Beiträge von derwunner

  • Leap 15 Apache2 MariaDB PHP phpMyAdmin

    Zitat von Berichtigung

    *soifzzz*


    Wenn du beschreibst, was du tust, wissen wir immer noch nicht genau, was du __wirklich__ getan hast.
    Da ist dann zwangsläufig deine sujektive Linuxweltsicht mit in der Prosa verarbeitet.
    Kopiere doch lieber, was du in der Adressleiste eingibst, und was dann nach <enter> drin steht.


    Poste die Apache Konfig und die php.ini.

    Ja, und bitte auch mal die phpinfo auf derselben Domain / vhost unter der Dein nicht funktionierendes PHP Skript läuft. Denn PHP Konfigurationswerte kann man an verschiedenen Stellen zur Laufzeit ändern, siehe dazu auch die Doku zu Konfigurationswerten.

  • Leap 15 Apache2 MariaDB PHP phpMyAdmin

    Das klingt nach dem "Problem", dass MySQL in der Standard-Installation nur auf 127.0.0.1 hört, nicht aber auf localhost. Aber ohne genauere Infos zum konkreten Skript kann man das nicht genau sagen. Ändere mal in Deinem PHP Skript localhost auf 127.0.0.1 und verifziere bitte mal, ob dann eine DB Verbindung geöffnet werden kann.
    Das kannst Du aber in der /etc/my.cnf ändern, dass der MySQL / MariaDB Server ebenfalls auf localhost hört.


    Weiterhin würde ich Dir empfehlen, Deine Skripte auf PDO umzustellen. Denn dort sind Prepared Statements wesentlich komfortabler, sowie leichter wartbar in der Benutzung. Das macht sich gerade bei großen Projekten bemerkbar. Außerdem empfehle ich Dir komplett auf phpMyAdmin zu verzichten und stattdessen auf den MySQL Workbench zu setzen, denn gerade bei BLOB Spalten & Co. kann der viel mehr und viel besser als phpMyAdmin. Wenn die Datenbank nur auf lokale Verbindungen hört, dann kannst Du im MySQL Workbench einen SSH Tunnel einstellen. Das klappt bei mir seit Jahren wunderbar, klappt ebenfalls wunderbar mit MariaDB 8.0.

  • openSUSE Server: angeblich keine Repo Updates vorhanden

    Ok, ich habe zusätzlich noch die Option --no-recommends hinzugefügt, weil zypper erkannt hat, dass ich Git am Server habe, aber keine X zu Git Migrationstools. Er wollte mir CVS mit installieren, brauche ich aber nicht, weil ich keine solchen alten Projekte habe:


    Die Repo Liste sieht jetzt deutlich übersichtlicher aus, die deaktivierten Repos brauche ich nicht mehr. Das stand denke ich so um openSUSE Wiki beim Thema zypper dup. War also eine vergessene Aufräumarbeit danach...

    Irgendwie passiert bei dem dist-upgrade aber immer noch nicht mehr als die bereits besagten PHP Updates, ist das normal? Zypper up sagt mir "nothing to do"

  • Server besser absichern


    hatte ich schon vor geraumer Zeit mal so eingestellt. Ein

    Code
    systemctl restart sshd

    brachte keinerlei Veränderungen. Denn ein Blackbox Test mit putty ergab, dass ich mich als root user immer noch mit Benutzername/Paswort anmelden kann (gerade eben getestet).


  • openSUSE Server: angeblich keine Repo Updates vorhanden


    Soviel ich das richtig in Erinnerung habe wurde durch die Übernahme der SUSE LINUX GmbH durch Attachmate die Versionspolitik geändert. Könnte sein, dass mein Server noch aus der Zeit davor stammt. Wie auch immer, die ältere Kernel Version würde mich jetzt nicht unbedingt beunruhigen, denn ein LTS Kernel ist nicht immer der neueste sondern eher einer, der von SUSE als stabil befunden wird.


    Also wenn ich das richtig verstanden habe, dann soll ich die Repos auf aktualisieren setzen und dann sollten Updates verfügbar sein, richtig?

  • openSUSE Server: angeblich keine Repo Updates vorhanden

    Ok, hier nochmal die Repo Liste mit URLs:

    @Sauerland Ich habe doch meine Repos refreshd. Durch das zypper refresh Kommando ist mir erst aufgefallen, dass es das alte PHP 5.5 Repo nicht mehr gab, weil er keine neue Liste daraus beziehen konnte. Oder meinst Du mit refreshd etwas anderes, was ich noch nicht beachtet habe?
    Außerdem denke ich wird sich das Kernel Problem durch das Hauptproblem lösen.

  • Server besser absichern

    Hallo,


    ich betreibe einen Server im Rechenzentrum (Hetzner), auf dem openSUSE 42.3. Das YAST System Hardening habe ich schon ausgeführt, trotzdem steht mein Server regelmäßig unter SSH Brute-Force Beschuss. Ich habe habe schon viele asiatische IP Adressen via iptables ausgeschlossen. Das hat zumindest die Anzahl von mehreren Tausenden täglich auf den einstelligen Bereich verkleinert. Das ist für mich immer noch nicht zufrieden stellend, weil ich das im besten Fall komplett unterbinden möchte.
    Was ich bisher gemacht habe:

    • SSH Authentifizierung über Schlüssel (RSA 4096 Bits)
    • sichere Passwörter mittels des Generators Strong Random Password Generator und der Einsatz von KeePass auf dem Client System um die Passwörter merken zu können
    • Ich hatte versuch in der SSH Daemon Einstellung die Anmeldung via Passwort abzuschalten, hatte jedoch keinen Effekt.
    • Von der Polizei hatte ich mal gehört, dass es nichts bringt Fail2Ban einzusetzen, wenn der Angreifer wechselnde IP-Adressen verwendet.

    Was ich tun möchte:

    • root Login per Remote abschalten ist ja eine Empfehlung, die es schon länger gibt. Schön und gut, nur wie geht es dann weiter? Denn ich kann mir nicht vorstellen, dass es sicherer sein soll, sich mit einem unprivilegierten User am System anzumelden, um in dessen Home Verzeichnis den root SSH Key zu hinterlegen.
    • eine Intrusion-Detection / Intrusion Prevention Firewall einsetzen. Für mich kämen hier Snort oder ossec-hids infrage. Für andere Alternative bin ich natürlich offen. Leider steige ich bei beiden genannten nicht so wirklich durch, gerade was Konfiguration und Inbetriebnahme anbelangt
    • Applicaction-Level Firewall: Es gibt ja drei große im Linux Umfeld: selinux, Novell's AppArmor (mein Favorit) und noch eine, dessen Name ich vergessen habe. Von selinux ist soviel ich weis eher abzuraten, weil das die NSA mitentwickelt hat. Eine Hintertür ist also nicht unbedingt auszuschließen.
    • lohnt es sich SSH auf einen anderen Port als 22 zu legen? Das ist laut meines Wissens "Security by obscurity" aka "Kopf in den Sand stecken" und bringt nicht wirklich was. Das Netz wird ja laut Forschern regelmäßig ausgeforscht. Wer also meinen Server findet, sollte auch in der Lage sein einen Port Scanner zu bedienen. Es mag vielleicht sein, dass es den ein oder anderen "Skript-Kiddie" vom Brute Forcen abhält, weil das 0815 Skript dann nicht mehr funktioniert, aber die große Masse wird es denke ich nicht abhalten.
    • Lohnt sich der Einsatz eines SSH-Fakers? Man könnte zum Beispiel den Faker auf den SSH Port 22 lassen und fälscherlicher weise jeden ins System lassen und den richtigen SSH Zugang auf einen anderen Port legen.
    • zusätzlich zur Schlüssel Authentifikation möchte ich einen Hardware Wallet verwenden. Es ist schließlich schon länger bekannt, dass Quantencomputing theoretisch möglich ist. Damit ist laut diversen Security Beilagen der Fachzeitschrift iX aus dem letzten Jahr jede SSH Verbindung als unsicher zu betrachten, die nicht über ein zusätzliches Mittel abgesichert ist. Nur ist hier auch nicht alles Gold was glänzt, denn zum Beispiel der Yubikey hat eine zu lange Leiterbahn und man kann dadurch wenn man neben der Person steht den geheimen Schlüssel aus den elektromagnetischen Wellen empfangen und auslesen. Die Google Alternative möchte ich ebenfalls nicht verwenden, weil es Google ist (man kennt ja Google was die teilweise für Schweinereien betreiben, von gesetzlich vorgeschriebenen Hintertüren ganz zu schweigen...). Als letzte Alternative bleibt dann wohl nur noch der USB Stick aus dem Hause Ledger. Falls da jemand eine gute Alternative kennt, dann bin ich dafür gerne offen. Neben der SSH Authentifizierung möchte ich den Hardware Wallet mit folgenden Kryptowährungen benutzen: Bitcoin, Ethereum (mit Tokens) und Steem
    • Gegen DDoS Attacken kann man sich doch nicht schützen, außer die Power in ein Content Delivery Network abzuleiten, das hoffentlich mächtiger und größer ist als die Bandbreite des Angreifers, oder? Was man tun kann ist soviel ich weis Dienst-Abschottung. Das heißt, wenn ein Dienst befeuert wird, dass die anderen weiterhin störungsfrei laufen. Das erreicht man laut meines Wissen durch Virtualisierung und/ oder Cloud Computing. Für mein Low Budget also eher schlecht, oder?

    Wie man sehen kann, gibt es noch viel zu tun. Deswegen würde ich mich sehr über jeden Ratschlag aus der Community bezüglich meiner geschilderten Aufgabenstellungen freuen :smilie_hops_011:


    MFG


    derwunner

  • openSUSE Server: angeblich keine Repo Updates vorhanden

    Hallo,


    auf meinem Server, bei dem openSUSE läuft, führe ich regelmäßige Updates durch. Letztens musste ich aber feststellen, dass es angeblich keine Updates geben sollte. Was mich stutzig machte, denn Monate später keine Updates zu haben ist für die openSource Gemeinde mehr als ungewöhnlich. Was mir den Verdacht nahe legt, dass etwas mit der Systemkonfiguration nicht stimmt / nicht passt.
    Die Eckdaten:
    Das kommt nach zypper refresh:


    Meine eingebundenen Repos:


    Wie man sieht, habe ich neben dem Programmiersprachen Devel Repo aus dem openSUSE Build Service keine anderen Repos eingebunden. Bei dem besagten Repo hat sich anscheinend auch kürzlich die URL geändert, denn zypper refresh war mit den Verweis auf PHP 5.5 nicht möglich, weil es das Repo nicht mehr gab. Bei openSUSE in den Standard-Repos gibt es gerade bei PHP, oder teilweise auch bei anderer Software, nicht immer die neueste Version, deswegen setze ich bei PHP auf die Devel Repos.


    Noch ein "Fun-Fact": Auf dem Server läuft ein openSUSE 42.3 LTS, was man auf der Download Seite von software.opensuse.org gar nicht mehr findet?!

    Code
    # cat /etc/SUSE-brand
openSUSE
VERSION = 42.1
    Code
    # cat /etc/SuSE-release
openSUSE 42.3 (x86_64)
VERSION = 42.3
CODENAME = Malachite
# /etc/SuSE-release is deprecated and will be removed in the future, use /etc/os-release instead
    Code
    # uname -r
4.10.9-1-default
    Code
    # uname -v
#1 SMP PREEMPT Sat Apr 8 15:30:03 UTC 2017 (195f937)

    Ursprünglich war der Server eine Hetzner Standard-Image mit den Hetzner lokalen Repos, ich meine es war openSUSE 13.X, und durch zypper dist-upgrade und dem Wechsel zu den offiziellen Repos kam ich zu dem jetzigen openSUSE 42.3 LTS. Vermutlich liegen deswegen noch ein paar "Dateileichen" auf dem Server herum, die jedoch den Betrieb nicht gefährden.


    Mein Problem ist hier jetzt, dass ich nicht weis, wo ich mit der Suche anfangen soll. Das openSUSE Wiki ist für mich etwas undurchsichtig, weil unter anderem nirgends gekennzeichnet ist, dass es sich um Informationen für ältere Versionen handelt. Man kann also dort laut meiner Meinung etwas altes lesen, ohne zu merken, dass es veraltete Informationen sind. Über Hilfe bei diesem Problem jeglicher Art wäre ich sehr dankbar :smilie_hops_011:
    Viele Probleme kann ich mittlerweile selber lösen, also entweder durch mein gesammeltes Wissen oder durch gute Internetrecherche, aber bei dem hier stoße ich noch etwas an meine Grenzen. Falls jemand weis, ob es einen openSUSE E-Mail-Newsletter gibt bezüglich solcher relevanten Änderungen, dann wäre ich nicht abgeneigt den zu abonnieren.


    Eine Frage noch am Rande, bei der ich schon finde, dass sie mit dem Thema zusammen hängt: Kann man bei openSUSE mehrere Versionen einer Software parallel betreiben? Also ich möchte zum Beispiel PHP 5.6 und PHP 7.0 haben. Bei Ubuntu geht das irgendwie über die update-alternatives. Das habe ich so jedenfalls bei der Vagrant Box Laravel/Homestead gesehen. Also meine eigentliche Frage ist, gibt es einen Weg über den Paketmanager solche Versionen parallel zu betreiben? Mir ist durchaus bewusst, dass man das selbe Ergebnis durch selbst kompilieren und damit außerhalb vom Paketmanager erreichen könnte. Aber wenn Ihr einen "komfortableren" Weg kennt, dann bitte her damit :thumbup:


    MFG
    derwunner

  • Suche Anleitung für das Einrichten von E-Maildiensten

    Also ja, ich will das immer noch. Es ist mir vorallem ein Dorn im Auge, dass ich den Server schon länger habe und ich noch keine eigenen E-Mailadressen benutzen kann. Die Free Hoster regen mich mittlerweile auf, täglich mehr als 10 Spam E-Mails. Mal ein paar Tage nicht ins Postfach geschaut und es läuft schon über....
    Deine oben erwähnten Punkte kann ich ja Stück für Stück recherchieren. Von den meisten habe ich zumindest schon einmal gehört. Die Auswahl der Software hatte ich bewusst offen gelassen, weil ich bisher keinen Liebling habe. Und die Grundkonfiguration ist laut meines Wissens bei allen gleich, bzw. kompatibel mit der jeweils anderen.
    Natürlich würde ich nichts halbfertiges online stellen. Notfalls kann man das ja mal in einer virtuellen Maschine testen.


    Die veralteten Links, bzw. unrelevaten Links die ich gefunden habe:
    Eigener Linux Mailserver mit MX Eintrag - Kammerath Network
    Linux als Mailserver-Index
    8.7. Netzwerkdienste
    Mail server HOWTO - openSUSE
    Den eigenen Mailserver einrichten - so geht's - PC-WELT
    Der eigene Mailserver – Start der Artikelreihe | My-IT-Brain


    Als Lektüre habe ich noch in die Jahre gekommene Bücher zu LPI 1 und 2 (Version 3.5). Viel hat sich aber seitdem nicht geändert, soviel ich weis. Das half mir zumindest mit den Grundverständnis der Begrifflichkeiten Mail Transfer Agent, Mail Delivery Agent, Smarthost etc.. Leider wird hier für die Zertifizierung nur die Grundkonfiguration gefordert. Deswegen geben die Bücher dazu nicht allzu viel her.


    Es wird auf dem E-Mailserver nur mich als Adressat geben, sowie ein paar E-Mailadressen, die ich öffentlich im Internet zeigen kann (also sowas wie info, noreply, etc.). Des Weiteren verwende ich immer Generator für Passwörter, am liebsten den hier: Strong Random Password Generator
    Denn vom Menschen ausgedachte Passwörter können von einem Passwort Cracker wieder erraten werden, generierte nicht so leicht.


    Für die Recherche, sowie die Einrichtung werde ich eine Zeit lang brauchen. Wäre es ok einzelne Fragen dazu hier zu stellen oder soll ich jeweils eigene Threads dafür anlegen?