Das längste Thema

Zitat von extremmichi

70er nur für die, die vor dem 1.4.65 geboren wurden

bist du bei diesem datum sicher?

Zitat von ASS

bist du bei diesem datum sicher?

ja weil ich als 67er nur 50ccm durfte

relevant in der BRD waren das datum der führerscheinerteilung, nicht ob du '65 geboren wurdest.

vor dem 1.4.1980 erteilte 3er (schlüssel 79.05) dürfen sogar unbegrenzt leistungsgewichtige 125er fahren (nenne ich jetzt mal A1+).

evtl. bist du ja austrianer, dann bitte obiges ignorieren.

Zitat

Zitat von tab

Die vor mehr als 1,5 Tagen abgeschickte Testmail ist jetzt doch noch angekommen!

Ich hatte schonmal 14 Tage verschwundene Mails vom Str**o die doch noch angekommen sind.

PHP Mail hatte keine Mails mehr versendet, also habe ich alles mögliche versucht. Vom Einzeiler bis zur 20 Zeilen Konfiguration und phpmailer in Debug Modus.

Auf einmal trudelten die langsam ein, die hatten irgendeinen internen Filter falsch konfiguriert.

Der kostenpflichtige Support: Das ist Ihr PHP Script, da können wir nichts machen.

Zitat von Olivetti

vor dem 1.4.1980 erteilte 3er

oh dann wars der 62er Jahrgang? dann hat meine Erinnerung mich belogen

das mit den 125er stimmt auch , hielt ich aber nicht für wichtig weil ich ja eh nur 50ccm fahren durfte

Zitat von Olivetti

relevant in der BRD waren das datum der führerscheinerteilung, nicht ob du '65 geboren wurdest.

vor dem 1.4.1980 erteilte 3er (schlüssel 79.05) dürfen sogar unbegrenzt leistungsgewichtige 125er fahren (nenne ich jetzt mal A1+).

Das klingt mir schon richtiger

Gerade gelesen: OpenSSH hat jetzt quasi sein eigenes Fail2Ban: https://man.openbsd.org/sshd_config.5#PerSourcePenalties

Wie ist das denn eigentlich mit dem LBS (LocalBlockStorage), wenn ich einen Server komplett neu installiere?

Kann ich den aushängen und nach der Neuinstallation ohne darauf Datenverlust zu haben wieder einhängen?

Wird der LBS immer genau zusammen mit dem entsprechenden Server monatlich abgerechnet?

FYI: "Your Private GitHub Repos Aren't as Private as You Think" [youtube.com] (Weiterführende Quellen finden sich unter dem Video)

Hallo zusammen, ich hab' mal eine Frage für die sich ein eigenes Thema nicht wirklich lohnt.

In fail2ban habe ich SSHD in der jail.local etwas verschärft:

[sshd]

# To use more aggressive sshd modes set filter parameter "mode" in jail.local:
# normal (default), ddos, extra or aggressive (combines all).
# See "tests/files/logs/sshd" or "filter.d/sshd.conf" for usage example and det>
#mode   = normal
mode = aggressive
port    = ssh
logpath = %(sshd_log)s
backend = %(sshd_backend)s
banaction = %(banaction_allports)s

Mein Ziel ist es, Angreifer auf allen Ports zu sperren, was der aggressive-Mode in Verbindung mit banaction_allports auch wundbar macht.

Durch den aggressive-Mode löst fail2ban auch aus, wenn jemand eine Passwort-Authentifizierung versucht obwohl nur zertifikatsbasiert möglich ist.

Leider ist es mir (als Angreifer vom DSL-Anschluss her kommend) trotzdem noch möglich, meinen Server anzupingen.

Hier stehe ich etwas auf dem Schlauch

Laut fail2ban-iptables-Eintrag müsste der ICMP-Port eigentlich auch gesperrt sein:

Win98SE4ever:/# iptables -L f2b-sshd -n -v

Chain f2b-sshd (1 references)
pkts bytes target     prot opt in     out     source               destination
2   104 REJECT     0    --  *      *       93.210.123.456       0.0.0.0/0            reject-with icmp-port-unreachable
0     0 REJECT     0    --  *      *       93.210.123.789       0.0.0.0/0            reject-with icmp-port-unreachable
1053 95880 RETURN     0    --  *      *       0.0.0.0/0            0.0.0.0/0

Warum lässt iptables den Ping zu? SSH und alle anderen Ports (z.B. Webserver) werden wie gewünscht geblockt.

Kommt sich hier die ufw mit iptables irgendwie ins Gehege?

ufw ist recht sparsam konfiguriert:

Win98SE4ever:/# ufw status
Status: active


To                         Action      From
--                         ------      ----
12345/tcp                   ALLOW       Anywhere                   # SSH-Port auf Port 12345 freigeben
12345/tcp (v6)              ALLOW       Anywhere (v6)              # SSH-Port auf Port 12345 freigeben

P.s.: SSH habe ich auf einem geänderten Port (hier im Code als Beispiel 12345). Deshalb habe ich bisher auch nur meine 2 eigenen dynamischen DSL-IPs in der Jail gesammelt...

Zitat von Win98SE4ever

Laut fail2ban-iptables-Eintrag müsste der ICMP-Port eigentlich auch gesperrt sein:

Die Zeile besagt nur aus, dass per ICMP mitgeteilt wird, dass der Port unreachable ist.

Es gibt keinen "ICMP-Port" - ICMP ist nämlich ein Protokoll ähnlich wie TCP und UDP. Das müsste man extra sperren.

Du könntest die Policy auch von Reject auf Drop ändern.

Zitat von Win98SE4ever

ich hab' mal eine Frage für die sich ein eigenes Thema nicht wirklich lohnt.

Kosten eigene Themen hier denn extra

Im Ernst: Ich finde immer wieder verwunderlich (und schade), dass hier Fachfragen im "Smalltalk" landen. Als eigene Themen bekämen sie doch wahrscheinlich mehr Aufmerksamkeit und wären leichter wieder zu finden...

Just my 0.02$

Zitat von H6G

Du könntest die Policy auch von Reject auf Drop ändern

Danke für den Hinweis, das Reject/Drop-Dingens hatte ich total aus den Augen verloren.

Bin mal wieder einer Fehlannahme aufgesessen und dachte fail2ban dropped automatisch alles.

Auch wenn das eine lange Diskussion von Reject- und Drop-Befürworten ist (mit Vor- und Nachteilen für beide Seiten) halte ich es da mit John Wick:

"Ein Angreifer hat seine Mitgliedschaft (im Sinne des Zugriffs auf meine Server) durch eigenes Tun verwirkt!"

Zitat von MyMattes

Kosten eigene Themen hier denn extra...

Ich hoffe nicht...

Bei meiner Frage hatte ich aber schon das Gefühl, dass ich etwas grundsätzlich übersehen habe. Dabei sollte ich Recht behalten, es war zum einen die Reject-/Drop-Geschichte und zum anderen wie sich fail2ban in iptables einklinkt.

Sobald ich mein Setup abgeschlossen habe, mache ich aber gerne mal ein Thema auf samt Erfahrungen.

Übrigens hatte der Tipp von H6G bei mir erst gar nicht gewirkt, weil ich das systemctl restart fail2ban.service nach den Änderungen vergessen hatte.

Ich hoffe daher dass neue dyn. IPs von der Telekom auch nichts kosten. Davon musste ich mir heute einige ziehen...

Zum Abschluss hier nochmal meine endgültige Lösung für die Angelegenheit:

In der jail.local habe ich erstmal alles auf Drop gesetzt:

# Action shortcuts. To be used to define action parameter


# Default banning action (e.g. iptables, iptables-new,
# iptables-multiport, shorewall, etc) It is used to define
# action_* variables. Can be overridden globally or per
# section within jail.local file
banaction = iptables-multiport[blocktype=DROP,protocol=all]
banaction_allports = iptables-allports[blocktype=DROP,protocol=all]

Weiter unten habe ich den SSHD folgendermaßen konfiguriert:

[sshd]

# To use more aggressive sshd modes set filter parameter "mode" in jail.local:
# normal (default), ddos, extra or aggressive (combines all).
# See "tests/files/logs/sshd" or "filter.d/sshd.conf" for usage example and det>
#mode   = normal
mode = aggressive
port    = ssh
logpath = %(sshd_log)s
backend = %(sshd_backend)s
banaction = %(banaction_allports)s
protocol = all

Zur Erläuterung (sofern ich das alles richtig verstanden habe / ich verwende Debian 12):

mode = aggressive sperrt Angreifer auch dann aus, wenn sie die falsche Authentifizierungsmethode versuchen (z.B. Passwort obwohl nur Zertifikate möglich sind und das auch in dem Fall ohne in der Anfrage gleich ein Passwort mitzuliefern).

port = ssh funktioniert wenn man vom Standardport abweicht, allerdings muss dafür der selbst vergebene Port in der Datei /etc/services geändert werden.

Überprüfen kann man den SSH-Port z.B. mit ss -tlnp

banaction = %(banaction_allports)s aktiviert die oben angegebene Einstellung (Drop auf allen Ports)

protocol = all ist notwendig, damit der Angreifer für alle Protokolle (also auch meine ursprüngliche Aufgabenstellung "ping sperren") gesperrt wird.

Fehlt diese Zeile (was ein weiterer Fehler von mir war), dann wird der Angreifer nur für TCP gesperrt (weil SSH hier in fail2ban auf TCP geführt wird)

Das kann man auch mit iptables -vnL prüfen: verwendet man das protocol = all dann wird f2b-sshd in der iptables-Kette für alle Protokolle geführt (prot = 0),

pkts bytes target prot opt in out source destination

157 29817 f2b-sshd 0 -- * * 0.0.0.0/0 0.0.0.0/0

während man ohne protocol = all hier alles nur für TCP-Protokoll (prot = 6) wirkt (=sperrt):

pkts bytes target prot opt in out source destination

147 13817 f2b-sshd 6 -- * * 0.0.0.0/0 0.0.0.0/0

Nach den Änderungen ist ein systemctl restart fail2ban.service empfehlenswert

Zitat von ASS

Das klingt mir schon richtiger

richtig ist beides.

Wer vor dem 1.4.80 seinen Führerschein gemacht hat, muss vor dem 1.4. 62 geboren sein.

ich habe mich nur im Jahr vertan

Zitat von extremmichi

ich habe mich nur im Jahr vertan

Genau das war es ja, was ich angezwiefelt hatte. Dass 65 stimmt...

Zitat von Olivetti

relevant in der BRD waren das datum der führerscheinerteilung, nicht ob du '65 geboren wurdest.

vor dem 1.4.1980 erteilte 3er (schlüssel 79.05) dürfen sogar unbegrenzt leistungsgewichtige 125er fahren (nenne ich jetzt mal A1+).

evtl. bist du ja austrianer, dann bitte obiges ignorieren.

Und ich glaube, du durftest mit dem alten Klasse 3 Schein auch noch 7,5t fahren. So konnte ich mit meinem Schwiegervater auf eigene Faust einen Umzug mit nur einmal fahren stemmen.

Zitat von p3nnyman

Und ich glaube, du durftest mit dem alten Klasse 3 Schein auch noch 7,5t fahren. So konnte ich mit meinem Schwiegervater auf eigene Faust einen Umzug mit nur einmal fahren stemmen.

Wenn wir das schon aufdröseln für die Geschichtsbücher, ich denke es waren nur 7,49 Tonnen. Ab 7,5t war es nicht mehr erlaubt. Viele LKWs sind (oder waren?) deswegen 7,49t und nicht 7,5t. Ich durfte auch mal einen fahren anlässlich einer Messe. Ging zwar ganz gut, aber ich war trotzdem froh, als ich mit dem Teil wieder heil zurück war.

Zitat von tab

ich denke es waren nur 7,49 Tonnen. Ab 7,5t war es nicht mehr erlaubt.

total korrekt. ich schrieb oben auch von 125er, weil man das einfach umgangssprachlich so sagt.

aber kein mensch sagt 124er oder 7,2 tonner (weil die aktuellen »7,5er« halt dafür IMHO EU-genormt wurden).

hol' dir nächstes mal einen Iveco Daily 72 mit automatik. absolutes träumchen beim fahren und kein vergleich zu »früher«.

Zitat von Olivetti

hol' dir nächstes mal einen Iveco Daily 72 mit automatik. absolutes träumchen beim fahren und kein vergleich zu »früher«.

naja ich fahre täglich n 7,5 Tonner manchmal mit Hänger , manchmal ohne.

Ist auch nur n Auto von Träumchen keine Rede

und Autofahren macht ja schon lange keinen Spass mehr.

Anfahren , Bremsen,Anfahren, Bremsen hinzu kommt die Rücksichtslosigkeit und der Egoismus

der anderen Fahrer, zumindest in den größeren Städten.

Zitat von p3nnyman

Und ich glaube, du durftest mit dem alten Klasse 3 Schein auch noch 7,5t fahren.

das darf man auch immer noch + 4,5t Anhänger

Ich musste dieses Jahr meinen Führerschein umtauschen in den EU-Führerschein und alle meine

Klassen aus 3 wurden übernommen.

Mein Arbeitskollege hatte damals mal gesagt als der "Kinderführerschein" :X eingeführt wurde:

Unser Führerschein wird noch Gold wert sein.

Und so ist es auch gekommen. Wer den alten 3er( nicht BMW)hat , wird überall sofort eingestellt.

Aber es ist auch eine aussterbende Art

Zitat von extremmichi

und alle meine

Klassen aus 3 wurden übernommen.

War da nicht irgendwas, das zwar übernommen wird, aber dann nach 5 Jahren wegfällt, wenn man nicht eine wiederkehrende Sonderprüfung macht?

7,5 und großer Anhänger oder sowas?