Beiträge von mainziman

  • Das längste Thema

    Hat jemand im Apache im Zshg. mit SSL/TLS

    auch eine Authentifizierung mittels eines Client-Zertifikates im Einsatz?

    im Apache geht das damit in der vHost-config

    Code
    SSLCACertificateFile /etc/httpd/conf/ssl.crt/home-rootca.crt
SSLVerifyClient require
SSLVerifyDepth 2

    da beim 6in4-Tunnel es beim 6in4-Server ohnehin nur f. meinen Router eine Relevanz hat, hab ich auch selbstsignierte SSL-Zertifikate in Verwendung;

    (f. .home.arpa gibts ohnehin keine offiziellen SSL-Zertifikate)

    der Aufruf von curl erfolgt z.B. so: curl --cert ./clntCert.pem --key ./clntCert.key --url "https://.../..."

    (das klappt auch wunderbar)

    ich sende allerdings auch einen 'speziellen' User-Agent sowie Referer mit, welche zusätzlich am Server validiert werden,

    ebenso die Seriennummer des Client-Zertifikates (bekommt man in der Variable 'SSL_CLIENT_M_SERIAL' frei Haus geliefert)

    und zusätzlich wird der Zugriff nur IPs von den Ranges meines ISPs erlaubt; ebenfalls in der vHost-config

    Code
    <Directory "/var/www/.../">
Order deny,allow
Deny from all
Allow from 80.80.0.0/16 90.90.0.0/17 120.120.240.0/20
<Directory>

    (nein das sind nicht die realen sondern nur exemplarische IP Netze)

    will man z.B. mittels wget ohne Zertifikat darauf zugreifen, dann kommt diese Meldung

    OpenSSL: error:14094410:SSL routines:SSL3_READ_BYTES:sslv3 alert handshake failure

    Unable to establish SSL connection.

    damit sollte es doch f. böse Jungs unmöglich sein, den Tunnel 'umzubiegen'¹, oder nicht? :/

    ¹ dies wird mittels dieses curl-Aufrufs angestoßen;

  • Das längste Thema

    beim Durchforsten der Mailserver Logs hab ich das da entdeckt ...

    Code
    Jan  5 18:36:16 vhost01 postfix/smtpd[20533]: NOQUEUE: reject: CONNECT from mail.phishingcheck.ch[188.34.194.153]: 554 5.7.1 Service unavailable; Client host [188.34.194.153] blocked using dnsbl.justspam.org; IP 188.34.194.153 is sending justspam.org. More Information available at http://www.justspam.org/check/?ip=188.34.194.153; proto=SMTP

    phishingcheck.ch ... freilich :D

  • Das längste Thema

    Zitat von H6G

    Mein SCSI-Bus hat auch keine Türen.

    darum passt er auch in keine Garage;;)

    und jetzt fällt mir die tolle Aufgabe aus dem Physikunterricht ein:

    "mit welcher Geschwindigkeit muss ein 15 m langes Feuerwehrauto in eine 4 m lange Garage hineinfahren,

    damit es vollständig hineinpasst?":D

    (die Garage sollte dabei stehen bleiben;))

  • Das längste Thema

    a lustige G'schicht in unserer Qualitätszeitung :D

    https://www.heute.at/s/bus-faehrt-e…egend-100121454

    die sind echt nicht abgehärtet,

    bin schon mal mit einem IC bei offener Waggontüre - nix auf und zu, permanent offen - mit 140 Sachen durch die Gegend gefahren;

    gemerkt hab ich des erst wie ich ausgestiegen bin, da is a Schaffner an der Tür gestanden, damit's kein 'rauswuchtet :D

    und ich mich wáhrend der Fahrt gewundert wieso es wie in einem Vogelkäfig zieht;)

  • Das längste Thema

    wieviele VPS haben Anteil auf jeweils einen echten CPU-Kern?

    wenn es nur 2 sind,

    hast wenn der andere Vollast veranstaltet 50% Steal, nennt es Raub, klingt ehrlicher:D

    je mehr Guests sich einen echten CPU-Kern teilen, umso höher wäre der theoretische maximale CPU-Steal ;)

    Gute Nachbarschaft ist wichtig :)

    bei den RS hast den System-Overhead als CPU-Steal, da sinds nicht die Nachbarn;)

  • Das längste Thema

    hat jemand shellinabox zufällig wo im Einsatz?

    des hat ja einen integrierten Webserver, der auch mit SSL abgesichert ist,

    wieso komm ich da nur mit IPv4 'ran?

    sollt ja lt. dem: https://github.com/shellinabox/shellinabox/issues/179

    doch IPv6 können, tut es aber nicht, bei mir ist v2.20 installiert;

    und bei ProxyPass ist auch irgendwie seltsam ...

    ProxyPass /xxx/  https://host:port/xxx

    bzw.

    ProxyPass /xxx/  https://host/xxx

    wieso ist bei der 1ten Variante folgendes notwendig?

    /usr/sbin/setsebool httpd_can_network_connect 1

    bzw. permanent

    /usr/sbin/setsebool -P httpd_can_network_connect 1

  • Das längste Thema

    whoami0501 hast Du das mit dem TRACEroute schon hinbekommen, dass da keine 3 Sterne sind?

    evtl. probier mal, an Stelle des /112-Netzes, was ganz anderes - nur f. den Fall, dass die WAN-IPv6 Deiner Fritte nicht von der weiten Welt gefunden werden muss;

    einfach ein /64 IPv6 nach RFC 4193, wobei hier kannst Dir Punkt 3.2.2. dramatisch vereinfachen, einfach 0, d.h.

    Deine Fritte hat als WAN-IPv6 fd00::2 und dein 6in4-Server am 6in41-Device fd00::1

    warum das klappt?

    ganz einfach, f. den 6in4-Tunnel spielt die IPv6-Adresse hier eine untergeordnete Rolle,

    der Tunnel selbst fällt und steht mit der Erreichbarkeit von IPv4 untereinander;

  • Das längste Thema

    mal doofe Frage:

    auf meinem Router hab ich meinen pers. Webmailzugang, welcher aber eigentlich im Apache nur ein

    ProxyPass /webmail/  https://apacheVM/webmail/

    darstellt; sprich das Webmail läuft auf einer VM auf meinem PC;

    da ich jetzt meinen eigenen 6in4-Tunnel habe, könnte ich jetzt meinen Router etwas abschotten, sprich

    den Webmail-Zugang am 6in4-Server definieren;

    was ist hier bessere Variante,

    am 6in4-Server im Apache

    einfach

    ProxyPass /webmail/  https://routerZBOX/webmail/

    und den Rest lassen wie er ist

    oder

    ProxyPass /webmail/  https://apacheVM/webmail/

    und per IP6tables explizit die Route vom 6in4-Server zur apacheVM freigeben?

    whoami0501 die IPtables Einträge in Deiner Anleitung, kann man wenn man will etwas 'tunen'

    an Stelle von

    /sbin/ip6tables -A FORWARD -i eth0 -o 6in41 -d 2001:2002:2003:2005::/64,2001:2002:2003:2004::2 -j ACCEPT

    /sbin/ip6tables -A FORWARD -i 6in41 -o eth0 -s 2001:2002:2003:2005::/64,2001:2002:2003:2004::2 -j ACCEPT

    das hier

    /sbin/ip6tables -A FORWARD -i eth0 -o 6in41 -d 2001:2002:2003:2005::/64,2001:2002:2003:2004::2 -m state --state ESTABLISHED,RELATED -j ACCEPT

    /sbin/ip6tables -A FORWARD -i 6in41 -o eth0 -s 2001:2002:2003:2005::/64,2001:2002:2003:2004::2 -j ACCEPT

    was bewirkt, dass nicht jedes Plunder-Paket ins heimische LAN transportiert wird, sondern bereits am Server abgewürgt wird; und f. die Dienste die man im LAN laufen und im Internet haben will, explizit durch z.B.


    /sbin/ip6tables -A FORWARD -i eth0 -o 6in41 -d 2001:2002:2003:2005::4711 -m tcp -p tcp --dport 443 -j ACCEPT

    wer es paranoid haben will, der fügt hier noch  -m state --state NEW hinzu

    erlauben

    (hier ist ::4711 z.B. ein NAS, welches per https im internet offen ist)

  • Das längste Thema

    Zitat von tab

    Ich will sie direkt im Dokumentenstamm-Verzeichnis installieren und nicht z.B. im Unterverzeichnis "nextcloud" oder wie es auch immer heissen möge.

    das sollte doch kein Problem sein ..., einfach zuerst nextcloud installieren und dann das mit dem SSL-Zert. von Letsencrypt einrichten;

    Zitat von tab

    Ich frage mich allerdings ob das Unetrverzeichnis ".well-known" nach der Zertifikatserstellung überhaupt noch notwendig ist.

    nein, aber bei der Erneuerung wird es wieder gebraucht, nach der Erstellung des SSL-Zertifikates dieses entfernen und bei der Erneuerung wieder anlegen oder es bestehen lassen sollte egal sein;