Beiträge von whoami0501

Zitat von alhazred

Du kannst iene Route auf den Clients verteilen und diese über S2 leiten. entweder direkt auf dem Client (route add usw. unter Win) oder auch per DHCP über den Router.

Soo. Probiert und fast für gut befunden. Der Ansatz scheint auf jeden Fall der richtige zu sein!

Ich habe jetzt versucht, den Clients via OpenVPN-Server per push "route 1.2.3.4 255.255.255.255 10.8.0.3 1" die Route zu übergeben. Dabei ist die Route auch in der Routing Tabelle von Windows erschienen, Problem ist nur, dass ich, wenn ich die Website im Firefox aufrufen will, trotzdem Server1 als Gateway habe und abgeblockt werde. Ideen? Kann es sein, dass push "redirect-gateway def1 bypass-dhcp" Probleme macht?

Zitat von Snudox

Hab mal eine kurze Frage, für die es sich nicht lohnt ein Thema zu eröffnen.

Ich habe mir vor ca. 23 Tagen den kleinsten VPS gekauft, der auch wirklich super läuft. Nun habe ich mir vor ca. 4 Tagen eine Domain bei Netcup gekauft, von der ich aber keine Rechnung bekommen habe. Ist eine Domain bei einem VPS dabei oder kommt die Rechnung noch?

LG

Ich gehe davon aus, dass die Rechnung noch kommt. Hast du die Domain schon bekommen oder ist die Sache noch in Bearbeitung?

Zitat von oliver.g

Hi, weiß dein Server2 wie er die Pakete zum Client routen soll? Zur Hinroute gehört auch immer eine Rückroute für die Antwortpakete.

Berechtigte Frage.

Also bewusst habe ich keine Route gesetzt. Wie müsste eine solche Route denn dann aussehen? Weil der Gateway im VPN ist Server1 ja sowieso... Wobei, Server2 läuft mit route-nopull in der OpenVPN Config. Der schickt nur wirklichen VPN-internen Traffic durchs VPN, alle Verbindungen ins Internet laufen über dessen eigene Anbindung.

Habe mich mit dem Routing Thema bisher noch nie wirklich auseinandergesetzt, daher sorry für ggf. doofe Fragen.

Hallöchen,

ich habe eine, zumindest für mich noch dezent komplexe, Sache vor.

Folgendes ist geplant: Ich möchte bestimmten Traffic von Clients meines VPN Netzes ins Internet anhand der IP als Kriterium über das Interface eines anderen vServer leiten.

Der Grund dafür ist simpel: der Betreiber einer Website die ich öfter nutze meint, dass er die IP meines Servers sperren muss, weil vermutlich mit der IP mal irgendwas verbotenes gemacht wurde, von dem er aber selbst nicht sagen will, was es war. Und seine supertolle IP Sperre möchte ich jetzt einfach umgehen, indem ich die Zugriffe über einen anderen Server leite.

Server1 (hostet mein VPN Netz) = 10.8.0.1

Server2 = 10.8.0.3

Client = 10.8.0.5

Ziel im Internet (Beispielhaft) = 1.2.3.4

Wenn der Client jetzt auf das Ziel zugreifen will, dann läuft der Traffic ja zunächst nach tun0 von Server1, und wird dann auf ens3 von Server1 geleitet, und geht von dort aus an das Ziel.

Ich möchte, dass alle Anfragen des Clients auf das Ziel von tun0 von Server1 per VPN an tun0 von Server2 weitergeleitet werden, und erst dieser den Traffic dann auf sein ens3 weitergibt, von wo aus dieser dann ins Netz geht.

Bisher bin ich schonmal so weit, dass ich den Traffic auf das Ziel von Server1 per IP Route auf den zweiten Server umleite (auf Server1: ip route add 1.2.3.4 via 10.8.0.3)

Soweit so gut, scheint an sich auch zu klappen.

Das Problem ist jetzt Server2. IPv4 Forwarding ist mit sysctl aktiviert, und ich habe eigentlich auch die korrekten Firewall Regeln definiert.

iptables -t nat -A POSTROUTING -o ens3 -j MASQUERADE
iptables -A FORWARD -i ens3 -o tun0 -j ACCEPT
iptables -A FORWARD -i tun0 -o ens3 -j ACCEPT

#Die Regeln sind was Sicherheit betrifft noch optimierbar, das ist mir bewusst, das ist grad nur die "Debugging-Version"

Hab ich irgendwo einen Fehler gemacht? War das mit der IP Route evtl. schon falsch, oder habe ich grundsätzlich einen Denkfehler?

Ich bin für jede Hilfe, Kritik und Anregung dankbar.

Kennt hier jemand einen guten bzw. gut funktionierenden Monitoring Collector für ARM Boards (speziell Odroid XU4) der InlfuxDB kompatibel ist?

Icinga2 will nicht so recht. Das läuft zwar, speichert aber partout keine Daten in der InfluxDB. Daher suche ich momentan eine Ausweichmöglichkeit.

Die Ideen mit der Option, dass der Server einerseits ausgeschaltet oder eingeschaltet ist, und dass man ein Image oder gar kein Betriebssystem wählen kann, würde ich persönlich auch befürworten. Das würde für mich persönlich auch nochmal ein dickes Plus an Kundenservice seitens Netcup bedeuten, worüber ich mich natürlich sehr freuen würde.

Hi,

ich hätte hier mal einen kleinen Vorschlag/Verbesserungswunsch, den ich persönlich für ziemlich sinnvoll halte.

Ich habe beobachtet, dass zumindest VPS (und RS bestimmt auch) immer mit vorinstalliertem Debian im angeschalteten Zustand ausgeliefert werden. Dabei ist das vorinstallierte Debian auch nicht so wirklich abgesichert.

Jetzt weiß ich als Kunde aber nicht, wann ein bestellter Server genau freigeschalten/ausgeliefert wird, um das System gleich absichern zu können. Kann der Kunde ihn nicht sofort absichern, entsteht theoretisch ein nicht unerhebliches Sicherheitsrisiko, da er relativ unabgesichert im Kreuzfeuer des Internets steht.

Mein Vorschlag: Die Server einfach im heruntergefahrenen Zustand ausliefern.

Ich glaube die Mehrheit der User haut das vorinstallierte Image sowieso runter, und installiert ihr eigenes Image/OS - und dafür muss der Server sowieso heruntergefahren zu sein. Andererseits ist da die Sache mit dem Sicherheitsrisiko - es kann doch teils auch sein, dass momentan gar keine Zeit zum Absichern/Einrichten da ist.

Und der vermutlich geringe Anteil an Leuten, der gerne sofort mit dem vorinstallierten Image durchstarten will, dem wird der Klick auf "Starten" im SCP doch nicht weh tun.

Wie sind eure Meinungen dazu? Was sagt Netcup selbst dazu?

Ich bin für Gegenargumente und Kritik natürlich offen.

//EDIT: Wenn ich das falsche Unterforum erwischt habe, sorry. Dann einfach verschieben.

Uff. Hier ist was los...

Die letzten 65 Minuten kein Internet mehr, da DHCP(v4) Server nicht mehr erreichbar. Auch interessant, vor allem wenn das Mobilfunknetz gleich mit weg ist.
Und eben habe ich noch erfahren, dass im Nachbarort sogar der Strom weg war... Vielleicht hats da nen Umsetzer oder sowas erwischt.

Mittlerweile ist alles wieder online. IT ist immer wieder toll. Aber ich muss schon sagen - es ist schön wenn einem keiner auf den Sack gehen kann.

Hi,

der Thread passt eigentlich so gut zu meinem Problem, da will ich jetzt gar keinen neuen auf machen.

Ich habe folgendes vor:

Ich habe ein Gerät in meinem OpenVPN Netz, dass in meinem Heimnetz steht, und dass ein Portforwarding auf ein anderes Gerät im Heimnetz machen soll.

Sagen wir mal, das Gerät im OpenVPN ist Gerät A und hat im VPN Netz die IP 10.8.0.4. Und das Gerät im Heimnetz ist Gerät B, und hat dort die IP 192.168.178.10.
Ich möchte nun also Port 80 von Gerät B als Port 8080 auf Port A umleiten, sodass ich sozusagen unter 10.8.0.4:8080 das Ziel 192.168.178.10:80 erreichen kann.

Und optimalerweise würde ich den Zugriff auf Gerät A 10.8.0.4:8080 gerne so limitieren, dass nur 10.8.0.5 aus dem VPN Netz darauf zugreifen kann.

Allerdings bin ich aus den bisherigen Antworten hier im Thread und von Google und Co. noch nicht so ganz schlau geworden und habe auch nach einigen Tests noch nichts funktionierendes gefunden, daher wäre ich dankbar für ein paar Beispielregeln für iptables, sowie evtl. auch eine kleine Erklärung, was genau die dann machen.

Danke!

Ich meine, ich hatte diesen Fehler vorhin beim herumbasteln an meinem OpenVPN Server.
Und da lags an der Firewall-Konfiguration vom Server.

Nur so als Ansatz. Das muss jetzt bei dir nicht daran liegen, aber könnte. Vielleicht schaust du dir deine Firewall einfach mal an...

Zitat von eripek

Bitte noch einmal, langsam und zum Mitdenken. Wo ist der Server, was kann der Router/die Firewall und wer greift von wo aus zu?

Es geht um einen meiner vServer hier bei Netcup. Darauf soll ein OpenVPN Server, der einerseits über einen UDP Port und andererseits noch per TCP 443 zu erreichen sein soll. Der 443 TCP deswegen, weil ich teilweise in Netzen unterwegs bin, wo das Internet bei Port 80 und 443 aufhört.

Der Anwendungsfall schaut so aus, dass ich einen OpenVPN Server habe, der per UDP oder sofern blockiert per TCP erreichbar ist. Ich wollte aber vermeiden, dass ich dafür zwei OpenVPN Instanzen laufen lassen muss, da das zwangsläufig dazu führt, dass ich zwei Subnetze habe.

Zitat von mainziman

Nein, das geht nicht;

Ach verdammt. Aber das konnte ich mir schon irgendwie denken... Danke trotzdem!

Ist es möglich mit iptables eingehenden Traffic auf z.B. 443 TCP auf irgendeinen anderen UDP Port zu routen?

Es gibt da glaube ich so ein Online-Verfahren mit dem Personalausweis, und irgendwo habe ich dazu zuhause noch Post vom Einwohnermeldeamt rumkullern. Da schau ich heute abend mal nach, und schreib da nochmal was dazu.

Zitat von Kraeutergarten

Bei uns in Österreich gibt's einen L17 -> Führerschein ab 17.

Achja, den gibt es in Thüringen ab 15.

Klasse AM (Moped bis 25ccm, sowie Simson und Co mit Erstzulassung in der DDR).

Ansonsten gibt es ja allgemein die A1 (Motorräder bis 125ccm und ich meine 15PS) ab 16, und den PKW Führerschein (B17 bzw. BE17) gibt es ja auch mit 17, nur begleitet halt.

Ich glaube das daran festzumachen ist nicht ganz so schlau.

Zitat von mainziman

aber wer weiß vielleicht entwickelt sich da ja mal ein Geschäftsmodell;

Ich möchte hier mal PostIdent erwähnen.

Da bestellt man etwas oder registriert sich im Internet, bekommt so ein Dokument/Ticket vom Händler, und mit diesem Dokument geht man dann in eine Postfiliale, weist sich dort mit einem Dokument wie Personalausweis, Führerschein oder Reisepass aus, und sofern alles korrekt ist, gibt das die Post dann an den Händler weiter, dass die Person z.B. 18 ist.

Zitat von mainziman

whoami0501

nicht, daß ich wüsste, daß 2602:fe55::/64 zu Google gehört;

die Zieladressen gehören zum Tunnel-Prefix von dem nur prefix::1 (Tunnel-End-Point) und

prefix::2 (mein Router) tatsächlich genutzt werden ...

Was aber grundsätzlich nicht ausschließt, dass da Analysen zu dieser Angelegenheit durchgeführt werden.

Zitat von mainziman

Hat wer ne Ahnung, was jemand mit Zugriffen von zufälligen IPv6-Adressen (alle einem /64-Prefix zuordenbar)

auf nicht existierende IPv6-Adressen mit Port 443/udp bezwecken will?

Ein kurzes Googlen hat mich hieraufgeführt. Gehört der Adressbereich evtl. zu Google, und die führen Analysen durch, wer deren "Erfindung" nutzt?

Zitat von julian-w

Gefühlt meldet sich im Monatsrhythmus ein User hier an, der von der Administration eines Servers keinerlei Ahnung hat, jeden Ratschlag ablehnt/ignoriert, nur rummotzt, jeden beleidigen, der Ihnen sagt das deren vorhaben keine gute Idee ist und ansonsten auch völlig schmerzfrei ist wenn es um Dinge wie Sicherheit oder sowas geht... als ob hier ein Fluch auf dem Forum liegen würde...

Ich glaube es ist mal wieder soweit, wenn ich auf eine gewisse Person schaue, die nachträglich in diesem Thread dazugestoßen ist.

Witzigerweise kam mir der Name jener Person bekannt vor - eine kurze Recherche sollte meine Vermutung auch (zumindest mit hoher Wahrscheinlichkeit) bestätigen... Siehe hier.