Posts by wieschoo

dirkd siehe meinen ersten Post. Die rDNS hatte ich bereits geändert und 48h gewartet.

alhazred configs hatte ich wie beschrieben mittels sendmailconfig neu erstellt.

Mich wundert es immer noch, dass per "hostname -fqdn" mittlerweile die richtige Domain steht. Was nun die Lösung war, meine Änderungswut in den Configs oder tatsächlich das längere warten weiß ich nicht. Die Configs scheinen zu passen. An der resolve.conf habe ich nicht Hand angelegt.

E-Mails kommen nun auch mittlerweile bei Google an und landen nicht im Spam Ordner.

Ich bin mittels

sudo grep -rnw '/etc/mail' -e 'server.nicesrv.de'

nur auf

/etc/mail/local-host-names

gekommen.

Den confDomain_NAME hatte ich auch schon probiert. Der ist mittlerweile schon wieder entfernt. Doch auf einmal funktioniert nach einen "sendmailconfig" alles wie gewollt. Ich habe keine Ahnung. Ich habe lediglich die "MASQUERADE_AS" angepasst. Selbst ein "service sendmail restart" behält auf einmal die korrekt HELO.

Ich versuche sendmail so zu konfigurieren, dass gesendete Emails vom root-server nicht im SPAM ordner von Gmail landen. Folgende Schritte bin ich bereits durchgegangen:

- Sender Policy Framework (SPF) korrekt konfiguriert

host -t txt domain.com # schaut gut aus
nslookup -query=any domain.com# schaut gut aus

- DomainKeys Identified Mail (DKIM) erstellt und konfiguriert (habe mail tester: https://www.mail-tester.com verwendet)

Beim rDNS Eintrag bin ich ratlos. Im CCP habe ich rDNS umgestellt (vor 48h). mail-test.com gibt mir beim

IP: xxx.xxx.xxx.xx
HELO: server.nicesrv.de
rDNS: domain.com

Wie steht dort die Nachricht käme von server.nicesrv.de ? Ein Auszug aus meiner sendmail.mc is

dnl # Masquerading options
FEATURE(`always_add_domain')dnl
MASQUERADE_AS(`domain.com')dnl
FEATURE(`allmasquerade')dnl
FEATURE(`masquerade_envelope')dnl
dnl #
dnl # Default Mailer setup
MAILER_DEFINITIONS
MAILER(`local')dnl
MAILER(`smtp')dnl

define(confDOMAIN_NAME', mail.domain.com')dnl

Wenn ich mir selbst eine Email sende und die nachricht inspiziere, sehe ich

From example@domain.com  Wed Jan 31 21:18:26 2018
Return-Path: <example@domain.com>
Received: from server.nicesrv.de (localhost [127.0.0.1])
        by server.nicesrv.de (8.15.2/8.15.2/Debian-3) with ESMTP id xxxxxxx
        for <example@domain.com>; Wed, 31 Jan 2018 21:18:26 +0100
DKIM-Signature: v=1; a=rsa-sha256; c=simple/simple; d=patwie.com; s=default;
        t=xxxxx; bh=xxx/xxx/xxx=;
        h=Date:From:Subject:To:From;
        b=xxx+x+5zxx
         xx+xx
         xx+xx/xx+4=
Received: (from example@localhost)
        by server.nicesrv.de (8.15.2/8.15.2/Submit) id w0VKIQuc015399;
        Wed, 31 Jan 2018 21:18:26 +0100
Date: Wed, 31 Jan 2018 21:18:26 +0100
From: example@domain.com
Message-Id: <201801312018.w0VKIQuc015399@server.nicesrv.de>
X-Authentication-Warning: server.nicesrv.de: example set sender to example@domain.com using -f
Subject: betreff
To: <example@domain.com>
X-Mailer: mail (GNU Mailutils 2.99.99)


My message 2222 body

Der Aufruf zum email senden ist

echo "My message 2222 body" | mail -s betreff -r example@domain.com receiver@somebody.com

So langsam fange ich an zuzweifeln. Das Problem ist vermutlich der

X-Authentication-Warning: server.nicesrv.de: "example" set sender to example@domain.com using -f

Kennt einer eine Lösung?

Vielleicht ist "port-knockning" (knockd) eher das, was du suchst. Bei deiner aktuellen Lösung verlagerst du das Problem ja nur.

Auch wenn mein Eingangspost wohl etwas harsch formuliert wurde, ist es gut zu wissen, dass es nicht nur mir so geht. Die Verwendung von LiveConfig würde ich sehr begrüßen.

Abschließend möchte ich bemerken, dass ich mit dem Netcup CCP jedoch höchst zufrienden bin!

Mit ein paar Minuten Abstand zu dem Negativerlebnis, versuche ich etwas sachlicher die Situation darzulegen.
Jede beliebige Seite im WCP benötigt 3-5 Sekunden um geladen zu werden. Alleine die Übersichtsseite (Startseite, Dashboard) benötigt gefühlt eine Ewigkeit, bis man diese verwenden kann. Das ist auffallend langersamer als das Laden eienr durchschnittlichen Seite und macht das Arbeiten im WCP nicht angenehm. Ich kenne noch das Confixx-System von vor einigen Jahren. Das war damals gefühlt Lichtjahre schneller und verzichtete auf unwichtige Features, wie Icons hier und da. Diese Icons sind aber offensichtlich nicht das Bottleneck.

Ich spreche explizit nicht von Seiten, die im Hintergrund Server-Configs schreiben. Ein bisschen Erfahrung habe ich schon. Beim Klick auf den Button zum Ändern des passwortes erwarte ich auch nicht, dass das Ändern von Passwörtern in Echtzeit durchgeführt wird.

Mir ist es egal, wer es entwickelt hat oder auf welchen Produkt es basiert. Es ist nicht zeitgemäßig, verursacht graue Haare und das laden dauert ewig.
Im Titel-Tag steht bei mir übrigens "Parallels Panels ..."

Ich bin wohl vom Terminal (bash) von den Vserver verwöhnt.
Aber das angebotene WCP als Parallels Panel-Abklatsch ist schlichtweg nicht nutzbar!
Ich versuchte gerade zum 4. Mal das Passwort für den SSH-Zugang zu ändern: Bad Gateway
Das Netcup ccp ist wesentlich schlanker, schneller = besser. Ich brauche keine Hochglanz-Icons, wenn die Seite einfach nicht das macht, was die Seite machen soll. Und 5 Sekunden Ladezeit bei einem schnellen Anschluss bekomme ich nicht mal bei einer vollen Datenbank an Werktagen mit meiner ungecachten Rails-Application hin. Beim benutzen vom WCP fühle ich mich ins Zeitalter der Modem zurück versetzt. Bin schon kurz davor die Einwahltöne zu hören. Das ist keine Momentaufnahme. Ich fluche jedes einzelne Mal, wenn ich das WCP benutzen möchte muss. Heute ist das Fass übervoll geworden.

Hier muss definitiv etwas getan werden. Da sind Sie leider nicht Oberklasse.

Wenn ich gleich einmal beim meckern bin: Die Vorschaufunktion hier im Forum ist auch kaputt. Manchmal ist weniger mehr!

Noch für alle, die wie ich Probleme mit dem FTP-Zugang haben. Man kann folgende Regeln ergänzen:

$IPTABLES -A INPUT -p tcp --dport 21 -j ACCEPT
$IPTABLES -A OUTPUT -p tcp --sport 20 -j ACCEPT

Das ist unverständlich. Du möchtest mittels Server einem Clienten eine andere Domain vortäuschen? So wie ich das naiv verstanden habe interessiert sich ein verbundener Client recht wenig über mod_proxy von einem Server, wenn eine komplett andere Seite aufgerufen wird.

Wofür benötigst du das mod_proxy, wenn alle Anfragen einfach nur durchgereicht werden. Du leitest ja nicht auf eine andere Domain um.
Eigentlich sollte in der vHost folgende Zeilene genügen

RewriteEngine on
RewriteBase /
RewriteRule ^bestimmtes_verzeichnis/datei.php?parameter=(.*)$ sectest.domain.de/test1.html?parameter=$1 [NC,R,L]

Damit leitest du nur eine Datei um.

Hast du schon alles mit

sudo apachectl -S

getestet?
Oder manuell einen Test-vHost angelegt?
Apache2 liest meines Wissen nach auch die "httpd.conf, port.conf, apache2.conf" vor den eigenen vHost ein.
Ich zum Beispiel kämpfe manchmal mit Froxlor, da es automatisch einen Serveralias anlegt und damit meine eigene vHost "überschreibt".

Ich komme mit einem normalen FTP-Clienten (TotalCommander) über den passiven und normalen Modus nicht rein.

Den SSH-Port hatte ich vergessen hier im Beitrag zu maskieren oder zu entfernen. Der steht natürlich bei den offenen Port mit drin im laufenden Betrieb

"Ich würde mir ja gerne Deine noch mal ansehen"

Da ich diese (von raymd) auch verwende
Hier ist das (bis auf die Portnummern und das mit w00t) Original von raymd

#!/bin/bash




# iptables
# by Ray-works.de




#########################
# Configuration
#########################




IPTABLES=`which iptables`




# Interfaces
ETH=eth0
VPN=tun0




# IP Adresses
IP=`ifconfig $ETH | grep inet | cut -d : -f 2 | cut -d \  -f 1`
#VPNIP=`ifconfig $VPN | grep inet | cut -d : -f 2 | cut -d \  -f 1`




# VPN Subnetz
VPNSUB="172.17.0.0/24"




# Do you wanna use VPN Traffic Forwarding?
VPNFORWARD="no"




# TCP & UDP Ports for incoming traffic
INTCPPORTS="20 21 25 80 110 143 443 465 8443"
INUDPPORTS="20 21 25 80 110 143 443 465 8443"




# TCP & UDP Ports for outgoing traffic
OUTTCPPORTS="20 21 25 80 110 143 443 465 8443"
OUTUDPPORTS="20 21 25 80 110 143 443 465 8443"




# SSH Port for extra protection via limits
# Do not forget to allow that port above for incoming traffic
SSHPORT="#####"




# Activate syn cookies (ddos protection).
# Default: 0
echo 1 > /proc/sys/net/ipv4/tcp_syncookies




# Prevents to be a part of an DDOS attack (smurf).
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts 




# Required
echo 1 > /proc/sys/net/ipv4/ip_forward




#########################
# Turn iptables (for IPv4) on
#########################
function on {

# Flush & default
$IPTABLES -F




# Block Everything
$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
$IPTABLES -P FORWARD DROP




# New Chain for logging
$IPTABLES -N LOGNDROP
$IPTABLES -A LOGNDROP -j LOG -m limit --limit 1/min --log-prefix "[Dropped IPv4]: " --log-level 7
$IPTABLES -A LOGNDROP -j DROP




# New Chain for portscan logging
$IPTABLES -N PORTSCAN
$IPTABLES -A PORTSCAN -j LOG -m limit --limit 1/min --log-prefix "[Portscan IPv4]: " --log-level 7
$IPTABLES -A PORTSCAN -j DROP




# Allow Protocol 4
$IPTABLES -I INPUT 1 -p 4 -j ACCEPT




# Allow internal addresses
$IPTABLES -A INPUT -i lo -j ACCEPT
$IPTABLES -A OUTPUT -o lo -j ACCEPT




# VPN Traffic Forwarding
if [ "$VPNFORWARD" = "yes" ]; then 
	$IPTABLES -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
	$IPTABLES -A FORWARD -s $VPNSUB -j ACCEPT
	$IPTABLES -A FORWARD -j REJECT
	$IPTABLES -t nat -A POSTROUTING -s $VPNSUB -o $ETH -j MASQUERADE
fi




# Allow established and related connection
$IPTABLES -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A OUTPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT




$IPTABLES -A INPUT -p udp -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A OUTPUT -p udp -m state --state ESTABLISHED,RELATED -j ACCEPT




# Allow ICMP
$IPTABLES -A INPUT -p icmp -j ACCEPT
$IPTABLES -A OUTPUT -p icmp -j ACCEPT




# Allow DNS Lookup
$IPTABLES -A OUTPUT -p udp --dport 53 -j ACCEPT




#
# TCP & UDP Ports for incoming traffic
#




for PORT in $INTCPPORTS; do
	$IPTABLES -A INPUT -p tcp -i $ETH --dport $PORT -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
done;




for PORT in $INUDPPORTS; do
	$IPTABLES -A INPUT -p udp -i $ETH --dport $PORT -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
done;




#
# TCP & UDP Ports for outgoing traffic
#




for PORT in $OUTTCPPORTS; do
	$IPTABLES -A OUTPUT -p tcp -o $ETH --dport $PORT -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
done;




for PORT in $OUTUDPPORTS; do
	$IPTABLES -A OUTPUT -p udp -o $ETH --dport $PORT -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
done;




# FTPS explicit passive portrange
$IPTABLES -A INPUT -p tcp --dport 20000:20100 -j ACCEPT




# Deny more than 3 connection attempts per 10 minutes (SSH)
$IPTABLES -A INPUT -p tcp --dport $SSHPORT -m state --state NEW -m recent --set --name SSH
$IPTABLES -A INPUT -p tcp --dport $SSHPORT -m state --state NEW -m recent --update --seconds 600 --hitcount 4 --rttl --name SSH -j LOGNDROP




# Limit connections per minute from single ip to 10 (HTTP)
$IPTABLES -A INPUT -p tcp --dport 80 -m state --state NEW -m recent --set --name http
$IPTABLES -A INPUT -p tcp --dport 80 -m state --state NEW -m recent --update --seconds 60 --hitcount 10 --rttl --name http -j LOGNDROP




# Rate limit ICMP (ping) packets
$IPTABLES -I INPUT -p icmp --icmp-type echo-request -m recent --set
$IPTABLES -I INPUT -p icmp --icmp-type echo-request -m recent --update --seconds 20 --hitcount 10 -j LOGNDROP
$IPTABLES -A INPUT -p icmp -m icmp --icmp-type address-mask-request -j LOGNDROP
$IPTABLES -A INPUT -p icmp -m icmp --icmp-type timestamp-request -j LOGNDROP




# Drop all invalid packets
$IPTABLES -A INPUT -m state --state INVALID -j LOGNDROP
$IPTABLES -A FORWARD -m state --state INVALID -j LOGNDROP
$IPTABLES -A OUTPUT -m state --state INVALID -j LOGNDROP




# Drop new connections without the SYN flag set
$IPTABLES -A INPUT -p tcp ! --syn -m state --state NEW -j PORTSCAN




# syn flood limitation
$IPTABLES -A INPUT -p tcp --syn -m limit --limit 5/s --limit-burst 10 -j LOG --log-prefix "SYN flood: " 
$IPTABLES -A INPUT -p tcp --syn -j DROP




# Portscan: Drop ALL
$IPTABLES -A INPUT -p tcp --tcp-flags ALL ALL -j PORTSCAN




# Portscan: Drop FIN + URG + PSH
$IPTABLES -A INPUT -p tcp --tcp-flags ALL FIN,URG,PSH -j PORTSCAN




# Portscan: Drop nmap Null scan
$IPTABLES -A INPUT -p tcp --tcp-flags ALL NONE -j PORTSCAN




# Portscan: Drop nmap FIN stealth scan
$IPTABLES -A INPUT -p tcp --tcp-flags ALL FIN -j PORTSCAN




# Portscan: Drop XMAS
$IPTABLES -A INPUT -p tcp --tcp-flags ALL URG,ACK,PSH,RST,SYN,FIN -j PORTSCAN




# Portscan: Other combinations
$IPTABLES -A INPUT -p tcp --tcp-flags ALL ACK,RST,SYN,FIN -j PORTSCAN
$IPTABLES -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j PORTSCAN
$IPTABLES -A INPUT -p tcp --tcp-flags SYN,RST SYN,RST -j PORTSCAN
$IPTABLES -A INPUT -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -j PORTSCAN
$IPTABLES -A INPUT -p tcp --tcp-flags FIN,RST FIN,RST -j PORTSCAN
$IPTABLES -A INPUT -p tcp --tcp-flags ACK,FIN FIN -j PORTSCAN
$IPTABLES -A INPUT -p tcp --tcp-flags ACK,PSH PSH -j PORTSCAN
$IPTABLES -A INPUT -p tcp --tcp-flags ACK,URG URG -j PORTSCAN




# exclude our friends
$IPTABLES -A INPUT -p tcp -m tcp --dport 80 -m string --string "GET /w00tw00t.at" --algo bm --to 70 -j DROP
$IPTABLES -A INPUT -p tcp -m tcp --dport 80 -m string --string "GET /w00tw00t.at.ISC.SANS." --algo bm --to 70 -j DROP







echo "Firewall ($IPTABLES): enabled."




/etc/init.d/fail2ban start
echo "fail2ban activated."




}







#########################
# Turn iptables off
#########################




function off {




$IPTABLES -F
$IPTABLES -t nat -F PREROUTING 
$IPTABLES -t nat -F POSTROUTING
$IPTABLES -X
$IPTABLES -P INPUT ACCEPT
$IPTABLES -P OUTPUT ACCEPT
$IPTABLES -P FORWARD ACCEPT




echo "Firewall ($IPTABLES): disabled. (allowing all access)"




}




#########################
# Script usage
#########################




case "$1" in
    start)
	on
    ;;
    stop)
	off
    ;;
    restart)
       off
	sleep 3;
       on
    ;;
    *)
	echo "$0 {start|stop|restart}"
	echo "Start executes primary ruleset."
	echo "Stop disables all filtering"
	echo "restart clears then enables"
    ;;
esac

Wobei ich mich damit immer noch per FTP aussperre.

Ich möchte noch anmerken, das

ProxyRequests     Off
ProxyPreserveHost On
ProxyPass / http://127.0.0.1:8080/

im vhost genügt um gitlab als Subdomain anzulegen, da die Seite sowieso über unicorn läuft. Jetzt nachdem GitLab läuft (dagegen ist eine Redmine-Installation ein Kinderspiel) möchte ich nun verhindern, dass man von außerhalb
mittels Portangabe in der URL auf der gitlab Seite landet, etwa sollen die folgenden Domains nicht antworten

"www.meinedomain.com:8080"
"www.meineanderedomains.com:8080"
"meine.ip.ad.re.sse:8080"

Hingegen soll die Domain
"gitlab.meinedomain.com"
mit den obigen vhost-Einstellungen schon zugänglich sein. Port per iptable sperren? Per vHost Einstellung aussperren? Ist das möglich? Was wäre besser?

Hatte dein projekt auch schon gesehen. Super Arbeit. Vielleicht kannst du analog zu "https://code.google.com/p/relay/" noch eine extra Spalte hinzufügen für Bildvorschau etc.

Ich denke, dass das hier ins Thema passt. Ich bin auch am Neuschreiben vom iptables und bin soeben deinem Link ( RayMD) zum dem Beispielskript "iptables4" gefolgt.
Gibt es eine Auflistung aller Ports, die bei

# TCP & UDP Ports for incoming traffic
INTCPPORTS=""
INUDPPORTS=""




# TCP & UDP Ports for outgoing traffic
OUTTCPPORTS=""
OUTUDPPORTS=""

eingetragen werden müssen, wenn man das NetCup-Image von Debian Squeeze mit Froxlor verwendet? Ich habe vergeblich versucht mittels Befehl "netstat" die Infos zu erhalten.

Also bis auf das Deaktivieren von bind9 und dem SSH-Port habe ich beim Neuaufsetzen nichts geändert. Wäre übrigens super, wenn mit dem Angebot der Images auch ein gefülltes iptable-Beispiel angehängt wird. Zumal wenn man das System nicht vollständig alleine aufsetzt, muss man sich das immer mühsam zusammen suchen.

Anpassungen solcher Skripte kann man das ja immer noch durchführen. Ich habe selbst noch Anpassung, die ich dann einpflegen möchte aber so kleinkariert (wie ich jetzt iptables gerne hätte) habe ich die noch nie eingestellt gehabt.

Ich kann die Kritik vom Themenersteller nicht nachvollziehen.
Ich bin relativ neu im Umgang mit Servern, Linux etc. Jedoch stöbere ich öfters im Forum und im Wiki. Und da stolpert man Zwangsweise über das Thema inkl. Begründung und Lösung.
Wenn ich Kunden hätte, dann würde ich erst Recht hier auf dem Laufenden sein und ein wenig mich im Wiki/Forum einlesen. Darf man das nicht von einer Person erwarten, die ihre Resourcen weiter vermittelt?

Es ist auch bekannt, dass das Zusammenlegen von Partitionen weit aus weniger problematisch als das nachträgliche aufteilen ist.

Quote

Von daher darf man bei solchen Angeboten wirklich nicht voraus setzen, daß der Kunde sowas schon von allein merkt

Würde ich Kunde bei Ihnen sein, so würde ich erwarten, dass mein Betreiber sich mit den Basic von den Systemen auskenn und Kompetenzen in dem Bereich hat.

mir unverständlich...

Danke. Ich werde es nun auf GitHub weiter laufen lassen:
IntegralStudio/ConfWizard · GitHub

LiveDemo und weitere Infos:
IntegralStudio - ConfWizard

nur kurz:
Na die Funktion "set_time_limit()" steht auf der Liste der bösen Buben und wurde deaktiviert (wohlmöglich über die php.ini unter dem keyword "disable_functions"). Sofern du einen vServer hast, kannst du ja den Wert ändern.
Bei dem anderen Problem hilft Google weiter (OwnCloud Forums • View topic - How to fix locale/ Problems with special characters)