Beiträge von ichbins

Einen Tag nicht geschaut, ist der Isobecher weg.... verdammt
Gibts nicht noch eine Post-Weihnachts-Aktion?

Du solltest dazu übergehen den Login User umzubenennen und "root" zu ersetzen. Das bringt Dir schon die Gewissheit, dass viele der Loginversuche im Sande verlaufen werden.
fail2ban ist bereits ganz gut. In Kombination mit einer festen IP von zu Hause (?) hat man ja noch ne gewisse Sicherheit sich nicht auszusperren
Ansonsten sind unique komplexe Kennwörter das Mittel der Wahl (1Password, Keepass..).
Geo-Blocking muss ich auch noch einrichten.

Bei mir habe ich zwischen 100.000 und 800.000 Loginversuche in 24 Stunden. Dadurch dass ich keine Standarduser verwende, ist die Gefahr recht gering.
Zusätzlich monitore ich noch die Versuche und WENN sich mal jemand success anmeldet, dann bekomme ich ne Mail.

Hallo zusammen,

ich bin auf der Suche nach einem schmalen CRM welches wir für einfache Aufgaben wie Kundenkontakt, Geburtstag, Rücksprache etc. nutzen können.
Angebote und so weiter müssen nicht geschrieben werden.
Es greifen maximal drei Leute darauf zu und nie mehr als zwei gleichzeitig.
Ich denke dass da so rund 250 Kontakte zusammen kommen.
Derzeit wird alles im Outlook Kontakt gepflegt (Notizen!), aber das ist die reinste Katastrophe wenn man die Kontakte exportieren möchte.

Ich würde sogar einen kleinen vServer oder Rootserver ver/mieten und das Zeug dann einfach da drauf packen...

Danke euch

Zunächst, ohne alle einzeln zu erwähnen: vielen Dank! Ihr habt mich echt weitergebracht

Ich weiß zwar immernoch nicht warum das mit der rules.before in Kombination mit Subnetzen nicht funktioniert, aber ich hab mal spaßeshalber fail2ban installiert.
Von 07:00 bis 17:30 knapp 1800 failed logins über ssh. Und das bei einem eigentlich frischen Server ohne Public Inhalt.
Jetzt ist seit 20 Minuten Ruhe.... mal schauen wie gut ich damit arbeiten kann.
Wie ihr sicher gemerkt habt, kenne ich mich damit ja nicht aus und bin da erst seit gestern Nachmittag dran nachdem ich das SIEM aktiviert habe...

Was mir aber im Geo-Blocking Zusammenhang einfällt: wie läuft es denn dann mit Systemupdates oder speziellen Dingen wie letsencrypt.
Den Spaß hab ich bei meiner Nextcloud installiert und achte penibelst auf Updates.
Und manchmal kommt es dann doch zu Blockierungen obwohl jemand aus DE auf die Cloud zugreift um sich was runterzuladen.

Und schon sind welche drin:

tail /var/log/fail2ban.log

2024-08-02 18:20:20,407 fail2ban.jail [42995]: INFO Initiated 'pyinotify' backend

2024-08-02 18:20:20,409 fail2ban.filter [42995]: INFO maxLines: 1

2024-08-02 18:20:20,424 fail2ban.filter [42995]: INFO maxRetry: 5

2024-08-02 18:20:20,424 fail2ban.filter [42995]: INFO findtime: 600

2024-08-02 18:20:20,424 fail2ban.actions [42995]: INFO banTime: 600

2024-08-02 18:20:20,424 fail2ban.filter [42995]: INFO encoding: UTF-8

2024-08-02 18:20:20,425 fail2ban.filter [42995]: INFO Added logfile: '/var/log/auth.log' (pos = 27371589, hash = b3d65427aa5d61dc003045bedf80a8e29b642470)

2024-08-02 18:20:20,429 fail2ban.jail [42995]: INFO Jail 'sshd' started

2024-08-02 18:36:45,188 fail2ban.filter [42995]: INFO [sshd] Found 79.110.62.14 - 2024-08-02 18:36:45

2024-08-02 18:58:56,776 fail2ban.filter [42995]: INFO [sshd] Found 79.110.62.145 - 2024-08-02 18:58:56

Zitat von frank_m

Wie wäre es, wenn du die Ausgabe der Regeln einfach mal hier reinkopierst in CODE Tags? Dann können wir vielleicht selber sehen, woran es hakt.

Ich vermute, die before Rules sind gar nicht aktiv, weil die Commit Zeile fehlt.

# rules.before

#

# Rules that should be run before the ufw command line added rules. Custom

# rules should be added to one of these chains:

# ufw-before-input

# ufw-before-output

# ufw-before-forward

#

# Don't delete these required lines, otherwise there will be errors

*filter

:ufw-before-input - [0:0]

:ufw-before-output - [0:0]

:ufw-before-forward - [0:0]

:ufw-not-local - [0:0]

# End required lines

# Block Spammers

-A ufw-before-input -s 171.110.83.0/24 -j DROP

-A ufw-before-input -s 125.17.108.33 -j DROP

-A ufw-before-input -s 85.209.11.0/24 -j DROP

-A ufw-before-input -s 61.177.172.143/24 -j DROP

-A ufw-before-input -s 66.108.40.7 -j DROP

# allow all on loopback

-A ufw-before-input -i lo -j ACCEPT

-A ufw-before-output -o lo -j ACCEPT

# quickly process packets for which we already have a connection

-A ufw-before-input -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

-A ufw-before-output -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

-A ufw-before-forward -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

# drop INVALID packets (logs these in loglevel medium and higher)

-A ufw-before-input -m conntrack --ctstate INVALID -j ufw-logging-deny

-A ufw-before-input -m conntrack --ctstate INVALID -j DROP

# ok icmp codes for INPUT

-A ufw-before-input -p icmp --icmp-type destination-unreachable -j ACCEPT

-A ufw-before-input -p icmp --icmp-type time-exceeded -j ACCEPT

-A ufw-before-input -p icmp --icmp-type parameter-problem -j ACCEPT

-A ufw-before-input -p icmp --icmp-type echo-request -j ACCEPT

# ok icmp code for FORWARD

-A ufw-before-forward -p icmp --icmp-type destination-unreachable -j ACCEPT

-A ufw-before-forward -p icmp --icmp-type time-exceeded -j ACCEPT

-A ufw-before-forward -p icmp --icmp-type parameter-problem -j ACCEPT

-A ufw-before-forward -p icmp --icmp-type echo-request -j ACCEPT

# allow dhcp client to work

-A ufw-before-input -p udp --sport 67 --dport 68 -j ACCEPT

#

# ufw-not-local

#

-A ufw-before-input -j ufw-not-local

# if LOCAL, RETURN

-A ufw-not-local -m addrtype --dst-type LOCAL -j RETURN

# if MULTICAST, RETURN

-A ufw-not-local -m addrtype --dst-type MULTICAST -j RETURN

# if BROADCAST, RETURN

-A ufw-not-local -m addrtype --dst-type BROADCAST -j RETURN

# all other non-local packets are dropped

-A ufw-not-local -m limit --limit 3/min --limit-burst 10 -j ufw-logging-deny

-A ufw-not-local -j DROP

# allow MULTICAST mDNS for service discovery (be sure the MULTICAST line above

# is uncommented)

-A ufw-before-input -p udp -d 224.0.0.251 --dport 5353 -j ACCEPT

# allow MULTICAST UPnP for service discovery (be sure the MULTICAST line above

# is uncommented)

-A ufw-before-input -p udp -d 239.255.255.250 --dport 1900 -j ACCEPT

# don't delete the 'COMMIT' line or these rules won't be processed

COMMIT

Ich glaube ich hab's...
Kann's sein dass in der before.rule keine Subnetze hinterlegt werden können?
Setze ich dort eine eigene IP / Host rein, gibts keine Anmeldeversuche mehr.

Und: Geoblocking habe ich schon rausgesucht. Weiß jemand was zur Performance bzw Last auf Servern? Das ist nämlich gerade eine Sorge meinerseits.

Zitat von frank_m

Ist der Syntax der before Rules richtig? Hast du an den Commit gedacht? Das ist ja ein iptables Aufruf, kein UFW Aufruf. Die Regeln sind dann später auch da und werden vor den anderen aufgerufen? Hast du das überprüft?

Ansonsten sind die Sperr-Regeln im UFW natürlich hinter den allgemeinen Freigaben. Heißt: Das Paket wurde durch die Port 22 Regel schon lange durchgelassen und wird die Sperr-Regel nie erreichen.

Hi und danke Dir!
Ja, ich habe nun alls zehnmal kontrolliert. Mir dann einen Kaffee geholt. Und dann nochmal alles 10 mal kontrolliert
Kurioserweise steht zu der Source IP nichts im ufw.log.
Es rattert gerade kräftig durch, spätestens alle drei Minuten eine Reihe von Loginversuchen / BruteForce
Vielleicht starte ich den Server heute Abend mal durch.

Hallo zusammen,

ich denke ich bin hier besser aufgehoben, sind ja einige Cracks hier

Folgendes:
Ich erhalte ständig Zugriffsversuche auf ssh aus dem Ausland mit unterschiedlichsten Usernamen. Natürlich sind alle "failed", aber so richtig super ist es nicht, da die Logs zugemüllt werden.
Ubuntu 24.04 LTS
UFW aktiviert.
Einige Regeln manuell eingefügt (deny, allow..)
Zusätzlich noch via Config Subnetze gesperrt, die immer wieder im Monitoring auftauchen.

Die Firewall funktioniert an sich. Habe ich bereits getestet.
Soweit ich weiß muss man in der before.rules EInträge erstellen, die trotz ufw-rule greifen und nicht nach dem "von oben nach unten Prinzip"
Trotz allem ballert mir "ein Inder" ständig dazwischen (125.17.0.0/24) und ich habe innerhalb von einer Stunde 300 failed logins.
Daher dachte ich, ich blockiere schlichtweg mal den ganzen Netzbereich. Aber die Meldungen kommen trotzdem noch, also wird nichts geblockt.

Anbei mal die Konfiguration, wie ich sie erstellt habe.

Vielleicht hat jemand noch eine Idee, oder erklärt mir meinen Denkfehler

Danke euch!!

UFW Status active

To Action From

-- ------ ----

22/tcp ALLOW Anywhere

22 ALLOW Anywhere

443 ALLOW Anywhere

Anywhere REJECT 171.110.83.48

22/tcp DENY 171.110.0.0/24

Anywhere DENY 125.17.0.0/24

22/tcp (v6) ALLOW Anywhere (v6)

22 (v6) ALLOW Anywhere (v6)

443 (v6) ALLOW Anywhere (v6)

/etc/ufw/before.rules

#Block Spammer & Anfragen auf SSH

-A ufw-before-input -s 171.110.83.0/24 -j DROP

-A ufw-before-input -s 125.17.0.0/24 -j DROP

-A ufw-before-input -s 85.209.11.0/24 -j DROP

GeoLocation.city_name:

Kottayam

GeoLocation.country_name:

India

GeoLocation.region_name:

Kerala

full_log:

2024-08-02T10:39:46.415121+02:00 v220240_hostTi sshd[24749]: Failed password for root from 125.17.108.33 port 55710 ssh2

Zitat von KrisAusEU

Ich glaube Tickets usw. nicht. Ist mehr für die Inventarisierung gedacht, kein Helpdesk oder CRM.

Was ich bei glpi gar nicht finden kann, ist eine Serververwaltung. Wo ich zu jedem Server Ausstattung, Anbieter, Standort, IP, und ggf. Software und Login-Daten hinterlegen kann. Das interessiert mich mehr, als zu wissen welche Nummer und Farbe das Netzwerkkabel zwischen Switch A und Drucker B hat. Das geht ja Imho schon an große Unternehmen, die nachhalten wollen, welcher Mitarbeiter welchen Arbeitsplatz benutzt, auch standortübergreifend.

Ich hab Dir mal nen Screeny gemacht, betrifft jetzt der Einfachheit halber nur einen Client.
Kennwörter lege ich zentral an und verknüpfe diese. Vorteil ist hier, dass sie mit einem "Global-Key" verschlüsselt werden und wenn man diesen nicht hat, man die Kennwörter nicht einsehen kann.
pasted-from-clipboard.png

pasted-from-clipboard.png

Zitat von KrisAusEU

Ich habe jetzt 2 in der engeren Auswahl

https://github.com/cp6/my-idlers

und

https://snipeitapp.com/

Letzteres macht optisch mehr her, bei my-idlers gefällt mir die YABS-Integration und -Datenübernahme und die einfache und intuitive Benutzeroberfläche. Optisch kann man das sicher mit etwas CSS noch aufhübschen.

Ich hab nur mal fix die Demo überflogen. Hier gibts aber "nur" Computer und Lizenzen, oder?
Also sowas wie Switche, Logins, LIeferanten, TIcket und Co. sind da nicht vorhanden oder sehe ich das einfach nicht?
Ist das ganze auch Agenten basiert? Also dass ich zB ein Script ausführe und sich die Rechner direkt im SnipeIT melden, ohne dass ich manuell etwas zutun muss?

Ich muss sagen, entgegen meiner ersten Befürchtung läuft GLPI auf dem VPS250 echt schnittig.
Ich muss mal testen ob noch zabbix drauf passt, befürchte aber fast dass die KOmbination zu viel Ressourcen frisst.
Dann kann man nämlich GLPI und Zabbix verknüpfen.

Zitat von perryflynn

Ging die Frage an mich oder den Thread Starter?

Bei mir ist das leider erst mal wieder on-hold. Habe noch nicht weiter geschaut. Zu viele Projekte auf einmal...

Aber GLPI läuft schon mal in einem Webhosting (nicht netcup).

Ursprünglich an KrisAusEU
Aber schön dass es bei Dir läuft. Wirklich im Webhosting oder vServer?
Ich hatte speziell hier im Netcup Hosting das Problem die Grenzwerte nicht ordentlich setzen zu können. Daher jetzt auch ein vServer.
Ist das bei deinem besser?

Ah cool... so weit war ich jetzt gerade schon. Allerdings habe ich die Firewall in der Distri nicht installiert. Muss ich noch nachträglich angehen.
Aber: Aufruf funktioniert (meine Firewall hat den Cache nicht gelöscht), LetsEncrypt funktioniert auch.
Jetzt muss ich nur noch das Proggy ans laufen bekommen

Zitat von Bud

Wenn du den DNS-Eintrag gerade erst geändert hast, dauert es ein paar Stunden, bis dieser bekannt ist. Wie hoch ist denn deine TTL?

Danke.
Ich warte mal ne Runde. Irgendwas ist da durcheinander.
Wenn der http AUfruf funktioniert und die Daten dann trotz Umleitung noch ankommen, ist ja schonmal toll.
Wie ich das dann mit dem Zertifikat mache ist mir aber noch völlig fremd. Noch nie gemacht...

Hm, danke euch beiden.
Bis zum A Record komme ich noch mit.
DNS -> Host: Ticket -> Type: A Record -> Destination: Ziel IP.
Wenn ich das mache und dann ticket.domainname.tld aufrufe, ruft er mir ständig die https://IP-Adresse auf aber läuft in einen Fehler (Seite nicht erreichbar), spricht dort steht nicht ticket.domainname.tld
Ich verstehe gerade nicht warum er automatisch den https redirect macht. Der ist nämlich in der conf noch gar nicht hinterlegt.
Ich würde mich ja schon arg freuen wenn diese Umleitung funktioniert. Hm


EDIT: ich habe mal den Zugriff auf ticket.domain.tld von meinen handy aus getestet. Da steht nur "Hier entsteht eine neue Webseite". Kann ja eigentlich nicht korrekt sein?


---

Start of the VirtualHost configuration for port 80

<VirtualHost *:80>

ServerName ticket.domainname.tld

# Specify the server's hostname

DocumentRoot /var/www/html/ticket/public

# The directory where the website's files are located

# Start of a Directory directive for the website's directory

<Directory /var/www/html/ticket/public>

Hallo zusammen,

ich habe heute einen VPS250 gebucht um auf dieser Oberfläche ein System aufzusetzen, welches von extern erreichbar sein soll.
Das funktioniert auch soweit, der Aufruf über die IP Adresse läuft einwandfrei.
Aber nun möchte ich ja eine URL verbinden, vorzugsweise https.
Also zum Beispiel https://Ticket.Domain.tld
Hintergrund: ein "Agent" soll Daten in die Datenbank pushen. Da möchte ich aber lieber einen DNS Namen statt einer IP Adresse verwenden.

Ich kann zwar unter Websits&Domains eine weitere SUbdomain erstellen, daber dann legt mir der Assistent logischweise auch ein Verzeichnis an (siehe Bild).
Da aber die Daten natürlich im VPS liegen, klappt das ja nicht.
pasted-from-clipboard.png

Natürlich auch noch die Hürde mit dem LetsEncrypt.

Wie und wo kann ich mein Webhostingprodukt nun mit de VPS Server verheiraten? Entweder ich bin blind oder ich raffe es einfach nicht.

Danke euch vielmals!

Dank und Gruß
Dan

Hi!
Ich wollte mal fragen welche Lösung Du nun für dich entdeckt hast?
Ich kenne und nutze GLPI als Dienstleister und auch in der internen Umgebung beim Arbeitgeber und habe damit zig Exceltabellen mit unterschiedlichsten Inhalten aus den letzten 10 Jahren ersetzt. Und der Agent ist extrem tauglich dafür
Ich hab's bisher selbst auf einer VM gehostet, werde aber nun den Server VPS250 nutzen, ich hoffe der hat genügend Dampf.
Beim reinen Hosting hatte ich das Problem, dass ich php Einstellungen nicht so vornehmen konnte wie ich sie brauchte.

Gib gerne mal bescheid wie es läuft

Viele Grüße
Dan

Zitat von fvbor

Moin Daenni,

du kannst als Kunde ganz easy selber deine Pakete Upgraden.

Gehe hierfür einfach in das Customer Control Panel, dort auf Produkte, wähle das entsprechende Webhosting aus.

Dort kannst du unter Verwaltung ein Upgrade anstoßen.

Da sparst du dir dann auch den Umweg mit dem Migrieren der Daten, da dein jetziges Paket einfach geupgraded wird.

Wenn du die zusätzliche .tld als Inklusivdomain hinzufügen willst musst du ein Ticket eröffnen. Vorrausgesetzt diese Domain wäre mit ihrer Endung abgedeckt.

pasted-from-clipboard.png

Alles anzeigen

Grüße Dich!
Und danke
Das Upgrade stellte kein Problem dar.
Allerdings habe ich als zweites Produkt eine weitere Domain für 5€/Jahr.
Die würde ich jetzt gerne in das Webhosting übernehmen. Die Domian ist ne klassische .de Domain.
Ich nehme an, da muss ich ne Mail an den Support schreiben korrekt?

Danke nochmal und viele Grüße

Hallo zusammen,
vermutlich schnell gelkärt:
Ich würde gerne meinen Hostingvertrag upgraden und hätte dort dann noch zwei Domains frei. Zusätzlich besitze ich einen weitere .tld bei euch.
Wenn ich nun den Schritt zum höheren Paket vage, müsst ihr dann tätig werden oder kann man das über den schnellen Dienstweg erledigen?
Mein Ziel ist dann nur noch ein Paket bei euch zu nutzen, und das andere zu kündigen/verrechnen.
Danke euch vielmals

Lieber Gruß
Daenni

Yeah... läuft. Danke!

Hey,

nun, in der php.ini des gallery3 steht der wert schon mit max 20M drin. Laut meiner Info liegt es nicht an dieser Konfiguration, sondern an der des Servers. Oder ihr meint eine andere php.ini die "global" greift...?