selbiges gilt f. den Individualverkehr: bringt deinen Cadaver an Orte, die es nicht bräuchte, wenn wir sie nicht hätten;
Das kann man noch weiter treiben lol
Die Welt bietet uns einen Lebensraum, den wir nicht bräuchten, wenn wir Sie nicht hätten.
3deep5me und so 
https://www.heise.de/news/China-bie…in-4795965.html
Ich lese den Titel auf der Startseite. Reaktion: Wtf?
Ich lese den ersten Absatz: Wtf?!
Ich lese den Artikel: In was für einer Welt leben wir eigentlich? Sind mittlerweile eigentlich so gut wie alle Menschen durchgedreht und denken nicht mehr mit? Aber gut, um das zu erfahren, muss man draußen entweder die Augen aufmachen oder einfach Mal "Corona" googlen und auf News klicken.
Tja... das ist moderner Menschenhandel. Kommt gleich nach Leiharbeitern.
Bei docker gibt es, was Sicherheit angeht für mich mittlerweile eigentlich nur noch ein Kriterium:
Vertraue ich den Maintainern?
Und: bin ich in der Lage, die Firewall dabei nach wie vor halbwegs sicher zu halten...
Bei meiner Mailkuh fasse ich die nach wie vor nicht an - da werden die paar anderen Dienste dann halt entsprechend an interne IPs gebunden und mehr mache ich da nicht. Jeder Versuch ist mir bisher um die Ohren geflogen.
EDIT: Interessant. Seitdem das DynDNS Updater Script zu krummen Zeit läuft, bekomme ich keine Fehler mehr von der API am CCP... also merke: Statt zur vollen Stunde um sieben nach um und statt zur halben Stunde um sieben nach halb. Warum auch immer - es hilft. 
1. Wie läuft die Konfiguration der Programme unter Linux. Kannst ich dem Postgres Server bzw. dem Team Speak Server direkt so konfigurieren, dass die zusätzliche virtuelle Netzwerkkarte verwendet wird?
Eine zusätzliche IP erzeugt (zumindest hier bei Netcup) keine virtuelle Netzwerkkarte, sondern wird auf deine inklusive IPv4 Adresse geroutet. Du kannst sie dann zusätzlich in deiner normalen Netzwerkkarte einrichten.
Ich denke die Frage, wie du unter Linux Programme auf IP Adressen binden kannst, solltest du dir als Administrator eines Servers mit 1 GBit/s Anbindung ans Internet selbst beantworten können... im Zweifel: lies doch einfach mal die Dokumentationen der Anwendungen und teste es mal in einer geschützten Umgebung in einer VM. Ein Server am freien Internet ist und bleibt KEINE Testumgebung - du solltest genau wissen, was du dort tust, da du dafür haftest und dich mit vielen anderen in gemeinsam in einem IP Subnetz befindest.
2. Können Dritte anhand der zusätzlichen IP releativ easy den IP Bereich des Rechenzentrums feststellen in dem mein Server sitzt und diesen abscannen? Die eigentliche IP ist für Dritte nicht sichtbar, da sonst nur der Website Kontakt mit der Öffentlichkeit hat und davor dann Cloudflare sitzt. Wäre über die zusätzliche IP auch alle Ports die auf der HauptIP offen sind auf der zweiten IP offen bzw. die Programmere darüber erreichbar (pingbar?).
1. Cloudflare ist Snakeoil
2. Was ist das denn für ein Schwachsinn? Natürlich ist die für andere sichtbar, die ist global. Der gesamte IPv4 Adressspace ist mit Tools wie massscan innerhalb kurzer Zeit komplett durchscannbar... Security by Obscurity funktioniert nicht, das ist sinnlos.
3. Da du als Administrator eines Linux Servers am freien Internet ja sicher weißt, wie du die von dir betrieben Software an IP Adressen binden kannst und wie du die Firewall deines Betriebssystems korrekt einrichtest, sollte das für dich unproblematisch sein.
3. Sehe ich es richtig, dass es die Sicherheit des ganzen Servers deutlich erhöhen würde wenn ich die zusätzlichen IPs und Programme auf Docker Images packe? Falls da mal jemand eine Sicherheitslücke ausnutzt, wäre er nur im Docker des einen Anwendung und nicht im eigentlichen System. Korrekt?
Docker ist eine Container "Virtualisierung". Ich setze das in Anführungszeichen, weil alle Programme nach wie vor den selben Kernel nutzen. Eigentlich ist es nur eine Sandbox. Aber man sollte Docker nicht einsetzen, wenn man sich nicht ordentlich damit auskennt. Das ist nämlich in Puncto Firewall heftiger Pain in the Ass.
I.d.R. kann man aber festhalten, dass ein Großteil der Docker Images, welche im Umlauf sind, unsicher sind (da falsch konfiguriert oder veraltet oder whatever). Ich rate dir, die Software direkt aus den Original Repos (entweder vom OS oder vom Entwickler) zu installieren und Sie dann händisch sicher zu konfigurieren. Hierbei ist dann natürlich immer die Dokumentation der Entwickler der Software hilfreich (Stichwort Primärquelle).
4. Alternative hatte ich überlege irgendwo einen kleinen VPS zu holen und dort einen Reverse Proxy zu konfiguieren.
Wegen weil? Was erhoffst du dir davon?
Viel kann man dazu eigentlich nicht sagen, da das wahrscheinlich eher am Hostsystem liegt...
Probier das gleiche nochmal im Rettungsmodus. Wenn das ganze da auch auftritt, halte dies als Screenshots o.Ä. fest und wende dich damit an den Netcup Support.
Evtl. tut es ja auch eine Speicherung "auf der Website" (= in einer Datenbank), wo du dann drauf zugreifen kannst. Und ggf. z.B. einen Cronjob der dich bei neuen Nachrichten immer zur vollen Stunde über die benachrichtigt.
Ich denke da irgendwie ein bisschen an sowas, wie der Betreiber vom Privacy Handbuch das gelöst hat. (https://privacy-handbuch.de/autoren.htm)
Alles anzeigenSorry wenn ich hier deinen Thread kurz kapere @Georg
Ich habe selbst ein PHP Kontaktformular, welches dann entsprechend eine über SMTP eine E-Mail weiterschickt.
Das Skript selbst kriegt seine Daten über ein Post Request beim Ausfüllen der Form.
Jetzt ist mir gerade ein Gedanke bzgl. Sicherheit gekommen, den ich mir nicht erklären konnte.
Was hindert potenzielle Angreifer daran, mein Skript zum Versenden von Spam zu missbrauchen?
Es müsste doch lediglich ein Post-Request gefälscht werden und an dasd Skript weitergereicht werden.
Ich müsste doch daher irgendwie in PHP prüfen, ob denn das Post-Request legitim ist, z.B. ob der Referrer meine Domain ist.
Oder denke ich hier falsch?
Würde mich über Tipps/Ideen freuen.
Den Referrer kannst du an sich auch spoofen...
Da hilft nur sowas wie ein Captcha, was du dir davor baust. Vorzugsweise natürlich nicht den Google Bullshit - da gibt es sicher genug bessere Lösungen. Das muss ja grundsätzlich erstmal nichts hochkomplexes sein.
Wie würdet ihr einen hochverfügbaren Layer 7 Load Balancer selbst bauen?
Das ist so ein Thema, was mich schon länger beschäftigt - ich wüsste spontan nicht, wie man das ohne irgendeinen Single Point of Failure zuverlässig bauen sollte.
Eine spontane Möglichkeit wären zwei Load Balancer Server und entsprechend zwei DNS Einträge. Aber da kommt ja dann der Krux: Sessions. Irgendwie müssen die quasi zwischen den Load Balancern synchron gehalten werden, weil beide Loadbalancer müssen wissen, mit welchem Endpoint im Backend ein Client da gerade eine Session laufen hat. Sticky Sessions halt quasi... wie würdet ihr sowas bauen?
Tja - da kann man noch so sichere Software entwickeln - solange andere Software, von der Sie abhängt, unsicher ist, hat man am Ende garnichts gekonnt.
https://www.kuketz-blog.de/bluefrag-risik…na-warning-app/
EDIT:
Also hierauf hat ja bestimmt schon jeder Linux Admin sehnsüchtig drauf gewartet *hust*
Leider auch kein Erfolg mit IPv6 bei mir (mit meinen beiden Servern getestet):
Code>curl -4 -I https://www.ebay-kleinanzeigen.de/ HTTP/2 403 >curl -6 -I https://www.ebay-kleinanzeigen.de/ HTTP/2 403
Schmeiß mal den gültigen User Agent eines Browsers rein. Sprich:
curl -4 -I -A 'Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:78.0) Gecko/20100101 Firefox/78.0' https://www.ebay-kleinanzeigen.de/
curl -6 -I -A 'Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:78.0) Gecko/20100101 Firefox/78.0' https://www.ebay-kleinanzeigen.de/kommt drauf an, wie teilst du denn dem Komiker mit, dass mein vServer z.B. 2001:affe:beef:0001::/64 als prefix hat und dein
vServer aber z.B. 2001:dead:beef:0001::/64
hier scheitert es, weil kein static DHCP,
Stimmt, daran habe ich garnicht gedacht.
Man müsste also Stateful DHCPv6 nutzen und den DHCPv6 Server so aufbohren, dass er die MAC Adressen und dazugehörigen Prefixe kennt und dann selbst EUI64 macht und dann die ganze IPv6 Adresse zuweist an den dazugehörigen Server zuweist.
Und der bzw. dessen Admin kann sich ja dann bei Bedarf daraus seinen Prefix wieder rausklabustern, weil er ja weiß, dass seine Netmask 64 ist. Aber auch das wäre irgendwie noch ziemliches Snakeoil...
Entweder wir kennen einen RfC/eine Technik nicht, oder es ist tatsächlich nicht zu Ende gedacht... 
Genau vor diesem Problem stehe ich auch gerade. Leider ist hier ebay nicht wirklich kooperativ.
Vom Netcup Support habe ich mal die Information bekommen, dass ebay Kleinanzeigen eigentlich alle Netze, die nicht zu DSL etc. Providern gehören, sperrt.
Von daher hat man, wenn es denn mal von Netcup aus klappt, eigentlich schon mehr Glück als Verstand.
ok, besteht hier nicht das Problem - jetzt mal aus Sicht des vServers - dass dieser einen DHCP Server nach
einer einzigen IPv6 Adresse frägt aber als Antwort gleich einen ganzen /64-Prefix zurückgeklatscht bekommt,
und damit nichts anzufangen weiß?
IPv6 ist irgendwie noch nicht 100% durchdesigned ...
Naja Moment mal. Ist das bei Stateless DHCPv6 (SLAAC) nicht der Sinn der Sache?
Du willst in dem Falle ja expizit keine IPv6 zugeteilt bekommen, sondern schraubst dir das Ding selbst aus Prefix und MAC + EUI64 zusammen. MAC haste, EUI64 kannste selbst - nur das Prefix muss dir jemand sagen.
Wenn du ne einzelne IPv6 bekommst, dann wäre das ja Stateful DHCPv6.
Aber ich glaube das Problem liegt ein bissl wo anders - das durfte ich die Tage hier erst zuhause am Serverchen merken. Ich hab ein Proxmox und darauf VMs. Was das für ein Akt war, bis das mit VMs, der Fritte und SLAAC geklappt hat... puh. So wirklich verlassen will ich mich immer noch nicht drauf.
Also IPv6 Adressen haben die alle gebildet, das war kein Problem. Aber da ging nix mehr zur Fritte raus. Die hat da abgeblockt.
Und dann kommt auch noch folgendes unter Linux dazu:
[...]
# Uncomment the next line to enable packet forwarding for IPv6
# Enabling this option disables Stateless Address Autoconfiguration
# based on Router Advertisements for this host
#net.ipv6.conf.all.forwarding=0
[...]
Den Grund dafür wüsste ich aber auch mal gerne...
Hi,
das ist ein gängiges Problem und der Support whitelistet niemanden.
Ich hatte das vor längerer Zeit auch mal - da hilft nur Serverwechsel oder ne andere IP (und dabei beten, dass die neue nicht wieder gesperrt ist). Oder halt nach Möglichkeit den Traffic nicht durch das VPN zu schieben.
4. Wahlweise Verschlüsselung von E-Mails
Theoretisch könnte man hier ja einfach im CCP ein Feld bei den Stammdaten einfügen, in welches man einen Public Key eintragen kann. Das dann irgendwie an den Mailserver dranfummeln, sodass dieser ausgehende Mails automatisch mit diesem Public Key verschlüsselt, wenn der Empfänger die Mailadresse aus den Stammdaten ist.
Das wäre natürlich absolut genial - nur so als Idee für die Umsetzung... ob es technisch möglich ist, weiß ich aber ehrlich gesagt gar nicht.
Wie schauen denn die DNS Settings für @ bei dir aus?
Eine Wildcard * deckt alle Subdomains ab, aber nicht die Domain ohne Subdomain @.
Benutzt hier jemand zufällig Nginx Plus und kann mal ein bisschen aus dem Nähkästchen plaudern/mir ein paar Fragen beantworten? 
Ich opfere mich mal und frage... wie?
CORS ist das Zauberwort (https://developer.mozilla.org/en-US/docs/Web/HTTP/CORS).
Bildschirmfoto von 2020-06-22 08-51-15.png
Gewisse Ressourcen (=Werbung) sind per CORS für youtube.com freigegeben. Aber nicht für youtube.com. - wenn man aber mal DNS betrachtet, dann ist youtube.com. sogar die richtigere Variante, weil andernfalls ja eigentlich visuell die Root Zone unterschlagen wird.
Sowas versuche ich immer zu vermeiden. Zumindest den Inhalt sollte man immer erreichen können, egal wie scheiße dieser aussieht. Wenn es gar nicht anders geht versuche ich einzelne Funktionen zu deaktivieren. Im IE und im legacy Edge meckert meine PWA zum Beispiel mit JS Fehlern rum. Das beeinträchtigt aber (soweit ich das sehe) nicht die Website selbst.
Naja da gabs halt keine wirkliche Wahl. Und wenn ich weiß, dass die Engines sich grundsätzlich problematisch verhalten und das eigentlich auch allen bekannt ist und mit Firefox und Chrome/Chromium (einschließlich dem neuen Edge) keine Probleme bestehen, dann habe ich kein Problem da mit MSIE und Edge alt so umzugehen.
