Beiträge von Bud

Zitat von KosMos

Schade, dass Netcup hier keine Firewall mit Webinterface anbietet.

Ich verstehe deinen Gedankengang bzw. den Sinn hinter deiner Aussage, aber ich bin eigentlich recht dankbar dafür. So muss ich es von Anfang an vernünftig lernen.

Okay, danke schon mal für die ausführliche Erklärung. Ich glaube zu 100% habe ich es nicht verstanden, aber ich denke ich weiß was du verhindern möchtest.

Ich hab jetzt mal apache nochmal runtergeschmissen und die freigegebenen Ports auf ufw wieder entfernt.

outgoing ist nun auch deny

Allerdings sind meine SSH ports nur ALLOW IN - passt das? und warum gibt es das ganze 4 mal?

Theoretisch brauche ich ja nur tcp, oder? und die beiden v6 kann ich ja auch löschen.

Aber dafür müsste ich beim tcp in und out einstellen, richtig?

Zitat von ThomasChr

Outgoing per default allowed ist aber jetzt nicht unbedingt sonderlich zugenagelt. Um nicht zu sagen da kannste dir die Firewall auch sparen aktuell

Aber ich dachte Outgoing is alles was von meinem Server raus geht, also alles was ich als root oder sudo starte, oder nicht? Wieso ist das dann nicht gut?

Nicht falsch verstehen, will mich nicht "gegen" deine Aussage oder so stellen, will nur die Logik dahinter verstehen =)

Also mach ich deny outgoing und schalte nur meinen SSH port frei plus 80 für Apache?

also sudo apt install apache2 hat gerade einwandfrei funktioniert

Zitat von Olivetti

edit: sinnvoll wäre evtl. wenn du spoilerst, was du in UFW eingestellt hast.

Zitat von ThomasChr

Puhhh. Vielleicht erstmal nen Apachen direkt aufsetzen bevor man alles in Docker packt? Fänd ich zumindest besser.

Zitat von aRaphael

Und jetzt schon docker? Würde ich erstmal noch aufschieben...

Alles gut, dann lasse ich das erstmal. Wusste ja nicht das docker schon so ein Ding ist Deswegen sag ich ja wo ich hinmöchte und warte darauf was ihr sagt Dann lese ich mich mal in Apache ein

Zitat von aRaphael

apt wird von der Änderung des ssh-Ports nicht berührt. Das funktioniert weiterhin.

Zitat von ThomasChr

Je nachdem wie die ufw konfiguriert ist könnte sie apt blockieren.

Wie kann ich das überprüfen?

Das könnte an deiner TLS-Einstellung in Thunderbird selbst liegen.

Extras -> Einstellungen -> Allgemein

Ganz runter scrollen und auf "Konfiguration bearbeiten" klicken.

security.tls.version eingeben, und dann mal schauen was .min ausgibt.

Mit dem Wert 3 sollte TLS 1.2 möglich sein.

Edit:

Ooookay, danke euch. Dann gehts mal weiter

Zu uwf noch eine Frage: Da ich ja aktuell nur meinen SSH Port freigegeben habe, denke ich mal das apt bzw. apt-get nicht mehr funktionieren wird, denn ich frage zwar bei der Source-List von Debian Wiki an, aber von dort wird dann vermutlich nichts auf meinem Server landen. Ist das korrekt? Und wenn ja, welcher Port wäre das? Habe versucht einen herauszufinden aber google scheint nicht mal im Ansatz zu verstehen worauf ich hinaus will...

Gibt es jetzt noch etwas, was ich unbedingt machen sollte bevor ich weiter gehe?

Ich möchte Webanwendungen via docker installieren und verwenden. Was brauche ich dafür? "Einfach" docker installieren, oder brauche ich vorher Apache etc?

Macht es Sinn ganze Regionen auszusperren? z.B. Russland, China, Indien?

Da uwf und fail2ban laufen, kann der Server eigentlich up bleiben, oder?

fail2ban sollte nun auch konfiguriert sein. kleine frage bevor ich weiter mache. Aber nicht lachen...

ich habe mit sudo less /var/log/fail2ban.log aufgerufen, und stand dann wieder vor einem Problem, vor welchem ich schon das ein oder andere mal stand:

Ich kam nicht mehr raus. Ich konnte nichts mehr eingeben, auch exit hat nicht geholfen, ich must PuTTY dann immer manuell schließen.

Wie komme ich aus diesem "Modus", bzw was ist das überhaupt?

Zitat von aRaphael

Und irgendwann werden wir uns erinnern, dass es mal einen Thread "Das längste Thema" gab, der mehr Beiträge hatte, als dieser hier.

Zitat von Bud

[...] quasi die direkte Konkurrenz zum längsten Thema

Sag nicht ich hätte es euch nicht gesagt

Zitat von ThomasChr

5€ dass er sich mindestens einmal mit Fail2Ban selber aussperrt!

Kann ich da auch mit einsteigen?

mc ist also kein Ersatz für nano, wie ich anfänglich dachte, sondern nur eine Art UI für das OS, aber editiert wird nach wie vor mit nano? Ist das so richtig??

Zitat von TBT

Eine Firewall bei den ersten Gehversuchen kann manches verkomplizieren.

Ich versteh deinen Gedankengang hier, möchte aber in jedem Fall sicher arbeiten. Heißt: Lieber bekomme ich dann die ein oder andere Sache auf den ersten Anlauf nicht hin, melde mich im Forum und einer von euch sagt "Du musst den Port bei uwf noch freigeben", und weiß dann aber nach meiner "Einarbeitung" wie ich sicher mit UWF auf einem Server arbeite

Zitat von TBT

Quasi der "App Store" von Linux.

Ahhhhh, das macht Sinn

Also es hat alles soweit funktioniert, denke ich.
root ist deaktiviert, SSH Port geändert und als einziger in UWF für incoming freigegeben.

fail2ban ist auch installiert, dort lege ich grad eine .local an und sehe mal... Was macht da so Sinn?

5 versuche 24h? Aber dann geht es einen Tag später ja weiter, oder? Wieso nicht 5 versuche und dann dauerhaft sperren?

Zitat von KosMos

In etwa so, als würde der Empfänger keinen Briefkasten haben, wenn der Briefträger die Zustellung versucht

Briefkasten abreißen und hinterm Haus aufstellen, verstanden

Da ich die ersten Seiten noch grad überflogen habe, noch ein paar zusätzliche Fragen. Ich würde folgende Befehle nun in dieser Reihenfolge durchführen:

1. sudo apt-get update

2. sudo apt-get upgrade

3. sudo apt-get dist-upgrade
Diese drei Befehle durchlaufen lassen, um Debian auf den neuesten Stand zu bringen. Wie oft macht man das? Also macht man das einmal am Anfang oder einmal die Woche...?

4. sudo apt install mc Anscheinend eine Alternative zu nano. Am Anfang egal oder unbedingt empfehlenswert? Ja / Nein? Und wenn ja, muss ich keine Quelle angeben von wo aus mc geladen wird?

5. sudo mc /etc/ssh/sshd_config

Port ändern, root verbieten

Sobald ich die 5 Punkte habe - sofern die so passen - würde ich mich ufw und fail2ban widmen =)

Also, wenn ich den Port 22 auf irgend einen anderen ändere, ist dann der Port 22 automatisch gesperrt, oder muss ich dafür dann extra noch etwas machen?

Weil dann ändere ich den Port, verbiete root und werde mich davor noch in UFW einlesen wie ich das handle.

Zitat von RAD750

Jeder Befehl der root-Rechte benötigt. Also zum Beispiel bearbeiten von Systemkonfigurationsdateien.

Oooookay, da muss ich halt dann noch dahinter kommen welche das genau sind. Aber danke dir. Ich starte mal wieder und versuchs mit sudo.

Ah ne, vorher noch eine Frage: Welche Ports sollte ich denn nicht verwenden? Kann ich mir irgendeinen Port als SSH einfallen lassen? Was ist die maximale länge eines Ports? Denn ich denke mal Ports wie 993 fallen raus, auch wenn ich keine Mails über den Server laufen lassen möchte.

Zitat von RAD750

Wenn du mit deinem sudo user zugreifst, musst du sudo vor deinen Befehl setzen.

Vor jeden Befehl?

Zitat von ThomasChr

Große Partiotion wäre sinnvoller, ist aber egal, musst halt evtl. nachträglich vergrößern. Denke Port 2222 ist nur für Probleme während dem Setup.

Immer? Was sind die Vor- und Nachteile dieser Einstellung?

Zitat von ThomasChr

Wenn du root warst beim Zugriff auf die Datei müsstest du speichern können, das alles auskommentiert ist, ist normal.

Also muss ich mich für die Änderungen an der SSH Datei mit root anmelden? mein sudo Benutzer geht dann nicht?

Vielen Dank bis alle bisherigen Erklärungen und Antworten.

Besonderen Dank an Andi22 , auch wenn ich tatsächlich die Hälfte von deinem Beitrag noch nicht ganz verstehe.

Bisher habe ich folgendes gemacht:

Also bis jetzt erstmal nichts gemacht außer das blanke Debian 11 minimal zu installieren und mich mit sudo einzuloggen.

Ein wenig verwirrt war ich da bei der Debian Installation mir unter anderem als SSH Port 2222 angegeben wurde, es aber letztendlich über 22 geklappt hat.

Als erstes wollte ich jetzt versuchen den Root-Login zu deaktivieren sowie den SSH Port zu ändern.
Also mit nano /etc/ssh/sshd_config auf die SSH Config zugreifen um und dann PermitRootLogin auf no setzten sowie den Port zu ändern.
-> Bekomme eine Meldung das die Datei schreibgeschützt ist. Des Weiteren sieht bei mir fast alles Auskommentiert aus. In den Tutorials die ch gefunden habe ist das nicht so. Hab ich was falsch gemacht?

-> PuTTY geschlossen und Server heruntergefahren.

Ach ja, und gegoogelt was "nano" heißt. Ist also nur ein Texteditor mit welchem ich die Datei etc/ssh/sshd_config geöffnet habe, richtig?

Wo liegt dann der Unterschied zwischen den VPS und RS?

Also wende es bei einem RS nicht gegangen da dieser wirklich heruntergefahren wäre, aber beim VPS werden nur die arbeitenden Dienste deaktiviert?