm: shell4.cip.loc
  
−  
−
<!--
  
−
=== "knocking" not required from ''inside'' the Institute ===
  
−
If your are ''inside'' the Institute's LAN then there is no need to take the main entrance. You can circumvent the need to knock at the front door by connecting to the <tt>shellX</tt>-machines directly:
  
−
~$ ssh shell4.cip.loc
  
−
-->
  
−  
−
=== Duplicate your Generators ===
  
−
It is absolutely fine to have a well configured generator on every single device you own. Remember: without the second factor you can not login. That's the goal of the whole shebang after all.
  
−  
−
=== Write down your Emergency codes ===
  
−
Remember the console output during creation of the secret? "<tt>Your emergency scratch codes are:...</tt>". Write them down (or print them) and put that piece of paper into your pocket...
  
−  
−
=== Credential problems ===
  
−
* the actual password is '''not stored anywhere''' in Institute's systems
  
−
** students: [[StudIT]] - https://wiki.student.uni-goettingen.de/support/account/passwort
  
−
** staff: [[Gwdg]] - https://info.gwdg.de/faq/index.php?action=artikel&cat=52&id=215&artlang=de - Institute's Admins will help as we have some administrative access. While we can not tell you your password we can ''reset'' it
  
−  
−
* problems with the Verification Code: simply start again with [[#Initialization]] and overwrite <tt>~/.ifi-login/.google_authenticator</tt>. You need to re-configure ''all'' of your [[#Generators]] of course
  
−  
−
== Todo ==
  
−
* Testing! -- the current state is considered "BETA"
  
−
* ssh-ed25519
  
−
<!-- * make Status Information publicly available? -- ''probably not'' -->
  
−
<!-- * possibly require 2FA only from outside the Institute? -- ''Not decided yet'' -->
  
−  
−
== See also ==
  
−
* [[Remote Access]]
  
−
* [[Long Running Processes]] -- leave processes running
 
−
* [[2FA/Multiple]] -- use multiple identities
  
   
 
== Links ==
  
== Links ==
  +
* http://www.e-learning.uni-goettingen.de/
−
* https://tools.ietf.org/html/rfc6238
  
−
* https://github.com/google/google-authenticator
  
−  
−
<!--
  
−
* https://en.wikipedia.org/wiki/Port_knocking
  
−
* https://help.ubuntu.com/ -- common help regarding Ubuntu
  
−
* http://shell.stud.informatik.uni-goettingen.de/ -- current state of the load balancer. Use <tt>ifi</tt>/<tt>ifi</tt> to login <small>''("bots not welcome")''</small>
  
−
-->
  
   
  +
[[Kategorie:MultiMedia]]
−
[[Category:Pool]][[Category:Remote]]
  

Version vom 18. Juni 2019, 16:13 Uhr

11.2018: verbal wird immer wieder von Problemen insbesondere mit der Multimediatechnik berichtet. Dokumentiert wird das aber nur selten, so dass eine Fehlermeldung an den Hersteller nur schwer bis gar nicht möglich ist. Nur falls es uns gelingt, Meldungen von Problemen zu sammeln, wird irgendwann Ursachenforschung stattfinden.

Ansprechpartner

Störungen sind je nach Kontext unterschiedlich zu melden:

Vorfälle 2018

Die folgende Tabelle kann bitte von jedem Nutzer (egal ob Studierender oder Mitarbeiter!) ergänzt werden. Bitte beachten Sie, dass dies hier keinen Support-Request auslöst, sondern nur der Dokumentation dient.

Datum Behoben Raum Fehlfunktion Meldung an/via Grund, sofern bekannt Abhilfe
2018-11-06 2.101 Smart Notebook erratisches Verhalten. Wilde Linien, wilde Dreiecke farblich unterlegt. Läßt sich nicht nach pdf exportieren. Dann Absturz wm->gk
2018-11-07 2018-11-07 2.101 Smartboard-Darstellungsprobleme --> nicht benutzbar hausintern System-Absturz? Power-Cycle. Später Firmware-Update. Unklar, ob Ursache somit behoben...
2018-11-07 2.101 Smart Notebook erratisches Verhalten. Wilde Linien, wilde Dreiecke farblich unterlegt. Speichern ging diesmal noch wm->gk Dann Firmware-Update. Unklar, ob Ursache somit behoben...
2018-11-08 2018-11-14 0.101 Deckenbeamer nicht nutzbar 1171 --> Multimedia F112 + FI Multimedia: Stromversorgung der HDMI-Übertragungsstrecke disfunktional --> Elektrotechnik
2018-11-13 2.101 Smart Notebook erratisches Verhalten. Wilde Linien, wilde Dreiecke farblich unterlegt. Läßt sich nicht nach pdf exportieren. (Der vorher im Raum gewesene Tutor bestätigte, dass er das Problem auch hatte) wm->gk,ph Speicher läuft voll? Foto/Video dokumentiert
2018-11-14 0.101 Stiftauswahl des PDF-Annotators wird bei zu langer (vielleicht 30s?) Nichtbenutzung des Stifts aufgehoben und durch den Standard-Stift der Smartboart-Software ersetzt. Dieses Problem trat in 2.101 bisher nicht auf (auch nicht in MN08, wo ich den Annotator auch benutze). CD SW-Konfiguration?
2018-11-14 2.101 Smart Notebook erratisches Verhalten. Wilde Linien, wilde Dreiecke farblich unterlegt. Läßt sich nicht nach pdf exportieren. (2 Wochen = 4 Vorlesungen = 4x aufgetreten) wm->gk,ph
2018-11-15 2.101 Ähnliches Verhalten wie bei vorherigem Eintrag cd->gk
2018-11-20 ... 2.101 1) Smart Notebook erratisches Verhalten wie üblich ... Läßt sich noch exportieren, dann "SmartNotes funktioniert nicht mehr" 2) "Smart Learning Suite expires in 7 days" 3) rüberloggen zu login.informatik dauert lange: WinSCP -> "der entfernte Rechner sendet seit mehr als 15 Sekunden nichts mehr ( aufgeben - weiterversuchen )" Bei Weiter versuchen gings dann. wm->ub - ...
2018-11-21 ... 2.101 1) Smart Notebook erratisches Verhalten wie gestern 2) ... in six days, 3) winscp->login.informatik: "der entfernte Rechner liefert keine sftp-Verbindung". Beim zweiten Versuch gings dann wm->ub - ...
2018-11-27 2018-11-27 0.101 Keine Anzeige auf Ausgabegeräten. Auswahl der Ausgabegeräte über Touchpanel ohne Wirkung. Steffen -> Gunnar Mediensteuerung abgeschaltet, Sicherung raus-rein
2018-11-27/28 ... 2.101 Tutor berichtet, dass SmartNotebook-Fehler immer noch auftreten. Selber dann mal pdfAnnotator benutzt. Nicht so gut/umständlicher. Will am Ende immer in ein Directory speichern, wo Benutzer nicht hinschreiben koennen. Sowas sollte sinnvoll vorkonfiguriert sein. wm->ph/gk - ...
2018-12-04 ... x.101 SmartNotebook: schon nach wenigen Minuten dasselbe wie immer. Nach Totalabsturz und Restart war immerhin der bisherige Inhalt auch wieder da. Allerdings auch in den gespeicherten Seiten schon seltsame Striche und Dreiecke gespeichert. wm-> ph - ...
2018-12-05 ... x.101 SmartNotebook: schon nach wenigen Minuten dasselbe wie immer. Diesmal sogar Farbverläufe. Dann sehr langsam, noch eine Zeile "unsichtbar" fertiggeschrieben, die schon nicht mehr angezeigt wurde; keine Reaktion des Smart Notebook mehr. Dann Abschuss und Restart (die letzte Zeile war sogar noch gespeichert worden) und nach ein paar Minuten wieder irre Effekt. Die irren Effekte enstanden auch teilweise von alleine, während ich garnichts am Smartboard gemacht habe ... wm-> ph - ...
2018-12-10 2018-12-10 -1.101 Smartdisplay lässt sich nicht einschalten. Gunnar Reset (Ein-Aus-Schalter lange gedrückt halten)
2018-12-11 ... 0.101 Heute dort statt 2.101. SmartNotes nur sehr wenig benutzt. Kein Fehler. Funktionalität: Dort kann man nicht nur im SmartNotes, sondern auch im Browser etc markieren (ging früher auch im mal im 2.101). Mit dem SmartScreen auf dem Tisch kann man nicht schreiben/markieren? Netzkabel fehlte erst, neues funktionierte nicht -> nochmal auswechseln! wm/gk - ...
2018-12-12 ... 2.101 Irres Doppelbild (wie schon mal) auf dem Smartboard. Stecker gezogen, neu gestartet. Profil weg. Gunnar sagt "neuer Rechner". Wäre gut, das den Betroffenen auch zu sagen. Profil teilweise neu eingerichtet. Irgendwas ging aber nicht, weiss nicht mehr, was. Vorlesung gehalten. SmartNotebook nur wenig benutzt wm->gk - Stecker gezogen. Profil irgendwann mal neu einrichten =:(( Manhatjasonstnichtszutun.
15.01.2019 ... 0.101 Frontbeamer zeigt kein Bild an und kann auch nicht über Konsole eingeschaltet werden. ... - ...
2019-01-15 2019-01-16? 0.101 Deckenbeamer nicht nutzbar UB vermutlich die Übertragungsstrecke Hausmeister-->E-Technik und Multimedia
... ... x.101 ... ... - ...
... ... x.101 ... ... - ...

Vorfälle 2019

Die folgende Tabelle kann bitte von jedem Nutzer (egal ob Studierender oder Mitarbeiter!) ergänzt werden. Bitte beachten Sie, dass dies hier keinen Support-Request auslöst, sondern nur der Dokumentation dient.

Datum Behoben Raum Fehlfunktion Meldung von/via/an Grund, sofern bekannt Abhilfe
15.4.2019 ... 2.101 Versucht, ob man dort Vorlesung halten kann. Laptop eingesteckt -> Sicherung raus. Hausmeister behoben. Smartboard geht nicht. Gunnar im Urlaub. Udo probiert diverses und stellt fest dass es nicht funktioniert wm->ub/ph, ub/ph->E-Learning - ...
2019-04-15 2.101 kein Bild --> Power Cycle (mehrfach) = bleibt tot.
Bereits der "Einschalt-Bildschirm" kommt nicht		 ub --> 1171 --> Multimedia
16.4.2019 10-12 ... 2.101 Vorlesung. Smartboard funktioniert -natürlich- nicht... ... - ...
17.4.2019 10-12 ... 2.101 Vorlesung. Smartboard funktioniert -natürlich- nicht... ... - ...
11.6.2019 ... -1.101 Smartboard ist "eingeschlafen", Bedienung des Rechners funktionierte. wm, ph - Rechner neu gestartet.
17.6.2019 10-12 ... 2.101 Heute mal wieder im 2.101. SR-PC fährt noch hoch, bootet Windows, dann Fehlermeldung am Monitor irgendwas mit "monitor timing". Anzeige am Smartboard OK. Meldung an GK, bastelt irgendwas mit Kabeln, Matrix etc. Irgendwann gehts dann. wm, gk gk bitte noch eintragen ...
17.6.2019 14-16 ... 2.101 gk noch am Basteln ... SR-PC-Bildschirm Bildschirm flimmert .. irgendwann gehts dann wm, gk - ...
18.6.2019 ... -1.101 wie 11.6. wm->ph - SmartNotes neu gestartet
... ... x.101 ... ... - ...
... ... x.101 ... ... - ...

Siehe auch


Links

Abgerufen von „https://doc.informatik.uni-goettingen.de/wiki/index.php?title=Shell&oldid=1201“