Beiträge von m_ueberall

    Nach wie vor die gleiche Meldung im error_log-file: server certificate does NOT include an ID which matches the server name

    Um den Fehler zu beheben, muss der Server von einem Browser mit dem Namen angesprochen werden, welcher im Zertifikat steht und welcher darin über­ein­stim­mend vom Webserver verwendet wird.

    Wenn dort also die gewünschte eigene Domäne eingetragen ist (und das existierende Zertifikat, welches bspw. von der alten Webpräsenz übernommen werden kann), muss der lokale Client dazu bewegt werden, dass er die von hosting162844.a2f54.netcup.net verwendete IP-Adresse – welche sich mehrere Kunden mit ihren eigenen Domänen teilen! – für die eigene Domäne benutzt, so­fern die zugehörigen eigenen DNS-Einträge noch nicht auf die neue Webpräsenz verweisen.

    Unter Linux kann das etwa durch temporäres(!) Einfügen der Zeile "188.68.47.84 plesk willichtb.at" in die Datei /etc/hosts geschehen; diese Datei liegt un­ter Windows unter %windir%\system32\drivers\etc\. (http[s]://plesk verweist dabei immer auf die Netcup-eigene Meldung und ist ein erster Test, ob der verwendete Browser diese Einstellung auch korrekt übernimmt.)

    Testaufruf:

    pasted-from-clipboard.png

    Es ist ein multiline String, den ich auf eine Zeile eindampfen muss anhand eines in der Zeile enhaltenen Merkmals (Suchmuster ist eine nur dieser Zeile enthaltene Zeichenfolge). Viel anderes könnte es aber mit dem Bash-Beispiel auch nicht sein, oder? ^^

    In der jetzigen Form schon, das ist nämlich keine sinnvolle Bash-Syntax. :P

    Hier mal ein Beispiel, wie man es richtig schreiben würde und welches dann die Ausgabe ist, wenn es mehr als eine "needle" in der Eingangszeichenkette gibt:

    pasted-from-clipboard.png

    In der letzten Zeile würde der Inhalt von line_that_contains_needle als Befehl ausgeführt (wenn nichts 'drinsteht, wird dadurch "=" zum Befehl, den es nicht gibt).

    Für Details beim Client-seitigen Zugriff empfiehlt es sich, bei Google Chrome oder Mozilla Firefox mit F12 die "Entwicklertools" einzublenden, danach die eigene Homepage zu laden und bei­spiels­wei­se auf der "Browser-Konsole" nach Fehlermeldungen Ausschau zu halten (daher stammt der Bildschirmausschnitt unten).

    Der Grund/einer der Gründe kann bisweilen eine lokale CSP (Content-Security-Policy) sein, welche das Laden untersagt (in Abhängigkeit von aktivierten Add-ons):

    pasted-from-clipboard.png

    ^^^ die obigen Fehlermeldungen haben aber in diesem Fall lokale Ursachen bei meinem Testaufruf (nur ein Beispiel!)

    Serverseitiges Problem ist derzeit, dass .js/.css-Dateien nicht gefunden werden (Error 404). Im Log des Webservers sollten sich diese Fehler ebenfalls finden. Gegebenenfalls werden interne Rewrite-Direktiven nicht ausgeführt? Je nach verwendetem Webbrowser lässt sich temporär etwa die Detailtiefe des Logs erhöhen, sodass man einen Hinweis auf die Ursache bei Verwendung von internen Umleitungen bekommt.

    Wenn sich im Dashboard keine weiteren Themes installieren lassen, könnte das auf Probleme mit den Zugriffsrechten hindeuten.

    Nach Selektion einer Auswahl sieht man doch die Vertragsdetails (man sollte hier auch nach den Angeboten "googeln" können, um Details zu erfahren), welche explizit akzeptiert werden müssen. Diese müssten in einem ersten Durchgang in diesem Fall händisch verglichen werden. "SE" steht meistens für "Second Edition", während sich "aN" meistens auf (Vorab-)Angebote beziehen.

    Gebe ich dort direkt die IP an, erhalte ich "Domain noch nicht zugewiesen/in Zuweisung"-Seite (weshalb auch immer...).

    Wenn das ein von mehreren Kunden gemeinsam verwendeter Host ist (bei dem man sich insbesondere dieselbe IP-Adresse teilt), liegt der Grund natürlich auf der Hand… (Denn zu welchem Konto sollte der Server standardmäßig verbinden, ohne eine Namensangabe zuordnen zu können?)

    Welcher neutraler (d.h. von Netcup distanzierter) Name gefällt euch am Besten.

    "Serverhorder" – ist das Mundart? Das Verb "horten" schreibt sich meines Wissens ausschließlich mit "t" – Wobei der Duden den "Horter" gar nicht kennt, aber bei der Substantivierung des Verbs kann da doch gar kein "d" aus dem "t" werden? Als Lehnwort ist mir das bislang noch nicht untergekommen (und sieht ähnlich schlimm aus wie "Portmonee" <hier das Geräusch sich aufrollender Zehennägel dazudenken>). Dann lieber komplett auf Englisch (…hoarder), denn Denglisch ist doof™. :pinch:

    DANKE m_ueberall für deienn Kommentar würdest Du auch cloudflare oder eienn anderen Anbieter empfehlen?

    Zum jetzigen Zeitpunkt kann ich noch keine eigene Empfehlung abgeben, da ich selbst erst Tests durchführen kann/will, wenn ich die existierenden OPENPGPKEY­/SMIMEA-DNS-Einträge für eigene Domänen via DNSControl zu einem anderen Dienstleister übertragen kann (diese Funktionalität fehlt dem Hilfswerkzeug momentan noch) …

    Es gibt hier aber mehrere Nutzer, die zu verschiedenen Anbietern gewechselt und laut eigener Aussage damit zufrieden sind (eine Forensuche nach DNS, AnyCast und/oder DNSSEC sollte ein paar Namen ausspucken).

    Frage was würdet ihr zur Absicherung empfehlen DANE oder DNSSEC?

    Antwort: "Und", nicht "oder":

    Dependencies for DANE

    Although it is not a strict technical dependency, it goes without saying that one cannot have DANE without having DNSSEC. Publishing all of this verification information for security purposes is a waste of time if the publishing mechanism itself (DNS) is not secured. Without DNSSEC, an attacker who spoofed the web site’s certificate could just as easily spoof the TLSA record, rendering this second layer of checking useless.

    Anschliessend funktionierten auf allen Domänen weder der Mailempfang noch Versand.

    Tooltips:

    Wenn, dann aber codeberg.org ;)

    Wenn es um ein OSS-Projekt ginge, könnte man das vielleicht noch ins Auge fassen. Aber wenn Bekanntheitsgrad(, existierende Nutzerkonten) und Funktionen wie die Möglichkeit, längere "Issues" oder andere, gegebenenfalls nicht ganz spezialisierte/zielgerichtete Themen eben in entsprechende Diskussionen zu verlagern, eine Rolle spielt, kann das Gitea-basierte Codeberg hier einfach (noch?) nicht mithalten.

    Unter Kernel 5.4 bootete der Gast, unter 5.10 hatte der Gast seine Probleme.

    Bei Kernel 5.10 scheint leider mit/nach v5.10.8 der Wurm 'drin zu sein, was Virtualisierung anbelangt… Auch mit LXD ließen sich auf arm64/aarch64-Hosts aufgrund von Änderungen keine VMs mehr starten. Wurde bei v5.10.56 auch nicht besser, sodass ich für diese Architektur nun leider auf Nicht-LTS-Kernel angewiesen bin (v5.13.16 läuft zusammen mit einem wenige Tage alten Patch). Auf v5.10.7 oder früher mag ich allerdings auch nicht zurückgehen, da das ja den LTS (langfristige Updates) konterkariert – ggf. wäre ein "früher v5.10-Kernel" allerdings hier eine Option für Proxmox, wenn noch älteren Kernel bestimmte Eigenschaften fehlen?

    Gibt es hier FreeBSD(13)-Nutzer, welche KVM-Instanzen davon auf einer arm64/aarch64-Architektur betreiben? Wenn ja, wie bekommt man es dort hin, dass die Installations-DVD und/oder die resultierende Installation eine Netzwerkschnittstelle sieht? Eine entsprechende Frage ist selbst im einschlägigen FreeBSD-Forum seit Monaten unbeantwortet. (Bei der amd64-/x86_64-Architektur ist das kein Problem.)

    Alternativ die Frage, wie macht Ihr es am einfachsten einen Server zu sichern und nicht nur die DBs.

    Danke für eure Anregungen.

    Mit ZFS ist es im laufenden Betrieb möglich, binnen Sekunden(bruchteilen!) Snapshots[*] zu erstellen (sowohl lokal aufzuheben oder auf einen Backup-Rech­ner zu über­tra­gen; Letzteres dauert natürlich länger als einen Sekundenbruchteil, erfordert aber nicht zwingend – wenngleich empfehlenswert – ein zweites externes ZFS-Dateisystem). In Verbindung mit einer Datenbank könnte man diese vor einer Sicherung explizit anweisen, innerhalb einer gewissen Zeitspanne "in einen konsistenten/definierten Aus­la­ge­rungs­zu­stand über­zu­ge­hen" – im einfachsten Fall durch ein temporäres Herunterfahren.

    (Von einem produktiven Einsatz von ZFS unter Windows rate ich derzeit allerdings ab. ;))

    [*] Diese Snapshots liegen zuerst einmal auf demselben Dateisystem und sind nicht wie über das SCP angestoßen davon getrennt, lassen sich dafür aber auch deut­lich fein­gra­nu­la­rer für ein­zelne Bereiche der virtuellen Platte anlegen.

    Schon alles klar. Ich wollte nur aufzeigen, dass "Einfach einen LB/RP und Firewall davor setzen" nicht ganz so einfach und v.a. (bei Netcup) auch nicht günstig ist.

    Es kommt immer darauf an, worauf man dieses "(nicht) günstig" bezieht. Gemessen an erforderlichen Lizensierungskosten (das Thema wurde im Forum mehrfach an­ge­ris­sen) und Wartungsaufwand von abgeschotteten(!) Windows-Instanzen wären die reinen Produktkosten bei Netcup in der Praxis eigentlich sogar zu ver­nach­läs­si­gen.

    Das Thema Firewall & Co. als Feature wurde übrigens erst heuer hier diskutiert: Umfrage zur vorgeschalteten Firewall vor dem eigenen Server

    Hier ist es leider immer noch so, dass Netcup die Abschaltung der virtuellen primären LAN-Schnittstelle mit öffentlicher IP(v4/v6) über das SCP nicht ermöglicht. So­mit ist es innerhalb der Windows-VM immer denkbar, dass ein Schadprogramm/eine unbeabsichtigte Konfiguration zur Exponierung des Servers führt, auch wenn die­ser nur über ein internes VLAN mit einer Firewall kommunizieren sollte.