mount error(22): Invalid argument

[Karl Heinz]

Hallo,

mit dieser Zeile möchte ich ein Netzlaufwerk vom NAS mounten:

sudo mount -o username=*****,password=***** //192.168.178.71/share /media/share

Klappt leider nicht. Ich erhalte folgende Fehlermledung:

mount error(22): Invalid argument
Refer to the mount.cifs(8) manual page (e.g. man mount.cifs)

Wo soll denn hier das "Invalid argument" sein?

Viele Grüße

[TS]

Hello,

mit dieser Zeile möchte ich ein Netzlaufwerk vom NAS mounten:

sudo mount -o username=*****,password=***** //192.168.178.71/share /media/share

Klappt leider nicht. Ich erhalte folgende Fehlermledung:

es fehlt mMn die Angabe des Filesystems

sudo mount -t cifs //192.168.178.71/share /media/share -o username=*****,password=*****  

wenn das NAS mit cifs arbeitet. Wenn es mit nfs arbeitet, musst Du eben das angeben.

Und Username und Passwort würde ich auslagern in ein .credentials-File

sudo mount -t cifs //192.168.178.71/share /media/share -o credentials=/path/to/.mntcred

Und das credentials-File auf dem lokalen System dann selbstverständlich nur für den authorisierten Benutzer lesbar machen.

/media/share muss auch vorher angelegt sein und die passenden Rechte für den mountenden User haben.

Liebe Grüße
Tom S.

[Karl Heinz]

Hallo TS,

mit dieser Zeile möchte ich ein Netzlaufwerk vom NAS mounten:

sudo mount -o username=*****,password=***** //192.168.178.71/share /media/share

Klappt leider nicht. Ich erhalte folgende Fehlermledung:

es fehlt mMn die Angabe des Filesystems

Ich meine mich zu entsinnen, das die Angabe des Filesystems nicht zwingend notwendig ist. Ich hatte das auch mal ohne die Angabe von "-t cifs" hinbekommen. Habe es aber trotzdem mit der Angabe von -t cifs getestet.

sudo mount -t cifs //192.168.178.71/share /media/share -o username=*****,password=*****  

wenn das NAS mit cifs arbeitet. Wenn es mit nfs arbeitet, musst Du eben das angeben.

Das NAS arbeit mit cifs, habe es damit getestet, leider der gleiche Fehler.

Und Username und Passwort würde ich auslagern in ein .credentials-File

sudo mount -t cifs //192.168.178.71/share /media/share -o credentials=/path/to/.mntcred

Und das credentials-File auf dem lokalen System dann selbstverständlich nur für den authorisierten Benutzer lesbar machen.

Mache ich normalerweise, nur hier im Beispiel nicht um die Anzahl der möglichen Fehlerquellen auf eine Minimum zu senken.

[TS]

Hello,

und /media/share ist als Verzeichnis auch angelegt und ist leer?

Da darf nichts drinstehen!

Liebe Grüße
Tom S.

[Karl Heinz]

Hallo TS,

und /media/share ist als Verzeichnis auch angelegt und ist leer?

Da darf nichts drinstehen!

Das Verzeichnis ist angelegt und leer.

[TS]

Hello,

hast Du mal versucht, z. B. mit dem Browser auf //192.168.178.71/share zuzugreifen?
Lässt sich das NAS anpingen?

Liebe Grüße
Tom S.

[Karl Heinz]

Hallo TS,

hast Du mal versucht, z. B. mit dem Browser auf //192.168.178.71/share zuzugreifen?

Ja, dass klappt leider nicht, allerdings auch nicht von anderen Rechnern wo das Mounten einwandfrei funktioniert hat.

Lässt sich das NAS anpingen?

Ja, einwandfrei.

Ich vermutete das Problem für das fehlerhafte Mounten bei den Rechten.

Der Mitarbeiter, bei dessen Rechner das Mounten nicht funktioniert, kann in der Cinnamon GUI auch nichtmehr den Menüeintrag "Benutzer und Gruppen" aufrufen. Bei einem Aufruf des Menüeintrags "Benutzer und Gruppen" passiert nichts. Der Mitarbeiter hat sich wohl irgendwie selbst ausgesperrt.

[Regina Schaukrug]

Hallo TS,

hast Du mal versucht, z. B. mit dem Browser auf //192.168.178.71/share zuzugreifen?

Ja, dass klappt leider nicht, allerdings auch nicht von anderen Rechnern wo das Mounten einwandfrei funktioniert hat.

Vielleicht ja mit smb://192.168.178.71/share … So machts jedenfalls der Dolphin, Krusader und, ach, der Thunar…

[Karl Heinz]

Vielleicht ja mit smb://192.168.178.71/share … So machts jedenfalls der Dolphin, Krusader und, ach, der Thunar…

Leider nein, fragt sich nur warum das nicht klappt.

[TS]

Hello,

Vielleicht ja mit smb://192.168.178.71/share … So machts jedenfalls der Dolphin, Krusader und, ach, der Thunar…

Leider nein, fragt sich nur warum das nicht klappt.

Dann fehlen dem Host wohl die notwendigen Clients (Treiber, smb-Client, cifs) oder die Uhrzeit stimmt nicht? Lach nicht, das mit der Uhrzeit ist oft die Ursache für abgelehnte Verbindungen...

Kann der Host sich denn mittels ssh-Client auf einem anderen Host mit SSH-Server anmelden (Remote Konsole, oder scp, ...)?

Liebe Grüße
Tom S.

[Karl Heinz]

Hallo TS,

Dann fehlen dem Host wohl die notwendigen Clients (Treiber, smb-Client, cifs)

Mit Host meinst du das NAS oder? Dann müsste ich den Kram irgednwie auf das NAS nachinstallieren.

oder die Uhrzeit stimmt nicht? Lach nicht, das mit der Uhrzeit ist oft die Ursache für abgelehnte Verbindungen...

Auf dem Client ist die Uhrzeit korrekt, beim NAS weiß ich nicht wie ich die Uhrzeit einsehen kann, meine NAS Kenntnisse sind leider sehr begrenzt. Vermutlich per Shell. Muss erstmal rausfinden, wie ich auf dem NAS auf eine Shell zugreifen kann.

Kann der Host sich denn mittels ssh-Client auf einem anderen Host mit SSH-Server anmelden (Remote Konsole, oder scp, ...)?

Tja, gute Frage zumal ich bisher noch nie mit ssh gearbeitet habe (schäm). Ab und an nutze ich mal telnet wenn meine Dreambox Ärger macht.

Auf jedenfall vielen Dank für die zahlreichen Tipps. Ich muss mich erstmal in ein paar Dinge einarbeiten, bevor ich Dir die Fragen optimal beantworten kann. Zeitlich ist es momentan etwas eng. Ich werde das die nächsten Tage machen und dann eine Rückmeldung geben.

[Regina Schaukrug]

Hallo TS,

Dann fehlen dem Host wohl die notwendigen Clients (Treiber, smb-Client, cifs)

Mit Host meinst du das NAS oder?

Nein. Im Dem Fall meint TS Deinen Client. Hier:"DESKTOP3"

Auf dem Client ist die Uhrzeit korrekt, beim NAS weiß ich nicht wie ich die Uhrzeit einsehen kann, meine NAS Kenntnisse sind leider sehr begrenzt.

Möglicherweise steht dessen Produktname und Version auf einem Typenschild. Das Manual wäre dann möglicherweise im Web zu finden.

Kann der Host sich denn mittels ssh-Client auf einem anderen Host mit SSH-Server anmelden (Remote Konsole, oder scp, ...)?

Naja. Du kannst kann pingen... Das Netzwerk steht also.

Ich muss mich erstmal in ein paar Dinge einarbeiten, bevor ich Dir die Fragen optimal beantworten kann. Zeitlich ist es momentan etwas eng.

Scheinbar hast Du jede Menge offener Projekte. Wie machst Du das nur?

[Karl Heinz]

Scheinbar hast Du jede Menge offener Projekte. Wie machst Du das nur?

Verstehe nicht was du damit sagen willst? Ist das ironisch gemeint?

[Regina Schaukrug]

Scheinbar hast Du jede Menge offener Projekte. Wie machst Du das nur?

Verstehe nicht was du damit sagen willst? Ist das ironisch gemeint?

Mach Dir keine Gedanken um meine Abschweifung bezüglich meiner offensichtlich nicht ganz kleinen Probleme mit meinem eigenen "Selbstmarketing". Wichtiger für Dich war:

Möglicherweise steht dessen Produktname und Version auf einem Typenschild.

[TS]

Hello,

Kann der Host sich denn mittels ssh-Client auf einem anderen Host mit SSH-Server anmelden (Remote Konsole, oder scp, ...)?

Naja. Du kannst kann pingen... Das Netzwerk steht also.

Die Frage hatte schon ihren Hintergrund. Es kommt manchmal vor, dass PING noch funktioniert (über ICMP), aber höherwertige Protokolle nicht mehr durchgehen.

Das kann an Konfigurationsfehlern liegen (z. B. falsche Netzwerkmaske, falscher Gateway, ...), oder auch an der Netzwerkhardware.

Liebe Grüße
Tom S.

[Regina Schaukrug]

Naja. Du kannst kann pingen... Das Netzwerk steht also.

Die Frage hatte schon ihren Hintergrund. Es kommt manchmal vor, dass PING noch funktioniert (über ICMP), aber höherwertige Protokolle nicht mehr durchgehen.

Das kann an Konfigurationsfehlern liegen (z. B. falsche Netzwerkmaske, falscher Gateway, ...), oder auch an der Netzwerkhardware.

Sorry. Nein. Ping kann Netz übergreifend nicht funktionieren wenn die falsche Netzwerkmaske, ein falscher Gateway konfiguriert ist oder die Netzwerkhardware versagt. Ping baut auf dem IP-Protokoll auf, verlangt also ein funktionierendes ISO-Level 3 und, wenn der Hostname "bepingt" wird, sogar eine funktionierende Namensauflösung (DNS).

Wenn zwar Ping aber "höherwertige Protokolle" nicht mehr durchgehen, dann ist es wahrscheinlicher ein Problem mit der Firewall oder den konkreten Diensten, die sich ja auch auf IP-Adressen oder IP-Adress-Bereiche beschränken lassen.

[TS]

Hello,

Sorry. Nein. Ping kann Netz übergreifend nicht funktionieren wenn [...] oder die Netzwerkhardware versagt.

Das magst Du gerne glauben. Aber ich habe es schon anders erlebt. Das zählt für mich!

ICMP ist nur eines von vielen Protokollen. Warum ICMP funktioniert, aber andere Protokolle nicht, kann diverse Ursachen haben.

Liebe Grüße
Tom S.

[Regina Schaukrug]

Vielleicht ja mit smb://192.168.178.71/share … So machts jedenfalls der Dolphin, Krusader und, ach, der Thunar…

Leider nein, fragt sich nur warum das nicht klappt.

Nun. Um diese Frage zu beantworten müsste man zunächst wissen, welchen Dateisystembrowser Du verwendest und welche Fehlermeldung dieser eventuell ausgibt.

In der Konsole könnte Dir übrigens auch

smbclient -d 10 -L -U ${USERNAME} ${HOSTNAME}

weiterhelfen. Ersetze ${USERNAME} und ${HOSTNAME} durch passende Werte. Die Option "-d 10" sorgt für "sehr viele" Debugging-Ausgaben und "-L" für die Anzeige der Shares auf dem NAS.

Hint: Falls auf dem NAS ein Linux läuft ist es nicht ganz ausgeschlossen, dass außerdem auch fail2ban oder etwas ähnliches die Firewall angewiesen hat, den Host zu blockieren. Derlei könnte erklären warum die Verbindung von anderen anderen Rechnern aus funktioniert. Aber es gibt zahlreiche weitere Möglichkeiten. Die Verwendung des geschwätzigen smbclient dürfte hier der gebotene Einstieg ins Debugging sein. Poste die Ausgaben falls Du den Fehler nicht selbst findest.

[Karl Heinz]

Hallo Regina,

Nun. Um diese Frage zu beantworten müsste man zunächst wissen, welchen Dateisystembrowser Du verwendest und welche Fehlermeldung dieser eventuell ausgibt.

Meinst du mit Dateisystembroser den Dateimanager?

Falls ja, hier verwendet ich Nemo, als Webbrowser verwendet ich Firefox.

In der Konsole könnte Dir übrigens auch

smbclient -d 10 -L -U ${USERNAME} ${HOSTNAME}

INFO: Current debug levels:
  all: 10
  tdb: 10
  printdrivers: 10
  lanman: 10
  smb: 10
  rpc_parse: 10
  rpc_srv: 10
  rpc_cli: 10
  passdb: 10
  sam: 10
  auth: 10
  winbind: 10
  vfs: 10
  idmap: 10
  quota: 10
  acls: 10
  locking: 10
  msdfs: 10
  dmapi: 10
  registry: 10
  scavenger: 10
  dns: 10
  ldb: 10
  tevent: 10
lp_load_ex: refreshing parameters
Initialising global parameters
rlimit_max: increasing rlimit_max (1024) to minimum Windows limit (16384)
INFO: Current debug levels:
  all: 10
  tdb: 10
  printdrivers: 10
  lanman: 10
  smb: 10
  rpc_parse: 10
  rpc_srv: 10
  rpc_cli: 10
  passdb: 10
  sam: 10
  auth: 10
  winbind: 10
  vfs: 10
  idmap: 10
  quota: 10
  acls: 10
  locking: 10
  msdfs: 10
  dmapi: 10
  registry: 10
  scavenger: 10
  dns: 10
  ldb: 10
  tevent: 10
Processing section "[global]"
doing parameter workgroup = WORKGROUP
doing parameter server string = %h server (Samba, Linux Mint)
doing parameter dns proxy = no
doing parameter log file = /var/log/samba/log.%m
doing parameter max log size = 1000
doing parameter syslog = 0
WARNING: The "syslog" option is deprecated
doing parameter panic action = /usr/share/samba/panic-action %d
doing parameter server role = standalone server
doing parameter passdb backend = tdbsam
doing parameter obey pam restrictions = yes
doing parameter unix password sync = yes
doing parameter passwd program = /usr/bin/passwd %u
doing parameter passwd chat = *Enter\snew\s*\spassword:* %n\n *Retype\snew\s*\spassword:* %n\n *password\supdated\ssuccessfully* .
doing parameter pam password change = yes
doing parameter map to guest = bad user
doing parameter usershare allow guests = yes
pm_process() returned Yes
lp_servicenumber: couldn't find homes
added interface eth0 ip=2003:72:8f10:c700:1900:6807:67fc:29f4 bcast= netmask=ffff:ffff:ffff:ffff::
added interface eth0 ip=2003:72:8f10:c700:dacb:8aff:fe3c:1f16 bcast= netmask=ffff:ffff:ffff:ffff::
added interface eth0 ip=192.168.178.24 bcast=192.168.178.255 netmask=255.255.255.0
Netbios name list:-
my_netbios_names[0]="DESKTOP3"
Client started (version 4.3.11-Ubuntu).

[Regina Schaukrug]

Auch beim Nemo beginnt die Adresse eines Windows-Shares mit smb://

Wirst Du nach:

Client started (version 4.3.11-Ubuntu).

nach dem Passwort gefragt? Wenn ja gib es ein und poste die weiteren Ausgaben.

[Karl Heinz]

Wirst Du nach:

Client started (version 4.3.11-Ubuntu).

nach dem Passwort gefragt? Wenn ja gib es ein und poste die weiteren Ausgaben.

Nach einem Passwort werde ich nicht gefragt.

[Regina Schaukrug]

Du hast ${HOSTNAME} durch die IP des NAS und ${USERNAME} durch den Samba-Benutzername ersetzt?

Wenn ja ist das merkwürdig. Versuche:

smbclient -m 3 -d 10 -L -U ${USERNAME} ${HOSTNAME}

wenn dann immer noch keine Abfrage nach einem Passwort erfolgt und keine Informationen über Shares (Freigaben) ausgegeben werden, dann versuche:

smbclient -m 2 -d 10 -L -U ${USERNAME} ${HOSTNAME}

Es kann nämlich sein, dass der NAS nur ein veraltetes SMB-Protokoll versteht.

Wenn selbst dann (-m 2) nicht nach dem Passwort gefragt wirst, dann versuche:

nmap ${HOSTNAME}

In den Ausgaben sollte folgendes auftauchen:

139/tcp  open  netbios-ssn
445/tcp  open  microsoft-ds

Falls das von einem oder mehreren Clients aus nicht geht während andere im selben Netz funktionieren, dann muss der NAS befragt werden ob er den Client in der Firewall gesperrt hat. Ob und wie das geht steht ggf. in dessen Handbuch.

[Regina Schaukrug]

Das hätte ich beinahe übersehen. Auch ein Client kann durch die eigene Firewall bestimmen, dass kein Verkehr zu bestimmten Ports rausgeht. Prüfe auf dem Client mit

sudo /sbin/iptables -L -n 

was los ist. Aber dann sollte eigentlich nmap [SERVER-IP] auch keine Ergebnisse liefern.

[Robert B.]

Hallo @Karl Heinz und weitere

dumme Frage: Ist das richtig so?

doing parameter map to guest = bad user

Viele Grüße
Robert

[Regina Schaukrug]

dumme Frage: Ist das richtig so?

doing parameter map to guest = bad user

Die Frage ist nicht dumm. Es ist aber richtig: Der Samba-Client gibt durch den hohen Debugging-Level bekannt wie er sich konfiguriert. Dabei setzt er offenbar auch Einstellungen die eigentlich für Samba-Server gelten bzw. interessieren. Hier dass ein mit falschem Benutzername angemeldeter Benutzer Zugriffe auf Shares erhält die dann wieder so konfiguriert sind, dass Gäste erlaubt sind. Warum der Client das macht steht allerdings in den Sternen bzw. in /etc/samba/smb.conf:

# This option controls how unsuccessful authentication attempts are mapped
# to anonymous connections
   map to guest = bad user

[TS]

Hello,

wenn aber die anderen Hosts sich mit dem NAS verbinden können, dann ist diese Fehlermöglichkeit doch recht unwahrscheinlich - vorausgesetzt, dass KH mal die Versionen, Konfigurationen und die Logs verglichen hat.

Solange die von mir angesprochene mögliche (wenn auch seltene) Hardware Weakness nicht geklärt ist, mag ich nicht weiter Ratespiele betreiben. ;-)

Liebe Grüße
Tom S.

[Regina Schaukrug]

Solange die von mir angesprochene mögliche (wenn auch seltene) Hardware Weakness nicht geklärt ist, mag ich nicht weiter Ratespiele betreiben. ;-)

Das muss kein Hardware-Problem sein. Manchmal haben die Netzwerkeigentümer vergessen, dass diese womöglich Subnets mit eigenem IP-Adress-Bereichen eingerichtet haben und dass der Server von einem oder mehreren der Hosts gar nicht erreichbar ist. Aber wenn PING (das hat Karl-Heinz ausgesagt) und NMAP klappen ist davon nicht auszugehen.

[Regina Schaukrug]

Hello,

und /media/share ist als Verzeichnis auch angelegt und ist leer?

Da darf nichts drinstehen!

Also nicht bei mir. Freilich ist dann der Inhalt sozusagen überblendet. Das kann man sogar ausnutzen: Ich mache folgendes regelmäßig um unterscheiden zu können, ob ein mount schon existiert bzw. mit dem richtigen Gerät verbinden ist:

mkdir /mountdir
touch /mountdir/not_mounted

und später:

if [ -f /mountdir/not_mounted ]; then
    mount -t … -o … /quelle /mountdir
fi

if [ -f /mountdir/is_backup_target ]; then
    # backup
else
    echo "Grund: Kein Backup-Medium gefunden oder es konnte nicht gemountet werden." | mail -s "${HOSTNAME}: Backup fehlgeschlagen" [e-mail]
fi

[TS]

Hello,

und /media/share ist als Verzeichnis auch angelegt und ist leer?

Da darf nichts drinstehen!

Also nicht bei mir.

Interessanter Hinweis!
Verrätst Du uns die Versionen, mit denen Du arbeitest?

Freilich ist dann der Inhalt sozusagen überblendet. Das kann man sogar ausnutzen: Ich mache folgendes regelmäßig um unterscheiden zu können, ob ein mount schon existiert:

mkdir /mountdir
touch /mountdir/not_mounted

und später:

if [ -f /mountdir/not_mounted ]; then
    mount -t … -o … /quelle /mountdir
fi

if [ -f /mountdir/is_backup_target ]; then
    # backup
else
    echo "Grund: Kein Backup-Medium gefunden oder es konnte nicht gemountet werden." mail -s "${HOSTNAME}: Backup fehlgeschlagen" [e-mail]
fi

Liebe Grüße
Tom S.

[Regina Schaukrug]

Verrätst Du uns die Versionen, mit denen Du arbeitest?

Das "Übermounten" eines nicht leeren Verzeichnisses geht "schon immer" und mit jedem Linux/BSD/Solaris/SCO-Unix welches ich hier habe bzw. hatte.

[TS]

Hello,

Guck mal ins /var/log/kern.log. Zur Not lass es mit tail -f in einer zweiten Konsole parallel zum Mount-Versuch laufen.

Und hast Du schon mal die cifs-Versionen verglichen? Mit welcher läuft das NAS und mit welcher der Client? Ist das Protokoll dort überhaupt installiert?

Liebe Grüße
Tom S.

[Karl Heinz]

Hallo TS,

Guck mal ins /var/log/kern.log.

Zur Not lass es mit tail -f in einer zweiten Konsole parallel zum Mount-Versuch laufen.

Folgende Zeilen kommen beim Mountversuch dazu:

Nov 14 08:42:35 Desktop3 kernel: [ 1144.072788] Status code returned 0xc000000d NT_STATUS_INVALID_PARAMETER
Nov 14 08:42:35 Desktop3 kernel: [ 1144.072803] CIFS VFS: Send error in SessSetup = -22
Nov 14 08:42:35 Desktop3 kernel: [ 1144.072919] CIFS VFS: cifs_mount failed w/return code = -22

Und hast Du schon mal die cifs-Versionen verglichen? Mit welcher läuft das NAS und mit welcher der Client?

Auf dem Client läuft laut Synaptic cifs utils 2.6.0.1. Beim NAS weiß ich leider nicht wie ich die installierte cifs Version herausfinden kann.

Ist das Protokoll dort überhaupt installiert?

Ja, siehe oben.

[TS]

Hello,

Folgende Zeilen kommen beim Mountversuch dazu:

Nov 14 08:42:35 Desktop3 kernel: [ 1144.072788] Status code returned 0xc000000d NT_STATUS_INVALID_PARAMETER
Nov 14 08:42:35 Desktop3 kernel: [ 1144.072803] CIFS VFS: Send error in SessSetup = -22
Nov 14 08:42:35 Desktop3 kernel: [ 1144.072919] CIFS VFS: cifs_mount failed w/return code = -22

Interessant. Versuch mal nur spaßeshalber in den Options zusätzlich anzugeben:

sec=ntlmv2 und guck nochmal ins kern.log, was dann kommt.

sudo mount -t cifs //192.168.178.71/share /media/share -o sec=ntlmv2,credentials=/path/to/.mntcred

Liebe Grüße
Tom S.

[Karl Heinz]

Hallo TS,

Interessant. Versuch mal nur spaßeshalber in den Options zusätzlich anzugeben:

sec=ntlmv2 und guck nochmal ins kern.log, was dann kommt.

sudo mount -t cifs //192.168.178.71/share /media/share -o sec=ntlmv2,credentials=/path/to/.mntcred

Keine Veränderung in der Log-Datei:

Nov 14 09:41:18 Desktop3 kernel: [ 4666.838192] Status code returned 0xc000000d NT_STATUS_INVALID_PARAMETER
Nov 14 09:41:18 Desktop3 kernel: [ 4666.838210] CIFS VFS: Send error in SessSetup = -22
Nov 14 09:41:18 Desktop3 kernel: [ 4666.838397] CIFS VFS: cifs_mount failed w/return code = -22

[TS]

Hello,

eine Idee habe ich noch. Habe ich selber mal erlebt vor längerer Zeit:

Über welche Hardware-Architektur (Switches, Router, Hubs, ...) ist der betroffene Client am Netz angeschlossen?

Ich hatte mal einen Hub im LAN (damals hatte man sowas noch), über den ich zwar alle anderen Partner anpingen konnte, aber die zwei daran angeschlossenen Clients kamen weder ins Internet, noch konnten sie die Mails vom hauseigenen Mailserver abholen.

Wir haben den Fehler bestimmt drei Tage lang in den Clients gesucht, bis einer der Kollegen, nach totalem Neuaufbau eiens der Geräte, dieses dann an seinem Arbeitsplatzanschluss angeschlossen hat. Da funktionierte dann alles. Zurück an seinem Hub ging wieder nichts mehr... Hub getauscht, alles ging wieder.

Liebe Grüße
Tom S.

[Karl Heinz]

Hallo,

ich habe nun auf dem Rechner per Live CD (Mint 18.1) gebootet. Hier klappt das Einbinden des Netzlaufwerks einwandfrei.

Vielleicht hilft das bei der Ursacheneingrenzung weiter?

[TS]

Hello,

ich habe nun auf dem Rechner per Live CD (Mint 18.1) gebootet. Hier klappt das Einbinden des Netzlaufwerks einwandfrei.

Vielleicht hilft das bei der Ursacheneingrenzung weiter?

Gute Idee von Dir!

Dann ist die übrige Netzwerkhardware nach menschlichem Ermessen schon mal außen vor.

Dann fehlen dem Client eben die passenden Module oder sie sind kaputt. Habt Ihr schon mal ein apt-get udate und mit anschließendem upgrade gefahren?

Liebe Grüße
Tom S.

[Regina Schaukrug]

Hallo,

ich habe nun auf dem Rechner per Live CD (Mint 18.1) gebootet. Hier klappt das Einbinden des Netzlaufwerks einwandfrei.

Vielleicht hilft das bei der Ursacheneingrenzung weiter?

Ja. Das kann ein Konfigurationsfehler sein. Wir brauchen vom "kaputten" Client die Ausgaben von:

• sudo ip address show
• less /etc/network/interfaces
• sudo route
• less /etc/resolv.conf
• ping -c 3 $IP_DES_NAS
• nmap $IP_DES_NAS
• nslookup $Name_des_NAS oder host $Name_des_NAS
• suso /sbin/iptables -L -n
• less /etc/hosts

... sowie die Netzwerk-Konfiguration des NAS natürlich.

[TS]

Hello,

BTW:
gib mir bitte mal etwas bash-Nachhilfe, wie ich folgende Ausgabe sortieren kann nach der IPv4

• sudo /sbin/iptables -L -n

das ist die vierte Spalte mit Trenner=Whitespace, aber wie kann man da nun für die Sortierung Unterspalten nach Trenner=. bilden?

Liebe Grüße
Tom S.

[Regina Schaukrug]

wie ich folgende Ausgabe sortieren kann nach der IPv4

Genügt

sudo /sbin/iptables -L -n | grep DROP | sed "s/  */ /g" | sort -t ' ' -k4 -n

Deinen Wünschen?

[TS]

Hello,

Genügt

sudo /sbin/iptables -L -n | grep DROP | sed "s/  */ /g" | sort -t ' ' -k4 -n

Deinen Wünschen?

Fast gut. :-)

Fürs erste würde es mir helfen, es nachvollziehen zu können. Ich hatte gehofft, ohne sed auskommen zu können ;-)

Liebe Grüße
Tom S.

[Regina Schaukrug]

Fast gut. :-)

Nein. Gar nicht gut. 😟

Ich habe gerade mal eine sehr lange Liste von drops durchgesehen und festgestellt, dass die numerische Sortierung nicht stimmt.

Demnach muss man die Daten wohl durch den awk jagen, aus den Bestandteilen der IP eine Dezimalzahl errechnen, diese als Extra-Spalte hinzufügen und dann nach dieser sortieren.

Man kann sie ja mit cut vor der Ausgabe wieder wegschneiden. Ziemlich viele Pipes. Ich glaub, ich werde Klempner.

[TS]

Hello,

Fast gut. :-)

Nein. Gar nicht gut. 😟

Ich habe gerade mal eine sehr lange Liste von drops durchgesehen und festgestellt, dass die numerische Sortierung nicht stimmt.

Das ist mir klar. Die muss man àla "sort -n -t . -k 1,1 -k 2,2 -k 3,3 -k 4,4" oder so ähnlich einzeln anpacken. Aber dafür muss man sie erstmal als hier vierte Spalte ausschneiden.

Wie kann ich also die vierte Spalte (t ' ') greifen, um die wiederum in vier Spalten zu zerlegen, nach denen dann sortiert wird? Und als Ergebnis will ich ja wieder die ganze Zeile ...

Liebe Grüße
Tom S.

[TS]

Hello,

kontrollierst Du bitte mal?

iptables -L -n | grep DROP | sort -V -k4,4 | less

"Version-Sort" scheint die Lösung zu sein. Hätte mich auch gewundert, wenn die bash da noch nix hätte.

Dann kann ich ja jetzt meine IP-Tables-Files mal durch sort und uniq schicken.

Liebe Grüße
Tom S.

[Regina Schaukrug]

> iptables -L -n | grep DROP | sort -V -k4,4 | less

-V --version-sort: Das ich daran nicht gedacht habe… Laut Manual das Richtige. Ergebnis sieht gut aus. Sogar Netze werden sauber einsortiert.

Dann kann ich ja jetzt meine IP-Tables-Files mal durch sort und uniq schicken.

iptables-save > /tmp/iptables.txt
iptables-restore  < /tmp/iptables.txt

Falsch: Da sollte uniq (oder sort -u) keinen zusätzlichen Effekt bieten (außer eventuell spezielle Regeln rauszuwerfen).

Update: WTF:

# iptables-save | grep 5.0.0.0
-A INPUT -s 5.0.0.0/8 -j DROP
-A INPUT -s 5.0.0.0/8 -j DROP

So ein Hinfong. Wer hätte gedacht, dass IP-Tables klaglos doppelte Regeln in den Kernel einbaut und ausliest.

Hätte mich auch gewundert, wenn die bash da noch nix hätte.

Naja. sort ist ein völlig eigenständiges Programm, hat mit der Shell (Genau genommen auch mit Linux) nicht mehr zu tun als dass es von den Distributoren kompiliert, mit den „coreutils“ beigepackt und alsdann auch benutzt wird.

[TS]

Hello,

Dann kann ich ja jetzt meine IP-Tables-Files mal durch sort und uniq schicken.

iptables-save > /tmp/iptables.txt
iptables-restore  < /tmp/iptables.txt

Das lässt die Definitionsliste leider genauso, wie sie im Betrieb aussieht, mit allen doppelten Zeilen :-(

Update: WTF:

# iptables-save | grep 5.0.0.0
-A INPUT -s 5.0.0.0/8 -j DROP
-A INPUT -s 5.0.0.0/8 -j DROP

Genau!

Und leider gibt es ja auch Regeln, bei denen es auf die Reihenfolge in der Definitionsliste ankommt. Ich darf also nicht einfach blind sortieren, sondern muss die Liste erst (nach Sichtkontrolle) geschickt in Abschnitte zerteilen und dann jeden einzeln bearbeiten. stöhn

In den letzten Tagen (vielleicht seit fünf?) ist der Recidive-Anfall auf ungefähr das 10-fache geklettert. Nachdem ich China fast vollständig hart ausgesperrt habe, wachsen jetzt Japan, Korea, Indonesien, Indien, ... (ungefähr in der Reihenfolge der Anzahl).

Ist das bei Dir auch so?

Liebe Grüße
Tom S.

[Regina Schaukrug]

In den letzten Tagen (vielleicht seit fünf?) ist der Recidive-Anfall auf ungefähr das 10-fache geklettert. Nachdem ich China fast vollständig hart ausgesperrt habe, wachsen jetzt Japan, Korea, Indonesien, Indien, ... (ungefähr in der Reihenfolge der Anzahl).

Ist das bei Dir auch so?

Bei mir ist es ziemlich ruhig. Vermutlich deshalb:

#!/bin/bash
### Skript holt böse IPs von diversen Listen und blockt diese in der Firewall

### SETUP:
_urlIList='
https://lists.blocklist.de/lists/strongips.txt
https://www.badips.com/get/list/any/3?age=1d
https://api.blocklist.de/getlast.php?time=12:00
';

### Programm:

_chain='BLOCKLIST';
_tmpFile=`mktemp`;

# Holen der bösen IPs
for url in $_urlIList
do
        echo "Action: Hole $url";
        wget -qO- "$url"  >> "$_tmpFile";
        echo "Done: $url geholt."
done


# Ausfiltern und Liste in Variable laden
ipList=`sort -u < "$_tmpFile" | grep -P '\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}' | grep -Pv "^[ \t]*$" | tr "\n" ' ';`;
#letztes Komma löschen:
ipList=${ipList:0:${#ipList} - 1};

# Alte Liste löschen

/sbin/iptables -D INPUT   -j $_chain 2> /dev/null;
/sbin/iptables -D OUTPUT  -j $_chain 2> /dev/null;
/sbin/iptables -D FORWARD -j $_chain 2> /dev/null;
/sbin/iptables -F $_chain  2> /dev/null;
/sbin/iptables -X $_chain  2> /dev/null;

# Neue chain
/sbin/iptables -N $_chain 2> /dev/null;

# IPs an neue Chain anhängen
for ip in $ipList
do
        /sbin/iptables -A $_chain -s $ip -j DROP;
done

# chain wirksam machen
/sbin/iptables -I INPUT -j $_chain
/sbin/iptables -I OUTPUT -j $_chain
/sbin/iptables -I FORWARD -j $_chain

exit 0

Das macht ein Cronjob des root aller 12 Stunden ...

[TS]

Hello,

danke für den Tipp.

Wenn ich das jetzt aber nicht missdeute, werden dabei die Duplicates (noch) nicht erkannt?

Ich mache das statische Nachtragen noch manuell, inzwischen jeden Tag. Hat den Vorteil, dass ich einen Überblick über die Szenarien behalte, aber eben auch den Nachteil, dass es nervt.

Da ich auf die Recidive-Meldungen (meistens) ganze Netzbereiche aussperre, klappt das noch einigermaßen. Es ist eben nur fraglich, wann man aus seinem Internet-Server einen Euro-WAN-Server gemacht hat tztz

Liebe Grüße
Tom S.

[Regina Schaukrug]

Wenn ich das jetzt aber nicht missdeute, werden dabei die Duplicates (noch) nicht erkannt?

Das sort -u wirft Duplikate aus den Listen raus.

[Regina Schaukrug]

Nachdem ich China fast vollständig hart ausgesperrt habe,

Da fällt mir ein: 5.0.0.0/8 kannst Du keinesfalls einfach aussperren. Da ist ein leider mindestens ein Debian-Update-Server dabei...

[TS]

Hello,

Nachdem ich China fast vollständig hart ausgesperrt habe,

Da fällt mir ein: 5.0.0.0/8 kannst Du keinesfalls einfach aussperren. Da ist ein leider mindestens ein Debian-Update-Server dabei...

aus Syrien?

Ich habe zwar bisher keinen dabei, aber das wäre mir schon suspekt, wenn dort öfter Fehlversuche kämen.

Aber muss ich jetzt den Debian Maintenance-User rausschmeißen? Mal sehen, was dann passiert...

suche suche suche

Aber auch im Auth-Log ist nix drin...

Liebe Grüße
Tom S.

[Karl Heinz]

Hallo,

und noch eine interessante Erkenntnis:

Das Einbinden über die fstab mit folgender Zeile:

//192.168.178.71/share /media/share cifs credentials=/home/robert/.robert,iocharset=utf8,sec=ntlm 0 0 

funktioniert prima.

Kommentiere ich die Zeile oben in der fstab aus, boote anschließend neu und versuche ich das Verzeichnis wie folgt einzubinden, so klappt das nicht. Die Fehlermeldung kennt Ihr ja bereits.

sudo mount -t cifs //192.168.178.71/share /media/share -o credentials=/home/robert/.robert

Wie kann es sein, dass es über die fstab funktioniert über den Befehl mount hingegen nicht?

[TS]

Hello,

Das wollte ich vorhin ja schon verfolgen...

sec=ntlm 0 0

ist ja ein Unterschied.

Da fehlt dann ggf. die passende Angabe des Authentifizierungsverfahrens.
Ich hatte angenommen, dass es mit sec=ntlmv2 zum Erfolg führen könnte...

Liebe Grüße
Tom S.

[Karl Heinz]

Hallo TS,

Das wollte ich vorhin ja schon verfolgen...

sec=ntlm 0 0

ist ja ein Unterschied.

Da fehlt dann ggf. die passende Angabe des Authentifizierungsverfahrens.
Ich hatte angenommen, dass es mit sec=ntlmv2 zum Erfolg führen könnte...

Ich habe jetzt folgende Zeile probiert. Den Wert von "sec" habe ich in Anführungszeichen gesetzt. Ist das syntaktisch so korrekt? Der Fehler bleibt der gleiche.

sudo mount -t cifs //192.168.178.71/share /media/share -o sec="ntlm 0 0",credentials=/home/robert/.robert

[TS]

Hello,

Ich habe jetzt folgende Zeile probiert. Den Wert von "sec" habe ich in Anführungszeichen gesetzt. Ist das syntaktisch so korrekt? Der Fehler bleibt der gleiche.

sudo mount -t cifs //192.168.178.71/share /media/share -o sec="ntlm 0 0",credentials=/home/robert/.robert

Erst einmal nur

sudo mount -t cifs //192.168.178.71/share /media/share -o sec=ntlm,credentials=/home/robert/.robert

Das sollte dann ggf. helfen. Wofür das "0 0" dann noch steht, ist mir bisher auch noch nicht eingängig.

Liebe Grüße
Tom S.

[Regina Schaukrug]

Wofür das "0 0" dann noch steht, ist mir bisher auch noch nicht eingängig.

man fstab says:

The fifth field (fs_freq).

This field is used by dump(8) to determine which filesystems need to be dumped. Defaults to zero (don't dump) if not present.

The sixth field (fs_passno).

This field is used by fsck(8) to determine the order in which filesystem checks are done at boot time. The root filesystem should be specified with a fs_passno of 1. Other filesystems should have a fs_passno of 2. Filesystems within a drive will be checked sequentially, but filesystems on different drives will be checked at the same time to utilize parallelism available in the hardware. Defaults to zero (don't fsck) if not present.

Die erste 0 steht dafür dass das Dateisystem beim Mounten nicht gedumpt wird, die zweite für die Reihenfolge des Dumpens. Dateisysteme auf gleichen Platten sollten, falls überhaupt gedumpt wird, eine fortlaufende Reihenfolge haben. Die beiden Nullen haben also mit Optionen für das mounten und also mit sec=ntlm nichts zu tun - und dürfen im mount-Befehl auch nicht auftauchen.

Hint:

Wenn in den Mount-Optionen ein Leerzeichen auftauchen sollte, dann

mount -o "Option mit Leerzeichen in Parmetern,andereOption,nochEineOption" 

[Karl Heinz]

Erst einmal nur

sudo mount -t cifs //192.168.178.71/share /media/share -o sec=ntlm,credentials=/home/robert/.robert

Das sollte dann ggf. helfen. Wofür das "0 0" dann noch steht, ist mir bisher auch noch nicht eingängig.

Das wars, jetzt klappt es, man was eine schwere Geburt, herzlichen Dank. Wieder viel gelernt.

Ich frage mich warum man sec=ntlm nicht benötigt, wenn man das mit einer Live-CD macht?

[TS]

Hello,

Das wars, jetzt klappt es, man was eine schwere Geburt, herzlichen Dank. Wieder viel gelernt.

Ich frage mich warum man sec=ntlm nicht benötigt, wenn man das mit einer Live-CD macht?

Das ist wohl eine Versionssache mit den damit verbundenen Defaults.
Darauf gebracht hatte mich vorhin das Googlen mit deinen kern.log-Meldungen...

Liebe Grüße
Tom S.

[Karl Heinz]

Hallo TS,

noch etwas interessantes:

ntlm used to be the default which is why you never had to specify it discretely. Things have moved on however so the default is now ntlmssp. If you are accessing something which doesn't speak ntlmssp you have to override the new default with the old one.

Most NAS devices use older technology so they often require ntlm. If you access an OSX samba share however it requires ntlmssp so before you had to specify that in the mount options but now you don't.

There are winners and losers with every change.

[TS]

Hello,

noch etwas interessantes:

ntlm used to be the default which is why you never had to specify it discretely. Things have moved on however so the default is now ntlmssp. If you are accessing something which doesn't speak ntlmssp you have to override the new default with the old one.

Most NAS devices use older technology so they often require ntlm. If you access an OSX samba share however it requires ntlmssp so before you had to specify that in the mount options but now you don't.

There are winners and losers with every change.

Jau, danke!

Deshalb fragte ich ja nach den verwendeten Versionen. Ich hatte das im Hinterhirn, wusste jetzt aber auch nicht aus dem Handgelenk, welche Parameter es betrifft.

So oft baue ich keine neuen Mounts auf ;-)

Aber hier im Archiv ist es ja jetzt hinterlegt. Das SelfHTML-Archiv hat mir schon oft den Arsch gerettet, auch wenn ich die Weiheiten (damals) vielleicht sogar selber reingeschrieben habe :-O

Nur leider ist die Suche nicht mehr so effektiv, wie früher.

Liebe Grüße
Tom S.

[Karl Heinz]

Hallo TS,

Ich frage mich warum man sec=ntlm nicht benötigt, wenn man das mit einer Live-CD macht?

Das ist wohl eine Versionssache mit den damit verbundenen Defaults.
Darauf gebracht hatte mich vorhin das Googlen mit deinen kern.log-Meldungen...

Bei ntlm handelt es ich um ein Authentifizierungsverfahren. Ist das per Default verwendete Authentifizierungsverfahren eigentlich System übergreifend auf dem Linux System festgelegt oder existiert für jedes System- und Anwendungsprogramm eine eigene Default Einstellung für das Authentifizierungsverfahren?

Gibt es eine Möglichkeit per Shell anzeigen zu lassen welches Authentifizierungsverfahren aktuell per Default eingestellt ist?

[TS]

Hello,

Bei ntlm handelt es ich um ein Authentifizierungsverfahren. Ist das per Default verwendete Authentifizierungsverfahren eigentlich System übergreifend auf dem Linux System festgelegt oder existiert für jedes System- und Anwendungsprogramm eine eigene Default Einstellung für das Authentifizierungsverfahren?

Da sehe ich schwarz. Jedes Protokoll kann praktisch ein eigenes Verfahren benutzen. Denk nur an HTTP. Da gibt es Basic und Digest Authentication. Und SSH verwendet wieder ein anderes. Systemintern hat man daher die PAMs (pluggable Authentication Modules) geschaffen.

Liebe Grüße
Tom S.

[TS]

Hello,

kleiner Nachtrag:

Für die Verzeichnisdienste, um die es bei Dir wohl eher geht, hat man LDAP ersonnen. Das ist aber so komplex, dass es kaum jemand durchgängig und richtig einsetzt.

Liebe Grüße
Tom S.