Beiträge von geekmonkey

  • Das längste Thema

    Zitat von vmk

    Die Zertifikate laufen bei mir alle über pfsense. Dort werden per API pauschal Wildcard Zertifikate ausgestellt.

    Die Verteilung erfolgt auf zwei Arten: Direkt innerhalb der pfsense in den haproxy. Alternativ per cronjob an die Clients mit einem service reload.

    Das Monitoring erfolgt per Zabbix.

    Klingt erst mal ganz interessant! Muss nur genau gucken, ob und in wie weit die Anbieter DNS Settings per API zulassen.

    Zumindest Netcup und Aliyun sollten kein Problem sein, hier liegen auch die meisten Domains. HE hat sowas glaube ich nicht o0

  • Das längste Thema

    Das ganze Gerede von DNS, HTTP/2, SSL, ... sagt mal, wie haltet ihr das mit euren Zertifikaten?

    Da ich gerade eh dabei bin, vom certbot auf acme.sh umzusteigen, kam die Frage auf, ob es bei der Zertifizierung via DNS nicht sogar Sinn macht, die Zertifikate zentral über einen Server zu verwalten und dann quasi an die anderen Server zu verteilen. Scheinen ja einige hier so zu machen.

    Stellt sich nur die Frage, ob Pull oder Push, via SSH oder SFTP?

    Lasst mal hören!

  • Das längste Thema

    Zitat von Cictani

    Die Frage ist doch, was noch gegen http/2 spricht. Ich lese da jedenfalls keine Gründe aus deinem Post heraus, die das sagen. Http/2 wird mittlerweile von diversen großen Webseiten (google, facebook, twitter, github etc.) verwendet und dürfte so stabil sein, dass man es problemlos produktiv einsetzen kann.

    Ein Zertifikat sollte man doch mittlerweile sowieso haben, denn die Seite wird ja ohne als "nicht sicher" angezeigt, was schon mal beim Besucher keinen guten Eindruck hinterlässt. Dann soll es ja auch negative Auswirkungen auf das page ranking haben, wenn man kein https verwendet.

    War keepalive nicht eine Apache eigene, nicht standardisierte Lösung?

    Keine Ahnung, was je dagegen sprach. Nutze ausschließlich http2 seit Jahre, seit der Implementierung in die mainline Version von nginx. Wobei es mir auch relativ egal ist, ob meine Seiten zu 100% von allen erreichbar sind ??

  • Das längste Thema

    Zitat von voja

    Der grundlegende Angriff ist seit Jahren bekannt. Und trotzdem deployen nicht mehr Leute DNSSEC. Dann wäre das nur heiße Luft und sonst nichts.

    Warum steht das eigentlich nicht auf default? meines Wissens nach genügt es doch den Haken zu setzen, oder übersehe ich das was?

  • acme dns

    Zitat von mainziman

    wenn Du mit Key den private Key meinst, das kannst Du haben wie Du willst;

    bei mir wird - entgegen des sinnvollen - immer der gleiche private Key verwendet;

    --csr CERT-REQUEST

    heißt der acme.sh Parameter; wenn Du den Private Key wiederverwenden willst;

    Ah perfekt, danke! Geht hierbei eigentlich nur um eine einzige Domain, für den Mailserver, weil ich nicht ständig den TLSA DNS record ändern will. Daher sollte hierbei der Key gleich bleiben.

    Der ACME Client scheint auf jeden Fall umfangreicher zu sein, als der Certbot.

    Kurze Frage noch zum cron.

    Hab nun einfach mit acme.sh --installcronjob den cron in crontab hinzugefügt. Reicht das aus?

    Wobei ich das Script komischerweise mit dem direkten Pfad aufrufen musste. Sonst hätte der irgendwie alles mit --home /root/acme.sh/ hinterlegt ...

  • acme dns

    Bzw. was mir gerade noch einfällt, wird der key immer wieder verwendet? also standardmäßig? Oder muss man wie bei certbot dafür sorgen? --reuse-key oder dergleichen habe ich zumindest nicht gefunden

  • acme dns

    Kraeutergarten Lass dich knutschen! - haha

    Code
    [So 9. Sep 19:27:55 CEST 2018] Sleep 300 seconds for the txt records to take effect
[So 9. Sep 19:32:57 CEST 2018] Verifying:r3v.de
[So 9. Sep 19:33:00 CEST 2018] Success
[So 9. Sep 19:33:00 CEST 2018] Removing DNS records.
[So 9. Sep 19:33:01 CEST 2018]
[So 9. Sep 19:33:02 CEST 2018] Verify finished, start to sign.
[So 9. Sep 19:33:03 CEST 2018] Cert success.


    Wenn mir jetzt noch wer verraten kann, wie sich das mit den post-hooks, bzw. renew-hooks und dem cronjob verhält, bin ich geneigt den certbot auf allen systemen durch acme.sh zu ersetzen.

    Die Auswahl an unterstützen APIs ist ja gigantisch. Selbst Aliyun kann ich damit nutzen, was gerade das signen in China um einiges vereinfachen sollte, da spinnt der webroot nämlich gerne mal!

  • Nachträgliche Preisanpassung

    Zitat von Sir.Frenz

    Ich würde mich sehr freuen,wenn du den Link weitergeben könntest.
    Ich erfinde so ungern das Rad neu ;)

    Danke Dir

    Sorry Leute irgednwie total vergessen. War auch irgendwie nicht bei github. Hatte das Ganze wohl noch mal überarbeitet und war entweder noch nicht ganz zufrieden, oder irgendwas funktionierte noch nicht.

    Habs aber mal eben schnell quick and dirty geuppt: https://github.com/gxf0/lazy_backup

    Funktionen sind eigentlich selbsterklärend.

    lazy_backup  -e  bzw. --export oder eben lazy_backup -i  bzw. --import 

    Definiert werden die Dinge entweder in export.cfg oder import.cfg

    export.cfg:

    unter [dir] kannst du alle Pfade angeben und unter [sql] den root nutzer. Wird dann alles zusammen gepackt

    import.cfg:

    hier gibst du an, wie die datei heißt, die importiert wird. bzw. welche datenbanken importiert werden sollen, jeweils mit nutzer. glaub das war der Grund, warum ich die Sachen noch nicht freigegeben hatte, war mit der Lösung noch nicht zufrieden, bzw. wollte es automatisierter haben. db_count="2" gibt quasi an, wieviele Datenbanken importiert werden sollen. Jeweils mit nutzer, name etc. kannst beliebig erweitern ... wenn du magst uach bis 4567 dbs, ... normalerweise legt erstellt man sich ja nur einmal so ne config und nutzt sie für den host immer wieder :)

    Hoffe das hilft dir ein bisschen. Irgendwann mach ich es mal komplett fertig - haha.

  • acme dns

    Hey Leute,

    ich bin endlich mal dazu gekommen die netcup API für lets encrypt wildcards zu nutzen, .. zumindest war das der plan, ... aber irgendwie läuft das alles nicht so, wie geplant. Hab mich, da netcup api mittlerweile implementiert wurde - danke an linuxinside, mal an dem acme.sh client versucht. (https://github.com/Neilpang/acme.sh)

    Installiert habe ich das ganze folgendermaßen:

    Nicht wundern, ich habs direkt als bashscript zum installieren geschrieben, quasi für die "Toolbox"

    Zusätzlich habe ich myaccount.conf angepasst:


    Soweit scheint alles zu funktionieren.

    Wenn ich nun aber mit acme.sh --issue --dns dns_netcup -d r3v.de das Zertifikat erstellen will, ... dann sieht alles erst mal danach aus, dass es funktioniert:



    Ich hab mal im CCP geguckt, also TXT Record wurde gesetzt, TTL steht auf 10 - wobei das bei nem TXT eigentlich keine Rolle spielen sollte.

    Also, was nun? was hab ich übersehen? Was genau hat getwd für ein Problem?


    Bei nem neuen Versuch erhalte ich dann:

    Code
    [So 9. Sep 18:29:05 CEST 2018] new-authz error: {"type":"urn:acme:error:rateLimited","detail":"Error creating new authz :: too many failed authorizations recently: see https://letsencrypt.org/docs/rate-limits/","status": 429}
[So 9. Sep 18:29:05 CEST 2018] Please add '--debug' or '--log' to check more details.
[So 9. Sep 18:29:05 CEST 2018] See: https://github.com/Neilpang/acme.sh/wiki/How-to-debug-acme.sh


    Weswegen die Option --debug wohl auch gerade nix bringt :/

    Also, wenn wer Hilfe weiß, oder einen Tipp hat, ich bin für alles offen?

    Andere Frage am Rande, benötige ich noch nen zusätzlich cron? So wie ich das verstanden habe, setzt acme.sh einen bei der Installation. Für Docker Container verwende ich auf einem meiner Server aktuell --post-hook, sollte hier ja auch funktionieren, oder? Bzw. hab ich bei der Durchsicht der Befehle gesehen, dass --renew-hook wohl besser geeignet ist.

    Schönen Sonntag euch!

  • Traefik vs Nginx

    Danke für den Input! Ja, ich denke Traefik hat sicherlich seine Stärken, aber ist als einfacher Proxy für 3,4 Apps wohl ein bissel too much.

    Hab bis jetzt eigentlich noch nie mehr als Proxy Pass und nen paar redirects benötigt. Werde dann wohl mal bei nginx bleiben.

    janxb Nettes Script. Generiere die configs selbst über Bash, aber mit deutlich weniger Auswahl - haha. Einfach weil ich wenig mit Containern arbeite ?

  • Traefik vs Nginx

    Nutze seit Jahren Nginx, sowohl als Webserver, als auch als Reverse Proxy. Da ich gerade mal wieder mit Docker spiele und auf dem Host eigentlich nur einen Reverse Proxy benötige, hab ich mich mal nach reinen Proxies umgeguckt.

    Wüsste gerne, wer hier was nutzt, bzw. auch warum.

    Eignet sich Traefik für den produktiven Einsatz, oder eher Dev?

  • CPU-Verbrauch

    Zitat von ThomasChr

    Das Ei ist doch ziemlich flott :)

    Das Ei ist perfekt, 2vCore, 2GB RAM, 10GB SSD für 1,9€/Monat oder so. Bisher eins der besten Schnäppchen bei Netcup - aber dank IPv4 Knappheit, wohl bald eins der Letzten :(

    Auf dem Ei läuft aber auch nur nen LEMP Stack + TIG Stack wobei InfluxDB die Anlaufstelle für Daten der anderen Server ist.

  • docker-composer.yml: LEMP + Redis + PHPmyAdmin + whatever

    Hey Leute, wollte mal testweise LEMP und Co via Docker laufen lassen.

    Hat von euch zufällig wer ne passende docker-composer.yml rumfliegen?

    Bzw. kenne mich relativ wenig damit aus, speichert man enviroment variablen lieber in der .yml oder in einer .env? Gibts da soetwas wie einen "Goldstandard"?

    Muss ich die Container untereinander vernetzen, oder geschieht das automatisch im gleichen Projekt?

    Macht es evtl. Sinn, die nginx conf, php.ini etc. im app ordner zu speichern, oder lieber wie gwohnt /etc/... dachte hierbei an den einfachen umzug, müssste man quasi nur ein Ordner kopieren??


    :):) Dankööö