Beiträge von H6G

  • Anleitung: ssh2dyn ssh nur von einer IP mit dynanmischer IP erlauben

    Zitat von ostfriese

    Aber meine Paranoia lässt zu, dass ich kein Problem damit habe, aus Bequemlichkeit, root bei ssh zuzulsassen .

    Das ist ein Gewinn. oder?

    Naja, wenn du deinen SSH Server auf einem Port > als 1024 hast, kann der sshd Prozess von jedem Nutzer gestartet werden.

    Insofern ist so ein High Port für mich nicht vertrauenswürdig - und ich würde mich hüten da irgendetwas einzugeben.

    Wer nutzt überhaupt noch unter systemd rc.local?

    Zitat von vmk

    Was war nochmal die letzte große Sicherheitslücke bei ssh? Tip: Debian

    Hast du mal eine CVE Nummer zur Hand?

  • Anleitung: ssh2dyn ssh nur von einer IP mit dynanmischer IP erlauben

    Ein bisschen paranoid für meinen Geschmack.

    Einen SSH Zugang mit PublicKey Auth noch zusätzlich abzusichern.

    PublicKey Auth bekommst du nicht überwunden, erst recht nicht mit einer BruteForce Attacke gegen Fail2Ban - dafür muss dir schon der Private Key von der Festplatte gestohlen werden, und das Passwort für den Key. Und wenn man soweit ist, kann man sich auch von deiner Quell IP auf dem Server anmelden.

    Warum ergreifst du so drastische Maßnahmen? Wo hat das einen Vorteil gegenüber Port-knocking oder SSH nur über VPN.

    Ich wüsste nicht, welchen Gewinn du hiermit erzielst.

  • Das längste Thema

    Zitat von geekmonkey

    Naja kommt halt auch auf den Umfang an. Bei ner Hand voll Domains und nen paar Services je Domain hält sich das in Grenzen. Aber klar bei mehreren hundert Seiten... wirds chaotisch

    Das ist bei mir, wie bei IPv4 alles auf einer IPv6 Adresse.

    Ich sehe da keinen Anlass, für jede Seite eine eigene IPv6 Adresse zu benutzen.

  • React auf v-Server

    Zitat von redF0x

    Ich habe für meine private Webseite ein React Projekt aufgesetzt.

    Guck mal bei Uberspace vorbei, dort bekommst du soetwas wie einen vServer, hast aber keine Root Rechte und der Server wird für dich gewartet.

    Die haben ein ziemlich umfangreiches Wiki - ein bisschen Einarbeitung brauchst du dennoch.

    Hier kannst du deine React App auf einem zufälligen High Port starten und den Proxy darauf zeigen lassen.

    Da gibt es bestimmt ein paar Beispiele im Wiki.

    Viel Erfolg.

    Edit: Wenn du React nur als Frontend Library nutzt, kannst du natürlich auch auf deinem Rechner dir das Projekt Builden und als HTML, CSS und JavaScript ausgeben lassen. Diese Dateien kannst du auch in einem normalen Webhosting verwenden.

  • vLAN Giga Bandbreitenproblem

    Zitat von sla

    zumal der VPS mit Gigabit beworben wird (Netzwerkkarte 1000 MBit/s)

    Das hat ja nichts mit der primären Netzwerkkarte zu tun. Das vLAN ist ja eine zweite Netzwerkkarte.


    Zitat von sla

    komplette Kundenverarsche

    Irgendwofür muss Netcup ja mehr Geld für die Root Server verlangen. Du erreichst bei den VPS auch nicht immer den 1 GBit/s - es ist eine shared Resource.

    Und es sind mehr VPS auf einem Host, als Root Server. Damit brauchst du noch mehr Netzwerkkarten, nur für den VXLAN Traffic.

    So ein Xeon Gold 6230 hat 48 PCIe Lanes. Davon kannst du natürlich nicht alle mit Netzwerkkarten vollstopfen. Deine SAS Controller müssen ja auch irgendwo hin. Mal abgesehen davon, dass du nicht zu jedem Server einen halben 10G (40G / 100G?) Switch stellen kannst.

    Es gibt in einem Hostsystem nunmal nicht unendlich Netzwerkbandbreite. Und auf VPS Hosts gibt es je VM nunmal weniger Bandbreite, als bei Root Servern, weil mehr VPS auf einem Host sind, als es bei Root Servern der Fall ist (Stichwort garantierte Ressourcen)

    Deswegen kann ich deinen Rant nicht nachvollziehen.

    (Wer kommt überhaupt auf die Idee Terminalserver auf VPS zu betreiben? Die haben doch niemals genügens Wumms, damit da Leute angenehm darauf arbeiten können).

  • vLAN Giga Bandbreitenproblem

    Zitat von sla

    DIese KVM Geschichte ist Neuland für mich, wie habt ihr das so konfiguriert und kommt ihr auf die gebuchte Bandbreite?

    Definitiv die virtIO Treiber benutzen.

    Hast du die Bandbreite des vLANs einmal mit iperf überprüft?

    Hast du die Bandbreite des OPNsense Servers überprüft (ggf. im Rettungssystem)?

    Weißt du, dass NAT Tabellen auch entsprechend Leistung brauchen?

    Weißt du, dass VPS im vLAN nur 200 mbit/s schaffen?

    Benutzt du Root oder VPS Server für deine Server?

  • Wireguard - Clients haben keine Internetzugang durch den Tunnel

    Zitat von der_micha

    Muss da noch irgendwas auf meinem Server geroutet werden (von wg0 zu eth0)? Wie geht das?

    Zunächst musst du auf den Clients für den Server-Peer die Allowed-IPs von 0.0.0.0/0 einrichten.

    Dann brauchen die Clients eine Default Route zu dem Wireguard Server.

    Auf dem Server musst du dann noch ein NAT einrichten, das geht mit iptables.

    iptables -t NAT -A POSTROUTING -i wg0 -o eth0 -j MASQUERADE 

    Den hier darfst du auch nicht vergessen:

    sysctl -w net.ipv4.ip_forward=1

    Das ganze hält bis zum nächsten Neustart. Danach musst du nochmal Hand anlegen.

  • Backbone / Routing Q&A

    Hallo Theo,

    vielen Dank für die tolle Arbeit von Dir und Deinem Team.

    Der eingehende Verkehr von Vodafone nimmt nun keine Umwege mehr über Amsterdam oder Wien, somit hat sich die Latenz um über 10ms gebessert.

    IPv6 wird von Vodafone jetzt nicht mehr über HE geroutet, sondern kommt über die Deutsche Telekom zu euch.

    Gibt es Planungen Netcup-Dienstleistungen auch an anderen Standorten des Backbones zu betreiben, um so den Kunden Georedundanzen zu ermöglichen, die nicht in das Kundenportfolio der Anexia passen?

    Wie steht es um die Kapazitäten der IPv4 Subnetze, wie viele Reserven habt ihr da, welcher Aufpreis ist zu erwarten und wann kann man mit einer Preiserhöhung wegen IPv4 Adressen rechnen?