Beiträge von m_ueberall

  • DNSSEC und DANE per default!

    Zitat von m_ueberall

    Die Schlüssel werden in der Regel mit ssh-keygen generiert. Und normalerweise sollte man darauf achten, dass man das zugehörige Schlüsselpaar selbst erzeugt […]

    On second thought… Hier geht es natürlich um die Host-Keys, welche, sofern sich mehre Nutzer bei einem Webhosting-Angebot denselben Rechner teilen, durchaus fest vorgegeben sein können. Allerdings ist es in diesem Fall in der Regel dennoch möglich, mittels ssh-keygen die SSHFP-Einträge auf Basis des/der öffentlichen Schlüssel(s) generieren zu lassen.

  • DNSSEC und DANE per default!

    Zitat von m_ueberall

    Sofern man selbst SSHFP-Einträge im CCP für die dort verwalteten Domänen anlegt, sieht man die key fingerprints dort ja auch

    Zitat von My1

    und wo soll ich die keys herholen die ich da eintrage, ich generiere die ja nicht sondern Netcup (also bei den servern von bspw webhosting)

    Die Schlüssel werden in der Regel mit ssh-keygen generiert. Und normalerweise sollte man darauf achten, dass man das zugehörige Schlüsselpaar selbst erzeugt (nur der öffentliche Schlüssel kommt auf den Server, der private ist wie ein Augapfel zu hüten und niemals aus der Hand zu geben!) und sich ausschließlich darüber und nicht über die Eingabe eines Passworts mittels ssh einloggen kann, unabhängig vom bei Netcup gebuchten Angebot.

  • Das längste Thema

    [Es ging um die Installation des "qemu-guest-agent"-Pakets, auf welches im SCP seit Kurzem verwiesen wird.]

    Zitat von killerbees19

    Ich frage mich gerade eher, ob man das wirklich am System haben möchte. Es kann aber auch sein, dass ich die Dokumentation zu schnell überflogen habe.

    Gegenfrage: Warum wollte man nicht? Ich bezweifle, dass die Schnittstelle für etwas anderes als die nachfolgenden beiden Anwendungsfälle zum Einsatz kommt:

    Zitat von Proxmox VE Wiki

    In Proxmox VE, the qemu-guest-agent is used for mainly two things:

    1. To properly shutdown the guest, instead of relying on ACPI commands […]
    2. To freeze the guest file system when making a backup […]

  • Bürostühle

    Je nach Budget zu empfehlen: Herman Miller Aeron, Graphite, Posture Fit, Vinylarmauflagen, mit später separat nachgekaufter Kopfstütze von "Engineered Now" (eine der besten Nachrüstungen!). Anschaffung muss jetzt ca. 15 Jahre her sein, und ich habe sie keine Sekunde bereut – mittlerweile ist die Auswahl natürlich gestiegen, aber damals fiel mir die Entscheidung sehr leicht.

    Natürlich sollte man bei längerem Sitzen immer ein wenig variieren, deswegen kam zusätzlich noch ein Swopper ("3D-Aktiv-Bürostuhl/-Hocker"), Sitzpolster Tempur, Farbe onyx-schwarz dazu.

  • DNSSEC und DANE per default!

    Zitat von My1

    […] aber wie gesagt auch wenn clients es nicht prüfen könnte man die keys ja im [CCP/SCP/whatever] panel listen sodass man diese selbst prüfen kann.

    Sofern man selbst SSHFP-Einträge im CCP für die dort verwalteten Domänen anlegt, sieht man die key fingerprints dort ja auch; verwendet man nicht-öffentliche Einträge/eigene Nameserver, lassen sich diese zumindest explizit manuell abfragen:

    Code
    [2019-09-08T09:32:01+0200] root@vserver06<kvm>:/etc/ssh# dig +dnssec vpn-vserver06.example.org sshfp | egrep ';; [Sf]|SSHFP\s'                
;; flags: qr aa rd ra; QUERY: 1, ANSWER: 4, AUTHORITY: 0, ADDITIONAL: 1
vpn-vserver06.example.org. 3600 IN SSHFP 2 2 21D0xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx 7E94xxxx
vpn-vserver06.example.org. 3600 IN SSHFP 3 2 F190xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx EFADxxxx
vpn-vserver06.example.org. 3600 IN SSHFP 4 2 4829xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx 9097xxxx
vpn-vserver06.example.org. 3600 IN SSHFP 1 2 FFA5xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx 2F6Axxxx
;; SERVER: 127.0.0.1#53(127.0.0.1)

    (Im gezeigten anonymisierten Beispiel sind die Schlüsselinformationen und der Hostname-Alias nicht öffentlich abrufbar.)

    Wenn die aktuellen key fingerprints im SCP angezeigt werden sollen, muss der jeweilige (interne) Name/Alias des Hosts bekannt und eine Zugriffsmöglichkeit auf die jeweiligen DNS-Einträge "von außen" möglich sein (für eine "Live-Abfrage"[*]), was im allgemeinen Fall sowohl eine Konfigurationsänderung auf den Servern sowie eine explizite Hinterlegung/Synchronisation von Zusatzinformationen erfordern würde.

    [*] Wenn hingegen keine SSHFP-Einträge existieren, kann das SCP keine Informationen liefern, welche über die eigene ssh-Kontaktaufnahme zwecks Anzeige des key fingerprints (des jeweiligen privaten Schlüssels) hinausgeht, und auch in diesem Fall müssten je nach Konfiguration beispielsweise der Nutzername, IP-Adresse, Port und der öffentliche Schlüssel auch im SCP hinterlegt sein. (Im Falle einer VPN-Nutzung erforderte dies insbesondere einen Zugriff auf selbiges durch ein Netcup-verwaltetes System! Das will weder der Kunde noch der Dienstleister…)

  • Das längste Thema

    Zitat von whoami0501

    Ich hab hier gerade auch nochmal Brainfuck mit ZFS. Vielleicht kann mir ja jemand helfen :s […]

    Siehe https://askubuntu.com/a/305981/525098 für ein vergleichbares Szenario. In der obigen Auflistung sieht man die GUID 21193... der nicht mehr erkannten Platte, und diese GUID ist auf der zpool-Kommandozeile anstelle des – laut Erläuterung nicht mehr gültigen – Pfades /dev/disk/by-id/usb-INTEL_... zu verwenden.

  • Das längste Thema

    Zitat von Paul

    […] alles, was innerhalb von 48h behoben werden kann, ist zwar ärgerlich, aber noch im Rahmen. Ab diesem Zeitpunkt aber wäre ein Einspielen des Backups sicherlich eine gute Idee.

    Dabei nicht vergessen, dass auch ein eventuell erforderliches "Umbiegen" des MX-DNS-Eintrags Zeit in Anspruch nehmen kann (insbesondere dann, wenn der alte Eintrag bei der Gegenseite eine Weile im DNS-Cache verbleibt). Schlimmstenfalls/als "Workaround" sollte man in diesem Fall überlegen, (ggf. zusätzlich) bei einem IP-/Rechnerwechsel einen temporären Tunnel vom alten zum neuen Host einzurichten.

  • Das längste Thema

    Zitat von whoami0501

    Ich hatte zsh vor längerer Zeit mal getestet. Mein Begeisterung hielt sich irgendwie in Grenzen, da die Sache ziemlich lahm und unperformant war. Ist dem immer noch so?

    Ich kann mich nicht beklagen. Natürlich macht es einen Unterschied, ob man einen aktuellen NUC/Desktop/Server mit vier oder mehr Kernen und SSD als Arbeitsrechner verwendet oder eine deutlich schwächere (virtuelle) Maschine, bei welcher die Daten schlimmstenfalls von gemeinsam verwendeten, stark belasteten HDDs gelesen werden. Sofern man im letzteren Fall versucht, aufwendigere/teurere Funktionen nur dann zu nutzen/anzustoßen, wenn man sie wirklich braucht, hält sich die "Wartezeit" auf der Kommandozeile doch sehr in Grenzen.

  • Technik-Tipps für Systemadministratoren

    Zitat von whoami0501

    Ich weiß nicht ob Command Line Tipps auch mit hier reinzählen... aber ich hätte thefuck im Angebot. ^^

    Der Vollständigkeit halber: Bei Zsh (https://www.zsh.org/) ist das übrigens eine (optionale) Standardfunktion, welche ohne Fluchen funktioniert (nyae = no/yes/abort/edit); daneben gibt es einen Schutz gegen das Löschen unerwartet vieler Dateien usw.:

    zsh_prompt.png

    Lies: Mit ein wenig Eingewöhnungszeit und Studium der umfangreichen Dokumentation kann man sich hier auf der Kommandozeile viel Arbeit ersparen und sehr produktiv arbeiten... das vorgenannte bash-completion kommt dagegen bei Weitem nicht an. Wer noch mehr will, möge einen Blick auf https://github.com/robbyrussell/oh-my-zsh werfen.

  • IPv6

    Zitat von thekillah

    Den Gateway kann ich nicht pingen

    Zunächst – auch für Anschlusstests – (a) ausschließen, dass eine falsche IPv6-Adresse eingetragen wurde (Abgleich mit SCP-Angaben) und (b) sicherstellen, dass die übrigen sysctl-Einträge wie im Wiki beschrieben aktiviert wurden. (Zum Test einmal rigoros alles so kopieren, so wie es im Wiki steht und zusätzliche Einträge löschen. Ein möglicher Gegentest sollte auch über das Booten des Rescue-Systems möglich sein – dort sollte eine funktionierende dynamische Konfiguration verwendet werden; zuvor kann man jedoch diese dynamische Einstellung auch am eigenen System durchspielen.)

    Wenn nach Konfigurationsänderungen auch ein explizites Ausschalten/Anschalten des VServers keine Änderung bringt und die Gateway-Adresse nach wie vor nicht erreichbar ist, entsprechend dieser Diskussion ein Supportticket eröffnen.

  • Das längste Thema

    Zitat von mainziman

    m_ueberall [D]as mit den S/MIMEs hatte ich auch von woanders [...] wenn man sich die Aufmachung so ansieht, dann erwartet man schon etwas zu bekommen, das 1 Jahr gültig ist ..., tatsächlich aber ist es nur 1 Monat, und damit am Sinn komplett vorbei[.]

    Immer dieses Anspruchsdenken, seit COMODO seinerzeit damit vorgeprescht ist… :P

    Linktip: Bei ACTALIS gibt's heute noch kostenlose einjährige S/MIME-Zertifikate für die persönliche Nutzung, seit das vorgenannte Angebot nicht mehr verfügbar ist. (Die zugehörigen Vertragsunterlagen liegen nur in italienischer Sprache vor, aber mittlerweile kann man sich auch die PDF-Dateien via URL-Angabe direkt von Google Translate übersetzen lassen, bevor man sie durchliest.)