Beiträge von frostschutz

  • Verschlüsselten Server speicheroptimieren

    Zitat von DatAres

    Ich benutze tatsächlich noch einen Server mit SAS statt SSD :^)

    Das ist egal.

    Direkten Zugriff auf Hardware hast du sowieso nicht. Die TRIM-Kommandos die dein fstrim schickt, landen nicht auf einer SSD. Das macht wenn dann das Hostsystem nebenläufig nach eigenem Gutdünken ohne direkte Relation zu dir.

    TRIM/discard ist allgemein der Mechanismus der es dem Dateisystem erlaubt, freie Speicherbereiche mitzuteilen. Und ohne den man nur aufwendig raten oder freie Speicherbereiche explizit ausnullen müsste. Und so kann mit fstrim Platz im VM-Image frei werden, oder im Snapshot, oder im Thin-Provisioning bei LVM, oder bei anderen Anwendungen, ohne daß auch nur eine SSD im Spiel ist.

  • Verschlüsselten Server speicheroptimieren

    Benutzt du fstrim (LUKS mit --allow-discards)? Dann ist freier Speicher nach außen sichtbar, und kein Unterschied ob du verschlüsselst oder nicht.

    Aber auch bei Vollbelegung (verzufalltes LUKS ohne TRIM/discard) kanns sein daß deine "Festplatte" bei Netcup fragmentiert herumliegt.

    Das ist eben (wahrscheinlich) kein Blockgerät sondern qcow2- oder sonst ein Format das womöglich mit Snapshots, Copy-On-Write Strukturen, Sparse etc. verseucht und auf dem Dateisystem selbst fragmentiert ist.

    Verändern an den Daten sollte die Optimierung so oder so nichts. Aber wie immer: Backups.

  • Massive Angriffe auf ssh

    SSH-Port ist eben eine rein kosmetische Änderung. Davon wirds nicht sicherer. Höchstens in den Logs etwas ruhiger. Habe ich früher auch so gemacht.

    Ich bin auf Wireguard umgestiegen und sehr glücklich damit. Alle Dienste die nicht öffentlich sein müssen, lauschen nur am Wireguard.

    Und da Wireguard erst gar keine User/Passwort-Logins unterstützt, und auf falsche Pakete auch gar nicht erst antwortet, brauchts da weiters auch kein fail2ban.

    ( PS: Dafür muss man bei Wireguard andere Dinge beachten, es ist eben eine vollwertige Netzwerkverbindung, die auch dann aktiv ist, wenn man gerade gar keine offene SSH-Session hat bzw. eben auch für andere Protokolle nutzbar ist. )

  • gzip via cronjob erzeugt leere Dateien - kein Fehler bei manueller Ausführung

    Befehl nicht gefunden | Befehl nicht gefunden > Leere Datei

    Meistens ist es sowas in der Art, weil im Cron der PATH nicht so gesetzt ist wie auf der vollwertigen Shell.

    Aber klar, dann dürfte die Variante mit && eigentlich auch nicht funktionieren. Vielleicht doch ein Schreibfehler gehabt?

    Es ist ein Ratespiel, du musst für jeden Befehl in der Kette auch stderr und den Exitcode mit einfangen um da weiterzukommen.

  • Started issuing a wildcard SSL/TLS certificate from Let's Encrypt

    Ich kenne mich mit Plesk nicht aus aber . hinterm Domainnamen ist allgemein (mit DNS Nameserver Geschichten) relativ normal... Wenn du auf der Shell mit dig hantierst, sind die Punkte auch überall. Wenn es dir Spaß macht kannst du sie auch im Browser eingeben... https://netcup.de./ wird halt u.U. umgeleitet

    Code
    $ dig netcup.de
;; AUTHORITY SECTION:
netcup.de.        7200    IN    NS    second-dns.netcup.net.
netcup.de.        7200    IN    NS    third-dns.netcup.net.
netcup.de.        7200    IN    NS    root-dns.netcup.net.

    Auf YouTube konnte man mit dem extra . mal die Werbung loswerden... Trick 17 ;)

  • Kein Login möglich. Nur noch übers Rettungssystem

    Zitat von Kemal

    Dort habe ich einen Fehler erhalten, dass ich nicht genügend freien Speicher hätte

    Wenn das Dateisystem 100% belegt ist kann das komische Fehler auslösen. Ist denn jetzt wieder was frei?


    Debuglog für sshd aktivieren / checken? (LogLevel in sshd config)

    Falsche Berechtigungen, Schreibschutz im Homeverzeichnis udgl. sind auch noch beliebte Kandidaten. Wenn du im chroot als Root unterwegs bist auch dort mal su zum normalen User machen und in dessen homedir schauen, ob das geht...

    Du könntest im chroot auch einen komplett neuen User anlegen und schauen ob der sich einloggen kann.

  • read only file system

    fsck steht für file system crunch kill - das ist kein Datenrettungstool sondern ein Dateisystemzerstörer.

    Wenn fsck anfängt Fragen zu stellen wird es haarig, da muss man im Prinzip sofort abbrechen und erstmal testen was da überhaupt passiert mit einem Snapshot, oder Copy-On-Write Overlay wie hier : https://raid.wiki.kernel.org/index.php/Reco…an_overlay_file : oder ganz klassisch 1:1 Kopie ( unausweichlich bei Festplattenfehlern, erstmal ddrescue - man kann auf einer defekten Platte keine Dateisysteme reparieren )

    Erst wenn man so ein Sicherheitsnetz hat, das alle Veränderungen jederzeit wieder rückgängig macht, kann man mal fsck drüberbügeln lassen. Und wenn das nicht klappt, muss man eben was anderes probieren (mit Backup-Superblocks, mit debugfs, zur Not mit photorec, ...). Darüber hinaus dreimal prüfen ob /dev/sda2 wirklich das richtige Gerät war und nicht noch LVM, RAID, oder sonstwas dazwischen.

    Wenn du Pech hast, dann ist nach fsck das Dateisystem 100% OK aber auch 100% leer. Und von diesem Zustand kommst du nicht mehr weg, da fsck ja die ganze Zeit munter lustig (womöglich unter falschen Annahmen) auf die Festplatte geschrieben und alles irreversibel verändert hat. Und in einer Datenrettungssituation ist alles was man schreibt eben erstmal zusätzlicher Schaden...

  • Malware auf meiner Webseite? (Bing und Yahoo zeigen XXX Seite mit meiner Domain)

    Die Seite läßt sich da beliebige Parameter anhängen und diese werden dann sogar ins link rel canonical so mit reingeschrieben, also Google wird geradezu angewiesen das so zu indizieren, und die Parameter tauchen auch an anderer Stelle im Quelltext auf. Und so macht deine Seite dann unfreiwillig Werbung für andere...

    Normalerweise gehört das gefiltert, also nur tatsächlich bekannte und relevante Parameter ins Canonical und in die Ausgabe. Du hast keinen Einfluss darauf wie andere deine Seite verlinken und welche Parameter sie anhängen, aber dann sollte das keinen Einfluss auf die Ausgabe und Canonical-Tags haben.

    Eine Stufe stärker wäre dann noch explizite Redirects zu machen, so wie es das Forum hier tut wenn ich den Link https://forum.netcup.de/anwendung/sons…-meiner-domain/ stattdessen ändere zu https://forum.netcup.de/anwendung/sons…dwas-komisches/

  • Upgrade von VPS 200 G8 auf VPS 1000 G8 - Speicherplatz

    Zitat

    ist das ein Problem? Kann ich mit "Yes" weiter gehen?

    Ja. Kann nur sein daß parted dann die anderen Werte auch wieder von Hand eingetragen haben will (Partitionsnummer 2 und 100% oder -1 als Endsektor).

    Und wenn du Pech hast musst du vor dem resize2fs neu starten, je nachdem ob der Kernel die neue Partitionstabelle im laufenden Betrieb akzeptiert oder nicht.

  • Upgrade von VPS 200 G8 auf VPS 1000 G8 - Speicherplatz

    Zitat von ThomasChr

    Find ich nicht sonderlich komfortabel. Beim ersten Aufruf frägt er mich ob er irgendwas fixen soll, und danach ignoriert er die Aufrufparameter und frägt nach der Partitionnumber.

    Hi, daß parted (im Fall von GPT) erstmal fragen wird, ob das GPT-Header-Backup am Plattenende neu geschrieben werden soll, habe ich direkt vergessen.

    Sollte in dem Fall beim zweiten Aufruf klappen oder du kannst erstmal nur ein `parted /dev/sda print` machen, da hast du dann auch schon den Fix.

    Repariert man das GPT nicht, könnte das auch der Grund sein, warum die neue Partition wieder nur 20GB hatte. GPT merkt sich die Festplattengröße.

  • Upgrade von VPS 200 G8 auf VPS 1000 G8 - Speicherplatz

    ext4 auf /dev/sda2 vergrößern geht im Prinzip so:

    Code
    parted /dev/sda resizepart 2 100%
resize2fs /dev/sda2

    geht allerdings nur wenn sda2 die letzte Partition war und keine weitere Partition im Weg ist. Manchmal muss man zwischen parted und resize2fs auch rebooten.

    Falls eine /dev/sda3 (z.B. Swap) existiert dann musst du dich zuerst um diese kümmern (im Fall von Swap löschen und neu anlegen, im Fall von weiteren Dateisystemen eben doch z.B. mit gparted verschieben).

  • Windows Server RDP hinter VPN

    Ich habe kein Windows / RDP aber ich bin auch dazu übergegangen, das mit Wireguard zu machen und SSH, VNC & Co nur noch über Wireguard anzubieten.

    Anders als SSH, VNC, OpenVPN, ... kennt Wireguard nur Keys (Public, Private, Preshared) somit gibt es da keine Bots die endlos sinnlos Loginversuche machen.

    Der SSHD hat hinter Wireguard somit seine Ruhe und man braucht nicht mit Portänderungen oder fail2ban hantieren.

    Zitat

    Ein Problem dabei wäre, dass ich über den VPN nur Traffic zulassen will, der auch für das RDP gedacht ist. Alles andere sollte nicht darüber gehen.

    Das ist dann leider Sache der Netzwerkkonfiguration / Firewall. Und zwar auf beiden Seiten (Server und Client).

    Wenn man das wirklich wasserdicht machen will, ist es auch wieder Aufwand. Normal wird es nicht gemacht und man geht von der "Vertrauenswürdigkeit" innerhalb des virtuellen lokalen/privaten Netzwerks aus.

    Das ist eben der Haken an der Geschichte, mit VPN (komplettes Netzwerkinterface + IP) eröffnet man sich viele neue Verbindungsmöglichkeiten — in beide Richtungen, nicht nur beschränkt auf einen Dienst — und am Ende hängen die lokalen privaten Freigaben am Server oder die Clients reden untereinander miteinander wenns doch nur für die Verbindung zum Server gedacht war. Kann ja auch so gewollt sein, aber man muss es halt wissen und abschätzen was passiert, wenn der Server dann doch mal auf einem anderen Weg gehackt werden sollte.