#SSH

Ein Passwort, das abgelehnt wird, obwohl es stimmt, probiert man nicht immer wieder, denn dann liegt der Fehler nicht am Passwort. Unser Virtualisierungs-Server hat das richtige Passwort bei der Fernanmeldung viermal abgewiesen, dreimal vom Laptop und einmal vom Cloud-Arbeitsplatz. Nach fünf Fehlversuchen sperrt er aber nicht nur diesen Weg, sondern auch die Weboberfläche, über die wir ihn verwalten. Also haben wir nach dem vierten Versuch aufgehört, statt den fünften zu riskieren. Wer gegen eine Sperre weiterrät, schließt sich am Ende die letzte offene Tür selbst zu.

Ein Server-Zugang per Schlüssel gilt so lange, bis ihn jemand ausdrücklich entfernt, ein Ablaufdatum hat er nicht. Auf unserem Virtualisierungs-Server lagen zwei Schlüssel eines externen IT-Betreuers, einer von 2015 und einer von 2009, der bis heute funktioniert. Aufgefallen ist es nur, weil eine Anmeldung, die wir für unseren eigenen Weg hielten, laut Protokoll von ihm kam. Seitdem steht jeder Schlüssel mit Besitzer auf einer Liste, die wir regelmäßig durchgehen. Ein Schlüssel, an den sich niemand mehr erinnert, sperrt trotzdem auf.

Das Handy bekommt bei mir nicht denselben Zugangsschlüssel wie der Rechner, sondern einen eigenen. Als ich das iPhone als Fernzugang zu unserem Cloud-Arbeitsplatz bei Hetzner eingerichtet habe, bekam es einen eigenen Schlüssel. Genauso hat vorher schon der Arbeitsplatz selbst einen eigenen für seine dreizehn Server bekommen. Wenn das Handy auf Reisen verloren geht, lösche ich eine einzige Zeile, und alle anderen Geräte arbeiten weiter. Wer jedem Gerät einen eigenen Schlüssel gibt, muss im Ernstfall nur ein Schloss tauschen, nicht alle.

Wer alle Zugänge auf einen neuen Rechner umzieht, lernt vor allem, welche davon längst nicht mehr stimmen. Beim Umzug meines Arbeitsplatzes auf einen Cloud-Server bei Hetzner habe ich einen eigenen Schlüssel auf dreizehn Server verteilt, bei sieben alten Einträgen ging nichts: zwei antworteten nicht, bei vieren hatte sich die Kennung des Servers geändert, einer existierte gar nicht mehr. Erzwungen habe ich nichts, denn eine geänderte Kennung will erst geklärt werden. Ein Umzug ist die ehrlichste Inventur, die man umsonst bekommt.

Wenn ein Gerät die eigene Korrektur immer wieder überschreibt, kämpft man nicht gegen die Schleife, sondern sucht ihre Quelle. An einer Wallbox im Firmennetz habe ich die Internet-Route von Hand auf das LAN gelegt, und alle neunzig Sekunden hat ein verstecktes Startskript sie zurück auf ein totes Mobilfunk-Modem gestellt. Über SSH fand ich die Endlosschleife, die das Gerät bei jedem Start selbst ausführt. Gegen ein System anzukämpfen, das sich laufend selbst heilt, verliert man immer; man muss an die Stelle, wo es heilt.

Mit einem Cloud-Dienst sprechen muss eine Ladesäule nicht, um zu laden, der Strom fließt auch ohne fernes Backend. Unsere Delta-Wallbox stand monatelang still, weil ihr früherer Betreiber den Server dahinter abgeschaltet hatte. Per SSH habe ich den Authentifizierungs-Modus auf No Authentication gestellt, und beide Ladepunkte, jeder mit eigener Seriennummer, luden sofort wieder. Ein Gerät, das für seine Kernaufgabe einen fremden Server braucht, gehört einem nur halb.

Die Ursache zu suchen lohnt nur, solange die Abhilfe davon abhängt. Ich habe bei einem nächtlichen SCP-Job über eine Stunde gegraben, warum er nie in den Logs auftauchte, obwohl er sauber in der Crontab stand. Am Ende war die Lehre simpel: ob er fehlschlägt oder nie startet, die Kopie blieb drei Tage alt, und genau das musste weg. Manchmal ist die ehrliche Antwort, den Job neu aufzusetzen, statt das Rätsel zu lösen.