Beiträge von KosMos

von einem anderen server (aktuell pfsense) im gleichen cloud-netzwerk mittels port Forward von 443 auf 3129 und 80 auf 3128

HTTP geht auch wunderbar. Vom Gefühl her ist meine konfig bissle fail

Hey zusammen,

ich versuche einen transparenten HTTP und HTTP-Server mit Squid einzurichten. HTTP funktioniert, aber HTTPS habe ich so meine Probleme. Ich möchte kein TLS-Break machen nur den Proxy als URL-Filter nutzen z.B. den Clients nur erlauben https://example.com aufzurufen.

Bei der aktuellen Konfiguration bekommen die Clients den fehler "Fehlercode: PR_END_OF_FILE_ERROR" beim versucht https://example.com aufzurufen, wobei http funktioniert.

# ------------------------
# Minimaler Squid SSL-Bump Proxy
# ------------------------

# Ports
http_port 3127
http_port 3128 intercept
http_port 3129 intercept ssl-bump generate-host-certificates=on dynamic_cert_mem_cache_size=10MB cert=/etc/squid/ssl_cert/squid.pem

# Zugriffslisten (ACLs)
acl localnet src 10.10.0.0/24
acl pfsense src 192.168.1.0/24

# Ports
acl Safe_ports port 80
acl SSL_ports port 443
acl CONNECT method CONNECT

# SSL-Bump Schritte
acl step1 at_step SslBump1

# Intercept / Transparent Traffic
acl intercepted dst all

# Whitelist HTTP Ziele
acl whitelist_sites dstdomain .example.com

# SSL-Bump
ssl_bump peek step1
ssl_bump splice all

# Zugriff Regeln
http_access allow localnet Safe_ports
http_access allow localnet SSL_ports

# Intercept Traffic erlauben
http_access allow localnet intercepted
http_access allow pfsense intercepted

# HTTP-Ziele Whitelist erlauben
http_access allow whitelist_sites

http_access allow CONNECT step1

# Logging
access_log /var/log/squid/access.log squid
cache_log /var/log/squid/cache.log

# Performance / Sicherheit
sslcrtd_program /usr/lib/squid/security_file_certgen -s /var/spool/squid/ssl_db -M 4MB
sslcrtd_children 8 startup=1 idle=1

# DNS
dns_nameservers 8.8.8.8 8.8.4.4

# Fehlerseiten (optional)
error_directory /usr/share/squid/errors/de

http_access deny all

Ich habe nicht direkt die neue Serie am Laufen, aber ipv6 funktioniert bei mir Problemlos auf den anderen Maschinen, die auch mit ipv4 ausgeliefert werden.

Wenn Ihr den Netzwerkadapter konfiguriert und beispielsweise das folgende 64er Netz gegeben habt

7c06:4050:49:b31::/64

Dann gebt dem Adapter eine Adresse davon z.B. 7c06:4050:49:b31::10/64 und ganz wichtig, eure Firewall muss icmp Pakete durchlassen in beide Richtungen. Das Gateway ist gegeben und als DNS-Server könnt ihr einen öffentlichen nehmen.

Edit: Was natürlich auch wichtig ist, eurer Clientrechner zuhause benötigt ebenfalls eine ipv6, checkt das z.B. unter http://www.wieistmeineip.de, ob dort eine ipv6 angezeigt wird.

Ipv6 ist schon sinnvoll, wenn die Welt ipv4 komplett abschaffen würde, aber das bekommt die Menschheit nicht hin.

So wie sich das anhört hat er keine Terminal Clients im Einsatz und ist das sinnvoll bei heutigen Lizenkosten für kleinstunternehmen?

Ich denke der Threadersteller will einfache Lösungen für Kleinstunternehmen

@Homwer

Für die Rechner unterwegs könntest du FreeFileSync auch so einstellen, dass es über SFTP Daten auf deine NAS sichert. Dann sparst du dir eine VPN-Anbindung, muss aber richtig konfiguriert werden, am besten mit SSH-Key.

Liebe Grüße

Bei meinen privaten Tests ist Duplicati in jedem Fall durchgefallen, da die Backups allein schon alle paar Tage defekt oder unvollständig waren. Ich habe nur mit Verschlüsselung getestet und der Test ist Jahre her, gut möglich, dass es jetzt etwas besser funktioniert. Es ist jedoch nicht filebasiert.

FreeFileSync macht es halt filebasiert, damit prüfbar, nachvollziehbar und wenig komplex, jedoch kann es kein komplettes Windows sichern wie beispielsweise Veem.

Duplicati hatte ich mit Verschlüsselung getestet und es hat einige Male nicht richtig funktioniert. Dieser Software würde ich keine Daten anvertrauen.

Edit: Freefilesync arbeitet filebasiert und nachvollziehbar und duplicati zerhackt die Datenbestände in Blöcke und die Zuordnung wird in eine Datenbank geschrieben.

Komplexere Umsetzung und stabil läuft es keineswegs, leider. Sonst wäre es meine Top1 geworden, denn duplicati kann vor Übertragung in die cloud die Daten verschlüsseln.

Es gibt keinen wirklichen Standard und es gibt viel Müll Software.

Wenn es kostengünstig sein soll, dann

Freefilesync mit definierten Ordnern klappt perfekt und ich habe schon einige Software durchprobiert. Mittels Aufgabenplanung automatisierbar und es gibt Berichte per Mail oder upload. Kann auch in die cloud zusätzlich sichern.

Alternative Linuxsever mit samba zur Freigabe von Netzlaufwerken, wo dann die Daten drauf gespeichert werden und anschließendes Backup noch woanders hin mit Versionierung beispielsweise mit rsync. Weniger Wartung.

Liebe Grüße

KosMos

Kann ja jeder machen wie er möchte, aber bezahlen für

- 20+ vms

- 20 x Windows Server Lizenz

- veem Lizenz

ist in meinem Augen pure Geldverschwendung. Aus technischer Sicht sind vm Backup und Recovery einfacher und sinnvoller.

Was kostet win Server Standard? 800 Euro pro vm? Was kostet ne netcup vm? 20 * 10 Euro? Dafür gibt es schon rootserver zu mieten. Zusätzlich veem, keine Ahnung.

Lohnt sich bei der Anzahl an Servern nicht ein rootserver mit proxmox plus proxmox Backup? Braucht auch nur eine win Server datacenter Lizenz.

Richtiger rootserver, nix netcup vm

- pfsense

- RustDesk hosting

Win 2025 gibt es nicht lange und du kannst doch eigene isos einbinden?

Netcup kann auch nicht alle isos dieser Welt verfügbar machen

GW

Okay danke für die Info, dann bist du den gleichen Weg gegangen und nutzt die proxmox-Firewall nicht. Ich hab das auch so und lasse das so.

Hast du da auch ein nat Setup und nutzt du die in Proxmox integrierte Firewalllösung ?

Ja ich gebe dir Recht, was nicht öffentlich sein muss, sollte man auch nicht öffentlich zugänglich machen.

Genau genommen ist es bei mir nicht öffentlich, da der Proxmox-Server in einem Unternehmensnetzwerk steht. Die Rechner im Unternehmen haben zwar öffentliche IP-Adressen, aber da gibt es noch eine Firewall, sodass die Weboberfläche nur im Unternehmensnetzwerk erreichbar ist.

Proxmox unterstützt glaub noch 2 Faktor Authentisierung evtl. mache ich das noch zusätzlich.

Ich glaube ich habe den Fehler gefunden. Die Proxmox-Firewall legt haufenweise Chains an, wo man dann schnell mal den Überblick verliert.

Mein POSTROUTING und PREROUTING durchläuft in jedem Fall noch die FORWARD Chain und diese wird default auf DROP gestellt.

Ich habe iptables jetzt manuell konfiguriert und nach außen hin nur das Webinterface freigegeben. Ich sehe keinen Grund https noch über VPN zu tunneln.

Hey zusammen,

Nutzt jemand Proxmox in Verbindung mit einem nat-Setup? Alle meine VMs haben IPs aus dem Bereich 10.0.0.0/24 zugewiesen, damit diese auch untereinander kommunizieren können.

Auf dem Host mit der öffentlichen IP habe ich manuell folgende iptables-Regel hinzugefügt

iptables -t nat -A POSTROUTING -s '10.0.0.0/24' -o vmbr0 -j MASQUERADE

Damit wird jeglicher ausgehender Verkehr maskiert und die privaten Adressen ersetzt. Das klappt auch wunderbar. Nur wenn ich die Firewall von Proxmox aktiviere, dann klappt das POSTROUTING nicht mehr.

Alternativ würde es mir auch reichen, wenn ich iptables komplett manuell auf dem Host konfiguriere und die Proxmox-Lösung einfach nicht benutze, aber dafür müsste ich wissen, welche Ports Proxmox nutzt.

Mit masquerade änderst du quasi die Absenderip bzw ein Router setzt z.B seine IP rein, nennt sich dann NAT.

Das muss man nicht in jedem Fall machen.