0 - en to de-DE translation catalogue (220 entries)

en: Network
de-DE: Netzwerk

en: Network Infrastructure
de-DE: Netzwerk-Infrastruktur

en: Linux sports the whole Unix heritage for networking, and Debian provides a full set of tools to create and manage them. This chapter reviews these tools.
de-DE: Linux stellt das ganze Unixerbe an Netzwerkfunktionalität zur Verfügung und Debian bietet einen kompletten Satz an Werkzeugen, um ein Netzwerk aufzubauen und zu verwalten. In diesem Kapitel werden diese Werkzeuge besprochen.

en: <primary>gateway</primary>
de-DE: <primary>Gateway</primary>

en: <primary>network</primary><secondary>gateway</secondary>
de-DE: <primary>Netzwerk</primary><secondary>Gateway</secondary>

en: <primary>router</primary>
de-DE: <primary>Router</primary>

en: A gateway is a system linking several networks. This term often refers to a local network's “exit point” on the mandatory path to all external IP addresses. The gateway is connected to each of the networks it links together, and acts as a router to convey IP packets between its various interfaces.
de-DE: Ein Gateway ist ein System, das mehrere Netzwerke verbindet. Dieser Ausdruck bezieht sich häufig auf den "Ausgang" eines lokalen Netzwerks auf dem vorgeschriebenen Pfad zu externen IP-Adressen. Das Gateway ist mit jedem der Netzwerke verbunden, die es verbindet, und routet IP-Pakete zwischen verschiedenen Schnittstellen.

en: <emphasis>BACK TO BASICS</emphasis> IP packet
de-DE: <emphasis>ZURÜCK ZU DEN GRUNDLAGEN</emphasis> IP-Paket

en: <primary>packet</primary><secondary>IP</secondary>
de-DE: <primary>Paket</primary><secondary>IP</secondary>

en: Most networks nowadays use the IP protocol (<emphasis>Internet Protocol</emphasis>). This protocol segments the transmitted data into limited-size packets. Each packet contains, in addition to its payload data, a number of details required for its proper routing.
de-DE: Die meisten Netzwerke nutzen heute das IP-Protokoll (<emphasis>Internet-Protocol</emphasis>). Dieses Protokoll unterteilt die gesendeten Daten in kleine Pakete. Jedes Paket enthält neben den Daten auch noch Hinweise zur korrekten Übertragung.

en: <emphasis>BACK TO BASICS</emphasis> TCP/UDP
de-DE: <emphasis>ZURÜCK ZU DEN GRUNDLAGEN</emphasis> TCP/UDP

en: <primary>port</primary><secondary>TCP</secondary>
de-DE: <primary>Port</primary><secondary>TCP</secondary>

en: <primary>port</primary><secondary>UDP</secondary>
de-DE: <primary>Port</primary><secondary>UDP</secondary>

en: Many programs do not handle the individual packets themselves, even though the data they transmit does travel over IP; they often use TCP (<emphasis>Transmission Control Protocol</emphasis>). TCP is a layer over IP allowing the establishment of connections dedicated to data streams between two points. The programs then only see an entry point into which data can be fed with the guarantee that the same data exits without loss (and in the same sequence) at the exit point at the other end of the connection. Although many kinds of errors can happen in the lower layers, they are compensated by TCP: lost packets are retransmitted, and packets arriving out of order (for example, if they used different paths) are re-ordered appropriately.
de-DE: Viele Programme verarbeiten die individuellen Pakete nicht selbst, auch wenn sie die Daten per IP übertragen. Sie nutzen oft TCP (<emphasis>Transmission Control Protocol/Transport Kontroll Protokoll</emphasis>). TCP ist eine Schicht über IP, um Datenströme zwischen zwei Punkten zu ermöglichen. Programme sehen nur einen Eingang, in den sie ihre Daten senden können und dass die gleichen Daten garantiert ohne Verlust (und in der gleichen Reihenfolge) am Ende der Verbindung ankommen. Obwohl viele verschiedene Fehler in den unteren Schichten auftreten können, regelt das TCP die erneute Versendung verlorener Pakete; und Pakete, die in falscher Reihenfolge ankommen (z. B. wegen verschiedener Pfade) werden in der richtigen Reihenfolge ausgegeben.

en: Another protocol relying on IP is UDP (<emphasis>User Datagram Protocol</emphasis>). In contrast to TCP, it is packet-oriented. Its goals are different: the purpose of UDP is only to transmit one packet from an application to another. The protocol does not try to compensate for possible packet loss on the way, nor does it ensure that packets are received in the same order as were sent. The main advantage to this protocol is that the latency is greatly improved, since the loss of a single packet does not delay the receiving of all following packets until the lost one is retransmitted.
de-DE: Ein weiteres auf IP aufbauendes Protokoll ist UDP(<emphasis>User Datagram Protocol</emphasis>). Im Gegensatz zu TCP ist es paketorientiert. Es wird ein anderes Ziel verfolgt: Es sendet ein Paket von einer Anwendung zu einer Anderen. Das Protokoll kümmert sich nicht um verlorene Pakete oder die Reihenfolge der Pakete. Der Hauptvorteil ist die sehr niedrige Latenz, ein verlorenes Paket hält den Datenstrom nicht auf bis dieses wieder übertragen wird.

en: TCP and UDP both involve ports, which are “extension numbers” for establishing communication with a given application on a machine. This concept allows keeping several different communications in parallel with the same correspondent, since these communications can be distinguished by the port number.
de-DE: TCP und UDP nutzen Ports, das sind "Erweiterungs Nummern" um Verbindungen mit einer Anwendung der Maschine herzustellen. Dieses Konzept erlaubt es verschiedene Verbindungen mit einem Partner aufzubauen, da man diese Verbindungen anhand der Port-Nummer unterscheiden kann.

en: When a local network uses a private address range (not routable on the Internet), the gateway needs to implement <emphasis>address masquerading</emphasis> so that the machines on the network can communicate with the outside world. The masquerading operation is a kind of proxy operating on the network level: each outgoing connection from an internal machine is replaced with a connection from the gateway itself (since the gateway does have an external, routable address), the data going through the masqueraded connection is sent to the new one, and the data coming back in reply is sent through to the masqueraded connection to the internal machine. The gateway uses a range of dedicated TCP ports for this purpose, usually with very high numbers (over 60000). Each connection coming from an internal machine then appears to the outside world as a connection coming from one of these reserved ports.
de-DE: Wenn ein lokales Netzwerk einen privaten Adressbereich verwendet (im Internet nicht erreichbar), muss das Gateway <emphasis>Addressen-Masquerading</emphasis> anwenden, damit die Rechner im Netzwerk mit der Außenwelt kommunizieren können. Das Masquerading ist eine Art Proxy-Verfahren auf Netzwerk-Ebene: Jede von einem internen Rechner ausgehende Verbindung wird durch eine Verbindung vom Gateway selbst ersetzt (da das Gateway eine externe, erreichbare Adresse hat). Durch die maskierte Verbindung gehende Daten werden an die neue Adresse gesendet; Antwortdaten werden durch die maskierte Verbindung an den internen Rechner geschickt. Das Gateway verwendet eine Reihe fest zugeordneter TCP-Ports, gewöhnlich mit sehr hohen Nummern (über 60000). Jede von einem internen Rechner kommende Verbindung erscheint der Außenwelt dann so, als käme sie von einem dieser reservierten Ports.

en: <emphasis>CULTURE</emphasis> Private address range
de-DE: <emphasis>CULTURE</emphasis> Privater Addressbereich

en: <primary>private IP address</primary>
de-DE: <primary>private IP-Adresse</primary>

en: RFC 1918 defines three ranges of IPv4 addresses not meant to be routed on the Internet but only used in local networks. The first one, <literal>10.0.0.0/8</literal> (see sidebar <xref linkend="sidebar.networking-basics" />), is a class-A range (with 2<superscript>24</superscript> IP addresses). The second one, <literal>172.16.0.0/12</literal>, gathers 16 class-B ranges (<literal>172.16.0.0/16</literal> to <literal>172.31.0.0/16</literal>), each containing 2<superscript>16</superscript> IP addresses. Finally, <literal>192.168.0.0/16</literal> is a class-B range (grouping 256 class-C ranges, <literal>192.168.0.0/24</literal> to <literal>192.168.255.0/24</literal>, with 256 IP addresses each). <ulink type="block" url="http://www.faqs.org/rfcs/rfc1918.html" />
de-DE: RFC 1918 definiert drei IPv4-Adressbereiche, die nicht im Internet geroutet werden, sondern nur in lokalen Netzwerken. Das erste Netz, <literal>10.0.0.0/8</literal> (siehe Seitenleiste <xref linkend="sidebar.networking-basics" />), ist ein Klasse-A Bereich (mit 2<superscript>24</superscript> IP-Adressen). Das Zweite, <literal>172.16.0.0/12</literal>, enthält 16 Klasse-B Bereiche (<literal>172.16.0.0/16</literal> bis <literal>172.31.0.0/16</literal>), mit jeweils 2<superscript>16</superscript> IP-Adressen. <literal>192.168.0.0/16</literal> ist schließlich ein Klasse-B Bereich (der 256 Klasse-C Bereiche, <literal>192.168.0.0/24</literal> bis <literal>192.168.255.0/24</literal>, mit jeweils 256 IP-Adressen zusammenschließt). <ulink type="block" url="http://www.faqs.org/rfcs/rfc1918.html" />

en: The gateway can also perform two kinds of <emphasis>network address translation</emphasis> (or NAT for short). The first kind, <emphasis>Destination NAT</emphasis> (DNAT) is a technique to alter the destination IP address (and/or the TCP or UDP port) for a (generally) incoming connection. The connection tracking mechanism also alters the following packets in the same connection to ensure continuity in the communication. The second kind of NAT is <emphasis>Source NAT</emphasis> (SNAT), of which <emphasis>masquerading</emphasis> is a particular case; SNAT alters the source IP address (and/or the TCP or UDP port) of a (generally) outgoing connection. As for DNAT, all the packets in the connection are appropriately handled by the connection tracking mechanism. Note that NAT is only relevant for IPv4 and its limited address space; in IPv6, the wide availability of addresses greatly reduces the usefulness of NAT by allowing all “internal” addresses to be directly routable on the Internet (this does not imply that internal machines are accessible, since intermediary firewalls can filter traffic).
de-DE: Das Gateway kann auch zwei Arten von <emphasis>Network Address Translation</emphasis> (oder kurz NAT genannt) durchführen. Die erste Art, <emphasis>Destination NAT</emphasis> (DNAT), ist ein Verfahren zur Änderung der Ziel-IP-Adresse (oder des TCP- beziehungsweise UDP-Ports) für eine (gewöhnlich) ankommende Verbindung. Der Mechanismus zur Verbindungsverfolgung ändert auch die innerhalb derselben Verbindung nachfolgenden Pakete, um Kontinuität in der Kommunikation sicherzustellen. Die zweite Art des NAT ist <emphasis>Source NAT</emphasis> (SNAT), bei dem das <emphasis>Masquerading</emphasis> ein besonderer Fall ist; SNAT ändert die Ausgangs-IP-Adresse (oder den TCP- beziehungsweise UDP-Port) einer (gewöhnlich) abgehenden Verbindung. Wie beim DNAT werden alle Pakete innerhalb der Verbindung durch den Verbindungsverfolgungsmechanismus behandelt. Beachten Sie, dass NAT nur für IPv4 und seinen begrenzten Adressraum gültig ist; bei IPv6 vermindert die große Anzahl von Adressen den Nutzen des NAT erheblich, da es zulässt, dass alle "internen" Adressen direkt ins Internet geleitet werden (dies bedeutet nicht, dass interne Rechner zugänglich sind, da dazwischenliegende Firewalls den Datenverkehr filtern können).

en: <emphasis>BACK TO BASICS</emphasis> Port forwarding
de-DE: <emphasis>ZURÜCK ZU DEN GRUNDLAGEN</emphasis> Port-Weiterleitung

en: <primary>port forwarding</primary>
de-DE: <primary>Port-Weiterleitung</primary>

en: A concrete application of DNAT is <emphasis>port forwarding</emphasis>. Incoming connections to a given port of a machine are forwarded to a port on another machine. Other solutions may exist for achieving a similar effect, though, especially at the application level with <command>ssh</command> (see <xref linkend="sect.ssh-port-forwarding" />) or <command>redir</command>.
de-DE: Eine konkrete Anwendung von DNAT ist <emphasis>port forwarding</emphasis>. Ankommende Verbindungen eines bestimmten Ports einer Maschine werden zu einem Port einer anderen Maschine weitergeleitet. Andere Lösungen erzielen ähnliche Ergebnisse, auf Anwendungsebene insbesondere <command>ssh</command> (siehe <xref linkend="sect.ssh-port-forwarding" />) oder <command>redir</command>.

en: Enough theory, let's get practical. Turning a Debian system into a gateway is a simple matter of enabling the appropriate option in the Linux kernel, by way of the <filename>/proc/</filename> virtual filesystem:
de-DE: Genug der Theorie. Um aus einem Debian-System ein Gateway zu machen, genügt es die passende Option im Linux-Kernel zu aktivieren. Dies geschieht im virtuellen <filename>/proc/</filename>-Verzeichnis:

en: The <filename>/etc/sysctl.conf</filename> file
de-DE: Die Datei <filename>/etc/sysctl.conf</filename>

en: The same effect can be obtained for IPv6 by simply replacing <literal>ipv4</literal> with <literal>ipv6</literal> in the manual command and using the <literal>net.ipv6.conf.all.forwarding</literal> line in <filename>/etc/sysctl.conf</filename>.
de-DE: Derselbe Effekt kann für IPv6 durch einfaches Ersetzen von <literal>ipv4</literal> durch <literal>ipv6</literal> im manuellen Befehl und durch Verwendung der Zeile <literal>net.ipv6.conf.all.forwarding</literal> in <filename>/etc/sysctl.conf</filename> erreicht werden.

en: Enabling IPv4 masquerading is a slightly more complex operation that involves configuring the <emphasis>netfilter</emphasis> firewall.
de-DE: Die Konfiguration von IPv4-Masquerading ist etwas schwieriger und schließt die Konfiguration der <emphasis>netfilter</emphasis>-Firewall ein.

en: Similarly, using NAT (for IPv4) requires configuring <emphasis>netfilter</emphasis>. Since the primary purpose of this component is packet filtering, the details are listed in <xref linkend="security" xrefstyle="select: label quotedtitle nopage" /> (see <xref linkend="sect.firewall-packet-filtering" />).
de-DE: Auch NAT (für IPv4) erfordert die Konfiguration von <emphasis>netfilter</emphasis>. Da der Hauptzweck dieser Komponente im Filtern von Paketen besteht, sind die Einzelheiten in <xref linkend="security" xrefstyle="select: label quotedtitle nopage" /> aufgeführt (siehe <xref linkend="sect.firewall-packet-filtering" />).

en: X.509 certificates
de-DE: X.509-Zertifikate

en: <primary>certificate</primary><secondary>X.509</secondary>
de-DE: <primary>Zertifikat</primary><secondary>X.509</secondary>

en: <primary>TLS</primary>
de-DE: <primary>TSL</primary>

en: <primary>X.509</primary><secondary>certificates</secondary>
de-DE: <primary>X.509</primary><secondary>Zertifikate</secondary>

en: <primary>Certificate Authority</primary>
de-DE: <primary>Zertifizierungsstelle</primary>

en: Certificates are an important building block of many network services built on cryptographic protocols, when they need some sort of central authentication.
de-DE: Zertifikate sind ein wichtiger Baustein vieler Netzwerkdienste, die auf kryptografischen Protokollen aufbauen, wenn sie eine Art zentrale Authentifizierung benötigen.

en: Among those protocols, SSL (<emphasis>Secure Socket Layer</emphasis>) was invented by Netscape to secure connections to web servers. It was later standardized by IETF under the acronym TLS (<emphasis>Transport Layer Security</emphasis>). Since then TLS continued to evolve, and nowadays SSL is deprecated due to multiple design flaws that have been discovered.
de-DE: Unter diesen Protokollen wurde SSL (<emphasis>Secure Socket Layer</emphasis>) von Netscape erfunden, um Verbindungen zu Webservern abzusichern. Es wurde später von der IETF unter der Abkürzung TLS (<emphasis>Transport Layer Security</emphasis>) zum Standard erhoben. Seither wurde TLS kontinuierlich weiterentwickelt und heute wird SSL aufgrund von verschiedenen Designfehlern als überholt angesehen.

en: The TLS protocol aims primarily to provide privacy and data integrity between two or more communicating computer applications. The most common case on the Internet is the communication between a client (e.g. a web browser) and a server.
de-DE: Das TLS-Protokoll zielt in erster Linie darauf ab, Datenschutz und Datenintegrität zwischen zwei oder mehr kommunizierenden Computeranwendungen zu gewährleisten. Der häufigste Fall im Internet ist die Kommunikation zwischen einem Client (z.B. einem Webbrowser) und einem Server.

en: You can implement a CA (as described in <xref linkend="sect.easy-rsa" />), but if you intend to use the certificate for a website, you need to rely on a trusted CA. The prices vary significantly, but it is possible to implement great security spending little to no money.
de-DE: Sie können eine CA implementieren (wie in <xref linkend="sect.easy-rsa" /> beschrieben), aber wenn Sie beabsichtigen, das Zertifikat für eine Website zu verwenden, müssen Sie sich auf eine vertrauenswürdige CA verlassen. Die Preise variieren erheblich, aber es ist möglich, hohe Sicherheit einzurichten, wenn man wenig bis gar kein Geld ausgibt.

en: Creating gratis trusted certificates
de-DE: Erstellen kostenloser vertrauenswürdiger Zertifikate

en: The Falcot administrators just want to create a certificate for their website, which runs on Apache. There is a convenient Apache plugin for <emphasis role="pkg">certbot</emphasis> that automatically edits the Apache configuration to serve the obtained certificate, so they make use of it:
de-DE: Die Falcot-Administratoren wollen lediglich ein Zertifikat für ihre Website erstellen, die auf Apache läuft. Es gibt ein praktisches Apache-Plugin für <emphasis role="pkg">certbot</emphasis>, das die Apache-Konfiguration automatisch bearbeitet, um das erhaltene Zertifikat auszuliefern, sodass sie es nutzen können:

en: <primary>Apache</primary><secondary>trusted certificates</secondary>
de-DE: <primary>Apache</primary><secondary>vertrauenswürdige Zertifikate</secondary>

en: <emphasis>CULTURE</emphasis> The Let's Encrypt Initiative
de-DE: <emphasis>KULTUR</emphasis> Die Let's Encrypt Initiative

en: The <ulink url="https://letsencrypt.org/">Let's Encrypt</ulink> initiative is a joint effort to create a free, automated, and open certificate authority (CA), run for the public's benefit. It is supported by the <acronym>EFF</acronym> and the Linux Foundation. The initiative provides an automated tool for acquiring and renewing certificates. This reduces the amount of manual effort involved, especially if multiple sites and domains must be managed. The certificates can also be used for SIP, XMPP, WebSockets and TURN servers. Usage of the service requires control over the DNS information of the domain in question (domain validation). <ulink type="block" url="https://letsencrypt.org/how-it-works/" />
de-DE: Die <ulink url="https://letsencrypt.org/de/">Let's Encrypt</ulink>-Initiative ist ein gemeinsames Projekt zur Schaffung einer freien, automatisierten und offenen Zertifizierungsstelle (CA), die zum Nutzen der Öffentlichkeit betrieben wird. Sie wird von der <acronym>EFF</acronym> und der Linux Foundation unterstützt. Die Initiative bietet ein automatisiertes Werkzeug für den Erwerb und die Erneuerung von Zertifikaten. Dies reduziert den manuellen Aufwand, insbesondere wenn mehrere Standorte und Domänen verwaltet werden müssen. Die Zertifikate können auch für SIP-, XMPP-, WebSockets und TURN-Server verwendet werden. Die Nutzung des Dienstes erfordert die Kontrolle über die DNS-Informationen der betreffenden Domain (Domain-Validierung). <ulink type="block" url="https://letsencrypt.org/de/how-it-works/" />

en: If you would rather keep the server running during the certificate creation, you can use the webroot plugin to get the certificate with the arguments <command>certonly</command> and <command>--webroot</command>. You would have to specify a <command>--webroot-path</command> (abbreviated <command>-w</command>), which should contain the files served. The command looks as follows:
de-DE: Wenn Sie den Server während der Zertifikatserstellung lieber laufen lassen möchten, können Sie das Webroot-Plugin verwenden, um das Zertifikat mit den Argumenten <command>certonly</command> und <command>--webroot</command> abzurufen. Sie müssten einen <command>--webroot-path</command> (abgekürzt <command>-w</command>) angeben, der die zugestellten Dateien enthalten sollte. Der Befehl sieht wie folgt aus:

en: <computeroutput># </computeroutput><userinput>certbot certonly --webroot -w <replaceable>/var/www/html</replaceable> -d www.<replaceable>DOMAIN</replaceable>.com -d <replaceable>DOMAIN</replaceable>.com</userinput>
de-DE: <computeroutput># </computeroutput><userinput>certbot certonly --webroot -w <replaceable>/var/www/html</replaceable> -d www.<replaceable>DOMÄNE</replaceable>.com -d <replaceable>DOMÄNE</replaceable>.com</userinput>

en: You need to restart all services using the certificates that you have created.
de-DE: Sie müssen alle Dienste neu starten, die die Zertifikate, die Sie erstellt haben, nutzen.

en: The certificates created are so called short-life certificates, which are valid for 90 days and must therefor be renewed every once in three months using the <command>certbot renew</command> command. However, we shouldn't renew every certificate manually, but automatically. A basic cron job is included by <emphasis role="pkg">certbot</emphasis> in <filename>/etc/cron.d/certbot</filename>. To ensure that certificates can be automatically renewed, you can execute <command>certbot renew --dry-run</command>.
de-DE: Die erstellten Zertifikate sind sogenannte kurzlebige Zertifikate, die 90 Tage gültig sind und daher alle drei Monate mit dem Befehl <command>certbot renew</command> erneuert werden müssen. Wir sollten jedoch nicht jedes Zertifikat automatisch statt manuell erneuern. Ein grundlegender Cron-Job ist durch <emphasis role="pkg">certbot</emphasis> in <filename>/etc/cron.d/certbot</filename> enthalten. Um sicherzustellen, dass Zertifikate automatisch erneuert werden, können Sie <command>certbot renew --dry-run</command> ausführen.

en: Public Key Infrastructure: <emphasis>easy-rsa</emphasis>
de-DE: Public-Key-Infrastrultur: <emphasis>easy-rsa</emphasis>

en: <primary>Public Key Infrastructure</primary>
de-DE: <primary>Public-Key-Infrastruktur</primary>

en: <primary>RSA (algorithm)</primary>
de-DE: <primary>RSA (Algorithmus)</primary>

en: <primary>key pair</primary>
de-DE: <primary>Schlüsselpaar</primary>

en: It is also possible to create our own CA, for that we will use the RSA algorithm, widely used in public-key cryptography. It involves a “key pair”, comprised of a private and a public key. The two keys are closely linked to each other, and their mathematical properties are such that a message encrypted with the public key can only be decrypted by someone knowing the private key, which ensures confidentiality. In the opposite direction, a message encrypted with the private key can be decrypted by anyone knowing the public key, which allows authenticating the origin of a message since only someone with access to the private key could generate it. When associated with a digital hash function (MD5, SHA1, or a more recent variant), this leads to a signature mechanism that can be applied to any message.
de-DE: Es ist auch möglich, unsere eigene CA zu erstellen, wofür wir den RSA-Algorithmus verwenden werden, der in der Public-Key-Kryptografie weit verbreitet ist. Er umfasst ein "Schlüsselpaar", das aus einem privaten und einem öffentlichen Schlüssel besteht. Die beiden Schlüssel sind durch ihre mathematischen Eigenschaften derart miteinander verbunden, dass folgender Vorgang möglich ist: Eine Nachricht, die mit dem öffentlichen Schlüssel verschlüsselt wurde, kann nur von jemandem entschlüsselt werden, der den privaten Schlüssel kennt. Dies stellt Vertraulichkeit her. In umgekehrter Richtung kann eine mit dem privaten Schlüssel verschlüsselte Nachricht, von jedem entschlüsselt werden, der den öffentlichen Schlüssel kennt. Dies authentifiziert die Nachricht, da sie nur der Inhaber des privaten Schlüssels erstellt haben kann. Dies führt in Verbindung mit einer digitalen Hash-Funktion (MD5, SHA1 oder einer neueren Variante) zu einem Signaturverfahren, das auf jede Nachricht angewendet werden kann.

en: Since public CAs only emit certificates in exchange for a (hefty) fee, it is also possible to create a private certification authority within the company. The <emphasis role="pkg">easy-rsa</emphasis> package provides tools to serve as an X.509 certification infrastructure, implemented as a set of scripts using the <command>openssl</command> command.
de-DE: Da öffentliche Zertifizierungstellen Zertifikate nur gegen eine (hohe) Gebühr ausstellen, können private Zertifizierungsstellen auch innerhalb eines Unternehmens eingerichtet werden. Das <emphasis role="pkg">easy-rsa</emphasis> Paket enthält Tools, die eine X.509 Zertifizierungs-Infrastruktur bereitstellen. Es besteht aus einem Satz von Skripten, die den Befehl <command>openssl</command> verwenden.

en: GnuTLS can also be used to generate a CA, and deal with other technologies around the TLS, DTLS and SSL protocols.
de-DE: GnuTLS kann auch verwendet werden, um eine CA zu generieren und mit anderen Technologien rund um die TLS-, DTLS- und SSL-Protokolle umzugehen.

en: The package <emphasis role="pkg">gnutls-bin</emphasis> contains the command-line utilities. It is also useful to install the <emphasis role="pkg">gnutls-doc</emphasis> package, which includes extensive documentation.
de-DE: Das Paket <emphasis role="pkg">gnutls-bin</emphasis> enthält die Befehlszeilen-Dienstprogramme. Es ist auch hilfreich, das Paket <emphasis role="pkg">gnutls-doc</emphasis> zu installieren, das eine umfangreiche Dokumentation enthält.

en: The Falcot Corp administrators use this tool to create the required certificates, both for the server and the clients. This allows the configuration of all clients to be similar since they will only have to be set up so as to trust certificates coming from Falcot's local CA. This CA is the first certificate to create; to this end, the administrators set up a directory with the files required for the CA in an appropriate location, preferably on a machine not connected to the network in order to mitigate the risk of the CA's private key being stolen.
de-DE: Die Administratoren der Falcot Corp. verwenden dieses Hilfsprogramm, um die erforderlichen Zertifikate sowohl für den Server, als auch die Clients zu erstellen. Dies ermöglicht eine ähnliche Konfiguration aller Clients, da sie nur so eingerichtet werden müssen, dass sie Zertifikaten von Falcots lokaler Zertifizierungsstelle vertrauen. Für diese Stelle wird das erste Zertifikat erstellt. Hierzu erstellen Administratoren das Verzeichnis mit den benötigten Dateien für die CA an einen passenderen Ort; vorzugsweise auf einen nicht mit dem Netzwerk verbundenen Rechner um so das Risiko des Schlüsseldiebstahls zu verringern.

en: They then store the required parameters into the <filename>vars</filename> file, which can be uncommented and edited:
de-DE: Sie speichern dann die erforderlichen Parameter in der Datei <filename>vars</filename>, die auskommentiert und editiert werden kann:

en: Now we prepare the public key infrastructure directory with the following command:
de-DE: Nun bereiten wir das Public-Key-Infrastrukturverzeichnis mit folgendem Befehl vor:

en: The next step is the creation of the CA's key pair itself (the two parts of the key pair will be stored under <filename>pki/ca.crt</filename> and <filename>pki/private/ca.key</filename> during this step). We can add the option <literal>nopass</literal> to avoid entering a password each time the private key is used:
de-DE: Der nächste Schritt ist die Erstellung des Schlüsselpaares der CA selbst (die beiden Teile des Schlüsselpaares werden während dieses Schrittes unter <filename>pki/ca.crt</filename> und <filename>pki/private/ca.key</filename> gespeichert). Wir können die Option <literal>nopass</literal> hinzufügen, um die Eingabe eines Passworts bei jeder Verwendung des privaten Schlüssels zu vermeiden:

en: The certificate can now be created, as well as the Diffie-Hellman parameters required for the server side of an SSL/TLS connection. They want to use it for a VPN server (see section <xref linkend="sect.virtual-private-network" />) that is identified by the DNS name <literal>vpn.falcot.com</literal>; this name is re-used for the generated key files (<filename>keys/vpn.falcot.com.crt</filename> for the public certificate, <filename>keys/vpn.falcot.com.key</filename> for the private key):
de-DE: Das Zertifikat kann jetzt erstellt werden, ebenso wie die Diffie-Hellman-Parameter, die für die Serverseite einer SSL/TLS-Verbindung erforderlich sind. Sie wollen es für einen VPN-Server (siehe Abschnitt <xref linkend="sect.virtual-private-network" />) verwenden, der durch den DNS-Namen <literal>vpn.falcot.com</literal> identifiziert wird; dieser Name wird für die generierten Schlüsseldateien wiederverwendet (<filename>keys/vpn.falcot.com.crt</filename> für das öffentliche Zertifikat, <filename>keys/vpn.falcot.com.key</filename> für den privaten Schlüssel):

en: The following step creates certificates for the VPN clients; one certificate is required for each computer or person allowed to use the VPN:
de-DE: Der folgende Schritt erstellt Zertifikate für die VPN-Clients; für jeden Rechner oder jede Person, der das VPN nutzen darf, ist ein eigenes Zertifikat erforderlich:

en: A <emphasis>Virtual Private Network</emphasis> (VPN for short) is a way to link two different local networks through the Internet by way of a tunnel; the tunnel is usually encrypted for confidentiality. VPNs are often used to integrate a remote machine within a company's local network.
de-DE: Ein <emphasis>Virtual Private Network</emphasis> (kurz VPN genannt) ermöglicht zwei verschiedene lokale Netze über das Internet mittels eines Tunnels zu verbinden. Zur Wahrung der Vertraulichkeit ist der Tunnel normalerweise verschlüsselt. VPNs werden häufig dazu benutzt, einen entfernten Rechner in ein lokales Firmennetz zu integrieren.

en: Several tools provide this functionality. OpenVPN is an efficient solution, easy to deploy and maintain, based on SSL/TLS. Another possibility is using IPsec to encrypt IP traffic between two machines; this encryption is transparent, which means that applications running on these hosts need not be modified to take the VPN into account. SSH can also be used to provide a VPN, in addition to its more conventional features. Finally, a VPN can be established using Microsoft's PPTP protocol. Other solutions exist, but are beyond the focus of this book.
de-DE: Etliche Hilfsprogramme bieten diese Funktionalität. OpenVPN ist eine auf SSL/TLS basierende effiziente Lösung, die einfach eingesetzt und verwaltet werden kann. Eine andere Möglichkeit, um den IP-Verkehr zwischen zwei Rechnern zu verschlüsseln, ist IPsec; diese Verschlüsselung erfolgt transparent; das heißt, dass Anwendungen das VPN nutzen können, ohne dass sie angepasst werden müssen. Auch SSH kann ein VPN bereitstellen, ebenso Microsofts PPTP-Protokoll. Es gibt noch weitere Lösungen, die aber außerhalb des Schwerpunktes dieses Buches liegen.

en: OpenVPN is a piece of software dedicated to creating virtual private networks. Its setup involves creating virtual network interfaces on the VPN server and on the client(s); both <literal>tun</literal> (for IP-level tunnels) and <literal>tap</literal> (for Ethernet-level tunnels) interfaces are supported. In practice, <literal>tun</literal> interfaces will most often be used except when the VPN clients are meant to be integrated into the server's local network by way of an Ethernet bridge.
de-DE: OpenVPN ist eine Software zum Anlegen virtueller privater Netze. Um es einzurichten, legen Sie virtuelle Netzwerkschnittstellen auf dem VPN-Server und den Clients an. <literal>tun</literal> (für Tunnel auf IP-Ebene) und <literal>tap</literal> (für Tunnel auf Ethernet-Ebene) werden unterstützt. In der Praxis werden meistens <literal>tun</literal>-Schnittstellen verwendet, außer wenn die VPN-Clients durch eine Ethernet-Brücke in das lokale Netz des Servers integriert werden sollen.

en: OpenVPN relies on OpenSSL for all the SSL/TLS cryptography and associated features (confidentiality, authentication, integrity, non-repudiation). It can be configured either with a shared private key or using X.509 certificates based on a public key infrastructure. The latter configuration is strongly preferred since it allows greater flexibility when faced with a growing number of roaming users accessing the VPN.
de-DE: OpenVPN nutzt OpenSSL für die gesamte SSL/TLS-Kryptographie und die damit zusammenhängenden Leistungsmerkmale (Vertraulichkeit, Authentifizierung, Integrität, Nichtabstreitbarkeit). Es kann entweder mit einem geteilten privaten Schlüssel oder mithilfe eines (auf Public-Key-Verschluesselung basierenden) X.509-Zertifikats benutzt werden. Die zweite Konfiguration ist eindeutig vorzuziehen, da sie angesichts einer wachsenden Zahl wechselnder Benutzer des VPN größere Flexibilität ermöglicht.

en: Configuring the OpenVPN Server
de-DE: Konfigurieren des OpenVPN-Servers

en: After all certificates have been created (follow the instructions from <xref linkend="sect.easy-rsa" />), they need to be copied where appropriate: the root certificate's public key (<filename>pki/ca.crt</filename>) will be stored on all machines (both server and clients) as <filename>/etc/ssl/certs/Falcot_CA.crt</filename>. The server's certificate is installed only on the server (<filename>pki/issued/vpn.falcot.com.crt</filename> goes to <filename>/etc/ssl/certs/vpn.falcot.com.crt</filename>, and <filename>pki/private/vpn.falcot.com.key</filename> goes to <filename>/etc/ssl/private/vpn.falcot.com.key</filename> with restricted permissions so that only the administrator can read it), with the corresponding Diffie-Hellman parameters (<filename>pki/dh.pem</filename>) installed to <filename>/etc/openvpn/dh.pem</filename>. Client certificates are installed on the corresponding VPN client in a similar fashion.
de-DE: Nachdem nun alle Zertifikate erstellt sind (folgen Sie den Anweisungen in <xref linkend="sect.easy-rsa" />), müssen sie an die passenden Stellen kopiert werden: Der öffentliche Schlüssel des Ursprungszertifikats (<filename>pki/ca.crt</filename>) wird auf allen Rechnern (sowohl Server als auch Clients) als <filename>/etc/ssl/certs/Falcot_CA.crt</filename> gespeichert. Das Zertifikat des Servers wird nur auf dem Server installiert (<filename>pki/issued/vpn.falcot.com.crt</filename> geht nach <filename>/etc/ssl/vpn.falcot.com.crt</filename> und <filename>pki/private/vpn.falcot.com.key</filename> geht nach <filename>/etc/ssl/private/vpn.falcot.com.key</filename> mit eingeschränkten Berechtigungen, sodass nur der Administrator sie lesen kann), während die entsprechenden Diffie-Hellman-Parameter (<filename>pki/dh.pem</filename>) nach <filename>/etc/openvpn/dh.pem</filename> installiert werden. Die Client-Zertifikate werden in ähnlicher Weise auf den entsprechenden VPN-Clients installiert.

en: By default, the OpenVPN initialization script tries starting all virtual private networks defined in <filename>/etc/openvpn/*.conf</filename>. Setting up a VPN server is therefore a matter of storing a corresponding configuration file in this directory. A good starting point is <filename>/usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz</filename>, which leads to a rather standard server. Of course, some parameters need to be adapted: <literal>ca</literal>, <literal>cert</literal>, <literal>key</literal> and <literal>dh</literal> need to describe the selected locations (respectively, <literal>/etc/ssl/certs/Falcot_CA.crt</literal>, <literal>/etc/ssl/vpn.falcot.com.crt</literal>, <literal>/etc/ssl/private/vpn.falcot.com.key</literal> and <literal>/etc/openvpn/dh.pem</literal>). The <literal>server 10.8.0.0 255.255.255.0</literal> directive defines the subnet to be used by the VPN; the server uses the first IP address in that range (<literal>10.8.0.1</literal>) and the rest of the addresses are allocated to clients.
de-DE: Das voreingestellte OpenVPN-Initialisierungsskript versucht alle in <filename>/etc/openvpn/*.conf</filename> festgelegten virtuellen privaten Netzwerke zu starten. Einen VPN-Server einzurichten besteht daher darin, eine entsprechende Konfigurationsdatei in diesem Verzeichnis abzuspeichern. Ein guter Ausgangspunkt ist <filename>/usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz</filename>, das zu einem ziemlich standardisierten Server führt. Natürlich müssen einige Parameter angepasst werden: <literal>ca</literal>, <literal>cert</literal>, <literal>key</literal> und <literal>dh</literal> müssen die ausgewählten Orte bezeichnen (jeweils <literal>/etc/ssl/certs/Falcot_CA.crt</literal>, <literal>/etc/ssl/vpn.falcot.com.crt</literal>, <literal>/etc/ssl/private/vpn.falcot.com.key</literal> und <literal>/etc/openvpn/dh.pem</literal>). Die Anweisung <literal>server 10.8.0.0 255.255.255.0</literal> bestimmt das für das VPN zu nutzende Subnetz; der Server belegt die erste IP-Adresse dieses Bereichs (<literal>10.8.0.1</literal>), während die übrigen Adressen den Clients zugeordnet werden.

en: With this configuration, starting OpenVPN creates the virtual network interface, usually under the <literal>tun0</literal> name. However, firewalls are often configured at the same time as the real network interfaces, which happens before OpenVPN starts. Good practice therefore recommends creating a persistent virtual network interface, and configuring OpenVPN to use this pre-existing interface. This further allows choosing the name for this interface. To this end, <command>openvpn --mktun --dev vpn --dev-type tun</command> creates a virtual network interface named <literal>vpn</literal> with type <literal>tun</literal>; this command can easily be integrated in the firewall configuration script, or in an <literal>up</literal> directive of the <filename>/etc/network/interfaces</filename> file, or a <emphasis role="package">udev</emphasis> rule can be added to that end. The OpenVPN configuration file must also be updated accordingly, with the <literal>dev vpn</literal> and <literal>dev-type tun</literal> directives.
de-DE: Wenn OpenVPN mit dieser Konfiguration gestartet wird, so wird die Schnittstelle des virtuellen Netzwerks erstellt, gewöhnlich unter dem Namen <literal>tun0</literal>. Jedoch werden Firewalls häufig zur gleichen Zeit wie die echten Netzwerkschnittstellen konfiguriert, also vor dem Start von OpenVPN. Ein bewährtes Verfahren besteht deshalb darin, eine dauerhafte Schnittstelle für das virtuelle Netzwerk einzurichten und OpenVPN so zu konfigurieren, dass es dann diese bereits bestehende Schnittstelle benutzt. Dies macht es auch möglich, einen Namen für diese Schnittstelle auszuwählen. Zu diesem Zweck erstellt der Befehl <command>openvpn --mktun --dev vpn --dev-type tun</command> eine Schnittstelle des virtuellen Netzwerks namens <literal>vpn</literal> und des Typs <literal>tun</literal>; dieser Befehl kann leicht in das Konfigurationsskript der Firewall integriert werden oder in eine <literal>up</literal>-Anweisung der Datei <filename>/etc/network/interfaces</filename> oder eine <emphasis role="package">udev</emphasis>-Regel kann ans Ende angehängt werden. Die OpenVPN-Konfigurationsdatei muss ebenfalls in entsprechender Weise mit den Anweisungen <literal>dev vpn</literal> und <literal>dev-type tun</literal> aktualisiert werden.

en: Barring further action, VPN clients can only access the VPN server itself by way of the <literal>10.8.0.1</literal> address. Granting the clients access to the local network (192.168.0.0/24), requires adding a <literal>push route 192.168.0.0 255.255.255.0</literal> directive to the OpenVPN configuration so that VPN clients automatically get a network route telling them that this network is reachable by way of the VPN. Furthermore, machines on the local network also need to be informed that the route to the VPN goes through the VPN server (this automatically works when the VPN server is installed on the gateway). Alternatively, the VPN server can be configured to perform IP masquerading so that connections coming from VPN clients appear as if they are coming from the VPN server instead (see <xref linkend="sect.gateway" />).
de-DE: Ohne weitere Maßnahmen können VPN-Clients nur den Server selbst über die Adresse <literal>10.8.0.1</literal> erreichen. Um den Clients Zugang zum lokalen Netzwerk (192.168.0.0/24) zu gewähren, muss die Anweisung <literal>push route 192.168.0.0 255.255.255.0</literal> zur OpenVPN-Konfiguration hinzugefügt werden, so dass VPN-Clients automatisch eine Netzwerkroute erhalten, die ihnen sagt, dass dieses Netzwerk über das VPN zu erreichen ist. Darüberhinaus müssen Rechner im lokalen Netzwerk ebenfalls darüber informiert werden, dass der Weg zum VPN über den VPN-Server verläuft (dies funktioniert automatisch, wenn der VPN-Server auf dem Gateway installiert ist). Alternativ kann der VPN-Server auch IP-Masquerading unterstützen, so dass von den VPN-Clients kommende Verbindungen so aussehen, als kämen sie stattdessen vom VPN-Server (siehe <xref linkend="sect.gateway" />).

en: Configuring the OpenVPN Client
de-DE: Konfigurieren des OpenVPN-Clients

en: Setting up an OpenVPN client also requires creating a configuration file in <filename>/etc/openvpn/</filename>. A standard configuration can be obtained by using <filename>/usr/share/doc/openvpn/examples/sample-config-files/client.conf</filename> as a starting point. The <literal>remote vpn.falcot.com 1194</literal> directive describes the address and port of the OpenVPN server; the <literal>ca</literal>, <literal>cert</literal> and <literal>key</literal> also need to be adapted to describe the locations of the key files.
de-DE: Das Einrichten eines OpenVPN-Clients erfordert auch das Erstellen einer Konfigurationsdatei in <filename>/etc/openvpn/</filename>. Eine Standard-Konfiguration findet sich in der Datei <filename>/usr/share/doc/openvpn/examples/sample-config-files/client.conf</filename>. Die Anweisung <literal>remote vpn.falcot.com 1194</literal> bezeichnet die Adresse und den Port des OpenVPN-Servers; <literal>ca</literal>, <literal>cert</literal> und <literal>key</literal> müssen auch angepasst werden, so dass sie die Orte der Schlüsseldateien bezeichnen.

en: If the VPN should not be started automatically on boot, set the <literal>AUTOSTART</literal> directive to <literal>none</literal> in the <filename>/etc/default/openvpn</filename> file. Starting or stopping a given VPN connection is always possible with the commands <command>systemctl start openvpn@<replaceable>name</replaceable></command> and <command>systemctl stop openvpn@<replaceable>name</replaceable></command> (where the connection <replaceable>name</replaceable> matches the one defined in <filename>/etc/openvpn/<replaceable>name</replaceable>.conf</filename>).
de-DE: Falls das VPN beim Hochfahren nicht automatisch starten soll, setzen Sie die <literal>AUTOSTART</literal>-Anweisung in der Datei <filename>/etc/default/openvpn</filename> auf <literal>none</literal>. Das Starten oder Anhalten einer bestimmten VPN-Verbindung ist immer mit den Befehlen <command>systemctl start openvpn@<replaceable>Name</replaceable></command> und <command>systemctl stop openvpn@<replaceable>name</replaceable></command> möglich (wobei die Verbindung <replaceable>Name</replaceable> mit derjenigen übereinstimmen muss, die in <filename>/etc/openvpn/<replaceable>Name</replaceable>.conf</filename> eingetragen ist).

en: Virtual Private Network with SSH
de-DE: Virtual Private Network mit SSH

en: There are actually two ways of creating a virtual private network with SSH. The historic one involves establishing a PPP layer over the SSH link. This method is described in a HOWTO document: <ulink type="block" url="https://www.tldp.org/HOWTO/ppp-ssh/" />
de-DE: Es gibt eigentlich zwei Methoden, um ein virtuelles privates Netzwerk mit SSH einzurichten. Der historische erfordert eine PPP-Schicht über der SSH-Verbindung. Diese Methode wird in einem HOWTO-Dokument beschrieben: <ulink type="block" url="https://www.tldp.org/HOWTO/ppp-ssh/" />

en: The second method is more recent, and was introduced with OpenSSH 4.3; it is now possible for OpenSSH to create virtual network interfaces (<literal>tun*</literal>) on both sides of an SSH connection, and these virtual interfaces can be configured exactly as if they were physical interfaces. The tunneling system must first be enabled by setting <literal>PermitTunnel</literal> to “yes” in the SSH server configuration file (<filename>/etc/ssh/sshd_config</filename>). When establishing the SSH connection, the creation of a tunnel must be explicitly requested with the <literal>-w any:any</literal> option (<literal>any</literal> can be replaced with the desired <literal>tun</literal> device number). This requires the user to have administrator privilege on both sides, so as to be able to create the network device (in other words, the connection must be established as root).
de-DE: Die zweite Methode ist neueren Datums und wurde mit OpenSSH 4.3 eingeführt; OpenSSH kann jetzt Schnittstellen des virtuellen Netzwerks (<literal>tun*</literal>) auf beiden Seiten einer SSH-Verbindung erstellen, und diese virtuellen Schnittstellen können genauso konfiguriert werden, als seien es reale Schnittstellen. Das Tunnelungssystem muss zuvor aktiviert werden, indem <literal>PermitTunnel</literal> in der Konfigurationsdatei des SSH-Servers (<filename>/etc/ssh/sshd_config</filename>) auf "yes" gesetzt wird. Bei der Einrichtung der SSH-Verbindung muss die Erstellung eines Tunnels ausdrücklich mit der Option <literal>-w any:any</literal> verlangt werden (<literal>any</literal> kann durch die gewünschte <literal>tun</literal>-Gerätenummer ersetzt werden). DEr Benutzer benötigt Administratorrechte auf beiden Seiten, um das Netzwerkgerät erstellen zu können (mit anderen Worten: die Verbindung muss als Root eingerichtet werden).

en: Both methods for creating a virtual private network over SSH are quite straightforward. However, the VPN they provide is not the most efficient available; in particular, it does not handle high levels of traffic very well.
de-DE: Beide Methoden zur Erstellung eines virtuellen privaten Netzwerks über SSH sind recht einfach. Jedoch ist das VPN, das sie bereitstellen, nicht das effizienteste; insbesondere kann es nicht gut mit hohem Datenaufkommen umgehen.

en: The explanation is that when a TCP/IP stack is encapsulated within a TCP/IP connection (for SSH), the TCP protocol is used twice, once for the SSH connection and once within the tunnel. This leads to problems, especially due to the way TCP adapts to network conditions by altering timeout delays. The following site describes the problem in more detail: <ulink type="block" url="http://sites.inka.de/sites/bigred/devel/tcp-tcp.html" />
de-DE: Die Erklärung ist die zweifache Anwendung des TCP-Protokolls, wenn ein TCP/IP-Stack in einer TCP/IP-Verbindung (für SSH) eingekapselt ist; einmal für die SSH-Verbindung und einmal innerhalb des Tunnels. Dies führt zu Problemen, insbesondere wegen der Änderung der Zeitüberschreitungsverzögerungen, durch die sich TCP an Netzwerkbedingungen anpasst. Die folgende Seite beschreibt das Problem genauer: <ulink type="block" url="http://sites.inka.de/sites/bigred/devel/tcp-tcp.html" />

en: VPNs over SSH should therefore be restricted to one-off tunnels with no performance constraints.
de-DE: VPNs über SSH sollten daher auf einmalige Tunnel ohne Leistungseinschränkungen beschränkt werden.

en: First, we install the <emphasis role="pkg">libreswan</emphasis> package. In concrete terms, each host's <filename>/etc/ipsec.conf</filename> contains the parameters for <emphasis>IPsec tunnels</emphasis> (or <emphasis>Security Associations</emphasis>, in the IPsec terminology) that the host is concerned with. There are many configuration examples in <filename>/usr/share/doc/libreswan/</filename>, but Libreswan's online documentation has more examples with explanations: <ulink type="block" url="https://libreswan.org/wiki/" />
de-DE: Zuerst installieren wir das Paket <emphasis role="pkg">libreswan</emphasis>. Konkret enthält die Datei <filename>/etc/ipsec.conf</filename> jedes Hosts die Parameter für <emphasis>IPsec-Tunnel</emphasis> (oder <emphasis>Security Associations</emphasis>, in der IPsec-Terminologie), mit denen sich der Host befasst. Es gibt viele Konfigurationsbeispiele in <filename>/usr/share/doc/libreswan/</filename>, aber die Online-Dokumentation von Libreswan enthält weitere Beispiele mit Erläuterungen: <ulink type="block" url="https://libreswan.org/wiki/" />

en: The IPsec service can be controlled with <command>systemctl</command>; for example, <command>systemctl start ipsec</command> will start the IPsec service.
de-DE: Der IPsec-Dienst kann mit <command>systemctl</command> gesteuert werden; z.B. wird <command>systemctl start ipsec</command> den IPsec-Dienst starten.

en: In spite of its status as the reference, the complexity of setting up IPsec restricts its usage in practice. OpenVPN-based solutions will generally be preferred when the required tunnels are neither too many nor too dynamic.
de-DE: Trotz seines Status als Referenz, schränkt die Komplexität der Einrichtung von IPsec seine Verwendung in der Praxis ein. Lösungen auf der Basis von OpenVPN werden im allgemeinen bevorzugt, solange die erforderlichen Tunnel weder zu zahlreich noch zu dynamisch sind.

en: <emphasis>CAUTION</emphasis> IPsec and NAT
de-DE: <emphasis>VORSICHT</emphasis> IPsec und NAT

en: NATing firewalls and IPsec do not work well together: since IPsec signs the packets, any change on these packets that the firewall might perform will void the signature, and the packets will be rejected at their destination. Various IPsec implementations now include the <emphasis>NAT-T</emphasis> technique (for <emphasis>NAT Traversal</emphasis>), which basically encapsulates the IPsec packet within a standard UDP packet.
de-DE: Firewalls mit NAT und IPsec funktionieren nicht gut zusammen: Da IPsec die Pakete signiert, macht jede Veränderung dieser Pakete, die die Firewall möglicherweise vornimmt, die Signatur ungültig, und die Pakete werden an ihrem Ziel zurückgewiesen. Mehrere IPsec-Anwendungen enthalten inzwischen die <emphasis>NAT-T</emphasis>-Technik (für <emphasis>NAT Traversal</emphasis>), die im Prinzip das IPsec-Paket in einem normalen UDP-Pakets einkapselt.

en: <emphasis>SECURITY</emphasis> IPsec and firewalls
de-DE: <emphasis>SICHERHEIT</emphasis> IPsec und Firewalls

en: The standard mode of operation of IPsec involves data exchanges on UDP port 500 for key exchanges (also on UDP port 4500 in the case that NAT-T is in use). Moreover, IPsec packets use two dedicated IP protocols that the firewall must let through; reception of these packets is based on their protocol numbers, 50 (ESP) and 51 (AH).
de-DE: In IPsec ist der Datenaustausch über den UDP-Port 500 für den Austausch von Schlüsseln voreingestellt (auch auf UDP-Port 4500, falls NAT-T benutzt wird). Darüberhinaus benutzen IPsec-Pakete zwei fest zugeordnete IP-Protokolle, die die Firewall durchlassen muss; der Empfang dieser Pakete basiert auf ihren Protokollnummern 50 (ESP) und 51 (AH).

en: <primary>GRE, protocol</primary>
de-DE: <primary>GRE, Protokoll</primary>

en: <primary>protocol</primary><secondary>GRE</secondary>
de-DE: <primary>Protokoll</primary><secondary>GRE</secondary>

en: PPTP (for <emphasis>Point-to-Point Tunneling Protocol</emphasis>) uses two communication channels, one for control data and one for payload data; the latter uses the GRE protocol (<emphasis>Generic Routing Encapsulation</emphasis>). A standard PPP link is then set up over the data exchange channel.
de-DE: PPTP (für <emphasis>Point-to-Point Tunneling Protocol</emphasis>) verwendet zwei Kommunikationskanäle, einen für die Kontrolldaten und einen für die Nutzdaten; letzterer verwendet das GRE-Protokoll (<emphasis>Generic Routing Encapsulation</emphasis>). Über den Datenaustauschkanal wird dann eine Standard-PPP-Verbindung eingerichtet.

en: Configuring the Client
de-DE: Den Client konfigurieren

en: The <emphasis role="pkg">pptp-linux</emphasis> package contains an easily-configured PPTP client for Linux. The following instructions take their inspiration from the official documentation: <ulink type="block" url="http://pptpclient.sourceforge.net/howto-debian.phtml" />
de-DE: Das Paket <emphasis role="pkg">pptp-linux</emphasis> enthält einen leicht zu konfigurierenden PPTP-Client für Linux. Die folgenden Anweisungen sind durch die offizielle Dokumentation angeregt: <ulink type="block" url="http://pptpclient.sourceforge.net/howto-debian.phtml" />

en: The Falcot administrators created several files: <filename>/etc/ppp/options.pptp</filename>, <filename>/etc/ppp/peers/falcot</filename>, <filename>/etc/ppp/ip-up.d/falcot</filename>, and <filename>/etc/ppp/ip-down.d/falcot</filename>.
de-DE: Die Falcot-Administratoren haben mehrere Dateien erstellt: <filename>/etc/ppp/options.pptp</filename>, <filename>/etc/ppp/peers/falcot</filename>, <filename>/etc/ppp/ip-up.d/falcot</filename> und <filename>/etc/ppp/ip-down.d/falcot</filename>.

en: The <filename>/etc/ppp/options.pptp</filename> file
de-DE: Die Datei <filename>/etc/ppp/options.pptp</filename>

en: 
    # PPP options used for a PPTP connection
    lock
    noauth
    nobsdcomp
    nodeflate
de-DE: 
    # PPP options fuer eine PPTP connection
    lock
    noauth
    nobsdcomp
    nodeflate

en: The <filename>/etc/ppp/peers/falcot</filename> file
de-DE: Die Datei <filename>/etc/ppp/peers/falcot</filename>

en: 
    # vpn.falcot.com is the PPTP server
    pty "pptp vpn.falcot.com --nolaunchpppd"
    # the connection will identify as the "vpn" user
    user vpn
    remotename pptp
    # encryption is needed
    require-mppe-128
    file /etc/ppp/options.pptp
    ipparam falcot
de-DE: 
    # vpn.falcot.com ist der PPTP server
    pty "pptp vpn.falcot.com --nolaunchpppd"
    # die Verbindung wird dem "vpn" Benutzer zugerechnet
    user vpn
    remotename pptp
    # Verschluesselung wird benuetigt
    require-mppe-128
    file /etc/ppp/options.pptp
    ipparam falcot

en: The <filename>/etc/ppp/ip-up.d/falcot</filename> file
de-DE: Die Datei <filename>/etc/ppp/ip-up.d/falcot</filename>

en: The <filename>/etc/ppp/ip-down.d/falcot</filename> file
de-DE: Die Datei <filename>/etc/ppp/ip-down.d/falcot</filename>

en: <emphasis>SECURITY</emphasis> MPPE
de-DE: <emphasis>SICHERHEIT</emphasis> MPPE

en: Securing PPTP involves using the MPPE feature (<emphasis>Microsoft Point-to-Point Encryption</emphasis>), which is available in official Debian kernels as a module.
de-DE: PPTP wird mit der MPPE-Funktion abgesichert (<emphasis>Microsoft Point-to-Point Encryption</emphasis>), die in den offiziellen Debian-Kerneln als Modul vorhanden ist.

en: Configuring the Server
de-DE: Den Server konfigurieren

en: <emphasis>CAUTION</emphasis> PPTP and firewalls
de-DE: <emphasis>VORSICHT</emphasis> PPTP und Firewalls

en: Intermediate firewalls need to be configured to let through IP packets using protocol 47 (GRE). Moreover, the PPTP server's port 1723 needs to be open so that the communication channel can happen.
de-DE: Zwischenliegende Firewalls müssen so konfiguriert sein, dass sie IP-Pakete durchlassen, die das Protokoll 47 (GRE) verwenden. Außerdem muss der Port 1723 des PPTP-Servers geöffnet sein, damit der Kommunikationskanal aufgebaut werden kann.

en: <command>pptpd</command> is the PPTP server for Linux. Its main configuration file, <filename>/etc/pptpd.conf</filename>, requires very few changes: <emphasis>localip</emphasis> (local IP address) and <emphasis>remoteip</emphasis> (remote IP address). In the example below, the PPTP server always uses the <literal>192.168.0.199</literal> address, and PPTP clients receive IP addresses from <literal>192.168.0.200</literal> to <literal>192.168.0.250</literal>.
de-DE: <command>pptpd</command> ist der PPTP-Server für Linux. Dessen Hauptkonfiguratiosdatei, <filename>/etc/pptpd.conf</filename>, erfordert nur sehr wenige Änderungen: <emphasis>localip</emphasis> (die lokale IP-Adresse) und <emphasis>remoteip</emphasis> (die entfernte IP-Adresse). Im folgenden Beispiel benutzt der PPTP-Server stets die Adresse <literal>192.168.0.199</literal>, und PPTP-Clients erhalten Adressen von <literal>192.168.0.200</literal> bis <literal>192.168.0.250</literal>.

en: The <filename>/etc/pptpd.conf</filename> file
de-DE: Die Datei <filename>/etc/pptpd.conf</filename>

en: The PPP configuration used by the PPTP server also requires a few changes in <filename>/etc/ppp/pptpd-options</filename>. The important parameters are the server name (<literal>pptp</literal>), the domain name (<literal>falcot.com</literal>), and the IP addresses for DNS and WINS servers.
de-DE: Die PPP-Konfiguration des PPTP-Servers erfordert auch einige Änderungen in <filename>/etc/ppp/pptpd-options</filename>. Die wichtigen Parameter sind der Servername (<literal>pptp</literal>), der Domainname (<literal>falcot.com</literal>) und die IP-Adressen für DNS- und WINS-Server.

en: The <filename>/etc/ppp/pptpd-options</filename> file
de-DE: Die Datei <filename>/etc/ppp/pptpd-options</filename>

en: The last step involves registering the <literal>vpn</literal> user (and the associated password) in the <filename>/etc/ppp/chap-secrets</filename> file. Contrary to other instances where an asterisk (<literal>*</literal>) would work, the server name must be filled explicitly here. Furthermore, Windows PPTP clients identify themselves under the <literal><replaceable>DOMAIN</replaceable>\\<replaceable>USER</replaceable></literal> form, instead of only providing a user name. This explains why the file also mentions the <literal>FALCOT\\vpn</literal> user. It is also possible to specify individual IP addresses for users; an asterisk in this field specifies that dynamic addressing should be used.
de-DE: Im letzten Schritt wird der <literal>vpn</literal>-Benutzer (und das dazugehörige Passwort) in der Datei <filename>/etc/ppp/chap-secrets</filename> registriert. Hier muss statt des Sterns (<literal>*</literal>) der Servername ausdrücklich angegeben werden. Außerdem identifizieren sich Windows-PPTP-Clients in der Form <literal><replaceable>DOMAIN</replaceable>\\<replaceable>BENUTZER</replaceable></literal> statt nur einen Benutzernamen anzugeben. Dies erklärt, warum die Datei auch den Benutzer <literal>FALCOT\\vpn</literal> erwähnt. Es ist auch möglich, individuelle IP-Adressen für Benutzer anzugeben; ein Stern in diesem Feld bedeutet, dass dynamisch adressiert werden soll.

en: The <filename>/etc/ppp/chap-secrets</filename> file
de-DE: Die Datei <filename>/etc/ppp/chap-secrets</filename>

en: <emphasis>SECURITY</emphasis> PPTP vulnerabilities
de-DE: <emphasis>SICHERHEIT</emphasis> PPTP-Schwachstellen

en: Microsoft's first PPTP implementation drew severe criticism because it had many security vulnerabilities; most have since then been fixed in more recent versions. The configuration documented in this section uses the latest version of the protocol. Be aware though that removing some options (such as <literal>require-mppe-128</literal> and <literal>require-mschap-v2</literal>) would make the service vulnerable again.
de-DE: Microsofts erste PPTP-Anwendung zog wegen der vielen Sicherheitslücken heftige Kritik auf sich; die meisten sind in neueren Versionen behoben worden. Die in diesem Abschnitte beschriebene Konfiguration verwendet die jüngste Version des Protokolls. Seien Sie sich jedoch bewusst, dass das Entfernen einiger Optionen (wie <literal>require-mppe-128</literal> und <literal>require-mschap-v2</literal>) den Dienst wieder angreifbar machen würde.

en: Principle and Mechanism
de-DE: Prinzip und Mechanismus

en: <emphasis>Quality of Service</emphasis> (or <emphasis>QoS</emphasis> for short) refers to a set of techniques that guarantee or improve the quality of the service provided to applications. The most popular such technique involves classifying the network traffic into categories, and differentiating the handling of traffic according to which category it belongs to. The main application of this differentiated services concept is <emphasis>traffic shaping</emphasis>, which limits the data transmission rates for connections related to some services and/or hosts so as not to saturate the available bandwidth and starve important other services. Traffic shaping is a particularly good fit for TCP traffic, since this protocol automatically adapts to available bandwidth.
de-DE: <emphasis>Quality of Service</emphasis> (oder kurz <emphasis>QoS</emphasis>) bezeichnet eine Reihe von Techniken, die die Qualität der Dienste sicherstellen oder verbessern, die für Anwendungen bereitgestellt werden. Die populärste Technik besteht in der Einstufung des Netzverkehrs in Kategorien und der Differenzierung des Datenverkehrs nach Kategorien. Die Hauptanwendung dieses differenzierten Dienstekonzepts ist <emphasis>traffic shaping</emphasis>, das die Datenübertragungsraten für Verbindungen im Zusammenhang mit einigen Diensten oder Rechnern begrenzt, um nicht die verfügbare Bandbreite auszuschöpfen und wichtige andere Dienste auszubremsen. Traffic Shaping eignet sich besonders gut für TCP-Datenverkehr, da sich dieses Protokoll automatisch auf die verfügbare Bandbreite einstellt.

en: <emphasis>CULTURE</emphasis> Net neutrality and QoS
de-DE: <emphasis>KULTUR</emphasis> Netzneutralität und QoS

en: Network neutrality is achieved when Internet service providers treat all Internet communications equally, that is, without any access limitation based on content, user, website, destination address, etc.
de-DE: Netzneutralität wird erreicht, wenn Internet-Dienstanbieter alle Internet-Kommunikationen gleich behandeln, d.h. ohne jegliche Zugangsbeschränkung aufgrund von Inhalt, Benutzer, Website, Zieladresse, usw.

en: Quality of service can be implemented in a net neutral Internet, but only if Internet service providers can't charge a special fee for a higher-quality service.
de-DE: Quality of service kann in einem Netz-neutralen Internet umgesetzt werden, aber nur, wenn die Internetanbieter keine Sondergebühr für höherwertige Dienstleistungen verlangen.

en: It is also possible to alter the priorities on traffic, which allows prioritizing packets related to interactive services (such as <command>ssh</command> and <command>telnet</command>) or to services that only deal with small blocks of data.
de-DE: Es ist auch möglich die Prioritäten für den Datenverkehr zu ändern, wodurch Pakete interaktiver Dienste (wie <command>ssh</command> und <command>telnet</command>) oder von Diensten mit kleinen Datenblöcken bevorzugt werden.

en: The Debian kernels include the features required for QoS along with their associated modules. These modules are many, and each of them provides a different service, most notably by way of special schedulers for the queues of IP packets; the wide range of available scheduler behaviors spans the whole range of possible requirements.
de-DE: Die Debian-Kernel enthalten die für QoS erforderlichen Funktionen und die dazugehörigen Module. Diese Module sind zahlreich, und jedes von ihnen stellt einen anderen Dienst bereit, vor allem mittels spezieller Steuerprogramme für die Warteschlangen der IP-Pakete; die große Vielfalt der Verhaltensweisen der verfügbaren Steuerprogramme deckt den gesamten Bereich möglicher Anforderungen ab.

en: <emphasis>CULTURE</emphasis> LARTC — <emphasis>Linux Advanced Routing &amp; Traffic Control</emphasis>
de-DE: <emphasis>KULTUR</emphasis> LARTC — <emphasis>Linux Advanced Routing &amp; Traffic Control</emphasis>

en: <primary>routing</primary><secondary>advanced</secondary>
de-DE: <primary>Routing</primary><secondary>verbessertes</secondary>

en: <primary>traffic</primary><secondary>control</secondary>
de-DE: <primary>Datenverkehr</primary><secondary>Überwachung</secondary>

en: <primary>control of traffic</primary>
de-DE: <primary>Kontrolle des Datenverkehrs</primary>

en: The <emphasis>Linux Advanced Routing &amp; Traffic Control</emphasis> HOWTO is the reference document covering everything there is to know about network quality of service. <ulink type="block" url="https://www.lartc.org/howto/" />
de-DE: Das HOWTO <emphasis>Linux Advanced Routing &amp; Traffic Control</emphasis> ist das Referenzdokument, das alles zum Thema Quality of Service von Netzwerken behandelt. <ulink type="block" url="https://www.lartc.org/howto/" />

en: Configuring and Implementing
de-DE: Konfigurieren und Ausführen

en: QoS parameters are set through the <command>tc</command> command (provided by the <emphasis role="pkg">iproute</emphasis> package). Since its interface is quite complex, using higher-level tools is recommended.
de-DE: QoS-Parameter werden mit dem Befehl <command>tc</command> gesetzt (vom Paket <emphasis role="pkg">iproute</emphasis> bereitgestellt). Da diese Schnittstelle recht komplex ist, so ist die Verwendung von Programmen auf höherer Ebene empfehlenswert.

en: Reducing Latencies: <command>wondershaper</command>
de-DE: Latenzzeiten verringern: <command>wondershaper</command>

en: <primary>limitation of traffic</primary>
de-DE: <primary>Begrenzung des Datenverkehrs</primary>

en: <primary>traffic</primary><secondary>limitation</secondary>
de-DE: <primary>Datenverkehr</primary><secondary>Begrenzung</secondary>

en: The main purpose of <command>wondershaper</command> (in the similarly-named package) is to minimize latencies independent of network load. This is achieved by limiting total traffic to a value that falls just short of the link saturation value.
de-DE: Die Hauptaufgabe von <command>wondershaper</command> (in dem Paket ähnlichen Namens) besteht darin, Latenzzeiten unabhängig von der Netzauslastung zu minimieren. Dies wird dadurch erreicht, dass der gesamte Datenverkehr auf einen Wert begrenzt wird, der gerade unterhalb des Wertes für die vollständige Auslastung der Verbindung liegt.

en: Changes in the <filename>/etc/network/interfaces</filename> file
de-DE: Änderungen in der Datei <filename>/etc/network/interfaces</filename>

en: <emphasis>GOING FURTHER</emphasis> Optimal configuration
de-DE: <emphasis>WEITERE SCHRITTE</emphasis> Optimale Konfiguration

en: The <filename>/usr/share/doc/wondershaper/README.Debian.gz</filename> file describes, in some detail, the configuration method recommended by the package maintainer. In particular, it advises measuring the download and upload speeds so as to best evaluate real limits.
de-DE: Die Datei <filename>/usr/share/doc/wondershaper/README.Debian.gz</filename> beschreibt recht genau die vom Paketbetreuer empfohlene Konfiguration. Insbesondere rät es dazu, die Upload- und Downloadgeschwindigkeit zu messen, um so am besten die tatsächlichen Grenzen abzuschätzen.

en: Standard Configuration
de-DE: Standard-Konfiguration

en: The DSCP field can be set by applications that generate IP packets, or modified on the fly by <emphasis>netfilter</emphasis>. The following rules are sufficient to increase responsiveness for a server's SSH service, note that the DSCP field must be set in hexadecimal:
de-DE: Das DSCP-Feld kann durch Anwendungen, die IP-Pakete erzeugen, erstellt oder im laufenden Betrieb mit <emphasis>netfilter</emphasis> verändert werden. Die folgenden Regeln genügen, um die Ansprechbarkeit des SSH-Dienstes eines Servers zu erhöhen; beachten Sie, dass das DSCP-Feld hexadezimal gesetzt werden muss::

en: Dynamic Routing
de-DE: Dynamisches Routing

en: <emphasis>BACK TO BASICS</emphasis> Dynamic routing
de-DE: <emphasis>ZURÜCK ZU DEN GRUNDLAGEN</emphasis> Dynamisches Routing

en: Dynamic routing allows routers to adjust, in real time, the paths used for transmitting IP packets. Each protocol involves its own method of defining routes (shortest path, use routes advertised by peers, and so on).
de-DE: Dynamisches Routing ermöglicht es Routern, die zur Übertragung von IP-Paketen verwendeten Pfade in Echtzeit anzupassen. Jedes Protokoll benutzt seine eigene Methode, um Routen festzulegen (kürzester Weg, von anderen Teilnehmern empfohlene Routen und so weiter).

en: <primary><command>route</command></primary>
de-DE: <primary><command>zebra</command></primary>

en: In the Linux kernel, a route links a network device to a set of machines that can be reached through this device. The <command>ip</command> command, when <literal>route</literal> is used as the first argument, defines new routes and displays existing ones. The <command>route</command> command was used for that purpose, but it is deprecated in favor of <command>ip</command>.
de-DE: Im Linux-Kernel verbindet eine Route ein Netzwerkgerät mit einer Reihe von Maschinen, die über dieses Gerät erreicht werden können. Wenn der Befehl <command>ip</command> als erstes Argument <literal>route</literal> verwendet wird, definiert er neue Routen und zeigt die vorhandenen an. Der Befehl <command>route</command> wurde zu diesem Zweck verwendet, aber er ist zugunsten von <command>ip</command> veraltet.

en: <emphasis>IN PRACTICE</emphasis> OSPF, BGP or RIP?
de-DE: <emphasis>IN DER PRAXIS</emphasis> OSPF, BGP or RIP?

en: <acronym>OSPF</acronym> (Open Shortest Path First) is generally the best protocol to use for dynamic routing on private networks, but <acronym>BGP</acronym> (Border Gateway Protocol) is more common for Internet-wide routing. <acronym>RIP</acronym> (Routing Information Protocol) is rather ancient, and hardly used anymore.
de-DE: <acronym>OSPF </acronym>(Open Shortest Path First) ist im Allgemeinen das beste Protokoll für dynamisches Routing in privaten Netzwerken, aber <acronym>BGP</acronym> (Border Gateway Protocol) ist für Internet-weites Routing häufiger anzutreffen. <acronym>RIP</acronym> (Routing Information Protocol) ist ziemlich alt und wird kaum noch verwendet.

en: Debian kernels include IPv6 handling in the core kernel (with the exception of some architectures that have it compiled as a module named <literal>ipv6</literal>). Basic tools such as <command>ping</command> and <command>traceroute</command> have their IPv6 equivalents in <command>ping6</command> and <command>traceroute6</command>, available respectively in the <emphasis role="pkg">iputils-ping</emphasis> and <emphasis role="pkg">iputils-tracepath</emphasis> packages.
de-DE: Bei Debian-Kerneln wird IPv6 im Core-Kernel ausgeführt (abgesehen von einigen Architekturen, bei denen es als Modul unter dem Namen <literal>ipv6</literal> kompiliert wurde). Die IPv6-Äquivalente grundlegender Programme wie <command>ping</command> und <command>traceroute</command> heißen <command>ping6</command> und <command>traceroute6</command> und sind in den Paketen <emphasis role="pkg">iputils-ping</emphasis> beziehungsweise <emphasis role="pkg">iputils-tracepath</emphasis> verfügbar.

en: The IPv6 network is configured similarly to IPv4, in <filename>/etc/network/interfaces</filename>. But if you want that network to be globally available, you must ensure that you have an IPv6-capable router relaying traffic to the global IPv6 network.
de-DE: Das IPv6-Netzwerk wird ähnlich wie IPv4 in <filename>/etc/network/interfaces</filename> konfiguriert. Wenn jedoch dieses Netzwerk global verfügbar sein soll, müssen Sie einen IPv6-fähigen Router haben, um den Datenverkehr an das weltweite IPv6-Netzwerk zu übermitteln.

en: Example of IPv6 configuration
de-DE: Beispiel einer IPv6-Konfiguration

en: IPv6 subnets usually have a netmask of 64 bits. This means that 2<superscript>64</superscript> distinct addresses exist within the subnet. This allows Stateless Address Autoconfiguration (<acronym>SLAAC</acronym>) to pick an address based on the network interface's MAC address. By default, if <acronym>SLAAC</acronym> is activated in your network and IPv6 on your computer, the kernel will automatically find IPv6 routers and configure the network interfaces.
de-DE: IPV6 Subnetze haben eine Netzmaske von 64 Bit. Das heißt, es stehen 2<superscript>64</superscript> eindeutige Adressen innerhalb des Subnetzes zur Verfügung. Das ermöglicht der Stateless Address Autoconfiguration (<acronym>SLAAC</acronym>), eine Adresse basierend auf der MAC-Adresse der Netzwerkkarte auszuwählen. Standardmäßig findet der Kernel automatisch IPv6 Router und konfiguriert das Netzwerk, wenn <acronym>SLAAC</acronym> in Ihrem Netzwerk und IPv6 auf Ihrem Computer aktiviert sind.

en: IPv6 privacy extensions
de-DE: IPv6 Datenschutzerweiterungen

en: <emphasis>TIP</emphasis> Programs built with IPv6
de-DE: <emphasis>TIP</emphasis> Programme mit IPv6-Unterstützung

en: Many pieces of software need to be adapted to handle IPv6. Most of the packages in Debian have been adapted already, but not all. If your favorite package does not work with IPv6 yet, you can ask for help on the <emphasis>debian-ipv6</emphasis> mailing-list. They might know about an IPv6-aware replacement and could file a bug to get the issue properly tracked. <ulink type="block" url="https://lists.debian.org/debian-ipv6/" />
de-DE: Viele Softwareprogramme müssen an IPv6 angepasst werden. Die meisten Debian-Pakete sind bereits angepasst worden, aber nicht alle. Wenn Ihr bevorzugtes Paket IPv6 noch nicht unterstützt, können Sie über die Mailingliste <emphasis>debian-ipv6</emphasis> um Unterstützung bitten. Dort kennt man möglicherweise eine Alternative, die IPv6 unterstützt und kann einen Fehlerbericht schreiben, um die Anforderung geordnet nachzuverfolgen. <ulink type="block" url="https://lists.debian.org/debian-ipv6/" />

en: <primary>firewall</primary><secondary>IPv6</secondary>
de-DE: <primary>Firewall</primary><secondary>IPv6</secondary>

en: IPv6 connections can be restricted, in the same fashion as for IPv4. <command>nft</command> can be used to create firewall rules for IPv4 and IPv6 (see <xref linkend="sect.nftables" />).
de-DE: IPv6-Verbindungen können auf die gleiche Weise wie bei IPv4 eingeschränkt werden. <command>nft</command> kann verwendet werden, um Firewall-Regeln für IPv4 und IPv6 zu erstellen (siehe <xref linkend="sect.nftables" />).

en: Tunneling
de-DE: Tunneln

en: <emphasis>CAUTION</emphasis> IPv6 tunneling and firewalls
de-DE: <emphasis>VORSICHT</emphasis> Firewalls und Tunneln von IPv6

en: IPv6 tunneling over IPv4 (as opposed to native IPv6) requires the firewall to accept the traffic, which uses IPv4 protocol number 41.
de-DE: IPv6 über IPv4 zu tunneln (im Gegensatz zu nativem IPv6) erfordert, dass die Firewall Datenverkehr über das Protokoll mit der Nummer 41 akzeptiert.

en: If a native IPv6 connection is not available, the fallback method is to use a tunnel over IPv4. Hurricane Electric is one (free) provider of such tunnels: <ulink type="block" url="https://tunnelbroker.net" />
de-DE: Falls keine native IPv6-Verbindung verfügbar ist, kann als Rückgriff ein Tunnel über IPv4 verwendet werden. Hurricane Electric ist ein (kostenloser) Anbieter solcher Tunnel: <ulink type="block" url="https://tunnelbroker.net" />

en: <primary>tunnel broker</primary>
de-DE: <primary>Tunnelbroker</primary>

en: To use a Hurricane Electric tunnel, you need to register an account, login, select a free tunnel and edit the file <filename>/etc/network/interfaces</filename> with the generated code.
de-DE: Um einen Hurricane Electric Tunnel zu verwenden, müssen Sie ein Konto registrieren, sich anmelden, einen kostenlosen Tunnel auswählen und die Datei <filename>/etc/network/interfaces</filename> mit dem generierten Code bearbeiten.

en: You can install and configure the <command>radvd</command> daemon (from the similarly-named package) if you want to use the configured computer as a router for a local network. This IPv6 configuration daemon has a role similar to <command>dhcpd</command> in the IPv4 world.
de-DE: Sie können den Daemon <command>radvd</command> (aus dem gleichnamigen Paket) installieren und konfigurieren, wenn Sie den konfigurierten Computer als Router für ein lokales Netzwerk verwenden möchten. Dieser IPv6-Konfigurations-Daemon hat eine ähnliche Rolle wie <command>dhcpd</command> in der IPv4-Welt.

en: The <filename>/etc/radvd.conf</filename> configuration file must then be created (see <filename>/usr/share/doc/radvd/examples/simple-radvd.conf</filename> as a starting point). In our case, the only required change is the prefix, which needs to be replaced with the one provided by Hurricane Electric; it can be found in the output of the <command>ip a</command> command, in the block concerning the <literal>he-ipv6</literal> interface.
de-DE: Anschließend muss die Konfigurationsdatei <filename>/etc/radvd.conf</filename> erstellt werden (siehe <filename>/usr/share/doc/radvd/examples/simple-radvd.conf</filename> als Ausgangspunkt). In unserem Fall muss nur das Präfix verändert werden, das durch das von Hurricane Electric bereitgestellte ersetzt werden muss; es ist in der Ausgabe des Befehls <command>ip a</command> zu finden im Absatz zur <literal>he-ipv6</literal>-Schnittstelle.

en: Then run <command>systemctl start radvd</command>. The IPv6 network should now work.
de-DE: Dann führen Sie <command>systemctl start radvd</command> aus und das IPv6-Netzwerk sollte dann funktionieren.

en: Domain Name Servers (DNS)
de-DE: Domain Name Server (DNS)

en: <primary>server</primary><secondary>name</secondary>
de-DE: <primary>Server</primary><secondary>Name</secondary>

en: DNS records are organized in zones; each zone matches either a domain (or a subdomain) or an IP address range (since IP addresses are generally allocated in consecutive ranges). A primary server is authoritative on the contents of a zone; secondary servers, usually hosted on separate machines, provide regularly refreshed copies of the primary zone.
de-DE: DNS-Einträge sind in Zonen gegliedert; jede Zone entspricht einer Domain (oder Subdomain) oder einem Bereich von IP-Adressen (da IP-Adressen normalerweise in fortlaufenden Bereichen angeordnet sind). Ein Hauptserver ist für den Inhalt einer Zone zuständig; untergeordnete Server, die normalerweise auf separaten Rechnern untergebracht sind, stellen regelmäßig aktualisierte Kopien der Hauptzone bereit.

en: <primary>zone</primary><secondary>DNS</secondary>
de-DE: <primary>Zone</primary><secondary>DNS</secondary>

en: <primary>DNS</primary><secondary>zone</secondary>
de-DE: <primary>DNS</primary><secondary>Zone</secondary>

en: Each zone can contain records of various kinds (<emphasis>Resource Records</emphasis>), these are some of the most common:
de-DE: Jede Zone enthält Aufzeichnungen verschiedener Art (<emphasis>Resource Records</emphasis>), diese sind einige der häufigsten:

en: DNS software
de-DE: DNS-Software

en: Furthermore, Bind supports the DNSSEC standard for signing (and therefore authenticating) DNS records, which allows blocking any spoofing of this data during man-in-the-middle attacks.
de-DE: Zum anderen unterstützt Bind den DNSSEC-Standard zum Signieren (und damit Authentifizieren) von DNS-Einträgen, wodurch Spoofing dieser Daten durch einen Man-In-The-Middle-Angriff unterbunden werden kann.

en: <emphasis>CULTURE</emphasis> DNSSEC
de-DE: <emphasis>KULTUR</emphasis> DNSSEC

en: The DNSSEC norm is quite complex; this partly explains why it is not in widespread usage yet (even if it perfectly coexists with DNS servers unaware of DNSSEC). To understand all the ins and outs, you should check the following article. <ulink type="block" url="https://en.wikipedia.org/wiki/Domain_Name_System_Security_Extensions" />
de-DE: Die DNSSEC-Norm ist recht komplex; dies erklärt zum Teil, warum es keine breite Verwendung gefunden hat (obwohl es ohne weiteres neben DNS-Servern bestehen kann, die das DNSSEC nicht kennen). Um alle Einzelheiten zu verstehen, sollten Sie einen Blick in den folgenden Artikel werfen: <ulink type="block" url="https://en.wikipedia.org/wiki/Domain_Name_System_Security_Extensions" />

en: Configuring bind
de-DE: bind konfigurieren

en: Configuration files for <command>bind</command>, irrespective of version, have the same structure.
de-DE: Konfigurationsdateien für <command>bind</command> haben unabhängig von der Version die gleiche Struktur.

en: The Falcot administrators created a primary <literal>falcot.com</literal> zone to store information related to this domain, and a <literal>168.192.in-addr.arpa</literal> zone for reverse mapping of IP addresses in the local networks.
de-DE: Die Falcot-Administratoren erstellen eine primäre <literal>falcot.com</literal>-Zone, um dort Domain-Informationen und eine <literal>168.192.in-addr.arpa</literal>-Zone für die umgekehrte Namenszuordnung von IP-Adressen in den lokalen Netzen abzulegen.

en: <emphasis>CAUTION</emphasis> Names of reverse zones
de-DE: <emphasis>VORSICHT</emphasis> Bezeichnung umgekehrter Zonen

en: <primary>nibble format</primary>
de-DE: <primary>Nibble Format</primary>

en: Reverse zones have a particular name. The zone covering the <literal>192.168.0.0/16</literal> network needs to be named <literal>168.192.in-addr.arpa</literal>: the IP address components are reversed, and followed by the <literal>in-addr.arpa</literal> suffix.
de-DE: Umgekehrte Zonen (reverse zones) haben eine besondere Bezeichnung. Die Zone, die das Netzwerk <literal>192.168.0.0/16</literal> erfasst, muss <literal>168.192.in-addr.arpa</literal> heißen: die IP-Adresskomponenten sind umgekehrt und gefolgt vom Suffix <literal>in-addr.arpa</literal>.

en: For IPv6 networks, the suffix is <literal>ip6.arpa</literal> and the IP address components which are reversed are each character in the full hexadecimal representation of the IP address. As such, the <literal>2001:0bc8:31a0::/48</literal> network would use a zone named <literal>0.a.1.3.8.c.b.0.1.0.0.2.ip6.arpa</literal>.
de-DE: Für IPv6-Netzwerke heißt das Suffix <literal>ip6.arpa</literal> und die weiteren Komponenten sind die in umgekehrter Reihenfolge notierten einzelnen hexadezimalen Zeichen der vollständigen IP-Adresse. So lautet die Zone für das Netzwerk <literal>2001:0bc8:31a0::/48</literal> <literal>0.a.1.3.8.c.b.0.1.0.0.2.ip6.arpa</literal>.

en: <emphasis>TIP</emphasis> Testing the DNS server
de-DE: <emphasis>TIP</emphasis> Den DNS-Server testen

en: The <command>host</command> command (in the <emphasis role="pkg">bind9-host</emphasis> package) queries a DNS server, and can be used to test the server configuration. For example, <command>host machine.falcot.com localhost</command> checks the local server's reply for the <literal>machine.falcot.com</literal> query. <command>host <replaceable>ipaddress</replaceable> localhost</command> tests the reverse resolution.
de-DE: Der Befehl <command>host</command> (im Paket <emphasis role="pkg">bind9-host</emphasis>) fragt bei einem DNS-Server an und kann zum Testen der Serverkonfiguration dienen. Zum Beispiel überprüft der Befehl <command>host machine.falcot.com localhost</command> die Antwort des lokalen Servers auf eine Anfrage nach <literal>machine.falcot.com</literal>. Der Befehl <command>host <replaceable>ipaddress</replaceable> localhost</command> überprüft die umgekehrte Namensauflösung.

en: The following configuration excerpts, taken from the Falcot files, can serve as starting points to configure a DNS server:
de-DE: Die folgenden Konfigurationsauszüge sind den Falcot-Dateien entnommen und können als Ausgangspunkt für das Konfigurieren eines DNS-Servers dienen:

en: Excerpt of <filename>/etc/bind/named.conf.local</filename>
de-DE: Auszug aus der Datei <filename>/etc/bind/named.conf.local</filename>

en: Excerpt of <filename>/etc/bind/db.falcot.com</filename>
de-DE: Auszug aus der Datei <filename>/etc/bind/db.falcot.com</filename>

en: <emphasis>CAUTION</emphasis> Syntax of a name
de-DE: <emphasis>VORSICHT</emphasis> Namenssyntax

en: The syntax of machine names follows strict rules. For instance, <literal>machine</literal> implies <literal>machine.<replaceable>domain</replaceable></literal>. If the domain name should not be appended to a name, said name must be written as <literal>machine.</literal> (with a dot as suffix). Indicating a DNS name outside the current domain therefore requires a syntax such as <literal>machine.otherdomain.com.</literal> (with the final dot).
de-DE: Die Syntax eines Rechnernamens folgt strengen Regeln. Zum Beispiel: <literal>rechner</literal> bedeutet <literal>rechner.<replaceable>domain</replaceable></literal>. Falls die Bezeichnung der Domain nicht an einen Namen angehängt sein soll, muss der betreffende Name als <literal>rechner.</literal> geschrieben werden (mit einem Punkt als Suffix). Um einen DNS-Namen außerhalb der aktuellen Domain anzuzeigen, ist daher eine Syntax wie <literal>rechner.anderedomain.com.</literal> erforderlich (mit einem Punkt am Schluss).

en: Excerpt of <filename>/etc/bind/db.192.168</filename>
de-DE: Auszug aus der Datei <filename>/etc/bind/db.192.168</filename>

en: <primary>network</primary><secondary>DHCP configuration</secondary>
de-DE: <primary>Netzwerk</primary><secondary>DHCP-Konfiguration</secondary>

en: DHCP (for <emphasis>Dynamic Host Configuration Protocol</emphasis>) is a protocol by which a machine can automatically get its network configuration when it boots. This allows centralizing the management of network configurations, and ensuring that all desktop machines get similar settings.
de-DE: DHCP (für <emphasis>Dynamic Host Configuration Protocol</emphasis>) ist ein Protokoll mit dem ein Rechner seine Netzwerkkonfiguration beim Hochfahren automatisch beziehen kann. Dies macht es möglich, die Verwaltung der Netzwerkkonfigurationen zu zentralisieren und sicherzustellen, dass alle Arbeitsplatzrechner ähnliche Einstellungen erhalten.

en: A DHCP server provides many network-related parameters. The most common of these is an IP address and the network where the machine belongs, but it can also provide other information, such as DNS servers, WINS servers, NTP servers, and so on.
de-DE: Ein DHCP-Server stellt zahlreiche Netzwerk-Parameter bereit. Die häufigsten sind IP-Adressen und das Netzwerk, zu dem der Rechner gehört, aber er kann auch andere Informationen bereitstellen, wie DNS-Server, WINS-Server, NTP-Server und so weiter.

en: The Internet Software Consortium (also involved in developing <command>bind</command>) is the main author of the DHCP server. The matching Debian package is <emphasis role="pkg">isc-dhcp-server</emphasis>.
de-DE: Das Internet Software Consortium (das auch mit der Entwicklung von <command>bind</command> befasst ist) ist der Hauptverfasser des DHCP-Servers. Das hierzu passende Debian-Paket ist <emphasis role="pkg">isc-dhcp-server</emphasis>.

en: Configuring
de-DE: Konfigurieren

en: The first elements that need to be edited in the DHCP server configuration files (<filename>/etc/dhcp/dhcpd.conf</filename>, and <filename>/etc/dhcp/dhcpd6.conf</filename> for IPv6) are the domain name and the DNS servers. If this server is alone on the local network (as defined by the broadcast propagation), the <literal>authoritative</literal> directive must also be enabled (or uncommented). One also needs to create a <literal>subnet</literal> section describing the local network and the configuration information to be provided. The following example fits a <literal>192.168.0.0/24</literal> local network with a router at <literal>192.168.0.1</literal> serving as the gateway. Available IP addresses are in the range <literal>192.168.0.128</literal> to <literal>192.168.0.254</literal>.
de-DE: Die ersten Elemente, die in den Konfigurationsdateien des DHCP-Servers (<filename>/etc/dhcp/dhcpd.conf</filename> und <filename>/etc/dhcp/dhcpd6.conf</filename> für IPv6) editiert werden müssen, sind der Domain-Name und die DNS-Server. Falls dieser Server im lokalen Netzwerk der einzige ist (in Übereinstimmung mit der Broadcast-Einstellung), muss die Anweisung <literal>authoritative</literal> ebenfalls aktiviert (oder auskommentiert) sein. Außerdem muss ein <literal>subnet</literal>-Abschnitt erstellt werden, der das lokale Netzwerk und die bereitzustellenden Konfigurationsinformationen beschreibt. Das folgende Beispiel passt zu einem lokalen <literal>192.168.0.0/24</literal>-Netzwerk mit einem als Gateway dienenden Router an <literal>192.168.0.1</literal>. Verfügbare IP-Adressen liegen im Bereich von <literal>192.168.0.128</literal> bis <literal>192.168.0.254</literal>.

en: Excerpt of <filename>/etc/dhcp/dhcpd.conf</filename>
de-DE: Auszug aus der Datei <filename>/etc/dhcp/dhcpd.conf</filename>

en: DHCP and DNS
de-DE: DHCP und DNS

en: <primary>DNS</primary><secondary>automated updates</secondary>
de-DE: <primary>DNS</primary><secondary>automatisierte Aktualisierungen</secondary>

en: A nice feature is the automated registering of DHCP clients in the DNS zone, so that each machine gets a significant name (rather than something impersonal such as <literal>machine-192-168-0-131.internal.falcot.com</literal>). Using this feature requires configuring the DNS server to accept updates to the <literal>internal.falcot.com</literal> DNS zone from the DHCP server, and configuring the latter to submit updates for each registration.
de-DE: Eine angenehme Eigenschaft von DHCP-Clients ist das automatisierte Registrieren in der DNS-Zone, so dass jeder Rechner einen aussagekräftigen Namen erhält (statt etwas Unpersönlichem wie <literal>rechner-192-168-0-131.internal.falcot.com</literal>). Um diese Möglichkeit zu nutzen, muss der DNS-Server so konfiguriert werden, dass er Aktualisierungen der DNS-Zone <literal>internal.falcot.com</literal> vom DHCP-Server akzeptiert, und letzterer so, dass er Aktualisierungen für jede Registrierung einreicht.

en: In the <command>bind</command> case (see <xref linkend="sect.dns-software" />), the <literal>allow-update</literal> directive needs to be added to each of the zones that the DHCP server is to edit (the one for the <literal>internal.falcot.com</literal> domain, and the reverse zone). This directive lists the IP addresses allowed to perform these updates; it should therefore contain the possible addresses of the DHCP server (both the local address and the public address, if appropriate).
de-DE: Im Fall von <command>bind</command> (siehe <xref linkend="sect.dns-software" />) muss die Anweisung <literal>allow-update</literal> zu jeder Zone, die der DHCP-Server editieren wird, hinzugefügt werden (die für die <literal>internal.falcot.com</literal>-Domain und die umgekehrte Zone). Diese Anweisung listet die IP-Adressen auf, denen die Aktualisierungen erlaubt sind; sie sollten daher die möglichen Adressen des DHCP-Servers enthalten (sowohl die lokale und, falls zutreffend, auch die öffentliche Adresse).

en: Beware! A zone that can be modified <emphasis>will</emphasis> be changed by <command>bind</command>, and the latter will overwrite its configuration files at regular intervals. Since this automated procedure produces files that are less human-readable than manually-written ones, the Falcot administrators handle the <literal>internal.falcot.com</literal> domain with a delegated DNS server; this means the <literal>falcot.com</literal> zone file stays firmly under their manual control.
de-DE: Vorsicht! Eine modifizierbare Zone <emphasis>wird</emphasis> von <command>bind</command> abgeändert, und ihre Konfigurationsdateien wird in regelmäßigen Abständen überschrieben. Da dieser automatisierte Vorgang Dateien erzeugt, die von Menschen weniger leicht zu lesen sind als manuell geschriebene, betreiben die Falcot-Administratoren die <literal>internal.falcot.com</literal>-Domain mit einem hierfür abgeordneten DNS-Server; dies bedeutet, dass die Datei der <literal>falcot.com</literal>-Zone fest unter ihrer manuellen Kontrolle bleibt.

en: The DHCP server configuration excerpt above already includes the directives required for DNS zone updates: they are the <literal>ddns-update-style interim;</literal> and <literal>ddns-domain-name "internal.falcot.com";</literal> lines.
de-DE: Der obenstehende Auszug einer DHCP-Serverkonfiguration enthält bereits die für Aktualisierungen der DNS-Zone erforderlichen Anweisungen: Dies sind die Zeilen <literal>ddns-update-style interim;</literal> und <literal>ddns-domain-name "internal.falcot.com";</literal>.

en: Network Diagnosis Tools
de-DE: Werkzeuge für die Netzwerk-Diagnose

en: Local Diagnosis: <command>netstat</command>
de-DE: Lokale Diagnose: <command>netstat</command>

en: Let's first mention the <command>netstat</command> command (in the <emphasis role="pkg">net-tools</emphasis> package); it displays an instant summary of a machine's network activity. When invoked with no argument, this command lists all open connections; this list can be very verbose since it includes many Unix-domain sockets (widely used by daemons) which do not involve the network at all (for example, <literal>dbus</literal> communication, <literal>X11</literal> traffic, and communications between virtual filesystems and the desktop).
de-DE: Als erstes sei der Befehl <command>netstat</command> genannt (im Paket <emphasis role="pkg">net-tools</emphasis>); er zeigt eine sofortige Zusammenfassung der Netzaktivitäten eines Rechners. Wenn er ohne Argument aufgerufen wird, listet der Befehl alle offenen Verbindungen auf; diese Liste kann sehr umfangreich sein, da sie viele Unix-Domain-Sockets (üblicherweise von Daemons verwendet) enthält, die in keiner Weise das Netzwerk betreffen (zum Beispiel <literal>dbus</literal>-Kommunikation, <literal>X11</literal>-Datenverkehr und Kommunikationen zwischen virtuellen Dateisystemen und der Arbeitsoberfläche).

en: Common invocations therefore use options that alter <command>netstat</command>'s behavior. The most frequently used options include:
de-DE: Normale Aufrufe verwenden daher Optionen, um das Verhalten von <command>netstat</command> zu ändern. Die am häufigsten verwendeten Optionen sind:

en: <literal>-t</literal>, which filters the results to only include TCP connections;
de-DE: <literal>-t</literal>, dies filtert die Ergebnisse, so dass nur TCP-Verbindungen erfasst werden;

en: <literal>-u</literal>, which works similarly for UDP connections; these options are not mutually exclusive, and one of them is enough to stop displaying Unix-domain connections;
de-DE: <literal>-u</literal>, dies wirkt ähnlich für UDP-Verbindungen; diese Optionen schließen sich nicht gegenseitig aus, und jede von ihnen reicht aus, das Anzeigen von Unix-Domain-Verbindungen zu unterdrücken;

en: <literal>-a</literal>, to also list listening sockets (waiting for incoming connections);
de-DE: <literal>-a</literal>, um auch die Sockets aufzulisten, die Verbindungen annehmen (auf ankommende Verbindungen warten);

en: <literal>-n</literal>, to display the results numerically: IP addresses (no DNS resolution), port numbers (no aliases as defined in <filename>/etc/services</filename>) and user ids (no login names);
de-DE: <literal>-n</literal>, um die Ergebnisse numerisch anzuzeigen: IP-Adressen (keine DNS-Auflösung), Portnummern (keine in <filename>/etc/services</filename> festgelegten Aliasse) und Benutzer-IDs (keine Anmeldenamen);

en: <literal>-p</literal>, to list the processes involved; this option is only useful when <command>netstat</command> is run as root, since normal users will only see their own processes;
de-DE: <literal>-p</literal>, um die beteiligten Prozesse aufzulisten; diese Option ist nur sinnvoll, wenn <command>netstat</command> mit Administratorrechten ausgeführt wird, da normale Benutzer nur ihre eigenen Prozesse sehen würden;

en: <literal>-c</literal>, to continuously refresh the list of connections.
de-DE: <literal>-c</literal>, um fortlaufend die Liste der Verbindungen aufzufrischen.

en: Other options, documented in the <citerefentry><refentrytitle>netstat</refentrytitle> <manvolnum>8</manvolnum></citerefentry> manual page, provide an even finer control over the displayed results. In practice, the first five options are so often used together that systems and network administrators practically acquired <command>netstat -tupan</command> as a reflex. Typical results, on a lightly loaded machine, may look like the following:
de-DE: Andere Optionen, auf der Handbuchseite <citerefentry><refentrytitle>netstat</refentrytitle> <manvolnum>8</manvolnum></citerefentry> dokumentiert, bieten eine noch feinere Kontrolle über die angezeigten Ergebnisse. In der Praxis, werden die fünf ersten Optionen so häufig zusammen benutzt, dass der Befehl <command>netstat -tupan</command> für System- und Netzwerk-Administratoren praktisch zu einem Reflex geworden ist. Typische Ergebnisse auf einem geringfügig ausgelasteten Rechner können wie folgt aussehen:

en: As expected, this lists established connections, two SSH connections in this case, and applications waiting for incoming connections (listed as <literal>LISTEN</literal>), notably the Exim4 email server listening on port 25.
de-DE: Wie erwartet führt dies die bestehenden Verbindungen auf, in diesem Fall zwei SSH-Verbindungen, und auf ankommende Verbindungen wartende Anwendungen (als <literal>LISTEN</literal> aufgeführt), insbesondere den Exim4 E-Mailserver, der an Port 25 auf Anfragen wartet.

en: Remote Diagnosis: <command>nmap</command>
de-DE: Entfernte Diagnose: <command>nmap</command>

en: <command>nmap</command> (in the similarly-named package) is, in a way, the remote equivalent for <command>netstat</command>. It can scan a set of “well-known” ports for one or several remote servers, and list the ports where an application is found to answer to incoming connections. Furthermore, <command>nmap</command> is able to identify some of these applications, sometimes even their version number. The counterpart of this tool is that, since it runs remotely, it cannot provide information on processes or users; however, it can operate on several targets at once.
de-DE: <command>nmap</command> (in dem Paket ähnlichen Namens) ist in gewisser Weise das entfernte Äquivalent zu <command>netstat</command>. Es kann eine Reihe "allgemein bekannter" Ports für einen oder mehrere entfernte Server scannen und die Ports auflisten, an denen eine Anwendung auf Anfragen wartet. Darüberhinaus kann <command>nmap</command> einige dieser Anwendungen identifizieren, manchmal sogar ihre Versionsnummer. Auf der anderen Seite kann dieses Programm, da es aus der Ferne operiert, keine Informationen über Prozesse oder Benutzer liefern; jedoch kann es an mehreren Zielen gleichzeitig tätig sein.

en: A typical <command>nmap</command> invocation only uses the <literal>-A</literal> option (so that <command>nmap</command> attempts to identify the versions of the server software it finds) followed by one or more IP addresses or DNS names of machines to scan. Again, many more options exist to finely control the behavior of <command>nmap</command>; please refer to the documentation in the <citerefentry> <refentrytitle>nmap</refentrytitle> <manvolnum>1</manvolnum> </citerefentry> manual page.
de-DE: Ein typischer <command>nmap</command>-Aufruf verwendet nur die Option <literal>-A</literal> (so dass <command>nmap</command> versucht, die Versionen der Server-Software, die es findet, zu identifizieren), gefolgt von einer oder mehreren IP-Adressen oder DNS-Namen der zu scannenden Rechner. Auch hier gibt es viel mehr Optionen für eine fein eingestellte Kontrolle des Verhaltens von <command>nmap</command>; bitte ziehen Sie die Dokumentation auf der Handbuchseite <citerefentry> <refentrytitle>nmap</refentrytitle> <manvolnum>1</manvolnum> </citerefentry> zu Rate.

en: Sniffers: <command>tcpdump</command> and <command>wireshark</command>
de-DE: Netzwerk-Sniffer: <command>tcpdump</command> und <command>wireshark</command>

en: Sometimes, one needs to look at what actually goes on the wire, packet by packet. These cases call for a “frame analyzer”, more widely known as a <emphasis>sniffer</emphasis>. Such a tool observes all the packets that reach a given network interface, and displays them in a user-friendly way.
de-DE: Manchmal ist es erforderlich sich anzusehen, was tatsächlich auf dem Kabel vor sich geht, und zwar Paket für Paket. Diese Fälle verlangen nach einem "Frame-Analysator", besser bekannt als <emphasis>sniffer</emphasis>. Ein derartiges Programm beobachtet alle Pakete, die eine bestimmte Netzwerkschnittstelle erreichen und zeigt sie in einer benutzerfreundlichen Weise an.

en: The venerable tool in this domain is <command>tcpdump</command>, available as a standard tool on a wide range of platforms. It allows many kinds of network traffic capture, but the representation of this traffic stays rather obscure. We will therefore not describe it in further detail.
de-DE: Ein altehrwürdiges Werkzeug auf diesem Gebiet ist <command>tcpdump</command>, als Standardprogramm auf vielen Betriebssystemen verfügbar. Es ermöglicht, den Netzwerkverkehr auf viele Arten zu erfassen, jedoch bleibt die Wiedergabe dieses Verkehrs ziemlich unklar. Wir werden es daher nicht in allen Einzelheiten beschreiben.

en: A more recent (and more modern) tool, <command>wireshark</command> (in the <emphasis role="pkg">wireshark</emphasis> package), has become the new reference in network traffic analysis due to its many decoding modules that allow for a simplified analysis of the captured packets. The packets are displayed graphically with an organization based on the protocol layers. This allows a user to visualize all protocols involved in a packet. For example, given a packet containing an HTTP request, <command>wireshark</command> displays, separately, the information concerning the physical layer, the Ethernet layer, the IP packet information, the TCP connection parameters, and finally the HTTP request itself.
de-DE: Ein jüngeres (und moderneres) Programm, <command>wireshark</command> (im Paket <emphasis role="pkg">wireshark</emphasis>), entwickelte sich aufgrund seiner zahlreichen Entschlüsselungsmodule, die eine vereinfachte Analyse der erfassten Pakete ermöglichen, zur neuen Referenz in der Netzverkehrsanalyse. Die Pakete werden grafisch in einer Gliederung angezeigt, die auf den Protokollschichten beruht. Dies ermöglicht es einem Benutzer, sich ein Bild von allen an einem Paket beteiligten Protokollen zu machen. Zum Beispiel gäbe es ein Paket, das eine HTTP-Anfrage enthält, dann zeigt <command>wireshark</command> getrennt die physikalische Schicht, die Ethernet-Schicht, die IP-Paketinformation, die TCP-Verbindungsparameter und schließlich die HTTP-Anfrage selbst an.

en: The <command>wireshark</command> network traffic analyzer
de-DE: Der <command>wireshark</command> Netzverkehrsanalysator

en: In our example, the packets traveling over SSH are filtered out (with the <literal>!tcp.port == 22</literal> filter). The packet currently displayed was developed at the transport layer of the SSHv2 protocol.
de-DE: In unserem Beispiel werden die SSH-Pakete ausgefiltert (mit dem Filter <literal>!tcp.port == 22</literal>). Das gerade angezeigte Paket entstammt der Transportschicht des SSHv2-Protokolls.

en: <emphasis>TIP</emphasis> <command>wireshark</command> with no graphical interface: <command>tshark</command>
de-DE: <emphasis>TIP</emphasis> <command>wireshark</command> ohne grafische Oberfläche: <command>tshark</command>

en: When one cannot run a graphical interface, or does not wish to do so for whatever reason, a text-only version of <command>wireshark</command> also exists under the name <command>tshark</command> (in a separate <emphasis role="pkg">tshark</emphasis> package). Most of the capture and decoding features are still available, but the lack of a graphical interface necessarily limits the interactions with the program (filtering packets after they've been captured, tracking of a given TCP connection, and so on). It can still be used as a first approach. If further manipulations are intended and require the graphical interface, the packets can be saved to a file and this file can be loaded into a graphical <command>wireshark</command> running on another machine.
de-DE: Für den Fall, dass man keine grafische Oberfläche einsetzen kann oder dies - aus welchen Gründen auch immer - nicht wünscht, gibt es auch eine reine Textversion von <command>wireshark</command> namens <command>tshark</command> (in dem separaten Paket <emphasis role="pkg">tshark</emphasis>). Die meisten Erfassungs- und Entschlüsselungsfähigkeiten sind noch vorhanden, aber das Fehlen einer grafischen Oberfläche begrenzt notwendigerweise die Interaktionen mit dem Programm (das Filtern von Paketen, nachdem sie erfasst worden sind, das Verfolgen einer bestimmten TCP-Verbindung und so weiter). Es kann dennoch als erster Ansatz benutzt werden. Falls weitere Manipulationen beabsichtigt sind und die grafische Oberfläche erforderlich wird, können die Pakete in einer Datei gespeichert werden, und diese Datei kann in eine grafische Version von <command>wireshark</command> geladen werden, die auf einem anderen Rechner läuft.
