Beiträge von Slox

Zitat von svenn

Slox Verstehe ich richtig dass das IPv6-Setup nun funktioniert? Wenn nicht, wo klemmts aktuell?

Danke der Nachfrage, also das mit der IPv6 habe ich gelöst. Möchte mich morgen noch ransetzen und versuchen, den VPS noch ein wenig sicherer zu machen. Bisher sind nur die 4 Ports offen die ich brauche, SSH per Google Authenticator. Bei IPv6 muss ich noch ein wenig schauen, was ich noch absichern muss.

Zitat von Hille

IPv4 und IPv6 sind nicht gleich, falls du das meinst. Frag mal deine KI . Generell sehe ich das aber auch so, dass heutzutage IPv6 einfach zu jedem Server dazugehört, idealerweise als Dual Stack

Ok, das sagt die KI dazu:

Zitat

Ja, auch auf einem VPS (Virtual Private Server) sollte eine IPv6-Adresse besonders abgesichert werden. Es gibt zwar Überschneidungen mit den Sicherheitsmaßnahmen für IPv4, aber auch spezifische Aspekte für IPv6, die beachtet werden müssen.

Hier sind die wichtigsten Gründe und Maßnahmen:

• Größerer Adressraum, andere Scan-Methoden: Während der riesige Adressraum von IPv6 das zufällige Scannen von Hosts erschwert, setzen Angreifer auf andere Methoden, um aktive Hosts zu finden (z.B. über DNS-Einträge, bekannte Dienste oder Schwachstellen in der Netzwerkkonfiguration). Verlassen Sie sich also nicht allein auf die Größe des Adressraums als Sicherheitsmerkmal.
• Firewall-Konfiguration: Stellen Sie sicher, dass Ihre Firewall (z.B. ip6tables unter Linux) korrekt für IPv6 konfiguriert ist. Oftmals werden Firewalls primär für IPv4 eingerichtet und die IPv6-Regeln vernachlässigt oder falsch konfiguriert. Blockieren Sie standardmäßig allen eingehenden Verkehr und geben Sie nur die wirklich benötigten Ports frei.
• Fehlkonfigurationen: Da IPv6 für viele Administratoren noch neuer ist, kommt es häufiger zu Fehlkonfigurationen, die Sicherheitslücken öffnen können. Überprüfen Sie Ihre Konfiguration sorgfältig.
• Neighbor Discovery Protocol (NDP) Sicherheit: NDP ist anfällig für bestimmte Angriffe (z.B. Spoofing). Obwohl dies auf einem VPS seltener ein direktes Problem darstellt als in einem lokalen Netzwerk, sollten Sie sich der potenziellen Risiken bewusst sein, insbesondere wenn Ihr VPS mit anderen VPS im selben Subnetz kommuniziert.
• Privacy Extensions: Nutzen Sie nach Möglichkeit Privacy Extensions (RFC 4941), um die Anonymität Ihrer ausgehenden Verbindungen zu erhöhen und das Tracking zu erschweren. Diese generieren temporäre Adressen.
• Deaktivieren, wenn nicht benötigt: Wenn Sie IPv6 nicht aktiv nutzen und auch keine Dienste darüber anbieten, ist die sicherste Methode, es auf dem VPS komplett zu deaktivieren. So reduzieren Sie die Angriffsfläche.
• Regelmäßige Updates und Patching: Dies gilt für IPv4 und IPv6 gleichermaßen. Halten Sie Ihr Betriebssystem und alle laufenden Dienste stets aktuell, um bekannte Schwachstellen zu schließen.
• Intrusion Detection/Prevention Systems (IDS/IPS): Wenn möglich und sinnvoll, setzen Sie IDS/IPS ein, die auch IPv6-Verkehr überwachen und analysieren können.

Zusammenfassend lässt sich sagen: Eine separate und sorgfältige Absicherung von IPv6 auf einem VPS ist notwendig und sollte nicht vernachlässigt werden. Behandeln Sie die Sicherheit von IPv6 mit der gleichen Ernsthaftigkeit wie die von IPv4.

Also noch ein wenig nacharbeiten.

Zitat von aRaphael

Teste halt mal, ob du den Server nun über diese ipv6 anpingen kannst.

Ja, es funktioniert jetzt. Google Gemini hat uns die richtige Antwort gegeben. Na, da weiß ich ja, wenn ich nach den Lottozahlen für nächste Woche frage.

NaN

Verstehe ich jetzt nicht, ist doch nach meiner Meinung, dasselbe wie IPv4. Man muss die Rules dafür auch anpassen. Habe jetzt auch durch Goolge nichts gefunden, was man anders machen sollte.

@MichaelOF

Ok, also müsste ich mich mal mit meiner Suse mal wieder beschäftigen. Werde mal in den Keller gehen und den Karton mit den CD und den 2 dicken Büchern dazu wieder hochholen Aber hast mich neugierig gemacht. Ich weiß nicht mehr, mit welcher Linux Version ich angefangen habe. Aber es gab da keine 640kb Beschränkung, das weiß ich noch.

Danke für die Info.

So, jetzt bin ich mal gespannt. "Musste für ein Kumpel das Bier halten" - da kamen bisher nie gute Sachen raus

Wir haben jetzt das IPv6 von der Domain auf den VPS laut Gemini eingerichtet und die KI sagt, es funktioniert dann. Berichte morgen.

Zitat von aRaphael

Aber das nutzt nichts, wenn du in den Netzwerkeinstellungen auf dem Server keine ipv6 eingetragen und aktiviert hast.

Also, wenn ich in der /etc/netplan/ irgendeine IPv6 eintrage, aus dem Subnetz funktioniert dies? Im Netz gefunden.

IPv4 bleibt bestehen der Eintrag, ist klar.

network:
  version: 2
  ethernets:
    eth0:
      dhcp4: true
      # IPv6 wird oft automatisch via SLAAC konfiguriert,
      # wenn die Router Advertisements korrekt gesendet werden.
      # Für eine statische Adresse (Beispiel):
      # addresses:
1.      #   - DEINE_IPv6_ADRESSE_AUS_DEM_NETZ/64
2.      # gateway6: DEIN_IPv6_GATEWAY
3.      # nameservers:
      #   addresses: [IPv6_DNS_SERVER_1, IPv6_DNS_SERVER_2]

Also müsste ich jetzt, um mit der obrigen IP weiterzuspinnen,

zu 1. IP 2a03:4777:4b:xxx:0001:0002

zu2. Gateway 2a03:4777:4b:xxx::/64

zu 3. beide Namenserver von Netcup eintragen

nameserver 2a03:4000:0:1::e1e6
nameserver 2a03:4000:8000::fce6

Richtig? Und natürlich dann die gewählte IPv6 unter der Domain als */@ als AAAA eintragen?

#####################################

Was soll ich den da machen, sieht ja mal anders aus, kein Namenserver usw. usf.

network:
  version: 2
  ethernets:
    eth0:
      match:
        macaddress: "76:fe:23:xx:ac:6b"
      addresses:
      - "45.157.176.xx/22"
      - "2a03:4000:4b:c6d:74fe:xxxx:fe28:xxxx/64"
      routes:
      - to: "default"
        via: "45.157.176.1"
      - on-link: true
        to: "default"
        via: "fe80::1"

aRaphael

Also, trage ich z.B. 2a03:4777:4b:xxx:0001:0002 ein und dann wird es auf meinen VPS geroutet?

NaN

Jepp, aber jetzt wo ich die SSL Zertifikate habe, könnte man dies wieder versuchen, was ich falsch gemacht habe

Die einfache schnelle Lösung, war ja erfolgreich.

frank_m

Ich habe es doch probiert, an meinen VPS Piko, die IPv6 zu benutzen. Leide rhat es nicht geklappt. Man hat ja 2 IPv6 Adressen, einmal hat man mir geschrieben, dies ist eine interne fe80::74fe:23ff:fe66:xxxx/10 und einmal die externe 2a03:4777:4b:xxx::/64. Aber keine die man zum Eintragen als */@ AAAA für seine Domain nehmen kann. Habe mich da wirklich ein paar Tage mit rumgeschlagen. Egal, was ich gemacht habe, Let`s Debug hat immer gemeckert. Erst, wo ich die beiden Eintrage aus meiner Domain gelöscht hatte (reiner IPv4), war Let`s Debug zufrieden und ich habe meine SSL Zertifikate bekommen.

Wenn du dir die Zeit nimmst und mir erklärst, was ich machen muss. Würde ich ja IPv6 auch wieder aktivieren. Der VPS hat ja alles schon on Board. Danke

H6G

Ja, wenn man nur die Pakete von Arch benutzt, aber war auch noch ein zwei Sachen von AUR Paketen braucht (ja, ich weiß auch das Arch davor warnt, das das System damit unstabil werden kann), merkt es dann auch irgendwann Hat mir schon 1-2x das System ein wenig durchwühlt.

Kann mich da H6G voll anschließen. Bei Arch, weiß man, was man installiert hat und es läuft auch sehr stabil. Bei Manjaro war ich vorher auch ein paar Jahre, aber wie schon beschrieben, bin ich da auch weg. Arch Linux hat jetzt einen schönen Installer on Board der wirklich perfekt funktioniert. Das System ist schnell installiert, YAY installieren und man hat alles, was man braucht, um sein Arch mit NUR den Programmen/Tools einzurichten, die man wirklich braucht. Als Gui benutze ich aber KDE. Da hat mich SuSe versaut Man sollte aber nicht jeden Tag ein Update des Systems machen. Da hat es mich schon Stunden gekostet, dies wieder geradezubiegen.

Es funktioniert Zwar ohne IPv6, was man ja lt. eurer Aussage verschmerzen kann. Brauche dies ja nur, um auf meinen Homebereich zu kommen.

Danke an alle, für die sehr gute Hilfe.

NaN

Danke, das mit der Zuweisung für Mail usw. hatte ich mir schon gedacht. Habe jetzt den Eintrag aus der DNS */@ AAAA gelöscht.

Zitat

Wenn du die richtige IP einträgst, natürlich nicht.

Ja, ich weiß. Hätte mich vielleicht besser ausdrücken sollen Bezug war jetzt für mich der VPS.

Na. mal schauen, was morgen der Let’s Debug sagt.

NaN

Na, dann werde ich die Einträge wieder löschen und schauen. Hatte dies erst angelegt, weil Let’s Encrypt mit mir gemeckert hat, das die Ipv6 falsch geroutet ist. Na, dann werde ich morgen mal schauen, ob es geklappt hat. Danke erst mal für die Hilfe von euch!

Kann es dann wieder sein, das die IPv6 dann wieder auf das zugewiesene Hosting geht?

Daran kann der Fehler nicht liegen, das ich die Domain einen Webhosting zu gewissen habe und die IPv4& auf den VPD umgeroutet habe?

Ich habe 2 Sub Domain angelegt, aber nur in IPv4 Bereich. Die ha1998.... und next2034....

Nach mehreren Tagen der Fehlersuche und warten ob der DNS Eintrag richtig ist. Muss ich da doch noch einen Fehler bzw. Eintrag versaut haben. Finde diesen leider nicht, auch Chatgpt & Co waren da keine Hilfe mehr .

* Ich habe die Domaine für den VPS im DNS eingetragen, aber im Netcup die Domain einem Webhosting zugewiesen, dadurch falsches Routing? Verbindung aufheben? (siehe Bild)*

Mein Ziel ist es, das ich ein Zertifikat von Let’s Encrypt mit dem Nginx Proxy Manager erhalten kann (Fehler Internal Error).

Ich habe eigentlich die Daten in DNS für A und AAAA so eingetragen, wie es sein sollte (siehe Bild). Die benötigten Ports sind im VPS geöffnet. Lets Debug gibt mir eine Fehlermeldung raus (siehe Bild). Die Domain und IPv4 ist korrekt eingetragen, da ich mit meiner Domain auf den VPS komme.

Auch habe ich mind. 24h gewartet, ehe ich irgendwas wieder daran gemacht habe.

Weiß jetzt auch nicht mehr, wo ich ansetzen soll, um den Fehler einzugrenzen

Danke für einen Tipp, wo ich noch ansetzen kann.

Ich habe mal das Thema als erledigt markiert. Da, der Fehler eingegrenzt worden ist und dies nicht am Pangolin liegt. Denke mal das ich ein Problem beim Routig habe, werde dazu ein neues Thema öffnen.

Ich habe es auf verschiedenen Systemen ausprobiert, Step by Step, Aber immer den gleichen Fehler bekommen --> Tls: failed to verify certificate: x509 bei der Installation von Pangolin. Dieser Fehler trat auf, wenn ich aus dem Homesystem mit Newt zum VPS - Pangolin verbinden wollte. Dachte gestern noch der Fehler liegt am Port, aber so wie es aussieht, habe ich Probleme mit SSL certificates (https) via LetsEncrypt .

Ich möchte über einen VPS (Domäne) ein Zugriff auf meinen Home haben z.B. HA, NAS, Kamera usw. usf. Bisher benutze ich eine DynDNS, möchte da aber jetzt weg. Hatte jetzt mit Wireguard eine Verbindung eingerichtet, funzt auch alles (Zugriff vom VPS ins Heimnetz). Problem ist, wenn ich Nginx eine Subdomaine, das SSL Certificates holen will, bekomme ich eine Fehlermeldung, das er nicht verbinden kann, Port 80 ist aber geöffnet. Jetzt habe ich wieder alles eingestampft. Benutze jetzt mal Ubuntu, muss mich aber ein wenig umgewöhnen (arch). Melde mich am abend nochmal, wenn das Problem dort auch auftritt.

Bin da schon einige Tage dran Habe erst Pangolin auf verschiedene Systeme installiert und im Endeffekt, kam die Erleuchtung erst danach, dass der Wireguard Port von Unifi belegt ist. Jetzt suche ich mich schon, dumm, wo da noch was geändert werden muss.

Kann mir jemand helfen, wo ich überall den Wiregard Port ändern muss.

Ich habe auf dem Client, also Home. Die newt im Docker Compose mit folgenden erweitert:

services:
  newt:
    image: fosrl/newt
    container_name: newt
    ports:
      - 80:80
      - 443:443
      - 51880:51820  <- links ist der Port der genommen wird
    restart: unless-stopped
    environment:
      - PANGOLIN_ENDPOINT=https://example.com
      - NEWT_ID=2ix2t8xk22ubpfy
      - NEWT_SECRET=nnisrfsdfc7prqsp9ewo1dvtvci50j5uiqotez00dgap0ii2

Denke mal, das man im Client newt nichts weiter einstellen muss oder?

Jetzt zum Server -> Pangolin wird ja per installer installiert und ich habe nicht wirklich zugriff auf die Veränderung der Ports. Wo kann ich denn den Port 51820 ändern bzw. wo überall, damit es funktioniert?

In docker.compose weiß ich nicht, wie ich da rankomme, um dies zu ändern.

Link: https://github.com/fosrl/gerbil (hoffe das Links erlaubt sind)

Dort müsste ich den Port ja, dann auch ändern. Also

 ports:
      - 51880:51820/udp

Muss ich den, dann noch irgendwo ändern? Nein, da dieses Gebil ja die Wireguard Schnittstelle zu Pangolin ist, richtig?

Ich hoffe, da meine Frage jemand versteht