Beiträge von kenny85r

Habe ja geschrieben, mit Browser ist schwierig. Mir reichts eigtl, wenn es mit dem µC geht.

2048 RSA ist halt standard...

Ich habe mich damit noch nicht soviel beschäftigt, 384bit ECC klingt intressant...

Aber funktioniert noch nicht komplett über Letsencryt, sondern selbst erstellen und signieren lassen, oder?

Nochmal zu meinen eigtl. Problem, mir ist gerade ne zündete Idee gekommen...

Es wäre doch möglich über einen anderen Server-Block + anderen Port, die erlaubten Ciphers umzustellen, richtig?

Gruß

Kenny

Letsencrypt 2048bit

CAA gerade gemacht

HSTS mache ich noch, bzw. Header wird schon gesendet.. eine Frage hätte ich dazu noch, wenn man sich da in die Liste einträgt:

Ich kann doch dennoch unverschlüsselte Seiten anbieten oder verstößt man dann gegen irgendwelche Regeln?

Mir ist schon klar, dass es schwierig wird, diese Seiten über den Browser zu besuchen, eher für Apps o. µC...

Aber ich glaube ohne passenden Cipher bekomme ich keine besseren Werte...

Außer ich deaktiviere die Schwachen, aber AES256-SHA256 muss noch funktionieren...

Was kann ich da tun?

Gruß

Kenny

Hi,

also bei mir schwankt es, wenn ich an den Ciphers AES256-SHA256 hinten dran hänge, zwischen A+ und B.

Wenn ich sowas wie ECDHE-AES256-SHA256 bekomme ich mit dem Microcontroller keinen Handshake hin.

Bei mir:

1. ssl_session_timeout 30m;
2. ssl_session_cache shared:SSL:10m;
3. ssl_session_tickets on;
4. ssl_ecdh_curve <- habe ich nicht drin, bringt das was? Gibts Leistungseinbußen?

A+ bekomme ich auch bei prefer_server_ciphers, bin aber der Meinung, dass es je nach Client-Leistung entschieden werden sollte,

welcher gewählt wird. (Mozilla und Letsencryt sind übrigens der selben Meinung).

Gruß

Kenny

Du hast recht, Danke für die Antwort. Solche DNS-Einträge biete ich natürich nich an.

Jetzt habe ich allerdings noch eine echte Checker-Frage (habe bereits stundenlang gegoogelt):

Mir ist es bislang nicht möglich bei ssllabs.com ein A+-Rating zu erhalten,

wenn ich bei nginx ssl_prefer_server_ciphers Off; einstelle.

Problem ist, dass wgn. ein paar Microcontroller,


folgende Ciphers auch möglich sein sollten: AES128-SHA256 oder AES256-SHA256

Hoffe, das kann mir jemand beantworten, schon mal vielen Dank!


Gruß


Kenny


Hi,

also ich habe es aufgegeben. Habe auch mit Apache mal getestet und der ist noch n Ticken langsamer.

Wenn ich allerdings irgendeine PHP-Datei mit SQL-Anbindung aufrufe, ist der G9 deutlich vorne.

Weil ich gerade den Server fertig einrichte, ich habe noch folgendes Problem,

wenn man eine Seite wie folgt aufruft:

SubSubDomain.SubDomain.Domain.de bzw. ausversehen http://www.SubDomain.Domain.de

dann bringt er mir eine unschöne Sicherheitswarnung, da mein Zertifikat nur für *.Domain.de ausgelegt ist.

Um dies zu umgehen, möchte ich, dass er direkt weiterleitet.

Also von: xyz.SubDomain.Domain.de

Nach: SubDomain.Domain.de

Kann mir da jemand weiter helfen?

Für nginx sollte es ungefähr so aussehen, funktioniert leider nicht ;-/

server_name ~^(?<subdomain>[^.]+)\.domain\.de$;

return 301 https://%24subdomain.domain.de/;

Danke & Gruß

Kenny

Hi,

muss gestehen, ich habe noch nie ein System geklont, wie mache ich das am besten?

Aber selbst, wenn das System danach schneller läuft, wissen wir nicht warum

Gruß

Frank

Hier ein Vergleich:

G9: https://serverscope.io/trials/304x (Wenn ich allerdings mit speedtest-cli teste, kommen deutlich höhere Werte beim Netzwerk raus)

G8: https://serverscope.io/trials/2zY3

Hier die anderen Tests:

Mir ist nur einer aufgefallen, wo G8 besser abschneidet...

G9 openssl speed aes-256-cbc sha:

type 16 bytes 64 bytes 256 bytes 1024 bytes 8192 bytes 16384 bytes

sha1 154889.19k 544365.80k 1120949.85k 1540377.60k 1722548.22k 1739401.90k

aes-256 cbc 162888.31k 170077.25k 168175.27k 168091.99k 171455.83k 132694.02k

sha256 195293.61k 501483.39k 1038487.81k 1430594.56k 1609129.98k 1621174.95k

sha512 62780.40k 250256.09k 407908.69k 592890.20k 689329.49k 698395.31k

G8 openssl speed aes-256-cbc sha:

type 16 bytes 64 bytes 256 bytes 1024 bytes 8192 bytes 16384 bytes

sha1 108943.74k 268779.67k 537387.35k 730669.06k 807665.66k 696942.59k

aes-256 cbc 140750.10k 150113.34k 143035.05k 147763.88k 145235.97k 142393.34k

sha256 57380.86k 123218.13k 229157.55k 332922.54k 328657.58k 350360.92k

sha512 44995.93k 178736.62k 310505.90k 455558.14k 545611.78k 510454.44k

G9 openssl speed -evp aes-256-cbc sha rsa:

type 16 bytes 64 bytes 256 bytes 1024 bytes 8192 bytes 16384 bytes

sha1 155655.54k 544735.66k 1129339.22k 1541724.84k 1729509.29k 1737108.14k

aes-256-cbc 745510.68k 858977.60k 884165.97k 887249.58k 889151.49k 896346.79k

sha256 195182.31k 490426.60k 1035307.35k 1440528.38k 1602486.27k 1615440.55k

sha512 61337.37k 247994.09k 399949.82k 587498.84k 682729.47k 687658.33k

sign verify sign/s verify/s

rsa 512 bits 0.000040s 0.000003s 25081.2 392268.7

rsa 1024 bits 0.000091s 0.000007s 10938.5 137861.8

rsa 2048 bits 0.000663s 0.000019s 1509.1 52216.2

rsa 3072 bits 0.001962s 0.000039s 509.7 25623.5

rsa 4096 bits 0.004340s 0.000067s 230.4 14997.1

rsa 7680 bits 0.040691s 0.000228s 24.6 4377.9

rsa 15360 bits 0.214043s 0.000886s 4.7 1128.7

G8 openssl speed -evp aes-256-cbc sha rsa:

type 16 bytes 64 bytes 256 bytes 1024 bytes 8192 bytes 16384 bytes

sha1 108140.41k 267197.48k 537411.93k 703635.46k 725983.23k 732320.96k

aes-256-cbc 606334.10k 767306.73k 804038.23k 819598.30k 813069.65k 813105.15k

sha256 64749.78k 144716.74k 260009.90k 344239.10k 362102.78k 372790.61k

sha512 45535.37k 183719.77k 277454.76k 404392.62k 464311.64k 466840.23k

sign verify sign/s verify/s

rsa 512 bits 0.000055s 0.000003s 18233.9 344386.3

rsa 1024 bits 0.000106s 0.000007s 9430.0 134028.4

rsa 2048 bits 0.000769s 0.000021s 1299.8 47817.2

rsa 3072 bits 0.002181s 0.000046s 458.5 21714.1

rsa 4096 bits 0.005033s 0.000077s 198.7 12945.3

rsa 7680 bits 0.047089s 0.000267s 21.2 3749.4

rsa 15360 bits 0.240952s 0.000985s 4.2 1015.6

Schön, dass man hier gleich Antworten bekommt

Bei HTTP hat der G9 die Nase vorne.

Bei beiden ist:

SSL/TLS Protocol: TLSv1.2,ECDHE-RSA-AES256-GCM-SHA384,2048,256

Habe mir den Header nicht angeguckt, es werden aber exakt gleich viele Bytes übertragen.

SCP zeigt mir ca. 280mOP's pro CPU bei beiden an. Weiß halt nicht wie genau das ist, die kleinste Zeitachse ist 6Std.

Nachtrag: Port ist jetzt bei beiden 1443, kein Unterschied...

Hi,

Danke für die Antwort.

Also ich teste am Server selbst seine eigene Seite, es ist nur eine 47kB große JS-Datei.

Auch wenn er eine PHP-Anfrage weiter leitet ist der G8 vorne. Egal wann ich teste.

Wenn ich den identischen Befehl von meinem Heim-PC (100Mbit/s / 8Mbit/s) mache, dann dauert es beim

G8 30s und beim G9 ganze 44s

Wenn ich allerdings beim G8 die Seite vom G9 aufrufe komme ich auf 3.5s.

Umgekehrt auf 4.6s.

Vor allem der G9 hat eine mega Anbindung (Down: 1.922Mbit/s, Up: 1.694Mbit/s, ist 2x so schnell wie G8).

Und der G9 ist im Gegensatz zum G8 frisch aufgesetzt und auf dem läuft weniger. Auch unter Ubuntu 20 war der G9 bei dem Test schlechter.

Gruß

Frank

Hi,

weil es hier halbwegs rein passt:

Habe mir einen neuen RS2000 G9 geholt und wollte meinen alten RS2000 G8 auslaufen lassen.

Eigtl. versägt der G9 den alten in allen Belangen, nur eins, was mich wundert und stört,

wenn ich am Server selbst eine statische Seite teste:

ab -n 5000 -c 200 "https://www.xyz.de"

dann ist der G9 deutlich langsamer

(Beide Ubuntu 18 und nginx/1.16.1 mit identischer Konfig. bis auf anderen Port, selbst mit Apache ist der G8 noch leicht schneller)

Ein gerade gemachter Test von beiden Server, meistens fällt es nicht so gravierend aus, aber min. 15% Unterschied sind es fast immer...

G8:

Time taken for tests: 3.084s

Requests per second: 1621.50 [#/sec] (mean)

G9:

Time taken for tests: 4.131s

Requests per second: 1210.29 [#/sec] (mean)

Woran kann das liegen?

Schon mal Danke!

Gruß

Kenny

Hi,

habe schon Google etliche Male bemüht, wurde aber doch nicht so ganz fündig.

Kann mir bitte ein Experte sagen, ob meine Einstellungen passen?

Ich habe 2 Domains.

Meine FQDN lautet: host.domain1.de

In der /etc/hosts habe ich eingetragen:

127.0.0.1 localhost

SE.RV.ER.IP host host.domain1.de host.domain2.de

In der /etc/hostname: host

In der apache2.conf: ServerName host.domain1.de

Noch was, in der Apache2-Error-Log steht öfters:

AH01909: null:443:0 server certificate does NOT include an ID which matches the server name

SSL-Zertifikat (Wildcard, Letsencrypt) geht über: *.domain1.de, domain1.de, *.domain2.de, domain2.de

Warum meckert Apache?

Danke schon Mal und Schönen Gruß.