LPIC-2 Zertifizierungsleitfaden: Fortgeschrittene Linux-Administration

🇬🇧 Read in EnglishJuly 13, 2026~12 min read

LPI

lpic-2linuxcertificationadvanced-administration

· ~4 min read

LPI DevOps Tools Engineer Certification Guide

Complete guide to the LPI DevOps Tools Engineer certification (701-100): exam objectives, study resources, and how it relates to traditional LPI certifications.

July 13, 2026· ~7 min read

LPIC-1 101-500 Deep Dive: Systemarchitektur, Linux-Installation und Paketmanagement

Meistern Sie die LPIC-1 101-500: Hardware-Konfiguration, Boot-Prozess, Disk-Partitionierung, Paketmanagement und Systemwartung inklusive Befehlsbeispielen.

Master LPIC-2 201-450: system startup, kernel management, storage, filesystems, advanced networking, and system maintenance with detailed command examples.

lpic-2201-450linux

LPIC-2 ist die zweite Stufe des Zertifizierungsprogramms des Linux Professional Institute. Es validiert fortgeschrittene Systemadministrationskenntnisse – die Fähigkeit, eine Linux-Netzwerkinfrastruktur zu planen, zu implementieren und zu warten.

Sie müssen eine aktuelle LPIC-1-Zertifizierung besitzen, bevor Sie die LPIC-2-Prüfungen ablegen können.

Prüfungsübersicht

Prüfung	Code	Dauer	Fragen	Bestehensgrenze
Linux System Administrator 1	201-450	90 Minuten	60	500 / 800
Linux System Administrator 2	202-450	90 Minuten	60	500 / 800

Prüfung 201-450: Themen und Gewichtung

Thema 200: Kapazitätsplanung (Gewichtung 6)

Messung und Fehlerbehebung bei der Ressourcenauslastung
Vorhersage zukünftiger Kapazitätsbedarfe

Thema 201: Linux Kernel (Gewichtung 6)

Kernel-Komponenten und Kompilierung
Kernel-Runtime-Management und Fehlerbehebung

Thema 202: Systemstart (Gewichtung 6)

Anpassung des Systemstarts (systemd)
Systemwiederherstellung und Fehlerbehebung beim Boot-Prozess

Thema 203: Dateisysteme und Geräte (Gewichtung 9)

RAID-Konfiguration und -Management
Dateisystemzugriff und Speicherverwaltung
Logical Volume Manager (LVM)

Thema 204: Fortgeschrittene Speicheradministration (Gewichtung 5)

iSCSI-Konfiguration
SAN- und NAS-Integration

Thema 205: Netzwerkkonfiguration (Gewichtung 12)

Grundlegende Netzwerkkonfiguration und Verifizierung
Fortgeschrittene Netzwerkkonfiguration (Bonding, Bridging)
Fehlerbehebung bei Netzwerkproblemen

Thema 206: Systemwartung (Gewichtung 5)

Backup- und Restore-Operationen
Design von Backup-Strategien

Prüfung 202-450: Themen und Gewichtung

Thema 207: Domain Name Server (DNS, Gewichtung 8)

BIND-Konfiguration und -Management
DNS-Fehlerbehebung und Sicherheit

Thema 208: HTTP-Dienste (Gewichtung 7)

Apache- und Nginx-Konfiguration
HTTPS- und SSL/TLS-Setup
Reverse-Proxy-Konfiguration

Thema 209: Dateifreigabe (Gewichtung 6)

Samba-Konfiguration
NFS-Server-Konfiguration

Thema 210: Netzwerk-Client-Management (Gewichtung 4)

DHCP-Konfiguration
PAM-Authentifizierung

Thema 211: E-Mail-Dienste (Gewichtung 5)

Postfix-Konfiguration
Mail-Zustellung und Filterung

Thema 212: Systemsicherheit (Gewichtung 15)

OpenVPN- und IPsec-Konfiguration
Firewall-Management (iptables, nftables)
SSH-Server-Sicherheit
Security Auditing und Hardening

Kernkonzepte nach Themen

Thema 200 — Kapazitätsplanung (Gewichtung 6)

Verwaltung von Systemressourcen und Planung für zukünftiges Wachstum:

vmstat — Statistiken zum virtuellen Speicher: r (laufende Prozesse), b (blockiert), swpd, cache, si/so (Swap in/out), bi/bo (Block I/O).
iostat — CPU- und I/O-Statistiken pro Gerät. iostat -x 2 für erweiterte Statistiken alle 2 Sekunden.
sar — Sammlung historischer Performance-Daten. Erfordert das Paket sysstat. Daten befinden sich in /var/log/sysstat/.
netstat / ss — Statistiken zu Netzwerkverbindungen. ss -tuln für listening ports, ss -s für die Zusammenfassung.
mpstat -P ALL — Aufschlüsselung der Auslastung pro CPU.
pidstat — Ressourcenauslastung pro Prozess.
Kapazitätsplanung umfasst das Sammeln von Basisdaten, das Identifizieren von Trends über Wochen/Monate und die Vorhersage, wann Ressourcen erschöpft sein werden.

Thema 201 — Linux Kernel (Gewichtung 6)

Verwaltung des Kernels zur Laufzeit und Kompilierung:

uname -r — Aktuelle Kernel-Version. uname -a für vollständige Details.
/proc/sys/ — Kernel-Parameter zur Laufzeit. Permanente Änderungen erfolgen in /etc/sysctl.conf oder /etc/sysctl.d/.
sysctl -a — Listet alle Kernel-Parameter auf. sysctl -w net.ipv4.ip_forward=1 setzt diese temporär.
Kernel-Module: lsmod, modprobe, modinfo, insmod, rmmod. Modulkonfiguration in /etc/modprobe.d/.
depmod — Generiert modules.dep und Map-Dateien zur Auflösung von Modulabhängigkeiten.
dmesg — Nachrichten des Kernel-Ringpuffers. dmesg -w für Real-Time-Tail.
Kompilieren eines Kernels (heute seltener, aber prüfungsrelevant): make menuconfig, make -j$(nproc), make modules_install, make install.
/boot/ — Enthält vmlinuz-*, initrd.img-*, System.map-*, GRUB-Konfiguration.
udevadm — udev-Management-Tool. udevadm info --query=all --name=/dev/sda, udevadm monitor.

Thema 202 — Systemstart (Gewichtung 6)

Verwaltung des Boot-Prozesses und Wiederherstellung:

systemd-analyze — Boot-Performance. systemd-analyze blame für die Zeitmessung pro Dienst.
systemd-analyze critical-chain — Zeigt die Boot-Abhängigkeitskette und den langsamsten Dienst an.
journalctl -b — Logs des aktuellen Boots anzeigen. journalctl -b -1 für den vorherigen Boot.
GRUB-Konfiguration: /etc/default/grub, dann update-grub oder grub-mkconfig -o /boot/grub/grub.cfg.
Recovery: Booten von Rescue-Medien → chroot ins System → GRUB, initramfs oder Pakete reparieren.
initramfs: Temporäres Root-Dateisystem, das vor dem eigentlichen Root geladen wird. Neu erstellen mit update-initramfs -u.
Systemd-Targets: rescue.target (Single-User), emergency.target (minimale Shell), multi-user.target, graphical.target.
systemctl mask <service> — Verhindert den Start eines Dienstes unter allen Bedingungen.
reboot --force / systemctl reboot --force — Erzwingt einen Reboot ohne sauberes Herunterfahren.

Thema 203 — Dateisysteme und Geräte (Gewichtung 9)

RAID, LVM und fortgeschrittenes Dateisystem-Management:

Software-RAID mit mdadm: mdadm --create /dev/md0 --level=5 --raid-devices=4 /dev/sd[b-e].
mdadm --detail /dev/md0 — RAID-Status prüfen. --fail, --remove, --add für den Festplattenaustausch.
/proc/mdstat — Echtzeit-RAID-Status und Fortschritt des Rebuilds.
LVM: pvcreate → vgcreate → lvcreate. Erweitern mit lvextend -L +5G /dev/vg_name/lv_name.
lvresize / lvreduce — Logische Volumes in der Größe anpassen (Dateisystem muss separat angepasst werden).
pvmove — Verschieben von Physical Extents zwischen PVs für die Speicher-Migration.
LVM-Snapshots: lvcreate -s -L 1G -n snap /dev/vg/origin — Copy-on-Write, ideal für Backups.
resize2fs / xfs_growfs — Dateisystem erweitern, um das angepasste logische Volume auszufüllen.
fsck — Dateisystemprüfung. Niemals auf gemounteten Dateisystemen ausführen (außer schreibgeschützt bei einigen Typen).
tune2fs -l /dev/sda1 — ext2/3/4 Superblock-Informationen auflisten.

Thema 204 — Fortgeschrittene Speicheradministration (Gewichtung 5)

iSCSI, SAN und NAS:

iSCSI-Initiator: iscsiadm -m discovery -t sendtargets -p 192.168.1.100, dann iscsiadm -m node --login.
iSCSI-Target: targetcli auf der Serverseite erstellt Backstores (fileio, block, ramdisk) und LUNs.
iSCSI CHAP-Authentifizierung: Konfiguration von gegenseitigen oder einseitigen CHAP-Benutzernamen/Passwörtern in /etc/iscsi/iscsid.conf.
multipath -ll — Aktive Multipath-Geräte auflisten. Erfordert das Paket device-mapper-multipath.
/etc/multipath.conf — Multipath-Konfiguration mit Aliasen, Blacklists und Failover-Richtlinien.
NAS vs. SAN: NAS stellt Dateien bereit (NFS/CIFS), SAN stellt Blöcke bereit (iSCSI/Fibre Channel).

Thema 205 — Netzwerkkonfiguration (Gewichtung 12)

Fortgeschrittenes Networking:

ip addr / ip link / ip route — Moderne Netzwerkbefehle (ersetzen ifconfig).
Network Bonding: /etc/network/interfaces oder nmcli, um einen Bond aus zwei oder mehr Schnittstellen zu erstellen.
- Modi: balance-rr (Round-Robin), active-backup (Failover), 802.3ad (LACP), balance-tlb.
Bridging: brctl addbr br0, brctl addif br0 eth0 (oder ip link set dev eth0 master br0).
VLAN-Tagging: ip link add link eth0 name eth0.100 type vlan id 100.
Policy Routing: ip rule und mehrere Routing-Tabellen in /etc/iproute2/rt_tables.
ss -tuln — Ersatz für netstat -tuln. Zeigt alle offenen TCP/UDP-Ports an.
tcpdump -i eth0 port 80 — Paketaufnahme. -n für keine DNS-Auflösung, -w file zum Speichern.
nmcli — NetworkManager-Kommandozeile. nmcli con show, nmcli dev status.
IPv6: EUI-64, SLAAC, DHCPv6, Privacy Extensions. ip -6 addr, ip -6 route.

Thema 206 — Systemwartung (Gewichtung 5)

Backup und Recovery:

Backup-Tools: tar, rsync, dd, dump/restore, s3cmd, duplicity.
rsync -avz /source/ user@host:/dest/ — Inkrementelle Remote-Synchronisation. --delete entfernt Zieldateien, die nicht in der Quelle vorhanden sind.
dd if=/dev/sda of=/backup/mbr.img bs=512 count=1 — Backup des MBR (erste 512 Bytes).
Backup-Strategien: Full, inkrementell, differenziell. GFS (Grandfather-Father-Son) Rotationsschema.
du -sh /var / df -h — Überwachung der Festplattenbelegung und des freien Speicherplatzes.

Thema 207 — DNS (Gewichtung 8)

BIND-Konfiguration, Zonen und Fehlerbehebung:

BIND-Konfiguration: /etc/named.conf (oder /etc/bind/named.conf). Zonendateien in /var/named/.
Zonentypen: master (primär), slave (sekundär, repliziert vom Master), forward (leitet Anfragen weiter).
dig example.com A / dig -x 192.0.2.1 (PTR-Lookup). dig +trace example.com folgt der Delegationskette.
nslookup / host — Einfachere DNS-Lookup-Tools.
rndc reload — BIND-Konfiguration ohne Neustart neu laden. rndc status für den Serverstatus.
DNSSEC: dnssec-keygen, dnssec-signzone, DS-Records, Trust Anchors.
Split-Horizon DNS: Verschiedene Views in BIND liefern unterschiedliche Antworten basierend auf der Client-IP.
/etc/resolv.conf — Clientseitige Resolver-Konfiguration. search, nameserver, options rotate.
nscd / systemd-resolved — DNS-Caching-Dienste.

Thema 208 — HTTP-Dienste (Gewichtung 7)

Apache und Nginx:

Apache: Virtual Hosts (<VirtualHost>), Module (a2enmod/a2dismod unter Debian), .htaccess.
- MPMs: prefork, worker, event. Prüfen mit apachectl -V | grep MPM.
- SSL: SSLEngine on, SSLCertificateFile, SSLCertificateKeyFile.
Nginx: Server-Blöcke, location-Blöcke, Reverse Proxy mit proxy_pass.
- nginx -t — Konfiguration vor dem Neuladen testen. nginx -s reload für Graceful Reload.
- SSL: ssl_certificate, ssl_certificate_key, ssl_protocols, ssl_ciphers.
Reverse Proxy: Apache ProxyPass / Nginx proxy_pass leitet Anfragen an Backend-Server weiter.
TLS/SSL: Let's Encrypt-Automatisierung mit certbot, OpenSSL-Befehle zur CSR-Generierung und zum Schlüsselmanagement.
Performance-Tuning: KeepAlive, Caching, gzip-Kompression, Worker-Prozesse/Connections.

Thema 209 — Dateifreigaben (Gewichtung 6)

Samba und NFS:

Samba: /etc/samba/smb.conf. Globale Einstellungen in [global], Freigaben in [sharename].
- smbpasswd -a user — Samba-Benutzer hinzufügen. pdbedit -L zum Auflisten der Benutzer.
- security = user / ads / domain — Authentifizierungsmodi.
- testparm — smb.conf vor dem Neustart validieren.
- smbstatus — Aktive Verbindungen und gesperrte Dateien.
NFS: /etc/exports definiert exportierte Verzeichnisse. exportfs -r zum Neuladen.
- NFSv4: mount -t nfs4 server:/export /mnt. Verwendet rpc.idmapd für das UID/GID-Mapping.
- showmount -e server — NFS-Exports auf einem Server auflisten.
- rpcinfo -p server — RPC-Dienste auflisten (portmapper, nfs, mountd, nlockmgr).
autofs: Automatisches Mounten bei Zugriff. Konfiguration in /etc/auto.master und Map-Dateien.

Thema 210 — Netzwerk-Client-Management (Gewichtung 4)

DHCP und PAM:

DHCP-Server (ISC DHCP): /etc/dhcp/dhcpd.conf. Definition von Subnetz, Range und Optionen (Router, DNS).
- dhcpd -t — Konfiguration testen. dhcpd -f für Vordergrund-/Debug-Modus.
- Relay-Agent (dhcrelay) leitet DHCP-Anfragen über Subnetze hinweg weiter.
PAM (Pluggable Authentication Modules): /etc/pam.d/ steuert die Authentifizierung für jeden Dienst.
- Modultypen: auth, account, session, password.
- Control-Flags: requisite, required, sufficient, optional.
- Gängige Module: pam_unix.so, pam_ldap.so, pam_krb5.so, pam_limits.so.
- pam_tally2 / pam_faillock — Kontosperrung nach fehlgeschlagenen Versuchen.

Thema 211 — E-Mail-Dienste (Gewichtung 5)

Postfix-Konfiguration und Mail-Handling:

Postfix: /etc/postfix/main.cf. Wichtige Parameter: myhostname, mydomain, myorigin, mydestination.
postfix check — Konfiguration überprüfen. postfix reload für einen sicheren Reload.
- mailq — Mail-Queue anzeigen. postsuper -d ALL zum Löschen aller in der Queue befindlichen Nachrichten.
- Relay-Steuerung: mynetworks (vertrauenswürdige Clients), relayhost (Smart Host).
Spam-Filterung: SpamAssassin mit amavisd-new oder rspamd.
DKIM: opendkim-genkey → DNS TXT-Record → opendkim Filter in Postfix.
Mail-Abruf: Dovecot (IMAP/POP3), mailx/mutt zum Lesen lokaler Mails.

Topic 212 — Systemsicherheit (Gewichtung 15)

Firewalls, VPNs, SSH und Auditing:

nftables (moderner Ersatz für iptables): nft add rule inet filter input tcp dport 22 accept.
- Tables, Chains, Rules: nft list ruleset zeigt alle Regeln an. Konfiguration in /etc/nftables.conf.
iptables (veraltet, aber immer noch geprüft): iptables -A INPUT -p tcp --dport 22 -j ACCEPT.
- iptables-save / iptables-restore für Persistenz. iptables -L -n -v zum Auflisten der Regeln.
firewalld: Zonen, Services, Rich Rules. firewall-cmd --zone=public --add-service=http --permanent.
OpenVPN: TUN/TAP-Interfaces, Zertifikate, server.conf/client.conf.
- openvpn --genkey --secret static.key für statische Keys. PKI mit EasyRSA für eine vollständige CA.
IPsec mit strongSwan oder libreswan: IKEv1/IKEv2, Zertifikate, PSK.
SSH-Hardening: PermitRootLogin no, PasswordAuthentication no, PubkeyAuthentication yes.
- Key-Typen: RSA (4096+), Ed25519 (bevorzugt), ECDSA. ssh-keygen -t ed25519.
- sshd -T — Aktuelle SSH-Serverkonfiguration testen.
fail2ban: IPs nach wiederholten Fehlversuchen sperren. Jails für SSH, Apache, Postfix.
Security Auditing: auditd mit Audit-Regeln in /etc/audit/audit.rules.
- ausearch / aureport — Suche und Berichterstattung über Audit-Logs.
- chkrootkit / rkhunter — Rootkit-Erkennung.
- aide — Überwachung der Dateiintegrität. Initialisierung: aide --init, Vergleich: aide --check.
openssl: openssl s_client -connect host:443 für TLS-Tests.
- openssl req -new -newkey rsa:2048 -keyout key.pem -out csr.pem — CSR generieren.

Lernplan

6-Wochen-Intensivplan

Woche	Fokus	Themen	Zeit
1	Kernel + Startup + Kapazität	200, 201, 202	10 Std.
2	Storage (RAID, LVM, iSCSI)	203, 204	10 Std.
3	Networking + Wartung	205, 206	8 Std.
4	DNS + HTTP	207, 208	10 Std.
5	File Sharing + DHCP + PAM + Mail	209, 210, 211	10 Std.
6	Sicherheit + Gesamtwiederholung	212 + alle Themen	12 Std.

Lab-Setup

LPIC-2 erfordert praktische Übung. Richten Sie Folgendes ein:

Mindestens 3 Linux-VMs (empfohlen: Debian/Ubuntu + CentOS/Rocky)
Ein separates Netzwerk für diese (NAT + Host-only)
Praxis-Szenarien: Mail-Server von Grund auf einrichten, BIND mit DNSSEC konfigurieren, ein RAID5+LVM-Storage-Array aufbauen, firewalld mit Rich Rules konfigurieren, OpenVPN Site-to-Site einrichten

Prüfungsanmeldung

Registrierung auf der LPI-Website oder über Pearson VUE
Kosten: Ungefähr 200 $ pro Prüfung. LPI bietet Paketpreise für beide Prüfungen an.
Voraussetzung: Sie müssen über eine aktuelle LPIC-1-Zertifizierung verfügen
Durchführung: Pearson VUE Testzentren oder Online-Proctoring
Gültigkeit: Die LPIC-2-Zertifizierung ist 5 Jahre ab dem Bestehen der zweiten Prüfung gültig
Wiederholungsrichtlinie: 24 Stunden Wartezeit nach dem ersten Fehlversuch, 7 Tage nachfolgende Fehlversuche

Lernempfehlungen

Voraussetzungen

Bevor Sie LPIC-2 angehen, sollten Sie über fundierte LPIC-1-Kenntnisse verfügen, einschließlich:

Sicherer Kommandozeilen-Beherrschung
Verständnis der Filesystem-Hierarchie und Berechtigungen
Grundkenntnisse in Shell-Scripting
Netzwerkgrundlagen (TCP/IP, DNS)

Empfohlenes Vorgehen

LPIC-1-Material wiederholen, falls Sie in letzter Zeit nicht geübt haben — LPIC-2 baut auf allem auf
Ein Lab-Netzwerk einrichten — mindestens zwei Linux-VMs in einem privaten Netzwerk
Jeden Dienst praktisch üben — BIND, Apache, Postfix, Samba, OpenVPN
Praxisprojekte nutzen — einen Mail-Server einrichten, eine Firewall von Grund auf konfigurieren, ein RAID-Array mit LVM erstellen

Testen Sie Ihr Wissen mit Übungsprüfungen

Bereit, dieses Wissen auf die Probe zu stellen? Die interaktive LPI-Übungsplattform auf courses.graphwiz.ai enthält über 400 realistische Fragen zu den Zertifizierungen LPIC-1, LPIC-2, LPIC-3 und DevOps Tools Engineer — mit Lernmodus, zeitgesteuerten Prüfungen, Domain-Aufschlüsselungen, Schwachstellenanalyse und Spaced-Repetition-Flashcards.

Jetzt üben auf courses.graphwiz.ai →