Beiträge von frank_m

Ich denke, es gibt ein neues Rechenzentrum, in das kein Licht eingebaut wird.

Die Server sind für Leute, die such mit deren Administration auskennen. Kettensägen nutzt man auch nicht ohne entsprechende Ausbildung. Warum hohe Schadensersatzzahlungen riskieren und andere schädigen? Die Folgen treffen ja nicht nur dich, das ist das Problem.

Das Forum ist für alle da. Es gibt ja auch anfängertaugliche Produkte wie managed Server.

Das Problem ist, wenn man auf einem Server anfängt, der ungeschützt im Internet hängt. Der kann nämlich gehackt werden und wird dann missbraucht. Viele hier leiden unter geblockten IPs, weil Dienstleister die Netze sperren, wenn die Server zu SPAM Schleudern werden. Durchsuche das Forum, es gibt zahlreiche Fälle.

Klein anfangen ist ok, aber besser auf einer VM zu Hause. Dort kannst du auch rausfinden, wie das mit dem Dist Ordner funktioniert. Und auch, wie man einen Server ordentlich absichert und ihn gegen Attacken schützt.

Zitat von BavarianGeek

domain.tld
Da alle anderen Einträge wie A, AAAA korrekt abgefragt werden, denke ich nicht, dass hier ein Fehler vorliegt.

Nur, um das noch kurz abzuschließen: Du weißt, dass der TXT Record nicht auf domain.tld liegt, sondern auf _acme-challenge.domain.tld?

Zitat von BavarianGeek

Bei Abfragen wird einfach nichts ausgegeben bzw. "Record not found!"

Dann zeige doch mal, was genau du da eingibst.

Ja, es gibt was zu beachten. Hilft dir das weiter?

Dann zeig doch mal (anonymisierte) Screenshots der DNS Zone und die Ergebnisse von dig oder nslookup für verschiedene Einträge der Domain, auch für den TXT. Im Moment können wir nur raten.

Ja, wenn auch möglicherweise nicht einfach. Die Frage ist: Warum? Welches Problem willst du damit lösen? Die Frage hört sich für mich eher nach einem XY-Problem an.

Im Moment sieht man keine Fehlermeldungen, warum der Start scheitert. Ggf. gibt es da noch andere Logs im journal, oder du könntest munin-node mal mit den DAEMON_ARGS von Hand starten, um zu sehen, worüber es sich beschwert.

Wenn ich bei google suche "howto secure a vps", dann finden sich verschiedene Anleitungen für verschiedene Anwendungsfälle. Einige beschreiben Server mit einer Firewall beim Hoster, was bei netcup aber nicht der Fall ist.

Diese Howtos eignen sich besonders gut, um herauszufinden, was ich alles tun muss. Wenn dort dann steht, dass man sich um die Firewall kümmern muss, dann kann man in Abhängigkeit seines Firewall Frameworks (ufw, iptables, nftables) dann wieder ein geeignetes Howto raussuchen, das das im Detail erklärt. Gleiches gilt für Fail2Ban, WAF oder die Serveranwendungen an sich.

"Das" Betriebssystem gibt es ja nicht. Es kommt gerade bei Linux massiv darauf an, welche Komponenten du installierst. Da kann schnell mal Faktor 2 oder 3 fürs "Betriebssystem" benötigt werden, denn viele Bibliotheken etc. installieren sich in die Basis Ordner, die man meistens nicht auf externe Partitionen auslagert.

Dringende Empfehlung: Probiere es aus, und zwar auf einer VM bei dir zu Hause. Da kannst du nichts kaputt machen, die kann nicht gehackt werden, und du kannst in aller Ruhe herausfinden, welche Partition wie groß sein muss und was du wo hininstallierst. Darüber hinaus kannst du dann üben, wie du die Serveranwendungen, die Firewalls und andere Sicherheitsmaßnahmen einrichten musst, und wenn das alles zufriedenstellend funktioniert, dann ziehst du es um auf einen echten Server.

Im Laufe der Installation werden mehrere IPs angezeigt, auch die für die internen Netze. Das können ja durchaus private IPs sein. Außerdem weiß ich jetzt nicht, ob Proxmox schon während der Installation die IPs am WAN abruft und anzeigt.

Vielleicht kannst du das durch Screenshots noch besser verdeutlichen.

Zitat von BobDig

Wenn ich nun aber erneut installieren will, wird mir nur eine private IP-Adresse angezeigt.

Wo wird die angezeigt?

Wireguard unterscheidet gar nicht zwischen Server und Client. Es reden zwei gleichberechtigte Partner miteinander. Wenn es einen Unterschied zwischen Server und Client gibt, dann ist es das Routing, das man um Wireguard herum baut.

Zitat von Taschenphilosoph

Ist das wichtig, auf ens3 umzustellen (selbstredend mit der zugehörigen iptables-Konfig, etc.)

Nein. Setze einfach das Interface in der Konfiguration, das du benutzt. Es ist nur ein Name.

Zitat von Taschenphilosoph

Danach habe ich noch diese vielversprechende Anleitung gefunden, die aber von 2017 ist.

Oh, aus dem ägyptischen Museum. Werden noch Dinosaurier erwähnt?

Zitat von Taschenphilosoph

Weil das noch mehr Fummelei ist und es vermutlich gibt es noch weitere Anleitungen gibt, deren Aktualität und Qualität ich nicht einschätzen kann, wollte ich fragen, ob jemand eine netcup-best-practice Proxmox-Konfig kennt/hat, die den aktuellen Gegebenheiten hier ungefähr entspricht und ich anpassen könnte.

Die Fummelei wird noch deutlich größer, als in der Anleitung beschrieben.

Suche mal nach "ndppd" hier im Forum. Das Problem ist nicht die IPv6 Konfiguration der Proxmox VMs, sondern sie erreichbar zu machen. Wie in deinem Artikel ja auch steht, nutzt Netcup kein geroutetes Subnetz, sondern ein geswitchtes. D.h., du musst der Infrastruktur bei netcup klar machen, dass da IPv6 Adressen bei dir im Einsatz sind, die sie nicht direkt auf dem Interface des Hosts sehen können: Ein NDP Proxy. Problem: Selbst mit einer perfekten NDP Konfiguration wirst du auch fernerhin Paketverluste und Lags beim Zugriff auf deinen Server feststellen. Wie gesagt, die Threads mit dem Begriff "ndppd" geben dir einen Überblick über die Probleme.

So richtig gut wird es nur, wenn du ein zusätzliches /64 für deinen Server buchst. Das ist ein geroutetes Netz, und es gibt die beschriebenen Probleme nicht.

Das ist aber vermutlich ein rein kosmetisches Problem, oder?

Dann weißt du ja jetzt, wo du suchen musst. Vermutlich hilft dann auch ein Roll-Back nicht. Die Ban-Liste bleibt die gleiche.

Was heißt "geht gar nicht"? Server? Client? Dienst startet nicht? Firewall blockiert?

Und was genau ist mit crowdsec? Hast du es deaktiviert?

Ein Roll-Back kann nicht die Lösung sein. Spätestens beim nächsten Update holt dich das Problem wieder ein. Du kannst nicht ewig auf Sicherheitsupdates verzichten, und du bekämpfst Symptome anstatt Ursachen.

10 Sekunden lang gehts? Da muss man wenig Fantasie haben, um zu merken, dass irgendein Dienst eine Sperre einrichtet. Fail2Ban, Docker, ufw, nftables, crowdsec, ...

Ich habs gerade eben noch mal getestet, grundsätzlich ist es möglich, ssh und ftp Verbindungen zwischen Webspace und RS aufzubauen. In beide Richtungen.

Ok. Aber sei dir bewusst, dass du durch Verändern solcher Informationen das Problem verschleiern kannst. Die oben erwähnten Besonderheiten bei Fritzboxen beziehen sich nämlich vorrangig auf die Wahl des Transportnetzes, und ein Fehler dort kann auch die von dir beschriebenen Symptome auslösen.

Welche privaten IPs in deinem Heimnetz zum Einsatz kommen, ist nicht wirklich dramatisch. Das kann von außen niemand ausnutzen. Abers für VPN kann es dramatische Konsequenzen haben, wenn dort was falsch ist.