1. Erste Schritte

1.1 Worauf Zedmos läuft

Zedmos installiert sich auf gewöhnlicher 64-Bit-x86-Hardware — einer Appliance, einem Rack-Server oder einer virtuellen Maschine. Es gibt keinen Hardware-Dongle und nichts zu aktivieren, bevor die Firewall arbeitet.

Virtuelle Maschinen werden vollständig unterstützt. Geben Sie der VM zwei Netzwerkadapter, mindestens 4 GB Speicher, wenn die Security Engine laufen soll, und einen Festplattencontroller, den der Gast als gewöhnliche SATA- oder SCSI-Platte sieht.

1.2 Welchen Download nehme ich?

Es gibt fünf Downloads. Sie unterscheiden sich nur in zwei Achsen: ob die Datei ein fertiges System oder ein Installer ist, und ob sie mit einem VGA-Bildschirm oder einer seriellen Leitung spricht.

Seriell ist keine Kosmetik. Eine Appliance ohne VGA-Anschluss zeigt bei einem VGA-Abbild überhaupt nichts: Sie können den Installer weder sehen noch bedienen, und auf dem installierten System erreichen Sie auch das Konsolenmenü nicht. Hat Ihre Hardware eine serielle Schnittstelle und kein Video, nehmen Sie einen seriellen Download.

Die Installer-Downloads führen Sie durch ein Menü, in dem Sie den Datenträger, das Layout (eine Platte, Spiegel, RAID-Z, verschlüsselt oder manuell partitioniert) und das Root-Passwort wählen. Die fertigen Abbilder gehen schneller, verwenden aber immer das eingebackene Layout.

1.3 Herunterladen und prüfen

Alle fünf Dateien und ihre Prüfsummen liegen unter:

https://www.zedmos.com/repo_zedmos_iso/

Im Verzeichnis liegt außerdem eine SHA256-Datei mit einer Zeile je Download. Prüfen Sie vor dem Schreiben — ein abgebrochener Download ergibt eine Appliance, die halb startet und auf schwer lesbare Weise scheitert.

$ curl -O https://www.zedmos.com/repo_zedmos_iso/zedmos-installer-vga.img.xz
$ curl -O https://www.zedmos.com/repo_zedmos_iso/SHA256
$ sha256sum -c --ignore-missing SHA256
zedmos-installer-vga.img.xz: OK

Unter Windows PowerShell:

Get-FileHash .\zedmos-installer-vga.img.xz -Algorithm SHA256
# Hash mit der passenden Zeile in der SHA256-Datei vergleichen

1.4 Entpacken und Medium schreiben

Jeder Download ist mit xz komprimiert. Entpacken Sie ihn zuerst.

$ xz -d zedmos-installer-vga.img.xz      # -> zedmos-installer-vga.img

Unter Windows öffnet 7-Zip .xz-Dateien (Rufus und balenaEtcher können die .xz-Datei auch direkt schreiben), unter macOS kommt xz mit Homebrew.

Einen USB-Stick schreiben

Das Schreiben löscht den Stick vollständig. Prüfen Sie den Gerätenamen zweimal: den falschen Datenträger zu benennen überschreibt ihn ohne Rückfrage und ohne Weg zurück.

Linux:

# lsblk                                   # Stick finden, z. B. sdb
# dd if=zedmos-installer-vga.img of=/dev/sdb bs=4M status=progress conv=fsync

macOS:

$ diskutil list                           # Stick finden, z. B. disk4
$ diskutil unmountDisk /dev/disk4
# dd if=zedmos-installer-vga.img of=/dev/rdisk4 bs=4m

FreeBSD:

# dd if=zedmos-installer-vga.img of=/dev/da0 bs=4m conv=sync

Windows — Rufus:

1. Device: der Stick. Boot selection: zedmos-installer-vga.img (oder die .xz wie heruntergeladen).
2. Lassen Sie Partition scheme und Target system so, wie Rufus sie setzt — bei einem Datenträgerabbild sind sie ausgegraut, weil Rufus das Abbild Byte für Byte schreibt (DD-Modus) und das Abbild seine eigene GPT sowie seinen eigenen BIOS- und UEFI-Bootcode mitbringt.
3. START, das Löschen bestätigen, auf READY warten.

balenaEtcher und Win32 Disk Imager schreiben es genauso, ohne Optionen.

Wenn Sie stattdessen das ISO schreiben: Rufus fragt, wie es geschrieben werden soll, und empfiehlt ISO Image mode. Dieser Modus kopiert die Dateien auf einen FAT32-Stick, und ein so erstellter Stick startet nicht. Wählen Sie DD Image mode — oder nehmen Sie das .img, denn genau dafür ist es da. Dasselbe gilt für Ventoy und für jedes Werkzeug, das „das ISO auf den Stick entpackt“.

Das fertige System direkt schreiben

Derselbe Befehl, auf den Zieldatenträger statt auf einen Stick gerichtet, mit zedmos.img. Alles auf diesem Datenträger wird zerstört. Beim ersten Start erzeugt die Appliance ihre eigenen Schlüssel und ihr Zertifikat.

Die Appliance behält das Layout des Abbilds: 2 GB Swap und eine 6 GB große Systempartition am Anfang der Platte. In den Rest der Platte wächst sie nicht hinein. Um die ganze Platte zu nutzen, installieren Sie stattdessen mit dem Installer.

1.5 Was Sie bereitlegen sollten

• Ein Netzwerkkabel vom Uplink-Anschluss der Appliance zu Ihrem vorhandenen Router oder Modem. Ab Werk fragt der Uplink per DHCP nach einer Adresse.
• Ein zweites Kabel vom internen Anschluss zu einem Switch — oder direkt zu dem Notebook, von dem aus Sie konfigurieren. Der interne Anschluss antwortet auf 192.168.1.1/24 und vergibt Adressen ab 192.168.1.100.
• Einen Bildschirm mit Tastatur oder ein serielles Kabel für die ersten Minuten. Darauf verzichten können Sie nur, wenn Ihnen die Standard-Adressierung genügt.

Sobald die Appliance läuft und Ihr Notebook eine Adresse von ihr hat, liegt die Weboberfläche unter https://192.168.1.1/ — Benutzer root, Passwort zedmos.

Wenn Ihr Router bereits 192.168.1.x verwendet. Viele Heim- und Büro-Router vergeben Adressen aus 192.168.1.0/24. Liegt die Adresse des Uplinks in diesem Netz, legt die Appliance ihr LAN nicht in dasselbe Netz, sondern nimmt das nächste freie aus 192.168.2.1, 192.168.10.1, 10.10.10.1, 172.16.10.1 — in dieser Reihenfolge. System status auf der Konsole zeigt die gewählte Adresse. Ändern Sie das Passwort. Jede Appliance wird mit demselben ausgeliefert; die Weboberfläche zeigt auf jeder Seite eine rote Warnung, bis Sie es ändern (Benutzermenü → Change password).