Beiträge von Placdotech

Zitat von daq4th

Das Modul zu blockieren hilft nur auf den Debian-Systemen, die Red Hat, Alma und Rocky-Systeme haben kein Modul, sondern alles fest eingebaut.

Wenn

Code

# rmmod algif_aead
rmmod: ERROR: Module algif_aead is builtin.

erscheint, dann hilft der Module disable workaround nicht, aber er schadet auch nicht.

Hab den Fix per Kernel soeben umgesetzt, ich hatte aber vorher geprüft ob der CVE bei mir "offen" gewesen wäre.

Unter Alma mit korrektem SE Kontext wird der Zugriff ohnehin verweigert, aber sicher ist sicher daher den Patch gesetzt.

Sobald der Server eingerichtet wurde ist der Standort fix.

Ein verschieben ist selbst durch den Support nicht möglich.

Netcup kann die Korrekheit nur nach RIPE garantieren bzw. sicherstellen.

Kannst du hier prüfen:

https://apps.db.ripe.net/db-web-ui/query

Sollte dein Standort nach RIPE tatsächlich von deiner CCP Angabe abweichen, dann kannst du dich an den Support wenden.

Maybe könne Sie die IP anders routen, oder aktualisieren die RIPE DB.

Vielleicht lohn sich ja auch ein Umstieg auf Podman.

Wenn du auf die Docker spezifischen Features nicht angewiesen bist, kannst du mir ja mal ein paar Container/Images nennen, vielleicht habe ich die selber am laufen.

Ich könnte dir dann ein paar Werte durchgeben.

Zitat von michael_x

Danke Placdotech,

so schnell hatte ich gar nicht mit einer Antwort gerechnet.

Das hatte ich inzwischen auch über den Umweg "Passwort vergessen" rausgekriegt:
Das über den Benutzernamen hosting123456 probiert gab keine Reaktion,
aber mit der zum Vertrag gehörenden Email gab es eine Antwort-Mail mit Link zum Passwort neueinstellen und dem plesk - Namen = k + Kunden-Nummer.

Alles anzeigen

Kein Problem, war zufällig gerade im Forum.

Der Username für den Plesk Login besteht aus der Kundennummer & einem kleinen "k"

Kundennummer: 123456

Plesk-Username: k123456

Kannst du auch über das WCP einsehen:

WCP --> links auf "Konto" --> "Mein Profil"

Zitat von darkness

Placdotech

Kurze Frage: Wie handhabst du das mit Quadlets? Ich gehe davon aus, dass du keine Compose-Files mehr verwendest.

Erstellst du die Quadlets lokal und überträgst sie anschließend per SSH auf den Server, oder nutzt du dafür einen anderen Workflow?

Ich bin aktuell noch etwas von Dockhand verwöhnt, da man dort Compose-Files direkt einfügen und starten konnte.

Interessanter Punkt, da ich selbst die Konfiguration sämtlicher Services generell per ssh vornehme.

Mein Workflow: ssh mit admin-user --> wechsel zum podman-user --> Quadlets erstellen --> demon reload & service starten

Mein Workflow über Compose: ssh mit admin-user --> wechsel zum podman-user --> Dockerfile erstellen --> Image Build --> Quadlets erstellen --> reload

Da ich per Cockpit auch direkt ein Terminal habe, habe ich mir darüber nie gedanken gemacht.

Ich weiß tatsächlich gar nicht wie die Container angelegt werden wenn ich es über Cockpit mache, maybe wird das auch als Quadlet angelegt.

Aber wenn du ein "automatischen" Workflow brauchst, dann kannst du dir ja ein systemd Service aufsetzen welcher automatisch ein reload und start aller neuen Services durchführt sobald du ein ftp upload durchführst. --> Falls du das machst, bitte mal ein Update geben

Zitat von darkness

Vielen Dank für deine ausführliche Antwort, da hab ich ja gleich die richtige Entscheidung getroffen mit der Wahl von Cockpit.

Noch als Ergänzung weil ich gerade Grafana offen hatte.

Der Overhead ist bei Podman viel geringer.

Ich habe testweise: Nextcloud, Wiki.js, Baikal und Prometheus für 24h maximal ausgelastet mit Uploads/Downloads & Queries.

Im Durchschnitt lag der RAM bei 7,95% und im max. bei 13,79%.

Die CPU Auslastung ist so gering das ich es gar nicht erwähnen brauche.

Zitat von darkness

Placdotech Da fällt mir noch ein, welche Oberfläche zum Verwalten kannst du empfehlen? Bei Docker bin ich mit Dockhand sehr zufrieden.

Da wird es etwas knifflig.

Du musst zuerst für dich entscheiden ob du den Podman Socket oder den eingebauten Podman-Docker Socket nutzen willst.

Wichtig dabei ist auch dass du alle Container entsprechend konfigurierst.

Du solltest z.B. keine dockerspezifischen Health-Checks mit regulären Health-Checks mischen.

Beszel läuft z.B. nur mit dem Podman-Docker Socket, dafür funktionieren die Health-Checks nicht.

Da ich ein großer Fan von "Cockpit" bin, bin ich gleich da hängen geblieben und habe nichts neues getestet.

Dort funktioniert alles:

- Container starten/stoppen/anhalten/löschen

- Pods anlegen/entfernen

- Netzwerke verwalten

- Direkte Konsole für jeden Container

- Logs direkt einsehbar

- Mounts/Volumes einsehbar

- Zuletzt ausgeführte Befehle innerhalb des Containers einsehbar

Um deine Frage direkt zu beantworten: Cockpit mit einem Podman Socket

Zitat von darkness

Wie kann ich feststellen, welche Version die richtige ist?

Ein richtig oder falsch gibt es nicht.

Unter Debian war es tatsächlich etwas älter.

Unter Alma ist bereits 5.6.0 im Repo enthalten.

Du musst halt nur wissen welche Version du nutzt falls du am debuggen bist.

Auf der Podman-Doku siehst du direkt wie viele "aktive" Versionen verfügbar sind.

Zitat von darkness

Habe mir jetzt mal auf meinem ARM Server Podman installiert, gefällt mir schonmal sehr gut von der Administration her.

Das mit rootless hat schon seine Vorteile. Nun werde ich mich jetzt mal mit den Containern auseinandersetzten.

Zitat von fvbor

Ach man, ich werde nie mit meinen Servern fertig.

Hab ich was anderes erwartet? Nö!

Aber Podman werde ich mir auch mal angucken!

Bei Podman müsst Ihr wahnsinnig genau auf die Version achten die Ihr installiert.

Selbst kleine Versionsschritte haben große Unterschiede.

Bin aber mehr als zufrieden, bisher gab es kein einziges Dockerimage oder auch Docker Compose welches ich nicht unter Podman aufsetzen konnte.

Bei Monitoring Tools müsst Ihr auch aufpassen, denn ohne Network=Host zu setzen gibt es nach meinem Wissensstand keine Möglichkeit aufs Host-Netzwerk zuzugreifen.

Rootfull Podman hatte ich noch nie genutzt da es der Philosophie widerspricht.

Zitat von darkness

Danke für die ausführliche Erläuterung, mal sehen, vielleicht sehe ich mir Podman bei Gelegenheit einmal an.

Was lässt du aktuell auf deinem Podman laufen und auf welchem Server läuft das Ganze?

Puh nh paar Services habe ich schon migriert.

Ich bin jetzt im Cluster von Debian zu Alma gewechselt im gleiche Zuge versuche ich alle Dienste erstmal auf einen Server zu migrieren.

Aktuell betreibe ich alles auf einem: VPS 4000 G12 Pro NUE ADV25

Bereits migriert und produktiv im Einsatz:

user A

- nextcloud

- nextxloud-db | postgresql

- nextcloud-redis | valkey

user B

- baikal

- baikal DB | postgresql

- grafana

- leantime

- leantime DB | maria db

- prometheus

- private Flet Anwendung

- uptime-kuma

- vikunja

- wiki.js

- wiki.js DB | postgres

alles rootless natürlich

Zitat von darkness

Was hat dich dazu bewogen auf Podman zu setzten, anstatt auf Docker? Bzw. welche Vorteile hast du daraus?

Der Hauptgrund war Sicherheit durch Architektur: Docker läuft über einen zentralen Daemon mit Root-Privilegien stirbt der, verlierst du Kontrolle über alle Container. Podman ist daemonless, jeder Container ist ein direkter Kindprozess des aufrufenden Users. Dazu kommt echtes Rootless by Design über User Namespaces, ohne sudo, ohne SUID das reduziert die Angriffsfläche drastisch. Was mich aber wirklich überzeugt hat, ist die native systemd-Integration: Mit Quadlets definiere ich Container direkt als systemd-Units, kein docker-compose, kein extra Orchestrierungslayer. Lifecycle, Restart-Policies, Logging via journald alles läuft über systemd. OCI-Kompatibilität ist dabei selbstverständlich, Docker-Images laufen ohne Anpassung weiter.

PS: Noch ein Bonuspunkt Docker manipuliert iptables eigenständig und aggressiv, komplett an ufw/firewalld vorbei. Ports, die man eigentlich geblockt haben wollte, waren plötzlich von außen erreichbar. Skill issue? Vielleicht aber ein Sicherheitstool, das stillschweigend deine Firewall-Regeln umgeht, hat schlicht ein Design-Problem.

Zitat von ASS

Garkeine. Ich finde Docker doof.

Ich setze auf Podman

Da brauche ich erstmal ein paar Infos.

Ich selbst nutze das Webhosting lediglich für die E-Mail Funktion.

Alle anderen Anwendungen hoste ich selbst auf verschiedenen vServern.

Ich nutze Baikal + Postgresql via rootless Podman Quadlets, und einen nginx Proxy auf Hostebene.

Auf einem Webhosting stelle ich mir das verhältnismäßig schwer vor.

Für Docker brauchst du Root-Rechte.

Ob du Podman installieren kannst, weiß ich gar nicht.

Wenn alle Stricke reißen musst du es wohl selbst kompilieren.

Ich nutze Baikal unter Podman selbst.

Falls du da allgemeine Fragen hast, kann ich maybe helfen.

Wenn du es auf einem Webhosting nutzt, dann nutze lieber normale Let's Encrypt Zertifikate sonst musst die die DNS-Einträge alle 3 Monate anpassen.

Wenn du die Weiterleitung entfernt hast, sollte alles passen.

Ich empfehle allgemein immer das klonen, über das WP Toolkit.

Beim klonen erhalten die Abhängigkeiten wie z.B. DBs neue zufällig generierte Namen, dadurch zerschiesst du dir die Abhängigkeiten nicht.

Edit

Weiterleitung entfernen:

Customer Control Panel --> links auf "Produkte" --> Lupe vor Webhosting --> Weiter unten über Dropdown die Domain auswählen --> "Einstellungen bearbeiten"

Zitat von m23

Aus meiner Sicht wird hier ein Produkt beworben/verkauft und dann werden die Inklusivleistungen nicht freigegeben.

So, als wenn ich mir einen neuen Wagen kaufe, der Konzern mir aber sagt, ich kann den Motor erst starten, wenn ich das Bestellbudget für weitere Artikel des Herstellers (ohne Vorabinformation, selbstständig im Nachgang, nur möglich per Support mit hoher Wartezeit) erhöhe.

Das kann ich so nicht bestätigen.

Laut Support kommt sowas nur auf, wenn das Bestellbudget nicht ausreicht.

Das kann entweder an offenen Rechnungen liegen, oder die letzte Rechnung/Bestellung ist mehrere Monate her.

Ich habe bereits selbst ein Webhosting bestellt und konnte direkt eine inklusiv Domain aus dem CCP bestellen.

Das Problem liegt darin, dass über den "Domain/Bestellen" Btn im CCP auch Zusatzdomains registriert werden können, daher muss das Budget min. bei 5€ liegen für ".de" Domains.

Hmm, dann bin ich überfragt.

Musst leider auf die Antwort vom Support warten, falls kein anderer eine Eingebung hat.

War deine erste Rechnung eine Vorauszahlung, falls ja wie hoch war die ?

Liegt wahrscheinlich am Bestellbudget.

Prüf mal ob was in der Warteschlange liegt:

CCP --> links auf "Rechnungen" --> oben rechts auf "Zukünftige Rechnungspositionen"