Beiträge von m_ueberall

  • vps: Netzwerk abschalten während Installation ubuntu

    Zitat von q8UTo

    […] Ich habe mir einen neu eingerichteten vps Server auf dem ich statt dem debian ubuntu installieren möchte. Wenn ich es richtig sehe ist es ja nur die unter debian laufende Firewall, welche meinen Server vor Netzwerkzugriffen von außen schützt. Wenn ich da nun ubuntu installiere ist er ja erstmal ohne firewall und ich muss diese noch einrichten. Ist es möglich das Netzwerkinterface vorübergehend abzuschalten oder geht dann die Fernwartung des Servers per Console auch nicht mehr?

    Tatsächlich ist diese Frage gar nicht schlecht. Da normalerweise nach der Installation von Diensten diese auch automatisch gestartet werden und ohne vorbereitete Kon­fi­gu­ra­tions­an­passungen/Updates theoretisch eine Gefährdung bestehen könnte, ist eine präventive, temporäre Abschottung des VPS/RS durchaus sinnvoll. (Windows-Server-Versionen verfahren zumindest bis zum Einspielen von Updates bei einer Neuinstallation schon seit einiger Zeit entsprechend.)

    Im SCP lässt sich die primäre Netzwerkschnittstelle leider nicht deaktivieren, entsprechende Vorkehrungen sind derzeit also manuell über das Installations-/Re­pa­ra­tur-Bootmedium (eingebundenes Festplattenabbild/DVD-Abbild) zu treffen. Denkbar wäre hier die Anpassung einer Ubuntu-LiveCD (ein DVD-Abbild), wobei es zunächst ausreicht, alle infrage kommenden Ports gegen Zugriffe von Dritten (=Fremd-IPs) zu schützen, etwa durch das Anlegen eines ausführbaren Scripts /etc/rc.local:

    Code
    #! /bin/bash
/sbin/iptables -A INPUT -p tcp -s localhost,10.0.0.0/8,172.16.0.0/16,192.168.0.0/16[,<eigene-IPv4_1>[,<eigene-IPv4_2[,…]]] --dport 22 -j ACCEPT
/sbin/iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A INPUT -p tcp -m tcp --dport 22 -j REJECT --reject-with tcp-reset
/sbin/ip6tables -A INPUT -p tcp -s ::1[,<eigene-IPv6_1>[,<eigene-IPv6_2>[,…]] --dport 22 -j ACCEPT
/sbin/ip6tables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
/sbin/ip6tables -A INPUT -p tcp -m tcp --dport 22 -j REJECT --reject-with tcp-reset
LOCAL_IP="$(/usr/bin/dig +short 0123456789abcdef.myfritz.net)"
[[ -n "${LOCAL_IP}" ]] && /sbin/iptables -I INPUT -p tcp -s "${LOCAL_IP}" --match multiport --dports 22[,<Port2>[,<Port3>[,…]]] -j ACCEPT
exit 0

    Anmerkung: Obiges schützt natürlich nur Port 22, man kann hier eine Schleife/Aufzählung von Ports einbauen (vgl. Option "--match multiport" in der letzten Zei­le des vereinfachten Beispiels), wenn die Liste der Dienstports bekannt ist, und ggf. alle anderen Ports sperren. Wenn keine iptables-Kompatibilitätsschicht vor­han­den ist, muss dies bei neueren Installationen via nftables erledigt werden. (Alternativ könnte man auch beim Bootmedium die Aktivierung der Netz­werk­schnitt­stel­le ver­hin­dern, aber dann kommt man zunächst nicht an externe Updates.) Soll dieser Schutz nach einem Reboot der installierten Ubuntu-Installation bei­be­hal­ten wer­den, ist das Script natürlich auf das Installationsmedium zu übertragen.

    Ein Zugriff via SCP über die virtuelle Konsole lässt sich hierdurch nicht vermeiden (und das wäre in der Regel auch nicht gewollt).

  • DynDNS für SubDomain

    Zitat von petermustermann

    Hallo zusammen,

    ich habe eine Domain bei einem anderen Anbieter […]

    Die Domain zeigt aktuell komplett auf die netcup nameserver […]

    Der andere Anbieter bietet einen kostenfreien DynDNS Service für eine beliebige Subdomain an. Wenn ich die von mir ausgesuchte Subdomain allerdings aufrufe, erhalte ich die netcup Fehlerseite (Domain noch nicht zugewiesen / in Zuweisung)

    Die Nutzung des DynDNS-Diensts des anderen Anbieters kann eigentlich auch nur mit seinen eigenen DNS-Servern funktionieren. Ansonsten müsste der Anbieter ja die Möglichkeit haben, mit den Netcup-Nameservern zu kommunizieren (unter Verwendung Netcup-eigener Zugänge und Zugangsrechte).

    In diesem Diskussionsstrang findet sich ein Lösungsweg, gegebenenfalls die Verwaltung der Subdomäne zu delegieren. (Im vorliegenden Fall müsste dann zumindest die Subdomäne explizit auf die eigenen Nameserver des anderen Anbieters verweisen.)

  • Authentifizierung beim Storagespace

    Zitat von KB19

    […] Zur Not kann Nextcloud auch selbst mit externen Speichern z.B. über (S)FTP(S), SMB oder WebDAV umgehen. Das wird allerdings bei manchen Apps nicht wirklich gut unterstützt, weil es halt kein normaler Mount im Betriebssystem ist. […]

    SMB (cifs) ist IMHO allerdings ein "relativ" normaler Mount, vergleichbar mit nfs (zumindest was die Stabilität unter Verwendung aktueller Linux-Kernel und -Pakete anbelangt, sofern man nicht regelmäßig "Lasttests" fährt).

    Mittels rclone lässt sich durch entsprechendes Caching durchaus ein xTB großer externer Speicher mit einem Netcup-RS/-VPS stabil ansteuern, ohne jegliche Klimmzüge bei uid/gid/Zugriffsrechtsvergabe – vergleiche den Link in der Fußzeile zwecks einiger Geschwindigkeitsvergleiche mit dem vorgenannten Dateisystem. (Bei WebDAV gibt es nach eigener Erfahrung derzeit Probleme bei sehr großen Dateien >10GB, allerdings fußen die Tests bislang noch nicht auf Nextcloud, sondern rsync.)

  • Das längste Thema

    Noch ein Nachtrag zu den oben empfohlenen Hilfswerkzeugen (xrdp, xpra) zwecks Fernzugriff:

    Zitat von friend_of_root

    Kann man einen Linux Desktop auf einem RS installieren? Ich überlege von einem ipad mit remote desktop zu verbinden um dort eine IDE laufen zu haben.
    Eventuell kann so ein Linux Desktop ohne irgendeine Form von Grafikkarte nicht laufen.. aber ich hab da keine Erfahrung.

    Das Ganze lässt sich mithilfe einer "LiveCD" (mittlerweile in der Regel ein DVD-Abbild), beispielsweise von Ubuntu, auch temporär testen, ohne den Rechner neu aufsetzen zu müssen. Browser, LibreOffice usw. sind vorinstalliert und obige Hilfswerkzeuge und SSH-Server lassen sich im laufenden Betrieb nachinstallieren.

    Für Ubuntu (bislang noch nicht mit LiveCDs anderer Distributionen ausprobiert) gibt es auch ein sehr komfortables Werkzeug zur Modifikation dieses DVD-Abbilds, welches unter anderem das Einspielen von Updates zwecks Aktualisierung deutlich vereinfacht: Cubic.

    Ich selbst nutze derartig modifizierte LiveCD-Abbilder auch als Rescue-/Installations-Medien für die Netcup-RS.

    EDIT: Wer Cubic bislang noch nicht installiert hat, sollte sich noch 1–2 Tage gedulden, die aktuelle Version (zumindest unter Ubuntu 20.04 LTS/"Focal") hat nämlich einen fatalen Fehler.

  • Server Space Full, Can't Install new storagespace purchased

    Zitat von gozzynes

    I have completed the count. However, I am not sure where I can to see the new space as the server home space says currently attached not available. I have rebooted the server and it's not still available. […]

    Code
    mount -t nfs STORAGEHOST:/STORAGEPFAD /mnt/storagespace

    You wouldn't see this where you expected it to show up as the cell in question refers to the boot media (i.e., the disk/dvd image you select in the "Media" tab):

    pasted-from-clipboard.png

    If the above mount command succeeds, df /mnt/storagespace should tell you the amount of used/available space. (And at a later point in time, you might want to add an entry in /etc/fstab to mount this automatically at boot time.)

  • Das längste Thema

    Zitat von joas

    Hast du für die Message-Übermittlung via signal-cli extra eine SIM-Karte wegen der Mobilnummer angeschafft, oder geht es auch mit meiner Mobilnummer? Oder gibt's da ein Konflikt? Ich nutze privat Signal mit meiner Familie und will da nichts kaputt machen.

    Man kann Telefonnummern für eine begrenzte Anzahl von Rechnern mitnutzen.

    (Wie perryflynn gerade ausgeführt hat :P , kann man seit einiger Zeit auch Festnetznummern registrieren. Eine Überprüfung erfolgt dann über einen automatisierten Sprachanruf. Sofern die letzteren Telefonnummern nicht anderweitig für Signal verwendet werden (bislang nicht möglich), ist das der wohl leichteste Weg, zusätzliche Rechner ein-/anzubinden.)

  • SSH-Key erzwingen

    Zitat von KB19

    Die standardmäßig im SCP vorhandene oder eine selbst hochgeladene?

    Zitat von RAD750

    Die aus dem SCP

    Zitat von frank_m

    Ich hab jetzt gerade einen VPS mit der Ubuntu 22.04 von der "Ubuntu 22.04 Live Server"-ISO des SCP installiert, und die sshd.conf enthält nicht die oben beschriebenen doppelten Einträge.

    RAD750 frank_m : Da meines Wissens die einmal angekündigte nutzerspezifische Anpassung von Cloud-init bislang (immer) noch nicht verfügbar ist, wäre es an dieser Stelle sinnvoll, einmal ganz genau zu vergleichen, welche SCP-Version und welche Menüoptionen Ihr verwendet (für manche Images gibt es die Option, zu wählen, wie man die virtuelle Platte partitionieren möchte – theoretisch könnten das verschiedene Varianten desselben Basisabbilds sein) – inkl. Bildschirmfotos/grafischer Markierungen. Das sollte nämlich nicht vom Benutzer beeinflussbar und dementsprechend immer einheitlich sein. Eine mögliche Erklärung wäre auch, dass verschiedene Server (jeweils Clustern von Hostrechnern zugeordnet) unterschiedliche ISOs bereitstellen.

    Erstrebenswert ist das keinesfalls, da Abweichungen hier bei Diskussionen im besten Fall Verwirrung, im schlechtesten Fall deutliche Verhaltensunterschiede mit sich bringen können (wo eine Abweichung ist, findet sich ggf. noch eine weitere!) …

    Fördert der obige genaue Vergleich keine Unterschiede zutage, wäre das ein Grund für eine Nachfrage beim Support (und/oder ein Grund dafür, diese Abbilder zu meiden, wenn es um die Einheitlichkeit mehrerer virtueller Rechner geht).

  • SSH-Key erzwingen

    Zitat von RAD750

    Habe gerade einen Server komplett via netcup ISO frisch installiert, da hängt das auch unten dran. Auch mit den Netcup Images!

    GANZ FRISCH!

    Solte ich mir da jetzt sorgen machen? Würde es sicherhaltshalber genau wie den oberen Wert auf no setzen, müsste ja funktionieren :)

    [EDIT: Sehe gerade, nitram hat den Grund oben schon erwähnt; im Optimalfall wäre es sicherlich schön, wenn Netcup-Standardinstallationen derartige Anpassungen in einem zentralen README und/oder im Wiki dokumentierten.] Ich selbst verwende grundsätzlich (ggf. selbst angepasste) Upstream-ISO-Abbilder, wenn möglich, um eine möglichst einheitliche Installation bei verschiedenen Anbietern gewährleisten zu können.

    Bevor ich's vergesse: Um zukünftigen Konfigurationsänderungen nach der initialen Installation (insbesondere in /etc) „auf die Schliche zu kommen“, empfiehlt sich entweder der automatisierte Abgleich von Snapshots auf Dateibasis (zfs/btrfs bieten das von Haus aus, bestimmte Backupprogramme haben eigene Methoden, um dies zu realisieren) und/oder die Verwendung von etckeeper.

  • SSH-Key erzwingen

    Zitat von RAD750

    War gerade dabei einen neuen server mit Ubuntu 22.04 in Betrieb zu nehmen, allerdings gibt es in der /etc/ssh/sshd_config den Wert PasswordAuthentication 2 mal: […]

    Kann mir das jemand vielleicht genauer erläutern? Danke :)

    Da hat sich aber wohl jemand™ an den Einstellungen zu schaffen gemacht, bei einem sauberen System ( :whistling: ) ist das nämlich nicht der Fall:

  • Bastel- und Bau-Ecke

    Zitat von whoami0501

    [W]äre es im besagten Unterforum evtl. sinnvoll, eine Tauschbörse für Hardware anzulegen?

    Derartige Verkaufs-/Tauschbörsenkanäle gibt es allerdings schon in zahlreichen Discord-Nutzergruppen (mit entsprechender Größe), welche ich teilweise als spezialisierter ansehen würde als dieses Kundenforum. Bislang kam es mir auch nicht so vor, als sei die Bastel- und Bauecke hier sonderlich aktiv (insbesondere beim Thema „Homelab“) – ob sich das wirklich lohnt (auch für die Netcup-Moderatoren), wage ich zu bezweifeln …

  • Das längste Thema

    Ich kann es kaum erwarten, auf den nächsten 1000 Seiten Informationen über das Ergebnis beliebiger arithmetischer Operation auf Basis der eigenen Kundennummer zu lesen. Alternativ könnte eigentlich auch zusätzlich jeder Kunde hier von 1 bis zu seiner Kundennummer hochzählen (nur eine Zahl pro Beitrag, versteht sich). Und danach gleich wieder runterzählen. Und vielleicht dann nochmal von vorn, um die Ergebnisse zu vergleichen, ja?

  • Das längste Thema

    Zitat von RAD750

    Wenn der Autostart im SCP AN ist, der Server auch AUS und dann Wartungsarbeiten durchgeführt werden, startet der dann wieder oder bleibt er aus?

    mainziman hat ja das erwartete Verhalten zusammengefasst, aber …

    Ich empfehle aufgrund eigener Erfahrungen, die entsprechende Schalterstellung regelmäßig zu überprüfen. Nach einem Wartungsfall musste ich nämlich feststellen, dass „Autostart“ auf zwei von drei RS in einem Cluster plötzlich ausgeschaltet war =O (ich war mir keiner Schuld bewusst, vorliegende Systemdokumentation besagte, dass dies nicht sein sollte), wodurch ein erwarteter/geplanter Neustart ausblieb.

    Die resultierende Downtime blieb zwar längere Zeit unbemerkt, weil alles redundant ausgelegt war, aber ohne Risiko ist das natürlich nicht für Szenarien, in welchen eine gerade Anzahl laufender Clusterknoten bei weiteren „Unstimmigkeiten“ keine Mehrheitsentscheidung mehr treffen kann.

    Infolgedessen wird die Einstellung jetzt notgedrungen aktiv kontrolliert; leider gibt es keine diesbezügliche API-Funktion, um die Einstellung einfach stündlich für alle RS zu aktivieren. ;(