Beiträge von whoami0501

Zitat von Lukay

Kann ich bestätigen, seit 20 Min ist bei einem meiner Server auch ipv6 down. Bekomme nur noch Timeouts, ipv4 geht

Ich habe jetzt zig Server verschiedenster Art hier bei Netcup durchgetestet und kann nicht von derartigen berichten. Alles supi.

Zitat von mainziman

welche Distri würde man heute einem Anfänger f. einen Desktop empfehlen?

(hätte man diese Distri auch schon vor 10 Jahren empfohlen)

Gar keine Frage, Temple OS!

Spaß - also ich tendiere da eher zwischen Debian und Ubuntu. Je nach Leistung halt nicht gerade mit Gnome, sondern eher mit Xfce oder so. CentOS bin ich zwar jetzt nicht abgeneigt, aber ich glaube das ist dann doch eher ein Server OS als wirklich gut für den Desktop. Außer vielleicht im Enterprise bereicht, das ist wieder was anderes. Aber für Multimedia und Co Bereich bietet CentOS vermutlich zu wenig Pakete.

Ich finde Alpine eigentlich auch ganz angenehm als Desktop OS. Sicher, schnell, ressourcenarm... für jemanden, der z.B. nur mal ein bisschen surft oder Office Geraffel macht, reicht das eigentlich hin.

Das Problem bei so Sachen wie Debian oder CentOS, die eher LTS sind, kommt man schnell mit Hardware und Kernel zu Problemen. Ich musste den 5.4er LTS in Alpine auch gegen den Rolling Release bzw. Edge Kernel (5.7.8er) tauschen, weil es Probleme mit Xorg/Xserver und meiner RTX 2070 kam. Da war der 5.4er halt einfach zu alt.

Aber ansonsten sind ja auch Ableger Distros wie KDE Neon, Mint/LMDE oder MX Linux recht beliebt... das ist halt stark userabhängig. Wie leidensfähig ist der User, wieviel Vorwissen bringt er mit, was will er mit der Distro machen, wie viel Wert legt er auf das Aussehen usw....

Zitat von Paul

Willkommen in der Welt von Alpine Linux :-). Das liegt daran, dass dort gegen die musl c lib kompiliert wird. Versuche mal eine glibc zu installieren. Geht es dann?

Ich merke es...

Es ist nun auf jeden Fall nicht mehr Schrödingers Binärdatei, sondern es vermisst irgendwelche Libraries. Die kann man zwar mit apk nachinstallieren, aber das Problem ist, dass die libraries scheinbar nicht funktionieren. Vermutlich aus dem selben Grund, wie du bereits geschrieben hast. Hm. Miese Briese...

Zitat von mainziman

whoami0501 und was liefert whoami?

Ein "who". Die Rechte und User sollten eigentlich passen.
Zumal es als root auch nicht geht. Passiert übrigens auch bei anderen Binärdateien... sehr merkensgewürzig.

Also irgendwie stehe ich hier gerade sehr auf dem Schlauch. Ist das Schrödingers Datei?

Screenshot_2020-07-18_18-04-57.png

Oder bin ich einfach nur doof? Die Datei ist da und wenn man sich ausführen will nicht. Aber die Rechte stimmen ja auch. Wtf...

Zitat von TheWoo

Wir kommen dann aber nicht mehr – im Sinne von überhaupt nicht mehr – auch nicht über das WCP/PleskUI –, also wirklich gar nicht mehr auf die Kiste, wenn wir das richtig sehen. Da muss also ein Netcup-Support-Mitarbeiter hin und den VPS neustarten. Oder ans lokale Terminal.

Wer hat dir denn diesen Schwachsinn erzählt? Netcups Server sind KVM Kisten auf die du mit der VNC Konsole im SCP jederzeit drauf kannst, gefühlt auch wenn du an der Netzwerkschnittstelle ne Nuklearkatastrophe erzeugt hast.

Du brauchst nach wie vor keine zweite IP Adresse. Die Skizze ist faktisch falsch. Das OpenVPN geht durch deinen Internet GW durch und erzeugt im Server ne virtuelle NIC.

Ganz ehrlich - wenn du/ihr nicht genau wisst, was ihr da tut und und wie ihr das sicher und stabil aufbauen müsst, dann lasst die Finger davon und lasst das andere machen, die Ahnung davon haben. Sonst macht ihr euch da nur selbst unglücklich und mehr Ärger, als ihr denkt.

Da wird vermutlich davon ausgegangen, dass du die Festplatte hast, dann den Snapshot Stand (oder die Stände) und dann alles veränderte. Und wenn du die Snapshots da jetzt dazwischen rauslöschst, klaffen wohlmöglich recht große Löcher dazwischen bzw. besteht eine recht intensive Fragmentierung.

Daher wird da dann vermutlich einfach mal eine intensive Optimierung gemacht, weil der Theorie nach von einer hohen Fragmentierung auszugehen ist.

Zitat von TheWoo

Dem OpenVPN-Client mag es egal sein, aber ich glaube dem OpenVPN-Server nicht.

What? Der OpenVPN Server gibt dir vermutlich eine Unique Local Address (oder eine private IPv4 bei veralteten Konfigurationen).

Und selbst wenn der OpenVPN Server Betreiber sagt "ja wir haben ne Firewall und wollen wissen von welcher IP du kommst" - na dann nimmst du die normale von deinem Server und gibst die denen. Wo ist denn da jetzt das Problem?

Ich habe ein bisschen Gefühl, dass du nicht wirklich weißt, was du da tust und mit 1 Gbit/s oder mehr ans Netz stellst.

Zitat von TheWoo

Der OpenVPN-Server des IoT-Anbieters weist meinem OpenVPN-Client auf dem VPS dynamisch eine eigene IP-Adresse aus seinem Adress-Pool zu. Gleichzeitig muss meine Website mit dem Portal für meine Kunden aber unter einer anderen, festen IP-Adresse erreichbar sein.

Wie soll das (zwei verschiedene IP-Adressen, eine davon fest, die andere dynamisch zugeteilt) mit nur einem „Netzwerk-Anschluß“ funktionieren?

OpenVPN erstellt doch ein eigenes virtuelles Netzwerk Interface (z.B. tun0). Ich verstehe da jetzt das Problem nicht...

Ich verstehe nicht so ganz, warum du eine weitere vNIC brauchst.

Du musst dem OpenVPN Client doch nur sagen, dass da nur Netz XYZ hängt und das nicht der default Gateway ist. Und schon sollte das ganze passen.

Eine zusätzliche IPv4 Adresse ist weder eine zusätzliche vNIC, noch kann ich mir vorstellen, dass sie in deiner Situation helfen könnte.

Zitat von H6G

Ich habe Alpine nur Embedded und Server Systeme in Betrieb. Bei Desktop hört die Sache auf.

Für xfce habe ich dieses Paket gefunden: https://pkgs.alpinelinux.org/package/v3.12/…4-settings-lang

Evtl. hilft das.

Hmm... hilft noch nicht. Da muss ich wohl noch etwas suchen und probieren...

Aber du nutzt doch auf deinem Desktop PC auch Linux, oder? Mit welcher Distro bist du da unterwegs?

Alpine ist an sich mega geil, aber man merkt recht schnell, dass das ganze einfach nicht so wirklich für den Desktop gedacht ist :x

EDIT: Eine Zeile in /etc/profiles.d/locale.sh geändert und schon passt die Sprache. Uff. xD

Zitat von H6G

Hau raus

Ja ich bin jetzt auch mal unter die Alpine Nutzer gegangen nach anfänglichen Problemen mit RTX Grafikkarte und Soundserver habe ich jetzt eigentlich alles ganz gut im Griff...

Ein paar Fragen hätte ich noch:

- Kann man Xfce4 irgendwie auf deutsch umstellen?

- Hast du Erfahrungen damit, den proprietären Treiber von NVIDIA zu installieren?

Achja - für alle die grad schief schauen weil irgendwas nicht geht. Cloudflare ist down.

Zitat von kenny85r

Aber funktioniert noch nicht komplett über Letsencryt, sondern selbst erstellen und signieren lassen, oder?

Mit acme.sh geht das schon... Certbot ist in dem Falle halt nicht so wirklich das Mittel der Wahl.

Zitat von kenny85r

Es wäre doch möglich über einen anderen Server-Block + anderen Port, die erlaubten Ciphers umzustellen, richtig?

Theoretisch ja, wäre aber so gesehen pfusch - ich kann dir nur raten und dir empfehlen: Mach es bitte gleich ordentlich. Aus der Erfahrung raus wirst du dich später ärgern, weil du Arbeit und Zeit in Pfusch investiert hast, den du irgendwann wieder glatt ziehen musst. Und dann ärgerst du dich. Das musste ich auch schon lernen.

Wir hatten doch mal nen ziemlich erfahrenen Alpine User hier... wer war denn das? H6G - warst du das?

Zitat von kenny85r

Letsencrypt 2048bit

CAA gerade gemacht

HSTS mache ich noch, bzw. Header wird schon gesendet.. eine Frage hätte ich dazu noch, wenn man sich da in die Liste einträgt:

Ich kann doch dennoch unverschlüsselte Seiten anbieten oder verstößt man dann gegen irgendwelche Regeln?

Mir ist schon klar, dass es schwierig wird, diese Seiten über den Browser zu besuchen, eher für Apps o. µC...

Aber ich glaube ohne passenden Cipher bekomme ich keine besseren Werte...

Außer ich deaktiviere die Schwachen, aber AES256-SHA256 muss noch funktionieren...

Was kann ich da tun?

Gruß

Kenny

Alles anzeigen

HSTS bietet optional die Preload Liste. Das ist eine Liste, die hardcoded in Browsern steckt und HTTPS grundsätzlich für eine Domain (m.W. inkl. Subdomains) erzwingt. Solange man da draufsteht, geht HTTP ohne händisches Eingreifen am Client (mehr oder minder pfuschen) garnicht mehr.

Das steht eigentlich auch alles unüberlesbar hier.

Du verstößt mit HTTP eigentlich nicht gegen Regeln - es geht halt einfach nicht. Browser sagt нет. wget mittlerweile auch. Da haste dann gelitten.

Deswegen distanziere ich mich auch davon, weil ich unter meiner Domain im Heimnetz sehr wohl noch (ohne Bedenken) HTTP einsetze und HTTPS auch bei Webanwendungen in manchen Fällen für nicht erforderlich halte (Stichwort Spiegelserver).

Was deine Problematik betrifft - wie wärs denn mal mit nem vernünftigen Zertifikat?

2048bit RSA ist gefühlt das letzte was ich nehmen würde. Wenn du zu viel Rechenkapazität hast, nimmst du RSA 4096bit oder wenn du es halt ordentlich und eher ressourcenschonend machen willst, nimmst du 384bit ECC. Da du mit Microcontrollern arbeitest wird zweiteres ganz bestimmt eher das Mittel der Wahl sein - ist auch moderner.

Und wie gesagt - OCSP Must Staple und OCSP Caching machen auch Sinn.

Zitat von kenny85r

Hi,

also bei mir schwankt es, wenn ich an den Ciphers AES256-SHA256 hinten dran hänge, zwischen A+ und B.

Wenn ich sowas wie ECDHE-AES256-SHA256 bekomme ich mit dem Microcontroller keinen Handshake hin.

Bei mir:

1. ssl_session_timeout 30m;
2. ssl_session_cache shared:SSL:10m;
3. ssl_session_tickets on;
4. ssl_ecdh_curve <- habe ich nicht drin, bringt das was? Gibts Leistungseinbußen?

A+ bekomme ich auch bei prefer_server_ciphers, bin aber der Meinung, dass es je nach Client-Leistung entschieden werden sollte,

welcher gewählt wird. (Mozilla und Letsencryt sind übrigens der selben Meinung).

Gruß

Frank

Alles anzeigen

Was für Certs benutzt du? Das macht auch nen Unterschied.

Bzgl. ssl_ecdh_curve --> https://wiki.openssl.org/index.php/Elli…_Diffie_Hellman

Das macht eigentlich eher nen Unterschied bzgl. der Sicherheit...

Hast du sowas wie CAA, HSTS und Co. eingerichtet?

Zitat von kenny85r

Du hast recht, Danke für die Antwort. Solche DNS-Einträge biete ich natürich nich an.

Jetzt habe ich allerdings noch eine echte Checker-Frage (habe bereits stundenlang gegoogelt):

Mir ist es bislang nicht möglich bei ssllabs.com ein A+-Rating zu erhalten,

wenn ich bei nginx ssl_prefer_server_ciphers Off; einstelle.

Problem ist, dass wgn. ein paar Microcontroller,


folgende Ciphers auch möglich sein sollten: AES128-SHA256 oder AES256-SHA256

Hoffe, das kann mir jemand beantworten, schon mal vielen Dank!





Gruß


Kenny


Alles anzeigen

Also die A+ bekomme ich entspannt, egal ob mit ssl_prefer_server_ciphers on oder off.

Folgende Config mit 384bit ECC Zertifikaten von Lets Encrypt, OCSP Caching und 4096bit dhparams:

# standard SSL config
ssl_protocols                   TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers       on;
ssl_ciphers                     ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256;

ssl_dhparam                     /xxx/dhparams.pem;
ssl_ecdh_curve                  secp521r1:secp384r1:prime256v1;

ssl_session_timeout             1d;
ssl_session_cache               shared:SSL:50m;
ssl_session_tickets             off;

ssl_stapling                    on;
ssl_stapling_verify             on;

resolver                        [fdef::cafe:beef:affe] valid=300s;

So - USV ist verbaut und verkabelt, NUT läuft (fast) wie es soll und Monitoring ist auch drauf... Endlich! Gott war das eine Quälerei...

Bildschirmfoto von 2020-07-17 13-23-30.jpg

Zitat von Olgsi

Ist netcup sicherer und datensparsamer als Google oder iCloud im bezug auf Fotos und Dateien speichern?

Genauso sicher, aber wesentlich datensparsamer.

Zitat von Olgsi

Ist iCloud sicherer und datensparsamer als Google im Bezug auf Fotos und Dateien speichern?

Das nimmt sich nichts. Schlag es dir aus dem Kopf.

Mit solchen Fragen kannst bzw. solltest du dich btw. auch mal an die Community vom Kuketz Forum wenden - die werden dir in Puncto Sicherheit und Datenschutz sicher noch weiter helfen können, als wir hier.

Zitat von Olgsi

Na ich gebe etwas Datenschutz für mehr Sicherheit. Ich habe bei Google in den Datenschutzeinstellungen alles pausiert.

Oder ist das immer noch zu viel Daten was die saugen.

Google hält deine Daten sicher, weil es ihre Einnahmequelle ist. Google ist nur scheinbar ein Cloud Provider, eine Suchmaschine oder auch alle anderen Plattformen - Google bzw. Alphabet Inc ist ein US amerikanischer Werbekonzern, welcher an der Börse ist. Daraus resutiert eine maximum Profit Haltung.

Was ich mittlerweile mitbekommen habe - egal wie groß ein Unternehmen ist, am Ende kochen die meisten auch nur mit Wasser. Auch in Puncto Sicherheit. Daher sehe ich hier Netcup und Google gleichauf.

Ich würde in jedem Fall zur Nextcloud bei Netcup greifen. Allein schon weil Netcup ein richtiger Cloud Provider und kein Werbekonzern ist - Netcup sollte aus profittechnischer Sicht kein wirkliches Interesse an deinen Daten haben und muss auch keine Aktionäre beglücken.

Gerade das gestern gekippte Privacy Shield zeigt, dass Datenschutz in den USA nur eine hohle Floskel ist. Dadurch, dass das alles Blackbox ist, kannst du nicht mal prüfen, ob deine "runtergedrehten Datenschutzeinstellungen" wirklich die Datensammlung unterbinden. Ich wage das nämlich stark zu bezweifeln...