Bei uns hat Teams leider komplett die Bude übernommen. Wie groß kann man Jitsi Meetings denn heutzutage gestalten?
Beiträge von TBT
-
-
Tailscale Netz, eingehende Regeln nötig?
Outgoing rsync im Tailscale Netz
Ich habe auch Tailscale auf meinem Server hinter der NC FW. Alles was über den Tunnel geht, kann so betrachtet werden als gäbe es keine Firewall. D.h. alle Ports (über die Tailscale IP) sind ohne weitere Maßnahmen erreichbar (z.B. irgendein Port für irgendeine Weboberfläche zur Verwaltung), dazu zählt auch SSH. Sobald Tailscale installiert ist, kann man also m.E. den eingehenden SSH Zugang unterbinden und spart sich damit viele "Anklopfversuche" und erhöht die Sicherheit.
-
Shutting down customers' server for something they didn't do is wrong. Netcup should at least give users a day to respond before locking them out and asking them to provide a straight 4-hour time window in advance to access it or loose it, which only people with lots of freedom can do.
If this is you: https://www.reddit.com/r/VPS/comments…eged_mining_no/ , your legal opinion there as here is just wrong.
Have a look at https://www.netcup.com/en/terms-and-conditions -> Point 5. , and in there especially part 7.:
ZitatIf the customer breaches the code of conduct as set out above or if there is a well-founded suspicion of the same, netcup is entitled to temporarily block the provision of services normally provided to the customer. This applies particularly if a cease-and-desist order is brought against the customer by third parties for certain specified reasons that are not manifestly unfounded, or in the event of an investigation being conducted by state authorities. If possible, netcup will grant the customer a hearing before withdrawing services; if the urgency of the situation makes this impossible, netcup will inform the customer after the event and offer the latter an opportunity to make a statement. Services are resumed as soon as the suspicion proves groundless or infringements are identified that entitle netcup to terminate the contract without notice
In this case, the urgency of the situation seemed to have made a hearing before withdrawing services impossible.
Shutting down customers' server for something they didn't do is wrong.
It absolutely isn't!! The customer is the solely responsible person for everything running on servers which are only administered by the customer (should be obvious). When something problematic has happened, it doesn't matter if the customer caused it or not. It is her/his responsibility. Period. One could say that also a hacked server is something a customer did (not securing the server enough, not updating software, installing malware, etc.).
As said on Reddit: you should be thankful that this has happened, so that you can work on the problem instead of having a compromised server online which could do things with way worse consequences for you. Having the server offline damages you less than having it compromised.
-
Meine Entdeckung des Tages: https://dockhand.pro/
Für mich eine sehr ansprechende Alternative zu Portainer.
Gestern auf einem neuen "Pro" vom Black Friday installiert. Sehr sehr fein. Hat alles was nötig ist, ist zügig installiert.
Mein Gamechanger vs Portainer: Portainer schreibt die Compose Files in seine eigene Ordnerstruktur irgendwohin. Das kann ich nicht leiden und hilft nicht für einfaches Backup. Portainer kann daher auch manuell gestartete Compose Files nur sehr begrenzt verwalten (eher zum read only). Bei Dockhand erkennt das Tool, dass der Stack manuell gestartet wurde und fragt nach, wo das Compose File dazu gespeichert ist. Wenn man das mal gematcht hat, kann man das originale File mit Dockhand grafisch bearbeiten und das File bleibt dabei wo es ist. So geht der Umgang mit eigenen Compose Files.
Zudem nice: Git Funktionalität zum Launchen eigener Stacks, die in einem privaten Git liegen (z.B. Github). Und SMTP / Push Notification Funktionalität (bei mir Telegram Bot). Zudem Scan von neuen Images nach Sicherheitslücken vor Launch und Autoupdatefunktion (oder auch nur Hinweis auf verfügbare Updates), d.h. Watchtower braucht man nicht mehr.
-
Ich denke dass die stateless Firewall von Netcup wohl auf dem Switchport als Funktion des Switch OS implementiert ist. Alternativ könnte es auch eine Funktion der Virtualisierungslösung sein, auf der alle unsere Server laufen.
So nutze ich die Netcup FW:
- Als letzte Regel: Eingehend DROP all, Ausgehend ACCEPT all. Damit werden Anfragen von außen geblockt, es sei denn sie werden weiter oben erlaubt, der Server kann jedoch raus und z.B. Updates ziehen, DNS abfragen etc.
- Ich erstelle mir im SCP unter Optionen des Accounts Firewall Policies als Paket für einen Anwendungszweck. Dabei separiert wenn nötig (z.B. HTTP und HTTPS sind zwei getrennte Policies) und zusammen wenn sinnvoll (z.B. für eine Anwendung, die mehrere eingehende Ports oder Portranges braucht.
- Dann werden beim jeweiligen Server nur die Policies aktiviert, die nötig sind.
- Ich nutze als VPN https://tailscale.com/ , das ist auch auf jedem Server drauf. Nach der Einrichtung eines solchen VPN ist es z.B. ohne weiteres möglich, die SSH Policy zu deaktivieren, dann geht SSH nur mehr über das VPN. Wie viele 24/7 "Anklopfversuche" man sich damit ersparen kann, brauche ich wohl nicht weiter ausführen.
- Die Firewall kann zudem Verwaltungsoberflächen, die eigentlich nicht über das Internet erreichbar sein müssen, schlicht wegblocken (da braucht man gar nichts spezifisches machen). So ist z.B. der Verwaltungsport für https://dockhand.pro/ , meiner Dockerverwaltung auch nur übers Tailscale VPN erreichbar, nicht jedoch übers Internet. Das war vorher nur bedingt möglich ohne Gefahr sich selbst auszusperren. Auch das Verwaltungsinterface von https://nginxproxymanager.com/ auf Port 81 braucht nicht im Internet sein. Zudem ist es damit relativ egal, ob solch ein Interface HTTP oder HTTPS ist.
Firewalls korrekt zu konfigurieren hat schon immer grundlegendes Verständnis von Netzwerken erfordert. Ein solches zu entwickeln wird nicht nur für einen Netcup Server nützlich sein, sondern für jegliches Netzwerkgeschehen. Die Regeln, die die Netcup Firewall bietet sind absoluter Standard, das ist bei so ziemlich jeder FW so.
-
Leute, ich verstehe Euch nicht.
Da wünscht man sich seit Jahren eine externe Firewall, dann implementiert Netcup diese (VIELEN DANK DAFÜR!!!! Bestes Feature der letzten 10 Jahre) und jetzt kommen die Mimimis, weil eine Firewall nun doch einiges an Konfiguration erfordert und weil man diese Zeit nicht in die Sicherheit der eigenen IT Infrastruktur investieren will, wird die FW >>ABGESCHALTET<<????
Es ist doch super, dass man Firewall Template Policies mit mehreren Ports im Paket erstellen kann und diese dann einfach bei jedem Server, bei dem man sie braucht, anwenden oder weglassen kann.
-
Nicht aber, wie bei Netdata, dass du alle Server in den Diagrammen vereint hast.
Ah ok. Das meinst Du.
-
Was mir etwas fehlt ist ein Dashboard, dass alle Server kumuliert anzeigt. Das hatte Netdata und ich fand's immer ganz gut.
Aber genau das kann doch Beszel super easy und bietet einem für andere Server extra ein fertiges Docker Compose File oder einen einzigen binären Befehl, den man schlicht Copy & Pasten muss.
-
Das wird wahrscheinlich immer noch gleich sein, weil NC Webhosting mit Sicherheit kein Postgres und Ruby mitliefert, da bringt dir ne Anleitung recht wenig :-\
Python, Ruby und NodeJS werden ab dem Webhosting 4000 ( siehe https://www.netcup.com/de/hosting ) mitgeliefert. Aber halt immer noch kein Postgres und Redis.
-
ist das immer noch so oder geht das mittlerweile … discourse oder eine ander forensoftware auf webhosting per ssh und ruby. gerne anleitung posten.
Da hat sich im Grundsatz nichts geändert.
https://github.com/discourse/disc…NSTALL-cloud.md auf mindestens einem VServer ist the way to go.
sind nun die Voraussetzungen. Die Datenbanken des Webhostings sind ausschließlich MySQL und Redis ist beim Webhosting nicht verfügbar.
-
Dann ist es ja gut, wenn es mittlerweile geht, allerdings auch erst seit 2023.
-
Dann sehr mysteriös. Bei mir ist nichts ungewöhnliches zu finden, allerdings läuft da auch quasi nichts drüber. Auch automatisch aktualisiert auf 1.12.2.
-
Pangolin Users aufgepasst
Meine Instanz (1.12.2) ist scheinbar um ca. 13:30 infiltriert wurden.
Check eure Instanzen.
Hast Du 2FA Authentifizierung aktiviert? API Keys irgendwo ungeschützt abgelegt?
-
also ich hab das selbe vor, ich warte dazu auf einen verfügbaren VPS 1000 ARM G11.
Während es zwar Mailcow für ARM mittlerweile gibt, ist es die x86 Plattform, die schon immer und womöglich besser unterstützt wird. Wenn man sich einen VServer für speziell Mailcow besorgt, dann würde ich daher eher keinen ARM Server nehmen.
-
Die Firewall (als jahrelang gefragtes Feature) ist ja mal das BESTE Weihnachtsgeschenk!!! DANKE an die Weihnachtswichtel!!!
Großartige Sache, die die Sicherheit der Server deutlich erhöhen kann und (wenn richtig angewandt) wird. Gut dass ich beim BF ordentlich aus der G12 eingekauft habe.Ich finde den vorkonfigurierten Mail-Block völlig in Ordnung. Hey. Wir sind alle Serveradmins, da werden wir ja noch ne Firewall konfigurieren können, wenn wir explizit Mailserver betreiben wollen. Wer das ohnehin nicht will, fährt mit dem Block nicht verkehrt.
-
Ich will das Ding als Webserver nutzen, ich denke mal, da ist Single Core Speed auch nicht ganz verkehrt.
Ein Webserver ist eigentlich das Paradebeispiel für Multi-Threaded Computing. Insofern hängt das wohl von der Anwendung ab, ob mehr Kerne oder mehr Frequenz besser sind. In der Regel ist es der Job eines Web-Servers, Daten an mehrere Concurrent Users auszugeben. Da sind mehr Kerne meist nützlicher als mehr Frequenz.
-
musste mich über folgendes Formular freischalten lassen:
Uh, wow! Wusste ich nicht!
Danke für den Tip.Ich habe in der Vergangenheitsform geschrieben, weils mit dem Kerio Mailserver bei Netcup eh bald vorbei ist. Mittlerweile bin ich mit einem Hosted M365 Online "Exchange" Postfach bei MS selbst.
-
Nö, einer reicht, den würde ich auch behalten.
-
neuen Challenge-Typ hingewiesen, den es ab 2026 geben soll: DNS-PERSIST-01. Damit werden keine ständigen Änderungen am DNS mehr nötig sein, um Wildcard-Zertifikate ausgestellt zu bekommen.
DAS ist ja großartige News!!! Damit ist dann die Zeit der API Keys zum SSL Zertifikatsabruf entweder vorbei oder deutlich reduziert.
-
Nicht dass ich wüsste.
