Hast du schonmal ipconfig /release6 ausgeführt? Gibt einen extra command für ipv6
Oh. Nee, hab ich nicht. Aber nach Netzwerkadapter deaktivieren und aktivieren sind die weg. IPv6 Verbindung geht natürlich immer noch nicht. Wer hätts gedacht... Was ein Schrott OS. Bei den ganzen Linux Kisten im Netzwerk gibts nie Probleme...
Ehm ja. Mein Rechner kriegt keine IPv6 Verbindung nach außen hin (Timeout) und hat irgendwie ganz schön viele temporäre IPv6 Adressen. (IPv6 Adressen kommen vom DHCPv6 der Fritzbox, andere Geräte haben IPv6 Verbindung nach außen).
ipconfig /release
und
ipconfig /renew
haben garnichts gebracht. Ideen, die sich schneller realisieren lassen, als auf Linux umzusteigen? 
für MURKS halte ich es ein Zertifikat, SSH key oder sonst etwas mir mir herumzutragen
servername, Login und passwort, also das was ich mir kopf merken kann,
zugriff von jederzeit von jedem ort, je öffentlicher desto unwarscheinlicher, und gerade so ein webhost wo mehrere hundert? zumindest einige mehr als nur ich einen eigenen Zugang haben musst du auch erst einmal suchen.
und ja ich trage nicht den ganzen Tag einen Laptop mit mir herum, das Smartphone reicht und nein auf sowas speicher ich mit sicherheit nicht selbige daten um sie dann auf eine beliebigen PC zu ziehen, von dort einzuloggen und dann zu vergessen wieder zu löschen. Wenn es einer böse nimmt, und ich nicht ordentlich lösche hat er das womit er noch schneller im system ist!
Warte. Aber wenn du die Daten für einen Jumphost (=Webhosting) mit dir rumträgst, auf dem die Zugangsdaten für deinen Server rumliegen, dann geht das klar? What?
Wenn du dich jetzt z.B. mit einem Keypair per SSH einloggst, könntest du den PrivateKey mit einem Passwort versehen. Damit stellst du sicher, dass keiner deinen PrivateKey nutzen kann, wenn er ihn dir klaut (bzw. dir dein Handy klaut). Zumindest so lange dein Passwort nicht "Pass123" oder so ist, aber das versteht sich ja von selbst.
Die Alternative wäre das VPN. Dessen Zertifikat kannst du, zumindest bei OpenVPN, ebenfalls mit einem Passwort versehen. Selbes Prinzip wie oben mit dem PrivateKey vom SSH Login. Und ich verstehe nicht, was dich daran hindert, dich mit deinem Handy dann ins VPN zu Verbinden und dann halt eine SSH Verbindung zu der privaten IP des Servers herzustellen? Das ist doch mit am sichersten.
//EDIT: Zu einem anderen Thread - weil er/sie es jetzt nicht auf die Ketten bekommt, das SCP und die VNC Konsole zu bedienen und keine Ahnung von Servern hat, ist Netcup jetzt (vermutlich) doof und er/sie kündigt den Server? Aaaaalles klar. Manche Menschen sind echt interessant.
Frohes neues Jahr erstmal 
Kurzum SSH will ich auf IPv4 auf meinen Servern dauerhaft closen, auch so zeimlich jeden anderen Port mit ausnahme HTTP, Mail und FTP.
Bau dir ein VPN für solche Geschichten. Solange du deine Zertifikate für den Zugang nicht verschlampst, bist du dann sicher.
Deine geplante Lösung halte ich für totalen murks.
Zu der Feuerwerksthematik - Familie, Freunde und Ich waren begeistert, wie viel Geld unsere Nachbarn quasi für uns ausgegeben haben. 
Meine Frage ist nun, wie lerne ich richtig die Grundlagen um meinen Server abzusichern und zu administrieren?
Das Zauberwort ist eigentlich Learning by Doing.
Beachte dabei eins - wenn du lernen und testen willst, dann machst du das in einer VM zuhause auf deinem PC. Virtualbox
Sowas macht man NIE auf einem Server am Internet.
Es gibt kein offizielles "richtig" und "sicher". Wie bereits erwähnt, empfehle ich bei deiner Menge der Dienste einen Hypervisor wie Proxmox zu nutzen, um die Dienste etwas voneinander abzuschotten und Ordnung zu halten. Ich kann dir das gerne auch mal zeigen, wie gesagt, schreib mir eine Konversation.
Dann gibt es ein paar Best Practices. Ich liste mal auf, was mir spontan so einfällt...
--> Mach nur öffentlich verfügbar, was öffentlich verfügbar sein muss - phpMyAdmin oder SSH Ports müssen z.B. seltenst öffentlich zugänglich sein. Ich nutze auf meinem RS Rentier z.B. Proxmox mit LXC Containern und ein Wireguard VPN, welches in das Bridge Netz der Container geroutet wird. Wenn ich was administrieren will, verbinde ich mich in das VPN, wodurch ich Zugriff auf das private/interne Bridge Netz und den Diensten darin habe. Versteht man besser, wenn man es mal praktisch gesehen hat.
--> Kein Backup, kein Mitleid. Führ regelmäßig Backups durch, nach Möglichkeit auch noch wo anders hin und nicht nur auf dem selben Server.
--> Monitoring - irgendwie musst du erkennen, wenn mal etwas aus der Reihe tanzt. Wenn du den DDoS Angriff erst merkst, weil dein Server sich irgendwie langsam anfühlt, dann war dein Monitoring nicht ausreichend. 
--> Benachrichtigungen - deine Systeme sollten dich bei Ereignissen wie SSH Logins oder diversen Problemen o.Ä. benachrichtigen. Du willst den Hack deines Servers nicht erst bemerken, wenn die Russenmafia bei dir vor der Tür steht weil "du" (=dein Server) ihre Infrastruktur angegriffen hast.
--> Updates - es versteht sich von selbst, dass du nach Möglichkeit immer die aktuellste Software nutzen solltest, um die Gefahr gering zu halten, von Sicherheitslücken betroffen zu sein. Inwiefern man sich da dann Helferleins wie unattended-upgrades bedient, muss man selbst entscheiden. Automatische Updates sind bequem, aber wenn da mal ein kaputtes Update oder so dabei ist, wirds ekelhaft.
--> Rechte und Berechtigungen - hier gibts die gute Regel: so viel wie nötig, so wenig wie möglich. Du solltest zudem mit den Datei und Ordnerberechtigungen vertraut sein. Dienste sollten nie als root laufen, sofern dies nicht ausdrücklich notwendig ist.
--> Die Sache mit den Logs... die sollte man im Auge haben. Es gibt einige Tools, die da für dich durchschauen und dir sagen, wenn etwas auffällig ist. Ich persönlich bevorzuge aber meine eigenen Augen bei sowas.
--> Du willst wissen, was du da tust: führe nicht einfach irgendwelche Scripts aus dem Internet oder so aus. Schau da durch, was die machen. Du solltest allgemein wissen, was Programme/Scripts machen und wie sie funktionieren, wie du sie konfigurieren musst und was es zu beachten gibt. Lesen, lesen, lesen... und wenn sich das Projekt elendig in die Länge zieht. Mach nichts, wovon du nicht weiß, was du tust. (Aus gegebenem Anlass - den Böller wirfst du auch bloß weg, weil du weißt, dass das sonst schmerzhaft endet - was wäre, wenn du das nicht wüsstest?)
Wenn du es durch Recherche und Lesen nicht rausfindest, kannst du immer noch uns Fragen...
So. Mir fällt auf die Schnelle nichts hilfreiches weiter ein und ich muss auch los wegen weil Silvester feiern und so.
Mein Script sagt dir ja eigentlich, wo es noch Probleme gibt und was du machen musst. Dann mach es auch.
Müsste ich bei einem Update auf Debian 10 dann alles neu installieren?
Upgrade <> Neuinstallation. Nicht verwechseln.
In ersterem Falle - nein, allerdings könnten deine Configs dann überall nicht mehr hinhauen und du hast Arbeit beim anpassen. Und du stehst vor der Problematik mit der Datenbankumstellung, wodurch eine Neuinstallation vielleicht ratsamer wäre. (Aber lies meinen Beitrag jetzt erstmal zu Ende, bevor du übereifrig loslegst)
In zweiterem Falle - ja, aber du kannst gleich alles sauber neu konfigurieren.
Bei der Menge an Diensten solltest du aber evtl. schon über Virtualisierung bzw. Container nachdenken. Evtl. doch gleich alles auf Proxmox mit LXC Containern umstellen? Ich nutze das selbst intensiv und erkläre dir das auch gerne alles (aber nicht mehr heute, morgen dann gerne, schreib mir ne Konversation).
Container bieten dir u.A. die Möglichkeit, alles sauber zu trennen, von den verschiedenen Diensten Snapshots zu machen usw. - im Prinzip kannst du dir das wie ein kleines virtuelles RZ vorstellen, in dem du deine eigenen Server (=LXC Container) in einem lokalen Netz hast. Auf deinem RS.
Wie gebe ich dem User den Rechte über alle Dateien die vom Root erstellt worden sind?
Garnicht. Weil dann könntest du ja auch gleich root nehmen. Hier zählt der Sicherheitsaspekt rein.
Die Dateien und Ordner, die du brauchst sollten zunächst i.d.R. lesbar für dich sein. Dein Problem wird sein, dass du die Dateien nicht ändern kannst.
Ich halte das dann so - Configs und Co. editiere ich gleich per SSH (nano, vim, ...), Dinge aus dem Netz lade ich gleich mit wget oder curl runter und wenn ich wirklich was von meinem Rechner übertragen muss, dann lade ich es per SFTP als non-root User hoch und bringe es per SSH (da kann ich ja dann sofern notwendig zum root wechseln) dort hin, wo es hin soll.
Am Anfang empfand ich das auch als aufwendig und nervig. Aber im Endeffekt - wenn man mal mitdenkt, muss man eigentlich fast nie irgendwas hochladen...
Schau dir ggf. nochmal das Rechtesystem und die Dateiberechtigungen unter Linux an. Das ist alles recht simpel und logisch, wenn man weiß, wie es geht.
Wie würde den ein Update auf Debian 10 ablaufen und welche Vorteile hätte dies?
Backups machen. die sources.list ändern (codenames anpassen (jessie --> buster)) und dann mal apt update && apt dist-upgrade machen. Danach halt testen, ob alles wieder läuft.
Behalt aber ein Auge drauf wegens des Datenbankservers. Ich glaube bei jessie --> stretch wurde bei Debian von mysqldb auf mariadb umgestellt. Da müsstest du glaube ich migrieren, aber das wirst du bei den zu updatenden/entfernenden/installierenden Paketen schon sehen.
Was es dir bringt? Aktuellere Software die u.A. sicherer ist und zum Teil auch neue Features mitbringt.
Hi,
eigentlich hat mfnalex schon fast alles gesagt.
Solange die Zeile Subsystem sftp /usr/lib/openssh/sftp-server in der /etc/ssh/sshd_config existiert, kannst du dich mit jedem User, der sich per SSH anmelden darf, auch per SFTP anmelden.
Ergänzend zum Absichern: Ich mache mir aktuell die Arbeit, für Anfänger bzw. Leute mit wenig Erfahrung ein Script zur Absicherung bzw. zum Prüfen der Absicherung eines Debian Systems geschrieben. Vielleicht willst du es ja nutzen und mir evtl. auch Feedback dazu geben. Link zum Script
(Bitte ignoriere den Port-Scan/Check - der funktioniert aktuell nicht und ich suche da auch noch nach einer Lösung)
Gibt es sowas als Anleitung bzw. wie kompliziert ist so etwas?
Wenn man ein bisschen Bash kann, sollte das recht simpel sein.
Die Portscans machst du wie folgt (T ist TCP und U ist UDP):
nmap -sT -p- $ip
nmap -sU -p- $ip
nmap bietet gewisse Ausgabeformate, die man dann weiter verarbeiten kann.
----
Aber nochmal zum Mitschneiden - warum brauchst du jetzt unbedingt Windows?
Alle von dir genannten Dienste laufen problemlos, wenn nicht sogar besser, unter Linux. (einzig beim Gameserver bin ich mir nicht sicher, aber schau mal hier)
Wenn du Schiss hast, dass du dir immer wieder den ganzen Server vermurkst, wären LXC Container mit Proxmox als Hostsystem eine Überlegung wert.
Sollte dir dann die Power des Servers doch nicht reichen, dann hast du das Ding unter Umständen für ein Jahr an der Backe.
Dafür gibt es bei Root Servern immer noch die 30-Tage Zufriedenheitsgarantie.
Daher habe ich mich persönlich mittlerweile auch an die RS gewagt, da die Leistung im Endeffekt doch wesentlich besser ist. Was man bekommt ist bei den RS in meinen Augen schon sein Geld wert.
Wie sieht das ganze mit der Administrierung aus? Bei Debian hatte ich SSH/ Putty und FTP Zugriff. Wie läuft das ganze bei Windows Servern?
Windows bietet dir das Remote Desktop Protocol (RDP). Kann man sich eigentlich von der Benutzung her wie TeamViewer vorstellen...
Wie ist das mit der Lizenz, habe bei Ebay Windows 2019 Server Standard Lizenzen für unter 10€ gesehen. Ist das legal/ richtig bzw. funktioniert sowas?
Ich meine mal gelesen zu haben, dass Microsoft sich dazu wie folgt geäußert hat: "Nur weil du den Schlüssel zu einer Wohnung hast, ist die Wohnung noch lange nicht deine."
Ich glaube das Thema Windows Lizensierung wurde hier auch in einem anderen Thread etwas tiefgründiger durchgekaut. Wenn du es genau wissen willst - Microsoft bietet soweit ich weiß dazu ein Seminar an.
Funktionieren tun die Lizenzen meistens. Das sind i.d.R. irgendwelche Sammel-/Massenlizenzen.
Probleme könntest du halt vermutlich dann bekommen, wenn Microsoft das halt mal prüft.
Wie sieht das mit der Sicherheit aus? Ist es schwierig sich in Firewall Einstellungen bzw. Port Management reinzuarbeiten?
Die Lösung von oliver.g wäre natürlich die beste. Wenn du die Windows Firewall am freien Netz nutzen möchtest, wäre es evtl. sinnvoll, dass du dir auf deinem Linux Server ein Script schreibst, dass regelmäßig Portscans gegen den besagten Windows Server ausführt und dir bei Abweichungen z.B. eine Mail schickt.
Ich denke ich werde mich dann für einen RS 2000 G8 entscheiden. Das einzige was mich so ein bisschen abschreckt ist der wenige SSD-Speicherplatz.
Den gibt es für diesen Fall zur Not auch immer noch neu
SSDx4 sollte aber reichen - oder?
sweet dreams
Puh... morgen bzw. nachher, nicht nochn Vortrag.
Ich habe in mein Script jetzt noch einen SHA256 Abgleich eingebaut. Denke mal, dass verbessert die Sache nochmal um ein Stück.
m_ueberall Aber was stellst du dir unter dezentral vor? Dass ich mir den SHA256 Hash aus einer anderen Quelle, statt von phpmyadmin selbst, hole? Woher denn? Außer phpmyadmin bietet den ja eigentlich keiner nochmal an. 
Ich persönlich habe bisher Prometheus+NodeExporter genutzt und steige gerade auf Icinga2 um. Icinga2 ist ein bisschen pain in the Ass bei der Einrichtung und Gewöhnung, aber ich finde das Arbeiten mit Director und Co. sehr entspannt.
Das Datenbackend und die Visualisierung wollte ich eigentlich über InfluxDB und Grafana machen, aber da es noch andere Möglichkeiten gibt, will ich mich da vorher nochmal über die anderen Möglichkeiten informieren.
In Icinga2 kannst du dir dann je nach Anwendungszweck Vorlagen und Templates bauen, die kannst du sowohl für Webhosting, Server, Dienste und alles mögliche nutzen.
Die Seite bietet kein DNSSEC/TLSA und die Downloads werden nicht gegen (dezentral verteilte) Prüfsummen getestet, sondern gleich installiert?
Merke ich mir mal als Ergänzung für das Script... so paranoid war ich bisher bei meinem internen Kleinkram noch nicht.
whoami0501 war nicht per git?
Hab ich nicht geschaut oder probiert. Aber denke mal eher nicht so, weil man ja nicht irgendwas in der Entwicklung haben will, sondern ein stable Release.
Vorgestern habe ich ein phpmyadmin installiert - ich hätte damit warten sollen:
Nur falls Bedarf besteht... mir gingen die Updates auf den Sack und ich habs mittels Cronjob und Script automatisiert.
#! /bin/bash
# Path to phpMyAdmin without / at the end
PMA_PATH='/var/www/html'
WEB_VERSION=$(curl https://www.phpmyadmin.net/home_page/version.txt 2>/dev/null | head -n1)
LOCAL_VERSION=$(awk '/^Version.*$/ {print $2}' ${PMA_PATH}/README)
if [[ $WEB_VERSION != $LOCAL_VERSION ]]
then
wget -qO /tmp/pma_latest.tar.gz https://www.phpmyadmin.net/downloads/phpMyAdmin-latest-all-languages.tar.gz
if [[ $? == 0 ]]
then
cd /tmp
tar xf /tmp/pma_latest.tar.gz
cp -a phpMyAdmin-${WEB_VERSION}-all-languages/* ${PMA_PATH}
rm -rf pma_latest.tar.gz phpMyAdmin-${WEB_VERSION}-all-languages
chown -R www-data:www-data ${PMA_PATH}
fi
fiWeiß jemand, wie man die Dashlets auf den Dashboards von Icinga2 verschieben bzw. neu anordnen kann?
Irgendwie werde ich da gerade nicht schlau... 
Kurz um das ganze mal aufzuschlüsseln. Wo liegt der Datenbankserver und wo der Webserver?
Ich rate dir zudem, den Datenbankzugriff von deinem Client aus nicht einfach so direkt durchzuführen, sondern die Datenbank (sofern du alles auf einem VPS hast) einfach auf localhost bzw. ::1 lauschen zu lassen und dann Portforwarding mittels z.B. PuTTY zu nutzen.
So kommst nur du an die Datenbank und die Verbindung ist sogar verschlüsselt, da Sie ja durch den SSH Tunnel zum Server geht.
Beispiel/Anleitung für PuTTY: https://blog.devolutions.net/2017/4/how-to-…tunnel-on-putty
Zum Fehler selbst - naja du hast da halt einen Berechtigungsfehler, ganz klar, steht ja da. Das heißt, entweder hast du das falsche Passwort reingegeben oder der Benutzer verfügt nicht über die nötigen Rechte um sich zu verbinden.
Beachte auch, dass du, wenn die DB auf dem selben Server liegt, als Host nicht den Hostname oder FQDN angeben musst, sondern localhost. Du kommst nämlich vom localhost und nicht von außen, da der Zugriff mit ::1 als Source IP erfolgt.
das nimmt echt kein Ende;
https://futurezone.at/digital-life/m…ileys/400714464
wie ist das mit der Naturkonstante und Bevölkerung wächst und so?
Ich erinner mal an David Kriesels Worte aus seinem jüngsten Vortrag: "Verlassen wir uns nicht auf Politiker, die achten wegen der Shitstorm Kultur nur noch darauf, bis zur nächsten Wahl nicht anzuecken und zu viele von denen haben ohnehin niemals außerhalb der Politik gearbeitet, was soll da schon kommen." [*klick*]
Und ganz ehrlich - egal wo wir hin schauen, es ist einfach so...
Heißt das das es nicht Out of the Box funktioniert?
Sorry wenn ich dumm frage aber ich bin neu in diesem Bereich.
Naja - was weißt halt Out of the Box? Klar, du schmeißt dir die paar css und js files in den Webspace und dann kannst du eigentlich loslegen...
Aber irgendwie muss die Tabelle dann ja ihre Daten kriegen, die sie darstellen soll, und die Tabelle kann ja diese und jene Sachen machen, die du ggf. konfigurieren musst, wenn du sie nutzen möchtest.
Ums Dokumentation lesen und ein bisschen Try and Error wirst du nicht drumherum kommen. Da ist es aber egal, was du im Endeffekt nutzt, das musst du überall tun.
