kofler.info
type: channel
description: Bücher von Michael Kofler.
date: 2026-01-05T17:34:57Z
update period: hourly
update frequency: 1
update base: 2000-01-01T12:00+00:00
items: Framework Desktop ruhig gestellt
items: Toolbx
items: Framework Desktop
items: Pop!_OS 24.04 mit COSMIC
items: Docker mit nftables ausprobiert
items: Raspberry Pi Imager 2.0
items: Swift 6.2 und Xcode 26.1
items: 📚 30 Jahre Linux-Buch
items: Vorsicht bei Docker-Updates
items: Dockers nft-Inkompatibilität wird zunehmend zum Ärgernis

Framework Desktop ruhig gestellt
type: item
creator: Michael Kofler
date: 2025-12-27T09:44:21Z
subject: KI
subject: Sonstiges
subject: Framework Desktop
description: Wie ich hier berichtet habe, ist der Framework Desktop zwar die meiste Zeit leise, aber ca. alle zehn Minuten heult der Netzteillüfter für ca. 30 Sekunden — selbst dann, wenn das Gerät mehr oder weniger im Leerlauf läuft. Das ist extrem störend. Es hat zwei Versuche gebraucht, aber jetzt herrscht Ruhe. Das Problem Kurz zusammengefasst: … Framework Desktop ruhig gestellt weiterlesen →
encoded: Wie ich hier berichtet habe, ist der Framework Desktop zwar die meiste Zeit leise, aber ca. alle zehn Minuten heult der Netzteillüfter für ca. 30 Sekunden — selbst dann, wenn das Gerät mehr oder weniger im Leerlauf läuft. Das ist extrem störend. Es hat zwei Versuche gebraucht, aber jetzt herrscht Ruhe. Das Problem Kurz zusammengefasst: Der Framework Desktop hat eine wunderbare CPU-Kühlung mit einem 120mm-Lüfter. Dieser kann aber das eingebaute Netzteil nicht kühlen. Das gekapselte Netzteil besitzt einen eigenen 40mm-Lüfter (PSU), der zwar die meiste Zeit still steht, aber dafür im Betrieb umso unangenehmer heult. Die Luftzufuhr zum Netzteil wird durch eine enge Röhre und das Gitter des Gehäuses behindert. Das Netzteil ist nur mäßig effizient, was sich vermutlich im Leerlaufbetrieb besonders stark auswirkt. Im Netzteil steht die Luft. Diese wird immer heißer. Ca. 1/2 h nach dem Einschalten wird erstmals eine kritische Temperatur erreicht. Nun startet unvermittelt der winzige Lüfter. Eine halbe Minute reicht, um das Netzteil mit frischer Luft etwas abzukühlen — aber nach ca. 10 Minuten beginnt das Spiel von neuem. Der Netzteillüfter kann nicht durch das BIOS gesteuert werden. Lösungsversuch 1 (unbefriedigend) Aus dem Framework-Forum stammt die Idee, das Netzteil durch einen normalerweise langsam laufenden externen Lüfter regelmäßig zu kühlen. Diese Idee habe ich aufgegriffen. Im ersten Versuch habe ich einen 60-mm-Lüfter mit 5V-Versorgung verwendet. Diesen habe ich über eine USB-Buchse mit Strom versorgt, mit einem ziemlich hässlichen Poti (amazon-Link) zur Regulierung der Drehzahl. Der Lüfter muss so eingebaut werden, dass er nach außen bläst, die warme Luft aus dem Netzteil also heraussaugt. <img fetchpriority="high" decoding="async" src="https://kofler.info/wp-content/uploads/framework-fan-1.jpeg" alt="" width="1201" height="1280" class="size-full wp-image-9289" srcset="https://kofler.info/wp-content/uploads/framework-fan-1.jpeg 1201w, https://kofler.info/wp-conten…

Toolbx
type: item
creator: Michael Kofler
date: 2025-12-26T09:28:16Z
subject: Docker
subject: KI
subject: Linux
subject: Fedora
subject: llama.cpp
subject: Podman
subject: sudo
subject: toolbox
subject: Toolbx
description: Beim Experimentieren mit KI-Sprachmodellen bin ich über das Projekt »Toolbx« gestolpert. Damit können Sie unkompliziert gekapselte Software-Umgebungen erzeugen und ausführen. Toolbx hat große Ähnlichkeiten mit Container-Tools und nutzt deren Infrastruktur, unter Fedora die von Podman. Es gibt aber einen grundlegenden Unterschied zwischen Docker/Podman auf der einen und Toolbx auf der anderen Seite: Docker, Podman & … Toolbx weiterlesen →
encoded: Beim Experimentieren mit KI-Sprachmodellen bin ich über das Projekt »Toolbx« gestolpert. Damit können Sie unkompliziert gekapselte Software-Umgebungen erzeugen und ausführen. Toolbx hat große Ähnlichkeiten mit Container-Tools und nutzt deren Infrastruktur, unter Fedora die von Podman. Es gibt aber einen grundlegenden Unterschied zwischen Docker/Podman auf der einen und Toolbx auf der anderen Seite: Docker, Podman & Co. versuchen die ausgeführten Container sicherheitstechnisch möglichst gut vom Host-System zu isolieren. Genau das macht Toolbx nicht! Im Gegenteil, per Toolbx ausgeführte Programme können auf das Heimatverzeichnis des aktiven Benutzers sowie auf das /dev-Verzeichnis zugreifen, Wayland nutzen, Netzwerkschnittstellen bedienen, im Journal protokollieren, die GPU nutzen usw. Toolbx wurde ursprünglich als Werkzeug zur Software-Installation in Distributionen auf der Basis von OSTree konzipiert (Fedora CoreOS, Siverblue etc.). Dieser Artikel soll als eine Art Crash-Kurs dienen, wobei ich mit explizit auf Fedora als Host-Betriebssystem beziehe. Grundwissen zu Podman/Docker setze ich voraus. Mehr Details gibt die Projektdokumentation. Beachten Sie, dass die offizielle Bezeichnung des Projekts »Toolbx« ohne »o« in »box« lautet, auch wenn das zentrale Kommando toolbox heißt und wenn die damit erzeugten Umgebungen üblicherweise Toolboxes genannt werden. Hello, Toolbx! Das Kommando toolbox aus dem gleichnamigen Paket wird ohne sudo ausgeführt. In der Minimalvariante erzeugen Sie mit toolbox <name> eine neue Toolbox, die als Basis ein Image Ihrer Host-Distribution verwendet. Wenn Sie also wie ich in diesen Beispielen unter Fedora arbeiten, fragt toolbox beim ersten Aufruf, ob es die Fedora-Toolbox herunterladen soll: toolbox create test1 Image required to create Toolbx container. Download registry.fedoraproject.org/fedora-toolbox:43 (356.7MB)? [y/N]: y Created container: test1 Wenn Sie als Basis eine andere Distribution verwenden möchten, geben Sie den Distributionsn…

Framework Desktop
type: item
creator: Michael Kofler
date: 2025-12-18T11:50:30Z
subject: KI
subject: Linux
subject: Framework Desktop
description: Die Kinder bekommen ihre Weihnachtsgeschenke am 24.12., bei mir war diesmal zufällig schon eine Woche vorher Bescherung. Direkt von Taiwan versendet traf gestern ein Framework Desktop ein (Batch 17). Wobei von »Geschenk« keine Rede ist, ich habe den Rechner ganz regulär bestellt und bezahlt. Über das Preis/Leistungs-Verhältnis darf man gar nicht nachdenken … Aber für … Framework Desktop weiterlesen →
encoded: Die Kinder bekommen ihre Weihnachtsgeschenke am 24.12., bei mir war diesmal zufällig schon eine Woche vorher Bescherung. Direkt von Taiwan versendet traf gestern ein Framework Desktop ein (Batch 17). Wobei von »Geschenk« keine Rede ist, ich habe den Rechner ganz regulär bestellt und bezahlt. Über das Preis/Leistungs-Verhältnis darf man gar nicht nachdenken … Aber für die Überarbeitung des Buchs Coding mit KI will ich nun mal moderat große Sprachmodelle (z.B. gpt-oss-120b) selbst lokal ausführen. Dieser Blog-Beitrag fasst meine ersten Eindrücke zusammen. In den nächsten Wochen werden wohl noch ein paar Artikel rund um Ollama und llama.cpp folgen. Framework Desktop Auswahl Ich war auf der Suche nach einem Rechner mit 128 GByte RAM, das von der GPU genutzt werden kann. Dafür gibt es aktuell drei Plattformen (Intel glänzt durch Abwesenheit): AMD Ryzen AI Max+ 395 (»Strix Halo«): Dieser Prozessor kombiniert 16 Zen-5-CPU-Cores und 40 GPU-Cores (Radeon 8060S). Die Speicherbandbreite (LPDDR5X) beträgt bis zu 250 GiB/s. Desktop-PCs mit 2 TB SSD kosten zwischen 2.000 und 3.000 €, Notebooks ca. 4.000 €. Apple Max CPUs: Der Prozessor M4 Max vereint 16 CPU-Cores mit 40 GPU-Cores. Die Speicherbandbreite erreicht beeindruckende 550 GiB/s. Ein entsprechender Mac Studio mit 2 TB SSD kostet ca. 5000 €, ein MacBook mit vergleichbarer Ausstattung ca. 6000 €. NVIDIA DGX Spark: Diese Plattform besteht aus einer 20-Core ARM-CPU plus NVIDIA Blackwell GPU mit 48 Compute Units. Wegen des LPDDR5X-RAMs ist die Speicherbandbreite wie bei Strix Halo auf ca. 250 GiB/s limitiert. Komplettsysteme kosten ca. 4000 € (Asus, Dell, NVIDIA). Was die Rechenleistung betrifft, spielen alle drei Plattformen in der gleichen Liga, vielleicht mit kleinen Vorteilen bei Apple, vor allem was Effizienz und Lautstärke betrifft. Gegen die NVIDIA-Lösung spricht, dass diese Rechner dezidiert für KI-Aufgaben gedacht sind; eine »normale« Desktop-Nutzung ist nur mit großen Einschränkungen möglich. Generell darf man sich v…

Pop!_OS 24.04 mit COSMIC
type: item
creator: Michael Kofler
date: 2025-12-16T15:50:02Z
subject: Linux
subject: Cosmic
subject: Pop!_OS
subject: systemd-boot
description: COSMIC, der komplett neue Desktop der Firma system76 ist fertig! COSMIC ist integraler Teil von Pop!_OS. Diese ebenfalls von system76 entwickelte Distribution basiert auf Ubuntu, zeichnet sich aber durch viele Eigenheiten ab. Weil ich mir COSMIC ansehen wollte, habe ich die aktuelle Version von Pop!_OS auf meinen MiniPC installiert. Dieser Artikel fasst ganz kurz meine … Pop!_OS 24.04 mit COSMIC weiterlesen →
encoded: COSMIC, der komplett neue Desktop der Firma system76 ist fertig! COSMIC ist integraler Teil von Pop!_OS. Diese ebenfalls von system76 entwickelte Distribution basiert auf Ubuntu, zeichnet sich aber durch viele Eigenheiten ab. Weil ich mir COSMIC ansehen wollte, habe ich die aktuelle Version von Pop!_OS auf meinen MiniPC installiert. Dieser Artikel fasst ganz kurz meine Beobachtungen zusammen. <img loading="lazy" decoding="async" src="https://kofler.info/wp-content/uploads/cosmic-desktop.png" alt="" width="1920" height="1080" class="size-full wp-image-9222" srcset="https://kofler.info/wp-content/uploads/cosmic-desktop.png 1920w, https://kofler.info/wp-content/uploads/cosmic-desktop-850x478.png 850w, https://kofler.info/wp-content/uploads/cosmic-desktop-1280x720.png 1280w, https://kofler.info/wp-content/uploads/cosmic-desktop-768x432.png 768w, https://kofler.info/wp-content/uploads/cosmic-desktop-1536x864.png 1536w" sizes="auto, (max-width: 1920px) 100vw, 1920px" /> Der COSMIC-Desktop im Light Mode und mit Dock auf der linken Seite Installation Die Installation erfolgt aus einem Live-System. Der einzig spannende Punkt ist die Partitionierung der SSD. Sofern Sie sich für die manuelle Partitionierung entscheiden, zeigt das Installationsprogramm einen Überblick über die vorhandenen Disks und Partitionen aus. Sie können nun die Partitionen, die Sie einbinden (EFI) oder mit einem Dateisystem ausstatten möchten (zumindest die Systempartition) per Maus aktivieren. Wenn Sie die Partitionierung verändern wollen (Modify Partitions), startet das Installationsprogramm einfach das Programm gparted. Das ist ein pragmatischer Ansatz, mit dem fortgeschrittene Benutzer ans Ziel kommen. Wer verschlüsselte LVM-Setups will, muss selbst Hand anlegen und die erforderlichen Schritte vorweg selbst erledigen. <img loading="lazy" decoding="async" src="https://kofler.info/wp-content/uploads/pop-install.png" alt="" width="950" height="700" class="size-full wp-image-9212" srcset="https://kofler.i…

Docker mit nftables ausprobiert
type: item
creator: Michael Kofler
date: 2025-11-30T07:46:29Z
subject: Docker
subject: Linux
subject: Firewall
subject: iptables
subject: libvirt
subject: nft
subject: nftables
description: Die Docker Engine 29 unter Linux unterstützt erstmals Firewalls auf nftables-Basis. Die Funktion ist explizit noch experimentell, aber wegen der zunehmenden Probleme mit dem veralteten iptables-Backend geht für Docker langfristig kein Weg daran vorbei. Also habe ich mir gedacht, probiere ich das Feature einfach einmal aus. Mein Testkandidat war Fedora 43 (eine reale Installation auf … Docker mit nftables ausprobiert weiterlesen →
encoded: Die Docker Engine 29 unter Linux unterstützt erstmals Firewalls auf nftables-Basis. Die Funktion ist explizit noch experimentell, aber wegen der zunehmenden Probleme mit dem veralteten iptables-Backend geht für Docker langfristig kein Weg daran vorbei. Also habe ich mir gedacht, probiere ich das Feature einfach einmal aus. Mein Testkandidat war Fedora 43 (eine reale Installation auf einem x86-Mini-PC sowie eine virtuelle Maschine unter ARM). Inbetriebnahme Das nft-Backend aktivieren Sie mit der folgenden Einstellung in der Datei /etc/docker/daemon.json: { "firewall-backend": "nftables" } Diese Datei existiert normalerweise nicht, muss also erstellt werden. Die Syntax ist hier zusammengefasst. Die Docker-Dokumentation weist darauf hin, dass Sie außerdem IP-Forwarding erlauben müssen. Alternativ können Sie Docker anweisen, auf Forwarding zu verzichten ("ip-forward": false in daemon.json) — aber dann funktionieren grundlegende Netzwerkfunktionen nicht. # Datei /etc/sysctl.d/99-docker.conf net.ipv4.ip_forward=1 net.ipv6.conf.all.forwarding=1 sysctl --system aktiviert die Änderungen ohne Reboot. Die Docker-Dokumentation warnt allerdings, dass dieses Forwarding je nach Anwendung zu weitreichend sein und Sicherheitsprobleme verursachen kann. Gegebenenfalls müssen Sie das Forwarding durch weitere Firewall-Regeln wieder einschränken. Die Dokumentation gibt ein Beispiel, um auf Rechnern mit firewalld unerwünschtes Forwarding zwischen eth0 und eth1 zu unterbinden. Alles in allem wirkt der Umgang mit dem Forwarding noch nicht ganz ausgegoren. Praktische Erfahrungen Mit diesen Einstellungen lässt sich die Docker Engine prinzipiell starten (systemctl restart docker, Kontrolle mit docker version oder systemctl status docker). Welches Firewall-Backend zum Einsatz kommt, verrät docker info: docker info | grep 'Firewall Backend' Firewall Backend: nftables+firewalld Ich habe dann ein kleines Compose-Setup bestehend aus MariaDB und WordPress gestartet. Soweit problemlos: docker compose…

Raspberry Pi Imager 2.0
type: item
creator: Michael Kofler
date: 2025-11-28T08:16:23Z
subject: Linux
subject: Raspberry Pi
subject: Raspberry Pi OS
description: Die Raspberry Pi Foundation hat vor einigen Tagen eine komplett reorganisierte Implementierung Ihres Raspberry Pi OS Imager vorgestellt. Das Programm hilft dabei, Raspberry Pi OS oder andere Distributionen auf SD-Karten für den Raspberry Pi zu schreiben. Mit der vorigen Version hatte ich zuletzt Ärger. Aufgrund einer Unachtsamkeit habe ich Raspberry Pi OS über die Windows-Installation … Raspberry Pi Imager 2.0 weiterlesen →
encoded: Die Raspberry Pi Foundation hat vor einigen Tagen eine komplett reorganisierte Implementierung Ihres Raspberry Pi OS Imager vorgestellt. Das Programm hilft dabei, Raspberry Pi OS oder andere Distributionen auf SD-Karten für den Raspberry Pi zu schreiben. Mit der vorigen Version hatte ich zuletzt Ärger. Aufgrund einer Unachtsamkeit habe ich Raspberry Pi OS über die Windows-Installation auf der zweite SSD meines Mini-PCs geschrieben. Führt Version 2.0 ebenso leicht in die Irre? Installation unter Linux Der Raspberry Pi Imager steht für Windows als EXE-Datei und für macOS als DMG-Image zur Verfügung. Installation und Ausführung gelingen problemlos. Unter Linux ist die Sache nicht so einfach. Die Raspberry Pi Foundation stellt den Imager als AppImage zur Verfügung. AppImages sind ein ziemlich geniales Format zur Weitergabe von Programmen. Selbst Linux Torvalds war begeistert (und das will was sagen!): »This is just very cool.« Leider setzt Ubuntu auf Snap-Pakete und die Red-Hat-Welt auf Flatpaks. Dementsprechend mau ist die Unterstützung für das AppImage-Format. Ich habe meine Tests unter Fedora 43 durchgeführt. Der Versuch, den heruntergeladenen Imager einfach zu starten, führt sowohl aus dem Webbrowser als auch im Gnome Dateimanager in das Programm Gnome Disks. Fedora erkennt nicht, dass es sich um eine App handelt und bietet stattdessen Hilfe an, in die Image-Datei hineinzusehen. Abhilfe: Sie müssen zuerst das Execute-Bit setzen: chmod +x Downloads/imager_2.2.0.amd64.AppImage Aber auch der nächste Startversuch scheitert. Das Programm verlangt sudo-Rechte. <img loading="lazy" decoding="async" src="https://kofler.info/wp-content/uploads/imager-2.0-sudo.png" alt="" width="1460" height="1074" class="size-full wp-image-9184" srcset="https://kofler.info/wp-content/uploads/imager-2.0-sudo.png 1460w, https://kofler.info/wp-content/uploads/imager-2.0-sudo-850x625.png 850w, https://kofler.info/wp-content/uploads/imager-2.0-sudo-1280x942.png 1280w, https://kofler.info/wp-conten…

Swift 6.2 und Xcode 26.1
type: item
creator: Michael Kofler
date: 2025-11-27T09:39:27Z
subject: Swift
subject: Concurrency
subject: SwiftUI
subject: Xcode
description: Endlich bin ich dazugekommen, einen Blick auf die aktuelle Xcode-Version 26.1.1 zu werfen: Die KI-Integration in Xcode wurde stark verbessert; grandios ist sie noch immer nicht. Der Attribute Inspector wurde ersatzlos gestrichen. Keiner weiß, warum. Neue Projekte verwenden immer noch Swift 5 per Default. (?!) Das primäre neue Feature von 6.2 ist der vereinfachte Umgang … Swift 6.2 und Xcode 26.1 weiterlesen →
encoded: Endlich bin ich dazugekommen, einen Blick auf die aktuelle Xcode-Version 26.1.1 zu werfen: Die KI-Integration in Xcode wurde stark verbessert; grandios ist sie noch immer nicht. Der Attribute Inspector wurde ersatzlos gestrichen. Keiner weiß, warum. Neue Projekte verwenden immer noch Swift 5 per Default. (?!) Das primäre neue Feature von 6.2 ist der vereinfachte Umgang mit Multi-Threading (Approachable Concurrency, Default Actor Isolation = MainActor). Update: Mittlerweile habe ich Xcode 26.2 installiert und den Artikel an ein paar Stellen aktualisiert. KI-Funktionen Apple bewegt sich in der schnell-lebigen KI-Landschaft wie ein überladener Supertanker bei der Hafeneinfahrt: behäbig und vorsichtig. Die 2024 versprochene KI-Integration Swift Code wurde im Herbst 2025 endlich ausgeliefert und nennt sich jetzt Coding Intelligence. Das bedeutet, dass es neben der schon länger verfügbaren Code Completion auf Basis eines lokalen Modells nun auch einen Chat-Bereich in Xcode gibt. Dort können Sie den Code eines Projekts analysieren, neue Funktionen entwickeln, Fehler beheben usw. Wie in anderen KI-Editoren verweisen Sie mit @ auf Dateien, Klassen, Funktionen und helfen so dem Sprachmodell bei der Zusammenstellung des richtigen Kontexts. <img loading="lazy" decoding="async" src="https://kofler.info/wp-content/uploads/xcode-ai-analyse.png" alt="" width="1920" height="1020" class="size-full wp-image-9148" srcset="https://kofler.info/wp-content/uploads/xcode-ai-analyse.png 1920w, https://kofler.info/wp-content/uploads/xcode-ai-analyse-850x452.png 850w, https://kofler.info/wp-content/uploads/xcode-ai-analyse-1280x680.png 1280w, https://kofler.info/wp-content/uploads/xcode-ai-analyse-768x408.png 768w, https://kofler.info/wp-content/uploads/xcode-ai-analyse-1536x816.png 1536w" sizes="auto, (max-width: 1920px) 100vw, 1920px" /> Analyse eines Projekts durch Claude Die KI-Chat-Funktionen werden normalerweise nicht lokal ausgeführt, sondern von externen KI-Dienstleistern ausgeführt. D…

📚 30 Jahre Linux-Buch
type: item
creator: Michael Kofler
date: 2025-11-20T07:36:26Z
subject: Linux
subject: News
description: Ende November erscheint die 19. Auflage meines Linux-Buchs und markiert damit ein denkwürdiges Jubiläum: Das Buch ist jetzt 30 Jahre alt! Gleichzeitig ist das Buch so modern wie nie zuvor. Bei der Überarbeitung habe ich das Buch an vielen Stellen gestrafft und von Altlasten befreit. Das hat Platz für neue Inhalte gemacht, z.B. rund um … 📚 30 Jahre Linux-Buch weiterlesen →
encoded: Ende November erscheint die 19. Auflage meines Linux-Buchs und markiert damit ein denkwürdiges Jubiläum: Das Buch ist jetzt 30 Jahre alt! <img loading="lazy" decoding="async" src="https://kofler.info/wp-content/uploads/IMG_6511-scaled.jpeg" alt="" width="2560" height="1103" class="size-full wp-image-9156" srcset="https://kofler.info/wp-content/uploads/IMG_6511-scaled.jpeg 2560w, https://kofler.info/wp-content/uploads/IMG_6511-850x366.jpeg 850w, https://kofler.info/wp-content/uploads/IMG_6511-1280x552.jpeg 1280w, https://kofler.info/wp-content/uploads/IMG_6511-768x331.jpeg 768w, https://kofler.info/wp-content/uploads/IMG_6511-1536x662.jpeg 1536w, https://kofler.info/wp-content/uploads/IMG_6511-2048x882.jpeg 2048w" sizes="auto, (max-width: 2560px) 100vw, 2560px" /> Das Linux-Buch: 1995, 2004, 2010, 2014, 2025 Gleichzeitig ist das Buch so modern wie nie zuvor. Bei der Überarbeitung habe ich das Buch an vielen Stellen gestrafft und von Altlasten befreit. Das hat Platz für neue Inhalte gemacht, z.B. rund um die folgenden Themen: Die Shell fish (neues Kapitel) Swap on ZRAM Geoblocking mit nft (neuer Abschnitt) Samba im Zusammenspiel mit Windows 11 24H2 Monitoring mit Prometheus und Grafana (neues Kapitel, Docker-Setup mit Traefik) KI-Sprachmodelle ausführen (neues Kapitel) Berücksichtigung von CachyOS Umfang: 1429 Seiten ISBN: 978-3-367-11069-8 Preis: Euro 49,90 (in D inkl. MWSt.) Weitere Informationen zum Buch finden Sie hier. Aus dem Vorwort Sowohl Linux als auch mein Buch haben sich in den vergangenen 30 Jahren natürlich dramatisch verändert. Die folgenden Absätze stammen aus dem Vorwort. Das gesamte Vorwort befindet sich in der Leseprobe (PDF) zum Buch. Als ich an der ersten Auflage dieses Buchs schrieb, hatten die meisten Privatanwenderinnen und -anwender noch gar keinen Internetzugang, und wenn doch, dann über ein unzuverlässiges Modem. Das World Wide Web war gerade im Entstehen. In der ersten Auflage des Buchs habe ich Mosaic als Linux-tauglichen Webbrowser empfohl…

Vorsicht bei Docker-Updates
type: item
creator: Michael Kofler
date: 2025-11-15T10:57:53Z
subject: Docker
subject: Linux
subject: containerd
subject: immich.app
subject: Traefik
description: Aktuell schreibe ich hier mehr zu Docker als mir lieb ist. Es ist eigentlich absurd: Ich verwende Docker seit Jahren täglich und in der Regel ohne irgendwelche Probleme. Aber in den letzten Wochen prasseln Firewall-Inkompatibilitäten und anderer Ärger förmlich über Docker-Anwender herein. Konkret geht es in diesem Beitrag um zwei Dinge: Mit dem Update auf … Vorsicht bei Docker-Updates weiterlesen →
encoded: Aktuell schreibe ich hier mehr zu Docker als mir lieb ist. Es ist eigentlich absurd: Ich verwende Docker seit Jahren täglich und in der Regel ohne irgendwelche Probleme. Aber in den letzten Wochen prasseln Firewall-Inkompatibilitäten und anderer Ärger förmlich über Docker-Anwender herein. Konkret geht es in diesem Beitrag um zwei Dinge: Mit dem Update auf containerd 1.7.28 hat Docker eine Sicherheitslücke durch eine zusätzliche AppArmor-Regel behoben. Das ist eigentlich gut, allerdings führt diese Sicherheitsmaßnahme zu Ärger im Zusammenspiel mit gewissen Containern (z.B. immich) unter Host-Systemen mit AppArmor (Ubuntu, Proxmox etc.) Docker Engine 29 verlangt die API-Version 1.44 oder neuer. Programme, die eine ältere API-Version verwenden, produzieren dann den Fehler Client Version 1.nnn is too old. Betroffen ist/war unter anderem das im Docker-Umfeld weit verbreitete Programm Traefik. AppArmor-Problem / net.ipv4.ip_unprivileged_port_start permission denied Im Anfang war der Bug, in diesem Fall CVE-2025-52881. Ein Angreifer kann runc (das wiederum Teil von containerd.io ist) mit Shared Mounts dazu bringen, /proc-Schreibvorgänge auf andere procfs-Dateien umzuleiten. Das ist wiederum sicherheitstechnisch ziemlich ungünstig (Severity ist High). Docker hat das Problem mit containerd 1.7.28-2 behoben — aber jetzt spießt es sich mit AppArmor, das nicht mehr den kompletten Pfad sieht und deswegen eingreift. Der Docker-Security-Fix kann auf Hosts mit AppArmor also dazu führen, dass auch korrekte Zugriffe blockiert werden. Die beste Beschreibung gibt dieser Blog-Beitrag. Ich kann aus eigener Erfahrung nicht viel zu diesem Problem sagen. Ich betreibe aktuell kein System, das betroffen ist. Besonders oft tritt der Bug in Kombination mit Proxmox oder LXC auf (siehe dieses containerd Issue). Aber auch die weit verbreitete immich.app zum Foto-Management ist betroffen (siehe diese Diskussion). Die in den verlinkten Beiträgen präsentierten Lösungsvorschläge sind leider allesamt w…

Dockers nft-Inkompatibilität wird zunehmend zum Ärgernis
type: item
creator: Michael Kofler
date: 2025-11-10T12:49:18Z
subject: Docker
subject: Linux
subject: Container
subject: Firewall
subject: FirewallD
subject: iptables
subject: libvirt
subject: nftables
subject: Podman
subject: virt-manager
description: Ca. seit 2020 kommt nftables (Kommando nft) per Default als Firewall-Backend unter Linux zum Einsatz. Manche Distributionen machten den Schritt noch früher, andere folgten ein, zwei Jahre später. Aber mittlerweile verwenden praktisch alle Linux-Distributionen nftables. Alte Firewall-Scripts mit iptables funktionieren dank einer Kompatibilitätsschicht zum Glück größtenteils weiterhin. Viele wichtige Firewall-Tools und -Anwendungen (von firewalld über … Dockers nft-Inkompatibilität wird zunehmend zum Ärgernis weiterlesen →
encoded: Ca. seit 2020 kommt nftables (Kommando nft) per Default als Firewall-Backend unter Linux zum Einsatz. Manche Distributionen machten den Schritt noch früher, andere folgten ein, zwei Jahre später. Aber mittlerweile verwenden praktisch alle Linux-Distributionen nftables. Alte Firewall-Scripts mit iptables funktionieren dank einer Kompatibilitätsschicht zum Glück größtenteils weiterhin. Viele wichtige Firewall-Tools und -Anwendungen (von firewalld über fail2ban bis hin zu den libvirt-Bibliotheken) brauchen diese Komaptibilitätsschicht aber nicht mehr, sondern wurden auf nftables umgestellt. Welches Programm ist säumig? Docker! Und das wird zunehmend zum Problem. Update 11.11.2025: In naher Zukunft wird mit Engine Version 29.0 nftables als experimentelles Firewall-Backend ausgeliefert. (Aktuell gibt es den rc3, den ich aber nicht getestet habe. Meine lokalen Installationen verwenden die Engine-Version 28.5.1.) Ich habe den Artikel diesbezüglich erweitert/korrigiert. Sobald die Engine 29 ausgeliefert wird, werde ich das neue Backend ausprobieren und einen neuen Artikel verfassen. Docker versus libvirt/virt-manager Auf die bisher massivsten Schwierigkeiten bin ich unter Fedora >=42 und openSUSE >= 16 gestoßen: Wird zuerst Docker installiert und ausgeführt, funktioniert in virtuellen Maschinen, die mit libvirt/virt-manager gestartet werden, das NAT-Networking nicht mehr. Und es bedarf wirklich einiger Mühe, den Zusammenhang mit Docker zu erkennen. Die vorgebliche »Lösung« besteht darin, die libvirt-Firewall-Funktionen von nftables zurück auf iptables zu stellen. Eine echte Lösung wäre es, wenn Docker endlich nftables unterstützen würde. # in der Datei /etc/libvirt/network.conf firewall_backend = "iptables" Danach starten Sie den libvirt-Dämon dann neu: sudo systemctl restart libvirtd Weitere Infos gibt es hier und hier. Die openSUSE-Release-Notes weisen ebenfalls auf das Problem hin. Sicherheitsprobleme durch offene Ports Weil Docker iptables verwendet, ist es mit nftables…