Beiträge von Win98SE4ever

Das Forum gefällt mir immer besser

Zitat von sla

Mich würde mal interessieren, ob es mittlerweile Konkretes zum "Webhosting-Mini" für Mail gibt

Darf aber gerne auch noch ein paar MB Webspace beinhalten. Dann kann man da auch noch eine kleine Seite ablegen.

Zitat von aRaphael

Vielleicht kann mir ja Win98SE4ever auch ein paar Tips geben.

Logisch!

Die Win 3.11 Disks findest Du hier.

Wegen dem Raufkopieren auf USB wendest Du Dich dann ganz einfach an diesen Thread hier.

Zitat von Olivetti

wenn du, wie der TS kein Windows laufen hast

Ich hab' bekanntermaßen ein Windows laufen, die Media Creation Tools starten darauf aber auch nicht

#4.10.2222 #dasistkeindatuminderzukunft

Zitat von julian-w

Daher gilt hier (was ich auch lernen musste...

Ach was, man braucht nur Standhaftigkeit

#Rust #CistsoSiebziger

Zitat von KB19

Der einzige "Nachteil" an OsmAnd ist, dass man sich gefühlt 4 Wochen Urlaub nehmen muss...

Ja, die Einstiegshürde überschreitet das Konzept 'Keep it simple' bei Weitem.

Für eine (m.b.M.n. perfekt individualisierbare) Naviapp geht das aber in Ordnung.

Abgesehen von den (optionalen und im Auslieferungszustand deaktivierten) Zusatzfunktionen muss man aber eigentlich nur raffen, dass es einerseits "normale Einstellungen" gibt und andererseits "Profile und deren Konfiguration".

Sofern man zu Beginn das Profil nicht wechselt, ist alles halb so wild.

Seit etwa 2017 nutze ich es und möchte es nicht mehr missen.

Zitat von KB19

OsmAnd~ von F-Droid

OsmAnd~ (F-Droid) ist für mich die wichtigste App auf dem Android Smartphone (nach der Kamera-App).

Karten zieht man aktuell von OpenStreetMap.

Die Navigation (offline) funktioniert hervorragend, man kann sich unterschiedliche Profile anlegen (Auto, Fahrrad, Wandern...) und alles bis ins Kleinste einstellen.

Die eigenen Einstellungen kann man exportieren, man kann Plugins aktivieren (z.B. Wikipedia POIs), u.v.m.

Das Wichtigste aber: Das Design und die Bedienung werden nicht ständig umgekrempelt. Gerade als Naviersatz im Auto ist das für mich wichtig.

Zudem lassen sich unterschiedliche Einblendungen / Steuerelemente einblenden. Z.B. auf Knopfdruck/Touch die Umschaltung zwischen restlicher Fahrzeit <> Ankunfts(uhr)zeit.

Die Tatsache dass einige andere F-Droid FOSS Apps einen Button 'Navigation OsmAnd' anbieten, um Koords für die Navigation zu übergeben, spricht in der Usability für sich.

Vorwort:

Ich freu mich wie ein Schnitzel: Dies ist mein erster selbst gestarteter Thread hier im Forum und zudem hab' ich Fail2Ban für Uptime Kuma eingerichtet bekommen.

Da es weder hier im Forum noch in diesem Internet eine Anleitung dafür gibt, schreibe ich hier mal zur Doku meine Anforderungen, die Ausgangssituation und als Beitrag für die Community die implementierte & getestete Lösung.

Gerne darf dieser Thread themenbezogen für die Verwendung von Fail2Ban mit Uptime Kuma genutzt werden.

Diskussionen über das böse systemd und den tollen Docker aber bitte woanders führen, denn hier geht es um Uptime Kuma auf Debian ohne Docker mit systemd.

Einleitung und Ausgangssituation:

Während KrisAusEU die letzte Nacht mit seinem Windows-USB-Stick verbrachte, habe ich mir die Nacht mit etwas Sinnvollem um die Ohren geschlagen und wollte "nur kurz auf die Schnelle" Fail2Ban für meinen Uptime Kuma Server(-dienst) auf Debian 12 einrichten. Schlussendlich ging es dann doch nicht ganz so schnell, sondern ging nur in kleinen Schritten mit eingen "Aha-Momenten" voran.

• Betriebssystem: Debian GNU/Linux 12 (bookworm) Linux version 6.1.0-25-amd64 (Debian 12.2.0-14)
• Server: netcup Piko VPS piko G11s (KVM Server / x86-64)
• Uptime Kuma: Monitoring tool zur Überwachung anderer Server, Webseiten und Dienste
• Fail2Ban: Dienst der potentielle Angreifer (die z.B. durch fehlerhafte Passworteingaben auffallen) mittels IP-Ban ausschließt

Debian 12 wurde letztes Jahr mittels des netcup-Images auf den Server installiert.

Uptime Kuma habe ich mir (weil ich es schon immer so gewohnt bin) ohne Docker als Standalone-Dienst in Anlehnung an dieses Tutorial installiert.

Dabei habe ich jedoch teilweise auf jüngere Softwareversionen gesetzt:

• NVM v0.40.1
• Node.JS v22.13.1
• NPM v10.9.2
• PM2 v5.4.3
• Uptime Kuma v1.23.16

Mit dieser Installation läuft Uptime Kuma nun ohne Docker mit systemd Logging.

Auf die Installation von Fail2Ban wird z.B. in diesem Tutorial hier beschrieben. Mein Problem war die Konfiguration für Uptime Kuma.

Leider gibt es Seitens der Uptime Kuma Entwicklungstruppe scheinbar kein Interesse an einer Implementierung bzw. Förderung zur Verwenung mit Fail2Ban.

Dieser Thread auf Github bietet keine Lösung die für mich als Endanwender verständlich ist. Es wird zwar angedeutet, dass jemand Fail2Ban mit Uptime Kuma ans Laufen bekommen hat, aber leider ohne konkrete Hinweise wie das mit systemd läuft.

Stattdessen wird dort auf das Rate-Limiting innerhalb von Uptime Kuma verwiesen, welches Angreifer nach einer nicht einstellbaren Anzahl von Fehlversuchen in einem nicht einstellbaren Beobachtungszeitraum, für eine nicht einstellbare vorübergehende Zeit ausschließlich für Uptime Kuma aussperrt (banned).

Fail2Ban bin ich gewohnt und ich möchte auch für Uptime Kuma im laufenden Setup die fein einstellbaren Parameter (maxretry, findtime und bantime) und vor allem die banaction selbst einstellen.

Ich halte es nämlich wie #JohnWick - wer sich an meinem Server zu schaffen macht, hat seine Privilegien für sämtliche Dienste und Ports für lange Zeit verwirkt

Umsetzung / Implementierung:

Folgende Einstellungen haben mir zu einem funktionsfähigen Setup von Fail2Ban mit Uptime Kuma verholfen.

Nach drei falschen Passworteingaben werde ich ausgesperrt und meine dynamische IP erscheint als banned:

#
# HTTP servers
#

# selbst geschriebenes Uptime-Kuma Jail:
[uptimekuma]
enabled = true
filter = uptimekuma
backend = systemd[journalflags=1]
journalmatch = _SYSTEMD_UNIT="uptimekuma.service"
port = http,https
maxretry = 3
# Angreifer hat seine Zugriffsbefugnisse durch eigenes Tun vollständig verwirkt #JohnWick

Den Filter uptimekuma muss man selbst anlegen, indem die Datei uptimekuma.conf z.B. mit nano angelegt wird.

Im Ordner /etc/fail2ban/filter.d liegt dann die Datei mit dem Inhalt:

[Definition]
failregex = Incorrect username or password for.+IP=<HOST>
ignoreregex =

Fail2Ban wird dann neu gestartet und die neue uptimekuma-Jail geprüft:

systemctl restart fail2ban.service

fail2ban-client status 

fail2ban-client status uptimekuma

fail2ban-client status sshd

Es ist sicher empfehlenswert (zumindest habe ich das so gemacht) wenn man nach diesen Änderungen SSH-Angriffe und Uptime Kuma mit falschen Passwörtern testet.

Hierzu helfen dann die üblichen Logeinträge bei der Analyse während und nach den Angriffen weiter.

journalctl -r -u uptimekuma
journalctl -r -u ssh

iptables -L f2b-uptimekuma -n -v
iptables -L f2b-sshd -n -v

iptables -vnL

Fazit:

Uptime Kuma hat einen eigenen Rate-Limit-Algorithmus für unberechtigte Loginversuche.

Dieser wird durch die zusätzliche Verwendung von Fail2Ban nicht untergraben. Die Sicherheit bleibt schlimmstenfalls gleich.

Ungeachtet dessen dürfte die Filter-Sicherheit von Fail2Ban mit der _SYSTEMD_UNIT und dem failregex aus meiner naiven Sicht halbwegs sicher sein.

Verbesserungsvorschläge die über das Optische hinaus gehen nehme ich gerne an.

Mit Fail2Ban kann ich Angreifer besser aussperren als mit Uptime Kuma. Ich habe meine obige Konfiguration auf eine banaction mit allen Ports erweitert. Damit werden sämtliche Pakete des Angreifers gedropped. Dann kann man den Server nichtmal mehr anpingen.

Das hat aber nichts mit dieser Anleitung zu tun. Andere verwenden regionenspezifische IP-Sperrlisten - man macht das was einem am besten gefällt...

Ich selbst kann mich praktisch nicht aussperren: Durch die Verwendung von Passwortmanagern ist es unwahrscheinlich dass ich mehrmals das falsche Passwort an den Server schicke.

Falls dies doch geschen sollte, ziehe ich mir eine neue dynamische IP oder logge mich über einen ignored-IP Jumphost mit SSH ein.

Man kann den Thread bis hier hin wohl grob wie folgt zusammenfassen:

KrisAusEU hat sich heute Nacht ein proprietäres und überwiegend Closed-Source-Betriebssystem der (Marketing-)Versionszahl 11, welches ohne physischen original Istallationsdatenträger ausgeliefert wird, zu Installieren versucht und ist dabei nicht auf etwaige Treiberprobleme gestoßen, sondern hatte sich sein selbst zu erstellendes Installationsmedium offenbar unzureichend oder mit den falschen Softwarewerkzeugen erzeugt und zudem durch die das Betriebssystem entwickelnde Firma, während des Installationsprozesses, Installationseinstellungen zur Auswahl angeboten bekommen, die einen erfolgreichen Installationsabschluss verhinderten - wohingegen dieselbe Firma bereits Betriebssysteme mit sehr hoher zweistelliger (Marketing-)Versionszahl mit physischen original Istallationsdatenträgern, ein magnetischer Startdatenträger mit 1,44 MB und ein optischer Installationsdatenträger mit etwa 650 MB, ausgeliefert hat.

Kurzum die Unfähigkeit der entsprechenden Softwareentwicklung welche (im Marketing) vorgibt eine hervorragende "Benutzererfahrung" anzubieten?

Dabei muss berücksichtigt werden, dass es seit Jahren freie und quelloffene Betriebssysteme gibt, deren Entwicklungsmannschaft es hinbekommt, sog. 'Live-Installationsmedien' bereitzustellen, welche man ohne jeglichen Installationsprozesses testen und mit einfacher, sowie wenig zeitaufwendiger, Menüführung unmittelbar auf dem Gerätedatenträger fest installieren kann, was bezüglich Innovation, Anwenderorientierung und Effizienz Bände sprechen lässt...

tl;dr falsches ISO-USB-Tool genutzt, keine Treiberprobleme, fehlerhafte/falsche Installationsoptionen, tolles OS

Zitat von KB19

bloß nicht auf die Idee kommt, versehentlich auf Windows umzusteigen

Durch die stetigen Verschlimmbesserungen steigt man da zügig wieder zurück um...

Den Schwenk vom PC aufs Smartphone/Tablet merke ich aber inzwischen schon bei der älteren Verwandtschaft.

Somit ist M$ sowieso am absteigenden Ast - im Segment der privaten Endanwender.

Den Spruch "ich schalte den PC nur noch ein wenn ich was drucken muss" höre ich jedenfalls im Privaten immer öfter.

Ich kann zwar nix dazu beitragen, lese aber mit und bin gespannt wie das Match endet.

Derweil recherchiere wer @OP und @TS ist

Zitat von dsp78

Wenn Du mit http://deinedomain.de auf die Seite verbindest, geht die vermutlich auch wieder

Immer mehr Browser rufen automatisch https ab, da hilft der Test nicht viel.

Ansonsten sollte Elke Grutkamp ein paar mehr Informationen zur Seite (anonymisiert) schreiben. Bringt ja nix, wenn wir uns auf irgendwelche Annahmen stürzen.

Anlaufstellen gibt es zum Einlesen hier:

Helpcenter netcup Lets Encrypt

Forum zu DNS bei Webhostings

Ansonsten einfach mal ein paar Screenshots schicken und vertrauliche Informationen schwärzen (weil hier alles öffentlich einsehbar ist).

Zitat von citecite

Ich stecke mein Telefon zusätzlich einmal im Monat an den Rechner und mache nen rsync vom Kamera-Ordner. Sehr lange habe ich auch syncthing zum Backup...

Um Himmels Willen, einmal im Monat?

Edit: Sorry, hab' das 'zusätzlich' überlesen...

Bei mir läuft seit Jahren ebenfalls Syncthing-Fork (ohne globale Addressierung, isoliert daheim im W-LAN).

Damit sichere ich nicht nur den DCIM-Kameraordner sondern auch andere.

Beim Kamera-Ordner sicher ich außerdem 'nur senden' (Android zum PC) bzw. 'nur empfangen' (auf dem PC) und habe den Papierkorb mit unendlicher Löschdauer (= nie) aktiviert. Damit sind auf dem PC alle Bilder gesichert (auf dem Handy gelöschte finden sich am PC im Syncthing-Papierkorbordner = .stversions). Die 70 GB kann ich mir leisten .

Unabhängig davon werden die Bilder separat einsortiert auf PC und NAS.

Einen anderen Syncthing-Austauschordner mit bidirektionaler Synchronisation (und 14 Tagen Löschung des Papierkorbs) nutze ich immer dann, wenn ich Dateien unterwegs brauche und nicht klar ist ob es Mobilfunkempfang gibt (Regionalbahn).

Nextcloud... das sind die mit den Klartext-Passwörtern und 1FA

Wir brauchen feingliedrigere Reaktionen (oder einheitlichere Beiträge)...

Zitat von NaN

diakonische Maßnahmen => Dein Wort in Gottes Ohr

Zitat von NaN

Kupferdiebe an drei Stellen gleichzeitig Glasfasern mitnehmen

Zitat von NaN

aber bei einem Server, auf den Netcup keinen inhaltlichen Zugriff hat, bleibt nur abschalten

Zitat von NaN

eine KI eine DMCA-Takedown-Notice verschickt,

Zitat von NaN

Also dass der eigentliche Server gar nicht öffentlich in Erscheinung trit

Zitat von dsp78

Ich habe kürzlich auch eine Take down notice wegen angeblicher Rechteverstöße bei einem privaten Angebot gehabt, obwohl das 100%ig legal war.

Danke für Deinen ausführlichen Post und mein Mitgefühl dass man Dir wegen Lächerlichkeiten ans Bein gep**** hat.

Mit meinem Beitrag erhebe ich natürlich keinen Anspruch auf Allgemeingültigkeit. Das sollte mit dem Patentbeispiel auch dargestellt werden.

Als Einzel- oder Kleinunternehmer kann man genauso angegriffen werden wie als engagierter Ehrenamtler. Es ist wirklich traurig wie weit unsere Gesellschaft gekommen ist - sei es durch juristische Angriffe anderer, als auch durch regulatorische Drangsalierungen in vielen Bereichen. Da können im aktuellen Bundestagswahlkampf noch so viele Parolen nach 'Entbürokratisierung' (z.B. Aufhebung des Lieferkettengesetzes) fabuliert werden. Rechtlich ist das durch die EU bereits in Kraft getreten. Der Drops ist gelutscht. Da kann eine zukünftige Bundesregierung auch nichts mehr zurückdrehen (nur als Beispiel).

Das Einzige was Dir bleibt, ist einen geschäftstüchtigen Asiaten (wegen der nicht-Durchgriffsmöglichkeiten von EU-/US-Seite) zu suchen und als Chipdealer zu motivieren.

Es geht Dir ja scheinbar nicht um Gewinn sondern nur um eine (lobenswerte) Problemlösung für Andere.

Zitat von dsp78

Und deshalb hat ein kleiner Hoster in Brasilien jede Empathie, wenn bei ihm wegen sowas die Hölle losbricht und Kunden rebellieren und kündigen, weil wegen einem Kunden der ganze Server abgeschaltet wird, ohne dass er da irgendwas tun kann (und sich im eigenen Interesse wohl um korrektes Handling bemüht).

Auch ich habe hier Verständnis. Meines Wissens gibt es aber keine Reseller-Server bei netcup.

D.h. im Abusfall gehört die "Störer-IP" halt netcup und die schalten dann die zugehörige Maschine ab - egal ob die von jemandem untervermietet wird.

Keine Ahnung ob das technisch/performant umsetzbar ist: Er könnte evtl. allen Traffic über einen 'Opferserver' leiten. Dann gibt es keine direkte Verbindung zwischen IP-Eigentümer und Netcup (aus Sicht des Abuse-Melders), oder?

Notfalls müsste man die Domains rausnehmen, dass sich jeder Kunde einen eigenen Account zulegt. Damit hätte man zumindest den Server Account-mäßig "isoliert".

Die angeregte Änderung des Abuse-Verfahrens habe ich nicht kritisiert und davon habe ich auch keine Ahnung.

Zitat von dsp78

Und das geht fix, weil Rechtsstaat ist in einer theoretischen Vorleseung an der Uni. That's the point.

Naja, ganz so Schwarzmalen würde ich das nicht.

Aber auch hierzu habe ich ja schon von den Kleinen geschrieben, die eher was auf die Mütze bekommen als die Großen.

Auch den Umstand, dass man vor Gericht nicht mal in jedem Fall ein Urteil erwarteten kann (wenn man faktisch zu einem Vergleich genötigt wird) hatte ich angedeutet.

Wir können aber glaub' froh sein, dass es noch kein TTIP gibt. Denn mit NGO- bzw. privat geführten Schiedsgerichtsbarkeit ist der Zug einer (Rest-)Rechtsstaatlichkeit sicher endgültig abgefahren. Damit will ich aber keine politische Diskussion starten, sondern nur andeuten dass es schlimmer sein könnte.

Zitat von dsp78

But you only claim that as long as you yourself are not faced with the choice of whether you want to conduct a legal dispute with a company that employs large law firms that simply sit on their arse about what is legal and what is not.

Das ist schon richtig, im Zweifel bekommen die Kleinen was auf die Mütze.

Deshalb würde ich auch sicher nicht eine Firma gründen und diese Amazing Web Services nennen.

Wir leben aber immer noch in einem Rechtsstaat und bei Kleinst- und Kleinunternehmern reicht erstmal (wegen der Schadenhöhe) eine Schadenersatzklage vor'm Amtsgericht oder Landgericht.

Ich durfte selbst mal in einer Konferenz teilnehmen in der es um eine Patentverletzung ging. Obwohl technisch als auch formell alles 100% wasserdicht war (im Sinne von "der verletzt die Patentansprüche unbestreitbar") wurde bei der Risikoabwägung finanziell schnell klar, dass gegnerische Schadensersatzansprüche schnell zum Bumerang werden können.

Beispielsweise wenn ein seit Jahren erteiltes Patent (formell also wasserdicht) rückwirkend wegen eines nicht ausreichend gewürdigten Stands der Technik zurückgezogen wird (= nicht mehr vorhandener geistiger Rechtsschutz = fehlende Rechtsgrundlage für die Verletzungsklage).

Das ist wie ein Katz- und Mausspiel:

- Patentverletzungsklage

- Patentnichtigkeitsklage

- Schadensersatzklage

Meiner Auffassung nach geht es dabei ganz pauschal nur um Verhandeln und Blöffen (wie z.B. auch bei Samsung / Apple / Qualcomm / ARM, ...).

100% Rechtssicherheit gibt es sowieso nicht. Eine KFZ-Haftpflicht fordert die Regulierungssumme auch voll vom Halter zurück, wenn sich im Nachhinein heraus stellt, dass das KFZ wegen einer nicht zugelassenen Spurverbreiterung (die bei der HU unentdeckt blieb) möglicherweise nicht schnell genug abbremste. Darum sollte man es sich auch zweimal überlegen was man am eigenen Auto schraubt oder wen man daran schrauben lässt.

Vor Gericht und auf hoher See ist man in Gottes Hand...

Dass ein kleines Restaurant namens-rechtlich von Google verklagt und "wirtschaftlich" vernichtet wird, halte hingegen aber für unrealistisch. Dem dürften auch die Gerichte (in Graz) was zu entgegnen haben...

Zitat von Borgqueen

Verarscht

Ich glaube Deine Rechtschreibungskorrektur hat hier zugeschlagen.

Dein Beitrag liest sich mit dem Begriff 'Überrascht' jedenfalls flüssiger und verständlicher.

Außerdem sehe ich 'Verarschen' als aktive (vorsätzliche) Handlung, welche hier sicher nicht vorliegt

Zitat von [netcup] Alexander W.

Wir haben unsere Aktionen auf ein Minimum reduziert (wir können nicht ganz aufhören, weil es teils Verträge gibt, die wir einhalten müssen)

Hmmm,

was sind denn das für "Aktionsdurchführungsverpflichtungsverträge"?

Na wie auch immer, ich hoffe doch schwer, dass die entsprechenden Osterhasenverträge dieses Jahr wieder voll erfüllt werden (damit die Eggsperten aufrüsten können), sonst gibt's was hinter die Löffel

Zitat von KB19

Wie konntest Du uns das antun?

Vielleicht, damit es keinen Ärger von Nina oder Frank gibt...