Al Mòdul 1 vas dibuixar el mapa: saps què és /etc, què distingeix /opt de /srv i per què /var conté allò que creix. Però conèixer un mapa i recórrer el terreny són coses diferents. Aquesta lliçó és el recorregut.

Moure's pel sistema de fitxers sembla trivial —cd per anar-hi, ls per mirar— i tanmateix és on es perd més temps al llarg d'una carrera. La diferència entre algú que navega amb fluïdesa i algú que no és en detalls concrets: saber tornar al directori anterior amb dues tecles, llegir la sortida d'ls -l d'un cop d'ull, entendre què et diu exactament cada marca de temps d'un fitxer, i no confondre «això ocupa 4 KB» amb «això declara 18 bytes».

Un avís abans de començar: fins al final d'aquesta lliçó no modificaràs res. Totes les ordres que veuràs són de només lectura. És deliberat: primer s'aprèn a mirar, i a la lliçó següent s'aprèn a tocar.

1. pwd i el directori de treball
2. cd en totes les seves formes
3. Rutes absolutes i relatives a la pràctica
4. . i ..: entrades reals del directori
5. ls a fons
6. Llegir ls -l columna a columna
7. tree: veure l'estructura d'un cop d'ull
8. stat i les tres marques de temps
9. file: què és un fitxer de debò
10. du i df: quant ocupa i quant queda
11. No perdre's mai: hàbits d'orientació
12. Pràctica guiada: recorregut per l'arbre de Tramontana

Cada procés del sistema té un directori de treball actual (current working directory, cwd): el punt de l'arbre des del qual interpreta les rutes relatives. El teu shell és un procés i també té el seu.

pwd (print working directory) respon sempre amb una ruta absoluta, des de /.

En iniciar sessió, el teu directori de treball és el teu directori personal, que a srv-tramontana és /home/operador. Per això el prompt mostra ~: és l'abreviatura del home.

pwd té dues opcions que només tenen sentit quan hi ha enllaços simbòlics pel mig (lliçó 02-06):

Aquesta diferència serà important quan Tramontana adopti el patró de desplegament amb enllaços. De moment, queda't que pwd -P et diu on ets de debò.

cd (change directory) canvia el directori de treball. És un builtin, i a la lliçó 02-01 vas veure per què ho ha de ser.

Recorregut complet:

Fixa't en com el prompt reflecteix el directori actual. És el teu instrument d'orientació permanent i no costa res mirar-lo.

Les dues formes que més temps estalvien, i que molta gent no coneix:

cd - alterna entre els dos últims directoris, com el botó «enrere». En fer-lo servir, Bash imprimeix on ha anat:

És perfecte quan estàs comparant la configuració amb els registres: dues tecles per saltar d'un costat a l'altre.

~usuari és la ruta del home d'un altre usuari, resolta pel shell:

Compte amb ~root: és /root, no /home/root. El compte d'administració té el seu home fora de /home precisament perquè continuï sent accessible encara que /home sigui en una partició que no s'ha muntat, cosa que importa en la recuperació del sistema (lliçó 07-01).

Un comportament a tenir en compte: si cd falla, no et mous.

El prompt no ha canviat i pwd ho confirma. Aquest és el detall que feia perillós el ; de la lliçó anterior: cd falla, però l'ordre següent s'executa igualment, al lloc equivocat.

La definició la vas veure al Mòdul 1. Aquí la faràs servir.

• Absoluta: comença per /. Significa el mateix des de qualsevol lloc.
• Relativa: no comença per /. S'interpreta des del directori actual.

L'arbre de Tramontana que faràs servir com a referència:

Exercicis de traducció. Ets a /var/log/tramontana. Com arribes a cada destí de les dues maneres?

Comprovació pràctica de la tercera fila:

Tres .. perquè cal pujar de tramontana a log, de log a var, i de var a /. Compta els nivells del prompt i et surten sols.

Quan fer servir cadascuna:

Regla mnemotècnica: relativa per als teus dits, absoluta per a les màquines.

. és el directori actual i .. és el pare. Però no són un truc del shell: són entrades reals dins de cada directori, escrites al disc.

Les dues primeres línies són entrades de debò, amb els seus permisos, el seu propietari i la seva data. Comprovació definitiva:

El mateix número, 262148. Aquest número és l'inode, i que coincideixi demostra que . i el directori són literalment el mateix objecte. Els inodes són el tema de la lliçó 02-06; guarda't aquesta dada.

Dues conseqüències pràctiques:

./ és obligatori per executar un programa del directori actual. Com vas veure a 02-01, el directori actual no és al PATH:

./ protegeix davant de noms que comencen per guionet, com vas veure amb el separador --. rm ./-informe.txt funciona sempre.

Un detall sobre el directori arrel: a /, l'entrada .. apunta a si mateixa. cd /.. et deixa a /. L'arbre s'acaba aquí.

ls és l'ordre que més vegades executaràs a la teva vida. Val la pena conèixer-la bé.

Sense opcions, ls és escarit perquè el shell antic ho era:

Combinacions que es fan servir de debò:

ls -ltr mereix un comentari: en ordenar de més antic a més recent, l'últim modificat queda just a sobre del prompt, on tens la vista. En un directori amb dos-cents fitxers, això és la diferència entre veure la resposta i haver-la de buscar.

-d és l'opció menys intuïtiva i més necessària. Sense ella, ls -l sobre un directori llista el seu contingut; amb ella, descriu el directori mateix:

La primera et diu què hi ha a dins; la segona et diu qui hi pot entrar. Quan arribis als permisos a la lliçó 02-07, ls -ld serà la teva eina principal.

-R recorre l'arbre sencer. Fes-lo servir amb compte: ls -R / produeix centenars de milers de línies.

Aquesta sortida cal saber-la llegir d'un cop d'ull, perquè conté gairebé tota la informació rellevant d'un fitxer:

Desmuntada:

Un detall de la sisena columna: ls mostra l'hora si el fitxer s'ha modificat en els últims sis mesos, i l'any si és més antic. Aquesta asimetria desconcerta la primera vegada:

Si vols dates completes i sense ambigüitat:

La segona columna, el nombre d'enllaços, té un comportament que sorprèn: als directoris no val mai 1.

Val 4 perquè compten: l'entrada app a /opt/tramontana, l'entrada . dins d'app, i les entrades .. dels seus dos subdirectoris. El nombre d'enllaços d'un directori és 2 + el nombre de subdirectoris que conté. És un truc per comptar subdirectoris sense entrar-hi, i quedarà completament clar a la lliçó 02-06.

I la mida d'un directori (4096) no és el que conté: és el que ocupa la seva pròpia llista de noms. Per saber què conté hi ha du, a l'apartat 10.

tree mostra la jerarquia dibuixada. No ve instal·lat per defecte a Ubuntu Server:

(La gestió de paquets s'estudia a la lliçó 05-03; aquí l'instal·lem i seguim.)

Opcions imprescindibles:

-L és pràcticament obligatòria en directoris grans:

Allà veus una cosa interessant: bin, lib i sbin apareixen amb una fletxa. Són enllaços simbòlics a directoris dins de /usr, resultat de la reorganització /usr-merge que van fer les distribucions modernes. La lliçó 02-06 explica exactament què significa aquesta fletxa.

Combinació molt útil per documentar l'estructura d'un projecte:

ls -l dona un resum. stat dona tot:

El que aporta sobre ls -l:

• El número d'inode (262151) i el dispositiu on viu.
• Els permisos en octal i simbòlic alhora (0644/-rw-r--r--), molt útil per a la lliçó 02-07.
• Els UID i GID numèrics a més dels noms.
• Els blocs realment ocupats.
• I les marques de temps amb precisió de nanosegons.

Les tres marques clàssiques es confonen constantment. Aquesta taula resol la confusió:

L'error més estès és creure que ctime significa creation time. No és així: és change time, el moment en què va canviar l'inode. Canviar els permisos d'un fitxer actualitza el seu ctime però no el seu mtime.

Demostració:

L'mtime (%y) no s'ha mogut: el contingut no ha canviat. El ctime (%z) sí: l'inode s'ha modificat en canviar els permisos. Aquesta distinció és la base de la detecció d'intrusions (lliçó 06-04): un atacant pot falsificar l'mtime, però no el ctime.

La quarta línia, Birth (temps de naixement), és relativament moderna. Existeix a ext4 i altres sistemes de fitxers actuals, però no totes les eines l'exposen i no es pot consultar de manera portable.

Un detall sobre l'atime que convé conèixer: actualitzar-lo cada vegada que es llegeix un fitxer implica una escriptura al disc per cada lectura, cosa que seria un desastre de rendiment. Per això Linux munta els sistemes de fitxers amb l'opció relatime, que només actualitza l'atime si és més antic que l'mtime o si han passat més de 24 hores. Conseqüència: l'atime que veus és aproximat. No el facis servir per a auditoria precisa.

stat accepta formats personalitzats amb -c:

Aquesta forma és la que faràs servir als scripts del Mòdul 4 per generar informes.

A Windows, l'extensió determina el tipus. A Linux l'extensió és només part del nom: no significa res per al sistema. El que determina el tipus és el contingut, i qui l'interpreta és el programa que l'obre.

file examina els primers bytes d'un fitxer i els compara amb una base de dades de signatures conegudes (els números màgics):

Prova definitiva que l'extensió no mana:

Es diu .jpg i continua sent text. file no es deixa enganyar pel nom.

Casos en què file et salva d'un problema:

Aquest últim exemple és un clàssic: with CRLF line terminators significa que el fitxer té finals de línia de Windows. Bash intenta executar /bin/bash\r i falla amb un missatge incomprensible. file dona el diagnòstic en un segon.

Opcions útils:

Hàbit professional: passa file a tot fitxer desconegut abans d'obrir-lo. A la lliçó 02-05 veuràs per què fer cat d'un binari destrossa el teu terminal; file és la comprovació que ho evita.

Dues ordres que es confonen i responen a preguntes diferents:

• df (disk free): quant espai queda als sistemes de fitxers muntats. Pregunta al sistema de fitxers.
• du (disk usage): quant ocupa un directori concret. Recorre i suma.

Allà veus el disc de 23 GB al 30 % que coneixes de la instal·lació. Les línies tmpfs són sistemes de fitxers a memòria RAM, no al disc: per això /run i /dev/shm desapareixen en reiniciar.

Opció imprescindible que gairebé ningú no fa servir:

-i mostra els inodes, no els bytes. Un disc pot tenir espai lliure i tot i així donar No space left on device si s'han esgotat els inodes, típicament per milions de fitxers diminuts. És una incidència que desconcerta qui no sap que existeix, i df -hi és el diagnòstic en un segon.

du respon a la pregunta contrària:

Sense -s, du desglossa cada subdirectori, cosa que a / produeix una allau. Amb -d 1 obtens el desglossament d'un nivell, que és el que vols per buscar culpables:

L'última línia és el total de /var/log, inclosos els fitxers solts que no són en cap subdirectori.

La diferència entre mida declarada i espai ocupat explica una discrepància que confon:

El fitxer declara 5 bytes, però ocupa 4 KB perquè el sistema de fitxers assigna espai en blocs i el bloc mínim d'ext4 és de 4 KB. Un directori amb cent mil fitxers de 5 bytes ocupa 400 MB reals.

Per això du (que mesura el que està ocupat) i df (que mesura el que queda lliure al dispositiu) poden no quadrar. Una altra causa clàssica de descompensació: un fitxer esborrat que continua obert per un procés. Desapareix de l'arbre, així que du no el veu, però l'espai no s'allibera fins que el procés el tanca, així que df sí que el compta. És el motiu pel qual esborrar un registre enorme sense reiniciar el servei no allibera espai, i ho reprendràs a la lliçó 05-07.

Tres costums que eviten el 90 % dels ensurts:

1. Llegeix el prompt abans de cada ordre destructiva. El prompt d'Ubuntu ja mostra el directori actual. No costa res mirar-lo, i a l'instant anterior a un rm és el que separa esborrar el correcte d'esborrar l'altra cosa.

2. pwd com a reflex. Després de qualsevol cd encadenat, després de tornar d'una pausa, després de connectar-te per SSH a una altra màquina. És gratis.

3. Abans d'actuar, mira. El patró que ja vas veure a 02-01 i que es repetirà tot el curs:

Un quart hàbit, per més endavant: quan treballis en diversos servidors alhora, personalitza el prompt perquè mostri el nom de la màquina en un color diferent. És la manera de no executar en producció el que anaves a executar en proves. Es fa amb la variable PS1 (lliçó 03-01).

Recorrerem sencer el desplegament de Tramontana Reserves, descrivint cada peça. Aquest recorregut és el que faries en rebre un servidor que no coneixes.

Punt de partida i visió general:

Un sol sistema de fitxers per a tot l'arbre, al 30 %. Bé d'espai, i també significa que qualsevol cosa que creixi sense control afecta tot el sistema.

L'aplicació:

Diagnòstic: programari de tercers a /opt segons l'FHS, propietat de root (els usuaris no poden modificar el codi: correcte), 48 MB, un binari compilat i les seves plantilles. Dades estàtiques: no canvien excepte en un desplegament.

La configuració:

Dues coses rellevants. La primera: permisos 640, és a dir, ningú que no sigui root o del grup tramontana la pot llegir, cosa que és correcta perquè conté credencials. La segona: el grup tramontana apareix aquí, i encara no l'hem creat formalment; això es farà a la lliçó 05-01. El significat exacte del 640 és la lliçó 02-07.

Fixa't també en l'mtime: es va modificar aquest matí a les 8:47. En un servidor que no hauria de canviar, una configuració modificada recentment és el primer que s'investiga davant d'una incidència.

Els registres:

Dades variables: creixen amb l'ús. 26 KB avui no és res, però un registre d'accés en producció creix de manera lineal amb el trànsit, i aquest és exactament l'escenari que justificava posar-lo a /var. Que sigui ASCII text importa: significa que totes les eines de processament de text del Mòdul 3 hi funcionaran.

Les còpies i les dades de treball:

Les dades de treball són al teu home, separades de l'aplicació. reserves.csv fa servir punt i coma com a separador, un detall que serà important en processar-lo a la lliçó 03-05.

Resum del recorregut, en el format d'informe que la Marta espera:

Amb cinc ordres —df, tree, ls -l, stat, du— has caracteritzat un servidor complet sense tocar res. Aquest és el reconeixement inicial que es fa en heretar un sistema.

Confondre .. amb .. cd . no fa res, cd .. puja. Un caràcter, molta diferència.

Fer servir rutes relatives en scripts. Funciona mentre l'executes a mà des del directori adequat, i falla el dia que el llança cron des de /. Absolutes sempre en scripts.

Creure que la mida d'un directori a ls -l és el que conté. No: són 4096 bytes d'índex. Fes servir du -sh.

Confondre du amb df. Si preguntes «quant queda al disc», és df. Si preguntes «què està ocupant tant», és du.

Creure que el ctime és la data de creació. És change time. La creació real, quan està disponible, la mostra stat com a Birth.

Refiar-se de l'extensió. Un .txt pot ser un binari i un fitxer sense extensió pot ser un executable. file és la resposta.

Consell: cd - i pushd/popd. cd - alterna entre dos. Si necessites una pila de directoris, pushd i popd la implementen; són builtins i la seva documentació és a help pushd.

Consell: ls -ltr en directoris amb molts fitxers. El més recent queda enganxat al prompt.

Consell: ls -ld és l'opció que més s'oblida. Cada vegada que vulguis saber alguna cosa del directori i no del seu contingut, és -d.

Consell: df -hi quan «no queda espai» però df -h diu que sí. S'han esgotat els inodes.

Sense executar res, partint de l'arbre de Tramontana de l'apartat 3 i sent a /opt/tramontana/app/plantilles:

1. Ruta relativa a /opt/tramontana/app/version.txt.
2. Ruta relativa a /etc/tramontana/app.conf.
3. Quin directori és ../../../../var/log?
4. Què fa cd ../.. des d'aquí, i quin és el pwd resultant?

Després comprova les teves respostes al servidor.

La Marta et demana que revisis el directori /var/log de srv-tramontana perquè «sembla que el disc es va omplint». Sense esborrar res, esbrina i presenta:

1. Quant espai lliure queda a la partició arrel i quin percentatge s'utilitza.
2. Quant ocupa /var/log en total.
3. Quins tres subdirectoris de /var/log ocupen més.
4. Quin és el fitxer modificat més recentment dins de /var/log/tramontana i a quina hora.
5. Si aquell fitxer és text o binari.

Al teu home, amb un fitxer de prova:

1. Crea /tmp/marques.txt amb una mica de contingut i anota les seves tres marques de temps.
2. Llegeix-lo amb cat. Quina ha canviat?
3. Canvia'n els permisos amb chmod 600. Quina ha canviat ara?
4. Afegeix-hi contingut. Quines han canviat?
5. Explica per què un atacant que vol ocultar que ha modificat un fitxer del sistema pot falsificar l'mtime però li resulta molt més difícil falsificar el ctime.

Solució 1

1. ../version.txt — puges de plantilles a app i allà hi ha el fitxer.

2. ../../../etc/tramontana/app.conf. Compta els nivells: de plantilles a app (un), a tramontana (dos), a opt (tres)... i des d'opt cal pujar-ne un més fins a /. Són quatre: ../../../../etc/tramontana/app.conf.

Comprovem-ho, que és just el tipus d'error que es comet:

La ruta absoluta actual té quatre components (opt, tramontana, app, plantilles), així que calen quatre .. per arribar a l'arrel. Aquesta és exactament la raó per la qual les rutes absolutes són millors així que la distància passa d'un parell de nivells: /etc/tramontana/app.conf no admet aquest error.

3. ../../../../var/log és /var/log, pel mateix càlcul.

4. cd ../.. puja dos nivells: de plantilles a app, i d'app a tramontana.

Solució 2

15 GB lliures, 30 % utilitzat. Sense problema per ara.

1,3 MB sobre 23 GB: /var/log no és la causa que el disc s'ompli. Aquesta és la dada que tanca la pregunta de la Marta.

(El | sort -h | tail és una canonada; s'explica a fons al Mòdul 3. Pots obtenir el mateix llegint la sortida de du -h -d 1 /var/log a ull.)

El consumidor més gran és journal, el registre de systemd, amb 912 KB. És normal i té un límit de mida configurable (lliçó 05-06).

acces.log, modificat a les 09:14. -t ordena per data descendent, així que el primer és el més recent.

Informe per a la Marta: el disc arrel està al 30 % amb 15 GB lliures. /var/log ocupa 1,3 MB en total, així que no és el que està omplint el disc; convé mirar en un altre lloc. Dins dels registres, el consumidor més gran és el diari del sistema (912 KB) i els registres de l'aplicació sumen 26 KB. El registre d'accés es va actualitzar per última vegada a les 09:14 d'avui, cosa que confirma que l'aplicació està funcionant i escrivint amb normalitat.

Solució 3

En crear-lo, les tres coincideixen.

Només ha canviat l'atime: has llegit el contingut, no l'has modificat. (Si no veus el canvi, és per relatime: si l'atime ja era més recent que l'mtime i no han passat 24 hores, el nucli no l'actualitza. És el comportament normal i esperat.)

Només ha canviat el ctime: has modificat l'inode (els permisos hi viuen), no el contingut ni l'has llegit. Aquesta és la demostració que el ctime no és creation time.

Han canviat l'mtime i el ctime. El contingut ha canviat (mtime) i, en canviar el contingut, també ha canviat la mida registrada a l'inode (ctime). No ha canviat l'atime perquè escriure no és llegir.

Punt 5: per què el ctime és difícil de falsificar. L'ordre touch permet fixar l'atime i l'mtime al valor que vulguis (touch -t, lliçó 02-04). Un atacant que modifica /etc/tramontana/app.conf pot deixar l'mtime exactament com estava i el fitxer semblarà intacte a ls -l.

Però el ctime no es pot fixar. No hi ha cap crida al sistema que permeti escriure-hi un valor arbitrari: el nucli l'actualitza automàticament cada vegada que l'inode canvia, inclòs el canvi que provoca el mateix touch en falsificar l'mtime. Falsificar el ctime exigeix accés directe al dispositiu de blocs per sota del sistema de fitxers, o canviar el rellotge del sistema, i totes dues coses deixen altres rastres.

D'aquí la pràctica forense: davant la sospita d'una intrusió, es comparen l'mtime i el ctime. Un fitxer el ctime del qual és molt posterior al seu mtime ha estat tocat d'una manera que mereix explicació. És un dels indicadors que fan servir les eines de la lliçó 06-04.

Ja no navegues a les palpentes per l'arbre del Mòdul 1: el recorres amb instruments.

• pwd et diu on ets, i pwd -P on ets de debò quan hi ha enllaços pel mig.
• cd té més formes de les que semblava: cd - per alternar, cd tot sol per tornar a casa, ~usuari per al home aliè. I si falla, no et mous, que és justament el que feia perillós el ;.
• Saps traduir entre rutes absolutes i relatives comptant nivells, i tens el criteri: relatives per als teus dits, absolutes per a scripts i cron.
• . i .. són entrades reals amb el seu propi inode, i per això ./programa és la manera d'executar alguna cosa del directori actual.
• ls el llegeixes columna a columna, i coneixes les combinacions que es fan servir diàriament: -lah, -ltr, -lhS i la imprescindible -ld.
• tree -L et dona l'estructura d'un cop d'ull sense ofegar-te en profunditat.
• stat et dona les metadades completes, i entens amb precisió atime, mtime i ctime, inclosa la raó per la qual el ctime és rellevant en seguretat.
• file et diu què és realment un fitxer, perquè a Linux l'extensió no mana.
• du mesura el que ocupa alguna cosa, df mesura el que queda, i saps per què de vegades no quadren i què fer quan el disc «està ple» sense estar-ho.
• I has caracteritzat el desplegament complet de Tramontana Reserves amb cinc ordres, sense modificar res.

S'ha acabat mirar. A la propera lliçó, Operacions amb Fitxers i Directoris, comences a escriure al disc: touch i mkdir per crear, cp i mv amb tots els seus paranys —inclosa la barra final del destí, que mossega tothom—, rm i la conversa seriosa sobre rm -rf que cal tenir un cop a la vida, rsync per copiar directoris grans com cal, i tar amb gzip, bzip2 i xz per empaquetar. Acabaràs preparant un paquet de /opt/tramontana/app per passar-lo a en Luis. Assegura't de tenir la instantània de la VM al dia abans de començar: a partir d'aquí, les ordres ja no es limiten a mirar.