Netatalk für Könner

Mit Netatalk steht Linux-Rechnern die Möglichkeit offen, Macintosh-Rechnern als File- und Printserver zu dienen. Mit den Anpassungen von Andrew Sun arbeitet Netatalk auch nach außen hin wie ein AppleShare/IP-Server - zum Nulltarif.

Netatalk selbst zu installieren ist eigentlich nicht sonderlich schwer - offensichtlich fällt es aber nahezu allen Linux-Distributoren schwer, eine ausgereifte und funktionierende Konfiguration mitzuliefern. Dateien werden beim Kopieren zerstört, Filesharing-Dienste laufen nicht transparent im Netzwerk oder der Server startet nur selten korrekt - vielleicht kann der beigelegte Source nicht einmal kompiliert werden.

Netatalk: das geht

• ... einen sehr schnellen Mac-Fileserver auf günstiger PC-Hardware aufziehen und sogar im Internet verfügbar machen.

• ... Druckjobs von Macs mit dem PostScript-Treiber entgegennehmen und an das Linux-Druckersystem weiterleiten. Zusammen mit einem installierten GhostScript kann man auf diese Weise aus einem billigen Tintenstrahldrucker ein qualitativ hochwertiges PostScript-Farbausgabegerät machen.

• ... per Netatalk+asun beiliegendem lp2pap.sh selbst Druckjobs an PostScript-Drucker im Mac-Netzwerk abschicken.

• ... ein AppleTalk-Netzwerk mit nbplkup genau untersuchen.

Einschränkungen

Bevor man mit Netatalk anfängt, sollte man sich über die Einschränkungen des Systems im Klaren sein.

• Netatalk läuft nicht unter MacOS und verhält sich nicht so.
  Es bietet zwar Macintosh-Rechnern seine Dienste an, läuft aber immer noch unter Linux. Mit der Macintosh-Bedienweise "probier mal etwas herum, irgendwann tut es" kommt man nicht sonderlich weit.

• Man muß selbst Hand anlegen und sich dafür Zeit nehmen.
  Netatalk kann sehr viele Dinge und um mit Netatalk sinnvoll arbeiten zu können, muß man diese nahezu komplett einmal durchgeschaut haben. Ob man nun eine Einstellung per Konfigurationsdatei oder Auswahldialog vornimmt, ist egal - man muß verstehen, was hinter dieser Einstellung steht.

• Netatalk bietet keine Auflösung nach Macintosh-Aliasen.
  Wer auf dem Mac ein Alias einer Datei anlegt, die auf einem Netatalk-Server liegt, wird dieses Alias nach einem Neu-Mounten des Servervolumes nicht mehr auflösen können. Dies gilt ebenso für Anwendungen, die über die gleiche Funktionsweise auf dem Mac Dokumente in andere Dokumente einbetten und so nachverfolgen. Grund hierfür ist einfach, daß die benötigte Funktion unter Linux anders realisiert wird und man so ein Verhalten aufwendig emulieren müsste. Auch Windows NT bietet in seinen Services for Macintosh keine derartige Funktion, lediglich CAP und Helios Ethershare haben etwas für dieses Problem im Sinne - kosten aber entweder den Verstand oder viel Geld :-)

• Hat man einen Druckjob einmal an den Linux-Spooler geschickt, ist er auf dem Linux-Rechner und kann vom Mac aus nicht mehr "mal eben so" gelöscht werden. Der Job muß dann vom Linux-Rechner aus gelöscht werden. Für erfahrene Linuxer klingt das albern, für Mac-User, die sich eigentlich nur einen günstigen PostScript-RIP für ihren Tintenstrahler per GhostScript und Netatalk in die Ecke stellen wollten ist das jedoch ein mittlerer Kulturschock.

Nachdem die pro und contra klar sind, kann man sich an die Arbeit machen.

Ordnung und Versionsfrage

Jede Distribution bringt eigene Startskripts und Pfadkonstruktionen mit - was bei SuSE unter /sbin/init.d/ liegt, liegt bei Debian unter /etc/rc.d/, ebenso geht es bei den Binaries geradezu weiter.

Damit man diese jeweilige Ordnung nicht durcheinanderbringt, empfiehlt es sich, entweder das der Distribution beiliegende Netatalk zu installieren und danach dann in Schritten zu überschreiben oder Netatalk komplett auf eigene Faust zu installieren.

Zuerst klärt man kurz ab, ob man überhaupt eine aktuelle Version von Netatalk hat. Ist es die Version 1.33, so ist das zwar die letzte öffentliche Release-Version, gleichzeitig ist diese Version aber dermaßen veraltet und fehlerhaft, daß sie nicht einmal mehr unter MacOS 8 oder einem Linux-System mit shadow-geschützten Passwörtern einwandfrei läuft. Die Version 1.4b2 ist da schon eine Ecke weiter - mit den richtigen Compileroptionen und ein paar Patches tut sie schon recht ordentlich.
Die Version, die man jedoch unbedingt haben will, ist die seit zwei Jahren von Andrew Sun weiterentwickelte 1.4b2+asun. Diese Version wird aktiv weiterentwickelt, bietet AppleShare/IP-Support und ist um viele Fehlerchen bereinigt. Ist es eine Version von vor 1999, so sollte man sie durch eine aktuelle ersetzen.

Zu haben ist die im Mai 1999 aktuelle Version netatalk-1.4b2+asun2.1.3 auf ftp://ftp.u.washington.edu/public/asun/. Wer schnell ans Werk gehen möchte, holt sich die wenigen Hundert Kb schnell, bevor es ans nächste Thema geht.

Colonel Kernel zur Stelle!

Vor der Arbeit an Netatalk sollte man kurz einmal prüfen, ob der Linux-Kernel für die Arbeit mit AppleTalk vorbereitet wurde. Netatalk setzt komplett auf die Dienste des Kernels auf und benötigt daher dessen Unterstützung.

ista:/usr/src/linux-2.2.5.SuSE # cat /var/log/boot.msg | grep AppleTalk
<6>NET4: AppleTalk 0.18 for Linux NET4.0
ista:/usr/src/linux-2.2.5.SuSE # dmesg | grep AppleTalk
NET4: AppleTalk 0.18 for Linux NET4.0

Fehlt bei beiden Befehlen die Ausgabe, so ist AppleTalk nicht fest in den Systemkernel eingebunden. Es empfiehlt sich, AppleTalk fest in den Systemkernel einzubinden und nicht automatisch bei Bedarf laden zu lassen, da AppleTalk sonst immer im unpassenden Moment vom Kernel entladen wird und der Rechner nicht mehr als Server im Netzwerk erreichbar ist - sorry, das ist leider Praxis. Alternativ kann man AppleTalk auch als Modul in den Kernel kompilieren und dann manuell per insmod appletalk laden. Wie man den Kernel kompiliert, steht nicht in diesem Artikel - entweder hat man es einmal gemacht oder man sollte sein Handbuch dazu befragen. Es ist auf jeden Fall eine gute Idee, ein vergessenes Modul kompilieren zu lassen, während man sich an die Installation von Netatalk macht.

Makefiles

Nachdem das Netatalk-Archiv geholt und entpackt wurde, geht es an die Konfiguration der Makefiles. Makefiles steuern den Compiler, der aus den Quelltexten ausführbare Programme macht.

ista:/usr/src # tar -xvzf /home/anders/netatalk-1.4b2_asun2.1.3.tar.gz
ista:/usr/src # cd netatalk-1.4b2+asun2.1.3
ista:/usr/src/netatalk-1.4b2+asun2.1.3 # ls
.                 Makefile          etc               rc.atalk.sysv
..                README            include           rc.atalk.wrapper
BUGS              README.ASUN       libatalk          services.atalk
CHANGES           TODO              lp2pap.sh         sys
COPYRIGHT         VERSION           man
ChangeLog         bin               rc.atalk.bsd
INSTALL           config           rc.atalk.redhat
ista:/usr/src/netatalk-1.4b2+asun2.1.3 #

In diesem Verzeichnis befinden sich nun die ausgepackten Quelltexte - auf geht es ans Werk. Es empfiehlt sich, nacheinander mehrere Dateien konsequent zu kontrollieren und ggf. zu ändern - wer mit einem Linux-Editor nicht zurechtkommt, sollte sich zumindest einen Editor wie "joe" oder "pico" anschauen. Bei "joe" bekommt man mit Ctrl-K, H eine Hilfeseite und die wesentlichen Kürzel wie Ctrl-K,X und Ctrl-K, Q hat man in kurzer Zeit drauf. Zur Not kann man die Dateien auf einen anderen Rechner z.B. per FTP oder Diskette rüberziehen und dann dort bearbeiten.

Zu kontrollieren sind nacheinander:
Das Systemspezifische Makefile sys/linux/Makefile,
das Makefile des AppleFilesharingProtocol-Daemons etc/afpd/Makefile und
das allübergreifende Makefile.

System-Makefile

In sys/linux/Makefile steht ein in den ersten zehn Zeilen ein wertvoller Hinweis, der dafür sorgt, ob man den Source hinterher überhaupt kompilieren kann oder nicht:

# if you aren't using pam and are using glibc, you'll need to add -lcrypt
# if you're using libc5, you'll need to take out the -lrpcsvc

Als Folge ändert man nun in seinem SuSE-6-Linux (ohne pam und mit glibc) die darunter folgende Zeile auf so etwas:
AFPLIBS=-lrpcsvc -lcrypt

Dadurch sagt man dem System, wie Daten verschlüsselt vorliegen und wie Netatalk diese zu behandeln hat. Wichtig ist dies später für die Anmeldung von Nicht-Gast-Benutzern am Fileserver, da auf Linux-Seite Passwörter grundsätzlich verschlüsselt vorliegen. Diese Zeile ist auch der Grund, warum z.B. die der SuSE-6.0 und 6.1 beiliegenden netatalk-Sourcen unter SuSE 6.0 und SuSE 6.1 nicht kompilierbar sind.

Makefile des afpd

Aus dem gleichen Grund sollte man auch darauf achten, ob man ein Linux mit Shadow-Passwortsystem hat. Shadowing sorgt dafür, daß sich sogar ein Hacker sich die allgemeine Passwort-Datei holen könnte, dort aber genau eines fehlt: die Passwörter. Die Passwörter stehen in der speziell geschützten Datei /etc/shadow. Inzwischen ist Shadowing unter den Linux-Distributionen Standard, daher sollte man im Makefile etc/afpd/Makefile die Compilerflags-Zeile des Fileserver-Daemons afpd darum erweitern:

CFLAGS= ${DEFS} ${AFSDEFS} ${KRBDEFS} ${DESDEFS} ${OPTOPTS} ${INCPATH} \
${PAMDEFS} -DSHADOWPW -DAPPLCNAME

Vergisst man die Änderung -DSHADOWPW, so ist später bei der Anmeldung am Fileserver jedes noch so korrekte Passwort des Benutzers automatisch "falsch". Diese Änderung ist der Grund, warum in den ersten Versionen der SuSE-5.x kein Benutzer die Fileserverdienste sinnvoll nutzen konnte.

Sollte in der Zeile CFLAGS noch ein Eintrag "-DCRLF" stehen, so sollte man diesen unbedingt entfernen.
Dieser Eintrag sorgt dafür, daß vom Macintosh als Textdateien angesehene Dateien bei der Übertragung zum Linux-Rechner so geändert werden, daß die Zeilenendekennung der unter Linux entspricht. Da der Mac etwas eigensinnig ist und mehr Sachen als Text beschreibt als tatsächlich Text ist, wandelt Netatalk auch Daten, die eigentlich keine Textdateien sind, sondern Binärdateien. Beim Transport zurück wird wiederum alles "zurückgewandelt", dadurch sind dann an der Stelle sind aber bereits viele Zeichen unwiederruflich verändert worden: die Daten sind unbrauchbar.
Da Netatalk bis zu den älteren Versionen von Andrew Sun immer mit dieser Einstellung als Standardeinstellung ausgeliefert wurde, hat z.B. SuSE bis und inklusive der aktuellen SuSE 6.1 diese Einstellung so belassen. Dankesschreiben wegen Datenverlust bitte an die Autoren von Netatalk an der University of Michigan und SuSE GmbH in Nürnberg, den Fehler habe ich im Sommer 1997 zur SuSE 5.0 gemeldet und bei neuen Versionen wiederholt - bis heute hat sich daran nichts geändert. In aktuellen Versionen von netatalk+asun ist die Funktion als Standardeinstellung ausgeschaltet und kann pro Netzwerk-Volume einzeln aktiviert werden.

Makefile des Pakets

Im Haupt-Makefile steht grundsätzliche Information über den Compilerlauf drin: welche Module und Bestandteile zu welchen Programmen zusammengesetzt werden sollen, welches Programm wohin installiert wird. Darüberhinaus stehen hier Compilerflags, die für alle Module gelten.

Wer möchte, kann die Pfade an die Pfade seiner Distribution anpassen, die Standardinstallation installiert alles an Konfigurationsdateien und Programmen in Verzeichnisse unterhalb von /usr/local/atalk/. Notwendig ist die Anpassung nicht.

Wichtiger sind hingegen die Werte für die verschiedenen Systemlibraries und die Unterstützung verschiedener Passwortsysteme. Mit der Einstellung von ...

#DB2DIR=/usr/local/BerkeleyDB
#DESDIR=/usr/local
TCPWRAPDIR=/usr
#PAMDIR=/usr
#AFSDIR=/usr/local/afs
#KRBDIR=/usr/local/kerberos

... fährt man einfach, aber gut. Passwörter werden unverschlüsselt übers Netzwerk übertragen und man kann per /etc/hosts.allow und /etc/hosts.deny gezielt vorgeben, welche Rechner keine AppleShare-Netzwerkdienste an diesem Rechner nutzen dürfen. Wer sich die DES-Library holt und installiert, kann die Variable DESDIR passend einstellen und in die Home-Verzeichnisse der AppleShare-Benutzer jeweils eine Datei ".passwd" hinterlegen, in der das unverschlüsselte Passwort steht. Bei dieser Variante werden dann beim Anmelden dieser Benutzer keine unverschlüsselten Passwörter ausgetauscht. Wer dem heimischen Ethernet-Hub vertraut und nicht mit Datenspionen rechnen muß, kann bei den unverschlüsselten Passwörtern bleiben.

Installation und Konfiguration

Nachdem man die drei Makefiles angepasst hat, kann man per make den Compilerlauf starten und anschließend per make install Netatalk installieren lassen. Nicht aktiviert werden durch diese Aktion Skripts, die Netatalk beim Rechnerstart automatisch starten - installiert werden sie im Verzeichnis ETCDIR, das im Haupt-Makefile angegeben wurde. Bei einer ungeänderten Version ist dies /usr/local/atalk/etc/rc.atalk, je nach Distribution wird dieses Skript dann in ein bestimmtes Verzeichnis kopiert, um automatisch gestartet zu werden.

/etc/services

Nachdem die Programmdateien installiert wurden, sollte man die Datei /etc/services um die AppleTalk-Dienste erweitern. Steht der passende Abschnitt nicht in der Datei /etc/services, so kann man ihn einfach hinzufügen:

ista:/usr/src/netatalk-1.4b2+asun2.1.3-anders # less /etc/services
[...]
ista:/usr/src/netatalk-1.4b2+asun2.1.3-anders # less services.atalk
rtmp            1/ddp           # Routing Table Maintenance Protocol
nbp             2/ddp           # Name Binding Protocol
echo            4/ddp           # AppleTalk Echo Protocol
zip             6/ddp           # Zone Information Protocol

afpovertcp      548/tcp         # AFP over TCP
afpovertcp      548/udp
ista:/usr/src/netatalk-1.4b2+asun2.1.3-anders # cat services.atalk >> /etc/services

(Wer in der letzten Zeile nur ein > getippt hat, wird sich danach schwören, seine Eingaben peinlich genau zu kontrollieren - denn dadurch hat er die Datei /etc/services mit services.atalk überschrieben).

atalkd.conf

Im ETCDIR von Netatalk liegt eine Konfigurationsdatei, mit der man Netatalk angeben kann, auf welchen Netzwerkkarten es auf AppleTalk-Pakete reagieren soll. Im einfachsten und üblichen Fall besteht diese Datei nur aus einer Zeile "eth0". Beim etwa 40 Sekunden dauernden Start des atalkd handelt dieses Programm mit anderen Fileservern und Macs im Netzwerk eine eigene Netzwerkadresse aus und schreibt diese selbst in die atalkd.conf - man muß sich um diese Datei nicht mehr kümmern.

Bei TCP/IP-Paketen ignoriert Netatalk die Netzwerkkarte, über die das Paket kam. Wer den Zugriff beschränken will, sollte sich die Dateien /etc/hosts.allow und /etc/hosts.deny anschauen.

afpd.conf

Netatalk+asun bringt eine Neuigkeit im ETCDIR mit sich: man kann seine Fileserver bequem in einer Datei verwalten. An dieser Stelle steht bewusst die Mehrzahl - denn man kann in Netatalk+asun mehrere Fileserver laufen lassen. Gegenüber dem Mac sieht es dann so aus, als ob z.B. fünf Rechner im Netzwerk Fileserver wären, tatsächlich ist dies jedoch ein einziger Rechner.

In der mitinstallierten afpd.conf befindet sich eine ausführliche Dokumentation der Datei, an dieser Stelle wird nur ein kleines Beispiel aufgezeigt:

Mit einer derartigen afpd.conf erscheinen in der Macintosh-Auswahl dann vier Fileserver:

• Der Server ista ist per AppleTalk und TCP/IP auf dem Standardport 548 erreichbar. Bei der Anmeldung wird der Anwender mit einer kurzen Meldung begrüßt.

• Istalix ist per AppleTalk und TCP/IP auf Port 12001 erreichbar. Er hört nur auf Anfragen, die an die IP-Adresse 192.168.254.254 gestellt wurden und verwendet eine eigene Tabelle für Volumes, die der Mac sehen darf.

• Istalus kann nicht per TCP/IP erreicht werden und hat ebenso eine eigene Tabelle für Mac-Volumes. Gäste können sich an diesem Rechner nicht anmelden.

• Der gastliche Hof erlaubt keinen Login über unverschlüsselte Passwörter. Sind keine verschlüsselten Passwörter möglich, so wird damit ein Server realisiert, auf dem sich nur Gäste anmelden können. Ebenso verwendet er eine eigene Tabelle für Mac-Volumes.

AppleVolumes.default

Ebenfalls im ETCDIR findet sich eine Datei, in der die Volumes erscheinen, die der Mac nachher sieht. Zeilenweise stehen hier mehrere Einträge, die sich fast selbst erklären und ebenso in der Datei dokumentiert sind. Interessant ist, daß man für jeden Server in der afpd.conf eine eigene Datei angeben kann - fehlt die Angabe, so wird die .default-Datei verwendet. Ebenso kann jeder Benutzer für sich in seinem Home-Verzeichnis eine Datei "AppleVolumes" anlegen, die dann für ihn verwendet wird. Wichtig ist, daß für den jeweilig eingeloggten Benutzer die Zugriffsrechte unter Linux weiterhin gelten: kann man unter Linux auf eine Datei mangels Zugriffsrechten nicht zugreifen, wird man das über den Mac auch nicht können.

In dieser Tabelle wird zuerst eingetragen, welches Verzeichnis auf Linux-Seite unter welchem Namen auf Mac-Seite steht. Kommen Leerzeichen vor, so ist die komplette Information in Anführungsstriche zu setzen. Fehlt der Mac-Name, so wird der Name des Verzeichnisses auf Linux-Seite genommen. der Gastbenutzer hat kein Home-Verzeichnis, daher fehlt ihm dann auf Mac-Seite der Eintrag.

Die erste Zeile gibt hierbei bereits einen Sonderfall an: das Home-Verzeichnis des Benutzers erscheint unter desssen Namen auf Mac-Seite. In der zweiten Zeile steht ein normaler Eintrag, der ein Verzeichnis unter Linux den Macs zur Verfügung stellt. In der dritten Zeile stehen die zwei Optionen "crlf" und "noadaouble". Die erste Option sorgt dafür, daß Dateien, die der Mac als Text-Dateien bezeichnet, beim Transfer zum Linuxrechner etwas konvertiert werden, so daß der Linux-Rechner diese (bis auf Umlaute) direkt darstellen kann. Die Option "noadouble=true" sorgt dafür, daß auf Linux-Seite keine Verzeichnisse ".AppleDouble" für Macintosh-spezifische Daten angelegt werden, solange nicht Macintosh-spezifische Daten abgespeichert werden müssen.

AppleVolumes.system

Ähnlich der AppleVolumes.default stehen hier Zuweisungen zwischen Mac- und Linuxseite. Im Falle der AppleVolumes.system stehen hier Zuweisungen zwischen Type und Creator des Macs gegenüber den Dateinamen der Linux-Seite. Hiermit wird eingestellt, daß z.B. Dateien mit dem Namenskürzel ".gif" vom Grafikkonverter bearbeitet werden, Dokumente mit dem Kürzel ".doc" aber von Microsoft Word. Im Normalfall lässt man diese Datei, wie sie ist.

papd.conf

In dieser Datei steht, welcher Drucker auf Linux-Seite unter welchem Namen auf Mac-Seite erscheinen soll - lässt man die Datei leer, so wird einfach kein Drucker angemeldet. Das in der Datei angegebene und auskommentierte Beispiel reicht für die meisten Anwendungszwecke einwandfrei aus, die Information über die PPD-Datei ist nur wichtig, wenn der Mac bei der Auswahl des Druckers automatisch eine eigene PPD finden und nutzen soll.

Besonders beachten sollte man, daß auf Macs der Drucker nur über den PostScript-Druckertreiber "LaserWriter 8" zur Verfügung steht, nicht über die Druckertreiber von z.B. Epson oder Canon - selbst, wenn ein entsprechender Drucker unter Linux installiert ist. Wer also vom Mac aus auf Linux-Seite ausdrucken möchte, muß dafür sorgen, daß die Linux-Seite z.B. mit dem apsfilter und GhostScript PostScript-Daten verarbeiten kann.

Stapellauf und Schiffstaufe

Nachdem alles installiert und konfiguriert wurde, kann es losgehen: per Start des Skripts "rc.atalk" werden nacheinander die Programme gestartet.

Das Skript rc.atalk etwas anzupassen empfiehlt sich, wenn man den Netatalk-Server in ein größeres Netzwerk einbinden möchte - ändert man die Zeile

        /usr/sbin/afpd;         echo -n ' afpd'

etwas auf z.B.

        /usr/sbin/afpd -c 200;         echo -n ' afpd'

ab, so können fortan nicht mehr nur fünf Rechner gleichzeitig Verbindungen zum Server offenhaben, sondern gleich 200.

Zuerst ist der AppleTalk-Daemon dran: Er handelt im Netzwerk Adressen aus und findet heraus, welche Rechner sich noch im Netzwerk herumtreiben. Der Start dauert etwa 40 Sekunden und sollte nicht verkürzt werden - in dieser Zeit versucht Netatalk, verschiedene Timer zu synchronisieren. Die gleiche Aufgabe macht der Mac beim Systemstart im Hintergrund - und braucht dafür dann normalerweise noch etwas länger.

Nachdem der atalkd gestartet wurde, können papd und afpd gestartet werden. Papd stellt das Printer-Access-Protocol von Apple zur Verfügung und bietet so Macs die Möglichkeit, per PostScript auf Linux-Drucker auszugeben, der afpd ist der Dienst, der den Linux-Rechner auf Mac-Seite als Fileserver erscheinen lässt.

Kontrolle

Wer immer schon einmal wissen wollte, was sich in einem Netzwerk so an AppleTalk-Geräten und -Programmen herumtreibt, findet in nbplkup ein hilfreiches Werkzeug. nbplkup sucht etwa zwei Sekunden lang nach allem, was sich im Netzwerk auf die Schnelle auftreiben lässt und gibt dieses mit vollem Namen, Geräteart und AppleTalk-Adresse aus. Zusammen mit der AppleTalk-Adresse kann man so z.B. auch herausfinden, daß auf dem Rechner abc gerade eine Lizenz von Adobe Photoshop aktiv ist ...