Und genau das möchte ich nicht.
Somit ist meine Lösung für mich die beste vorerst 😉
Wie Du willst. Ich wollte halt nur auf die Nachteil und Alternativen hinweisen.
Beiträge von TBT
-
-
ein Satz mit Widersprüchen;
genau das Verschieben des Eintrittspunktes ist die Absicherung;
Gar keine Widersprüche. Wenn man in einem ungesicherten oder fremden WLAN / LAN hängt und unklar ist, ob da was mitlauscht (MitM), dann ist ein VPN zu einem vertrauten Endpunkt eine Absicherung, da diese fremden Netze dann nichts mitbekommen und mitlauschen können. Das Heimnetzwerk sollte jedoch eher ein "vertrautes" Netzwerk sein, falls nicht hat man sowieso ein Problem. Und daher bringt eine Verschiebung hier auch keine "Absicherung". Anonym ist man auch mit der RS IP nicht unterwegs.
Der heimische Internetzugang hängt mit dem Router trotzdem noch im Internet und kann genauso angegriffen werden wie ohne Nutzung des VPN.
eine schmale Bandbreite bei seinem Internetzugang hat,
dann braucht er diese f. den ganzen Quark schon mal nicht, welche er beim VPN-Endpunkt wegfiltert;
Naja, das wäre vielleicht bei EDGE Mobilfunkanbindungen ein Problem, bei allen anderen Anbindungen nicht. Zudem spart man sich damit jetzt nicht soo viel mehr ein.
Auch eine heimische DNS Adblocklösung verhindert, dass Dinge überhaupt geladen werden, weil der Client die Ressource durch den Block nicht laden kann.
sinnloser Traffik, welcher erst an seiner Fritte geblockt werden würde, wird hier sinnvollerweile beim VPN-Endpunkt gefiltert
und das macht absolut Sinn;
Nicht wenn DNS zu Hause gar nicht mehr geht, wenn das Internet down ist.
-
Wie nutzt du den lokalen Dienst unterwegs übers Mobilfunk?
Gar nicht. Dafür gibts Adblocker für iOS | AdGuard-Werbeblocker und Adblocker für Android | AdGuard-Werbeblocker | Herunterladen
Zu Hause nutze ich eine Pi-Hole Installation in einer VM auf dem Homeserver.
-
Eben nicht. Mit und ohne VPN macht bei mir keinen Unterschied, da WireGuard auf dem RS läuft und nicht auf der Fritze.
Wireguard läuft bei einem LAN Tunnel auf beiden Seiten und natürlich ist auf beiden Seiten erhöhter CPU Aufwand nötig.
Wie (1) FRITZ!Box und WireGuard VPN - Der große Performance Test mit FRITZ!OS 7.57 - YouTube zeigt, ist es sehr vom FritzBox Modell abhängig, wie die Wireguard Performance ist. Bei manchen Modellen ist die Performance sehr sehr gut, andere leiden hart unter dem VPN. Hätte ich mir nicht gedacht, dass manche FBs hier SO gut performen. Nice.
Nochmal zur Sinnhaftigkeit: Du sicherst hier gar nichts ab, sondern verschiebst in der Tat nur Deinen Eintrittspunkt ins Internet.
Und nochmal: fürs Adblocking macht der lokale Betrieb von AdGuard oder Pi-Hole deutlich mehr Sinn. Andersrum wird ein Schuh draus: wenn der AdGuard auf dem Quack öffentlich (und nicht nur durchs VPN) zugänglich ist, kann er für DNS Amplification Attack – Wikipedia missbraucht werden. Wenn er wirklich nur im VPN erreichbar ist, kann er auch gleich nur im LAN erreichbar sein mit dem Bonus, dass die lokale DNS Auflösung auch noch ohne Internet funktioniert.
-
Völlig OS unabhängig:
Ich habe meine OTPs in 1Password (auf dem EU Server). Dadurch können sie nicht verloren gehen, wenn das eine OTP Geräte kaputt / verloren geht, gestohlen wird oder sonst nicht mehr verwendbar ist.
Hardwarefaktoren wie Yubikeys haben mit 25 Keys nur eine sehr begrenzte Speichermöglichkeit für Faktoren, wenn man trotzdem welche verwenden will, wäre es wohl empfehlenswert, nur EINEN Key auf einem solchen Hardwaregerät für die Verwendung mit einem unterstützten Passwortmanager zu verwenden, z.B. 1Password | Two-Factor Authentication | Yubico . Wenn man das so machen will, daran denken, dass man mindestens ZWEI Hardwarekeys kauft und einrichtet.
-
Ja, aktuell jage ich jeglichen Traffic durchs VPN um es zu testen. Bisher konnte ich keine Einbußen feststellen.
Dann mach mal Geschwindigkeitstests mit und ohne Tunnel. Außerdem "ping google.com" mit und ohne, bzw. Du bekommst die Latenz ja auch beim Speedtest mitgeliefert.
Wenn die Fritzbox Wireguard macht, macht das aufgrund der schwachen CPU (für solche Zwecke) bei mittleren und schnellen Internetanschlüssen insbesondere im Download einen massiven Unterschied aus.
Zudem ist es hinsichtlich Sicherheit relativ egal, ob eine Anfrage nun vom RS oder Deinem heimischen Anschluss zu kommen scheint, mitgeloggt wird das auf jeden Fall und beide IPs sind Dir zuzuordnen. Und Adblocking macht man besser lokal, denn dann ist die Latenz der Namensauflösung niedriger.
-
Weil es gerade in einem anderen Thread wieder Thema ist:
Nutzt ihr Tools, um Paketverluste (bzw. die Zuverlässigkeit der Anbindung allgemein) kontinuierlich zu überwachen (evtl. mit Benachrichtigung/Warnung)?
Falls ja, welche?
https://github.com/louislam/uptime-kuma (ideales Paket für nen Quack) überprüft diverses und meldet per Telegram. Kann aber nur Uptime und keine Paketverluste detektieren.
Ist aber ideal, um das Netcup DNS Drama nachzuvollziehen.
-
Obwohl ich zufrieden mit NordVPN bin, habe ich mir diese Woche einen eigenen kleinen VPN via WireGuard und AdGuardHome auf meinem RS Cyber Duck installiert und bin echt begeistert. Klar, du kannst kein GeoBlocking umgehen aber rein um den Datenverkehr zu sichern und Werbung abzuschalten ist das Setup mega. Zumal meine FRITZ!Box mit dem Server verbunden ist und somit jedes Device in meinem LAN/WLAN ebenfalls ohne eine extra Config anzulegen.
Nutzt Du das VPN mit dem RS dann als Default Gateway? D.h. Von der FB aus jeglicher Traffic durch den Tunnel? Damit würdest Du Deine heimische Bandbreite limitieren und die Latenz deutlich erhöhen.
Wenn’s nur ums Adblock geht, ist es auch sinnvoller, ein AdGuardHome zu Hause zu installieren. Dann geht die Namensauflösung zu Hause immer noch, wenn der Internetzugang down ist.
-
Service schon verständigt? Ist ja dann offensichtlich ein Problem des Hosts.
-
Was mich bis jetzt von Docker abhielt, sind Instanzen (wenn nicht deklariert wo ich nicht mehr wissen konnte was wo durch Docker am laufen ist.
Ich sah Mal vor fast 2 Jahren zu wo jemand Docker für sich verwendete. Da war damals nichts strukturiert.
Was meinst Du genau?
Natürlich kann man auch Docker "schlecht" verwenden, wenn man keinen Plan und kein System hat.
Ansonsten fasst man, wie mehrfach beschrieben, alles was man für eine Anwendung braucht in Stacks (in einem docker-compose.yaml File) zusammen. Und für eine andere Anwendung macht man einen anderen Stack.
Es scheiden sich die Geister, ob man einen Datenbankcontainer für alle Anwendungen, die einen benötigen, macht und diesen überall einbindet, oder jedem Applikationscontainer seine eigene DB mitgibt. Ich finde das zweite Modell - auch wenns mehr Ressourcen benötigt - sinnvoller, da dann die Apps eigenständig sind und sich nicht gegenseitig beeinflussen können.
-
Da kann man so richtig schön veraltete Images veralteter Distributionen mit entsprechenden Abhängigkeiten generieren
Kann man machen, ja. Ebenso einfach kann man aber auch das Basisimage durch die neue Major Version austauschen, den Container neu builden und schon läuft die Anwendung nicht mehr auf z.B. Debian 11, sondern Debian 12. Davon abgesehen ist das OS des Containers ja nicht von außen erreichbar (nur der Applikationsport) und hat auch keinen veralteten SSH Server der gehackt werden könnte.
unnötig freien Festplattenplatz eindampfen
Wofür? Immer mal wieder unbenutzte Images cleanen und fertig. Wie schon an anderer Stelle erwähnt: wenn Deine Container viele Gigabytes groß sind, sind sie falsch gebaut oder konfiguriert.
bindings auf localhost generieren
Man kann überall Fehler machen, wenn man nicht weiß was man tut.
sich so richtig schön im gepolsterten Container austoben, solange man nicht zum falschen Repository pardon Hub greift. Und das alles nur mit dem richtigen yaml und docker-compose up und down. Hurrayhurray!
Ist ja ganz lustig. Es ist auch praktisch, wenn man sich nicht das System mit kaputten Abhängigkeiten beschädigen möchte, wenn man für ein Projekt was machen möchte.
Ja genau darum gehts unter anderem. Es gibt nicht nur eine Version von einer Ressource, sondern genau die, die die App braucht und jederzeit pro Container eine unterschiedliche.
solange man nicht zum falschen Repository pardon Hub greift. Und das alles nur mit dem richtigen yaml und docker-compose up und down. Hurrayhurray!
Es gibt in erster Linie https://hub.docker.com/ . Daran bedient sich die überwältigende Mehrheit. Naja, die Arbeit fließt bei Docker in die richtige Konfiguration des docker-compose Files und nicht in die Abarbeitung eines Howtos. Der Vorteil ist, dass wenn man die richtige Konfig mal hat, man sie für immer und beliebig viele Hosts hat. Wie gesagt: die meisten Anwendungen werden mit einem Docker Setup angeboten. Installier mal Informationen & Support - mailcow: dockerized Dokumentation manuell - mit 16 Containern für einen vollständigen Mailserver via Docker kein Thema. Manuell wird eine so komplexe Sache gar nicht zur Installation beschrieben.
Aber Herrjemine... effizient, überschaubar und gut zu administrieren?!?
Effizient? Ich finde schon. Denn anders als bei VMs werden nicht unnötig Systemressourcen reserviert, sondern ein Container benötigt nur so viele Ressourcen, wie er verwendet.
Überschaubar? Absolut! Alles was zu einer Anwendung gehört, steht in einem Compose File und wird in ein Netzwerk gepackt. Es ist klar definiert was rein und was raus geht und wo die persistenten Dateien und Ordner liegen. Du kannst jederzeit jeden Container löschen und neu spawnen.
Gut zu administrieren? Ja. Wie gesagt, die Trennung ist vorteilhaft. Es gibt zudem Unterstützungstools (auch über Container installiert), die die Anzeige, Administration und die Updates der Container unterstützen. Schau Dir mal das recht neue louislam/dockge: A fancy, easy-to-use and reactive self-hosted docker compose.yaml stack-oriented manager (github.com) an. Super Sache.
Hat sich hier schon mal jemand mit Docker unter Windows befasst?
Nicht Dein Ernst!?
Puh.TLDR: es geht, aber mach es nicht. Unter MacOS ist das jedoch ganz gut machbar, das hat aber ja auch einen unixoiden Unterbau.
-
Wenn sich jeder Container am Host OS bedient, is es dann sehr wichtig welches Host OS ich für Docker verwende?
Um die Frage etwas einfacher zu beantworten:
- es sollten Updates für das OS verfügbar sein (logisch)
- man kann jederzeit Container, die auf anderen Linux Distris aufbauen, auf seinem Host laufen haben
- der Container bringt alles mit, was zum Betrieb der Anwendung benötigt wird
So bauen manche Container z.B. auf index | Alpine Linux auf, das sich dadurch auszeichnet, dass es auch extrem klein kommen kann (z.B. 7 Mbytes , damit die App laufen kann). Das heißt aber nicht, dass der Host Alpine Linux sein muss. Da geht alles für was Docker funktioniert.
-
Meine Strategie: Solange rumprobieren bis es klappt.
This is the way!
-
sogar mit reverse proxy.
Das ist eigentlich meistens mein Stolperstein, Webanwendungen vernünftig mit dem laufenden https://nginxproxymanager.com/ zu verknüpfen. Manche Anwendungen machen gar keine Probleme und manche sind zickig.
-
fällt ja dann der Groschen und ich merk: Geile Sache
100%
Ansonsten machen wir hier mal ein "wie fange ich mit Docker an" Thema auf und dann gehts los.
Oder ne Docker Discord Session.
-
Mach es, kann ich da nur empfehlen. Es existiert definitiv eine Umstiegs- und Lernhürde. Aber wenn die überwunden ist wirst Du Dich fragen, wieso Du es jemals anders gemacht hast.
Docker verlagert den Aufwand vom Howto befolgen auf die passende Erstellung der Containerumgebung
Vorteile:
- viele Anwendungen voneinander getrennt auf ein und derselben Kiste
- keine Abhängigkeitskonflikte (wenn eine Anwendung eine bestimmte PHP, Node.js oder DB Version braucht: egal, jede Anwendung bekommt unabhängig was sie braucht).
- hast Du ein "Kochrezept" (=docker-compose.yaml File), hast Du es für immer und überall. Egal ob Du es einmal oder 100x brauchst, Du kannst es immer und überall verwenden.
- Updates: Container löschen, neues Image ziehen, Container neu spawnen. Das geht auch z.B. mit Watchtower automatisch. Damit sind Updates (oder auch Backgrades) absolut trivial.
- https://hub.docker.com/ als Repository von extreeeem vielen Containern.
- Quasi jede Anwendung bietet mittlerweile ein Setup via Docker (Compose) an.
- Es gibt nette Verwaltungssoftware wie https://www.portainer.io/ oder https://github.com/louislam/dockge , die einen unterstützt.
- Machst Du Dir ein privates Repo auf Github oder einem privaten Git Server (z.B. Gitea, Gitlab) und syncst dort die compose Files hin, kannst Du Deinen Stack überall hin pushen und laufen lassen.
Und noch so viel mehr.
Einfach mal nen Server oder ne VM zu Hause machen und loslegen. TIP: NICHT auf Windows machen, sondern gleich vernünftig auf nem Linux Host.
-
Ich habe nur den Link zum Whois-Auszug der DENIC an die Telekom weitergeleitet und wurde auch freigeschaltet.
Merk ich mir. Danke!
-
-
Gibt es denn noch Leute, die hier ernsthaft einen Mailserver betreiben? Wie gut oder schlecht klappt das?
Ja, schon seit langem. Läuft gut.
Die einzigen beiden Eingriffe:
- eine neue IP muss bei T-Online whitegelistet werden, hierfür muss man ein Impressum auf einer Website unterhalb der Maildomain nachweisen können (also auf http://www.meinedomain.de , wenn der rDNS Eintrag und Haupt MX auf mail.meinedomain.de auflöst/verweist).
- Ausgehend habe ich alle MS Maildomains selektiv (geht bei Kerio Connect) über https://www.brevo.com/de/ geleitet. (z.B. hotmail.de, outlook.de / .com etc.).
-
Sehr nahe an der Realität!
