Beiträge von X-Nightmare-X

Zitat von Bud

Was hast du denn als Dokumentenstamm angegeben, und was befindet sich in diesem Ordner? Cache bereits gelöscht?

Also Dokumentenstamm der Domain ist halt die Ordnerstruktur:

Domain.xyz/MAIN/httpdocs -> Hauptdomain mit www

Domain.xyz/SUB/SUBDOMAIN/httpdocs -> jeweilige Subdomains

Domain.xyz/WILD/httpdocs -> WildCard "Subdomain"

Bisher klappt sonst auch alles.
Was das an geht soweit keine Probleme gehabt.
Hab versucht alles zu löschen also Cache, Cookies, sonstige Browserdaten, DNS Cache, habs auch vom Handy ausprobiert.
Genau das gleiche.
Auch, wenn ich es jetzt teste, leitet der immer noch auf die Hauptdomain weiter.

Zitat von Bud

Ich habe soeben wie gewohnt eine Subdomain über das WCP angelegt und direkt mit einem LE-Zertifikat versehen - funktionierte einwandfrei. Subdomain

Bei mir für gewöhnlich vorher auch die ganze Zeit.

Zitat von Homwer

Klingt als ob du eine *.domain catch all eingerichtet hast und der Webserver einfach noch ein paar Minuten braucht bis die Config greift.
Sollte nach kurzer Zeit wie gewohnt funktionieren.

Ja, habe ich. Aber lediglich mit einer Infoseite, dass die jeweilige Wildcard nicht verfügbar ist und dann mit Möglichkeiten wie damit umzugehen ist. Also ne 404-Fehler/Info Seite.

Wie gesagt bis jetzt läuft auch sonst alles.

Deswegen bin ich auch etwas verwirrt.
Hab auch gedacht, dass es evtl. einen Moment braucht. Aber an sich vielleich ein paar Minuten und nicht bald n ganzen Tag.

Also entweder übersehe ich was oder denke gerade irgendwo nicht dran oder bei der Config von Plesk zu der Subdomain ist was schief gelaufen.
Ich lösche einfach mal eine wieder und erstelle die nochmal neu. Dann mal schauen, was passiert.

Moinsen,

habe gerade mal 2 neue Subdomains erstellt, soweit so gut.

Jetzt habe ich nur folgendes Problem, ich werde sobald ich diese aufrufe einfach auf meine Hauptwebseite (http://www.domain.de) umgeleitet.

Kann mir jemand erklären was der Quatsch soll?

Nichts anders gemacht als sonst. Genauso wenig in letzer Zeit geändert.
Vielleicht übersehe ich da was banales oder NetCup bzw Plesk haben irgendwie n Wurm drin.

Zur Info,

bin nur auf Subdomain hinzufügen gegangen und hab SSL/TLS konfiguriert.

Sonst klappt alles genau so wie ich es jetzt eingerichtet habe.
Habe vorher zumindest soweit mir bekannt, nichts anders gemacht.

Freue mich über Ideen eurerseits.

Also ich habe es einfach trotzdem mal installiert mit dem Fehlern die Auftraten. Der Installer sagte mir, dass die Installation erfolgreich sei, jedoch mit etlichen dieser Fehlermeldungen auf der Seite.

Bis jetzt scheint das Forum soweit zu laufen "ohne Probleme" das einzige, war n Login Problem, was aber wohl irgendwie an Cookies lag.
Nebenbei, falls jemand das gleiche Problem mit dem Login hat, ist die Info hilfreich, dass nur das Cookie löschen über die "Browserdaten" nicht ausreicht, bzw. den Fehler nicht behebt.
Beim Chrome muss man oben links auf das Schloss klicken und darüber dann die Cookies löschen. Dann geht es.

Trotzdem wäre es schön zu wissen, wie man die Fehler vermeiden kann. Open Basedir ist auf Standard eingestellt. Bei allen anderen Seiten usw. geht alles.
Nur bei der Installation des Forums geht es nicht. Das Forum läuft aber trotzdem bis jetzt ohne merkliche Fehler.
Die Frage, die sich mir dabei stellt, wie lange das ganze Läuft bzw. ob Fehler im Hintergrund unsichtbar weiter erhalten sind.

Kann da jemand zusällig aus eigener Erfahrung sprechen oder Tipps geben, was man machen kann?

MfG

Zitat von eripek

Richtig:

pasted-from-clipboard.jpg

Das ist ja besonders lustig, wenn das Webhosting-Paket, auf das via Singlesignon/Autologin per CCP aufs WCP umleitet, schnell ein paar Updates für eine kritische Sicherheitslücke braucht. Während der Brief unterwegs ist, kann also kräftig gespammt werden... Nicht im Sinne des Erfinders.

Hier gehören erst einmal anständige Recovery-Methoden her, bevor man Kunden in die Richtung nudgt, dass sie doch bitte auf 2FA umstellen.

Ja, das dachte ich mir auch. Hab da auch garnicht drüber nachgedacht. An sich die 5€ grundsätzlich kein Problem und verständlich aber das mit dem Brief usw halt schon so eine Sache. Also gut, dass es überhaupt so klappt. Hat mir was das an geht halt den A... gerettet. Aber dann wie gesagt, wie bei z. B. Google, kann da nur gut drüber sprechen, die haben so viele Wiederherstellungsmöglichkeiten und dennoch ist es sicher. Also ist zumindest ein gutes Beispiel.

Bei Dropbox wäre mir das auch recht, hab denen auch angeboten mit Ausweis usw. eiskalt einfach keine Möglichkeit.
Daten weg, Konto weg, Daten schwirren jetzt "für immer" da bei denen rum, können nicht gelöscht werden, keine Möglichkeit ein neues Konto mit der Mail zu erstellen. Das finde ich sowas von lächerlich und traurig. Im Endeffekt könnten die eh auf meine Daten zugreifen, wenn die wollten. Das zum einen da keine "normalen" vom Customer Service einfach die Codes oder ähnliches zurücksetzen können verständlich, aber dann bitte n richtiger Admin.
Außerdem, wenn ich das ganze per Mail oder SMS bekomme, ist das für die wahrscheinlich kein Sicherheitsunterschied..

Naja was soll man machen. War eigentlich gut zu sprechen auf die, jetzt bin ich richtig pissed.

Und was NetCup an geht, ist das halt etwas fraglich das ganze einfach stumpf zu aktivieren.
Grundsätzlich halt nachvollziehbar und sinnvoll aber dann mit GROßER Vorankündigung sowie Möglichtkeit der Wiederherstellng per Mail bzw. SMS.
Ansonsten könnte man das ja wahrscheinlich auch dann auf Dauer gesehen ein wenig wie Geld drucken bezeichnen. Wie viele Leute von 75000 verlieren den Code bzw. das Handy wohl mal oder löschen was usw.

Das wird ganz schön viel Arbeit aber gibt dann ja dementsprechend das Geld..

Die einzige Möglichkeit, zumindest was das Problem mit verlorene/beschädigte Geräte an geht, ist der Google Authenticator. Mittlerweile haben die ein Cloud Backup eingeführt. Ich weiß nur nicht, ob man mit den Backup quasi dann auch 2 Geräte nutzen kann. Damit könnte man das Problem lösen,

Sollten mehrere Geräte die Codes über das Backup abrufen können, könnte man einen extra Account nur für die Codes an legen, welcher dann auf dem Handy des Besitzers, sowie dem Gerät des jeweiligen Administrators eingebunden wird

Das wäre eine spontane Idee dafür.

Zitat von Daveklutz

Dann muss ich wohl zu Linux etc. Für meinen Einsatz sind 500€ utopisch.

Windows halt... was Server an geht naja.....

hab gerade mal geschaut, die Essential Version 501 Dollar

Da ist dann Linux alleine schon deswegen 10000 Mal besser.
Bin da eh was Server an geht nie auf die Idee gekommen Microsoft zu benutzen. Alleine das ist Grund genug.
Und die sind auch alle noch auf Speicher und CPUs begrenzt. Genauso wie die Funktionen die beinhaltet sind.

Sehe ich zum Teil genauso. Ich habe da Privat für mich jetzt zwar kein Problem mit und kann das ganze auch nachvollziehen, da Sicherheit und 2FA halt wirklich sinnvoll ist.
ABER dann halt vernünftig, nicht so wie du geschildert hast, da die Probleme halt bestehen, wenn man für andere die Sachen erledigt. Und ich wäre da auch nicht sehr begeistert, wenn mich deswegen jemand nachts aus dem Bett klingelt.
Außerdem wäre ich halt genauso wenig begeistert, wenn ich dafür dann meine E-Mail ändern müsste bzw. demjenigen dann Zugriff auf meine Mails geben müsste.

Das mit dem Mail-Postfach bei NetCup ist zwar generell nicht empfohlen, soll aber wohl doch oft genug vorkommen. Wäre was, woran ich gar nicht gedacht hätte, guter Punkt.
Au0erdem sollte man so etwas definitiv frühzeitig vorher ankündigen. Das finde ich ist Pflicht,. Am besten mehrfach per E-Mail und/oder SMS sowie im CCP vorher angezeigt. War heute auch sehr verwundert, warum mit Mal nach 2FA gefragt wurde ohne, dass ich dieses eingerichtet hatte.
Außerdem hab ich mittlerweile außer zum Beispiel bei Google den ganzen 2FA Kram einfach aus gelassen, da mir etwaige Fehler oder anderweitige Probleme richtig auf den Sack gehen. Google hat das recht gut gelöst mit verschiedenen Methoden zur Wiederherstellung usw. Da konnte ich immer wieder in den Account rein.

Bei Netcup hatte ich schon das Problem, das mein Handy kaputt gegangen ist und ich erstmal 5€ zahlen durfte zum wiederherstellen des Accounts.
Bei Dropbox z.B. sind alle meine Daten verloren, da keiner von denen Zugriff darauf hat, An sich zwar ein Zeichen von Sicherheit aber auf der anderen Seite halt voll Kacke, da 50 GB Daten einfach weg sind. Löschen geht auch nicht, sowie per E-Mail oder SMS senden die keine Daten. Richtige verarsche. Einen neuen Account erstellen, geht auch nicht. Richtiger Fail bei denen. Dementsprechend halt nicht das große Paket im TB Bereich gebucht.

Also von daher hab ich da leider einige negative Erfahrungen gemacht und bin da vorsichtiger geworden.
Dann lieber deutlich sicherere Passwörter usw.
Bis jetzt bin ich auch zumindest merklich noch nie gehackt worden.
Bei meinen Servern setze ich einfach Passwörter mit über 100 stellen ein, die sind dann im PW Manager und fertig.
Geht zwar immer besser und andere Möglichkeiten aber bis jetzt immer alles gut gegangen, zumindest was die Passwörter an geht.

MfG

Zitat von Bud

Aber offline steht Windows-Servern eh besser SCNR

Beste (Antwort)

Ich habe tatsächlich den gleichen bzw. ähnlichem Fehler.
Also das Forum läuft ganz normal nachdem ich es unter Anwendungen isntalliert habe.
Da aber die Anwendungen von NetCup kaum gepflegt bzw, erweitert werden, was sehr schade ist, wollte ich das Forum manuell von 3.3.9 auf 3.3.11 updaten.
Nachdem ich verschiedene Varianten probiert habe, auch mit Open Basedir Änderung sowie die Änderung des tmp dir Pfades, komme ich quasi immer zu gleichen Fehlern.

Entweder

[phpBB Debug] "file_exists(): open_basedir restriction in effect. File(/var/www/vhosts/hostingxxxxxx.xxxxx.netcup.net/DOMAIN/mydomain.de/SUB/FORUM/httpdocs/config/../../default/container/services_event.yml) is not within the allowed path(s): (/var/www/vhosts/hostingxxxxxx.xxxxx.netcup.net/DOMAIN/mydomain.de/SUB/FORUM/httpdocs/:/tmp/:/var/lib/php/sessions:/var/www/vhosts/hostingxxxxxx.xxxxx.netcup.net/tmp)" in file /var/www/vhosts/hostingxxxxxx.xxxxx.netcup.net/DOMAIN/mydomain.de/SUB/FORUM/httpdocs/vendor/symfony/config/FileLocator.php on line 60

und/oder

[phpBB Debug] "file_exists(): open_basedir restriction in effect. File(../install/update/new/phpbb/cache/driver/file.php) is not within the allowed path(s): (/var/www/vhosts/hostingxxxxxx.xxxxx.netcup.net/DOMAIN/mydomain.de/SUB/FORUM/httpdocs/:/tmp/:/var/lib/php/sessions:/var/www/vhosts/hostingxxxxxx.xxxxx.netcup.net/tmp)" in file /var/www/vhosts/hostingxxxxxx.xxxxx.netcup.net/DOMAIN/mydomain.de/SUB/FORUM/httpdocs/phpbb/class_loader.php on line 126

Habe auch schon gegoogelt.
Dabei habe ich nur sowas gelesen, wie die Dateien hochgeladen werden sollen, zum Teil Binär zum Teil ASCII.
Sowie, dass es halt am OpenBaseDir bzw. dem Webhoster liegt usw.
Aber bis jetzt konnte ich keine Lösung finden, bzw. mir erklären, warum der Fehler so auftritt, wie er hier geschildert ist.
Wahrscheinlich übersehe ich etwas.
Auf der anderen Seite, wundert es mich dann, dass die Installation über das WCP klappt.

Bin jetzt zuletzt hier auf dieses Thema gestoßen, welches offensichtlich ja auch noch nicht zu alt ist.

Hoffe, das jemand ne Ahnung hat, oder ähnliche Probleme, und dabei unterstützen bzw. Tipps geben kann.

MfG

Hab das mit den .ini Dateien nochmal weiter versucht.

php.ini

user.ini

.user.ini

Gehen alle nicht. Zumindest was die PHP Variante der Shell betrifft.

Zitat von tab

Die Meldung wird vermutlich etwas in der Art gesagt haben, dass auf das data-Verzeichnis nicht zugegriffen werden kann. Das liegt eben daran, dass der in der config.php gesetzte, absolute Pfad für das Dataverzeichnis in der Shell so (für den User und damit auch für occ) wegen chroot gar nicht existiert.

Ja stimmt. Bin mit den Pfaden, was das an geht nicht so ganz vertraut.

Auf jeden Fall klappt es wohl mit der obigen Lösung. Die Config wird auf jeden Fall erkannt. Gehe davon aus, dass somit auch die Befehle funktionieren sollten. Hab ich noch nicht getestet.

Andere Sache, die mir gerade beim Aufruf von occ auffällt ist das PHP memory limit.

Mir ist klar, dass ich den Aufruf mit -d memory_limit ändern kann.

Aber kann ich nicht auch für das ganze Verzeichnis diese Änderung vornehmen?

Also im Script selber weiß ich das auch mit "set Mem Limit"

Aber ich habe es über eine php.ini getestet und dort das memory Limit eingetragen jedoch scheint das keine Auswirkung zu haben. Was muss ich da ändern oder beachten?

Achso okay, gut zu wissen. War schon etwas verwundert.

Das ist schon Mal ne wichtige Info, die in der Meldung irgendwie anders rüber kommt.

Das probiere ich nachher gleich Mal aus.

Danke dafür schon Mal!

Moinsen,

meine Frage:
Wieso hat die Shell und der Aufruf über die Domain andere Rechte bzw. einen anderen Benutzer?

Habe NextCloud installiert und hatte Probleme dabei.

Über den Web Installer gab es erst Probleme, dann habe ich es über occ per Shell versucht, was auch wiederum zu Problemen führte.
Im nachhinein hab ich herausgefunden, dass es unter anderem an einem "."-Punkt im Namen der Datenbank lag.

Was mir aber zusätzlich dabei aufgefallen ist, ist die Tatsache, dass bei der Webinstallation jetzt zwar alles läuft aber, wenn ich per Shell/occ einen Befehl ausführen möchte, wird mir mitgeteilt, dass Berechtigungen fehlen und ich den richtigen Benutzer nutzen soll.
Das gleiche Verhalten hatte ich umgekehrt bei der Installation über occ auch. Da wurde mir in der Webseite gesagt, dass die Berechtigungen nicht passen und ich den passenden Benutzer nutzen soll.

Dementsprechend gehe ich stark davon aus, dass die Aufrufe per Domain einen anderen Benutzer (Standard Benutzer) wählen und damit ausgeführt werden und die Shell dann irgendeinen anderen Benutzer oder Berechtigungen benutzt.

Jetzt stellt sich mir die Frage, wie kann ich die Kommandos auf der Shell mit dem gleichen "hostingxxxxxx" Benutzer ausführen wie die Scripte die per Web-Aufruf ausgeführt werden?

Jemand eine Idee woran das liegt oder ob das so gewollt/normal ist oder hab ich irgendwas übersehen oder falsch verstanden?

MfG und danke für weitere Infos

Zitat von TBT

Puh, wie unpraktisch! D.h. Du willst nach jedem IP Wechsel erst mal den Client freigeben? Wie stellst Du Dir das auf einem mobilen Endgerät vor, wo sich die IP ständig ändert und nur begrenzt SSH Möglichkeiten vorhanden sind? Wie "gibt der Client die IP von sich preis"? Bis diese Änderung nicht durch ist, können entsprechend konfigurierte Clients ausschließlich IP Adressen erreichen.

Naja unpraktisch ist ja relativ.

Also bis jetzt läuft das frei schalten ohne Probleme, da ich ja ne direkte Verbindung per IP nutzen kann. Mein Server hat ja ne feste IP. Auf dem Handy gibt's Apps, die Sachen automatisieren. Zur Not könnte man auch selbst eine entwickeln. Aber nutze schon länger eine um gewisse Sachen automatisch auszuführen und die habe ich dafür jetzt einfach mit genutzt.

Also das sehe ich nicht unbedingt als Problem. Funktioniert ja bei mir ohne irgendwelche Fehler.

Nutze ja auch nur ich. Wie praktikabel das ist, ist ja für andere uninteressant. Soll ja nur für mich sein.

Die Änderung ist in maximal 1 Minute durch.

Zitat von TBT

Puh, wie unpraktisch! D.h. Du willst nach jedem IP Wechsel erst mal den Client freigeben? Wie stellst Du Dir das auf einem mobilen Endgerät vor, wo sich die IP ständig ändert und nur begrenzt SSH Möglichkeiten vorhanden sind? Wie "gibt der Client die IP von sich preis"? Bis diese Änderung nicht durch ist, können entsprechend konfigurierte Clients ausschließlich IP Adressen erreichen.

Zitat von TBT

Du lässt Dich offensichtlich weder von den Entwicklern von Pi Hole (!), noch von besseren (lokalen) Alternativen noch von uns von diesem Vorhaben abhalten. Daher sag ich: renn doch ins Verderben wenn Du ein Tool nicht bestimmungsgemäß verwendest. Aber komm nicht hierher, wenn Dich Netcup wegen einer DNS Amplification Attacke sperrt.

Naja zum Teil schon, und mache mir da auch Gedanken drüber und nehme das Ernst, so ist es nicht. Mir erschließt sich nur keine Angriffsmöglichkeit, wenn nur ich auf den Service zugreifen kann.

Dementsprechend hat mich bis jetzt noch nichts überzeugt, das ganze zu lassen.

Ich werde gerne darüber berichten, wie das ganze Läuft und welche Probleme evtl. doch aufgetreten sind.

Zum Thema, wenn NetCup da irgendwelche Probleme bemerkt und das sperrt, brauche ich ja auch nicht im Forum dafür irgendwas zu schreiben.

Das ist dann ja ne Sache zwischen NetCup und mir. Das gehört ja an sich nicht in ein Forum, wo dann eh keiner was machen kann.

Erkläre mir bitte wie IPTables umgangen werden kann. Aber dann kann ich am besten komplett das Hosting von Servern aufgeben, sowie jeder andere auch. Also zumindest in dem Fall so wie geschildert.

Sehe da halt keine Möglichkeit dran zu kommen an PiHole und das ganze in irgendeiner Form auszunutzen.

Würde ich den Port einfach offen lassen für alle, könnte ich deine Argumentation voll und ganz nachvollziehen und dir auch Recht geben. Aber in dem Fall, wie gesagt, kein Plan wie da jemand ne Angriff starten sollte.

Das würde mich halt noch sehr interessieren.

Ansonsten renn ich halt ins Verderben, weil anscheinend keiner ne Ahnung davon hat, wie man mich sinnvoll überzeugen kann, dass ganze zu lassen.

Dann hätten alle meine Webserver und Webseiten sowie alle anderen Dienste ja auch schon in den 5 Jahren gehackt werden müssen, da ja IPTables und Portfreigabe nichts bringt, weil alles öffentlich wäre.

Verstehe ich ehrlich gesagt nicht.

Zitat von computerwuffi

Aus leidvoller Erfahrung mit Netcup Nameservern kann ich unter bestimmten Umständen andere DNS empfehlen. Insbesondere wenn du einen Mailserver (als einziges vorhandenes Mailkonto betreibst) Da beißt sich die Katze in den Schwanz wenn dieser auf Grund von DNS-Problemen - die bei Netcup sporadisch vorkommen - nicht erreichbar ist. Dann meldest du womöglich eine Störung bei Netcup, die aber leider nicht bearbeitet werden kann, da sie nicht von dem bei Netcup hinterlegten EMail-Konto kommt, welches jedoch wegen der Störung nicht funktioniert. Pech gehabt - ist mir leider mehrmals passiert.

Okey, das ist natürlich ärgerlich aber eigentlich auch selbsterklärend, für solche Sachen immer n E-Mail Provider zu nehmen der getrennt davon ist.

Zitat von cltrmx

Ich denke das wurde im Forum schon zur Genüge empfohlen: Die Email-Adresse, welche bei Hostern/ISPs hinterlegt ist, sollte immer unabhängig der Anbieter sein.

Eigentlich selbsterklärend und logisch.

Zitat von TBT

Doch, machst Du ja offensichtlich auf dem Netcup Server. Oder Du hast Dich bisher extrem unklar ausgedrückt. Und in der Tat, PiHole ist nicht dafür gedacht als Open Resolver zu fungieren.

Naja öffentlich und wirklich öffentlich ist wohl noch ein Unterschied.

Oder sind alle Dateien, Scripte und Services die auf den NetCup Server laufen gleich öffentlich? Ich glaube wohl nicht. Ansonsten dürfte man ja gar nichts betreiben.

Anscheinend hab ich mich da wohl noch nicht ganz klar ausgedrückt.

Zitat von TBT

Google "DNS amplification attack" für einen Grund dagegen. Schau Dir DNS amplification DDoS attack | Cloudflare an.

Dazu ein Ausschnitt aus der Seite:

https://www.cloudflare.com/de-de/learning/ddos/dns-amplification-ddos-attack/

Zitat

Reduzieren Sie die Gesamtanzahl offener DNS-Resolver

Eine grundlegende Komponente von DNS-Amplification-Angriffen ist der Zugriff auf offene DNS-Resolver. Wenn schlecht konfigurierte DNS-Resolver dem Internet verfügbar gemacht werden, muss ein Angreifer lediglich einen DNS-Resolver entdecken, um ihn benutzen zu können. Im Idealfall sollten DNS-Resolver ihre Dienste nur Geräten zur Verfügung stellen, die ihren Ursprung innerhalb einer vertrauenswürdigen Domain haben. Im Fall von Reflection-basierten Angriffen antworten die offenen DNS-Resolver auf Abfragen von überall im Internet und lassen möglichen Missbrauch zu. Wenn ein DNS-Resolver so eingeschränkt wird, dass er nur auf Abfragen von vertrauenswürdigen Quellen antwortet, wird der Server zu einem schlechten Vehikel für jeden Amplification-Angriffstyp.

Es sind ja nur meine beiden IP Adressen frei geschaltet.

Zitat von TBT

Sondern? Wenn er auf dem Root bei Netcup läuft, ist er öffentlich.

Es ist ja wie oben schon gesagt nicht gleich öffentlich.

Ich kann alles mögliche auf meinem Server laufen haben, so lange ich kein Port oder Verbindung öffne, ist da ja nichts dran "öffentlich".

Oder verstehe ich gerade nicht wie du das meinst?

Zitat von TBT

Und Du bist erneut auf dem besten Weg dahin.

Noch, wage ich das zu bezweifeln.

Also seit locker 5 Jahren oder mehr hab ich keinerlei Probleme, was die Sicherheit auf meinen Servern an geht. Scheine da wohl bisher nicht mehr ganz so viel verkehrt gemacht zu haben.

Aber Fehler schleichen sich natürlich immer Mal ein.

Zitat von TBT

Und das kommt von jemand, dem o.g. passiert ist...? Sorry wenn ich skeptisch bin.

Naja, finde ich ne doofe Aussage. Jedem passieren Fehler, daraus lernt man halt auch. Deswegen heißt es nicht, dass ich nicht IP Adressen/Ports freigeben oder sperren könnte.

Zitat von TBT

?? Dann kann der Server gar nichts mehr an jemand anderen ausliefern, was den Server quasi nutzlos für andere Anwendungen (z.B. Websites) macht.

Naja nur weil ich z. B. DNS Anfragen zu bestimmten IPs oder Diensten Sperre, sind ja andere Dienste davon nicht zwangsläufig betroffen. Als Beispiel, wenn ich zum Beispiel Cloudflare zum Auflösen von DNS benutze und komplett alle anderen DNS Services sperren würde, könnte ja keine Angriffe mehr entstehen, zumindest an DNS Dienste. Also zumindest von außen. Wenn man natürlich auf dem Server selbst sich rein hacken würde dann wäre eh alles gelaufen.

Zitat von TBT

Wenn sich Deine IP ändert, was passieren wird, wenn Du nicht gerade eine fixe IP hast (beim Mobiltelefon definitiv permanent), wird nichts mehr funktionieren, da Deine Endgeräte keinen DNS Server mehr erreichen können.

Ja die IPs ändern sich, wie bei fast jedem privaten Provider. Dementsprechend halt einfach die neue IP frei schalten und die alte Freigabe raus löschen. Schon läuft alles weiter.

Zitat von TBT

Deine Infos sind so schwammig, dass Du erst mal mehr Infos über das Vorhaben liefern solltest, bevor wir mehr Infos geben (können).

Entschuldige bitte, wenn ich mich anscheinend so unklar ausgedrückt habe.

Dachte eigentlich, dass man das oben so versteht.

Naja nochmal kurz und knackig:

Root-Server: PiHole mit Unbound im Hintergrund.

Client gibt IP von sich preis, diese wird auf dem Server für DNS freigegeben.

(Da nochmal zur Sicherheit) - Daten verschlüsselt, mit Passwort gesichert, getrennt von dem Rest. Damit nicht einfach irgendwer ne IP freigeben kann.

ufw allow from IP proto UDP to any port 53

Danach funktioniert die DNS Auflösung.

Hoffe, dass es ein wenig verständlicher wird.

Wie gesagt generell ist Port 53 dicht. Nur die IPs die ich freigebe, können überhaupt auf den PiHole Service zugreifen.

Standard-Port hatte ich auch geändert gehabt auf einen eigenen, ist aktuell nur zur Kompatibilität auf 53 zurück gestellt.

Macht wahrscheinlich durch die Art der Freigabe eh keinen wirklichen Unterschied.

MfG ✌🏼

Wieso sollte man das so nicht nutzen?

Hast du zufällig da mehr Infos zu?

Also ich packe den ja nicht öffentlich rein oder so. Dafür ist PiHole auch wohl kaum gedacht.

Aber für den Server und 2 Clients die DNS Anfragen aufzulösen kann ja eigentlich kein Problem darstellen.

Es ist ja kein "Public facing DNS".

Also in dem Sinne, dass ich den Service ja nicht öffentlich im Web für alle zur Verfügung stelle. Auf die Idee würde ich auch ehrlich gesagt nicht kommen.

Hab halt schon Mal schlechte Erfahrungen gemacht, wo ich n NTP Server ohne große Erfahrung laufen lassen hatte. Daraus hab ich "gelernt" nichts einfach so frei im Internet verfügbar zu machen.

NetCup hat mir damals wegen dem 5GBit/s DDoS den Server abgedreht. Das passiert mir so definitiv nicht nochmal.

Dazu muss man nochmal zusätzlich sagen, dass NetCup wirklich sehr Kulant und meines Erachtens nach echt gut gehandelt hat. Da NetCup ja einige Leute hat, die sich beschweren wie mit solchen Sachen umgegangen wird.

Hab alles wieder in Ordnung gebracht und dicht gemacht und das auch so vermittelt, mich entschuldigt und das Thema war durch und Server wieder online.

Aber nochmal zurück zum PiHole.

Der läuft maximal auf 2 IP Adressen, die freigeschaltet sind. Alles andere wird schon von ufw/iptables her geblockt. Und zusätzlich halt im Pi-Hole und Unbound Rate Limit usw aktiviert, sodass an sich nicht viele Anfragen raus gehen dürften, wenn trotzdem was passieren könnte.

Dementsprechend kann ja meines Erachtens nach keiner überhaupt den Service online sehen und somit überhaupt auf die Idee kommen das ganze auszunutzen. Und selbst wenn das jemand weiß, das PiHole dort läuft, kann doch trotzdem keiner drauf zugreifen?!

Bin auch am überlegen, wenn ich das gerade noch so lese, zusätzlich noch ne Blockade für alle anderen ausgehenden Verbindungen zu erstellen die Nichts mit meinem Heimnetz Provider zu tun haben.

Also selbst bei Spoofing oder ähnlichem könnte dann ja trotzdem keiner Anfragen an andere Services generieren.

Aber wie oben schon erwähnt, lasse mich gerne eines besseren belehren und würde in dem Fall dann auch um mehr Informationen bitten. Da ich mir nicht wirklich vorstellen kann, wie man ne IP-Freigabe so umgehen kann, dass man da was an stellen kann, ist mehr Info wünschenswert.

MfG ✌🏼

Zitat von perryflynn

Eigener resolver ist easy, sofern man aufpasst das nur bestimmten Servern geantwortet werden darf. Dann gibt's auch kein Problem mit reflection Angriffen.

Ich selbst habe ne ansible Role die einfach auf allen Servern einen Bind als recursive resolver installiert der nur lokal erreichbar ist.

Also mein Server antwortet nur auf meine Heim IP und auf meine Handy IP. Die wird direkt aktualisiert, sobald ich eine neue IP zugewiesen bekomme. Dementsprechend alte Freigabe raus löschen und neue rein packen.

Glaube damit sind so gut wie alle Angriffe ausgeschlossen.

Außer jemand spooft vielleicht gerade genau meine IP die ich aktuell habe an den Server. Aber das ist wohl so unwahrscheinlich.. und würde wohl kaum was bringen. Außerdem ist Rate Limit und ne allgemeine ufw/iptables Regel erstellt, die kaum Datenverkehr nach außen lässt, der nicht explizit gewünscht oder freigegeben ist.

Denke Mal das wird so in Ordnung sein aber lasse mich gerne trotzdem eines besseren belehren. Man kann ja nicht alles wissen oder alle Angriffsvektoren.

Zitat von TBT

Es ist durchaus sinnvoll, die standardmäßig eingetragenen Netcup DNS Server auf andere zu ändern, deren Betreiber die Sache deutlich besser machen (Netcups DNS Server sind ein Graus, schon seit Monaten/Jahren).

Also außer im Root Server bis jetzt hab ich die eh immer gewechselt.

Hab da beim Root zwar ab und an Mal drüber nachgedacht aber es dann immer nach hinten geschoben, da ich keine Probleme oder ähnliches bemerkt habe und da auch andere Sachen wichtiger waren.

Webhosting hab ich auch erst über NetCup benutzt und dann aber erstmal zum Testen der Funktionen auf Cloudflare umgestellt. Und jetzt ist bei mir Webhosting technisch alles auf Cloudflare. Finde die Funktionen mit Proxy usw. halt auch sehr praktisch.

Und halt was noch ausschlaggebender "gegen" NetCup ist, ist die Tatsache, dass das Update der Einträge teilweise ewig gebraucht hat und die Oberfläche bzw. das einstellen der Einträge bei NC halt nicht wirklich schön ist.

Da ist Cloudflare deutlich besser aufgestellt was das gesamte DNS/Proxy Paket an geht.

Privat hab ich früher Mal Google benutzt und jetzt auch alles nur noch Cloudflare. Mit DoT usw. Aber jetzt da ich Pi-Hole (auch mit Cloudflare) im LAN benutze, hab ich dann Mal geschaut wegen Unbound und Recursive DNS ist halt wohl von der Privatsphäre noch besser, weil ansonsten halt Cloudflare auch alles weiß.

Zitat von TBT

So kannst Du z.B. die Cloudflare, Google oder sonstige öffentliche DNS Server verwenden. Wenn Du Google nicht Deine Daten schenken willst, verwende https://www.cloudflare.com/de-de/learning…hat-is-1.1.1.1/

Dementsprechend jetzt halt PiHole mit Unbound.

Zitat von TBT

Private DNS Server einzutragen, die hinter einem DSL/Kabelanschluss hoffentlich NICHT öffentlich erreichbar sind, ist technisch (über VPN) zwar theoretisch machbar, aber höchst instabil. Wenn das VPN nicht läuft, gibts keine DNS Auflösung was tonnenweise Probleme verursachen wird.

Wenn ich das richtig verstanden habe, wäre das ja auch total dämlich. Warum sollte ich auf meinem Server meine Pi-Hole oder ähnliches von Zuhause eintragen? Ich meine das genau anders herum. Glaube das hast du falsch verstanden. Oder ich verstehe gerade nicht wie du das meinst.

Also aktuell ist das so, dass ich auf meinem Server die Pi-HoleFTL Software laufen habe, die dann mit Unbound Rekursiv die DNS Anfragen auflöst.

Das ganze nutze ich dann halt auch am Handy, so ist mein Plan.

Damit ich nicht nur alleine in meinem Heimnetz den PiHole verwenden kann.

Zitat von TBT

Wozu man unbedingt auf einem Rootserver (auf der Konsole?) Adblock brauchen sollte, entzieht sich meiner Vorstellung.

Naja AdBlocker brauche ich ja nicht auf meinem Root-Server. Meine Frage war hauptsächlich ob da was gegen Spricht das im Server gleich mit zu nutzen.

Auf der anderen Seite finde ich das persönlich gar nicht Mal so schlecht, zu sehen, welche DNS Anfragen mein Server so schickt und dementsprechend auch ne Übersicht und Statistik gleich mit dabei zu haben. Außerdem kann das blocken von DNS Anfragen auch auf einem Server Sinn machen, denke ich zumindest Mal.

Wenn normal irgendwelche Sachen angefragt werden, mit denen ich nichts zu tun habe, erhält man so einen Überblick. Ist aber wie gesagt halt nicht hauptsächlich für den Server gedacht. Ist nur n extra oben drauf zu meinem eigentlichen Vorhaben.

Alleine jetzt sind mir schon n paar Domains auf meinem Server untergekommen, wo ich mich frage, warum der die überhaupt anfragt. Dementsprechend kann ich das ganze nachschauen, besser nachvollziehen und zusätzlich draus lernen.

MfG

Zitat von m_ueberall

dnscrypt, um die direkte, unverschlüsselte Anfrage bei den üblichen Verdächtigen (1.1.1.1, 8.8.8.8, 9.9.9.9) zu umgehen und ggf. vorgenannte Funktionen teilweise bei Dritten zu nutzen).

Das muss ich mir Mal anschauen.

Hoffe dass ich das mit PiHole umgesetzt bekomme. Also bis jetzt läuft das was ich erreichen wollte soweit. Bis auf einen Fehler in der Auflösung von einem bestimmten Service aber den finde ich bestimmt auch noch.

Das einzige Quasi was mir jetzt noch fehlt, ist die Verschlüsselung der Anfragen von meinem Client zu meinem PiHole/Unbound Server.

Also wie halt DoH/DoT zu Cloudflare oder ähnlichen. Nur halt dementsprechend zu mir.

Dann hab ich quasi die Vorzüge von beidem. Also Recursive DNS für mehr Privatsphäre was die Anfragen allgemein an geht und dann die Verschlüsselung vom Client zum Server. Dementsprechend dürfte das wahrscheinlich die "sicherste" bzw. Datenschutz technisch beste Variante sein DNS zu nutzen.