Grundsätzlich ist das Netz 172.16.0.10/16 als VPN Transportnetz nicht zu empfehlen. Das ist viel zu groß, oder hast du 65.535 VPN Clients? Das 172er Netz wird von zahlreichen Anwendungen auf Windows benutzt, z.B. vom WSL, Hyper-V oder VMWare. Da kommt es zwangsläufig zu Adresskonflikten. Deshalb würde ich die Subnetzmaske fürs Transportnetz deutlich kleiner wählen, maximal /24, ggf. auch noch kleiner.
Wenn die Fritzbox das Netz benutzt: Noch schlimmer. Das ist genauso unsinnig wie unnötig.
Eine Firewall ist auf dem Server (noch!) nicht aktiv.
Das solltest du bald ändern. Immer dran denken, dass man von da aus jetzt direkt zu dir nach Hause kommt.
Die Verbindung wurde so konfiugriert, dass nicht der gesamte Internetverkehr des VPS über mein Heimnetz läuft, aber dass trotzdem ein beidseitiger Zugriff möglich ist.
Wie sieht die resultierende Konfig aus? Entweder ist es ein klassischer Konfigurationsfehler, oder du hast einige Besonderheiten bei Fritzboxen nicht beachtet (die grauen Info-Felder in der AVM Doku sind SEHR wichtig!).
Bedenke, die Firewall entsprechend einzurichten. Du lässt gerade alle Welt ungebremst auf deinen ProxMox Host.
Ja, Failover IPs, da macht das Sinn, weil die sich beim Server Wechsel nicht ändern. Vor allem bei Mail-Servern.
Aber hier geht es ja um eine zusätzliche IP. Und welche Anwendungen gibt es sonst noch, außer Mail, wo der Server seine Client Verbindungen zwingend über eine spezifische IP aufbauen sollte?
Aus Sicht der Nutzung auf dem Server sind "zusätzliche IP" und "Failover IP" identisch. Die Failover kannst du lediglich selber auf andere Server zuweisen, während die "Zusätzliche IP" fest an einen Server gefunden ist.
Wenn ich richtig verstehe, wird das mit der "zusätzlichen IPv4" nicht funktionieren, weil die kein Gateway hat,
Eine IP hat nie ein Gateway. Dein Server hat ein Gateway, und das wird immer genutzt. Welche IP du im Header als Quell-IP setzt, ist dabei egal.
Eigentlich sind zusätzliche IPs nur für einen Anwendungsfall interessant: Wenn man auf dem Server von außen verschiedene Dienste auf dem gleichen Port erreichen will. Zwei verschiedene Dienste auf Port 443 gehen eben nur auf zwei IPs. Welche IPs du ausgehend standardmäßig nutzt, ist im Grunde völlig egal. Es gibt nur sehr wenige Anwendungsfälle, wo es Sinn macht, die ausgehende IP auf eine zusätzliche IP zu legen.
Nutzt du aktives oder passives FTP?
Wohin baust du die Verbindung denn auf? Zu einem Webhosting?
Wie ist der Internetzugang aufgebaut? Gibt es CGNAT oder DS-Lite bei deinem Zugang? Nutzt du IPv4 oder IPv6? Teste auf jeden Fall beides.
rgendwie muss die ja jemand installiert haben.
Dazu musst ja zumindest irgendwelche rechte als Benutzer haben.
Ja, natürlich, aber auf einem nicht hinreichend gesicherten Server ist das trivial für einen Hacker.
Mein Laravel Entwickler, hat diese Option bei Netcup vorgeschlagen. Ich habe meinen managed Server gekündigt und bin mit dem ganzen Kram zu netcup gekommen.
Ist ja nett von ihm, dass er sich um Laravel kümmert, aber all die anderen Aufgaben, die bei einem managed Server inklusive sind, die hat er nicht angesprochen? Zum Server administrieren gehört mehr, als lediglich die Anwendung oben drauf zu schreiben. Aufwending sind die Grundlagen: Einrichtung, Konfiguration und vor allem die Absicherung. Habt ihr euch nie gefragt, warum ein Managed Server so teuer ist im Vergleich zu einem normalen Server?
Ich weiß, ich werde wieder Prügel dafür bekommen, weil ich hier permanent predige, dass Anfänger bitte nicht mit einem eigenen Server bei Netcup anfangen sollen. Der hängt vollkommen ungeschützt im Internet, nicht mal ne Systemfirewall ist davor. Man muss sich um alles selber kümmern, die komplette Absicherung. Man glaubt mir das ja nie, aber was dann passiert, sieht man hier. Du kannst von Glück reden, wenn nicht noch Schadensersatzansprüche auf dich zukommen. Wer weiß, was die sonst noch alles auf dem Server angestellt haben.
Fangt zu Hause auf einer VM an. Dort könnt ihr euch mit Linux und mit der Einrichtung einer Firewall befassen und das ausführlich testen. Wenn ihr euch wirklich sicher seit und hinreichend Erfahrung aufgebaut habt (und das dauert Monate, wenn nicht Jahre!), dann könnt ihr auf einen echten Server im Internet umziehen. Und immer dran denken: Bevor man die Applikation einrichtet, macht man Firewall, Absicherung, WAF usw.
Die jetzige Installation würde ich abschreiben. Es ist äußerst unwahrscheinlich, dass man die Einfallstore im Nachhinein beseitigt bekommt. Wenn sie clever waren, haben sie vorgesorgt, so dass sie immer wieder auf das System kommen können, selbst wenn du es jetzt absicherst.
Um auf deine Frage zu setzen: Du kannst de preferred_lft anpassen. Ausgehend wird die IP mit der größten preferred_lft genutzt. Dazu finden sich reichlich Beiträge im Forum, auch wie man das macht.
Derzeit können die Nutzer aus vlan 100 nicht auf den Drucker in 200 zugreifen - doch können Sie, aber nicht über AirPrint.
Das ist genau das Problem, dass oben angesprochen wurde. AirPrint nutzt mDNS Dienste, also Multicast. Das klappt nicht über VLAN Grenzen hinweg. Fang jetzt nicht mit Multicast-Proxys und ähnlichen Dingen an. Dann sind wir wieder oben: Der Aufwand für Einrichtung und Wartung (!) rechtfertigt den Gewinn in keiner Weise, denn gerade der Gewinn der VLANs (Segmentierung der Broadcast-Domains) wird dadurch massiv eingeschränkt.
Was soll die Firewall bezwecken? Deine Solaranlage wird die Sonos Lautsprecher eh nicht kontaktieren, einfach, weil sie so selten Musik abspielt.
Das Handy im WiFi braucht aber Zugang zu allen dreien.
Geräte, die sich gegenseitig im LAN erreichen können müssen, kommen in ein VLAN und werden auch nicht weiter getrennt. Der Aufwand - vor allem für die spätere Pflege - wäre für den Nutzen einfach zu hoch. Außerdem können die meisten Router das nicht - da muss man schon zu recht komplexen Modellen greifen.
Geräte, die man wirklich abschotten will, kommen in ein eigenes VLAN. Das heißt dann aber auch: Kein Zugriff über LAN, wenn überhaupt, dann nur über ein Web-Portal oder eine App, die der Hersteller des jeweiligen Gerätes anbietet. Es macht keinen Sinn, erst VLANs zu bauen und dann wieder Routen über VLAN Grenzen hinweg zu bauen - dann kann man es auch gleich sein lassen.
Mehr als 3 VLANs machen auch selten Sinn: Das Hauptnetz, ein Gast-Netz (für wirkliche Gäste) und ein IOT Netz für chinesisches Spielzeug, das man nicht im Hauptnetz haben möchte. Wenn der Router nicht drei Netze unterstützt (wie die Fritzbox), dann sperrt man die Besucher und das chinesische Spielzeug ins Gast-Netz zusammen ein.
MantisBT würde mir einfallen. OpenProject kann das auch, aber auch noch mehr.
Gibt es noch Abhängigkeiten an einen Entwicklungsprozess? In OpenProject kann man z.B. wunderbar einen agilen Softwareentwicklungsprozess abbilden.
I recommend establishing an SSH connection to the server using certificates. This VNC console is not very convenient and only useful in emergency cases.
What do you mean with "GUI"? Server operating systems usually don't have a GUI in terms of X or Wayland. Sometimes graphical frontends like froxlor or Plesk are used, but installation and configuration is up to you.
First situation is that I chose to use Ubuntu 22.04, and it seems that when I try to access the OS, it is shown Debian.
Where did you choose Ubuntu? Did you install an image? Or an ISO?
No command is working in the >_Screen terminal cmd, from SCP.
I have tried all the commands, and nothing has been working.
You have to log in first. Log in credentials have been sent to you. I think, in the SCP you can change the password, in case you don't have it. But of course, SSH with certificates are recommended.
What exactly is Outbound and inbound configuration? Firewall? IP-Settings? Traffic Shaping?
In general: At Netcup there is no infrastructure configuration like other hosters provide. Your server has in IPv4 Address and an IPv6 subnet and is completly open to the internet, and now its up to you to configure your server in the desired way: Firewall, Applications, routing, and so on.
Mensch, der fragt hier nicht, wie beim Schützenpanzer der Gang reingeht, damit er zum Einkaufen in den Supermarkt fahren kann. Der will ein paar Streams abspielen.
Natürlich. Da die Hacker alle so ein gutes Herz haben, werden sie den Server bestimmt nicht angreifen. Gehts noch? Was er damit machen will, ist doch völlig egal. Es geht darum, was er nicht macht, nämlich den Server absichern.
Klar, jetzt ist alles ganz harmlos. Aber wenn die Netcup IPs dann wieder auf Blacklisten landen, ist das Geschrei groß. Habt ihr euch mal gefragt, warum das andauernd passiert? Diese Verharmlosung ist der Skandal, und nicht die Warnung vor dem Problem und dem leichtsinnigen Umgang damit.
Flaschensammler: nur weil dich jemand trotz deiner Behinderung behandelt, wie jeden anderen, ist das noch keine Hetze. DAS verharmlost wirkliche Hetze und ist ebenfalls inakzeptabel. Denk mal drüber nach.
Das ist harmloses Grundrauschen, welches man getrost ignorieren kann.
Und die letzte OpenSSL Lücke von vor ein paar Wochen ist euch allen egal?
Und solange er auf dem Server sonst nichts installiert, braucht er auch keine Firewall, was soll die denn blocken?
Woher willst du wissen, dass er nichts anderes installiert hat? Zwei Dienste kennen wir ja schon. Ich vermute, er weiß selber nicht, was da sonst noch läuft.
Ich hatte mit Icecast-kh Probleme was mit sicherheit zu tun hat
Ja, eben. Viele andere auch. Und das macht dich nicht besorgt?
des weiteren verwenden auch die öffentlich rechtlichen in breich radio denn Icecast-kh und auch Laut.fm verwendet
Das steht wo? Außerdem: die wissen, wie man einen Server absichert.
Generell: wenn du dir bei der Konfiguration deines Servers genau so viel Mühe gibst, wie beim Verfassen deiner Beiträge, dann schalte ihn besser sofort ab. Ein derartig katastrophaler grammatikbefreiter Buchstabenbrei ist mir selten untergekommen.
Also, ich bin der Meinung, weil die meisten Hacker auch das Programm nmap und dessen Nutzung kennen werden, dass man sich das Verschieben des Ports 22 und auch Weiterer getrost schenken kann.
Ich hatte seit Verschiebung des Ports keine Anmeldeversuche mehr. So viel dazu. Probier es aus.
Es gibt keine Alternative in diesen Breich
Dann macht man es gar nicht. Oder steigst du in ein Flugzeug mit Löchern im Boden?
Wie hast du deine Anwendungen denn nun mittels WAF und Fail2Ban abgesichert? Bei der Firewall hast du wirklich an alles gedacht? Auch an IPv6?
darum nehme ich KH Icecast 2
Auch schon über ein Jahr alt.
Was ist mit den anderen Sachen? Fail2Ban? WAF?
da nach habe ich erst Porst wie z.b. denn ssh Prot
Ich hoffe, das ist nicht der Standard SSH Port, denn dann ist dein Rechner jetzt mindestens 1 Attacke pro Sekunde ausgesetzt. Was sagt dir Fail2Ban?
denn Port 8000 ssl Prot 8443 für denn Icecast2 auf gemacht
Und wie schützt du die Anwendungen? Was ist mit WAF? Icecast 2 wurde seit Jahren nicht mehr aktualisiert, ggf. schlummern darin zahlreiche Sicherheitslücken. Hast du die CVEs überprüft?
Du hast noch einen sehr weiten Weg vor dir, das System abzusichern.
Wir holen mal eine Zange raus und schneiden für jeden "nicht richtigen Weg" immer einen Finger oder Zeh ab.
Nein, wir schneiden gar nichts ab. Ganz im Gegenteil, wir sorgen uns darum, dass andere ihm was abschneiden und wollen das verhindern.
Mal schauen, ob die Hände und Füße ausreichen um den "richtigen Weg" zu finden.
Den zeigen wir ihm ja, genau darum geht es.
Leute, wir wollen niemandem was wegnehmen. Ein teurer Berater sagt einem auch nicht immer nur das, was man hören will, sondern das, was einem weiterhilft. Die Erkenntnis dafür wird reifen, auf die harte oder auf die sanfte Tour. Wenn du uns nicht glaubst, suche in diesem Forum nach "Abuse". Beispiele gibt es genug.
