Beiträge von mlohr

  • Umgang mit SSH-Keys und Passwörtern bei mehreren Servern

    Mh. Du erlaubst root-Zugriff per SSH? Ist zum Beispiel eine Sache, die ich auch grundsätzlich nicht mache. Man brauch etwas, was nur ich besitze (meinen private key (in Form des YubiKey) für den normalen SSH-Login) und dann etwas was nur ich kenne (mein Passwort) für ein sudo. Also root nur über so etwas wie 2FA. SSH für root offen ist - egal wie per Firewall eingeschränkt - m. E. mutig.

    Ich hab bei mir grundsätzlich root-Login per SSH deaktiviert, außerdem gibts bei mir auch für SSH kein PW-Auth, nur PublicKeyAuth...

  • Feature Request: U2F Support für CCP Login

    Hallo,

    ich wollte mich hier mal für die Möglichkeit bedanken, beim CCP 2FA aktivieren zu können. Aus Einfacheitsgründen wäre es aber sehr praktisch, wenn man, nach erfolger Einrichtung des Code-Generators (wie z. B. Google Authenticator) auch ein U2F-Token registrieren könnte. Damit wäre der Login-Vorgang noch komfortabler.

    Viele Grüße

    Matthias

  • Umgang mit SSH-Keys und Passwörtern bei mehreren Servern

    Zitat von Hecke29

    Ganz knapp wie es bei mir ist:

    • SSH läuft bei mir über den gpg-Agent, damit ich meinen YubiKey benutzen kann; sprich mein PrivateKey ist am Schlüsselbund -> 3 Passwort-Versuche (bzw. 6) dann für immer unbrauchbar. Dieser Key gilt als "personengebunden" ist also überall der selbe.
      • Dann habe ich Backups-Keys je Kunde auf einer verschlüsselten Festplatte zu Hause (gelten für mich also nicht als personengebunden; deshalb je Kunde unterschiedlich)
    • Bastion-Host (das man sich über einen zentralen Server auf die anderen tunnelt) - Grund dafür ist übrigens, dass ich dort ansible benutze - der personengebundene Key ist sowieso auf jedem Server
    • backups werden "gepullt"; also vom Backup-Server "abgeholt" / angefertigt

    Was ich noch möchte ist, dass meine Server auch per VPN verbunden sind (tinc hatte ich da mehrmals gelesen), damit interne Wartungsdienste wie SSH nur noch auf das entsprechende Interface lauschen und so die Angriffsfläche weiter verringert wird.

    Ich hab das Ganze sehr ähnlich gemacht - nur sind meine Backup-Keys auch wieder YubiKeys. Einen davon trage ich am Schlüsslebund, und der ist immer in meiner Nähe. die anderen beiden YubiKeys sind ohne besondere Kennzeichnung in einem Briefumschlag in Safes gelegt. Alle YubiKeys haben verschiedene PINs/PUKs. Gleichzeitig verwende ich auf allen Servern sowohl SSH Agent Forwarding als auch GPG Agent Forwarding (https://mlohr.com/gpg-agent-forwarding/). Das ermöglich mir, selbst auf Remote-Systemen z. B. Git Commits zu signieren oder Daten zu entschlüsseln, ohne, dass der Private Key jemals übers Netz gehen müsste (bzw. gehen kann, der YubiKey spuckt den nämlich nie wieder aus).

  • Ruby on Rails Webhosting - Erfahrungen?

    Hallo,

    ich bin bereits zufriedener Netcup-Kunde (vServer) und überlege, eine aktuell noch bei einem anderen Anbieter gehostete Ruby on Rails Applikation zu Netcup umzuziehen. Da ich bisher mit Ruby on Rails bei Netcup noch keine Erfahrungen gesammelt habe, wollte ich fragen, ob bereits hier in der Community Erfahrungen zusammen sind.

    Punkte, die mich interessieren:

    • Welche Ruby-Versionen sind möglich?
    • Welche Rails-Versionen sind möglich?
    • Wie funktionieren Updates (Ruby, Rails)?
    • Kann man beliebige gems installieren?

    .. und natürlich alles Weitere, was ihr für relevant haltet.

    Danke für eure Mithilfe!

    Viele Grüße

    Matthias

  • Gen 8 https Probleme

    Was sind denn "Probleme"? Woher weißt du, dass es am SSL-Zertifikat liegt? Gibt es Fehlermeldungen im Browser? Hast du das mit verschiedenen Browsern von verschiedenen Rechnern (IPs) aus getestet Gibt es eine URL, unter der man das selbst mal überprüfen kann?

  • Problem bei Update Vorgang mit "apt-get update"

    Hast du Forxlor noch installiert? Das Auskommentieren führt dazu, dass für Forxlor über apt-get update keine Updates mehr mitinstalliert werden. Aus Gründen wie z. B. Sicherheitsupdates ist daher von "einfach mal auskommentieren" eher abzuraten.

    Siehe https://froxlor.org: Dort sind die aktuellen Paketquellen angegeben, ggf. diese verwenden:

    Code
    deb http://debian.froxlor.org/ [wheezy|jessie] main

  • Froxlor Kundenumzug

    Direkter DB-Umzug ist nur dann ratsam, wenn auf beiden die selbe Version drauf ist. Sonst hast du gute Chancen, auf eine inkompatible Datenbank zu stoßen. Da der neue Server, wenn ich dich richtig verstehe, noch nicht produktiv ist: Probier es doch einfach aus. Im schlimmsten Fall gehts nicht, dann musst du ein Backup einspielen (achja: Vorher Backup vom Zielserver erstellen). Wenn der DB-Import funktioniert siehts schon mal gut aus.

    Froxlor bietet selbst leider keine Möglichkeit für einen Import (Backups der Daten gibt es), von daher wirst du die E-Mail-Adressen etc., falls der vorige Abschnitt nicht funktioniert, per Hand umziehen müssen.

    Zusammengefasst:

    • Backup vom Quellserver
    • Froxlor aktualisieren
    • Daten exportieren
    • Backup vom Zielserver (um die aktuelle Konfiguration zu sichern)
    • Daten importieren
    • Import Testen
    • Migration der Domains (DNS)

  • Server versendet keine Mails mit Mailfunktion | DNS Einstellungen falsch?

    Zitat von Hecke29

    Ich würde jetzt adhoc auch erstmal empfehlen per SMTP zu versenden. mail() macht das in der Standardkonfiguration nämlich nicht. Und per SMTP dürfte das dann auch klappen.

    Mal ne Frage dazu... mail() übergibt doch in der Standardkonfiguration einfach die E-Mail per sendmail-Command an den lokalen MTA, richtig? Bei einem Managed Server würde ich erwarten, dass dieser a) installiert und b) vernünftig für den ausgehenden Mailverkehr konfiguriert ist. Also eigentlich würde ich dann erwarten, dass das ohne Probleme funktioniert.

    Oder weiter überlegt: Wenn ich an den lokalen MTA Mails gebe, dürfte doch zwischen SMTP und sendmail-Command kein Unterschied liegen, oder? (Ja, man kann ein andres Handling dafür konfigurieren, aber das würde m. E. eher unter Spezialkonfiguration und nicht Standardkonfiguration laufen.) Einen richtigen Unterschied macht das doch erst, wenn man nen externen SMTP-Server angibt (Gmail, web.de, und wie sie alle heißen mögen...). Nur dann macht der gemietete Server nicht viel Sinn.

    Kurz: Ich würde erwarten, dass mail() auf nem Managed Server auf Anhieb funktioniert - es sei dann natürlich, man übergibt dem Funktion Datenschrott. Vielleicht ist ja irgendwas bei den übergebenen Daten nicht ganz in Ordung und das Webhosting ist dabei etwas toleranter als der Managed Server.

  • DNS Eintrag subdomain www. geht nicht.

    Zitat von Leopold

    example.de - funktioniert leitet auf webspace wordpress Seite

    http://sub.example.de funktioniert (VServer)

    https://sub.example.de funktioniert (VServer)

    http://www.sub.example.de funktioniert nicht dns Fehlermeldung

    sub.example.de funktioniert nicht (macht der Browser http://www.sub.example.de daraus)

    Hattest du die hier beschrieben Lösungen (sprich: DNS-Eintrag hinzufügen) denn nun ausprobiert? Klappt das jetzt?

    P.S.: Diese komische T-Online-Umleiterei kann man im Kundencenter von T-Online zum Glück ausschalten. War meine erste Aktion nach der Migration zu den Telekomikern.

  • Wordpress-Umzug innerhalb Netcup klappt nicht - Wer kann helfen?

    Zitat von CS2017

    Hallo mlohr,

    offensichtlich fehlten ein paar Files eines WP-Plugins. Das habe ich inzwischen behoben.

    Allerdings hängts jetzt an anderer Stelle: Wenn ich im WCP die Vorschau der Seite im neuen Hosting aufrufe, werde ich zur alten Website (im alten Hosting) weitergeleitet. Ich kann mir nicht erklären, warum! Ich habe versucht, die .htaccess im neuen Hosting zu löschen - trotzdem werde ich weitergeleitet. Die Domain ist noch NICHT auf das neue Hosting geschaltet.

    Vielleicht kann ThomasChr bei Gelegenheit noch einmal draufschauen??

    Ist das ne Geschichte, die der Server tatsächlich schickt oder ist der Redirect einfach im Browser-Cache drin?

  • Domain umbenennen? WordPress löschen und html.dateien hochladen - absolute Ahnungslosigkeit

    Gibts es im Verzeichnis eine "index.html" Datei? hast du eine index.html mit hochgeladen oder eine andere Datei mit dem Namen index.*? Du könntest testweise mal index.html in index.html.bak o.Ä. umbenennen.

    Hast du die Dateien auch in das richtige Verzeichnis hochgeladen?

    Das sind alles Dinge, die wir hier schwer überprüfen können, von daher ist eine gezieltere Hilfe hier nicht möglich. Vielleicht solltest du in deinem Bekanntenkreis mal kurz rumfragen, wer da etwas Erfahrung hat und vielleicht mit dir zusammen da einen direkten Blick drauf werfen kann. Dadurch gewinnt man meistens einen sehr guten ersten Eindruck, wie das Ganze eigentlich funktioniert.