LXC Container können im Container mit iptables beschränkt werden.
Okay. Okay, Okay...
Wie retarded bin ich eigentlich, um zu denken, dass das nicht geht (ohne es je probiert zu haben)? 
Und vorallem - wie firewallst du dann den Container?
Vergiss das einfach. 
Wie bekomme ich das getrennt? Habt ihr Ideen?
Setz mal beim Prerouting noch ein -d 185.163.X.X mit ein. Die Xer Blöcke natürlich anpassen. Dann sollte das gehen, meine ich. 
EDIT: Andere Frage - warum tust du die zweite IP exklusiv zuweisen? Was soll das können, was ein einfaches Portforwarding (Prerouting) nicht kann? Und vorallem - wie firewallst du dann den Container?
Youtube: Inside Anexia: Mass-Hosting aus Karlsruhe
Externer Inhalt www.youtube.comInhalte von externen Seiten werden ohne Ihre Zustimmung nicht automatisch geladen und angezeigt.Durch die Aktivierung der externen Inhalte erklären Sie sich damit einverstanden, dass personenbezogene Daten an Drittplattformen übermittelt werden. Mehr Informationen dazu haben wir in unserer Datenschutzerklärung zur Verfügung gestellt.sicherlich für den ein oder anderen ganz Interessant.
Mein Blick fürs Detail sagt mir, dass da auf den Clients mit Linux gearbeitet wird. Oder irr ich mich völlig? Von sowas träume ich nur, hier bei mir auf Arbeit. 
Auf jeden Fall mal sehr interessant...
----
Themenwechsel - betreibt jemand von euch einen Mozilla SyncServer für Firefox?
Der alte SyncServer ist ja noch in Python2 geschrieben und steht dementsprechend so ca. 3 cm vor EOL. So wie ich das aus den Issues auf GitHub herauslese, haben die jetzt eine Alternative in Rust am Laufen bzw. schreiben sie gerade - hat die zufällig mal jemand probiert und kann mir sagen, wie stabil die ist?
Du meinst, die Domain muss zwingend dem Webhosting-Angebot zugewiesen werden, und es reicht nicht aus, den mx-Record einer (externen) Domain auf das Webhosting-Angebot zeigen zu lassen? Ok, dann muss ich wohl diesen Weg gehen.
Ich wollte vermeiden, meine alte Domain mit einem Webhosting-Angebot zu verbinden, weil ich nicht sicher war, wie flexibel ich dann noch deren DNS-Einstellungen ändern kann. Auch möchte ich ungern die DNS-Auflösung zum RS unterbrechen.
Ja, muss sie. Denn sonst erscheint sie bei der Verwaltung der Mailadressen nicht im Auswahlmenü der Domains.
Du bist mit den DNS Einstellungen danach noch an sich zu 100% flexibel. Du musst dir halt nur dem bewusst sein, dass du nicht die Records ändern darfst, die für z.B. den Mailserver brauchst. Also du kannst z.B. die MX Records jetzt nicht einfach nach Herzenslust verändern, aber das sollte ja eigentlich auch klar sein.
Die Auflösung sollte an sich nicht unterbrochen werden, da die Domains bzw. Records ja theoretisch noch von vorher im Cache liegen müssten (Stichwort TTL). Du würdest die bisherigen Records ja nach dem Zuweisen direkt wieder setzen, von daher...
Höchstens wenn sie noch nicht im Cache lagen, dann fehlen die Records vielleicht höchstens mal 15-30 Minuten. Wenn man das zu einer unüblichen Zeit macht (so zwischen 1 und 5 Uhr würd ich da sagen), ist das in meinen Augen auch nicht weiter schlimm.
EDIT: Oder du machst es halt so wie es H6G sagt - das geht natürlich auch.
"Abgeordneten des EU-Parlaments ist es untersagt, die Desktop-App des Messengers Signal zu nutzen. Stattdessen wird WhatsApp empfohlen."
https://www.heise.de/newsticker/mel…gt-4547528.html
Also ich möchte ja die Sicherheitslücke von Signal nicht schönreden, aber stattdessen WhatsApp zu nutzen grenzt ja doch irgendwie stark an Realsatire... 
Kurze Nachfrage hierzu: Geht es auch anders herum, also die Domain beim RS lassen und nicht dem Webhostingvertrag zuweisen und im CCP bei der Domain nur den mx-Record auf den E-Mail-Server aus dem Webhosting setzen?
Falls ja, wo finde ich die Adresse des E-Mail-Servers aus dem Webhosting? Hat die die Form mxf912.netcup.net?
Das ist prinzipiell erstmal möglich. Du weist die Domain zunächst erstmal trotzdem deinem Webhosting zu (Achtung - hier gehen soweit ich weiß alle bestehenden Records verloren). Solange die Domain nicht dem Webhosting zugewiesen wurde, kannst du sie in der E-Mail Konfiguration nicht auswählen. Daher ist das zwingend notwendig.
Danach kannst du aber immer noch die DNS Settings der Domain ändern - die baust du dir dann entsprechend um, sodass die entsprechenden Records so wie du magst auf deinen RS zeigen. Du musst natürlich dabei aufpassen, dass alle für die Mails notwendigen Records nicht gelöscht/überschrieben werden.
Die E-Mails deines Webhostings können die Form wie von dir beschrieben haben, oder als Domain alle Domains nutzen, die dem Webhostingtarif im CCP zugewiesen wurden.
Kann man wireguard eigentlich an eine IP Adresse binden? Finde da irgendwie nichts dazu, der lauscht immer standardmäßig auf 0.0.0.0.
Versuch mal die Werte, die du eingibst, vorher nochmal durch urlencode zu jagen. Kann helfen, muss aber nicht...
Mit Wireguard habe ich mich bisher noch nicht beschäftigt.
Ich bin gerade im Moment dabei. Es ist auf jeden Fall wesentlich einfacher als OpenVPN in der Konfiguration, auch wenn es mMn am Anfang etwas "abstrakt" wirkt.
Probier es ruhig mal. Und wenn du Probleme hast, kannst du ja uns hier fragen! 
Hmm. Hast du mal die CPU Last beobachtet? Der gesamte Traffic muss ja ver- und entschlüsselt werden, das braucht gut CPU Ressourcen.
Und von denen hast du ja leider beim VPS 200 G8 nicht allzu viel... vielleicht gibt die vCPU halt einfach nicht mehr her.
EDIT: Ist zwar ein bisschen Security by Obscurity, aber ich empfehle trotzdem ganz gerne, solche Dienste abseits des Default Ports laufen zu lassen. Also sofern möglich - muss man auch nicht machen, kann man auch lassen.
Wie würdest du es denn machen?
Hat er doch gesagt...
So schwer?
Mal abgesehen davon rate ich dir aufgrund deiner katastrophal geringen Kenntnisse nach wie vor dringend dazu, von deiner Geld-zurück-Garantie gebrauch zu machen und dir ein betreutes System zuzulegen. Du machst dir glaube ich gerade mit der ganzen Sache mehr Probleme, als dir Lieb ist.
Uff... Ich habe gerade bestimmt eine halbe Stunde vor meinem neuen Wireguard gesessen, um dann mitzubekommen, dass ich in der Client Konfiguration im ersten Oktett der Endpoint eine 4 statt einer 5 eingetragen hatte. Das ist mal wieder echt bitter.
Merke: Genau schauen, was man da eintippt.
Naja gut, jetzt weiß ich wie es geht
Keine Ahnung, ist nicht meine eigene Festplatte. Jedenfalls ist es eine interne 3.5" HDD, die derzeit über einen USB Adapter an meinem PC hängt, damit ich nicht andauernd mein Gehäuse auf und wieder zu machen muss...
Achso. Na dann würde ich mich wohl auch oliver.g anschließen - Montagsmodell... oder anderweitig mechanisch vergewaltigt, was ich allerdings nicht glaube.
Ich hoffe, das hilft dir weiter.
Hat es, danke. Läuft jetzt alles perfekt wie es soll!
Was muss passieren, um eine Festplatte in einen solchen Zustand zu bekommen?
Hmm... Ist ja offensichtlich ne USB Festplatte - vielleicht zu oft einfach so vom PC abgezogen, evtl. auch unter Last?
Kennt jemand interessante Spiele mit Raytracing? Habe mir jetzt erst mal Tomb Raider geholt und bin sehr gespannt
Interessant ist relativ. Ich weiß, dass Battlefield 5 das wohl hat und ich habe das Spiel auch (gabs zu meiner RTX 2070 geschenkt)... habs allerdings noch nie gespielt.
Ansonsten kenn ich nicht mal ein Spiel mit Raytracing.
https://docs.nextcloud.com/ser…l/installation/nginx.html
Das sollte eigentlich alles beantworten
Beantwortet mir die Frage, ob du meine Frage richtig gelesen hast. 
Die nginx Konfiguration nützt mir vermutlich recht wenig, wenn die Nextcloud mit einem Apache2 hinter einem nginx reverse Proxy betrieben wird.
Abgesehen davon kann ich die Entwickler Doku auch selbst lesen, dafür reichts grad noch bei mir.
Nun ja, Virus-Signaturupdates gibts nur vom Internet
1. Captive Portal bzw. Gegenstelle zum Internet-Check von Microsoft im Proxy- oder DNS Server blocken
2. Windows sagt "Ich hab kein Internet"
3. Virenschutzprogramm ist das egal
4. Virenschutzprogramm versucht Signaturen zu downloaden
5. das funktioniert
6. --> Traffic "ohne Internet"
Ganz einfaches Ding... schon oft genug gesehen.
Netcup stellt da eine Installationsanleitung bereit, aber die Arbeit haben die Leute sich sicher nur zum Spaß gemacht.
Ich nutze Apache, aber was gedenkst du denn falsch zu machen?
Naja. Prinzipiell sieht das ganze erstmal so aus:
VPS (Proxmox) --> nginx (reverse Proxy) [LXC] --> Apache2 (Nextcloud) [LXC]
Die Verbindung zwischen nginx und Apache2 ist erstmal bloß HTTP. Kann man das machen oder sollte man das eher auch verschlüsseln? Ich meine die Container sind beide aufm selben Hostsystem...
Und dann noch die Header - wer muss die setzen? Der nginx oder der Apache2? Aktuell setzt der nginx die und die Nextcloud nölt mich voll, dass die Header nicht gesetzt wären...
Hier ist mal meine nginx config...
# generated 2019-10-03, https://ssl-config.mozilla.org/#server=nginx&server-version=1.17.4&config=intermediate&openssl-version=1.1.1d
server {
listen 80;
listen [::]:80;
server_name cloud.<meine_domain>.de;
# redirect all HTTP requests to HTTPS with a 301 Moved Permanently response.
return 301 https://$host$request_uri;
}
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
server_name cloud.<meine_domain>.de;
#return 503;
location / {
proxy_pass_header Server;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $remote_addr;
proxy_set_header X-Forwarded-Proto $scheme;
proxy_pass http://nextcloud.vlan:80/;
}
# certs sent to the client in SERVER HELLO are concatenated in ssl_certificate
ssl_certificate /etc/letsencrypt/live/cloud.<meine_domain>.de/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/cloud.<meine_domain>.de/privkey.pem;
ssl_session_timeout 1d;
ssl_session_cache shared:MozSSL:10m; # about 40000 sessions
ssl_session_tickets off;
# curl https://ssl-config.mozilla.org/ffdhe2048.txt > /opt/dhparam.pem
ssl_dhparam /opt/dhparam.pem;
# intermediate configuration
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;
ssl_prefer_server_ciphers off;
# HSTS (ngx_http_headers_module is required) (63072000 seconds)
add_header Strict-Transport-Security "max-age=63072000" always;
# OCSP stapling
ssl_stapling on;
ssl_stapling_verify on;
# verify chain of trust of OCSP response using Root CA and Intermediate certs
ssl_trusted_certificate /etc/letsencrypt/live/cloud.<meine_domain>.de/fullchain.pem;
# replace with the IP address of your resolver
resolver 172.20.1.2;
# Some additional headers
add_header X-Content-Type-Options "nosniff";
add_header X-XSS-Protection "1; mode=block";
add_header X-Robots-Tag "none";
add_header X-Download-Options "noopen";
add_header X-Permitted-Cross-Domain-Policies "none";
add_header Referrer-Policy "no-referrer";
add_header Feature-Policy "geolocation none;midi none;notifications none;push none;sync-xhr none;microphone none;camera none;magnetometer none;gyroscope none;speaker self;vibrate none;fullscreen self;payment none;";
add_header X-Frame-Options "sameorigin";
add_header Front-End-Https on;
}