Beiträge von dodeka

  • Geoblocking

    Zumindest, wenn die pre/post Scripte in der Konfigurationsdatei für die jeweilige Domain mit hinzugefügt wurden, sollte das bei der automatischen Verlängerung mit ausgeführt werden. Ausprobiert habe ich es aber auch noch nicht.


    /etc/letsencrypt/renewal/${certname}.conf

    Code
    # Options used in the renewal process
[renewalparams]
account = xx
authenticator = apache
installer = apache
server = https://acme-v02.api.letsencrypt.org/directory
pre_hook = bash /path/to/script.sh
post_hook = bash /path/to/script.sh

    Zur Not könnte man den "certbot renew" mit allen Script-Parametern auch über Cron ausführen lassen

  • Geoblocking

    Die Let's Encrypt Server stehen in den USA, wenn du eine Whitelist ohne USA konfiguriert hast und die Ports 80/443 darüber mit gefiltert werden, dann funktioniert die HTTP-Challenge nicht mehr. In geoip-shell können zwar IP-Adressen von dem Filter ausgenommen werden, aber Let's Encrypt veröffentlicht leider keine IP-Adressen seiner Server.

    Wenn du certbot benutzt, besteht noch die Möglichkeit, das per „Pre and Post Validation“ Script zu lösen.

    Pre-Hook-Script: Vor dem Renewal wird der Filter für das Protokoll TCP und die Ports 80/443 ausgeschaltet.
    geoip-shell configure -p tcp:allow:80,443

    Post-Hook-Script: Nach dem Renewal werden die Ports wieder gefiltert.
    geoip-shell configure -p tcp:block:all

    Mangels certbot auf meinem Testserver konnte ich das bisher noch nicht ausprobieren, aber genau so würde ich das Versuchen umzusetzen.

  • Geoblocking

    Ich habe geoip-shell jetzt auch kurz installiert, und ja, das mit den Ports scheint einwandfrei zu funktionieren.

    Auf meinem Testserver sind aktuell nur IP-Adressräume aus Deutschland zugelassen, aber eine OpenVPN-Verbindung ist weltweit möglich. Getestet habe ich das über meinen VPN-Anbieter. Die Installation und Konfiguration von geoip-shell war wirklich sehr einfach und Fail2ban hat aktuell überhaupt nichts mehr zu tun. 🙂

    Ich lasse das jetzt noch ein paar Wochen im Testbetrieb laufen und werde noch ein paar Einstellungsmöglichkeiten ausprobieren, aber das Ganze hat wirklich potenzial um dauerhaft zu bleiben. Danke @m_ueberall für den Tipp!

    Zitat von aRaphael

    Kann also auch durchaus lehhrreich sien, wenn man sich nach Konfigurationsänderung mit nft die Regeln ausgeben lässt und vergleicht, was das Tool denn nun überhaupt gemacht hat.

    👍👍👍

  • Debian 11 oder 12 nutzen? Suche Erfahrungen

    Zitat von Schupp
    Ubuntu Pro kostet pro PC 500$ im Jahr wenn ich das richtig gelesen habe, das Gegenteil mit 500€ im Jahr müsste bei Debian das Freexian Repo sein.

    Ubuntu Pro ist derzeit für bis zu 5 Maschinen, bzw. 50 Maschinen für Community Member, kostenlos. Das Angebot gilt für Privatpersonen oder für Unternehmen, die der Accountinhaber besitzt.

    Zitat

    Free, personal subscription for 5 machines for you or any business you own, or 50 machines for active Ubuntu Community members.

    Quelle: https://ubuntu.com/pro/subscribe

    Edit: Ein Nachteil der Free Subscription ist, dass bei dem optionalen Realtime Kernel auch Beta-Versionen eingespielt werden können. Deswegen habe ich Realtime Kernel auf meinen Maschinen abgeschaltet.

  • Debian 11 oder 12 nutzen? Suche Erfahrungen

    Aus meiner Sicht spricht nichts dagegen, direkt mit Debian 12.5 zu starten. 👍

    Komme beruflich auch aus dem IT-Bereich und wir benutzen hauptsächlich Debian bzw. wenige Kollegen auch Devuan (Debian ohne systemd). Ich kann aber nicht wirklich etwas Negatives über Ubuntu LTS berichten, zumal über die erweiterte Pro Subscription mittlerweile 10 Jahre Patches für das OS und die Main/Universe Repositorys angeboten werden. Das ist in meinen Augen ein absoluter Gamechanger. Privat bin ich auf sämtlichen Servern mittlerweile zu Ubuntu LTS migriert und ich denke, dass bald auch die ersten Kundenserver folgen werden.

  • Vollverschlüsselung LUKS | RS 8000

    Data at-rest encryption ist bei diversen Cloudanbietern Standard und das ist auch gut so. Mir sträuben sich die Fußnägel, wenn ich hier etwas von Scheinsicherheit lese. Gerade beim Verarbeiten von Block- / Objektstorage in Form von Snapshots oder Backups macht das nämlich absolut Sinn.

  • Anregung: Anmeldung mit Passkey im CCP

    Aus meiner Sicht sind Passkeys auch nicht das Wundermittel für mehr Sicherheit, sondern eine Alternative, für die man sich entscheiden kann oder auch nicht. Den größten Vorteil sehe ich tatsächlich darin, dass Passkeys eine bessere Methode zur Authentifizierung für eben jene Menschen sein kann, die mit Passwortmanagement und 2FA schon jetzt überfordert sind. Aber auch nur dann, wenn die Verwaltung der privaten Schlüssel auf einer dezidierten Hardware stattfindet und eben nicht in der Cloud.

    Zitat von Spin

    Meinungen verändern keine Fakten. Aber Fakten sollten Meinungen verändern. Ich kann dir versuchen es zu erklären, verstehen musst du es aber selber.

    Ich glaube, du hast dich in deinen Ausführungen selbst etwas „verrannt“.

    Zitat von Spin
    Hierzu sollte man sich verinnerlichen, dass MFA nicht voraussetzt, dass alle Faktoren serverseitig verifiziert werden (und eben dafür dann dein Fingerabdruck an den Server eingeschickt wird)

    Solche Aussagen sind einfach nur AUA.. 😑