Beiträge von aNewUser

Danke erstmal für eure Unterstützung! Letztlich lag es bei mir an einem Tippfehler...

Ich hatte in der /etc/openvpn/scripts/ndp-proxy-setup.sh

Einen Strichpunkt nach if [[...]]; then vergessen.

Jetzt funktioniert die Verbindung ins Internet über IPv4 und IPv6, nur unbound gibt den Clients noch keine Antwort (ich habe aber schon eingestellt, dass unbound auf 10.8.0.* hört). -> DNS läuft noch über Google.

Das Problem sollte aber lösbar sein.

Noch eine Frage: sind Clients über IPv6 auch hinter einer NAT? Muss ich diese noch durch eine Firewall auf dem Server schützen?

Bei mir ist im

*filter

FORWARD auf ACCEPT

In *nat

-A POSTROUTING -s 10.8.0.0/24 -o ens3 -j MASQUERADE

Aber eine Regel mit FORWARD finde ich nicht mehr. Ich hatte im Kopf eine gesetzt zu haben.

Klappt aber auch so nicht.

iptables -A FORWARD -i tun0 -j ACCEPT
iptables -A FORWARD -i tun0 -o ens3 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -i ens3 -o tun0 -m state --state RELATED,ESTABLISHED -j ACCEPT

Meine firewallconfig (gekürzt)

*filter

:INPUT DROP [0:0]
:FORWARD DROP [0:0]
# :FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
[...]
# Accept openvpn
-A INPUT -p udp --dport 1194 -j ACCEPT
# Accept all connections from vpn
-A INPUT -s 10.8.0.0/24 -j ACCEPT
#accept dns from VPN
-A INPUT -i tun0 -p udp --dport 53 -j ACCEPT 
# Forward chain
-A FORWARD -i tun0 -j ACCEPT
-A FORWARD -i tun0 -o ens3 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i ens3 -o tun0 -m state --state RELATED,ESTABLISHED -j ACCEPT
[...]
COMMIT
*nat
:INPUT ACCEPT [0:0]
:PREROUTING ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]

# Masq 
-A POSTROUTING -s 10.8.0.0/24 -o ens3 -j MASQUERADE
COMMIT

Zitat von florian2833z

Mal ganz doofe Frage, hast du in linux schon ipv4 forwarding aktiviert ?

Ja:

cat /proc/sys/net/ipv4/ip_forward
1

Zitat von alhazred

Du musst in der Config angeben, dass der gesamte Trafic übers VPN gehen soll.

Weiterhin muss MASQ und NAT eingeschaltet sein. Kleine Anleitung

Meine Config Datei:

dev tun
proto udp
port 1194
server 10.8.0.0 255.255.255.0
server-ipv6 xxxx:xxxx:xxxx:xxxx:xxxx::/112
ifconfig-pool-persist ipp.txt
script-security 2
# get address ipv6
learn-address "/usr/bin/sudo -u root /etc/openvpn/scripts/ndp-proxy-setup.sh" # OpenVPN hat genug Rechte
#
ca /etc/openvpn/certs/ca.crt
cert /etc/openvpn/certs/server.crt
key /etc/openvpn/certs/server.key
dh /etc/openvpn/certs/dh4096.pem
tls-auth /etc/openvpn/certs/ta.key 0
#
verb 4
status /var/log/openvpn-status.log
log-append /var/log/openvpn.log
#
cipher AES-256-CBC
auth sha256
#
user openvpn
group openvpn
persist-key
persist-tun
client-to-client
comp-lzo
keepalive 10 120

push "route-ipv6 2000::/3 xxxx:xxxx:xxxx:xxxx:xxxx::1 1"
push "redirect-gateway def1 bypass-dhcp"
push "redirect-gateway ipv6"
# push "dhcp-option DNS 10.8.0.1"
push "dhcp-option DNS 8.8.8.8"

Damit sollte doch der ganze Traffic über den Tunnel gehen?

ip a show tun0:

tun0: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN group default qlen 100
    link/none 
    inet 10.8.0.1 peer 10.8.0.2/32 scope global tun0
       valid_lft forever preferred_lft forever
    inet6 xxxx:xxxx:xxxx:xxxx:xxxx::1/112 scope global 
       valid_lft forever preferred_lft forever
    inet6 fe80::c103:30c4:9107:1b4a/64 scope link flags 800 
       valid_lft forever preferred_lft forever

Masqerade ist aktiv.

unter *nat in meiner iptables config.

Server habe ich auch mehrfach neugestartet.

Ich habe einen OpenVPN Server auf meinem Server installiert.

Wenn ich mich nun mit ihm verbinde, kann ich nur im 10.8.0.* Netz Daten austauschen. Ins Internet komme ich nicht.

Der Server läuft auf Debian Stretch.

NAT habe ich in der Firewall eingerichtet.

Das ganze läuft über ein tun device.

Kernel-IP-Routentabelle
Ziel            Router          Genmask         Flags Metric Ref    Use Iface
default         gateway.netcup. 0.0.0.0         UG    0      0        0 ens3
10.8.0.0        10.8.0.2        255.255.255.0   UG    0      0        0 tun0
10.8.0.2        0.0.0.0         255.255.255.255 UH    0      0        0 tun0
37.120.176.0    0.0.0.0         255.255.252.0   U     0      0        0 ens3
172.17.0.0      0.0.0.0         255.255.0.0     U     0      0        0 docker0

Falls nötig kann ich noch die OpenVPN-Server-config posten.

Im Internet habe ich keine Lösung gefunden.

Stimmt. Genau das gleiche kommt bei mir auch. Also kommen die Pakete von einem internen Gerät?

Warum aber dann der Verbindungsversuch von intern auf SSH? Wenn netcup Zugriff haben wollte gäbe es sicher andere Möglichkeiten .

Da versucht ein Server im internen Netz in meinen zu kommen?

Sind die Server im Rechenzentrum untereinander irgendwie im 192.168 Netz? (Ab hier lassen mich meine Kentnisse über Netzwerke im Stich...)

Ich hatte vor kurzem auch mal eine IP von einem anderen Kunden im Syslog wegen eines Verbindungsversuches auf Port 22.

Was bedeutet das?

Docker nutzt 172.17.0.*

docker0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 172.17.0.1  netmask 255.255.0.0  broadcast 0.0.0.0
        inet6 fe80::42:78ff:???:???  prefixlen 64  scopeid 0x20<link>
        ether 02:42:78:??:??:??  txqueuelen 0  (Ethernet)
        RX packets 0  bytes 0 (0.0 B)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 5  bytes 438 (438.0 B)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

Syslog:

Dec  6 09:08:01 ***** kernel: [34649.511397] iptables[DOS]: IN=ens3 OUT= MAC=2a:db:c1:69:cd:0a:2c:6b:f5:a0:77:c0:08:00 SRC=192.168.11.27 DST=37.120.***.*** LEN=48 TOS=0x00 PREC=0x00 TTL=114 ID=64002 PROTO=TCP SPT=60549 DPT=22 WINDOW=65535 RES=0x00 SYN URGP=0

DPT 22 ist schon verdächtig...

Eine (wahrscheinlich) dumme Frage: was ist ein Transportnetz? Ich habe docker installiert, wenn das etwas aussagen könnte.

Die genaue IP war 192.168.11.27.

Mein Heimnetzwerk hat 192.168.2.*.

Also glaube ich nicht, dass etwaige SSH Port Forwarding etwas damit zutun haben könnten.

Ich habe im Syslog meines Servers einen gescheiterten Verbindungsversuch von einer 192.168.*.* IP bemerkt. Wurde da irgendwie die IP gefälscht? Ist es sinnvoll IP-Adressen aus 192.168.*.* gleich in der Firewall auszusperren?

Hmm. Hattest du einen / am Ende gehabt?

Ich kenne mich mit Moodle zwar nicht aus, aber ich denke,dass das Datenverzeichnis relativ eingetragen wurde also z.B. ../Data/. Hast du schon versucht den kompletten, nicht relativen Datenpfad in Moodle einzustellen? Also von / (root/wurzelverzeichnis) aus?

Ok. Scheint jetzt ausbezahlt zu sein. Danke

Thema kann als erledigt markiert werden.

Gut. Werde ich mal probieren. Danke.

Ich habe jetzt schon seit mehr als einer Woche einen Server zurückgegeben (Vertrauensgarantie). Dieser wurde auch "gelöscht", aber es steht immer noch eine offene Rechnung im CCP. Meine Frage: wie lange dauert die Auszahlung? Muss ich irgendwo erneut Kontodaten angeben? Ich regle die Bezahlung über Lastschrift.

Unter der Rechnung steht:

Ausgleichsbeleg. Bitte teilen Sie uns SEPA-Daten für die Auszahlung mit. Bei weiteren Fragen stehen wir Ihnen gerne jederzeit zur Verfuegung. Wir danken fuer Ihr Vertrauen.

Muss ich also diese Daten dem Support zukommen lassen?

Du musst noch stable-updates:

deb http://deb.debian.org/debian/ stable-updates main contrib non-free
deb-src http://deb.debian.org/debian/ stable-updates main contrib non-free

zu deiner sources.list hinzufügen + mit apt updaten. (Siehe https://wiki.debian.org/SourcesList und

http://forums.debian.net/viewtopic.php?t=134920)

Zum netcup mirror würde ich sagen: wahrscheinlich schon die bessere Wahl, da der Server wahrscheinlich nicht einmal 20m entfernt steht; und für netcup entsteht weniger Traffic nach außen. Wenn die ganzen Server direkt mit dem Spiegelserver verbunden sind ist es ja klar, dass es schneller geht.

Aber ich bin kein Profi, also warten wir noch auf Antworten von anderen Forumsmitgliedern.

Ich kann dieses Problem immer noch (heute) bestätigen. Wahrscheinlich ist das Problem, dass (bestimmte) Sonderzeichen nicht angenommen werden. -> Falsche oder andere Zeichenkodierung im Webshop und im CCP? ich hatte ein € und ein = in meinem Passwort... wahrscheinlich wird das € nicht richtig angenommen?

Vorschlag: Datenbank Charset überprüfen?

Edit2: vielleicht ist das ein DNS Sinkhole?

Edit3: Erst mal Gedanken ordnen...

• Die Domain <meineadomain>.tld.ksjdf.nl "gehört nicht zu mir" -> meine Domain ist "sicher"
• Wahrscheinlich ist das ein Sinkhole -> gutartig?

oliver.g

Da hast du recht. Das ganze ist nur etwas komisch... (Gründe oben)

Hmm. KB19

Ich hatte Google.de eingegeben und es kam dieser Eintrag nicht.

Das komische ist

1. Meine Domain ist noch nicht mal 2 Wochen alt

2. warum hört auf alksjdf.nl kein Webserver, sondern nur auf der Subdomain?

Was ist "See http://sinkhole.sidnlabs.nl for information" im txt Record? Ich habe die Seite besucht-> auch ein nginx...

Ich habe das im TXT Record von https://showdnsrecords.com/?url=hannamie.com.alksjdf.nl gefunden

Übrigens: diese Domain wurde mir "einfach so" über Google ausgespuckt.

Edit : Formatierung auf Mobilgeräten ist echt ?

Ich habe gerade per Zufall meine DNS Einträge von "außen" angeschaut (https://showdnsrecords.com) und einen AAAA Record gefunden, der nicht im CCP auftaucht, und den ich nie gesetzt habe. Die Domain sieht aus wie meine, aber mit einem alksjdf.nl am Ende also: meinedomain.eu.alksjdf.nl.

Das finde ich sehr seltsam. Weis irgendjemand, was es damit auf sich hat? Ach ja: ich habe eine Standard nginx (nicht konfiguriert) Seite hinter dieser Domain gefunden.

Da es keine Subdomain von mir ist, warum taucht sie dann auf und warum giebt es diesen Record überhaupt?

Über die Suchmaschine meiner Wahl habe ich nichts gefunden...

Edit: https://mxtoolbox.com/ spuckt diesen nicht aus.

IMG_3548.PNG

IMG_3550.PNG

Zitat von [netcup] Felix

Ja. Das kostet allerdings zur Zeit noch gut 20 Euro. Vermutlich sehr zeitnah wird dieses für Kunden, die nicht aus Deutschland kommen, kostenlos werden.

Danke für eure Antworten.

[netcup] Felix P.

Das hört sich auch gut an. Ich habe jetzt eine .eu Domain. Ach ja, 20€/ Monat oder /Jahr? Und warum nur für Kunden außerhalb Deutschlands kostenlos?

Danke für die Antworten! Ich habe jetzt eine .eu Domain erstellt.

Von dem Whois Privacy Prinzip hatte schon gehört, aber diese Dienste waren mir nicht ganz geheuer. Für mich ist es ok, wenn man die Daten beantragen kann, nur nicht einfach nach dem Prinzip "ach ja, mal schnell Chapta ausfüllen, mal sehen wo der wohnt...".