Laberthread: Rootserver mit Debian Jessie *FULL ENCRYPTED* inkl. Iptables-Firewall...

[janni1]

Hi,
Hier würd ich mir dann aber doch noch einmal Gedanken machen

Du musst dich Anmelden oder Registrieren um den Inhalt der Angebote zu sehen!

 

[axel]

Hi,

sehr aufmerksam!

Nach

Du musst dich Anmelden oder Registrieren um den Inhalt der Codes zu sehen!

alles 1A:

Spoiler

Du musst dich Anmelden oder Registrieren um diesen Inhalt sichtbar zu machen!

Edit: Es hat sich ein Fehler eingeschlichen:

Die sources.list hatte noch einen "jessie-Eintrag", ich habe das mal korrigiert.

Ergebnis:

Spoiler

Du musst dich Anmelden oder Registrieren um diesen Inhalt sichtbar zu machen!

Also trotzdem noch alles gut.

Gruß

 

[axel]

Hi,

noch eine Sache muss angepasst werden für Stretch, und zwar folgende "Keys":

Du musst dich Anmelden oder Registrieren um den Inhalt der Codes zu sehen!

Und ich denke folgende Debootstrap-Version:

Du musst dich Anmelden oder Registrieren um den Inhalt der Codes zu sehen!

Ich baue das die Tage ins Howto ein.

Gruß

 

[Huberk]

Hallo,

vielen Dank für das detailierte Tutorial!

Eine Frage habe ich aber dazu. Nachdem ziemlich am Anfang in den rescue-pro-Modus gewechselt wird, wird der Server erst nach dem Schritt "Nun noch Grub updaten: Code: update-grub exit" neugestartet. Ist das wirklich so, oder habe ich etwas übersehen?

Vielen Dank!

 

[DEF]

Ja, das ist wirklich so und nicht vergessen nach "exit" im Interface umstellen auf Netboot HDD und dann im Terminal-Fenster "reboot" eingeben (alles ohne ").
Dann dann wieder der Anleitung folgen und den Server entsperren. Danach dann mit dem angelegten User verbinden

 

[Huberk]

Vielen Dank für die rasche Antwort.

Derzeit versuche ich, die beschriebene Lösung auf einer Dedibox SC 2016 von online.net umzusetzen.

Dazu hätte ich folgende Fragen:
1. Die Konfigurationsdaten aus /etc/network/interfaces, die ich bei der Installaton des Provider-Image (Debian 8) ausgelesen habe, sind vermutlich auch 1:1 zu übernehmen, oder?
Das sieht bei mir wie folgt aus:
source /etc/network/interfaces.d/*

auto lo
iface lo inet loopback

allow-hotplug eth0
iface eth0 inet dhcp

2. Die Installationsschritte bis zum Reboot kann ich 1:1 wie aus der Anleitung ohne Fehler durchführen, nach dem Reboot kann ich mich aber nicht anmelden (laut Putty: "Network error: Connection timed out"). Gibt es zu Diagnosezwecken eine Möglichkeit mit der rescue live CD zu starten um auf ein Boot-Logfile zuzugreifen?

Vielen Dank!

 

[axel]

Hi,

Du musst dich Anmelden oder Registrieren um den Inhalt der Angebote zu sehen!

Ja. Kann aber so nicht sein, da müssen "Werte" stehen.

Du musst dich Anmelden oder Registrieren um den Inhalt der Angebote zu sehen!

Nein.

Irgendwo hast Du leider einen Fehler eingebaut.

Gruß

 

[Huberk]

Danke für das schnelle Feedback!

Ich habe die Datei erneut überprüft, anbei der Inhalt von /etc/network/interfaces:

Spoiler

Du musst dich Anmelden oder Registrieren um diesen Inhalt sichtbar zu machen!

Wenn ich mir die Konfiguration mittels ip addr show oder /sbin/ipconfig ausgeben lasse, wird mir auch die IP des Servers angezeigt. Kann es sein, dass der Server mittels DHCP konfiguriert ist (siehe: "iface eth0 inet dhcp")?

Zudem habe ich noch eine Frage zu folgendem Befehl:

Spoiler

Du musst dich Anmelden oder Registrieren um diesen Inhalt sichtbar zu machen!

Ist die Zeile 1:1 so einzugeben?

Ist im Tutorial absichtlich kein Hinweis, wie die beiden Dateien anzupassen sind?
/etc/default/bootlogd
/etc/network/interfaces

Vielen Dank für eure Bemühungen!

 

[janni1]

Hi,
bei dir wurde die /etc/network/interfaces "geteilt"

Wenn man sich die man-Page dazu ansieht, findet man folgendas:

Du musst dich Anmelden oder Registrieren um den Inhalt der Angebote zu sehen!

Beispiel

/etc/network/interfaces:

Du musst dich Anmelden oder Registrieren um den Inhalt der Codes zu sehen!

/etc/network/interfaces.d/eth0.cfg:

Du musst dich Anmelden oder Registrieren um den Inhalt der Codes zu sehen!

Hier müsste man dann die Dateien unter /etc/network/interfaces.d/ oder diesen Ordner zusätzlich sichern und wieder herstellen.

 

[Huberk]

Perfekt, habe es jetzt hinbekommen.

Wie steven01 in Post 17 (siehe Spoiler) beschrieben hat, ist es vermutlich eine gute Idee, das "richtige" Verschlüsselungspasswort erst in der selbst installierten Umgebung festzulegen.

Spoiler

Du musst dich Anmelden oder Registrieren um diesen Inhalt sichtbar zu machen!

Kann mir bitte jemand erklären, wie dabei vorzugehen ist?

Vielen Dank!

 

[axel]

Hi,

das stufe ich persönlich als Lachnummer des Tages ein.

Gruß

Gesendet von meinem SM-G920F mit Tapatalk

 

[janni1]

Hi,
die Verschlüsselung des Systems nutzt eh nur was bei ausgeschalteten "Maschinen".
Wenn das Ding einmal eingeschaltet und fertig hochgefahren ist, kann eigentlich jeder mit etwas "Ahnung" und physischem Zugang an die Daten.
Bei einem virtuellen System sollte das gleich gar kein großer Problem sein.

Spoiler

Du musst dich Anmelden oder Registrieren um diesen Inhalt sichtbar zu machen!

 

[GTD Bastion]

Danke endlich sehen es die Leute ein!
Einen hohen Wirkungsgrad erreicht man nicht damit, in dem man das System alleine nur verschlüsselt.
Na klar....es schützt letztendlich die Daten wenn der Server down ist....aber das alleine reicht nicht.
Ihr könnt euch auch ein Konstrukt bauen, bei dem man mit Usespaces arbeitet und OScam beispielsweise in einer separat verschlüsselten Sandbox startet....aber das heisst auch wieder Aufwand.
Docker würde mir da im speziellen einfallen. Deaktiviert die USB Ports am Dedicated Server, wenn Ihr einen habt.
Blockiert Konsolen Zugriffe sofern es möglich ist....aber letztendlich bleibt das laufende System immer angreifbar.

Man könnte mit Docker diverse laufende Tasks einfach anonymisieren....aber wer hat schon Bock sich stundenlang mit Docker, internen Routing etc. auseinander zu setzen.

 

[axel]

Hi,

Warum sollte ich einen Server nicht verschlüsseln, wenn es doch geht?

Klar ist das nicht der Schlüssel zu absoluter Sicherheit etc.

Ich habe in dem Howto aufgezeigt, was meine persönlichen ersten Schritte sind, klammern wir Simplebuild mal aus.

Klar muss der Server weiterhin abgesichert werden, kein Root-Login, starke Passwörter, ggfs. weitere Schlüssel.

Vorteil von Verschlüsselung:

Falls dort ein Techniker Platten zur "Durchsicht" ausbaut, sind diese nur bedingt einsehbar, da lohnt sich schon alleine der Aufwand.

Ein "durchgestartetes System" ist genau so angreifbar wie ein stinknormaes Providerimage, schon klar.

Gruß

Gesendet von meinem SM-G920F mit Tapatalk

 

[janni1]

Hi,
natürlich kannst du und alle anderen auch ihren Server verschlüsseln .
Erstens macht es Spass und zweitens lernt man was dabei.
Etwas sicherer wird es natürllich auch.

Man sollte sich nur nicht in falscher Sicherheit wiegen und denken das nun seine Daten/Taten sicher sind