Beiträge von christian

Huhu, ich habe mal eine kleine Frage zur Firewall funktion im OpenVCP.

Ich habe mich nun mal etwas damit beschäftigt, stoße jedoch auf folgendes Problem:

Ich möchte z.B alle Ports schließen bis auf den Port 80. Nun dachte ich mir wie mit IPTables einfach die Regel festlegen das alle Ports geschlossen sind gefolgt von der Regel Port 80 = offen.

Nun ist meine Frage wie ich dies mit der OpenVCP Firewall funktion so einrichten kann. Oder ist es nur möglich einzelne Ports festzulegen?

In diesem Sinne danke ich für Antworten.

Zitat von [netcup] Oli;886

Wie bei dem Image dabei steht befinden sich die Zugangsdaten unter:

/root/zugangsdaten.txt

Mal eine ganz dumme Frage, sind die Kennwörter bei jedem User gleich bei einer neuinstallation? Ich habe zwar zu beginn öfter das System neu aufgesetzt habe aber nie darauf geachtet ob die Zugangsdaten die selben waren. Oder werden die Kennwörter zufällig generriert?

In diesem Sinne

Huhu, mal eine unqualifizierte Frage von mir Ich habe bei meiner Täglichen Kontrolle folgende Einträge in meiner /var/log/auth.log gefunden und kann mir irgendwie nicht erklären was dort gemeint ist. Google wollte mir leider auch nicht weiterhelfen. Der zweite Ausschnitt verwirrt mich irgendwie am meisten

Für Hinweise danke ich euch schon einmal

sshd[8991]: reverse mapping checking getaddrinfo for abts-ncr-static-146.226.160.122.airtelboadband.in failed - POSSIBLE BREAK-IN ATTEMPT!

bzw.

pam_limits[18074]: setrlimit limit #11 to soft=-1, hard=-1 failed: Operation not permitted; uid=0  euid=0

In diesem Sinne

Zitat

.... das NetCup Neukunden ein Päcken Kaffee bekommen
für alle ist das natürlich nicht praktikabel, zumindest bei den kleinen (Web)Paketen vielleicht ein Kalkulationskiller

Ich fände die Idee einer Kaffetasse besser, so macht Netcup noch schleichwerbung

In diesem Sinne

Zitat von Laines;654

Hi,
jeder vServer hat ja einen Dynamischen RAM Speicher bereich. Gibt es eine Möglichkeit zu sehen wie hoch dieser ist? Bzw. hab ich die Möglichkeit zu sehen wann ein Prozess den dynamischen RAM nutzt?

Ich würde sagen nein, ganz einfach aus dem Grund das der Dynamische Ram aus dem von anderen Rechnern nicht verwendeten Speicher besteht. Wenn also kein Speicher auf dem Server mehr zu verfügung steht kann dein Vserver auch nicht mehr Ram als den zugesicherten verwenden. Das hat die Folge das du dich nicht auf den Dynamischen Speicher verlassen kannst.

In diesem Sinne

Huhu, da es ja das erste mal ist das ich mit einem Vserver arbeite habe ich jetzt ein paar kleine Fragen die mir etwas unklar sind.

Zur Firewall: Ich habe mir ja die Firewall funktion im OpenVCP freischalten lassen, wollte nun einmal prüfen wie es mir den offenen Ports aussieht. Das ergebniss war das ich sofort gebannt war und einige Minuten warten musste bis ich wieder zugang hatte (jaja selbst ausgesperrt :cool:). Meine Frage ist nun ob bei der Virtualisierungssoftware von Netcup schon die laufenden VServer Grundgesichert sind bzw. die Software einen gewissen Schutz von außen bietet? Gibt es vordefinierte Regeln das bestimmte Ports schon geschlossen sind?

Sorry für die dumme Frage, habe aber leider noch nicht viel zu diesem Thema gefunden.

In diesem Sinne

Huhu, danke für die Tips. Ich habe jetzt den Admin Namen geändert und gesagt das ein Benutzername nach 2 Versuchen für etwa 10 Minuten gesperrt wird. Ich denke das sollte einen gewissen schutz bieten.

In diesem Sinne

Zitat

in der SysCP Tabelle (panel_admins) gibt es den Wert deactivated.

direkt in der SysCP Datenbank?

In diesem Sinne

Huhu, mal eine kurze Frage. Gibt es eine Möglichkeit bei SysCP den Admin Login Serverseitig zu unterbinden?

Ich möchte das SysCP Verzeichniss nicht mit einem Passwort belegen, da SysCP von einer weiteren Person verwendbar bleiben soll.

Hoffe das die Frage nicht zu kurz war

In diesem Sinne

Zitat

P.S.: hab auch schon Vertipper von der Mainpage gemeldet *g* (Footer z.B.)

Naja das sind alles Kleinigkeiten die nicht wirklich tragisch sind. Das fällt auch bei keiner Rechtschreibkontrolle auf, weil und ja nicht falsch geschrieben ist. Es ist wirklich Zufall wenn mann es findet. Viel schlimmer wäre es wenn beim Preis eine Stelle vor dem Komma vergessen wird...

In diesem Sinne

Huhu, ich möchte mich mal bei Netcup unbeliebt machen! Mir ist da etwas kleines aufgefallen :eek:

Quelle: https://ccp.netcup.de/werbemittel.php (Ganz unten letzter Satz)

Zitat

Was wir nur nach Absprache erlauben sind selbst gestaltete grafische Banner. Wenn Sie so einen verwenden möchten fragen Sie und bitte zuvor um Erlaubnis. Vielen Dank!

Nun stelle ich mir die Frage ob da wirklich "und" stehen soll. Theoretisch wäre es ja richtig aber es ließt sich sehr seltsam. Oder sollte es "uns" heißen? Mann könnte jetzt natürlich auch noch ein "uns" vor das "und" setzen, wäre auch richtig

So, ich bin jetzt lieber still..... Bekomme ich jetzt ein Bienchen?

In diesem Sinne

Zitat

Am besten währe es natürlich iptables für jeden vServer konfigurierbar zu machen.

So, habe mir die Funktion auch mal freischalten lassen. Ist recht schön gemacht, jedoch für Anfänger genau so schwer zu bedienen wie iptables

Was evtl. eine nette Funktion wäre sind verschiedene Vorlagen die man anwenden kann. Also fertige Regeln für z.B einen Mailserver usw.

In diesem Sinne

Zitat

reicht eigentlich nur die IP aus, oder muss ich ggf. noch den Pfad (ip/../...) zur einzelnen webpräsenz angeben?

Nein, es reicht nicht. Du musst die IP-Nummer des Webserver eintragen, SOA-Zeiten sollten definiert werden, Mailproxy, Mailserver usw.

Natürlich solltest du auch die verschiedenen Domaintypen kennen. Die wichtigsten sind: "A", "CNAME" und "MX"

Welche sachen dich dein Anbieter aber wirklich bearbeiten lässt ist eine ganz andere Sache. Wenn du alles angepasst hast musst du bis zu 24 Stunden warten bis die änderungen wirksam werden (kann auch weniger als 24 Stunden sein).

Wenn du es unbedingt selbst ändern willst wünsche ich dir viel Glück Was hindert sich eigendlich daran Netcup die Domain ubernehmen zu lassen?

In diesem Sinne

Zitat

Nachteil: Die Domains laufen dann alle auf seinen Namen! und somit unter seiner Verantwortung.

Ich sehe da keinen Nachteil, wenn er Domaininhaber ist, macht das doch keinen Unterschied. Der Inhalt auf welchem die Domain zeigt befindet sich ja so oder so auf seinem Server, daher ist er selbst wenn er nicht der Domainbesitzer ist für den Inhalt verantwortlich.

Wenn er also für den Inhalt der auf seinem Server befindlichen Seiten nicht verantwortlich sein will müsste er im Prinzip mit seinem Kunden/Freunden einen Vertrag aufsetzen um dies Schriftlich festzuhalten. Aber selbst in diesem Fall muss er für den Inhalt gerade stehen sofern es ihm zumutbar ist den Inhalt zu prüfen...... Sehr verzwickte Rechtssprechung Wenn er wirklich sicher sein will, hilft meist nur ein Gespräch mit einem ANwalt

In diesem Sinne

Zitat von Stefan;459

Da am besten nicht rumspielen, da man die Konsequenzen meist erst einige Minuten/Stunden/Tage zu spüren bekommt; je nachdem, wie schnell sich so eine Umstellung propagiert hat

Und wenn die Einstellungen falsch sind und man es selber nicht mehr korrigieren kann nehmen einige Anbieter schnell mal 50 Euro um die alten Werte wieder zu setzen....

In diesem Sinne

Zitat

kann mir hier jemand helfen?

Ich würde nicht am Nameserver deiner Domain herumspielen, das ist nur etwas für Leute die genau wissen was sie machen. Am besten wäre es wenn du dich bei Netcup meldest das deine Domains übernommen werden. So bist du auf der sicheren Seite das zum SChluss auch wirklich alles so geht wie es gehen sollte

In diesem Sinne

Zitat von [netcup] Oli;402

Mail an den Support, dass wir die Firewall Funktion im Webinterface freischalten.

huhu, da habe ich jetzt auch eine kleine Frage zu :p mir ist auch schon aufgefallen das ich unter dem Menüpunkt Firewall eine leere Seite angezeigt bekomme. Also muss ich mich erst beim Support melden um diese Funktion nutzen zu können?

In diesem Sinne

huhu, ich möchte euch auch gerne mein Projekt Vorstellen:

http://www.jeegeek.de

Es handelt sich um eine Community welche sich mit den wichtigsten Themen rund um den Computer beschäftigt. Wir sind zwar leider noch nicht sehr viele, aber bei uns sind sehr fähige Anwender aktiv, die gerne auch eure Fragen rund um Linux/Windows usw. beantworten.

Schaut doch einfach mal vorbei. Wenn es euch gefällt könnt ihr gerne aktiv werden und selber Beiträge verfassen oder anderen helfen.

In diesem Sinne

Zitat

arbeite auch noch mit permitrootlogin = yes, ganz einfach, weil ich meistens mit WinSCP die Dateien ändere/anschaue. Außerdem ist das Passwort rund 20 Zeichen lang und generiert

Ich würde an deiner stelle SSH Public Key Authentifizierung verwenden. das ist sehr viel besser. Eine kurze und verständliche Anleitung hat ein Bekannter mal geschrieben:
http://wiki.unixboard.de/index.php/SSH_ohne_Passwort

Zitat

P.S.: Der Tip mit Namen, Geburtsdatum, Ort/Geburtsort war hoffentlich nicht ernst gemeint

Nein, es sollte nur deutlich machen das ein anständiger Benutzernamen verwendet werden sollte

Zitat

Nach dem useradd , passwd user und das Passwort vergeben.

Mist..... füge ich gleich noch hinzu

Zitat

den Standardport geändert für sshd (Nun 66).

Nun, ssh ist eigendlich sicher, die Versuche die in den Logs zu finden sind sollten unbedenklich sein. Das sind meistens ein paar Kamikaze Server die schon übernommen wurden und eben nach dem zufallsprinzip alles abklappern.

Wirklich gefährlich ist der Webserver. Eine schlechte Grundeinrichtung in kombination mit fehlerhaften phpskripten und schon ist es passiert. Wenn ein Server wirklich kompromentiert wurde hat man auch wenig Möglichkeiten dies zu bemerken, da z.B rootkits die Logs so verändern das diese sauber sind.

In diesem Sinne

Huhu, (V)Server werden ja immer günstiger und ziehe Personen mit keinen oder sehr wenig Linux Kenntnissen magisch an. Da sehr viele die Meinung „Ich kann unter Windows etwas rumklicken, also kann ich auch einen Server einrichten“ vertreten habe ich mal eine kleine Anleitung geschrieben, welche hilft eine gewisse Grundsicherheit herzustellen.

Bevor jedoch ein (V)Server gemietet wird sollte sich jeder sehr genau überlegen ob er wirklich einen braucht, in den meisten fällen reicht ein normaler Webspace aus. Hier noch ein Link zum Thema: http://www.root-und-kein-plan.ath.cx/

Und denke immer Daran ein (V)Server ist keine Spielerei, sondern DU haftest für alles was auf dem Server passiert und musst dich ggf. vor einem Gericht verantworten.

So, nun zur Anleitung

Ich arbeite selbst nur mit Debian Systemen und aus diesem Grund bezieht sich diese Anleitung auch auf ein Debian System.

Schritt 1: System aktualisieren
Das wichtigste ist ein immer aktuelles System am laufen zu haben. Veraltete bzw. nicht mehr gewartete Programme stellen immer ein hohes Sicherheitsrisiko da. Die aktualisierung des Sytems geht wie folgt.

apt-get update
apt-get upgrade

Nun sollte das System auf einem aktuellen Stand sein.

Schritt 2: SSH Grundabsicherung
Der root Zugang über SSH sollte immer deaktiviert sein, da es eine große Sicherheitslücke darstellt. Dies wollen wir nun machen.

1. Benutzer anlegen
useradd NAME

2. Benutzerkennwort ändern
passwd NAME

NAME wird natürlich durch einen beliebigen Benutzernamen ersetzt. Dieser Name sollte natürlich nicht unbedingt in einem Wörterbuch stehen, Namen wie admin, login oder ssh sind absolut ungeeignet! Am besten sind Namen die nicht leicht zu erraten sind. Beispiel: Martin14051974Musterhausen. Dieser Login Name ist von einem Martin, welcher am 14.05.1974 in Musterhausen geboren wurde. Ein solcher Loginname ist zwar etwas unschön anzuschauen, steht aber in keinem Wörterbuch.

1.1 Benutzer testen
Nun solltest du prüfen ob du dich mit deinem neuen Benutzer an dem Server anmelden kannst.

2. root Login verbieten
Öffne mit einem beliebigen Editor die Datei sshd_config (/etc/ssh) und ersetze dort die Zeile
PermitRootLogin yes

durch

PermitRootLogin no

Da wir nun einmal in der richtigen Datei sind ändern wir noch folgende Zeile (sofern dein Provider dies vergessen haben sollte).
Protocol 1

ändern in

Protocol 2

Änderungen speichern und versuchen ob der Login als root über ssh noch möglich ist. Sollte der Login noch möglich sein starte den ssh Server neu, solltest du nicht wissen wie es geht starte am besten den ganzen Server neu.

Eine noch sichere Methode ist die SSH Public Key Authentifizierung.

3. Angreifer Bannen
Es ist sinnvoll Angreifer nach z.B 3 falschen Login Versuchen zu bannen, die geschieht am besten mit Programmen wie fail2ban (http://www.fail2ban.org/)
Eine Anleitung wie dieses Programm zu bedienen ist werde ich hier nicht machen, da dies den Rahmen bei weitem sprengen würde. Informiere dich bitte auf der Webseite des Programms.

Schritt 3: Ports schließen
Die Firewall sollte so konfiguriert sein, dass nur die Ports offen sind, die Du brauchst, d.h. alles sperren außer SSH, FTP (Wenn es unbedingt gebraucht wird), Web, POP/SMTP Ports.

Das Zauberwort heißt iptables.

Schritt 4: Sicherheitssoftware nutzen
Es kann nie schaden entsprechende Programme zu nutzen die einem bei dem Auffinden von schädlichen Programmen helfen können, dazu zählen: chkrootkit, rkhunter und clamAV

Mit chkrootkit und rkhunter könnt Ihr prüfen, ob jemand in Eurem System Software installiert hat, mit denen man den Server steuern kann. Das funktioniert ähnlich wie ein Trojaner. Mehr dazu in der Wikipedia: http://de.wikipedia.org/wiki/Rootkit

So wird es installiert:
apt-get install chkrootkit
apt-get install rkhunter

ClamAV ist ein kostenloser Virenscanner, ihn einzurichten ist etwas "kniffliger" für Unwissende und würde den Rahmen dieser Anleitung bei weitem sprengen. ClamAV gibts bei http://www.clamav.org/

Schlusswort:
Dies war jetzt nur ein erster Schritt die Sicherheit zu verbessern. Der Server ist nun auf keinen Fall zu 100% sicher, dafür sind noch mehr Schritte nötig, aber nun ist der Server zumindest erst einmal besser geschützt. Es ist noch sehr viel Zeit nötig um den Schutz zu verbessern, aber mit der nötigen Interesse ist es durchaus möglich.

Und denke immer daran: Google ist dein Freund bei Fragen

Sollte noch wer Ergänzungen haben oder einen Fehler gefunden haben bitte einfach melden

In diesem Sinne