Beiträge von twi

  • Verbindung zwischen zweien VPS

    Zitat von NaN

    Du hast keine Regeln für wichtige Basisprotokolle eingetragen. Die Firewall ist für UDP stateless. Das erfordert etwas mehr Aufmerksamkeit als die übliche Heimrouterfirewall. Lies dir mal den "Spickzettel zur Netcup Firewall" durch. Deine NGINX/NC Regeln sind außerdem zu stark eingeschränkt. Der Source-Port einer HTTPS Verbindung ist praktisch nie 443 sondern ein mehr oder weniger zufälliger Port aus der "Ephemeral Port Range". Dass man bei TCP den Source-Port festlegt, kommt generell fast nie vor.

    Oh Mann, dass hätte ich auch selbst stehen können... Ist ja klar, dass der Source Port nicht 443 ist. Vielen Dank für die Hilfe!

  • Verbindung zwischen zweien VPS

    Hallo zusammen

    Ich habe zwei VPS. Auf dem VPS1 läuft ein NGINX Proxy Manager, auf VPS2 Nextcloud. VPS1 habe ich entsprechend mit der Netcup Firewall alles entsprechend gesichert.

    Nun wollte ich auf VPS2 nur noch die Verbindung über Port 443 von der IP des VPS1 zulassen. Aber sobald ich die Firewall des VPS2 einschalte kann ich nicht mehr auf Nextcloud zugreifen. Ich habe schon alles probiert, sprich nur Port 443 ohne IP-Adresse, sprich beliebig. Leider auch ohne Erfolg. Hat jemand eine Idee?

    Hier die Firewallregeln:

    netcup Mail block [Default]
    blocks outgoing SMTP (Mail) traffic

    # Beschreibung Aktion Richtung Protokoll Quellen Quell-Port Ziele Ziel-Port
    -- ------------------------ ------ --------- --------- ------- ---------- ------------ ---------
    1 drop outgoing SMTP DROP AUSGEHEND TCP * * * 25
    2 drop outgoing SMTPS DROP AUSGEHEND TCP * * * 465
    3 drop outgoing submission DROP AUSGEHEND TCP * * * 587

    netcup Ping allow [Default]
    allow ICMP (ping) on IPv4 and IPv6

    # Beschreibung Aktion Richtung Protokoll Quellen Quell-Port Ziele Ziel-Port
    -- ------------------------ ------ --------- --------- ------- ---------- ------------ ---------
    4 allow incoming ping ACCEPT EINGEHEND ICMP * * * *
    5 allow incoming ping6 ACCEPT EINGEHEND ICMPv6 * * * *
    6 allow outgoing ping ACCEPT AUSGEHEND ICMP * * * *
    7 allow outgoing ping6 ACCEPT AUSGEHEND ICMPv6 * * * *

    NGINX to Nextcloud

    # Beschreibung Aktion Richtung Protokoll Quellen Quell-Port Ziele Ziel-Port
    -- ------------------------ ------ --------- --------- ------- ---------- ------------ ---------
    8 Nextcloud ACCEPT EINGEHEND TCP * 443 * 443
    9 NC ACCEPT AUSGEHEND TCP * 443 * 443

    Allow SSH

    # Beschreibung Aktion Richtung Protokoll Quellen Quell-Port Ziele Ziel-Port
    -- ------------------------ ------ --------- --------- ------- ---------- ------------ ---------
    10 Allow SSH ACCEPT EINGEHEND TCP * * * 22

    Implizite Regeln [System]
    Wird automatisch am Ende angewendet

    # Beschreibung Aktion Richtung Protokoll Quellen Quell-Port Ziele Ziel-Port
    -- ------------------------ ------ --------- --------- ------- ---------- ------------ ---------
    11 Drop all DROP EINGEHEND ANY * * * *
    12 Drop all DROP AUSGEHEND ANY * * * *

  • DNS-API: updateDnsRecords meldet "Erfolgreich", aber TXT-Eintrag wird nicht im CCP erstellt (Let's Encrypt DNS-01)

    Zitat von KB19

    twi Benutzt Deine Domain bereits das neue CloudDNS? Sprich: Wie heißt die Registerkarte im CCP, wenn Du die Domain aufklappst? DNS oder CloudDNS? Falls es Letzteres ist, haben wir den Übeltäter gefunden. Denn damit scheint die API offenbar (noch) nicht zu funktionieren.

    Diese Domäne wurde tatsächlich bereits auf CloudDNS gezügelt. Das dies allenfalls die Ursache sein könnte, ist mir auch durch den Kopf gegangen, aber auf der netcup Status Seite habe ich keinen Eintrag gefunden. Ist das irgendwo dokumentiert?

  • DNS-API: updateDnsRecords meldet "Erfolgreich", aber TXT-Eintrag wird nicht im CCP erstellt (Let's Encrypt DNS-01)

    Ich sehe sobald ich den Vorgang starte in den API Logs, dass ein updateDnsRecords stattgefunden hat. Da der API-Key in den Logs angezeigt wird und ich diesen nur genau dort verwende, bin ich sicher dass der Eintrag von diesem Client stammt. Wie erwähnt sehe ich keinen zusätzlichen DNS-Eintrag nach diesem Logeintrag. Einen Logeintrag für eine Löschung eines DNS-Records habe ich noch nie bekommen.

  • DNS-API: updateDnsRecords meldet "Erfolgreich", aber TXT-Eintrag wird nicht im CCP erstellt (Let's Encrypt DNS-01)

    Hallo zusammen,

    ich versuche derzeit, für meine interne Infrastruktur ein Let's Encrypt Wildcard-Zertifikat via DNS-01 Challenge über den Nginx Proxy Manager (NPM) zu beziehen. Meine Domain wird bei Netcup gehostet.

    Die API-Schnittstelle habe ich im CCP aktiviert, API-Key und API-Passwort sind im ACME-Client hinterlegt.

    Das Problem: Der Zertifikatsprozess schlägt fehl, weil der benötigte TXT-Eintrag für _acme-challenge.meinedomaene.de angeblich nicht existiert. Wenn ich während des Prozesses im CCP unter den DNS-Einstellungen nachsehe oder die Nameserver direkt abfrage, ist dort tatsächlich kein TXT-Eintrag zu finden.

    Das Kuriose dabei ist: Schaue ich im CCP in die API-Logs, sehe ich dort erfolgreiche Aufrufe:

    • Aktion: updateDnsRecords
    • Status: Erfolgreich
    • Meldung: DNS records successful updated

    Die API meldet also Vollzug, schreibt den Eintrag aber physisch offenbar nicht in die Zone (oder löscht ihn sofort wieder).

    Ich habe auch die ACME Configuration angepasst und die Propagation-Time: Testweise auf bis zu 1800 Sekunden angehoben. Leider ohne Erfolg.

    Hat jemand Erfahrungen mit diesem Verhalten. Im Forum habe ich keine passenden Einträge gefunden.

    Vielen Dank im Voraus für eure Hilfe!

  • Email Hosting selber machen oder Anbieter nutzen?

    Kommt immer darauf an, was Deine Bedürfnisse sind. Alles komplett selbst zu hosten ist natürlich die beste Lösung vor allem was den Datenschutz angeht aber halt auch mit einem gewissen Aufwand verbunden.

    Da Du von Gmail her kommst, scheint der Datenschutz für doch (noch) kein Thema zu sein. Somit gehen auch Mailbox.org und das NC-Mailhosting. Ich nutze das NC Mailhosting und hatte bislang noch keine Blacklisting Problem. Aber mir gefällt der Mailbox.org und die Idee dahinter sehr gut. Das sollte man unterstützen, ich habe im Moment darauf verzichtet da mir die Zeit fehlt.

  • Client Zertifikat Authentisierung

    Vielen Dank für Deine Antwort. Wie ich ein Client Zertifikat erstelle und im Browser importiere ist mir bekannt. Aktuell scheitere ich daran den Webserver dazu zu bringen dieses Client Zertifikat anzufordern. Hätte ich die volle Kontrolle über die nginx und Apache Konfiguration würde ich das auch hinkriegen. Aber bei einem Webhosting steht mir diese volle Kontrolle nicht zur Verfügung und genau für diesen Use Case suche ich jetzt eine Lösung.

    Mag sehr wohl sein, dass dies mit einem Webhosting nicht möglich ist.

  • Client Zertifikat Authentisierung

    Zitat von Patrick0815

    https://www.netcup-wiki.de/wiki/Plesk_Ony…ting#Sicherheit

    Lässt sich über das Panel einstellen

    Entweder hast Du meine Frage falsch verstanden oder ich Deine Antwort.

    Wie ich eine Webseite mit einem Zertifikat bestücke um https Verbindungen anzubieten weiss ich. Was ich aber möchte ist, dass ich auf meinem Rechner ein Client Zertifikat installiere und wenn ich die Webseite aufrufe dieses überprüft wird. Ob wird dies Two Way SLL-Handshake oder Mutual Authentication genannt.

    Die Idee dahinter ist, dass ich beispielsweise Login Pages von Webapplikationen, wie zum Beispiel WP Admin Page, nur für mich aufrufbar mache. Mir ist bewusst, dass ich dies über die .htaccess mittels Benutzer/Passwort machen kann, aber finde dies halt sehr unschön. Ein Client Zertifikat ist wesentlich eleganter und würde mir allenfalls auch die Möglichkeit bitten API zu schützen.

  • Client Zertifikat Authentisierung

    Guten Tag

    Ich möchte eine Webseite mit einem Client Zertifikat schützen. Da ich aber nur ein Webhosting habe, bin ich mir nicht sicher ob das überhaupt klappt. Meine Versuche mit .htaccess waren bislang nicht erfolgreich. Hat jemand Erfahrung damit?

    Viele Grüsse