Wichtige Linux-Befehle für den Server

Wichtige Linux-Befehle helfen nur, wenn Sie zuerst Kontext und Ausgabe prüfen. Orientieren Sie sich mit sicheren Leseoperationen, grenzen Sie Suche und Zielpfade ein, behandeln Sie Rechte und Prozesse vorsichtig und führen Sie Änderungen erst aus, nachdem Platzhalter, Anführungszeichen, Rückgabecode und Wiederherstellungsweg geklärt sind.

Erst lesen, dann verändern

Die Kommandozeile ist kein Vokabeltest. Auf einem Server zählt, ob Sie eine Aufgabe reproduzierbar lösen und eine falsche Annahme rechtzeitig erkennen. Betrieb schlägt Prospekt. Beginnen Sie deshalb mit Befehlen, die Zustand anzeigen, und wechseln Sie erst nach einer Plausibilitätsprüfung zu einer Änderung.

Drei Regeln tragen durch alle Abschnitte:

• Lesen Sie Host, Identität und Ziel, bevor Sie eine Wirkung auslösen.
• Begrenzen Sie Pfad, Zeitraum und Suchmuster so eng wie möglich.
• Prüfen Sie Rückgabecode, Zustand und Protokoll direkt nach der Änderung.

In allen Beispielen stehen großgeschriebene Wörter wie PATH, FILE, UNIT, USER, HOST und PID für Platzhalter. Ersetzen Sie sie durch einen realen Wert. Tippen Sie die Großbuchstaben nicht blind ab. Pfade stehen absichtlich nach einem doppelten Bindestrich, soweit das jeweilige GNU-Werkzeug diese Trennung unterstützt; so wird ein Dateiname mit führendem Minus nicht als Option gelesen.

COMMAND --help
man COMMAND

Die lokale Hilfe gehört zur installierten Version und gewinnt bei Abweichungen. GNU, BusyBox und BSD-Werkzeuge können gleich heißen, aber andere Optionen oder Ausgabeformate besitzen. Für Skripte sollten Sie außerdem keine wechselnden Standardspalten parsen, sondern die benötigten Felder ausdrücklich anfordern.

Orientierung: Wo bin ich, wer bin ich, was liegt hier?

Diese Gruppe beantwortet drei Fragen: Arbeitsverzeichnis, Identität und Inhalt. Sie verändert noch nichts.

pwd
id
ls -la -- /PATH
stat -- /PATH/FILE

pwd zeigt das aktuelle Arbeitsverzeichnis. id zeigt Benutzer- und Gruppenkennungen. ls -la macht auch versteckte Einträge sichtbar, während stat Metadaten eines konkreten Ziels liefert. Prüfen Sie vor jeder relativen Pfadangabe zuerst pwd. Ein korrekt geschriebener Befehl im falschen Verzeichnis bleibt ein falscher Befehl.

Dateien lesen und Inhalte suchen

Für eine erste Sichtung reichen häufig Kopf, Ende und eine gezielte Suche. Das ist schneller und sicherer als eine Datei sofort in einem Editor zu verändern.

head -n 120 -- /PATH/FILE
tail -n 120 -- /PATH/FILE
grep -n -- 'PATTERN' /PATH/FILE
find /PATH -type f -name 'PATTERN' -print

Setzen Sie Suchmuster in einfache Anführungszeichen, wenn die Shell Zeichen wie Stern, Dollarzeichen oder Leerzeichen nicht vor grep oder find auswerten soll. Bei grep bedeutet Rückgabecode 0 einen Treffer, 1 keinen Treffer und 2 einen Fehler. Kein Treffer ist damit nicht dasselbe wie ein kaputter Suchlauf.

Bei find ist die Reihenfolge des Ausdrucks Teil der Logik. Verwenden Sie find -delete nicht als bequeme Erweiterung einer ungetesteten Suche. GNU find aktiviert dabei eine Tiefensuche, und ein falsch platzierter Löschschritt kann einen deutlich größeren Baum treffen. Prüfen Sie denselben Suchraum zuerst mit -print und sichern Sie die betroffenen Daten.

Platten, Prozesse, Dienste und Netzwerk prüfen

Serverprobleme überschneiden sich. Eine nicht erreichbare Anwendung kann an einem vollen Dateisystem, einem gestoppten Dienst, einem falschen Listener oder einer fehlenden Route liegen. Gehen Sie nach Schichten vor.

Speicher und Mounts

df -h -- /PATH
lsblk -o NAME,SIZE,FSTYPE,MOUNTPOINTS
findmnt --target /PATH

df zeigt die Belegung des Dateisystems, das den Pfad enthält. lsblk ordnet Blockgeräte und Mountpunkte, findmnt löst einen konkreten Pfad auf sein Dateisystem auf. Verwechseln Sie einen vollen Mount nicht mit der gesamten Maschine. Auf komplexen Systemen kann dasselbe Dateisystem mehrere Pfade oder Gerätebezüge haben.

Prozesse und Dienste

ps -ef
systemctl status UNIT
journalctl -u UNIT --since 'YYYY-MM-DD HH:MM'

ps liefert eine Momentaufnahme laufender Prozesse. Für einen systemd-Dienst sind systemctl status und das auf die Unit sowie einen Zeitraum begrenzte Journal meist aussagekräftiger. Verwenden Sie den echten Unit-Namen, zum Beispiel eine Endung mit service, und lesen Sie die erste Fehlermeldung im zeitlichen Zusammenhang statt nur die letzte rote Zeile.

Ein Prozess ist durch seine PID nicht fachlich identifiziert. Prüfen Sie Besitzer, Kommando und zugehörigen Dienst, bevor Sie ein Signal senden. TERM gibt einem Prozess grundsätzlich die Möglichkeit, geordnet aufzuräumen; KILL tut das nicht. Bei einem verwalteten Dienst ist ein kontrollierter Stopp über dessen Service-Manager meist der nachvollziehbarere Weg.

Adressen, Routen und Listener

ip address show
ip route show
ss -lnt

ip address zeigt Adressen an Schnittstellen, ip route die Routingtabelle. ss -lnt listet lauschende TCP-Sockets numerisch. Ein Listener beweist noch keine externe Erreichbarkeit: Firewall, Bind-Adresse, Route und vorgelagerte Infrastruktur bleiben separate Prüfungen.

Dateien kopieren und Archive kontrolliert auspacken

Vor Kopien prüfen Sie Quelle, Ziel, freien Platz und vorhandene Namen. cp und mv können je nach Optionen bestehende Ziele ersetzen. Ein interaktiver Schalter ist eine Rückfrage, kein Backup und keine verlässliche Grundlage für unbeaufsichtigte Skripte.

ls -la -- /SOURCE /DESTINATION
df -h -- /DESTINATION
cp -- /SOURCE /DESTINATION

Archive sollten Sie zuerst auflisten und danach in ein eigens vorbereitetes Verzeichnis extrahieren. So sehen Sie Mitgliedsnamen, bevor sie in einen produktiven Baum gelangen.

tar -tf /PATH/ARCHIVE.tar
mkdir -p -- /RESTORE_DIR
tar -xf /PATH/ARCHIVE.tar -C /RESTORE_DIR

Behandeln Sie fremde Archive als nicht vertrauenswürdig. Prüfen Sie absolute Pfade, aufsteigende Pfadbestandteile und symbolische Links. Extrahieren Sie nicht direkt über Konfigurationen oder Webroots. Der Wiederherstellungspfad gehört geprüft, bevor Sie ihn brauchen.

Rechte und Eigentümer: rekursiv ist eine Risikoklasse

Lesen Sie zuerst Identität, Metadaten und Pfadkomponenten:

id
stat -- /PATH
namei -l -- /PATH

chmod verändert Zugriffsrechte, chown Eigentümer und Gruppe. Bei beiden dehnt -R die Operation auf einen Verzeichnisbaum aus. Vermeiden Sie rekursive Änderungen, bis Startpfad, Mountgrenze, Symlinks und gewünschter Endzustand eindeutig sind. Ein pauschales 777 beseitigt keine Ursache; es vergrößert lediglich die Angriffsfläche.

Ändern Sie möglichst den kleinsten konkreten Pfad und verwenden Sie symbolische Modi, wenn sie die Absicht klarer ausdrücken. Dokumentieren Sie den vorherigen Zustand. Bei geteilten Verzeichnissen können setgid, umask, ACLs oder ein Dienstkonto die eigentliche Lösung sein, nicht eine wiederholte globale Korrektur.

sudo: Berechtigung ist keine Sicherheitsprüfung

sudo lässt einen durch die lokale Richtlinie erlaubten Befehl mit anderer Identität laufen. Es prüft nicht, ob Ihr Zielpfad sinnvoll oder Ihre Annahme richtig ist. Ein Server ist eine Maschine im Betrieb, kein Ausstellungsstück. Nutzen Sie erhöhte Rechte für einen eng begrenzten Befehl, nicht als dauerhafte Root-Shell.

Lesen Sie zuerst ohne Erhöhung, soweit Berechtigungen das zulassen.

sudo -- COMMAND ARGUMENT

Auch COMMAND und ARGUMENT sind Platzhalter. Kontrollieren Sie die vollständige expandierte Eingabe, besonders bei Variablen, Wildcards und Umleitungen. Eine Umleitung wird von der aufrufenden Shell verarbeitet und kann deshalb andere Rechte besitzen als der über sudo gestartete Befehl.

Ausgabe, Fehler, Pipe und Rückgabecode verstehen

Ein Befehl kann Daten auf Standardausgabe und Diagnosen auf Standardfehler schreiben. Eine einfache Umleitung mit größer-als legt die Zieldatei neu an oder kürzt sie. Verwenden Sie sie deshalb nur mit einem bewusst neuen oder entbehrlichen Ziel.

COMMAND > /PATH/stdout.log 2> /PATH/stderr.log
COMMAND
status=$?
printf '%s\n' "$status"

Speichern Sie den Rückgabecode unmittelbar nach dem relevanten Befehl; jeder folgende Befehl setzt einen neuen. Null steht konventionell für Erfolg, ein anderer Wert für eine besondere Bedingung oder einen Fehler. Die genaue Bedeutung liefert die jeweilige Dokumentation.

Eine Pipe verbindet die Standardausgabe links mit der Standardeingabe rechts. Standardmäßig beschreibt der Bash-Status einer Befehlskette den letzten Befehl. Mit der Bash-Option pipefail kann ein Fehler in einem früheren Glied sichtbar werden. Das ist für Skripte wichtig, ersetzt aber keine Prüfung, ob die Ausgabe fachlich vollständig war.

SSH-Verbindungen diagnostizieren

OpenSSH verschlüsselt die Verbindung, löst aber keine Namens-, Routing-, Firewall- oder Schlüsselprobleme automatisch. Beginnen Sie mit einem eindeutigen Benutzer und Host. Die ausführliche Ausgabe zeigt, an welcher Phase die Verbindung scheitert.

ssh -v USER@HOST

Lesen Sie Host-Key-Warnungen vollständig. Bestätigen Sie einen geänderten Fingerabdruck nicht reflexartig, sondern gleichen Sie ihn über einen unabhängigen, vertrauenswürdigen Kanal ab. Private Schlüssel gehören weder in Tickets noch in Chatnachrichten oder Shell-Historien.

Wenn der Zugang geändert werden soll, fragen Sie nach dem Ausfallpfad: Gibt es eine zweite getestete Sitzung, Konsole oder Recovery-Option? Eine fehlerhafte SSH-Konfiguration wird erst dann zum längeren Ausfall, wenn der einzige funktionierende Zugang vor der Gegenprobe geschlossen wird.

Eine kurze Arbeitsroutine

Fazit

Eine brauchbare Linux-Befehlsübersicht ordnet Werkzeuge nach Aufgaben und Risiko. Lesen Sie zuerst Identität, Pfad, Mount, Prozess, Dienst und Netzstatus. Ändern Sie danach so klein wie möglich und prüfen Sie Wirkung sowie Rückweg. So wird die Shell vom Ratespiel zum kontrollierten Betriebswerkzeug.