Wenn man seinen Raspberry Pi bei sich Zuhause für spezielle Dienste einsetzen möchte, ist es häufig sinnvoll, eine statische IP-Adresse zu vergeben. Man erreicht den Pi zwar in der Regel auch über den Hostnamen. Das ist unabhängig von seiner IP-Adresse, gelingt aber nicht immer. Manchmal muss man beispielsweise eine IP eingeben, oder der Hostname wird nicht korrekt aufgelöst.

Manchmal kann man über sein Netzwerk-Interface eine statische Adresse vergeben, wie etwa der Fritzbox. Ich möchte in dem heutigen Tipp aber zeigen, wie man das über den Raspberry einstellen kann.

Eigene IP-Adresse des Raspberry Pi herausfinden

Unter welchen internen IP-Adresse der Raspberry Pi erreichbar ist, sieht man am einfachsten mit folgendem Befehl. Meldet euch also entweder per SSH auf dem Pi an, oder öffnen ein Terminal auf der grafischen Oberfläche des Raspberry OS und gebt folgenden Befehl ein:

$ ifconfig

In der Ausgabe sieht man nun die Netzwerk-Schnittstellen sowie die jeweilige IP-Adresse.

Statische IP-Adresse am Raspberry Pi einstellen

Mit dem folgenden Befehl öffnet man den Netzwerkmanager von Raspberry OS. Dort kann man sich mit den Pfeiltasten durch das Menü bewegen, und am Ende die gewünsche IP-Adresse eingeben. Es ist hier besondere Vorsicht geboten, damit der Pi hinterher auch wieder im Netzwerk auftaucht. Ein Tippfehler könnte dazu führen, dass man ihn im Netzwerk nicht mehr findet und man per Monitor und Tastatur diesen Fehler korrigieren muss. Hab ich gehört….

$ sudo nmtui

Dort wählt man nun „Edit a connection“, wählt im folgenden Menü seine Schnittstelle aus (WLAN oder kabelgebundenes Netzwerk) und tippt dort seine Verbinungsdetails ein. Bei der IP sollte man hinten dran noch die Subnetzmaske angeben, also zum Beispiel 192.168.1.200/24 für die Subnetzmaske 255.255.255.0

The post Raspberry Pi: Statische IP-Adresse vergeben first appeared on bejonet - Linux | Smart Home | Technik.

Um E-Mail zu signieren und zu verschlüsseln gibt es zwei unterschiedliche Systeme OpenPGP (auch GPG genannt) und S/MIME. Im Open-Source-Bereich hat openPGP die Nase vorn, ansonsten ist S/MIME verbreiteter. Beide Systeme habe ich ausführlich hier beschrieben.

S/MIME ist im geschäftlichen und institutionellen Bereich führend, aber lässt sich auch von Privatpersonen nutzen. Die Krux ist der Mangel an Zertifizierungsstellen. In den letzten Jahren sind nach und nach alle kostenlosen Anbieter weggebrochen. Zuletzt hat die Volksverschlüsselung aufgegeben.

Ich habe mich deshalb ein wenig umgesehen und bin nun nach einiger Recherche zu Sectigo gewechselt. Die Zertifikate sind nicht kostenlos, aber mit 23 € pro Jahr ist der Preis meiner Ansicht nach vertretbar. Dafür erhält man ein valides Zertifikat, das eine stabile Zertifizierungskette hat.

Die Einrichtung ist dabei aber nicht ganz trivial, da Sectigo aus Sicherheitsgründen den privaten Schlüssel natürlich nicht selbst erzeugt (was leider keine Selbstverständlichkeit ist, denn andere Billiganbieter in diesem Bereich haben das zuletzt noch gemacht).

Zertifikat beantragen

Das Zertifikat kann mit jedem Desktopsystem erzeugt werden. S/MIME ist in Windows, Linux und macOS integriert. Das folgende Beispiel zeigt den Weg exemplarisch für macOS. Die Vorgehensweise habe ich aber hier bereits mal anbieter- und systemunabhängig dargestellt.

Grafische über den Schlüsselbund

Anwender von macOS können einen grafischen Weg gehen um eine CRT-Datei zu erzeugen oder einen auf der Konsole. Wer den grafischen Weg bevorzugt, muss die Anwendung Schlüsselbund öffnen. Die ist seit dem Start der neuen Passwortverwaltung ziemlich versteckt, aber lässt sich über den Launcher (CMD + Leerzeichen) noch starten.

Dort kann man über das Menü Schlüsselbund / Zertifikatsassistent das entsprechende Formular öffnen.

Hier sind die notwendigen Daten einzugeben und die Ablage als Datei auszuwählen.

Über das Terminal

Der Prozess ist auch über das Terminal möglich. Dazu sind folgende Befehle notwendig.

Zunächst ist der private Schlüssel zu erzeugen:

$ openssl genrsa -out .key 2048

Danach erstellt man die CSR-Datei

$ openssl req -new -key smimeCert.key -out smimeCert.csr

Zertifikat beantragen und importieren

Im Anschluss öffnet man die CSR-Datei z.B. mit TextEdit oder einem anderen Texteditor. Es folgt ein längerer Code, der mit den folgenden Zeilen beginnt bzw. abschließt.

-----BEGIN CERTIFICATE REQUEST-----

-----END CERTIFICATE REQUEST-----

Diesen Code fügt man in der Antragsmaske bei Sectigo ein. Nach einer E-Mail-Bestätigung erhält man eine .pem-Datei als Download.

Diese lässt sich aber nicht einfach in den Schlüsselbund importieren, sondern es muss zunächst aus dem heruntergeladenen Zertifikat und dem erzeugten Schlüssel privaten Schlüssel eine p12-Datei erzeugt werden. Das funktioniert im Terminal mit folgendem Befehl.

$ openssl pkcs12 -export -in .pem -inkey .key -out certname.p12 

Im Anschluss kann die p12-Datei in den Schlüsselbund über Ablage / Objekte importieren hinzugefügt werden.

Apple Mail

Im Anschluss lässt sich in Apple Mail jede E-Mail signieren und – sofern die Signatur des Kommunikationspartners bekannt ist – auch verschlüsseln. Beides geschieht über zwei unscheinbare Symbole oben rechts.

Bewertung

Wie so vieles im Bereich der E-Mail-Verschlüsselung ist auch dieser Schritt nicht selbsterklärend und stellt eine Hürde für die meisten Anwender dar. Bei OpenPGP entfällt die Beantragung über eine Zertifizierungsstelle, da das System anders funktioniert und keine zentralen Zertifizierungsstellen enthält. S/MIME ist dennoch besser in alle gängigen Systeme und E-Mail-Programme integriert und daher das sinnvollere System – sofern man überhaupt E-Mails signieren oder verschlüsseln möchte.

Sectigo ist ein möglicher Anbieter mit einem vergleichsweise fairen Preis, da alle kostenlosen Angebote nach und nach weggefallen sind. Wer noch alternative Anbieter kennt, kann gerne einen Kommentar hinterlassen.

Spamhaus betreibt seit vielen Jahren einige der effektivsten Echtzeit-Blocklisten (DNSBLs) gegen Spam, Botnets und missbrauchte Mailserver. Viele Administratoren nutzen diese Listen über die klassischen öffentlichen DNS-Mirrors, etwa zen.spamhaus.org. Doch seit einiger Zeit schränkt Spamhaus die Nutzung genau dieser Public Mirrors deutlich ein.

Insbesondere gilt dies für Nutzer großer Hosting- und Cloud-Provider wie Hetzner oder OVH. Wer Spamhaus nun z.B. beim eigenen Mailserver mit diesen Providern einsetzt, wird im Log solche Meldungen entdecken:

Service unavailable; Client host [203.0.113.127] blocked using zen.spamhaus.org; Error: open resolver;

Die Legacy-Mirrors sind eigentlich nur für kleine Installationen gedacht, also für einzelne Mailserver, die klar identifizierbar über ihre eigene IP-Adresse sind. Doch genau diese eindeutige Identifikation funktioniert nicht mehr zuverlässig, wenn Anfragen über große Cloud-Infrastrukturen kommen. Damit kann die Fair-Use-Policy nicht mehr sinnvoll durchgesetzt werden.

Als Alternative bietet sich der Spamhaus-Dienst Data Query Service (DQS) an. Damit werden die Abfragen weiterhin per DNS ausgeführt, jedoch über einen individuellen Zugangsschlüssel, der als Subdomain eingebettet wird und so eine eindeutige Identifikation ermöglicht. Im ersten Schritt muss hierfür ein Account angelegt werden. Nachdem der Account erstellt wurde, kann sich über das Portal eingeloggt werden. Dort kann unter dem Punkt Products → Data Query Service ein DQS-Schlüssel erzeugt werden.

Anschließend kann mit der Konfiguration von Postfix begonnen werden:

nano /etc/postfix/dnsbl-reply-map

In diese Datei wird Folgendes eingetragen:

dqskey.zen.dq.spamhaus.net=127.0.0.[2..11]	554 $rbl_class $rbl_what blocked using ZEN - see https://www.spamhaus.org/query/ip/$client_address for details
dqskey.dbl.dq.spamhaus.net=127.0.1.[2..99]	554 $rbl_class $rbl_what blocked using DBL - see $rbl_txt for details
dqskey.zrd.dq.spamhaus.net=127.0.2.[2..24]	554 $rbl_class $rbl_what blocked using ZRD - domain too young
dqskey.zen.dq.spamhaus.net			554 $rbl_class $rbl_what blocked using ZEN - see https://www.spamhaus.org/query/ip/$client_address for details
dqskey.dbl.dq.spamhaus.net			554 $rbl_class $rbl_what blocked using DBL - see $rbl_txt for details
dqskey.zrd.dq.spamhaus.net			554 $rbl_class $rbl_what blocked using ZRD - domain too young

Der Platzhalter dqskey wird hierbei durch den realen DQS-Schlüssel ersetzt. Nach einer Ausführung von Postmap:

postmap /etc/postfix/dnsbl-reply-map

geht es an die eigentliche Konfiguration:

nano /etc/postfix/main.cf

Dort muss im ersten Schritt die alte Spamhaus-Konfiguration (wenn vorhanden) entfernt werden. Nun kann die neue Konfiguration hinzugefügt werden:

smtpd_recipient_restrictions =
    ...
    reject_rbl_client dqskey.zen.dq.spamhaus.net=127.0.0.[2..11]
    reject_rhsbl_sender dqskey.dbl.dq.spamhaus.net=127.0.1.[2..99]
    reject_rhsbl_helo dqskey.dbl.dq.spamhaus.net=127.0.1.[2..99]
    reject_rhsbl_reverse_client dqskey.dbl.dq.spamhaus.net=127.0.1.[2..99]
    reject_rhsbl_sender dqskey.zrd.dq.spamhaus.net=127.0.2.[2..24]
    reject_rhsbl_helo dqskey.zrd.dq.spamhaus.net=127.0.2.[2..24]
    reject_rhsbl_reverse_client dqskey.zrd.dq.spamhaus.net=127.0.2.[2..24]
    ...

Damit die DQS-Schlüssel nicht per Reject-Nachricht nach außen geleakt werden, wird noch die Reply Map eingebunden:

rbl_reply_maps = hash:$config_directory/dnsbl-reply-map

Anschließend kann Postfix neu gestartet werden:

systemctl restart postfix

Getestet werden kann das Ganze dann z.B. mit dem Blocklist Tester von Spamhaus.