Beiträge von martin
-
-
Zeig mal, wenn du dran kommst.
-
Was sagen denn die logs dazu?
-
Port ändern bringt nichts
Doch, ruhe in den logfiles.
Was genau ist das?
Das ist der Algorithmus, der verwendet wird, um die Schlüssel zwischen Server und Client ausztauschen.
-
Adminpanels läuft anscheinend mit ufw
Freut mich, dass du die Ursache gefunden hast - und auch ein bisschen, dass meine Intuition richtig war.
Ist es möglich eine VPN Verbindung so zu nutzen das ich quasi trotzdem das INTERNET aus meinem Zuhause nutze? Also quasi nicht über den Server aber trotzdem die aktive Verbindung zu dem habe?
Bei AllowedIPs (am Client) gibst du an, welche IPs durch den Tunnel geleitet werden sollen.
AllowedIPs = 0.0.0.0/0
0.0.0.0/0 beschreibt alle IPs von 0.0.0.0 bis 255.255.255.255. Damit hast du einen full tunnel.
Was du möchtest, ist ein split tunnel. Du gibst also nur die IP-Range an, die auch wireguard nutzt.
AllowedIPs = 10.10.10.0/24
Falls du IPv6 nutzt, entsprechend ::/0 oder dein Präfix für den full/split-tunnel.
-
Root-Login deaktivieren und nur key-login erlauben. Zur "rauschvermeidung" in den Logs kann man den Port ändern, das hält viele Bots ab - bringt aber keine Sicherheit.
Keys bitte auf ED-Basis und keine RSA und schon garkeine DSA-Keys nutzen.
Außerdem habe ich den Key-Exchange-Algorithmus und die Message Authentication Codes eingeschränkt:
KexAlgorithms curve25519-sha256
MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com
Ist aber nicht nötig, da ssh die sowieso immer mit dem höchsten Verfügbaren aushandelt.
-
Laut den logs bist du ja verbunden. Spielt da noch eine andere Firewall mit rein? UFW oder sowas? Wo hast du denn die IPTABLES-Config her?
Ich hab auch mal einige Stunden in eine Wireguard-Conf gesteckt. Inzwischen bin ich dazu übergegangen, wireguard-ui zu nutzen. Kann man bei Bedarf an und ausmachen und das erstellt alles was man braucht. Trotzdem sollten wir deinem Problem auf die Spur gehen.
-
Gibt es die Hosts .0 und .3 überhaupt? Weil wenn es die nicht gibt, kann man die auch nicht anpingen.
Sobald ich im VPN bin mit dem Laptop kann ich zwar keine Webseiten mehr aufrufen erreiche aber aber die Server IP den SSH
Das klingt mir nach DNS. Was sagt ein nslookup google.com
Edit2: hast du ip-forwarding auf dem Server aktiviert?
-
Die IPs sind in deinem Netzwerk nur einmal vergeben? Was sagt denn das Ping-Terminal, wenn es "nicht mehr geht"?
-
und ab dann geht zb das Pingen von Laptop zu Server nicht mehr
Geht der ganze Tunnel nicht mehr oder nur einzelne Dinge (Pingen z. B.)?
-
Ehrlich gesagt kann ich anderen nur abraten von anderen NAS System sofern es nicht was mit UnRAID ist.
Kannst du das weiter erläutern?
-
Was nicht erreichbar ist brauch auch kein Impressum?
evarioo.de ist erreichbar, also brauchst du ein Impressum.
Die rote Warnseite kommt bei mir auch - aber nur mit Edge.
-
QNAP TS-128. Da liegen Backups drauf und Filme. Zusätzlich läuft eine MariaDB für die Datenbank von Kodi.
DNS macht bei mir ein Raspberry PI 4b mit PiHole - blockt also gleich die Werbung im Netzwerk mit weg.
-
evarioo Wieso machst du eigentlich explizit Werbung in deinem Profil, wenn die Seite einen 403 wirft?
-
Berichte mal.
-
sorry falls das auf Kopfschütteln stößt
Auf Kopfschütteln nicht, ich habe das damals auch schon versucht, weil ich den Drang das auszuprobieren auch hatte. Aber hier ein klares nein dazu, weil halt alle Provider sagen: Aus einer dynamischen IP-Range? Ne lass mal. Aus gutem Grund.
Wenn der relay ein anderer Server ist, dann go for it. Habe ich nie probiert, sollte aber nichts dagegen sprechen.
-
da der ganze Server wenn ja nur als relay dient
Und als SMTP-Relay brauchst du keine gute Reputation bei allen Providern? Die du aus den oben genannten Gründen nicht hast.
-
Per default macht die Fritzbox dir dein Netz ja schonmal zu. Überlege vorher, was du willst. Du musst ja nicht alles ins Netz stellen. Smart-Home läuft bei mir z. B. nur lokal. Wenn ich doch mal was von außen Steuern muss, gehe ich per VPN "nach Hause" und steuere von dort. Stichwort Wireguard - das können alle Fritzboxen inzwischen. Damit hast du kein Sicherheitsproblem.
zentraler Mailserver
Davon rate ich ab und das wirst du auch nicht lange machen. Da du von der Telekom nur eine IP aus einer dynamischen IP-Range eines Providers bekommst, bist du schonmal auf allen gängigen Blacklist für Mailserver drauf. Damit sind fast alle gängigen E-Mail-Provider (Gmail z. B.) als Empfänger schon mal raus. Noch gar nicht von T-Online gesprochen und schon gar nicht von Microsoft, die noch mehr Extras haben wollen, dass Sie Mails von deinem Mailserver annehmen.
-
finde solche spontanen Fotos immer ganz geil. Instagram und co ist immer alles gestellt
Dann sollte bereal deine App sein.
-