Beiträge von Artimis

  • Erneute DRINGENDE Warnung vor TS3

    Die Idee mit der Authentität durch rechenaufwändige Ident-Generierung ist cool. Ich glaube, ich missbrauche demnächst mal den Cluster in der Uni für sowas. So eine Sicherheitsstufe von 2 Jahren normaler Rechenzeit sollte drin sein xD.

    Ne, aber ihr habt schon Recht. Als ich mir TS3 mal angeguckt habe, war ich nur verwirrt von den vielen Parametern, die man bei den Rechten setzen kann. Und sehr skeptisch, da die Default-Config so ganz Linux-Software-Untypisch auf Jeder-darf-alles gesetzt ist.

    Wenn man TS3 als das verwendet, was es ursprünglich mal war (nämlich ein VoIP-Tool), sollten viele Sicherheitslöcher bereits gestopft sein. Dennoch setze ich mir keinen TS3 auf aus Angst, man kann mit irgendwelchen Exploits die Beta-Software zu ungewöhnlichem Verhalten zwingen.

  • Webserver soll nicht auf IP reagieren

    Joa, dann leg am besten direkt in der apache.conf vor dem Include der vHosts einen vHost-Eintrag an. Du kannst statt der IP ein "_Default_" nehmen, dann wird der vHost explizit als Default-Host gekennzeichnet. Ansonsten ist es dann auch der erste vHost.
    Lass den einfach auf ein leeres Verzeichnis oder so zeigen oder lege eine schöne Fehlerseite an.
    Globale Aliase funktionieren mit dem Default-vHost jedoch weiterhin. Wenn du dein Admin-Panel als globales Alias eingetragen hast, wirst du so niemanden aussperren können.

  • Wie sehen Eure Netzwerke aus?

    @ Ubuntu: Sorry, habe dich verwechselt.

    @ slukas: Exakt das habe ich zum Thema DMZ behaupet. Entweder durch einen Paketfilter oder durch eine nicht vereinheitlichbare IP-Adressierung wird es geschaffen. Ein LAN ist _eine_ Art einer DMZ.

  • Wie sehen Eure Netzwerke aus?

    Sorry, wenn ich nochmal dazwischen-OT-e,
    wenn ein Mod Lust hat, könnten wir es gerne auslagern ;)

    @ slukas: Dein Schaubild ist nicht richtig. Ein LAN ist mitnichten ein Teil einer DMZ. Es ist eine Art einer DMZ.

    Ein LAN ist schlicht und einfach ein Netzwerkbereich, egal, wo und wie er aufgebau ist, ob zu Hause oder quer durch das Internet verteilt, ob mit LAN-Kabeln, WLAN, Steckdosen, Telefonleitungen, DSL-Verbindungen, ISDN/56k-Dialups oder Walkie-Talkies, der mit lokalen Adressen (im IPv4-Bereich sind das 10.0.0.0/8, 172.16.0.0/12 und 192.168.0.0/16 sowie 169.254.0.0/16 als Link-Local) kommuniziert. Die Schnittstelle zwischen WAN und LAN ist mitnichten ein Paket-Filter, sondern einfach ein NAT-Gateway. Ein Paket-Filter ist nicht nur unnötig, sondern auch sehr ungewöhnlich. Verbreiteter sind da NAT-Regeln.

    Ein WAN hingegen ist ein Netzwerkbereich, in dem mit global gerouteten Adressen kommuniziert wird. Nach der Einführung von IPv6 wird das im Normalfall auch der Heimbereich sein. Es sei denn, man legt dennoch Wert auf ein Netz aus lokalen Adressen (fc00::/7), was aber in den allermeisten Fällen völlig unnötig ist.

    Eine DMZ nun ist ein Bereich, den man von außen nicht ohne weiteres erreichen kann. Das kann durch ein Paketfilter geschehen, der eingehende Pakete zu den internen globalen Adressen verwirft, oder durch ein NAT-Gateway, da die internen Adressen schlicht nicht global erreichbar sind.

    So, das musste nochmal gesagt werden. Nicht, dass man die doch recht wesentlichen Begriffe durcheinanderwirft.

    Ach ja: Und kein Botnetz schafft Petabytes. Erst recht nicht, um einen einzelnen Privat-Haushalt zu scannen. Die einzigen Schwachstellen sind manuell konfigurierte Netze mit einfachen globalen IPv6-Adressen (z.B. <Prefix>::1) oder bösartige Hosts, zu denen man sich vorher selbst verbunden hat.

  • Wie sehen Eure Netzwerke aus?

    @ Ubuntu:
    Das ist relativ. Wenn die FW vernünftig konfiguriert wird, braucht man kein NAT. Und auf dem Router kann man ip6tables oder etwas vergleichbares verwenden, um den Zugriff von außen ganz nach IPv4-LAN-manier zu unterbinden. Und selbst ohne haben die Rechner per Standard eine zufällige, automatisch konfigurierte IPv6-Adresse aus einem 18 Trillionen Adressen großen Raum. Dort muss der Angreifer den Rechner erst einmal finden.
    Nehmen wir mal an, dass er die Adressen durchpingt und nach einem Viertel deinen PC findet. Dann müsste er alleine für das Finden deines PCs 128Petabyte losjagen, denn ein Ping kostet gängigerweise 32Byte. Natürlich kann man das verkleinern, aber man bleibt bei einem Traffic, den ein ganzer Staat verursacht.
    Viel mehr Sorgen würde ich mir um den Datenschutz machen. Wenn jeder Haushalt sein eigenes Prefix hat, ist es ein Leichtes, Nutzungsprofile zu erstellen.

    @ slukas:
    Was glaubst du, warum der DMZ-Server so heißt? ;) Es ist ein Server in der demilitarisierten Zone. Also eigentlich ein Prinzipienbruch.
    Mit DMZ selbst ist das LAN gemeint, wo man von außen KEINEN zugriff erhält. Nur der DMZ-Server tanzt dort aus der Reihe. Zugegeben: Die Bezeichnung ist verwirrend.

  • Wie sehen Eure Netzwerke aus?

    Ja, aber das ist ja der springende Punkt: Das LAN existiert in dem Sinne nicht mehr (es sei denn, du legst es durch ULAs oder durch Abschnippeln des Uplinksdarauf an).
    Dein Netzwerk zu Hause, angebunden durch 100Mb/s- bis Gigabit-Switches ist jetzt auch WAN. Denn eine Kommunikation mit allen anderen Geräten auf der Erde ist ohne Einschränkung möglich. Es ist natürlich das gleiche Netzwerk. Aber dadurch, dass das NAT-Gateway durch einen Router/Hop ausgetauscht wird, ist die Grenze zwischen LAN und WAN gefallen. Das hat nichts mit der Geschwindigkeit zu tun. Natürlich ist das Kopieren im Heimnetz (ob nun WAN oder LAN) deutlich schneller als über die DSL-Leitung. Aber das "lokal" im LAN spielt nicht auf den Standort der Netzwerkgeräte an (siehe VPN), sondern auf die Art der Adressierung (ULA bedeutet nämlich unique LOKAL address).

  • Wie sehen Eure Netzwerke aus?

    Die Begriffe LAN und WAN haben nichts mit der Bandbreite zu tun.

    Ein LAN (lokal area network) ist eine demilitarisierte Zone, die eventuell über ein Gateway nach außen verfügt. Von außen kommt man normalerweise nicht rein.
    Ein WAN (wide area network) ist öffentlich voll zugänglich. Egal, ob die Leitung nun 300Mb/s Bandbreite hat oder nur 56kb/s.

    Und dank IPv6 wird in Zukunft kein NAT mehr notwendig sein (in ip6tables z.B. ist es gar nicht implementiert, die Tabelle fehlt einfach), sodass sämtliche Geräte öffentlich zugänglich sein werden, also das ehemalige LAN zum WAN wird.
    Ein LAN kann man dann nur durch das Trennen des Uplinks oder das Verwenden von lokalen IPv6-Adressen (fc00::/7) erreichen.

  • Wie sehen Eure Netzwerke aus?

    Ist der Webserver jetzt dein neuer NSLU2?
    Ich nutze meinen NSLU2-Webserver gerne, um größere Dateien ins Netz zu pumpen. So z.B. Bilder oder meine Backups. Ich packe sie auf einen USB-Stick, stecke ihn an den NSLU2, mounte ins Webverzeichnis und ziehe vom vServer aus per wget. Und damit kein anderer rankommt, habe ich per vHost-Settings nur die vServer-IPs zugelassen.
    Auch nutze ich ihn für Diagnose-Scripts.
    Einen Proxy würde ich nicht betreiben. Man kommt doch schnell an die Grenzen des RAMs. Wenn, dann würde ich einen SSH-Tunnel nehmen.

    Btw: Das Wort LAN wird in nächster Zeit einiges an Bedeutung verlieren, was?
    Wer wird noch ein LAN zusätzlich zum IPv6-WAN betreiben?
    Naja, es geht im Prinzip ganz einfach: Lokale, nicht geroutete Adressen gibt es auch bei IPv6. Aber wozu?
    Naja, gut. Und LAN-Partys ohne Uplink in der Gartenlaube wird es vielleicht weiterhin geben. :D

    Ach ja: 1022. Beitrag :)

  • mein vServer öläuft seit Ausfall unrund

    Halli hallo!

    Seit dem Ausfall gestern läuft mein vServer iwie unrund. Ständig kommen Aussetzen, wo ein ls eines 4-Dateien-Home-Dir schon mal 8sek in Anspruch nimmt, ein "exit" zum Ausloggen aus dem Terminal dauert einige Minuten (5min aufwärts).
    Ich habe in der GUI mit TinyCA gespielt (ein sehr schlankes Programm) und habe dort öfters ca. 10sek auf die Wirkung eines Mausklicks warten müssen.
    Auch die RAM-Auslastung ist bei gleichbleibender Nutzung ohne Änderungen am System deutlich höher (~150MB, und das ist bei normal 500MB Auslastung recht viel). Dabei ist der IO-Wait im Rahmen. In der letzten Stunde ist er im Schnitt bei knapp 5%.

    Arbeitsspeicher

  • Frage zum server hardening

    Wenn alle Dienste sinnvoll konfiguriert sind, benötigt man keine Firewall. Die Dienste haben nur dort zu lauschen, wo sie lauschen sollen. Bevor man wild Befehle per root ausführt, macht man sich Gedanken, ob die Befehle selbst sinnvoll sind und ob sie nicht auch mit eingeschränkten Rechten laufen können. Und regelmäig werden die Netzwerkverbindungen und die Prozessübersicht gecheckt, ob da irgendwelche Unstimmigkeiten auftreten.
    Die Firewall sollte nur als allerletztes Mittel eingesetzt werden, z.B., wenn ein Dienst keine listen-Parameter hat. Einer vernünftgen Konfiguration ist deutlich höheres Gewicht beizumessen.

  • Frage zum server hardening

    Höh?
    Ich sagte doch, du sollst VNC per SSH-Tunnel betreiben, und nicht, dass du es lassen sollst.
    Übrigens funktioniert eine grafische Oberfläche per ssh ganz hervorragend. X-forwarding heißt das Zauberwort.
    Btw: Wozu brauchst du denn eine GUI auf dem Server?

  • Frage zum server hardening

    VNC unterstützt, soweit ich weiß, keine IP-ranges. Ist auch egal, denn VNC ist wegen seiner enormen Unsicherheit nicht öffentlich erreichbar. Einfach per VCP-Firewall die VNC-Ports dicht machen und per SSH-Tunnel reingehen.
    Übrigens ist ein sshd mit geändertem Port so sicher, dass du den IP-Bereich nicht einzuschränken brauchst. Da kommt keiner rein, durch den geänderten Port finden nicht einmal dumme Script-Kiddie-Bot-Angriffe statt.