Beiträge von frostschutz

  • Falsche Hard Drive usage und maximum available storage reached mit LUKS

    Zitat von AutoYaST

    `fstrim` meldet es sei nicht unterstützt - vermutlich weil LUKS die discard Option nicht durchschleift - laut `dmsetup table` ist keine discard Option vorhanden

    Das solltest du dann mal ändern, irgendwo muss es ja hängen. Ob der Parameter vom Bootloader her richtig übergeben wurde, kannst du in /proc/cmdline schauen. Dann kommts auch noch auf die Distro / Initramfs Konfiguration an, wie der Parameter genau heißen muss, nicht immer wird dracut / systemd-cryptsetup verwendet und dann ist es eben auch anders.


    Ansonsten zur Not aus dem Rettungssystem heraus von Hand durchführen.


    Oder auf das Snapshot-Feature (hosterseitig) ganz verzichten und einfach selbst Snapshots (serverseitig) machen.

    Zitat von AutoYaST

    Verstehe jedoch nicht ganz, warum das bei dem nötig ist, bei einem guten Dutzend anderer VPS/Root-Server der Speicherplatz mit selbiger Konfiguration und auch ohne jegliche Discard Zusatzoptionen problemlos reported wird.

    Vielleicht sind die dann einfach nie vollgeschrieben worden...

  • "/boot" ist voll, wie kann ich es am besten bereinigen?

    Das autoremove --purge fragt ja vorher nochmal. Von daher einfach anschauen. Wenn autoremove etwas entfernt das du noch brauchst, hast vorher schon was falsch gemacht mit der Paketverwaltung. Und für solche Fälle sollte man zur Not auch noch ein Backup (von Konfigurationsdateien /etc usw.) haben. Hast du keins, mach vorher eins.

  • nginx konfiguration mit lets encrypt und subdomain

    Zitat von mr_egbert

    Um zu verstehen wie nginx funktionert habe ich alle Konfigurationsdateien aus /etc/nginx/sites-enabled entfernt, das Verzeichnis ist leer. Trotzdem liefer nginx die Seite index.nginx-debian.html aus dem Verzeichnis /var/www/html aus Warum?

    Wenn nginx keinen passenden Server Eintrag findet, geht der Request an den Default Server. Wenn du da eine Fehlerseite haben möchtest, musst du einen Default Server definieren, der eine solche ausgibt. Ist kein Default Server definiert, dann ist der erste beste Server auch der Default Server und somit werden deine Inhalte dann auch auf falschen Domainnamen ausgegeben. Siehe auch https://nginx.org/en/docs/http/request_processing.html und https://nginx.org/en/docs/http/server_names.html

    Zitat von mr_egbert

    Konfigurationsdateien die ich selber für die Subdomian anlege (sites-availabel, Link in sites-enabled) scheinen ignoriert zu werden. Warum?

    nginx hat nur eine Konfigurationsdatei, der Rest läuft über includes. sites-enabled funktioniert nur, wenn in der nginx.conf die entsprechende include-Anweisung steht.


    Du kannst für jede Site, Location eigene Logdateien definieren, so kannst du ein wenig nachvollziehen, ob die Requests an der richtigen Stelle landen.


    Mit Certbot kann ich leider nicht helfen, da ich einen anderen Client nutze.

  • Wie geht's weiter?

    HTTPS ist ein anderer Port als HTTP (443 statt 80), dein Webserver muss das anbieten, zusammen mit dem passenden HTTPS-Zertifikat (z.B. von Letsencrypt).


    Es ist sehr ungewöhnlich, einen Server daheim so ins Internet zu hängen. Machst du da irgendwas ganz besonderes drauf, was mit einem normalen Webspace oder VPS nicht abbildbar ist?


    Selbst dann würde ich dir empfehlen trotzdem einen VPS zu nehmen, den du deinem Server zuhause vorschalten kannst (nginx reverse proxy). Dann bleibt deine heimische IP privat und du kannst ordentliche A-Records im DNS (auf den VPS) machen statt dich da mit CNAME durchzuhangeln. Und du brauchst gar kein DynDNS mehr, wenn sich dein Server zuhause per VPN (WireGuard) mit dem VPS verbindet. Und wenn dein Server zuhause mal nicht erreichbar ist, kann der VPS wenigstens noch eine schöne Fehlerseite anzeigen.


    Einrichten musst das halt alles erstmal können. Lohnt sich nur wenn du eine besondere Anwendung hast... sonst 0815 Webspace.

  • KVM Rootserver gegen (unbefugten) Zugriff von außen (Host) sichern

    Zitat von Bachsau

    Ihn nicht einzusetzen schadet letztendlich Allen, da ungenutzte Resourcen, wie beispielsweise freier Arbeitsspeicher, nicht für andere VMs freigegeben werden können, oder anders gesagt: Es ist asozial.


    Habe ich noch nicht gehört. Freien Arbeitsspeicher habe ich auch gar nicht. Linux verwertet den ja stets zu 100% für den Dateisystemcache. Wenn das tatsächlich für Netcup relevant ist, wäre eine technisch fundierte Dokumentation im Wiki ganz nett, sei es zum Guest Agent direkt oder allgemein zur Fair use Thematik.

  • KVM Rootserver gegen (unbefugten) Zugriff von außen (Host) sichern

    Zitat von Andi22

    Sendet Netcup hier keinen Shutdown Befehl per ACPI ?

    Meine letzte mir bekannte vServer Migration durch Host-Hardwarefehler ("Meldung über Migration Ihres vServers" Mail von Netcup) war irgendwann 2018 und da hat das einwandfrei geklappt. Irgendwelche Guest-Additions habe ich noch nie benutzt. Ich installiere mein Linux auch immer selbst und nicht mit den vorgefertigten Images...


    Verschlüsselung kann man machen - rein aus Datenschutzgründen oder gegen menschliche Fehler. Aber solange die VM die Schlüssel hat käme der Host über einen RAM-Dump da auch jederzeit dran. An irgendeinem Punkt muss man dem Host einfach vertrauen.


    Edit: wortlaut email


    Zitat

    Bei einer Migration wird zunächst ein temporärer Snapshot erstellt. Dies ist auch im angeschalteten Zustand möglich. Sobald der Snapshot erstellt wurde, werden die "alten" Daten auf den neuen Host kopiert.

    Sobald diese kopiert wurden, wird der Server normal per ACPI heruntergefahren und die "neuen" Daten, die nach dem Snapshot erstellt oder verändert wurden werden noch kopiert. Im letzten Schritt wird Ihr Server dann auf dem neuen Host gestartet.

  • Verschlüsselten Server speicheroptimieren

    Zitat von DatAres

    Ich benutze tatsächlich noch einen Server mit SAS statt SSD :^)

    Das ist egal.


    Direkten Zugriff auf Hardware hast du sowieso nicht. Die TRIM-Kommandos die dein fstrim schickt, landen nicht auf einer SSD. Das macht wenn dann das Hostsystem nebenläufig nach eigenem Gutdünken ohne direkte Relation zu dir.


    TRIM/discard ist allgemein der Mechanismus der es dem Dateisystem erlaubt, freie Speicherbereiche mitzuteilen. Und ohne den man nur aufwendig raten oder freie Speicherbereiche explizit ausnullen müsste. Und so kann mit fstrim Platz im VM-Image frei werden, oder im Snapshot, oder im Thin-Provisioning bei LVM, oder bei anderen Anwendungen, ohne daß auch nur eine SSD im Spiel ist.

  • Verschlüsselten Server speicheroptimieren

    Benutzt du fstrim (LUKS mit --allow-discards)? Dann ist freier Speicher nach außen sichtbar, und kein Unterschied ob du verschlüsselst oder nicht.


    Aber auch bei Vollbelegung (verzufalltes LUKS ohne TRIM/discard) kanns sein daß deine "Festplatte" bei Netcup fragmentiert herumliegt.


    Das ist eben (wahrscheinlich) kein Blockgerät sondern qcow2- oder sonst ein Format das womöglich mit Snapshots, Copy-On-Write Strukturen, Sparse etc. verseucht und auf dem Dateisystem selbst fragmentiert ist.


    Verändern an den Daten sollte die Optimierung so oder so nichts. Aber wie immer: Backups.

  • Wordpress und PHP8 (PHP 8.0)

    Wenn es keinen besonderen Grund gibt, jetzt schon auf PHP 8 zu wechseln, bleib bei PHP 7.


    PHP 8 hat tonnenweise Änderungen. Updates sind notwendig, für die Hauptsoftware, sowie für div. Plugins sofern du solche benutzt.

  • Massive Angriffe auf ssh

    SSH-Port ist eben eine rein kosmetische Änderung. Davon wirds nicht sicherer. Höchstens in den Logs etwas ruhiger. Habe ich früher auch so gemacht.


    Ich bin auf Wireguard umgestiegen und sehr glücklich damit. Alle Dienste die nicht öffentlich sein müssen, lauschen nur am Wireguard.


    Und da Wireguard erst gar keine User/Passwort-Logins unterstützt, und auf falsche Pakete auch gar nicht erst antwortet, brauchts da weiters auch kein fail2ban.


    ( PS: Dafür muss man bei Wireguard andere Dinge beachten, es ist eben eine vollwertige Netzwerkverbindung, die auch dann aktiv ist, wenn man gerade gar keine offene SSH-Session hat bzw. eben auch für andere Protokolle nutzbar ist. )