Beiträge von perryflynn

Zitat von H6G

Aber nur, wenn man auch 15 Mails dann bekommt

Unbenannt.JPG

Zitat von geekmonkey

ohne Monitoring lebt man entspannter- haha.

Och, hilft aber auch.

Unbenannt.JPG

Please back to topic. Bequatscht sowas im Längsten Thema.

Zitat von perryflynn

Ich muss unbedingt meine Firewall daheim überarbeiten.

Habe jetzt in meinem Gadget VLAN alles außer 80/tcp und 443/tcp geblockt. Und der FireTV funktioniert tatsächlich ohne Probleme. Mal gucken ob es so bleibt, dann hat sich das endgültig erledigt mit rouge DNS Servers.

Auch haben der Smart TV und das IKEA Smartlight Gateway keinen Internet Zugriff mehr. Einfach weil sie es nicht brauchen.

Führe das Update auf das neue Release von Debian gerade via Ansible aus. Mal gucken ob es gut geht.

Schon mal unterschiedliche Versionen der VIRTIO Treiber probiert? Und unterschiedliche Plattencontroller? (Siehe SCP)

Bei meinem 2012 den ich daheim via KVM betreibe hatte ich zwischenzeitlich Probleme mit dem SCSI Controller.

Die neuste Version von VIRTIO tut aber.

Oder man arbeitet einfach mit find und -exec.

Zitat von Gunah

dass alle 53 Anfrage auf TCP / UDP beim Router direkt landen, per IPTABLES im openwrt/lede.

Solche Schweinereien versuche ich zu vermeiden. Gerade weil DNSSEC ja doch so langsam Fahrt aufnimmt. Einzig bei meinen gehackten Amazon Dash Buttons leite ich den Traffic via DNAT um sodass die nicht mit Amazon Reden sondern mit meinem Home Assistant.

Zitat von mainziman

bricht der FireTV seine Dienste in regelmäßigen Abständen ab;

Solche Probleme habe ich gar nicht. Das Teil funktioniert einfach. Und das ist auch der Grund, wieso ich den habe. Keinen Bock sowas selbst zu bauen und durch diese günstige Box auch keinen Ärger mit DRM. Sollte die Box irgendwann nicht mehr funktionieren, wird einfach ne andere gekauft. Meiner ist jetzt 3 Jahre alt und hat sich somit mehr als bezahlt gemacht.

Ich muss unbedingt meine Firewall daheim überarbeiten.

Der FireTV von Amazon nutzt einfach einen externen DNS wenn der lokale (durch einen Fehler meinerseits) nicht erreichbar ist. Und ich hab mich gewundert, wieso er den lokalen Media Storage nicht finden konnte. Hab jetzt für das Gadget VLAN einfach erst mal Port 53 nach außen dicht gemacht.

Pack das mal in Code Tags. Kann ja kein Mensch so lesen...

Ich habe gerade meinen Linux Einstieg wiedergefunden.

------------------------
README zu openSUSE non-OSS 10.2                      2006/11/28

Dieses Medium bzw. dieser FTP-Baum enthält propritäre Software und
Software unter verschiedenen Lizenzen.  Diese Software ist nicht Open
Source.

Installation
============

Sie haben mehrere Möglichkeiten die Software-Pakete zu installieren:

Als erstes müssen Sie die Pakete verfügbar machen:

  * Während der Installation: Benutzen Sie den Button "Addon Medien
    hinzufügen" und fügen Sie dieses Medium bzw. den FTP-Baum als Addon
    Medium hinzu.
  * Im installierten System: Starten Sie YaST, wählen Sie "Software" ->
    "Installationsquelle ändern" und fügen Sie das Medium bzw. den Baum
    hinzu.
  * Im installierten System: Benutzen Sie eines der
    Paketmanagement-Tools wie rug, zen-updater oder zypper, um das
    Medium bzw. den Baum hinzuzufügen.

Nun können Sie die Pakete mit den Paketmanagement-Tools oder YaST hinzufügen.

Für weitere Details beachten Sie auch die Webseite:

    http://en.opensuse.org/Package_Repositories

Ihr openSUSE Team

Zitat von vmk

Wieviele User/SSH-Keys hast du, dass du so viele Cihper aktiv haben musst? Mir reicht in der Regel genau 1 Cipher.

Die Cipher Liste ist aus den Mozilla Security Guidelines. Einzige Anpassung welche ich gemacht habe war die Entfernung der NIST Curves, weil ich dem Verein nicht vertraue. Ich werde die Config die Tage ausrollen und dann mit verschiedenen Clients testen und anschließend schrittweise die Ciphers entfernen bis nur noch ChaCha übrig ist.

Zitat von Gunah

eine "/etc/ssh/sshrc" ist auch noch anzuraten

Nett. Da bastel ich mir noch was für. Danke!

Zitat von killerbees19

Das ist mittlerweile der bevorzugte Wert.

Okay, scheint ja kein Unterschied zu "without-password" zu geben. Ich ändere es mal, da es im manpage auch als Standard definiert ist.

Zitat von geekmonkey

Bei Paranoid denk ich direkt an Port-Knocking

Zum Port Knocking und zum Ändern von Ports: Das ganze soll in einer Standard Umgebung funktionieren. Sprich auch, wenn ich mich in einer "Enterprise" Umgebung mit Proxy und Company Firewall befinde. Und das geht nun mal nur über Port 22.

Zitat von vmk

btw, per iptables / ipset den SSH-Bereich massiv einschränken.

Gucke später mal ob da einen Kompromiss aus "sicher" und "erreichbar" finde.

Zitat von mfnalex

Warum nicht "without-password" oder ganz aus stellen und nur für einzelne IPs Key-Login zulassen?

Stimmt habe ich übersehen. Danke.

Aktuell wird der Root Login bereits über die AllowGroups direktive verboten. Das kann ich trotzdem noch auf no stellen.

Zitat von Fox1401

Port ändern und gff. Fail2ban für SSH

Hi,

Port ändern hat nichts mit Sicherheit zu tun. Statt Fail2ban werde ich eine Begrenzung auf spezifische User, Public Keys only und das PAM Modul von Google Authenticator ausrollen. Je nach Server. (Die Konfiguration wird noch in ein Ansible Template umgebaut)

Moin,

ich baue mir gerade eine sichere/paranoide Standard Konfiguration für SSH auf meinen Servern.

Gibt es weitere Ideen/Empfehlungen?

Port 22
#ListenAddress ::
#ListenAddress 0.0.0.0
Protocol 2
AddressFamily any
LogLevel INFO

# Connection
ClientAliveInterval 12
ClientAliveCountMax 5
Compression delayed
LoginGraceTime 120
MaxAuthTries 3
MaxSessions 10
MaxStartups 5:30:30
TCPKeepAlive yes
UseDNS no

# HostKeys for protocol version 2
HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_dsa_key
HostKey /etc/ssh/ssh_host_ecdsa_key
HostKey /etc/ssh/ssh_host_ed25519_key

KeyRegenerationInterval 3600

HostKeyAlgorithms ssh-ed25519-cert-v01@openssh.com,ssh-rsa-cert-v01@openssh.com,ssh-ed25519,ssh-rsa
KexAlgorithms curve25519-sha256@libssh.org,ecdh-sha2-nistp521,ecdh-sha2-nistp384,ecdh-sha2-nistp256,diffie-hellman-group-exchange-sha256
MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-512,hmac-sha2-256,umac-128@openssh.com
Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr

# Lifetime and size of ephemeral version 1 server key
KeyRegenerationInterval 3600
ServerKeyBits 1024

#Privilege Separation is turned on for security
UsePrivilegeSeparation yes

# Logging
SyslogFacility AUTH
LogLevel INFO

# Authentication
LoginGraceTime 120
PermitRootLogin no     # yes / without-password
StrictModes yes
PermitEmptyPasswords no
AllowGroups sshlogin

PasswordAuthentication yes
PubkeyAuthentication yes
RSAAuthentication no
GSSAPIAuthentication no
HostbasedAuthentication no
RhostsRSAAuthentication no
KerberosAuthentication no

UseLogin no
UsePAM yes      # for challenge response

# Enable this for google authenticator
KbdInteractiveAuthentication no
ChallengeResponseAuthentication no

# Environment
AcceptEnv LANG LC_*
Subsystem sftp /usr/lib/openssh/sftp-server
AllowTcpForwarding no
PermitTunnel no
X11Forwarding no
X11DisplayOffset 10
PrintMotd no
PrintLastLog yes
IgnoreRhosts yes
IgnoreUserKnownHosts no

# Restrict targets for TCPForwarding
# PermitOpen 192.168.0.1:80

Viele Grüße

Christian

CGI ist auch ne Idee. Bei sdf.org habe ich ne Website als Bash Script gebastelt:

#!/usr/bin/env bash

echo "Content-Type: text/html"
echo

cat <<HEREDOC
<!DOCTYPE html>
<html lang="en">
<head>
   <meta charset="utf-8">
   <meta name="robots" content="noindex,nofollow">
   <title>perryflynn @ SDF Public Access UNIX System</title>
</head>
<body>

    <!-- place content here -->

</body>
</html>
HEREDOC

Für mysqldump würde ich das ähnlich machen, sodass die Ausgaben korrekt angezeigt werden:

#!/usr/bin/env bash

echo "Content-Type: text/plain"
echo

mysqldump hier ganz viele optionen

exit 0

300KW pro Container. Alter.

Ich mag Adminer. Ansonsten habe ich keine Webspaces mehr die nicht via SSH erreichbar sind und somit den import via mysql / mysqldump CLI erlauben.

https://www.adminer.org/