IPCop-Installationshandbuch

ansuess, Ceelight, Daniel S., Mäuschen30, Jirik, zisoft

Übersetzer 

zisoft

docbook-Umsetzung 

IPCop is distributed under the terms of the GNU General Public License.

This software is supplied AS IS. IPCop disclaims all warranties, expressed or implied, including, without limitation, the warranties of merchantability and of fitness for any purpose. IPCop assumes no liability for damages, direct or consequential, which may result from the use of this software.

Permission is granted to copy, distribute and/or modify this document under the terms of the GNU Free Documentation License, Version 1.1 or any later version published by the Free Software Foundation; with no Invariant Sections, with no Front-Cover Texts, and with no Back-Cover Texts. A copy of the license is included in the section entitled GNU Free Documentation License .

Revision: 2009-07-26


Inhaltsverzeichnis

Einleitung
1. Merkmale
2. Überblick
1. Installationsvorbereitungen
1.1. Upgrading von IPCop 1.2.0 oder höher
1.2. Entscheidung über die Konfiguration
1.2.1. Netzwerk Schnittstellen
1.2.2. Mögliche NetzwerkKonfigurationen
1.2.3. Typen der Netzwerkkonfiguration
1.2.4. Mit dem Internet oder externen Netzwerk verbinden
1.2.5. Entscheidung über die lokale(n) Netzwerkadresse(n)
1.3. Beschaffung von Informationen zu Ihrer Hardware
1.4. Den IPCop PC vorbereiten
1.5. Entscheidung über und Vorbereitung des Installationsmediums
1.5.1. Erstellen der CD
1.5.2. Mounten des ISO Image
1.5.3. Disketten aus Images erstellen
1.5.4. Das Installationsfile verfügbar machen (FTP/Webserver Installation)
2. Booten des IPCop Installationsmediums
2.1. Installation von einer bootfähigen CD oder von Diskette und CD
2.2. Installation von Diskette und Web- oder FTP-Server
2.3. Booten via PXE
2.3.1. Aktualisieren des Bootagenten der Netzwerkkarte
2.3.2. Installation eines TFTP-Servers
2.3.3. Konfiguration des DHCP-Servers
2.3.4. Fehlersuche
3. Erste Konfiguration
4. Nach der Installation
4.1. Wählen Sie Ihre Standardkernelkonfiguration
4.1.1. Die Standardkonfiguration ändern
4.2. Den Zugriff auf IPCop testen
4.3. Optional: Nicht benötigte Hardware entfernen
A. Kurzeinführung in die Heimvernetzung
A.1. Verkabelung
A.1.1. Nur jeweils einen Computer in GRÜN, ORANGE oder BLAU
A.1.2. Mehrcomputer-Netzwerke
A.2. IP Addressierung
A.2.1. Format einer Adresse
A.2.2. Netze
A.2.3. Klassen der IP Adressen
A.2.4. Private IP-Adress Bereiche
B. Probleme während der Installation
B.1. Versteckte Konsolenbildschirme
B.2. Verlust des "root" Passworts
C. IPCop auf CompactFlash Karten
C.1. Warum auf CompactFlash Karten?
C.2. Weiterführende Links zu CompactFlash Karten
C.3. Überblick
C.4. CompactFlash Installationsschritte
C.4.1. Ziel-PC
C.4.2. IPCop installieren
C.4.3. mkflash und zugehörige Dateien
C.4.4. mkflash auf den IPCop übertragen
C.4.5. mkflash ausführen
C.4.6. Schreiben der Image-Datei auf die Compact Flash Karte
C.4.7. Compact Flash Karte installieren und booten
C.4.8. Setup aufrufen
C.5. Backup der Compact Flash Karte mittels ssh
D. GNU Free Documentation License
D.1. Preamble
D.2. Applicability and Definitions
D.3. Verbatim Copying
D.4. Copying In Quantity
D.5. Modifications
D.6. Combining Documents
D.7. Collections of Documents
D.8. Aggregation With Independent Works
D.9. Translation
D.10. Termination
D.11. Future Revisions of This License
D.12. How to use this License for your documents

Tabellenverzeichnis

1.1. Erforderliche Medien für unterschiedliche Installationsmethoden

Einleitung

Inhaltsverzeichnis

1. Merkmale
2. Überblick

IPCop Linux stellt eine komplette Linux Distribution dar, dessen einziger Einsatzzweck aus dem Schutz des dahinterliegenden Netzwerks besteht. Mit dem Einsatz bewährter Techniken, hervorragender neuer Technologien und Programmierpraxis im Sicherheitsbereich, ist IPCop eine Linux Distribution für alle jene, welche ihre Computer/Netzwerke gesund und munter oder auch sicher und arbeitsfähig halten wollen.

IPCop ist Open Source Software und steht unter der GNU General Public License. Zu den Vorteilen von Open Source kommt noch die Möglichkeit hinzu, durch das Bewerten und Bereitstellen von Sicherheitspatches durch freiwillige Experten weltweit, eine sichere Distribution zu erhalten.

IPCop läuft auch auf älterer Hardware mit geringen Anforderungen. Für Details zu den Hardwareanforderungen von IPCop werfen sie einen Blick in die Hardwarekompatibilitätsliste.

1. Merkmale

  • Sichere, stabile und leistungsfähige Firewall auf Linuxbasis

  • Leichte Administration durch eine eingebaute Web Oberfläche

  • Optionaler DHCP Client, der es IPCop erlaubt, seine IP-Adresse vom ISP zu bekommen

  • DHCP Server für die Konfiguration der PC's im internen Netzwerk

  • Caching DNS Proxy, um Internet Namesanfragen zu beschleunigen

  • Proxyserver für Webseiten, um den Internet Webzugriff zu beschleunigen

  • Einbruchsmelder um Attacken auf das Netzwerk von ausserhalb zu erkennen

  • Möglichkeit, das Netzwerk in Zonen aufzuteilen (Grün = Sicher, geschützt vor dem Internet ; Blau für Wireless LAN und Orange oder auch DMZ, um öffentliche Server zu betreiben, die im Internet erreichbar und trotzdem noch geschützt sind)

  • VPN Unterstützung um Netzwerke untereinander über das Internet zu verbinden und dieses als einen logischen Netzverbund zu benutzen oder um Wireless PC's auf der blauen Schnittstelle mit dem sicheren, grünen Netzwerk zu verbinden

  • Traffic shaping, um interaktiven Diensten (wie SSH und telnet) höchste Priorität, Web-surfen hohe Priorität und FTP oder File-Sharing niedrige Priorität zuzuweisen

  • Erweiterter VPN Support mit x509 Zertifikaten

  • Von Beginn an mit der Prämisse entwickelt, Stack-Attacken auf Applikationen zu verhindern.

  • Wahl zwischen vier Kernelkonfigurationen, um Ihnen die bestmögliche Konfiguration für Ihre Bedürnisse zu erlauben

2. Überblick

Sie werden ein neues Betriebssystem auf dem IPCop PC installieren. Dies ist ein Linux Betriebssystem, welches allerdings nicht für jeden Verwendungszweck einsetzbar ist. Das Firewall-Design versucht so viele typische Linux-Features wie möglich zu eliminieren. Die zentrale Idee dahinter ist: Je mehr Code/Programme auf einer Firewall laufen, umso mehr Angriffsflächen wird geboten. Erwarten Sie keine Dienste wie sendmail oder FTP. Diese werden auf einer Firewall nicht benötigt und könnten Angriffspunkte bieten, die potentiellen Angreifern wohl bekannt sind.

Obwohl Ihnen diese Anleitung vielleicht lang und sehr detailliert vorkommt - nehmen Sie sich die Zeit. Sobald Sie einmal verstanden und für sich festgelegt haben, welche Konfiguration für Sie die beste ist, wird die Installation von IPCop nicht länger als 15 Minuten dauern.

Sie müssen vom Installationsmedium (CD-ROM, Diskette oder USB-Stick) booten, oder über das Netzwerk mit PXE Boot.

Booten von Diskette sollte mit allen Konfigurationen funktionieren.

Booten von CD-ROM wird möglicherweise von alten PCs nicht unterstützt (ab Pentium I sollte es funktionieren).

Booten vom Netzwerk hängt davon ab, ob die Netzwerkkarte mit einem Boot-ROM ausgestattet ist.

Um von einem USB-Gerät booten zu können, muss dies vom BIOS unterstützt werden (typischerweise ein Motherboard mit Pentium IV, Athlon XP 2600 oder besser).

Die Installationsmedien werden über Sourceforge bereit gestellt. Wenn Sie einen CD-Brenner besitzen, werden Sie vermutlich eine bootfähige CD mit der ISO-Datei ipcop-1.4.xx-install-cd.i386.iso erstellen.

Wenn Sie über ein aktuelles BIOS verfügen, das das Booten von einem USB-Gerät unterstützt, können Sie von einem USB-Stick, der als Superfloppy formatiert ist (ipcop-1.4.xx-install-usb-fdd.i386.img.gz), einer USB-Festplatte (ipcop-1.4.xx-install-usb-hdd.i386.img.gz) oder einer Zip-Diskette (ipcop-1.4.xx-install-usb-zip.i386.img.gz) installieren.

Wenn Sie nicht die Möglichkeit haben, eine CD zu brennen, können Sie Dateien aus dem ISO-Abbild auf einem Web- oder FTP-Server ablegen.

Wenn Ihr IPCop PC nicht von einer CD booten kann, müssen Sie eine bootfähige Diskette mit den Dateien aus dem Verzeichnis /images der CD erstellen oder PXE Boot verwenden.

Installationsvorbereitungen

ACHTUNG! Während der Installation wird die benutzte Festplatte formatiert. Alle evtl. vorhandenen Daten werden verloren gehen!

1.1. Upgrading von IPCop 1.2.0 oder höher

Seit Version 1.3.0 ist ein Upgrade des IPCop PC von Version 1.2.0 aufwärts durch Speichern der momentanen Konfiguration möglich. Einfach mit Hilfe der Backupfunktion (Webinterface – Datensicherung) eine Backupdiskette erstellen. Bei Problemen hilft der Abschnitt System Datensicherung . im Administrationshandbuch. Während der Installation wird gefragt, ob eine vorhandene Datensicherung von Diskette verwendet werden soll. Jetzt die Diskette einlegen und “Restore” [vgl. dt. Installation] im Installationsprogramm wählen.

1.2. Entscheidung über die Konfiguration

1.2.1. Netzwerk Schnittstellen

Ipcop stellt bis zu vier Netzwerk Schnittstellen zur Verfügung: ROT, GRÜN, BLAU und ORANGE.

1.2.1.1. Das ROTE Netz

Dieses Netzwerk stellt das Internet oder jedes andere nicht vertrauenswürdige Netzwerk dar. IPCop's hauptsächliche Aufgabe besteht darin, das GRÜNE, BLAUE und ORANGENE Netzwerk und deren angeschlossene Computer vor Zugriffen aus dem nicht vertrauenswürdigen ROTEN Netzwerkbereich zu schützen.

1.2.1.2. Das GRÜNE Netz

Dieses Netzwerk stellt den hauptsächlich zu schützenden lokalen Netzwerkbereich dar. Jeder Verkehr zu diesem Netzwerkbereich wird über eine Ethernet Netzwerkkarte, die im IPCop PC eingebaut ist, geroutet.

1.2.1.3. Das BLAUE Netz

Dieses optionale Netzwerk erlaubt das Betreiben von WLAN-Geräten in einem separaten Netzwerkbereich. Computer in diesem Netzwerk haben standardmäßig keinen Zugriff auf die Computer im GRÜNEN Netz. Dies kann jedoch durch sog. “pinholes” oder das Einrichten eines VPN realisiert werden. Jeder Verkehr zu diesem Netzwerkbereich wird über eine Ethernet Netzwerkkarte, die im IPCop PC eingebaut ist, geroutet.

1.2.1.4. Das ORANGENE Netz

Dieses optionale Netzwerk erlaubt das Betreiben von öffentlich erreichbaren Servern in einem seperaten Netzwerkbereich. Computer in diesem Netzwerk haben standardmäßig keinen Zugriff auf die Computer im GRÜNEN oder BLAUEN Netz. Dies kann jedoch durch sog. “DMZ pinholes” realisiert werden. Jeder Verkehr zu diesem Netzwerkbereich wird über eine Ethernet Netzwerkkarte, die im IPCop PC eingebaut ist, geroutet.

1.2.1.5. Netzwerk Schnittstellen

Die Firewall benötigt mindestens eine Ethernet Netzwerkkarte (NIC) mit Ethernet Netzwerkkabel. Je nach Netzwerkkonfiguration und Anbindung ans Internet, werden bis zu vier NICs benötigt.

Alle NICs müssen verschiedene physikalische Karten sein (oder deren Äquivalent falls Multiportkarten benutzt werden).

Die ROTE Schnittstelle momentan ausser acht lassend, müssen für jedes GRÜNE, ORANGENE und BLAUE Netz separate NICs eingebaut und angeschlossen werden. Das GRÜNE und ROTE Netz sind obligatorisch. Das ORANGENE und BLAUE Netz sind optional. Die Anforderungen an die ROTE Schnittstelle hängen von der Verbindung zum Internet ab.

Das obige Diagramm zeigt, dass Sie, anders als beim ROTEN Netz, für jedes Netz eine Ethernet Netzwerkkarte benötigen. Wenn Sie derzeit eine Ethernet Verbindung verwenden, um sich mit dem Internet zu verbinden, dann benötigen Sie auch für die ROTE Schnittstelle eine Ethernet Netzwerkkarte. Die Netze benötigend zwingend verschiedene Netzwerkadressbereiche.

[Anmerkung]Anmerkung

Die ORANGENE und BLAUE Schnittstelle sind optional.

1.2.1.6. Relative Sicherheit der IPCop Netzwerkbereiche

Das Sicherheitsmodell von IPCop vertraut dem GRÜNEN Netzwerk ohne Einschränkungen, egal ob die Anfragen von einem User oder von Viren, Trojanern oder sonstiger Schadsoftware verursacht werden. Beide werden gleichberechtigt behandelt und von IPCop zugelassen.

Ein neues Feature von IPCop 1.4.0 erlaubt jedoch das Einschalten der Einbruchsdetektierung (Intrusion detection system - IDS) für jeden Netzwerkbereich. Es kann nicht schaden von Zeit zu Zeit einen Blick in die IDS-Logs zu werfen, um herauszufinden, ob sich ein Rechner "merkwürdig" verhält. Dies könnte dann ein Hinweis auf einen verseuchten PC sein.

Vertrauenswürdigkeit der IPCop Netze nach Farben sortiert (geringste Vertrauenswürdigkeit zuerst):

ROT -> ORANGE -> BLAU -> GRÜN

1.2.2. Mögliche NetzwerkKonfigurationen

Die Basiskonfiguration (Minimalkonfiguration) ist ROT/GRÜN, bei der IPCop ein einzelnes Netz vor dem Internet schützt. Sollte ein Wireless Access Point zum Einsatz kommen, so kann dieser an die BLAUE Schnittstelle angeschlossen werden. IPCop können Sie dann so konfiguriert werden, dass der Zugriff auf Ihre WLAN PCs eingeschränkt wird. Sollten Server eingesetzt werden, die Zugriff auf das Internet benötigen oder Dienste im Internet anbieten, sollten diese an die ORANGE Schnittstelle (auch DMZ - "Demilitarisierte Zone") angeschlossen werden.

1.2.3. Typen der Netzwerkkonfiguration

Da die ROTE Schnittstelle entweder per Modem (z.B. USB-DSL-Modem) oder per Ethernet (externes ADSL-Modem oder HW-Router) mit dem Internet verbunden wird, ergeben sich acht verschiedene Typen der Netzwerkkonfiguration:

  • GRÜN (ROT ist Modem/ISDN)

  • GRÜN + ROT (ROT ist Ethernet)

  • GRÜN + ORANGE + ROT (ROT ist Ethernet)

  • GRÜN + ORANGE (ROT ist Modem/ISDN)

  • GRÜN + BLAU + ROT (ROT ist Ethernet)

  • GRÜN + BLAU (ROT ist Modem/ISDN)

  • GRÜN + BLAU + ORANGE + RED (ROT ist Ethernet)

  • GRÜN + BLAU + ORANGE (ROT ist Modem/ISDN)

1.2.4. Mit dem Internet oder externen Netzwerk verbinden

Wie wird die Verbindung mit dem Internet derzeit aufgebaut?

Sollte die Verbindung mittels eines externen Breitbandmodems oder Routers hergestellt werden, werden diese wahrscheinlich mittels einer Ethernet-Netzwerkkarte verbunden. Egal wie, eine gleichartige Karte sollte auch im IPCop PC eingebaut sein. Sollte die Verbindung jedoch über ein internes Analogmodem, ISDN-Karte oder ein USB-DSL-Modem aufgebaut werden, so sollten diese in den IPCop PC "umziehen". Bei Nutzung eines externen Analogmodems sollten Sie dieses an den IPCop Rechner anschliessen.

Diese Hardware wird dann zukünftig als ROTE Netzwerkschnittstelle verwendet.

Einige Schlüsselparameter sollten notiert werden.

Wie wird derzeit die IP-Adresse zugeordnet? Statisch, per DHCP-Zuweisung, PPPOE oder PPTP?

Sollte die IP-Adresse mittels DHCP-Zuweisung erfolgen, sollte überprüft werden, ob das System einen Hostnamen bekommen hat, der an den DHCP-Server des Providers gesendet werden muss (s.u. Überprüfung des DHCP-Hostnames).

Welche Name Server Adressen (DNS) werden derzeit verwendet? Es kann möglich sein, dass der ISP diese automatisch während der Einwahl vergibt oder dass diese Adressen manuell eingegeben werden müssen.

1.2.4.1. Überprüfung des DHCP-Hostnames

Sollten Sie nicht wissen, ob der ISP einen DHCP-Hostnamen bei der Anmeldung benötigt oder dieser unbekannt ist, dann hilft Ihnen evtl. das Informationspaket des ISP oder dessen Support-Hotline weiter. Sollten Sie dort keine Information erhalten, so könnte folgendes helfen. Tippen Sie:

# ifconfig -a

an der Konsole eines *nix Betriebssystems und schauen Sie Ihre IP-Adresse an der eth0-Schnittstelle nach. Unter Windows 95, 98, ME heisst der Befehl:

winipcfg

Diesen am command prompt (Eingabeaufforderung) eingeben. Unter Windows NT, 2000 oder XP heisst der Befehl:

ipconfig /all

In jedem Fall sollten Sie nun die IP-Adresse notieren und dann ein:

# nslookup nnn.nnn.nnn.nnn

eingeben, wobei nnn.nnn.nnn.nnn die notierte IP-Adresse darstellt. Aus der darauf folgenden Ausgabe sollten Sie den kompletten Hostnamen (host name) notieren. Der erste Teil sollte der DHCP-Hostname sein; der letzte Teil sollte zur Konfiguration des IPCop DHCP-Servers verwendet werden.

1.2.5. Entscheidung über die lokale(n) Netzwerkadresse(n)

Entscheiden Sie welchen GRÜNEN (oder lokalen) IP-Adressbereich Sie verwenden möchten. Dies ist nicht die IP-Adresse, die Sie evtl. von Ihrem Provider bekommen haben. Adressen aus diesem Adressbereich werden niemals im Internet sichbar sein. IPCop nutzt eine Technik names "Port Adress Translation (PAT)", um Ihre GRÜNEN Rechner vor dem Internet zu verbergen. Um sicherzugehen, dass kein IP-Adressenskonflikt entsteht, sollten Sie einen im RFC1918 als privat (nicht routbaren) IP-Adressbereich verwenden. Es gibt mehr als 65.000 dieser IP-Adressbereiche aus denen Sie frei wählen können. Eine Liste über die verfügbaren IP-Adressbereiche finden Sie in Kurzeinführung in die Heimvernetzung. Ein gängiger IP-Adressbereich ist z.B. 192.168.1.xxx. Dies erlaubt IPCop über 250 Computer zu verwalten. Normalerweise werden Firewalls oder Router am Anfang oder am Ende dieses IP-Adressbereichs adressiert. Wir empfehlen die 192.168.1.1 als IP-Adresse für die GRÜNE Netzwerk-Schnittstelle zu wählen. IPCop wird die subnetmask automatisch anhand der gewählten IP-Adresse einsetzen, die Sie bei Bedarf ändern können.

Sollten Sie zusätzlich die BLAUE oder ORANGENE Schnittstelle verwenden wollen, so wählen Sie bitte einen unterschiedlichen IP-Adressbereich für diese Netze. Zum Beispiel: BLAU 192.168.2.xxx und ORANGE 192.168.3.xxx. Dies erlaubt die Verwaltung von über 250 Computern an jeder dieser Schnittstellen.

1.3. Beschaffung von Informationen zu Ihrer Hardware

Obwohl IPCop automatisch versuchen wird Ihre Netzwerkkarte(n) zu erkennen, könnte es sein, dass Sie die Parameter Ihrer NIC während der Installation eingeben müssen. In diesem Fall benötigen Sie die IO-Adresse und die IRQ-Nummer. Normalerweise sollten Sie vom Hersteller der Netzwerkkarte einen Datenträger (CD oder Diskette) mitgeliefert bekommen haben. Auf diesem finden Sie evtl. die nötigen Angaben oder ein Programm mit dem Sie die Karte konfigurieren können. Alternativ könnte die Webseite des Herstellers hilfreich sein.

Auch wenn Sie eine interne ISDN-Karte benutzen wollen, wird IPCop versuchen diese automatisch zu erkennen. Auch in diesem Fall: Sollte IPCop die Karte nicht automatisch konfigurieren können, müssen Sie die notwendigen Angaben zu Ihrer Karte (IO-Adresse, IRQ-Nummer) während der Installation selbst eingeben. Auch hier gilt oben genanntes (Datenträger, Webseite). Zusätzlich sollten Sie das Land und das verwendete Protokoll, sowie Ihre Telefonnummer bereithalten.

1.4. Den IPCop PC vorbereiten

Schauen Sie sich zuerst die IPCop Hardwarekompatibilitätsliste an, um zu überprüfen, ob der von Ihnen als IPCop PC auserkorene PC mit IPCop laufen wird.

Bauen Sie nun die erforderlichen Netzwerkkarten in den IPCop PC ein, die Ihrer gewünschten Konfiguration entsprechen. Sie benötigen in jedem Fall eine Ethernet Netzwerkkarte für die GRÜNE Netzwerkschnittstelle. Wollen Sie auch die BLAUE und/oder ORANGENE Schnittstelle verwenden, so benötigen Sie für jede dieser Schnittstellen eine eigene Ethernet Netzwerkkarte. Sollte sich Ihre ROTE Schnittstelle via Ethernet verbinden, so benötigen Sie auch hier eine Ethernet Netzwerkkarte.

Bauen Sie die ISDN-Karte ein, falls Sie sich über ISDN einwählen möchten (ROT ist Modem/ISDN).

Während der Installation benötigen Sie einen, an den IPCop PC angeschlossenen, Monitor. IPCop wird im reinen Textmodus betrieben, so dass hier fast jeder Monitor eingesetzt werden kann. Nach der Installation kann der Monitor wieder vom IPCop PC abgeklemmt werden. Zusätzlich wird noch eine Tastatur benötigt. Wenn Sie im BIOS den Tastaturtest abschalten können, dann kann auch die Tastatur nach der Installation entfernt werden.

Konfigurieren Sie Ihr BIOS so, dass der IPCop PC möglichst als "Stand alone" Server agieren kann. Zum Beispiel:

  • Schalten Sie den Energiesparmodus des Prozessors ab ("CPU power saver" o.ä.); der IPCop PC muss alle Netzwerkaktivitäten aller eingebauten Netzwerkkarten verwalten. Normalerweise ist es am einfachsten alle Energiesparoptionen abzuschalten. Falls vorhanden, können (BIOS-) Bildschirmschoner eingeschaltet bleiben.

  • Vergewissern Sie sich, dass die BIOS Option: Booten beim Einschalten ("boot on power up" o.ä.) aktiviert ist.

  • Schalten Sie, falls möglich, den BIOS-Tastaturtest ab.

  • In den Energieoptionen des BIOS sollten Sie die Option: "Reboot nach Stromausfall" (“Always restore power after power failure” o.ä.) einschalten. Dies stellt sicher, dass der IPCop PC nach einem Stromausfall wieder selbstständig startet und nicht ausgeschaltet bleibt.

IPCop kann Ihre Konfiguration später auf Diskette, einen USB-Stick oder über das Web-Interface in eine Datei sichern. Disketten im Laufwerk werden häufig vergessen. Vergewissern Sie sich, dass jetzt keine Diskette im Laufwerk steckt, die nach einem Stromausfall ein Booten verhindern könnte.

Wenn Sie IPCop von CD installieren wollen, stellen Sie sicher, dass das System nur von CD und Festplatte bootet. Nach der Installation sollten Sie alle Bootoptionen, ausser booten von Festplatte ausschalten.

Falls Sie IPCop via USB-Stick installieren möchten, müssen Sie gegebenfalls das Bootdevice im BIOS Ihres Rechners entsprechend einstellen. Stellen Sie nach erfolgter Installation sicher, dass Ihr Rechner ausschließlich von Ihrer Festplatte booten kann.

1.5. Entscheidung über und Vorbereitung des Installationsmediums

Beschaffen Sie sich das ISO Image von www.ipcop.org. Das Image ist ca. 50 MB groß. Nach dem Download sollten Sie die MD5 Prüfnummer der geladenen Datei mit der auf ipcop.org veröffentlichen vergleichen. Wenn beide gleich sind, haben Sie das Image korrekt empfangen.

Es gibt viele Möglichlkeiten den IPCop zu installieren. Die folgende Tabelle fasst die Systemvoraussetzungen der einzelnen Wege zusammen:

Tabelle 1.1. Erforderliche Medien für unterschiedliche Installationsmethoden

MethodeBoot-DisketteTreiber-DisketteCD-LaufwerkFTP/Web-ServerBootfähige Netzwerkkarte mit PXEDHCP/TFTP-Server
Bootfähige CDNeinNeinJaNeinNeinNein
Bootfähige Diskette und CDJaNeinJaNeinNeinNein
Bootfähige Diskette und FTP/Web-ServerJaJaNeinJaNeinNein
Bootfähige Diskette und USB-StickJaNeinNeinJaNeinNein
PXE-Boot und FTP-/Web-ServerNeinNeinNeinJaJaJa

Wenn in Ihrem IPCop PC ein CD-Laufwerk eingebaut ist und Sie im BIOS die Bootoptionen für das Booten von CD eingeschaltet haben, können Sie die bootbare CD als Installationsmedium benutzen. Das CD-Laufwerk kann nach der Installation auch wieder entfernt werden.

Falls Ihr IPCop PC nicht von CD booten kann, aber ein Diskettenlaufwerk und ein CD-Laufwerk enthält, können Sie die Bootdiskette zusammen mit der CD benutzen. Beide Laufwerke können nach der Installation wieder entfernt werden. Hier nochmal der Hinweis: Falls Sie die Sicherungsfunktionen (Backup/Restore) des IPCop nutzen möchten, sollten Sie das Diskettenlaufwerk eingebaut lassen.

Wenn Sie keinen CD-Brenner besitzen oder Ihr IPCop-PC nur ein Disketten-Laufwerk, aber kein CD-Rom Laufwerk hat, sollte "Bootdiskette mit FTP/Web-Server" die Installationsart Ihrer Wahl sein. Zu erwähnen bleibt, dass das Diskettenlaufwerk nach der Installation entfernt bzw. ausgebaut werden kann. Sollte die "Disketten-Backup/Restore" Funktion genutzt werden, sollten sie das Disketten-Laufwerk nicht ausbauen.

1.5.1. Erstellen der CD

Wenn Sie einen CD-Brenner besitzen, benutzen Sie Ihre gängige Brennsoftware, um das Image auf CD zu brennen. Beachten Sie, dass das IPCop CD Image ein vollständiges CD Image ist. In vielen Brennprogrammen ist die Funktion "CD aus ISO Image brennen" (o.ä.) nicht so einfach zu finden und mag in einem Untermenü versteckt sein. Sollte sich nach dem Brennen nur eine einzige Datei auf der CD befinden, haben Sie die CD nicht korrekt gebrannt.

1.5.2. Mounten des ISO Image

Auch wenn Sie keinen CD Brenner besitzen gibt es eine Möglichkeit, aber das bedeutet ein bisschen extra Arbeit. Was getan werden muss, hängt von der Hardware und den Betriebssystemen ab, die Sie in anderen Computern installiert haben.

1.5.2.1. Linux

Sollten Sie ein Linux oder Unix System haben, können Sie das image mit folgendem Befehl mounten:

# losetup /dev/loop0 /path/to/IPCop/iso

wobei /path/to/IPCop/iso der Pfad und der Dateiname des IPCop ISO Images darstellt. Dies verlinkt ein sog. "loop back" Laufwerk zum IPCop ISO Image.

# mount -r -t iso9660 /dev/loop0 /mnt/cdrom

Dieser Befehl mountet jetzt das "loop back" Laufwerk in die Verzeichnisstruktur eines *nix-Systems. Das Image wird unter /mnt/cdrom zur Verfügung stehen. Hinweis: Auf den meisten Systemen benötigen Sie hierfür root-Rechte (also als root anmelden oder den sudo Befehl benutzen.)

1.5.2.2. Windows

Im Internet gibt es verschiedene Programme wie z.B. "IsoBuster" oder "WinImage", die zum Öffnen des ISO Images benutzt werden können. Laden Sie sich eines dieser Programme runter und folgen Sie dessen Instruktionen, um das ISO Image zu öffnen.

1.5.2.3. Macintosh

Auf Macintosh OS X kann Apple's "Disk Copy utility" das ISO Image öffnen. Es scheint kein kostenloses Tools für MAC-System unter OS X zu geben. Einige CD-Brennprogramme bieten diese Möglichkeit jedoch. Sollten Sie einen CD-Brenner haben (Anm.d.Übersetzers: könnten Sie auch das CD-Image brennen) prüfen Sie Ihre Brennsoftware, ob diese Funktion evtl. integriert ist.

1.5.3. Disketten aus Images erstellen

Wenn Ihr IPCop PC ein CD-Laufwerk besitzt, das BIOS aber kein Booten von CD unterstützt, müssen Sie eine Bootdiskette erstellen. Wenn Ihr IPCop PC kein CD-Laufwerk besitzt, müssen Sie zusätzlich noch die Treiberdiskette erstellen. Beide Disketten Images befinden sich auf der IPCop CD (oder im IPCop ISO Image) im Verzeichnis /images.

1.5.3.1. Disketten unter *nix oder Mac OS X erstellen

Unter Linux, Unix und Macantosh OS X können Sie die Disketten mit dem "dd"-Befehl erstellen:

# dd if=/mnt/cdrom/images/boot-1.4.0.img of=/dev/fd0 bs=1k count=1440

Benutzen Sie den selben Befehl mit if=<Pfad und Dateiname zum Treiberimage>, um die Treiberdiskette zu erstellen.

1.5.3.2. Disketten unter Windows erstellen

Zwei Programme sind im Verzeichnis /dosutils auf der IPCop CD enthalten. rawrite.exe und rawritewin.exe. rawrite.exe ist ein DOS-basiertes Programm, dass es erlaubt, Disketten aus den .img Dateien im Verzeichnis /images zu generieren. Entsprechend ist rawritewin.exe ein unter Windows laufendes Programm, dass den selben Zweck erfüllt.

1.5.4. Das Installationsfile verfügbar machen (FTP/Webserver Installation)

Dieser Schritt ist nur notwendig, wenn Sie mittels Bootdisk und FTP/Webserver installieren. Im Wurzelverzeichnis des IPCop ISO images befindet sich eine Datei namens ipcop-1.4.0.tgz. Diese Datei enthält ein komprimiertes Image der IPCop Festplatte. Kopieren Sie diese Datei auf einen Rechner mit Web- oder FTP-Server an eine öffentlich zugängliche Stelle. Während der Installation wird sich IPCop bei Ihrem Web- oder FTP-Server als "anonymer" User anmelden. Die meisten Server erlauben anonymen Usern nicht auf Dateien oder Verzeichnisse ausserhalb der Server-Verzeichnisstruktur zuzugreifen. Selbst wenn ein Verzeichnis als Wurzelverzeichnis angezeigt wird (z.B. /pub), liegt dies meistens z.B. in /anonftp/pub.

Wenn in Ihrem IPCop PC SCSI-Festplatten eingebaut sind, dann müssen Sie zusätzlich noch die Datei scsidrv-1.4.0.img aus dem Verzeichnis /images des ISO Images in o.g. Verzeichnis kopieren.

Wenn Sie Ihr privates Netzwerk zum ersten Mal erstellen, ändern Sie bitte die IP-Adresse des Servers so, dass sie im GRÜNEN IP-Adressbereich liegt. Sie sollten eine statische IP verwenden. Dies ist nur während der Installation notwendig.

Wenn Ihr Server mit dem Internet verbunden ist, trennen Sie die Verbindung und schliessen Sie sie zusammen mit den anderen PCs an den IPCop PC an. In Kurzeinführung in die Heimvernetzung finden Sie einige Anregungen. Wenn Sie 192.168.1.1 für die GRÜNE Schnittstelle des IPCop nutzen, wäre die 192.168.1.2 eine mögliche IP für den Server. Konfigurieren Sie den Server zunächst mit statischer IP-Adresse. Hinweis für Windows PC: Nach dem Ändern der IP ist ein Reboot notwendig.

Überprüfen Sie, ob das Installationsfile via FTP oder durch Aufruf im Browser erreichbar/downloadbar ist. Dies können Sie auch vom Server aus testen. Den gestarteten Download können Sie natürlich abbrechen, wenn Sie wissen, dass der Zugriff funktioniert.

Booten des IPCop Installationsmediums

[Warnung]Warnung

Beachten Sie bitte, dass durch die Installation von IPCop alle Daten auf Ihrer Festplatte gelöscht werden!

Obwohl sich alle Installationsarten von IPCop sehr ähneln, wird jedes Verfahren getrennt beschrieben. Falls Sie nicht sicher sind, welche Installationsmethode Sie wählen sollen, schlagen Sie im vorangegangenen Kapitel Installationsvorbereitungen nach.

2.1. Installation von einer bootfähigen CD oder von Diskette und CD

Legen Sie die IPCop-CD in das CDROM-Laufwerk des IPCop PC und, falls erforderlich, die IPCop-Boot-Diskette in das Diskettenlaufwerk. Schalten Sie nun den PC ein oder booten neu. Falls der IPCop PC nicht bootet, überprüfen Sie die Boot-Einstellungen im BIOS.

Kurz nach dem Start erscheint der untenstehende Boot-Bildschirm. Falls dieser nicht erscheint, überprüfen Sie, ob Ihr Monitor richtig an den IPCop PC angeschlossen ist, der Monitor auch eingeschaltet ist und dass Sie vom CDROM- oder Diskettenlaufwerk gebootet haben.

Diese Bildschirmanzeige enthält nochmals die Warnung, dass beim Fortfahren alle Daten auf der Festplatte gelöscht werden.

An dieser Stelle können Sie Enter drücken oder eine der drei Installationsoptionen nopcmcia, nousb oder nousborpcmcia eingeben. Die Installationsoptionen schränkt die Geräte ein, die während der Installation erkannt werden. Benutzen sie diese Optionen nur, wenn bei der Standartinstallation Probleme, bei der Erkennung von angeschlossenen PCMCIA oder USB Geräten, auftreten. Sie können auch das IPCop-Medium entfernen und neustarten um die Installation zu beenden.

Während des Linux-Bootvorgangs werden zahlreiche Kernelnachrichten angezeigt.

Diese können ignoriert werden, sofern keine Hardwarefehler auftreten. Ist dies der Fall wird der Bootvorgang abgebrochen.

Nach ein paar Sekunden erscheint das Sprachauswahl-Menü.

Derzeit stehen brasilianisches Portugiesisch, Tschechisch, Dänisch, Deutsch, Griechisch, Englisch, Spanisch, Französisch, Ungarisch, Italienisch, Latein Amerikanisches Spanisch, Holländisch, Norwegisch, Portugiesisch, Finnisch, Schwedisch und Türkisch zur Auswahl.

Anmerkung: In diesem und in allen anderen Bildschirmanzeigen während der Installation ist die Maus inaktiv. Benutzen Sie den Tabulator und die Cursortasten, um zwischen den Auswahlpunkten und Menüs zu wechseln. Um eine Sprachoption anzuwählen, drücken Sie die Leertaste. Um die Sprache auszuwählen, drücken Sie die Enter-Taste.

Ab hier werden innerhalb der Installation alle Abfragen, Menüs und Webseiten in der von Ihnen gewählten Sprache erscheinen.

Die nächste Bildschirmanzeige informiert Sie lediglich darüber, wie die Installation abgebrochen werden kann: Wählen Sie Abbrechen und drücken Sie die Enter-Taste.

Die folgende Abfrage läßt Sie zwischen den verschiedenen Installationsmedien auswählen. Da Sie von einer CD installieren wollen, wählen Sie bitte diese Option an, bewegen den Cursor mit dem Tabulator zu Ok Befehlsschaltfläche und drücken dann die Enter-Taste.

Als nächstes erscheint eine letzte Warnung.

Nachdem Sie Ok ausgewählt und die Enter -Taste in dieser Bildschirmanzeige gedrückt haben, werden alle auf Ihrer Festplatte vorhandenen Daten gelöscht. Um die Installation abzubrechen, wählen Sie bitte Abbrechen und drücken die Enter-Taste.

Als nächstes formatiert und partitioniert IPCop ihre Festplatte. Anschließend werden alle benötigten Dateien installiert.

Nun haben Sie die Möglichkeit, frühere Einstellungen mit Hilfe einer IPCop-Sicherungsdiskette wiederherzustellen.

Zur Wiederherstellung legen Sie bitte die entsprechende Diskette in das Laufwerk. Wählen Sie dann Wiederherstellen und drücken Sie die Enter -Taste. Andernfalls wählen Sie Überspringen und drücken Sie die Enter-Taste.

Sollten Sie vor dieser Installation IPCop 1.2.0 oder eine höhere Version genutzt haben, so können Sie die entsprechende Sicherungsdiskette nutzen, damit Sie nicht alle Einstellungen neu eingeben müssen. Sie können diese Möglichkeit auch dafür nutzen, um beschädigte Installationen wiederherzustellen. Sobald Sie IPCop zu Ihrer Zufriedenheit, mittels des Web-Interfaces, eingerichtet haben, sollten Sie eine neue Sicherungsdiskette anlegen. Sollten Sie während der Nutzung des IPCop-Systems einen Systemfehler entdecken, so können Sie neu installieren und an der entsprechenden Stelle die Sicherungsdiskette einlegen und Wiederherstellen auswählen. Danach wird Ihre IPCop-Konfiguration entsprechend der letzten Sicherung wieder hergestellt.

Bei der Wiederherstellung der Einstellungen von Diskette werden Sie keine weiteren Abfragen bearbeiten müssen. Nach Wiederherstellung der alten Konfiguration wird der Installationsvorgang bis zur Meldung Installation abgeschlossen durchlaufen.

Als nächstes wird IPCop Ihr GRÜNES (lokales) Netzwerkinterface einrichten. Sie können IPCop die Netzwerkkarte und entsprechende Einstellungen automatisch erkennen lassen. Wählen Sie hierzu die Befehlsschaltfläche Automatische Erkennung an und drücken Sie dann Enter, damit IPCop Ihre Hardware durchsucht. Wählen Sie die Befehlsschaltfläche Auswählen an und drücken Sie Enter, wenn Sie eine Netzwerkkarte manuell einrichten oder Einstellungen zur Karte nach Herstellerangaben vornehmen möchten.

Wenn Sie Auswählen anwählen, wird die folgende Bildschirmanzeige erscheinen:

Wählen Sie Ihre GRÜNE Ethernet-Netzwerkarte aus der Liste aus.

Sollten Sie Manuell auswählen, wird die folgende Bildschirmanzeige erscheinen. Geben Sie das Objektmodul für den gewünschten Treiber an. Jeder Treiber kann zusätzliche Parameter erfordern. Leider sind diese Parameter treiberabhängig. Das untenstehende Beispiel zeigt die Einstellungen für einen NE2000-Treiber. Wie die meisten ISA-Treiber benötigt er Angaben für die IO-Adresse io= und für den IRQ irq=.

Wenn Sie in der obigen Bildschirmanzeige Automatische Erkennung anwählen, wird folgende Eingabemaske erscheinen:

Eventuell wird der Hersteller Ihrer Netzwerkkarte nicht angezeigt. Da IPCop die Netzwerkkarte automatisch anhand des Chip Herstellers identifiziert und nicht nach dem Kartenhersteller, kann dies ignoriert werden.

Jetzt konfiguriert IPCop die interne (GRÜNE) Netzwerk-Adresse.

Die Adresse dieser Schnittstelle wurde bereits oben im Abschnitt Entscheidung über die lokale(n) Netzwerkadresse(n) erörtert. Üblicherweise nimmt man für GRÜN die Adresse 1, also 192.168.1.1 bzw. 254, das wäre dann 192.168.1.254. Alle anderen Adressen zwischen .1 und .254 tun es natürlich auch. Zusätzlich setzt IPCop gleichzeitig automatisch die Netzwerkmaske basierend auf Ihrer IP-Adresse, eine manuelle Änderung ist aber möglich, falls erforderlich.

IPCop ist nun komplett auf der Festplatte installiert. Dann erscheint die folgende Bildschirmanzeige. Entfernen Sie die IPCop-CD aus dem CDROM-Laufwerk und entfernen Sie falls vorhanden auch die Diskette aus dem Diskettenlaufwerk. Drücken Sie Ok, um fortzufahren.

IPCop setzt dann automatisch die Installation mit der Ausführung des Setup-Befehls fort.

Ab diesem Zeitpunkt ist die Installation unabhängig vom gewählen Medium immer gleich. Machen Sie daher mit dem untenstehenden Abschnitt Erste Konfiguration weiter.

2.2. Installation von Diskette und Web- oder FTP-Server

Legen Sie die IPCop-CD in das CDROM-Laufwerk des IPCop PC und, falls erforderlich, die IPCop-Boot-Diskette in das Diskettenlaufwerk. Schalten Sie nun den PC ein oder booten neu. Falls der IPCop PC nicht bootet, überprüfen Sie die Boot-Einstellungen im BIOS.

Kurz nach dem Start erscheint der untenstehende Boot-Bildschirm. Falls dieser nicht erscheint, überprüfen Sie, ob Ihr Monitor richtig an den IPCop PC angeschlossen ist, der Monitor auch eingeschaltet ist und das Sie vom CDROM- oder Diskettenlaufwerk gebootet haben.

Diese Bildschirmanzeige enthält nochmals die Warnung, dass beim Fortfahren alle Daten auf der Festplatte gelöscht werden.

An dieser Stelle können Sie Enter drücken oder eine der drei Installationsoptionen nopcmcia, nousb oder nousborpcmcia eingeben. Die Installationsoptionen schränkt die Geräte ein, die während der Installation erkannt werden. Benutzen sie diese Optionen nur, wenn bei der Standartinstallation Probleme, bei der Erkennung von angeschlossenen PCMCIA oder USB Geräten, auftreten. Sie können auch das IPCop-Medium entfernen und neustarten um die Installation zu beenden.

Während des Linux-Bootvorgangs werden zahlreiche Kernelnachrichten angezeigt.

Diese können ignoriert werden, sofern keine Hardwarefehler auftreten. Ist dies der Fall wird der Bootvorgang abgebrochen.

Nach ein paar Sekunden erscheint das Sprachauswahl-Menü.

Derzeit stehen brasilianisches Portugiesisch, Tschechisch, Dänisch, Deutsch, Griechisch, Englisch, Spanisch, Französisch, Ungarisch, Italienisch, Latein Amerikanisches Spanisch, Holländisch, Norwegisch, Portugiesisch, Finnisch, Schwedisch und Türkisch zur Auswahl.

Anmerkung: In diesem und in allen anderen Bildschirmanzeigen während der Installation ist die Maus inaktiv. Benutzen Sie den Tabulator und die Cursortasten, um zwischen den Auswahlpunkten und Menüs zu wechseln. Um eine Sprachoption anzuwählen, drücken Sie die Leertaste. Um die Sprache auszuwählen, drücken Sie die Enter-Taste.

Ab hier werden innerhalb der Installation alle Abfragen, Menüs und Webseiten in der von Ihnen gewählten Sprache erscheinen.

Die nächste Bildschirmanzeige informiert Sie lediglich darüber, wie die Installation abgebrochen werden kann: Wählen Sie Abbrechen und drücken Sie die Enter-Taste.

Die folgende Abfrage läßt Sie zwischen den verschiedenen Installationsmedien auswählen. Im Fall der Installation von HTTP/FTP wählen Sie HTTP, springen mit dem Cursor zu Ok und drücken anschliessend auf die Enter-Taste.

IPCop fordert Sie jetzt auf, die Boot-Diskette gegen die wie oben beschrieben erzeugte Treiber-Diskette auszutauschen.

Nachdem Sie die Diskette ausgetauscht haben, springen Sie mit dem Cursor zu OK.

Als nächstes wird IPCop Ihr GRÜNES Netzwerkinterface einrichten. Sie können IPCop die Netzwerkkarte und entsprechende Einstellungen automatisch erkennen lassen. Wählen Sie hierzu die Befehlsschaltfläche Automatische Erkennung an und drücken Sie dann Enter, damit IPCop Ihre Hardware durchsucht. Wählen Sie die Befehlsschaltfläche Auswählen an und drücken Sie Enter, wenn Sie eine Netzwerkkarte manuell einrichten oder Einstellungen zur Karte nach Herstellerangaben vornehmen möchten.

Wenn Sie Auswählen anwählen, wird die folgende Bildschirmanzeige erscheinen:

Wählen Sie Ihre GRÜNE Ethernet-Netzwerkarte aus der Liste aus.

Sollten Sie Manuell auswählen, wird die folgende Bildschirmanzeige erscheinen. Geben Sie das Objektmodul für den gewünschten Treiber an. Jeder Treiber kann zusätzliche Parameter erfordern. Leider sind diese Parameter treiberabhängig. Das untenstehende Beispiel zeigt die Einstellungen für einen NE2000-Treiber. Wie die meisten ISA-Treiber benötigt er Angaben für die IO-Adresse io= und für den IRQ irq=.

Wenn Sie in der obigen Bildschirmanzeige Automatische Erkennung anwählen, wird folgender Bildschirm erscheinen:

Eventuell wird der Hersteller Ihrer Netzwerkkarte nicht angezeigt. Da IPCop die Netzwerkkarte automatisch anhand des Chip Herstellers identifiziert und nicht nach dem Kartenhersteller, kann dies ignoriert werden.

Jetzt konfiguriert IPCop die interne, die GRÜNE, Netzwerk-Adresse.

Die Adresse dieser Schnittstelle wurde bereits oben im Abschnitt Entscheidung über die lokale(n) Netzwerkadresse(n) besprochen. Üblicherweise nimmt man für GRÜN die Adresse 1, also 192.168.1.1 bzw. 254, das wäre dann 192.168.1.254. Alle anderen Adressen zwischen .1 und .254 tun es natürlich auch. Zusätzlich setzt IPCop gleichzeitig automatisch die Netzwerkmaske basierend auf Ihrer IP-Adresse, eine manuelle Änderung ist aber möglich, falls erforderlich.

Dieses Netz wird dazu verwendet, um die IPCop-Installationsdatei zu lokalisieren und von Ihrem Web- oder FTP-Server herunterzuladen.

Die IPCop-Installation erfragt nun die URL für das Herunterladen der Dateien ipcop.tgz und scsidrv-1.4.0.img, die Sie vorher auf Ihrem Web- oder FTP-Server verfügbar gemacht haben.

Geben sie je nach Typ ihres Servers "http" oder "ftp" an und verwenden sie die IP Adresse des Servers. Zum Beispiel: ftp://192.168.1.2/pub. Denken sie daran, das Verzeichnis und nicht die Datei anzugeben.

Als nächstes erscheint eine letzte Warnung.

Nachdem Sie Ok ausgewählt und die Enter-Taste in dieser Bildschirmanzeige gedrückt haben, werden alle auf Ihrer Festplatte vorhandenen Daten gelöscht. Um die Installation abzubrechen, wählen Sie bitte Abbrechen und drücken die Enter-Taste.

Als nächstes formatiert und partitioniert IPCop ihre Festplatte. Anschließend werden alle benötigten Dateien installiert.

An dieser Stelle haben Sie die Möglichkeit, die Konfigurationsdaten einer früheren IPCop-Installation von einer Backup-Diskette wiederherzustellen.

Zur Wiederherstellung legen Sie die Diskette in das Diskettenlaufwerk und wählen Sie Wiederherstellen und drücken Sie die Enter-Taste. Andernfalls wählen Sie Überspringen und drücken Sie die Enter-Taste.

Wenn Sie ein Upgrade von einer IPCop-Version 1.2.0 oder später machen, legen Sie die IPCop-Backup-Diskette in das Diskettenlaufwerk. Diese Funktion ist auch dafür vorgesehen, eine defekte IPCop-Installation wiederherzustellen. Am besten, Sie machen sicherheitshalber ein Backup der IPCop-Konfiguration, wenn Sie IPCop über das Web-Administrationsinterface zu Ihrer Zufriedenheit eingerichtet haben. Wenn es einen Ausfall geben sollte, können Sie IPCop einfach mit der Vorgehensweise, die Sie auch zur Erstinstallation verwendet haben, wieder installieren, indem Sie die Backup-Diskette einlegen und an dieser Stelle Wiederherstellen wählen. Ihre IPCop-Konfiguration wird dann wiederhergestellt.

Wenn Sie von einer Backup-Diskette wiederherstellen, müssen Sie keine weiteren Dialoge beantworten. Die Installation wird stattdessen alle Dialoge bis zur untenstehenden Meldung Installation abgeschlossen überspringen.

IPCop macht dann automatisch mit der Ausführung des Setup-Befehls weiter.

Ab diesem Zeitpunkt ist die Installation unabhängig vom gewählen Medium immer gleich. Machen Sie daher mit dem untenstehenden Abschnitt Erste Konfiguration weiter.

2.3. Booten via PXE

Das "Preboot eXecution Environment" (PXE) ist eine Umgebung, mit dessen Hilfe Rechner via Netzwerkkarte booten können, ohne Festplatten oder andere Speichermedien zu benutzen.

Um einen Rechner via PXE booten zu können, wird nachfolgendes benötigt:

  • Eine Netzwerkkarte mit Boot-EPROM und aktuellem Bootagenten.

  • Ein entsprechend konfigurierter TFTP-Server.

  • Ein entsprechend konfigurierter DHCP-Server.

Beim Booten via PXE wird Ihnen exakt das gleiche Boot-Menü angezeigt, wie beim herkömmlichen Booten via CD-ROM, Floppydisk oder USB-Stick.

Nachdem der Rechner den Bootvorgang abgeschlossen hat, müssen Sie eine Quelle bereitstellen (CD-ROM, USB oder FTP/HTTP), analog zu den anderen Installationsmethoden.

Falls keine "LAN"-Option im BIOS für die Bootreihenfolge vorhanden sein sollte, können Sie PXE möglicherweise dennoch benutzen. Dies ist der Fall, da bei modernen Netzwerkkarten ein Bootagent, während des Bootprozesses des Rechners, diese Aufgabe übernimmt. Hierfür muss das Boot-EPROM der Netzwerkkarte entsprechend eingestellt sein.

2.3.1. Aktualisieren des Bootagenten der Netzwerkkarte

Falls Ihre Netzwerkkarte zu alt sein sollte und Sie Ihre Zeit nicht aufwändiger Fehlersuche verschwenden möchten, seien Sie ermutigt, zunächst die Firmware der alten Netzwerkkarte zu aktualisieren (PXE 2.0/Bootagent v4 oder höher).

Dieser Vorgang ist risikoarm, funktioniert allerdings nur mit Netzwerkkarten welche nicht auf dem Motherboard integriert sind. Bei Motherboards mit intergrierten Netzwerkschnittstellen, kann nur ein BIOS-Update (falls verfügbar) eine Lösung liefern.

Anweisungen für die Aktualisierung von Intel-Netzwerkkarten

  • Laden Sie boot.exe von der nachfolgenden Seite herunter und entpacken Sie die Datei. http://www.intel.com/support/network/adapter/pro100/bootagent/index.htm

  • Kopieren Sie die entpackten Dateien des IntelPRO/Bootagenten auf eine Diskette.

  • Starten die den Rechner von einer Dos-Bootdiskette, legen Sie anschließend die Diskette mit der Intel-Software ein und führen Sie folgenden Befehl aus:

    A:\>ibautil -upgrade

    Damit die Bootreihenfolge und die Einstellungen der Netzwerkkarten geändert werden können, aktivieren Sie ein zusätzliches Konfigurationsmenü, welches während des Starts des Rechners, aufgerufen werden kann:

    A:\>ibautil -setupenable -messageenable

Anweisungen für die Aktualisierung von 3Com-Netzwerkkarten

Anweisungen für die Aktualisierung von Realtek-Netzwerkkarten

2.3.2. Installation eines TFTP-Servers

Nachfolgend eine Kurzanleitung, zur Installation von "tftp-hpa" (die Installation anderer "Trivial File Transfer Protocol Server" ist ebenfalls eine gangbare Möglichkeit).

  • Übersetzen des Quellcodes und Installation

    configure && make install

    Benutzen Sie alternativ das Paketsystem Ihrer Distribution.

  • Konfigurieren Sie den TFTP-Server, so dass dieser das Verzeichnes /var/tftp (oder ein anderes, bevorzugtes Verzeichnis) verwendet.

    Installation unter Gentoo:

    • Die Konfiguration finden Sie in /etc/conf.d/in.tftpd, stellen Sie dort den Pfad ein: INTFTPD_PATH="/var/tftp"

    • Starten des TFTP-Servers

      /etc/init.d/in.tftpd start

  • Platzieren der Dateien, welche per PXE geladen werden

    • Entpacken Sie das "ipcop-install-pxe"-Paket in dem Verzeichis /var/tftp

      tar -C /var/tftp -xvzf ipcop-install-pxe-(version).i386.tgz

    • Verlinken oder kopieren Sie die Datei ipcop-pxe.model auf eine Datei, deren Dateiname mit '01-' beginnnt und mit der MAC-Address der Netzwerkkarte (in Kleinschrift) endet.

      cd /var/tftp/pxelinux.cfg
      ln -sf ipcop-pxe.1.4.11.model 01-00-90-27-92-44-bd

2.3.3. Konfiguration des DHCP-Servers

Der DHCP-Server wird zur Verteilung von IP-Adressen benötigt. An dieser Stelle wird auch die Adresse des TFTP-Servers mitgeteilt. Man kann auch einen anderen IPCop als DHCP-Server verwenden.

Die Konfiguration des DHCP-Servers findet man beim IPCop unter Dienste -> DHCP-Server im WebGUI des IPCops:

  • Aktivieren der Checkbox "BOOTP Clients zulassen:"

  • Feste IP-Adresse vergeben:

    • MAC-Adresse der Netzwerkkarte

    • Die IP-Adresse muss ausserhalb des dynamischen DHCP-Bereiches (Start/Endbereich) liegen, jedoch innerhalb des Netzbereiches.

    • Eintrag im Feld "next server": IP-Adresse des TFTP-Servers

    • Eintrag im Feld "filename": "pxelinux.0"

    • Das Feld "root-path" kann leer bleiben, wenn der TFTP-Server im chroot-Modus läuft.

Der TFTP-HPA-Server läuft im chroot-Modus in einem festgelegten Verzeichnis, wenn die Option -s angegeben wurde. Dies bietet mehr Sicherheit. In diesem Fall muss das Root-Verzeichnis nicht mit eingeschlossen werden.

Für weitere Informationen siehe: http://syslinux.zytor.com/pxe.php#tftp

Nachdem der neue IPCop installiert wurde, sollten vor dem normalen Boot-Vorgang folgende Konfigurationen geändert werden:

  • Deaktivierung des Boot-Agents auf der Netzwerkkarte

  • oder Deaktivierung der festen IP-Adresse im DHCP-Server

  • oder Löschung des Links bzw. des MAC-Files in /var/tftp/pxelinux.cfg

Die 2. und 3. Lösung verursacht beim Starten eine kleine Verzögerung, bis der PXE-Boot fehlschlägt.

2.3.4. Fehlersuche

Sicherstellen, dass der TFTP-Server läuft:

ps ax | grep [t]ftp

Benutzen Sie tcpdump auf einem anderen PC, welcher sich im gleichen Subnetz befinden muss:

  • Schreiben einer Log-Datei:

    tcpdump -i eth0 -n tcpdump.log

    Sie können diesen Vorgang mittels STRG-C stoppen.

  • Lesen der Log-Datei:

    tcpdump -r tcpdump.log

    (Zeigt nur die Kopfzeilen des Datenverkehrs.)

    tcpdump -Ar tcpdump.log

    (Zeigt den Datenverkehr im Detail. Dies ist eine gute Lösung zur Auswertung von Fehlermeldungen.)

Erste Konfiguration

Unabhängig davon, welches Installations-Medium sie nutzen, wird IPCop nun automatisch mit der Installation fortfahren und die Grund-Konfiguration erstellen.

[Warnung]Warnung

Wenn sie die erste Konfiguration abbrechen, bevor ein root Passwort gesetzt wurde, sind Sie nicht in der Lage, sich als root einzuloggen um das Setup abzuschließen. In diesem Fall können Sie Ihre Maschine neustarten und den sogenannten "single user" Modus betreten um Ihr root Passwort anzugeben. Bitte schauen Sie sich Verlust des "root" Passworts an.

Nach dem Neustart melden Sie sich als root an. Sie sind nun der der Lage alle Setup-Parameter zu überprüfen oder anzugeben, indem Sie in jedes Befehlsmenü gehen und die Parameter eintragen.

In der ersten Bildschirmanzeige können Sie Ihr Tastaturlayout auswählen.

In der nächsten Bildschirmanzeige werden Sie nach Ihrer Zeitzone gefragt.

Einige Benutzer belassen die Zeitzone auf London oder UTC. Dies ermöglicht Ihnen, dass die Hardwareuhr ihres PCs auf die lokalen Zeit eingestellt bleibt. Aber diese Einstellung bringt auch einige Nachteile mit sich:

  • Sie sind dann z.B. nicht in der Lage, die Uhr Ihres PCs, wie auf der Seite Zeitserver (Administrationshandbuch) beschrieben, nach einem Zeitserver zu stellen.

  • Wenn Ihre Zeitzone von Sommer- nach Winterzeit wechselt, müssen Sie die Uhrzeit Ihres IPCop PCs manuell umstellen. Wenn Sie also die korrekte Zeitzone auswählen, wird IPCop die Uhrzeit automatisch umstellen.

Ihr IPCop-Rechner braucht auch einen Hostnamen...

Sie können den Standardwert ipcop benutzen. Möchten Sie ein VPN mit mehreren IPCop-Rechnern aufbauen und verwalten, sollten Sie jeder Maschine einen eindeutigen Namen geben, wie z.B. ipcop1, ipcop2, etc. oder millie, steve, bob, usw.

Sie müssen nun den Domänennamen des IPCop angeben.

Sollten sie einen Domänennamen haben geben sie in hier ein. Wenn sie keinen haben oder keinen verwenden möchten akzeptieren sie einfach den Standardwert localdomain. Falls sie planen ein VPN einzurichten möchten sie vielleicht zusätzliche Angaben vor localdomain wie z.B. x.localdomain oder y.localdomain.

Vielleicht ist es auch eine schlechte Idee ihren realen Domainnamen zu diesem Zweck zu benutzen, es sei denn sie wollen ihren offiziellen name Server anstelle des IPCop Domain name Server verwenden.

Dieser Domainname wird automatisch als Domainname Suffix des IPCop DHCP Servers gesetzt. Bitte schlagen sie bei Bedarf in der DHCP Server

Setup fährt mit der ISDN-Konfiguration fort.

Auf den nächsten Bildschirmanzeigen können Sie Ihre ISDN-Karte konfigurieren. Wenn Sie keine ISDN-Karte verwenden, wählen Sie ISDN deaktivieren, und das Setup geht weiter mit den Netzwerk-Einstellungen.

Wenn Sie eine ISDN-Karte oder -Modem verwenden, wählen Sie bitte das Protokoll und das Land aus.

Nach der Einstellung des ISDN-Protokolls und der Landes können Sie jetzt bei Bedarf weitere Treiberparameter für Ihre ISDN-Karte angeben, welche vor allem bei ISA-Karten erforderlich sind. Wählen Sie hierfür Zusätzliche Modulparameter angeben.

Wählen Sie als nächstes den Typ Ihrer ISDN-Karte aus.

IPCop wird versuchen, die Karte automatisch zu erkennen, wenn Sie AUTOMATISCHE ERKENNUNG wählen. Wenn nötig, können Sie die Karte aber auch manuell auswählen.

Der letzte Schritt, bei der Einrichtung Ihrer ISDN-Karte, ist die Eingabe der Telefonnummer.

Als nächstes werden die Netzwerkschnittstellen konfiguriert. Das Menü Netzwerkkonfiguration führt mit Ihnen die notwendigen Einstellungen durch.

Wie bereits erwähnt, unterstützt IPCop vier Netzwerk-Schnittstellen: ROT, GRÜN, BLAU und ORANGE.

Die ROTE Schnittstelle ist für die Anbindung des feindlichen Netzwerk vorgesehen und kann über Ethernet, ISDN, analogem oder ADSL-Modem angebunden werden. In diesem Dialogfenster können Sie Ihren Netzwerkkonfigurationstyp festlegen.

Wenn Sie die Auswahl mit Ok bestätigen, gelangen Sie wieder Sie zum Menü Netzwerkkonfiguration zurück. Springen Sie mit dem Tabulator zu Treiber- und Karten-Zuordnungen, wählen diesen Punkt an und drücken Sie die Enter-Taste.

Wenn Sie ein ORANGENES und/oder BLAUES Netzwerk haben, wiederholen sie die Konfigurationsschritte, die sie zur Einrichtung des GRÜNEN Netzwerks verwendet haben. Sollte ihre ROTE Schnittstelle eine Ethernet-Verbindung verwenden, richten sie diese auch ein.

Wenn Sie hingegen für Ihre ROTE Schnittstelle keine Ethernetverbindung verwenden, können Sie die folgenden Erläuterungen bis zur Konfiguration der zusätzlichen Netzwerkschnittstellen überspringen.

Nachdem Sie Ihre Ethernet-Karte und den dazugehörigen Treiber für das ROTE Netzwerk konfiguriert haben, gelangen Sie durch Anwahl von Fertig wieder zum Menü Netzwerkkonfiguration zurück.

Als nächstes wählen Sie den Menüpunkt Adress-Einstellungen an, um festzulegen, wie den Schnittstellen deren IP-Adressen zugewiesen werden sollen. Diese Zuweisung ist abhängig von Ihrem ISP und Ihrer Verbindungsart.

Die statische Adressierung wird benutzt, wenn der ISP eine feste (permanente) IP-Adresse zur Verfügung stellt. Bitte geben Sie diese in der Abfrage für die IP-Adresse ein. IPCop wählt dann automatisch dazu eine Subnetzmaske aus. Wenn nötig können Sie diese verändern.

DHCP wird verwendet, wenn der ISP von Ihnen eine automatische Adressenvergabe verlangt.

Einige ISPs verlangen von Ihnen die Angabe eines Rechnernamens, damit dessen DHCP-Dienst funktionert. Diese Name ist wahrscheinlich NICHT identisch mit dem Hostnamen, den Sie für Ihren IPCop PC verwenden. Wenn eine solche Namensangabe erforderlich ist, können dazu den ersten Teil des Domain-Namens verwenden, den Sie während der Datensammlung im Menü Überprüfung Ihres DHCP-Hostnamens in Erfahrung gebracht haben.

Wenn Sie eine PPPoE-Anbindung haben, wird Ihnen der ISP beim Verbindungsaufbau alle notwendigen Informationen automatisch übermitteln, so dass keine weiteren Eingaben erforderlich sind.

Wenn Sie eine PPTP-Anbindung verwenden, müssen Sie Ihre ROTE Netzwerkadresse und Subnetzmaske angeben, genau so wie auch im Fall einer statischen Adressierung (feste IP). Diese Adresse ist fast immer 10.0.0.150 und die Subnetzmaske 255.255.255.0.

Wenn Sie eine ORANGE oder BLAUE Schnittstelle einrichten wollen, dann erfolgt deren Konfiguration in gleicher Weise wie die der GRÜNEN Schnittstelle. Alle drei Netzwerkadressen müssen in anderen Netzwerken sein, z.B. 192.168.1.1, 192.168.2.1, 192.168.3.1.

Die GRÜNE Schnittstelle könnten Sie jetzt auch über das Schnittstellen-Menü rekonfigurieren.

Wenn Sie fertig sind, drücken Sie die Ok, um zum Menü Netzwerkkonfiguration zurückzukehren.

Der nächste Punkt Netzwerkkonfiguration ermöglicht Ihnen die Einstellung der IP-Adressen der DNS-Server Ihres ISP und Ihres Standardgateways. Diese Adressen brauchen Sie nur einzutragen, wenn sie von Ihrem ISP eine feste IP-Adresse für Ihre ROTE Schnittstelle zugeordnet bekommen haben.

[Warnung]Warnung

Wenn sie IPCop mit einer statischen IP Adresse einrichten, dann fügen Sie DNS Server oder ein Standart Gateway indem sie diesem Dialog benutzen. Sollten Sie anschließend das ROTE Netzwerk umstellen, so das eine andere Methode zum Erhalten der Adresse benutzt wird, werden die Server in diesem Dialog, die von ihrem ISP zugewiesenen, überschreiben. Einerseits ist dies ein guter Weg Parameter zu überschreiben, andererseits kann dies Verwirrung stiften. Bei einem Wechsel von statischen IP Adressen, denken sie daran diese Werte zu löschen.

Wenn Sie auf Ihrem IPCop-Rechner einen DHCP-Server-Dienst einrichten möchten, können Sie dies jetzt tun. Ansonsten lassen Sie die Option deaktiviert und fahren mit den Passwort-Einstellungen fort.

[Anmerkung]Anmerkung

Sollten sie keinen DHCP-Server einrichten wollen, makieren sie "aktiviert" nicht und wählen OK an. Mit Abbrechen würden sie die Erste Konfiguration abbrechen.

Das DHCP (dynamic host configuration protocol) erlaubt es Ihrem Rechner, alle Netzwerk-Schnittstellen während des Bootvorgangs zu konfigurieren.

Sie können auch abwarten und einen DHCP-Server auf Ihrem IPCop-Rechner erst nach Abschluß der Installation einrichten. Eine Anleitung für die browserbasierte Aktivierung und Konfiguration des DHCP-Servers finden Sie im Administration Manual.

Um den DHCP-Server zu aktivieren, müssen Sie aktiviert ankreuzen.

Die Anfangs- und Endadressen definieren den Bereich von IP-Adressen, den der DHCP-Server auf dem IPCop-Rechner den anfragenden Rechnern in Ihrem Netzwerk zuweisen kann. Verwenden Sie dazu nicht den gesamten möglichen Adressbereich Ihres Netzwerks. Lassen sie zumindest die Adresse des IPCop aus dem Adressbereich. Da Sie zu einem späteren Zeitpunkt vielleicht Server (ftp, web, sendmail o.ä.) in Ihrem GRÜNEN Netzwerk einrichten möchten, die eine feste Adresse in diesem Bereich benötigen, sollten Sie praktischerweise zumindest einige Adressen frei lassen. Diesen Rechnern sollte eine feste IP-Adresse außerhalb des DHCP-Bereiches zugewiesen werden können. Ein guter Adressbereich wäre z.B. von 192.168.1.200 bis 192.168.1.250, dieser ermöglicht 51 Computern gleichzeitig im GRÜNEN Netzwerk zu sein.

Zusätzlich zu den IP-Adressen teilt der DHCP-Dienst auch bis zu zwei DNS-Server-Adressen mit. Wenn Sie IPCop als DNS-Proxy verwenden möchten, sollte die erste DNS-Server-Adresse die Adresse Ihres IPCop-Rechners sein. Die zweite DNS-Adresse ist optional. Wenn Sie den IPCop-DNS-Proxy nicht verwenden wollen und eine feste IP-Adresse haben, tragen Sie hier die gleiche DNS-IP-Adresse ein wie die bei der Konfiguration Ihrer ROTEN Schnittstelle.

Der DHCP-Dienst vergibt leihweise dynamische IP-Adressen, die nach einer einstellbaren Zeit ungültig werden. Die Voreingestellte Haltezeit ist die Dauer in Minuten, nach der eine dynamisch vergebene IP-Adresse wieder ungültig wird. Wenn eine dynamische vergebene Adresse ungültig wird, beantragt der Rechner, dem die IP-Adresse geliehen wurde, automatisch die Verlängerung beim DHCP-Server. Sollte dabei die Maximale Haltezeit überschritten sein, darf der Rechner keine weitere Verlängerung der Haltezeit für diese IP-Adresse beantragen, aber der DHCP-Server würde die „Verleihdauer“ für diese Adresse weiterhin verlängern.

Schließlich können Sie im Punkt Domainnamen-Suffix noch einen Suffix eingeben, der automatisch an DNS-Abfrage angehängt wird, wenn der angefragte selbst Name nicht gefunden wird. Viele ISP definieren von sich aus Domainnamen-Suffixe und weisen dann den Benutzer darauf hin, „mail“, „news“ oder „www“ einzugeben, um zum entsprechenden Dienst zu gelangen. Für den Benutzer transparent wird dann eine DNS-Abfrage zuerst z.B. an „mail“ gesendet. Wenn der DNS-Server diesen Namen nicht zu einer IP-Adresse auflösen kann, wird die nächste Anfrage um den Domainnamen-Suffix ergänzt, z.B. „mail.xxx.yyy.zzz.com“. Um DNS-Abfragen möglicht schnell bearbeiten zu lassen, können Sie hier Ihren Domainnamen-Suffix eingeben, sofern er Ihnen bekannt ist.

Wenn Sie einen längeren Suffix eingeben wollen, als in dieser Eingabezeile Platz ist, können Sie im Administration Manual nachschlagen, wie Sie praktisch unbegrenzt lange Suffixe eintragen können.

Wenn Sie mit der DHCP-Server-Konfiguration fertig sind, wählen Sie Ok.

Im nächsten Schritt setzen Sie die Passwörter für root, den WebGUI-Administrator (admin) und das Backup-Passwort.

Wenn Sie mit Linux vertraut sind, wollen Sie vielleicht auch das IPCop-System warten. Nur ein Benutzer, nämlich „root“ wird konfiguriert. Das Passwort ist zweimal einzugeben. Seien sie vorsichtig, der Benutzer root hat Vollmacht auf der Firewall. Wenn ein unbefugter Dritter das Passwort erlangt, könnte er ziemlichen Unfug damit anstellen. Standardmäßig kann sich root nur über die Konsole in das System einloggen.

Der Cursor wird sich bei der Eingabe des Passworts nicht bewegt. Das Passwort wird trotzdem eingegeben.

Als nächstes werden Sie aufgefordert das Passwort für den WebGUI-Administrator (admin) einzugeben.

Beim Zugang zu den webbasierten IPCop-Administrationsseiten werden Sie zur Eingabe dieser Benutzer-ID und des zugehörigen Passworts aufgefordert. Im Gegensatz zu dem root-Passwort machen manche Browser Probleme mit Sonderzeichen. Beschränken sie ihr Passwort für den admin auf alphanumerische Zeichen.

Zum Schluss werden Sie noch aufgefordert das Backup-Passwort (backup) einzugeben, welches für die Wiederherstellung eines System-Backups von USB-Sticks oder andern Medien benötigt wird. Die Prozedur ist im Administrationshandbuch . beschrieben.

Herzlichen Glückwunsch !

Sie haben die Installation ihres IPCop erfolgreich abgeschlossen. Bitte drücken Sie nun Ok, um den Rechner neu zu starten. Nach dem Neustart werden Sie sicher noch einige administrative Aufgaben vornehmen müssen, um die Konfiguration abzuschliessen. Eine vollständige Beschreibung der Verwaltung des IPCop PC finden Sie im Administration Manual.

Nach der Installation

4.1. Wählen Sie Ihre Standardkernelkonfiguration

IPCop benutzt den GRUB boot loader, um Ihnen eine Auswahl an Kernelkonfigurationen zu geben. Während des Bootens wird der "GRUB splash screen" erscheinen.

Sie haben 5 Sekunden Zeit, um eine Taste zu drücken, bevor GRUB Ihre Standardkonfiguration booten wird. Wenn Sie keine Konfiguration manuell auswählen, wird die Standardkonfiguration "IPCop" als Konfiguration zum Booten verwendet. Falls gewünscht, benutzen Sie die Pfeiltasten, um eine andere Konfiguration zu wählen. Bevor Sie dies tun, sollten Sie sich versichern, dass Sie Ihr System mit dieser Konfiguration booten können.

Die Failsafe Konfiguration

Die "IPCop" Konfiguration kann als Failsafe Konfiguration betrachtet werden. Wenn Sie ein Problem mit einer anderen Kernelkonfiguration haben, starten Sie die "IPCop" Konfiguration.

GRUB's Konfigurationen sind "sticky". Mit anderen Worten: GRUB merkt sich die zuletzt gewählte Konfiguration und wird diese bis zur Auswahl einer anderen, als Standardkonfiguration zum Booten verwenden.

Es gibt vier Kernelkonfigurationen zur Auswahl:

  • IPCop

    Diese Kernelkonfiguration passt für Ein-Prozessor-Systeme mit Motherboards, welche das "Advanced Configuration and Power Interface" (ACPI) nicht unterstützen. Diese Konfiguration stellt die Basiskonfiguration da, die auf nahezu allen Systemen funktionieren sollte, selbst wenn diese eine der nachfolgenden Konfigurationen unterstützen würden.

  • IPCop SMP

    Diese Kernelkonfiguration passt für Mehr-Prozessorsysteme, "Symetric Multiprocessing". Wählen Sie diese Konfiguration, wenn Ihr Motherboard mit mehr als einen Prozessor bestückt ist. Wenn Ihr Prozessor sog. "hyperthreading" unterstützt, sollten Sie den "ACPI HT Kernel" probieren.

  • IPCop (ACPI enabled)

    Das "Advanced Configuration and Power Interface" (ACPI) erlaubt IPCop die Überwachung von typischen Hardwareparametern wie Leistung oder Prozessortemperatur. Wenn nötig, wird IPCop das System abschalten, um Ihr Motherboard und den Prozessor vor Defekten zu schützen. ACPI benötigt einen ACPI-fähigen Chipsatz auf Ihrem Motherboard, ein ACPI-fähiges BIOS und die Benutzung der "IPCop (ACPI enabled)" Konfiguration. Wenn Sie nicht wissen, ob Ihr Motherboard ACPI unterstützt, werfen Sie einen Blick in Ihr Motherboard- oder Computerhandbuch. Wenn Sie es dort nicht finden, dann versuchen Sie mir einer der "ACPI enabled" Konfigurationen zu booten. Danach können Sie mit folgender Eingabe (als root angemeldet) prüfen, ob die ACPI-Treiber richtig arbeiten:

    # dmesg|grep ^ACPI:

    Prüfen Sie, ob die Ausgabe keine Fehler (errors) enthält. Sollte ein Fehler auftreten, starten Sie neu und wählen eine andere Konfiguration.

  • IPCop SMP (ACPI HT enabled)

    Diese Kernelkonfiguration unterstützt Prozessoren mit "hyperthreading" (HT), SMP und ACPI. Manche Intel Prozessoren unterstützen "hyperthreading", was als eine SMP Konfigration betrachtet wird.

    Sobald Sie sich für eine Konfiguration entschieden haben, drücken Sie Enter, um den Bootvorgang zu starten.

4.1.1. Die Standardkonfiguration ändern

"Aber ich will, dass mein IPCop automatisch bootet!" Die Kernelkonfiguration, die als letztes ausgewählt wurde, wird von GRUB als Standardkonfiguration betrachtet und bei jedem Bootvorgang verwendet.

4.2. Den Zugriff auf IPCop testen

Stellen Sie wie folgt sicher, dass Sie IPCop mittels eines Webbrowsers erreichen können. IPCop benutzt andere Ports, als die allgemein bekannten, um Ihnen zu ermöglichen, dass Sie diese zu evtl. existierenden Servern im ORANGENEN Netz weiterleiten können. Die folgenden Beispiele gehen davon aus, dass Sie das GRÜNE Netz mit IP 192.168.1.1 konfiguriert haben. Falls nicht, ersetzen Sie die IP-Adresse durch die von Ihnen verwendete. Prüfen Sie nun, ob Sie den IPCop aus dem GRÜNEN Netz anpingen können. Unter Windows geben Sie bitte folgendes ein:

ping 192.168.1.1

Unter *nix oder MAC:

ping -n 192.168.1.1

IPCop's DNS proxy ist noch nicht aktiviert (WebGUI), so dass der obige Ping-Befehl absichtlich stoppen wird den vollen Hostnamen des IPCop PC zu ermitteln.

Wenn Ping funktioniert, probieren Sie IPCop mittels eines Webbrowsers zu folgender URL zu erreichen:

http://192.168.1.1:81/

Als nächstes sollten Sie HTTPS (sicherer HTTP Port) durch Eingabe folgender URL probieren:

https://192.168.1.1:445/

4.3. Optional: Nicht benötigte Hardware entfernen

Wenn Sie mit Ihrer IPCop-Installation zufrieden sind, können Sie nun die nicht benötigte Hardware (Monitor, CD-Rom Laufwerk) aus Ihrem IPCop PC entfernen. Ihr Diskettenlaufwerk sollten Sie eingebaut lassen, um die Backup-Funktion des IPCop nutzen zu können. Sollte es Ihr IPCop PC erlauben, dann schalten Sie im BIOS die Tastaturerkennung ab. Nun können Sie auch die Tastatur entfernen.

Wenn Sie CD-Laufwerk und/oder Floppylaufwerk ausbauen, denken Sie daran die Bootreihenfolge im BIOS zu ändern, so dass das System zuerst von der Festplatte bootet.

Sollten Sie Ihr Diskettenlaufwerk, wegen der Backupfunktion, eingebaut lassen, denken Sie daran, die Bootreihenfolge so einzustellen, dass das System nicht von Diskette bootet.

Kurzeinführung in die Heimvernetzung

Ausführlichere Tutorials über Heimvernetzung lassen sich im Internet finden. Ein guter Start wäre z.B. beim "Linux Documentation Project" der "Network Administrators Guide" (eng.) [Link einfügen].

IPCop benötigt Ethernet Verbindungen für Ihr GRÜNES und für auch für die optionale ORANGENE und BLAUE Schnittstelle. Dieses Appendix behandelt sehr einfach die Verkabelung und die IP-Adressierung, so dass Sie mit der Installation des IPCop keine Probleme haben sollten.

A.1. Verkabelung

Sofern Sie keine sehr alten Ethernet Netzwerkkarten (NICs) einsetzen, sollten Ihre NICs eine oder zwei Geschwindigkeiten unterstützen: 10megaBit (10BaseT) und/oder 100megaBit (100BaseT). Sie erkennen diese Karten an der quadratischen RJ45 Anschlussbuchse. Sollte Ihre Karte einen anderen Anschluss haben, wenden Sie sich an den Hersteller (oder dessen Webseite).

Sofern Sie keine sehr schnelle Breitbandanbindung ans Internet haben, werden 10BaseT NICs ausreichend sein.

Verbinden Sie Ihre im GRÜNEN Netz befindlichen Computer mit der GRÜNEN NIC des IPCop. Wenn Sie auch ORANGE und BLAU installiert haben, dann sollten diese auch entsprechen angeschlossen werden.

A.1.1. Nur jeweils einen Computer in GRÜN, ORANGE oder BLAU

Sollte nur ein Computer je Netz zum Einsatz kommen, reicht ein einfaches "Single category 5 (CAT5) crossover" Kabel. Crossoverkabel erkennen Sie, wenn Sie die RJ45-Stecker eines Kabels nebeneinander halten und sich die einzelnen farbigen Litzen an unterschiedlichen Stellen befinden. Sollten die Litzen jedoch gleich angeordnet sein, haben Sie kein Crossoverkabel, sonder ein sog. "straight through" Kabel (siehe Mehrcomputer-Netzwerke).

Verbinden Sie nun den IPCop PC und Ihre(n) Computer mittels des Crossoverkabels. Somit haben Sie schon ein einfaches Netzwerk aufgebaut.

A.1.2. Mehrcomputer-Netzwerke

Wenn Sie mehr als den IPCop und einen Computer im selben Netzwerk installieren möchten, benötigen Sie zusätzlich noch einen Hub oder Switch. Das Ethernetprotokoll sendet auf einem einzelnen Port die anfallenden Nachrichtenpakete an alle im Netzwerk befindlichen Computer. Die Computer müssen in der Lage sein die für sie bestimmten Pakete herauszufiltern und auch ihrerseits Pakete an die anderen Computer im Netzwerk zu senden.

Wenn Sie einen Hub oder Switch haben, müssen Sie jeden Computer, der sich in diesem Netzwerk befinden soll an dieses Gerät mittels "straight through category 5 (CAT5)" Kabeln anschliessen. Stellen Sie sicher, dass es sich bei allen verwendeten Kabel um "straight through" Kabel handelt. Halten Sie die RJ45-Stecker eines Kabels nebeneinander und vergleichen Sie die Anordnung der farbigen Litzen. Wenn die Litzen an beiden Steckern an den gleichen Stellen befinden, haben Sie ein "straight through" Kabel.

A.2. IP Addressierung

A.2.1. Format einer Adresse

Eine IP Adresse besteht aus vier Zahlen von je 0 bis 255, die mit Punkten verbunden werden, z.B. 192.168.1.1 . Dieses Format wird eine punktierte IP Adresse genannt. Jede Zahl entspricht einem Byte. Jeder Computer in Ihrem Netzwerk benötigt eine andere IP Adresse. Abhängig von Ihrer Netzkonfiguration benötigt der IPCop zwischen einer und vier unterschiedlichen IP Adressen.

A.2.2. Netze

Ein IP Netz besteht aus zwei oder mehr Computern mit IP Adressen im gleichen Bereich. Die Subnetzmaske legt den Bereich fest. Obwohl sie nicht mehr vorgeschrieben sind, gibt es einige Standard-Subnetzmasken, die auf der ersten Zahl der IP Adresse basieren.

A.2.3. Klassen der IP Adressen

Die IP Adressen werden in drei Klassen aufgeteilt. Beim Klasse A Netz ist das erste Byte im Bereich von 1 bis 126 (127 ist speziell). Diese Netze, mit der Subnetzmaske 255.0.0.0, können über 16 Million Computer beinhalten.

Computer mit einer Adresse 4.x.y.z, sind in einem Klasse A Netz, während Computer mit der Adresse 5.x.y.z in einem anderen Klasse A Netz sind. Die IP Adresse x.0.0.0 kennzeichnet das gesamte Netz (Netz Adresse) und eine IP Adresse x.255.255.255 kennzeichnet eine Sendung zu allen Computern im Netz (Broadcast Adresse).

Das erste Byte der B Netze reicht von 128 bis 191. Diese Netze mit der Subnetzmaske 255.255.0.0 können über 65 tausend Computer im gleichen Netz haben. Computer mit der Adresse 190.4.y.z sind in einem Netz, während Computer mit der Adresse 190.5.y.z in einem anderen sind. Die IP Adresse x.y.0.0 ist die Netz Adresse und die IP Adresse x.y.255.255 ist die Broadcast Adresse.

Das erste Byte beim C Netz reicht von 192 bis 203. Diese Netze mit der Netzmaske 255.255.255.0 können 254 Computer im gleichen Netz haben. Computer mit der Adresse 193.4.5.z sind in einem Netz, während Computer mit der Adresse 193.4.6.z in einem anderen sind. Die IP Adresse x.y.z.0 ist die Netz Adresse und die IP Adresse x.y.z.255 ist die Broadcast Adresse.

A.2.4. Private IP-Adress Bereiche

Warum sollte man sich dafür interessieren?

Wie sich die privaten IP Adressen zusammensetzten, sind in der Referenz http://www.ietf.org/rfc/rfc1918.txt verdeutlicht. Wenn die Pakete, die nach oder von einem dieser Bereiche adressiert sind, in das Internet gesendet werden, werden diese Pakete weggeworfen.

Eine der Eigenschaften des IPCops ist Port Address Translation (PAT). Mit dieser Technik wird jede Kommunikation im Internet auf die ROTE IP Adresse des IPCops umgesetzt. Um die GRÜNEN, BLAUEN und/oder ORANGEN Netze vor Angriffen zu schützen, sollten man private Adressbereiche für eigene Netzwerke benutzen. Die GRÜNEN, BLAUEN und ORANGEN Netze müssen unterschiedliche Netz Adressen haben.

Die privaten Adressbereiche sind:

  • 10.0.0.0 - 10.255.255.255 (Klasse A)

  • 172.16.0.0 - 172.31.255.255 (Klasse B)

  • 192.168.0.0 - 192.168.255.255 (Klasse C)

Man kann jedes Netz mit einer eigenen Netzwerkmaske unterteilen. Z.B. wenn man GRÜNE und ORANGE Netze im gleichen privaten Adressbereich haben möchte und nicht weit mehr als 32 tausend Computer je Netz benötigt, kann man 172.16.0.0 mit einer Netzwerkmaske von 255.255.128 als GRÜNES Netz und von 172.16.128.0 mit der gleichen Netzwerkmaske als ORANGES Netz verwenden.

Probleme während der Installation

B.1. Versteckte Konsolenbildschirme

Während der Installation gibt es zwei versteckte Konsolenbildschirme, die für die Fehlersuche verwendet werden können. Der Bildschirm, den Sie normalerweise während der Installation sehen, kann durch Drücken der Tasten ALT+F1 erreicht werden.

Wenn Sie ALT+F2 drücken, kommen Sie in den zweiten Bildschirm, der detaillierte Ausgaben der, während der Installation verarbeiteten, Linuxbefehle anzeigt.

Nachdem IPCop auf Ihrer Festplatte installiert wurde, werden einige der letzten Bootbefehle durch Drücken von ALT+F12 angezeigt. Falls IPCop nicht korrekt gestartet werden konnte, haben Sie vielleicht einen Hardwaredefekt. Dann lohnt sich evtl. ein Blick in diesen Bildschirm.

Wenn Sie ALT+F3 drücken, gelangen Sie zu einem Linux Command prompt.

Während des ersten Teils der Installation, bis das komplette Dateisystem des IPCop aufgebaut wurde, gibt es nur wenige Befehle, die Sie hier eingeben können. Tippen Sie

# help

um eine Liste der Shell built-in Befehle aufzurufen und

# ls /bin

um eine Liste von individuellen, sonstigen Befehlen angezeigt zu bekommen.

B.2. Verlust des "root" Passworts

Wenn Sie die Installation unterbrechen oder Ihr "root" Passwort verloren haben, können Sie diese Probleme beheben, indem Sie IPCop im "Single user mode" booten. Hierzu müssen Sie einen Monitor und eine Tastatur am IPCop PC angeschlossen haben und das System neu starten. Während des Neustarts, wenn der GRUB splash screen angezeigt wird, drücken Sie bitte "a". Eine lange Kommandozeile wird angezeigt. Der Courser sollte am Ende dieser Zeile positioniert sein. Drücken Sie jetzt die Space-Taste (Leerzeichen) und tippen Sie:

single

Drücken Sie jetzt Enter. IPCop wird jetzt booten. Danach bekommen Sie einen command prompt und sind als "Root" angemeldet. Tippen Sie jetzt:

passwd

Sie werden nun aufgefordert das "root" Passwort zweimal einzugeben. Als nächstes starten Sie das System neu durch Eingabe von:

/usr/local/bin/ipcopreboot boot

IPCop auf CompactFlash Karten

C.1. Warum auf CompactFlash Karten?

Möchten Sie Ihre IPCop Maschine als lüfterlosen Netzwerk-PC betreiben? Viele IPCop-Anwender entfernen die CD- und Floppy-Laufwerke, Tastaturen und Monitore Ihrer IPCop-Firewalls. Warum nicht auch die Festplatte?

Die CompactFlash Karte simuliert die Festplatte. Das Resultat ist ein sehr leiser PC, ohne Festplatten- und oftmals auch ohne Lüftergeräusch. Auf CompactFlash basierende Systeme laufen für gewöhnlich auf kleinen Mini-PCs, die sich mit mehreren Netzwerk-Karten sehr gut als IPCop-Maschinen eignen. Allerdings sind solche Geräte deutlich teurer, als ausrangierte PCs.

Ein weiterer Vorteil solch kleiner Geräte ist ihre Mobilität. Im Reisegepäck dienen sie im Hotelzimmer als vorgeschaltete Firewall für den Laptop.

Da CompactFlash Karten nur eine begrenzte Zahl von Schreibzyklen besitzen, stellt sich die Frage nach der Lebensdauer. Die CompactFlash Installation verändert die Attribute des Dateisystems, so dass die letzte Zugriffszeit nicht protokolliert wird. Logdateien und temporäre Dateien werden auf einer RAM-Disk erstellt. Die Logdateien werden wöchentlich komprimiert, beim Herunterfahren des Systems und wenn der freie Platz auf der RAM-Disk geringer wird. Mit dieser Strategie lässt sich eine Lebensdauer der CompactFlash Karte von 5 Jahren erreichen.

C.2. Weiterführende Links zu CompactFlash Karten

Im deutschen IPCop-Forum (http://www.ipcop-forum.de) finden sich viele sehr informative Beiträge zum Betrieb von IPCop auf Compact Flash Karten, z.B.:

Schreibzugriffe auf CF-Karte minimieren

Vorgefertigte Images für CF-Karten

Swap-Diagramm bei CF-IPCop deaktivieren

C.3. Überblick

Folgendes ist nötig, um IPCop auf einer CompactFlash Karte zu betreiben:

  • Eine CompactFlash Karte

  • Einen CompactFlash Kartenleser, um die Karte zu beschreiben

  • Wenn Sie das Image selbst erstellen wollen:

    • Installieren Sie IPCop auf einem vergleichbaren PC oder Simulator mit Hilfe der Installations-CD

    • Laden Sie sich die Dateien aus dem CVS-Verzeichnis ipcop/tools/mkflash herunter und übertragen Sie sie auf den IPCop

    • Loggen Sie sich als root auf dem IPCop ein und führen Sie das Script mkflash aus

    • Übertragen Sie die Image-Datei flash.img auf den PC mit dem CF-Kartenleser

  • Schreiben Sie die Image-Datei flash.img mit Hilfe des CompactFlash Kartenlesers auf die CompactFlash Karte

  • Installieren Sie die CompactFlash Karte und booten Sie IPCop

  • Führen Sie die Zuordnung der Netzwerk-Karten durch

C.4. CompactFlash Installationsschritte

C.4.1. Ziel-PC

Sie müssen ermitteln, unter welcher Gerätebezeichnung die CompactFlash Karte in Ihrem PC laufen wird ( /dev/hda, /dev/hdb, /dev/sda, ...)

IPCop unterstützt CompactFlash Karten mit 128 MB, 256 MB, 512 MB und 1 GB. Je größer die Karte, desto mehr Logdaten können gespeichert werden.

Die CompactFlash Version von IPCop benutzt eine 64 MB RAM Disk zum Ablegen der Logdaten, bis sie komprimiert und auf die CompactFlash Karte geschrieben werden. Die RAM Disk wird auch für den Proxy Cache benutzt. Ermitteln Sie, wie viel Speicherplatz Sie für die RAM Disk benötigen. 128 MB werden wahrscheinlich ausreichen.

Da IPCop ein OpenSource Projekt ohne kommerziellen Nutzen ist, geben wir keine Empfehlungen für PCs. Dazu gibt es einige Diskussionen in den IPCop Mailing-Listen.

Wenn Sie ein fertiges Image aus dem Internet verwenden wollen, können Sie die Abschnitte zur Erzeugung des CompactFlash Images überspringen.

C.4.2. IPCop installieren

Als nächstes benötigen Sie ein laufendes IPCop-System mit einer mindestens 500 MB großen Festplatte. Dieses sollte vorzugsweise auf dem Zielrechner oder einem identischen Rechner installiert werden.

Für diese vorbereitende IPCop-Installation kann auch ein vom Original abweichender, physischer oder virtueller PC genutzt werden. In diesem Fall sollten Sie sich über die Hardwareunterschiede bewusst sein. Gegebenenfalls sind dann manuelle Änderungen auf dem Zielsystem nötig.

Wenn Sie einen bereits existierenden IPCop-PC verwenden, sollten zuvor alle Log-Dateien und die Cache-Dateien von Snort gelöscht werden. mkflash würde diese Dateien sonst auf die Compact Flash Karte schreiben. Im späteren Betrieb mit der Compact Flash Karte werden diese Dateien in einer RAM Disk gehalten.

Der einfachste und schnellste Weg, IPCop zu installieren, ist die Verwendung eines bootfähigen CD-ROM Images.

C.4.3. mkflash und zugehörige Dateien

Die zur Erstellung eines Compact Flash Images nötigen Dateien können aus dem CVS-Archiv auf SourceForge.net heruntergeladen werden. Gehen Sie dazu mit Ihrem Internet Browser auf die mkflash CVS-Seiten von IPCop: http://ipcop.cvs.sourceforge.net/ipcop/ipcop/tools/mkflash/?pathrev=IPCOP_v1_4_0 .

C.4.4. mkflash auf den IPCop übertragen

Stellen Sie sicher, dass ssh auf dem IPCop-PC aktiviert ist (siehe IPCop Administrations-Handbuch). Übertragen Sie die mkflash-Dateien in das Home-Verzeichnis von root.

C.4.5. mkflash ausführen

Loggen Sie sich auf dem IPCop als root ein. Das Script mkflash muss zunächst als ausführbare Datei gekennzeichnet werden:

# chmod u+x mkflash

Starten Sie jetzt mkflash. Als Parameter müssen die Größe der Compact Flash Karte sowie die Gerätebezeichnung unter der die Karte später im IPCop laufen soll übergeben werden. Um z.B. ein Image für eine 128 MB große Compact Flash Karte zu erstellen, die als hdc laufen soll, geben Sie ein:

# ./mkflash 128 hdc

Wenn mkflash durchgelaufen ist, existiert die Datei /tmp/nnnflash.img. Diese Datei muss jetzt mittels scp (WinSCP) auf einen anderen PC übertragen werden, um sie auf die Compact Flash Karte zu schreiben.

C.4.6. Schreiben der Image-Datei auf die Compact Flash Karte

Verbinden Sie einen Compact Flash Kartenleser mit Ihrem PC und bestücken Sie ihn mit der Compact Flash Karte.

C.4.6.1. Schreiben der Compact Flash Karte unter *nix

Wenn Ihr PC unter *nix (UNIX, Linux, ...) läuft, müssen Sie ermitteln, unter welcher Gerätebezeichnung der Kartenleser anzusprechen ist.

Führen Sie df aus, um zu sehen, welche physikalischen Geräte verbunden sind und Dateisysteme enthalten. Von diesen aufgeführten Geräten darf keines für das untenstehende dd Kommando benutzt werden. Wenn Sie z.B. mehrere Dateisysteme unter /dev/hdan sehen, benutzen Sie nicht /dev/hda als Ziel für das dd Kommando.

Versuchen Sie, andere physikalische Geräte per mount einzubinden (/dev/hdn1, /dev/sdn1), um herauszufinden, unter welcher Gerätebezeichnung der Kartenleser anzusprechen ist. Wenn das geschehen ist, benutzen sie umount, um den Kartenleser wieder aus der Geräteliste zu entfernen.

Führen Sie dann folgendes Kommando aus:

# dd if=nnnflash.img of=/dev/hdn

Für /dev/hdn setzen Sie die Gerätebezeichnung Ihres Kartenlesers ein, wie Sie sie oben ermittelt haben.

Das Schreiben des Images auf die Compact Flash Karte kann einige Minuten dauern.

Wenn dd abgeschlossen ist, können Sie die Compact Flash Karte mounten und mit ls feststellen, ob die erste IPCop-Partition existiert. Anschließend die Compact Flash Karte wieder per umount aus dem System nehmen.

C.4.6.2. Schreiben der Compact Flash Karte unter Windows

Um ein Image unter Windows auf eine Compact Flash Karte zu schreiben, benötigen Sie ein entsprechendes Programm, z.B. physdiskwrite, erhältlich bei: http://www.m0n0.ch/wall/physdiskwrite.php

C.4.7. Compact Flash Karte installieren und booten

Jetzt kann die Compact Flash Karte in den PC installiert und gebootet werden. Wenn Fehlermeldungen auftreten, die besagen, dass der Kernel nicht geladen werden kann, wurde beim Aufruf von mkflash die falsche Gerätebezeichnung /dev/hda, /dev/hdb angegeben.

C.4.8. Setup aufrufen

Nach der frischen Installation muss noch die Zuordnung der Netzwerkkarten (NIC) und/oder des Modems vorgenommen werden. Dies gilt auch, wenn Sie ein fertiges Compact Flash Image aus dem Internet heruntergeladen haben.

Um dies zu korrigieren und die Passwörter anzupassen, müssen Sie sich auf dem IPCop als root einloggen und setup ausführen.

C.5. Backup der Compact Flash Karte mittels ssh

Die normalen Backup-Funktionalitäten des IPCop funktionieren auch bei einer Compact Flash Installation. Darüber hinaus kann es hilfreich sein, das komplette Image einer Compact Flash Karte zu sichern. Auf diese Weise kann eine neue Compact Flash Karte mit der vollständigen Konfiguration des IPCops erstellt werden.

Stellen Sie sicher, dass der ssh-Zugang aktiviert ist. Dann können Sie von einem anderen Unix oder Linux-PC (oder einer Cygwin-Installation unter Windows) folgendes Kommando ausführen:

# ssh -p 222 root@192.168.1.1 "dd if=/dev/harddisk" >backup.img

Dieses Kommando nutzt die Fähigkeit von ssh, direkt beim Aufruf mitübergebene Kommandos auszuführen. In diesem Fall wird dd aufgerufen, um das vollständige Abbild der Compact Flash Karte in die lokale Datei backup.img auf dem aufrufenden PC zu kopieren.

GNU Free Documentation License

Version 1.1, March 2000

Copyright (C) 2000 Free Software Foundation, Inc. 59 Temple Place, Suite 330, Boston, MA 02111-1307 USA Everyone is permitted to copy and distribute verbatim copies of this license document, but changing it is not allowed.

D.1. Preamble

The purpose of this License is to make a manual, textbook, or other written document free in the sense of freedom: to assure everyone the effective freedom to copy and redistribute it, with or without modifying it, either commercially or noncommercially. Secondarily, this License preserves for the author and publisher a way to get credit for their work, while not being considered responsible for modifications made by others.

This License is a kind of copyleft, which means that derivative works of the document must themselves be free in the same sense. It complements the GNU General Public License, which is a copyleft license designed for free software.

We have designed this License in order to use it for manuals for free software, because free software needs free documentation: a free program should come with manuals providing the same freedoms that the software does. But this License is not limited to software manuals; it can be used for any textual work, regardless of subject matter or whether it is published as a printed book. We recommend this License principally for works whose purpose is instruction or reference.

D.2. Applicability and Definitions

This License applies to any manual or other work that contains a notice placed by the copyright holder saying it can be distributed under the terms of this License. The Document, below, refers to any such manual or work. Any member of the public is a licensee, and is addressed as you.

A Modified Version of the Document means any work containing the Document or a portion of it, either copied verbatim, or with modifications and/or translated into another language.

A Secondary Section is a named appendix or a front-matter section of the Document that deals exclusively with the relationship of the publishers or authors of the Document to the Document's overall subject (or to related matters) and contains nothing that could fall directly within that overall subject. (For example, if the Document is in part a textbook of mathematics, a Secondary Section may not explain any mathematics.) The relationship could be a matter of historical connection with the subject or with related matters, or of legal, commercial, philosophical, ethical or political position regarding them.

The Invariant Sections are certain Secondary Sections whose titles are designated, as being those of Invariant Sections, in the notice that says that the Document is released under this License.

The Cover Texts are certain short passages of text that are listed, as Front-Cover Texts or Back-Cover Texts, in the notice that says that the Document is released under this License.

A Transparent copy of the Document means a machine-readable copy, represented in a format whose specification is available to the general public, whose contents can be viewed and edited directly and straightforwardly with generic text editors or (for images composed of pixels) generic paint programs or (for drawings) some widely available drawing editor, and that is suitable for input to text formatters or for automatic translation to a variety of formats suitable for input to text formatters. A copy made in an otherwise Transparent file format whose markup has been designed to thwart or discourage subsequent modification by readers is not Transparent. A copy that is not Transparent is called Opaque.

Examples of suitable formats for Transparent copies include plain ASCII without markup, Texinfo input format, LaTeX input format, SGML or XML using a publicly available DTD, and standard-conforming simple HTML designed for human modification. Opaque formats include PostScript, PDF, proprietary formats that can be read and edited only by proprietary word processors, SGML or XML for which the DTD and/or processing tools are not generally available, and the machine-generated HTML produced by some word processors for output purposes only.

The Title Page means, for a printed book, the title page itself, plus such following pages as are needed to hold, legibly, the material this License requires to appear in the title page. For works in formats which do not have any title page as such, Title Page means the text near the most prominent appearance of the work's title, preceding the beginning of the body of the text.

D.3. Verbatim Copying

You may copy and distribute the Document in any medium, either commercially or noncommercially, provided that this License, the copyright notices, and the license notice saying this License applies to the Document are reproduced in all copies, and that you add no other conditions whatsoever to those of this License. You may not use technical measures to obstruct or control the reading or further copying of the copies you make or distribute. However, you may accept compensation in exchange for copies. If you distribute a large enough number of copies you must also follow the conditions in section 3.

You may also lend copies, under the same conditions stated above, and you may publicly display copies.

D.4. Copying In Quantity

If you publish printed copies of the Document numbering more than 100, and the Document's license notice requires Cover Texts, you must enclose the copies in covers that carry, clearly and legibly, all these Cover Texts: Front-Cover Texts on the front cover, and Back-Cover Texts on the back cover. Both covers must also clearly and legibly identify you as the publisher of these copies. The front cover must present the full title with all words of the title equally prominent and visible. You may add other material on the covers in addition. Copying with changes limited to the covers, as long as they preserve the title of the Document and satisfy these conditions, can be treated as verbatim copying in other respects.

If the required texts for either cover are too voluminous to fit legibly, you should put the first ones listed (as many as fit reasonably) on the actual cover, and continue the rest onto adjacent pages.

If you publish or distribute Opaque copies of the Document numbering more than 100, you must either include a machine-readable Transparent copy along with each Opaque copy, or state in or with each Opaque copy a publicly-accessible computer-network location containing a complete Transparent copy of the Document, free of added material, which the general network-using public has access to download anonymously at no charge using public-standard network protocols. If you use the latter option, you must take reasonably prudent steps, when you begin distribution of Opaque copies in quantity, to ensure that this Transparent copy will remain thus accessible at the stated location until at least one year after the last time you distribute an Opaque copy (directly or through your agents or retailers) of that edition to the public.

It is requested, but not required, that you contact the authors of the Document well before redistributing any large number of copies, to give them a chance to provide you with an updated version of the Document.

D.5. Modifications

You may copy and distribute a Modified Version of the Document under the conditions of sections 2 and 3 above, provided that you release the Modified Version under precisely this License, with the Modified Version filling the role of the Document, thus licensing distribution and modification of the Modified Version to whoever possesses a copy of it. In addition, you must do these things in the Modified Version:

  1. Use in the Title Page (and on the covers, if any) a title distinct from that of the Document, and from those of previous versions (which should, if there were any, be listed in the History section of the Document). You may use the same title as a previous version if the original publisher of that version gives permission.

  2. List on the Title Page, as authors, one or more persons or entities responsible for authorship of the modifications in the Modified Version, together with at least five of the principal authors of the Document (all of its principal authors, if it has less than five).

  3. State on the Title page the name of the publisher of the Modified Version, as the publisher.

  4. Preserve all the copyright notices of the Document.

  5. Add an appropriate copyright notice for your modifications adjacent to the other copyright notices.

  6. Include, immediately after the copyright notices, a license notice giving the public permission to use the Modified Version under the terms of this License, in the form shown in the Addendum below.

  7. Preserve in that license notice the full lists of Invariant Sections and required Cover Texts given in the Document's license notice.

  8. Include an unaltered copy of this License.

  9. Preserve the section entitled History, and its title, and add to it an item stating at least the title, year, new authors, and publisher of the Modified Version as given on the Title Page. If there is no section entitled History in the Document, create one stating the title, year, authors, and publisher of the Document as given on its Title Page, then add an item describing the Modified Version as stated in the previous sentence.

  10. Preserve the network location, if any, given in the Document for public access to a Transparent copy of the Document, and likewise the network locations given in the Document for previous versions it was based on. These may be placed in the History section. You may omit a network location for a work that was published at least four years before the Document itself, or if the original publisher of the version it refers to gives permission.

  11. In any section entitled Acknowledgements or Dedications, preserve the section's title, and preserve in the section all the substance and tone of each of the contributor acknowledgements and/or dedications given therein.

  12. Preserve all the Invariant Sections of the Document, unaltered in their text and in their titles. Section numbers or the equivalent are not considered part of the section titles.

  13. Delete any section entitled Endorsements. Such a section may not be included in the Modified Version.

  14. Do not retitle any existing section as Endorsements or to conflict in title with any Invariant Section.

If the Modified Version includes new front-matter sections or appendices that qualify as Secondary Sections and contain no material copied from the Document, you may at your option designate some or all of these sections as invariant. To do this, add their titles to the list of Invariant Sections in the Modified Version's license notice. These titles must be distinct from any other section titles.

You may add a section entitled Endorsements, provided it contains nothing but endorsements of your Modified Version by various parties--for example, statements of peer review or that the text has been approved by an organization as the authoritative definition of a standard.

You may add a passage of up to five words as a Front-Cover Text, and a passage of up to 25 words as a Back-Cover Text, to the end of the list of Cover Texts in the Modified Version. Only one passage of Front-Cover Text and one of Back-Cover Text may be added by (or through arrangements made `by) any one entity. If the Document already includes a cover text for the same cover, previously added by you or by arrangement made by the same entity you are acting on behalf of, you may not add another; but you may replace the old one, on explicit permission from the previous publisher that added the old one.

The author(s) and publisher(s) of the Document do not by this License give permission to use their names for publicity for or to assert or imply endorsement of any Modified Version.

D.6. Combining Documents

You may combine the Document with other documents released under this License, under the terms defined in section 4 above for modified versions, provided that you include in the combination all of the Invariant Sections of all of the original documents, unmodified, and list them all as Invariant Sections of your combined work in its license notice.

The combined work need only contain one copy of this License, and multiple identical Invariant Sections may be replaced with a single copy. If there are multiple Invariant Sections with the same name but different contents, make the title of each such section unique by adding at the end of it, in parentheses, the name of the original author or publisher of that section if known, or else a unique number. Make the same adjustment to the section titles in the list of Invariant Sections in the license notice of the combined work.

In the combination, you must combine any sections entitled History in the various original documents, forming one section entitled History; likewise combine any sections entitled Acknowledgements, and any sections entitled Dedications. You must delete all sections entitled Endorsements.

D.7. Collections of Documents

You may make a collection consisting of the Document and other documents released under this License, and replace the individual copies of this License in the various documents with a single copy that is included in the collection, provided that you follow the rules of this License for verbatim copying of each of the documents in all other respects.

You may extract a single document from such a collection, and distribute it individually under this License, provided you insert a copy of this License into the extracted document, and follow this License in all other respects regarding verbatim copying of that document.

D.8. Aggregation With Independent Works

A compilation of the Document or its derivatives with other separate and independent documents or works, in or on a volume of a storage or distribution medium, does not as a whole count as a Modified Version of the Document, provided no compilation copyright is claimed for the compilation. Such a compilation is called an aggregate, and this License does not apply to the other self-contained works thus compiled with the Document, on account of their being thus compiled, if they are not themselves derivative works of the Document.

If the Cover Text requirement of section 3 is applicable to these copies of the Document, then if the Document is less than one quarter of the entire aggregate, the Document's Cover Texts may be placed on covers that surround only the Document within the aggregate. Otherwise they must appear on covers around the whole aggregate.

D.9. Translation

Translation is considered a kind of modification, so you may distribute translations of the Document under the terms of section 4. Replacing Invariant Sections with translations requires special permission from their copyright holders, but you may include translations of some or all Invariant Sections in addition to the original versions of these Invariant Sections. You may include a translation of this License provided that you also include the original English version of this License. In case of a disagreement between the translation and the original English version of this License, the original English version will prevail.

D.10. Termination

You may not copy, modify, sublicense, or distribute the Document except as expressly provided for under this License. Any other attempt to copy, modify, sublicense or distribute the Document is void, and will automatically terminate your rights under this License. However, parties who have received copies, or rights, from you under this License will not have their licenses terminated so long as such parties remain in full compliance.

D.11. Future Revisions of This License

The Free Software Foundation may publish new, revised versions of the GNU Free Documentation License from time to time. Such new versions will be similar in spirit to the present version, but may differ in detail to address new problems or concerns. See the GNU Free Documentation License . web site.

Each version of the License is given a distinguishing version number. If the Document specifies that a particular numbered version of this License or any later version applies to it, you have the option of following the terms and conditions either of that specified version or of any later version that has been published (not as a draft) by the Free Software Foundation. If the Document does not specify a version number of this License, you may choose any version ever published (not as a draft) by the Free Software Foundation.

D.12. How to use this License for your documents

To use this License in a document you have written, include a copy of the License in the document and put the following copyright and license notices just after the title page:

Copyright© YEAR YOUR NAME. Permission is granted to copy, distribute and/or modify this document under the terms of the GNU Free Documentation License, Version 1.1 or any later version published by the Free Software Foundation; with the Invariant Sections being LIST THEIR TITLES, with the Front-Cover Texts being LIST, and with the Back-Cover Texts being LIST. A copy of the license is included in the section entitled GNU Free Documentation License.

If you have no Invariant Sections, write with no Invariant Sections instead of saying which ones are invariant. If you have no Front-Cover Texts, write no Front-Cover Texts instead of Front-Cover Texts being LIST; likewise for Back-Cover Texts.

If your document contains nontrivial examples of program code, we recommend releasing these examples in parallel under your choice of free software license, such as the GNU General Public License, to permit their use in free software.