Beiträge von extremmichi

Ist die DB so konfiguriert, dass sie Anfragen von extern entgegennimmt?
Das ist im Normalfall deaktiviert

Zitat von [netcup] Felix

Ein Nachtrag:

Das Problem lag an Squeeze. Wir haben hier ein Update eingespielt, dass das Problem behoben hat.

Es ist ratsam heutzutage das neuere Wheezy als Image zu nutzen.

Mit freundlichen Grüßen

Felix Preuß

Alles anzeigen

Netcup bietet doch noch ein paar Images für squeeze an die es für wheezy nicht gibt.

owncloud
ispCP
Confixx

evtl könnte man die images an wheezy anpassen,
dann könnte die ganzen squeeze-Images gelöscht werden.

Gruss

michi

du solltest dich mal ernsthaft mit den Benutzerrechten unter Linux auseinandersetzen

wie du tobi in die Gruppe www-data eintragen musst habe ich weiter oben schon geschrieben

groups tobi

sollte dich aufklären......

Ansonsten einfach mal " Benutzerrechte + linux" bei der Suchmaschine deiner Wahl eingeben

Gruss

michi

ist tobi denn nun in der Gruppe www-data?
immerhin gehört nun alles www-data

Ausserdem ist es immer gut den Rootlogin zu verbieten.
du kannst dich als tobi anmelden und dann
mit su alle administrativen Aufgaben erledigen.

Gruss

michi

Hi mainborder,
ja es funktioniert gut mit fail2ban
alles wird schön geblockt.

Alles was nicht benötigt wird, ist dicht.

Danke nochnal
michi

ich muss das leider auch bestätigen , dass nicht immer eine mail ankommt.
Die Warscheinlichkeit würde ich eher bei 1/3 ansetzen als bei 1/2 der Installationen.
Es kam sogar einmal vor , dass die Installation komplett stoppte.
Hierzu gab es ein Ticket von mir NC#2014121310002915
Vorgekommen ist es bei debian minimal

Gruss

michi

Hi mainborder,
danke für die Antwort.
die IPTables-Regel habe ich noch nicht ganz verstanden, deshalb habe icch dies noch nicht getestet.
Da es heute aber wieder losgeht von 3 IP gleichzeitig,
habe ich eine Regel für Fail2ban erstellt.
jail.local:

[tcp-packet]
enabled = true
port	= http,https
filter  = tcp_packet
logpath = /var/log/syslog
maxretry = 30

und die tcp_packet.conf

# Fail2Ban configuration file
#
#
[Definition]
# Option:  failregex
# Notes.:  regex to match the massive "TCP: Drop open request from IP" messages in /var/log/syslog. 
# Log-Line:  Dec 29 00:15:37 v22014046962XXXXX kernel: [213560.152138] TCP: drop open request from 5.9.102.XXX/3009
# Values:  TEXT
#
failregex =  TCP: drop open request from <HOST>/*
# Option:  ignoreregex
# Notes.:  regex to ignore. If this regex matches, the line is ignored.
# Values:  TEXT
#
ignoreregex =

fail2ban-regex /var/log/syslog /etc/fail2ban/filter.d/tcp_packet.conf

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
	5.9.102.XXX (Mon Dec 29 00:15:37 2014)




Date template hits:
6660 hit(s): MONTH Day Hour:Minute:Second
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

es scheint also zu funktionieren.....

Mir stellt sich immernoch die Frage,
da diese "Angriffe" neu für mich sind,
kann es nicht doch eine Fehlfunktion meines Servers sein?
2 IP heute sind aus dem Hetzner Netzwerk und einmal Ukraine.
Bevor ich also die Welt in Aufruhr bringe, möchte ich eigene Fehler ausschliessen.
Ausserdem bin ich mir unsicher über den Wert für
maxretry = 30
Reicht das? (dein Vorschlag war 40-80)
oder ist das überdimensioniert und <10 reicht ?
Ich nutze den Server ganz allein Es gibt keine Dienste nach aussen, die angeboten werden
Nichtmal ein mailserver aktiv.

Danke im Voraus

michi

Zitat von Tobiaslb

Hi,

Ah Top, wo muss da noch der Benutzername "tobi" rein: chgrp -R www-data /var/www

Danke & Gruß

garnicht!

Wie Ray in #15 schon schrieb sollte alles unterhalb von /var/www dem Webserver-Benutzer gehören.
und das ist in den meisten Fällen www-data.
Und genau da solltest du ansetzen.
Setze mal www-data als Besitzer ein und nicht root
Dafür gibt es den Befehl "change Owner" kurz chown
chown -R www-data.www-data /var/www
Was das -R bedeutet wurde ja schon gesagt "rekursiv -also alle Unterordner"
[ Ray Ein "Managementtool" wird vermutlich nicht eingesetzt , sonst würde root nicht alles gehören]

Zitat von Tobiaslb

Normalerweise müsste user tobi in www-data mit aufgenommen sein, jedoch kann ich mit dem nur lesen, aber nichts speichern.
""
Gruß

Was genau hast du getan um das zu erreichen?

usermod -a -G www-data tobi

wäre da schon richtig

Gruss

michi

Hi @ALL
seit ein paar Tagen füllt sich mein syslogmit folgenden Zeilen:

/var/log/syslog:Dec 26 19:00:26 v220140469621XXXX kernel: [21848.570990] TCP: drop open request from 192.230.77.217/27838
/var/log/syslog:Dec 26 19:00:32 v220140469621XXXX kernel: [21854.757530] TCP: drop open request from 192.230.77.217/7232
/var/log/syslog:Dec 26 19:00:33 v220140469621XXXX kernel: [21856.052063] TCP: drop open request from 192.230.77.217/15792
/var/log/syslog:Dec 26 19:00:34 v220140469621XXXX kernel: [21856.474268] TCP: drop open request from 192.230.77.217/50260
/var/log/syslog:Dec 26 19:00:36 v220140469621XXXX kernel: [21859.322258] TCP: drop open request from 192.230.77.217/37327
/var/log/syslog:Dec 26 19:00:37 v220140469621XXXX kernel: [21860.231697] TCP: drop open request from 192.230.77.217/8175
/var/log/syslog:Dec 26 19:00:38 v220140469621XXXX kernel: [21860.553607] TCP: drop open request from 192.230.77.217/26571
/var/log/syslog:Dec 26 19:00:39 v220140469621XXXX kernel: [21861.363653] TCP: drop open request from 192.230.77.217/27648

Eine Suche bei google bringt mir 3 Lösungen
1: persistente Verbindungen im Apache
2: Tor-Relay ( Tor ist nicht installiert)
3: DoS-Atacke (kein DDoS, da nur die eine IP auffällt), Sysn-Cookies

Ich vermute, wenn ich weitersuche , bekomme ich noch mehr Lösungsangebote.
Die IP ist erstmal geblockt per IPTABLES und seitdem ist Ruhe.
Ich habe die IP durch ganz /var/log/ verfolgt und sie fällt in kineer anderen Datei auf als
Syslog kernel.log und debug auf.
Das bedeutet ich weiss nicht auf welchen dienst sie nun zugreift oder versucht zuzugreifen.
Fakt ist, der Server wird rein privat (nur von mir) genutzt mit dem owncloud-image.
Webserver ist also installiert , keine weitere Webseite vorhanden.
Die Adresse kommt aus USA und hat definitiv nix auf meinem zu suchen.
Ich gehe also davon aus, dass der nichts Gutes im Schilde führt.

Zu o.g. Google-Ergebnissen
1: persistente Verbindungen abschalten?
Was ist mit den Performanceeinbußen?
2: Tor ist nicht installiert, was kann ich also tun?
3: DoS? wie kann ich Iptables anweisen die evtl. kommenden IP'S sperren
oder kann mir jemand helfen einen Filter für fail2ban zu machen?

Was kann/soll ich tun?

Gruss

michi

was ja dann auch Frage 2 beantwortet
danke

Ich habe leider kein Paket ergattern können im Adventskalender.
Da ich aber auch im Forum nicht asehr aktiv bin ,
neide ich das den Empfängern nicht.
Glückwunsch an alle Beschenkten

Hallo an alle,
auch auf die Gefahr hin gesteinigt zu werden,
habe ich ein Verständnisproblem mit FTP.
Wird sFTP durch ssh getunnelt oder nur der login verschlüsselt oder die gesamte Verbindung?
Daraus ergibt sich Frage 2:
Brauche ich einen FTP-SERVER wenn ich nur per sFTP auf den Server zugreife?

Danke im voraus

michi

schreibe mal an den support
bei mir musste das auch durch den support freigeschaltet werden

und das war am 30.5.

ja sowas dachte ic mir schon .
mein SSH-Port ist auch verlegt und ich habe absolute Ruhe.

Läuft ssh bei euch auf dem Standardport 22?

Gruss

michi

So ich hab mal weiter geforscht.
Der Versand geht immernoch nicht innerhalb von netcup (meine beiden Server)
Mails an andere Hoster gehen raus und kommen auch an.
Wenn ich die IP zum Hostnamen auflöse, bei div. Diensten im Internet
wird jedesmal richtig auf den Hostnamen aufgelöst.

ein dig -x 46.38.235.XXX
von den NC-Servern aus:

; <<>> DiG 9.8.4-rpz2+rl005.12-P1 <<>> -x 46.38.235.XXX
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 33366
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 3, ADDITIONAL: 6




;; QUESTION SECTION:
;XXX.235.38.46.in-addr.arpa.	IN  	PTR




;; ANSWER SECTION:
XXX.235.38.46.in-addr.arpa. 211816 IN   PTR 	ptr.XXX.235.38.46.static.yourvserver.net.




;; AUTHORITY SECTION:
235.38.46.in-addr.arpa. 151408  IN  	NS  	third-dns.netcup.net.
235.38.46.in-addr.arpa. 151408  IN  	NS  	root-dns.netcup.net.
235.38.46.in-addr.arpa. 151408  IN  	NS  	second-dns.netcup.net.




;; ADDITIONAL SECTION:
root-dns.netcup.net.	5388	IN  	A   	46.38.225.225
root-dns.netcup.net.	185 	IN  	AAAA	2a03:4000:0:1::e1e1
third-dns.netcup.net.   5254	IN  	A   	46.38.252.252
third-dns.netcup.net.   5254	IN  	AAAA	2a03:4000:8000::fcfc
second-dns.netcup.net.  4899	IN  	A   	37.221.199.199
second-dns.netcup.net.  5176	IN  	AAAA	2a03:4000:2:24b::c7c7




;; Query time: 4 msec
;; SERVER: 46.38.225.230#53(46.38.225.230)
;; WHEN: Mon Dec  8 21:32:55 2014
;; MSG SIZE  rcvd: 309

Und ein dig von ZuHause über UM

; <<>> DiG 9.7.3 <<>> -x 46.38.235.XXX
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 39276
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0




;; QUESTION SECTION:
;XXX.235.38.46.in-addr.arpa.	IN  	PTR




;; ANSWER SECTION:
XXX.235.38.46.in-addr.arpa. 21599 IN	PTR 	v2201412696221XXX.yourvserver.net.




;; Query time: 75 msec
;; SERVER: 192.168.10.101#53(192.168.10.101)
;; WHEN: Mon Dec  8 21:33:39 2014
;; MSG SIZE  rcvd: 91

Mir stellt sich nun die Frage
Ist das noch mein Problem oder von den NC-DNS ?
Wenn meins ? Was kann ich noch tun?

Gruss

michi

name:xxx.235.38.46.in-addr.arpa
ptrdname:v2201412696221xxx.yourvserver.net
ttl:604800

Es sieht also eigentlich normal aus
ich habe mittlerweile exim gegen postfix ausgetauscht
aber das Problem besteht immer noch
Es könnte also wirklich am DNS /rDNS liegen

*EDIT*
ich habe mal die anderen Abfragearten in deinem Link versucht
es liefern alle anderen "Die Anfrage lieferte keine Ergebnisse zurück.

"
bis auf den ptr

danke für die Antwort
leider hilft mir das nicht weiter
wie ich oben schrieb , wurde der rDNS angepasst und auf den Servername v220xxxxxxxxxxx.yourvserver.net gesetzt
die /etc/hostname hat den selben Eintrag.
den 127.0.1.1 Eintrag in der /etc/hosts hatte ich gelöscht
setze ich den wieder rein mit dem Servername oder localhost bringt es beides keine Veränderung.
Was genau muss ich da eintragen?

Gruss

michi

Hi an alle,
ich ärgere mich gerade über exim.
Exim versendet keine mails bzw. werden diese vom Empfänger abgelehnt
MX Eintrag ist gesetzt.
rDNS ist gesetzt
dpkg-reconfigure exim4-config wurde ebnfalls ausgeführt
und als "internetsite" eingetragen.
Hostname v220XXXXXX.yourvserver.net
ebenso in /etc/hostname eingetragen.
Sender und empfänger sind 2 versch. Server aber beide bei netcup
deshalb nicht durch die ähnlichen IP's verwirren lassen.
wenn ich versuche die malq zu versenden mit:
exim4 -qff -v
erhalte ich folgende Meldung:
Auszugsweise......

LOG: queue_run MAIN
  Start queue run: pid=16219 -qff
delivering 1XxUZn-0003nV-9E (queue run pid 16219)
R: dnslookup for michi@empfang.de
T: remote_smtp for michi@empfang.de
Connecting to mail.empfang.de [46.38.xxx.xxx]:25 ... connected
  SMTP<< 220 v220101069624xxxx.yourvserver.net ESMTP Postfix (Debian/GNU)
  SMTP>> EHLO v2201412696221xxx.yourvserver.net
  SMTP<< 250-v2201010696240xxxx.yourvserver.net
     	250-PIPELINING
     	250-SIZE 52428800
     	250-VRFY
     	250-ETRN
     	250-AUTH LOGIN DIGEST-MD5 PLAIN CRAM-MD5
     	250-AUTH=LOGIN DIGEST-MD5 PLAIN CRAM-MD5
     	250-ENHANCEDSTATUSCODES
     	250-8BITMIME
     	250 DSN
  SMTP>> MAIL FROM:<fail2ban@v2201412696221xxx.yourvserver.net> SIZE=4271
  SMTP>> RCPT TO:<michi@empfang.de>
  SMTP>> DATA
  SMTP<< 250 2.1.0 Ok
  SMTP<< 450 4.7.1 Client host rejected: cannot find your hostname, [46.38.XXX.XXX]
  SMTP<< 554 5.5.1 Error: no valid recipients
  SMTP>> QUIT
LOG: MAIN
  == michi@empfang.de R=dnslookup T=remote_smtp defer (-44): SMTP error from remote mail server after RCPT TO:<michi@empfang.de>: host mail.empfang.de [46.38.XXX.XX]: 450 4.7.1 Client host rejected: cannot find your hostname, [46.38.XXX.XXX]

Der empfangende Server meckert über den falschen Hostname aber wo kommt der her?

Dec  7 14:12:46 v22010106962403xxx postfix/smtpd[9709]: warning: 46.38.XXX.XXX: hostname ptr.XXX.XXX.38.46.static.yourvserver.net verification failed: Name or service not known

Ich weiss nicht in welche Richtung ich suchen soll

Danke im Voraus

michi

Hi Leute,
Also es besteht keine Sorge meinerseits, denn der Server war schon gefixt.
mein Beispiel war auch eher als böses Beispiel gegenüber dem "uname -a" gedacht

Die logs hatte ich schon ergebnislos durchforstet

Für die noch Unsicheren:
eine ganz leichte Suche hat man mit foldendem code in der bash

cat /var/log/apache2/access.log| grep "(){"

Wenn hier was zurück kommt ..... Aua
wolfgang
danke für die Aufklärung man lernt nie aus
ich dachte die 200 wird nur geschickt wenn die Seite fehlerfrei zurück gegeben wird.

Gruss

michi